網絡安全的等級保護分別是以下級別：
第一級：信息系統受到破壞后，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。
第二級：信息系統受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。
第三級：信息系統受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。
第四級：信息系統受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。
第五級：信息系統受到破壞后，會對國家安全造成特別嚴重損害。
信息安全等級保護的內容主要分為以下等級：
第一級（自主保護級）：一般適用于小型私營、個體企業、中小學，鄉鎮所屬信息系統、縣級單位中一般的信息系統。信息系統受到破壞后，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。
第二級（指導保護級）：一般適用于縣級其些單位中的重要信息系統；地市級以上國家機關、企事業單位內部一般的信息系統。例如非涉及工作秘密、商業秘密、敏感信息的辦公系統和管理系統等。信息系統受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。
第三級（監督保護級）：一般適用于地市級以上國家機關、企業、事業單位內部重要的信息系統，例如涉及工作秘密、商業秘密、敏感信息的辦公系統和管理系統。跨省或全國聯網運行的用于生產、調度、管理、指揮、作業、控制等方面的重要信息系統以及這類系統在省、地市的分支系統；中央各部委、省（區、市）門戶網站和重要網站；跨省連接的網絡系統等。信息系統受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。
第四級（強制保護級）：一般適用于國家重要領域、重要部門中的特別重要系統以及核心系統。例如電力、電信、廣電、鐵路、民航、銀行、稅務等重要、部門的生產、調度、指揮等涉及國家安全、國計民生的核心系統。信息系統受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。
第五級（專控保護級）：一般適用于國家重要領域、重要部門中的極端重要系統。信息系統受到破壞后，會對國家安全造成特別嚴重損害。
蜜罐是一種主動防御技術，運行在互聯網上的計算機系統，是一個包含漏洞的誘騙系統。它通過模擬一個或多個易受攻擊的主機和服務，來吸引和誘騙那些試圖非法闖入他人計算機系統的人對它實施攻擊。從而可以對攻擊行為捕獲和分析，了解攻擊方所使用的工具與方法，推測攻擊意圖和動機，能夠讓防御方清晰地了解它所面對的安全威脅，并通過技術和管理手段來增強實際系統的安全防護能力。
常見蜜罐有以下兩種類型：
實系統蜜罐
實系統蜜罐是最真實的蜜罐，它運行著真實的系統，并且帶著真實可入侵的漏洞，屬于最危險的漏洞，但是它記錄下的入侵信息往往是最真實的。這種蜜罐安裝的系統一般都是最初的，沒有任何SP補丁，或者打了低版本SP補丁，根據管理員需要，也可能補上了一些漏洞，只要值得研究的漏洞還存在即可。然后把蜜罐連接上網絡，根據目前的網絡掃描頻繁度來看，這樣的蜜罐很快就能吸引到目標并接受攻擊，系統運行著的記錄程序會記下入侵者的一舉一動，但同時它也是最危險的，因為入侵者每一個入侵都會引起系統真實的反應，例如被溢出、滲透、奪取權限等。
偽系統蜜罐
