跳转至

安全系统整理

本篇整理一些安全相关的软硬件系统。

IDS

IDS(Intrusion detection system),入侵检测设备

应用场景

工作在网络层,旁路部署,通过抓取和分析网络流量来发现攻击[1]

IPS

IPS(Intrusion Prevention System),入侵预防系统;

应用场景

一般在网络层旁路,可以理解为具备阻断能力的IDS,是IDS的升级版(也有IDS检测到攻击通知阻断设备执行阻断动作的设备联动模式),可以覆盖网络层和应用层[1]

常见的场景是封禁网站(如非法网站的封禁)、篡改网页内容(运营商插广告)、阻断端口扫描和漏洞攻击(IPS),实施链路劫持的人必须控制某段网络。[1]

原理概述

在网络层旁路部署,例如使用端口镜像。使用链路劫持的方式,抓取网络上的流量进行分析,发现符合规则的流量则冒充服务端回报响应客户端实现欺骗的效果,从而进行阻断和替换。

WAF

WAF(Web Application Firewall),网站应用防火墙、网站应用级入侵防御系统;

应用场景

WAF是在应用层防护Web攻击的程序,一般是跟Web接入层对接,可旁路可串行,仅能覆盖应用层[1]

EDR

Endpoint Detection and Response, 端点检测与响应,通过在主机端上部署agent,然后由agent采集数据,对大量数据进行分类、进行处理,然后对事件进行分析、分析、响应。

NAT

Network Traffic Analysis,常指网络流量分析产品,它将网络通信流量作为基础数据源,输出威胁事件,与IDS的不同是其模型检测为核心,IDS以特征检测为核心[1]

堡垒机/跳板机(Jump Server)

跳板机,国内也称堡垒机,也叫做运维安全审计系统,“核心功能是4A”[2]:

  • 身份验证 Authentication

  • 账号管理 Account

  • 授权控制 Authorization

  • 安全审计 Audit

"简单总结一句话:堡垒机是用来控制哪些人可以登录哪些资产(事先防范和事中控制),以及录像记录登录资产后做了什么事情(事后溯源)。"[2] 比较出名的是开源堡垒机软件:jumpserver

SOAR

SOAR(Security Orchestration, Automation, and Response),是指一组软件解决方案和工具,最初是由Gartner定义,旨在在三个关键领域进行安全运营工作的简化:威胁和漏洞管理、事件响应(Response)和安全运营自动化(Automation)。SOAR允许公司从各个来源收集与威胁相关的数据,并进行自动响应。

References

[1] 网络层绕过IDS/IPS的一些探索, lake2(腾讯安全应急响应中心),https://mp.weixin.qq.com/s/QJeW7K-KThYHggWtJ-Fh3w

[2] 堡垒机是干什么的?(知乎提问的回答),maninhill,https://www.zhihu.com/question/21036511/answer/918763192