大家應該都知道，世界上操作系統不是只有Windows一家而已，在這個領域，還有Linux、Unix、OS2、BeOS等，它們的核心不同，因此會產生的漏洞缺陷也就不盡相同，簡單的說，就是很少有能同時攻擊幾種系統的漏洞代碼，也許你用LSASS溢出漏洞能拿到Windows的權限，但是用同樣的手法去溢出Linux只能徒勞。根據這種特性，就產生了“偽系統蜜罐”，它利用一些工具程序強大的模仿能力，偽造出不屬于自己平臺的“漏洞”，入侵這樣的“漏洞”，只能是在一個程序框架里打轉，即使成功“滲透”，也仍然是程序制造的夢境——系統本來就沒有讓這種漏洞成立的條件，談何“滲透”？實現一個“偽系統”并不困難，Windows平臺下的一些虛擬機程序、Linux自身的腳本功能加上第三方工具就能輕松實現，甚至在Linux/Unix下還能實時由管理員產生一些根本不存在的“漏洞”，讓入侵者自以為得逞的在里面瞎忙。實現跟蹤記錄也很容易，只要在后臺開著相應的記錄程序即可。這種蜜罐的好處在于，它可以最大程度防止被入侵者破壞，也能模擬不存在的漏洞，甚至可以讓一些Windows蠕蟲攻擊Linux——只要你模擬出符合條件的Windows特征！但是它也存在壞處，因為一個聰明的入侵者只要經過幾個回合就會識破偽裝，另者，編寫腳本不是很簡便的事情，除非那個管理員很有耐心或者十分悠閑。
轉發與映射，按理解意思，是用不同的方法實現同樣的目標。端口映射與端口轉發用于發布防火墻內部的服務器或者防火墻內部的客戶端計算機，有的路由器也有端口映射與端口轉發功能。端口映射與端口轉發實現的功能類似，但又不完全一樣。端口映射是將外網的一個端口完全映射給內網一個地址的指定端口，而端口轉發是將發往外網的一個端口的通信完全轉發給內網一個地址的指定端口。
端口轉發的方法有以下這些：
采用iptables實現：iptables是一個功能豐富的Linux防火墻工具，可以用于配置網絡地址轉換（NAT）規則，從而實現端口轉發。
采用firewalld實現：firewalld是另一個功能強大的Linux防火墻工具，也可以用于配置網絡地址轉換（NAT）規則來實現端口轉發。
采用ssh隧道實現：利用SSH為TCP鏈接提供的隧道功能實現端口轉發。
采用nc實現：NC（也稱作Netcat）是一個類Unix操作系統中的網絡工具，有著強大的端口轉發功能。
采用ncat實現：ncat是一個多功能網絡工具，可用于端口轉發。它是nc（netcat）的升級版本。
提升 Linux 系統安全的安全配置包括以下幾方面：
添加普通用戶登陸，禁止 root 用戶登陸，更改 SSH 端口號。修改 SSH 端口不一定絕對。當然，如果要暴露在外網，建議改一下。
做好軟件層面的防護。比如設置 nginx_waf 模塊防止 SQL 注入，把 Web 服務使用 www 用戶啟動，更改網站目錄的所有者和所屬組為 www 。
服務器使用密鑰登陸，禁止密碼登陸。
開啟防火墻，關閉 SElinux ，根據業務需求設置相應的防火墻規則。
裝 fail2ban 這種防止 SSH 暴力破擊的軟件。
設置只允許公司辦公網出口 IP 能登陸服務器
修改歷史命令記錄的條數為 10 條。
只允許有需要的服務器可以訪問外網，其它全部禁止。
1. 信息收集
2. 漏洞掃描
開始檢測漏洞，如 XSS,XSRF,sql 注入，代碼執行，命令執行，越權訪問，目錄讀取，任意文件讀取，下載，文件包含，遠程命令執行，弱口令，上傳，編輯器漏洞，暴力破解等。
3. 漏洞利用
利用以上的方式拿到webshell，或者其他權限。
4. 權限提升
提權服務器，比如 windows 下 mysql 的 udf 提權，serv-u 提權，windows 低版本的漏洞，如 iis6,pr, linux 內核版本漏洞提權，linux 下的 mysql system 提權以及 oracle 低權限提權。
5. 日志清理
如果是windows系統：
a：可用MSF中的 clearev 命令清除痕跡
b：如果3389遠程登錄過，需要清除mstsc痕跡
c：執行命令清除日志：
del %WINDR%\* .log /a/s/q/fd：如果是web應用，找到web日志文件，刪除
如果是Linux系統：
a：在獲取權限后，執行以下命令，不會記錄輸入過的命令
export HISTFILE=/dev/null export HISTSIZE=0b：刪除 /var/log 目錄下的日志文件
c：如果是web應用，找到web日志文件，刪除
6. 總結報告及修復方案
確定網站漏洞后，再進行詳細的歸總 ，看是否能拿下網站的管理權限，是否可以上傳腳本木馬進行控制網站，以及能否滲透拿到服務器的管理權限。制定詳細的滲透 測試計劃來達到攻擊的目的。
內部威脅
當組織內部的個人有意或無意地濫用其網絡訪問權限，對組織的關鍵數據或系統造成負面影響時，就會產生內部威脅。
不遵守組織業務規則和政策的粗心員工會引發內部威脅。例如，他們可能會無意中將客戶數據通過電子郵件發送給外部各方，點擊電子郵件中的網絡釣魚鏈接，或與他人共享登錄信息。承包商、業務合作伙伴和第三方供應商也是其他內部威脅的來源。
一些組織的內部人員考慮不周或出于方便，有意繞過安全措施，以提高生產效率。惡意的內部人員故意規避網絡安全協議，以刪除數據、竊取數據以便日后出售或利用、中斷操作或以其他方式損害業務。病毒和蠕蟲
病毒和蠕蟲是旨在破壞組織系統、數據和網絡的惡意軟件程序。計算機病毒是通過將自身復制到另一個程序、系統或主機文件的一種惡意代碼。它一直處于休眠狀態，直到有人故意或無意地激活它，在沒有用戶或系統管理人員的知情下或許可的情況下傳播感染。
計算機蠕蟲是一種自我復制程序，無需將自身復制到宿主程序或需要人工交互進行傳播。其主要功能是感染其他計算機，同時在受感染的系統上保持活動狀態。蠕蟲通常使用操作系統的一些部分進行傳播，蠕蟲通常使用操作系統中自動的、用戶看不見的部分傳播。一旦蠕蟲進入系統，它就會立即開始自我復制，從而感染沒有得到充分保護的計算機和網絡。僵尸網絡
僵尸網絡是連接互聯網的設備的集合，包括被常見類型的惡意軟件感染和遠程控制的電腦、移動設備、服務器、物聯網設備。通常，僵尸網絡惡意軟件會在互聯網上搜索易受攻擊的設備。威脅行為者創建僵尸網絡的目標是盡可能多地感染連接設備，使用這些設備的計算能力和資源來實現通常對設備用戶隱藏的自動化任務。控制這些僵尸網絡的威脅參與者，通常是網絡犯罪分子，使用它們發送垃圾電子郵件，參與點擊欺詐活動并為分布式拒絕服務攻擊生成惡意流量。偷渡式下載攻擊
在偷渡式下載攻擊中，惡意代碼通過瀏覽器、應用程序或集成操作系統從網站下載，無需用戶的許可或知識。用戶無需單擊任何內容即可激活下載。只需訪問或瀏覽網站即可開始下載。網絡犯罪分子可以使用偷渡式下載來注入特洛伊木馬、竊取和收集個人信息，以及向端點引入漏洞利用工具包或其他惡意軟件。網絡釣魚攻擊
網絡釣魚攻擊是一種信息安全威脅，它破壞了正常的安全行為并放棄機密信息，包括姓名、地址、登錄憑據、社會安全號碼、信用卡信息以及其他財務信息。在大多數情況下，黑客發送假郵件看起來好像來自合法的來源，比如金融機構、eBay、PayPal，甚至朋友和同事。
在網絡釣魚攻擊中，黑客試圖讓用戶采取一些建議的行動，例如點擊電子郵件中的鏈接，將他們帶到要求輸入個人信息的欺詐網站或在其設備上安裝惡意軟件。在電子郵件中打開附件也可以在用戶的設備上安裝惡意軟件，這些設備旨在收集敏感信息、向其聯系人發送電子郵件或提供對其設備的遠程訪問。分布式拒絕服務(DDoS)攻擊
在分布式拒絕服務(DDoS)攻擊中，多個受感染的計算機攻擊目標，例如服務器、網站或其他網絡資源，使目標完全無法運行。大量連接請求、傳入消息或格式錯誤的數據包會迫使目標系統減速或崩潰并關閉，從而拒絕為合法用戶或系統提供服務。勒索軟件
在勒索軟件攻擊中，受害者的計算機通常通過加密被鎖定，這使受害者無法使用存儲在其上的設備或數據。為了重新獲得對設備或數據的訪問權，受害者必須向黑客支付贖金，通常是以比特幣等虛擬貨幣支付。勒索軟件可以通過惡意電子郵件附件，受感染的軟件應用程序，受感染的外部存儲設備和受感染的網站進行傳播。漏洞利用工具包
漏洞利用工具包是一種編程工具，使沒有任何編寫軟件代碼經驗的人能夠創建、定制和分發惡意軟件。漏洞利用工具包有多種名稱，其中包括感染工具包、犯罪軟件包、DIY攻擊工具包和惡意軟件工具包。網絡犯罪分子使用這些工具包來攻擊系統漏洞，以分發惡意軟件或參與其他惡意活動，例如竊取企業數據，發起拒絕服務攻擊或構建僵尸網絡。高級持續性威脅攻擊
高級持續威脅(APT)是一種針對性的網絡攻擊，在這種攻擊中，未經授權的入侵者侵入網絡并在很長一段時間內未被發現。APT攻擊的目標不是對系統或網絡造成損害，而是監視網絡活動并竊取信息以獲得訪問權，包括利用工具包和惡意軟件。網絡犯罪分子通常使用APT攻擊來攻擊高價值目標，如大型企業和一些國家，并在很長一段時間內竊取數據。惡意廣告
惡意廣告是網絡犯罪分子用于將惡意代碼注入合法在線廣告網絡和網頁的技術。此代碼通常會將用戶重定向到惡意網站或在其計算機或移動設備上安裝惡意軟件。用戶的計算機可能會受到感染，即使他們沒有點擊任何內容來開始下載。網絡犯罪分子可能會使用惡意廣告來安裝各種獲利的惡意軟件，包括加密腳本、勒索軟件、特洛伊木馬。
一些知名公司的網站，包括Spotify、紐約時報、倫敦證券交易所，都無意中展示了惡意廣告，使用戶面臨風險。與傳統煙囪式安全模型SASE模型有以下優勢：
統一一致的策略部署：云架構使得SASE的策略執行遍布整個云端和邊緣，用戶本地甚至可以針對某些間歇性、時延敏感的訪問場景進行獨立的訪問決策。SASE是一個“基于軟件且硬件中立”的分布式架構，通過PoP來提供用戶接入并確保策略實施，客戶可以根據業務策略或合規要求，選擇對流量執行檢查，還是將其轉發給特定的PoP。SASE通過管理控制平面與策略執行點解耦，使用統一的管理控制臺入口，對網絡與安全策略進行集中管控，實現全局一致（與用戶、數據和應用的位置無關）的策略部署。未來可通過人工智能（AI）和機器學習（ML）實現策略自動創建，并利用全套開放的API實現對現有程序和工具的自動化和集成。
全局高效的流量檢查：SASE對所有連接、所有邊緣的全覆蓋能力，使其獲得了數據流量的全視圖，也具備了進行全面流量分析的基礎。發現、識別敏感數據并進行有效管控是SASE的關鍵能力，包括對惡意內容和網絡攻擊的識別和阻斷，主要通過本地客戶端、內聯流量檢查、基于API的云服務檢查來實現。借助云服務能力，SASE能夠以線速對加密流量（SSL/TLS）進行解密，并同時執行多項檢查（如惡意代碼/敏感數據檢查），實現一次解密多項檢查，而在傳統的方案中，需要使用多個引擎分別實施多次解密和檢查。
高可用低時延的服務能力：SASE通過建立一個具有多租戶彈性伸縮的微服務架構，來滿足不同用戶的高性能服務需求，多點分散的PoP能夠保障SASE提供商交付滿足SLA的高可用低時延服務。
動態自適應的零信任安全：SASE采用零信任安全理念，將傳統網絡模型中的隱式信任，替換成基于身份和上下文、持續自適應的風險和信任評估。按照Gartner提出的持續自適應風險與信任評估（CARTA）框架，訪問連接一旦建立，訪問實體、設備、會話和相關行為均會被記錄、監控和分析，以便發現異常或風險行為，并按照相應的策略配置，自適應地調整響應動作（如修改權限）。
簡單透明的用戶體驗：SASE產品為用戶提供了位置無關的訪問體驗，通過使用一個統一的終端Agent為用戶隱藏復雜的接入細節（如轉發代理、隧道創建、設備安全態勢等），并集成典型的用戶體驗（在端到端時延和性能方面）監控。
集中歸口的接入管理：在SASE方案中，需要由一個獨立的IT團隊負責接入方案的設計、選型、實施和運營，涵蓋對網絡、安全、隨時隨地的訪問及各種實體的管理。從整體上來看，在SASE中，網絡工程和網絡安全工程實質上已經融合成了一種組合型“接入工程（Access Engineering）”。SASE通過在云端融合網絡和安全技術，通過瘦終端重云端、邊緣化去中心的服務架構為企業提供了一體化的IT建設方案，改變了傳統應用訪問和安全防護模式，可以解決云時代下企業面臨的實際問題。隨著邊緣場景快速發展、傳統安全產品加速云化、用戶對新安全理念的認知和服務商SASE產品落地，SASE也將演變成為更豐富、更高效、更強大的IT安全生態。
針對傳感器網絡的安全威脅有以下四種類型：
干擾：干擾就是使正常的通信信息丟失或者不可用。傳感器大多使用無線通信方式，只要在通信范圍之內，便可以使用干擾設備對通信信號進行干擾。也可以在傳感器節點中注入病毒（惡意代碼或指令），這有可能使整個傳感網絡癱瘓（所有通信信息都變得無效，或者多個傳感器頻繁、同時發送數據，使整個網絡設施無法支撐這樣的通信數據量，導致整個網絡通信停滯）。如果是有線通信，那么干擾手段就更為簡單了，把線纜剪斷就可以了。
截取：截取就是攻擊人員使用專用設備獲取傳感器節點或者簇中的基站、網關、后臺系統等重要信息。
篡改：篡改就是非授權人沒有獲得操作傳感器節點的能力，但是可以對傳感器通信的正常數據進行修改，或者使用非法設備發送大量假的數據包到通信系統中，把正常數據淹沒在這種假數據“洪水”中，使本來數據處理能力就不高的感知設備節點無法為正常數據提供服務。
假冒：假冒就是使用非法設備假冒正常設備，進入到傳感器網絡中，參與正常通信，獲取信息。或者使用假冒的數據包參與網絡通信，使正常通信延遲，或誘導正常數據，獲得敏感信息。
加強傳感器網絡安全的防護手段有以下這些：
信息加密：對通信信息進行加密，即對傳感器網絡中節點與節點之間的通信鏈路上的通信數據進行加密，不以明文數據進行傳輸，即使攻擊者竊聽或截取到數據，也不會得到真實信息。
數據校驗：數據接收端對接收到的數據進行校驗，檢測接收到的數據包是否在傳輸過程中被篡改或丟失，確保數據的完整性。優秀的校驗算法不僅能確保數據的完整性，也能夠確保攻擊者的重放攻擊，從假數據包中找到真實數據包，防御“拒絕服務”攻擊。
身份認證：為確保通信一方或雙方的真實性，要對數據的發起者或接收者進行認證。這就好比阿里巴巴的咒語，只有知道咒語的人，門才能打開。認證能夠確保每個數據包來源的真實性，防止偽造，拒絕為來自偽造節點的信息服務，防御對數據接收端的“拒絕服務”攻擊等。
擴頻與跳頻：固定無線信道的帶寬總是有限的，當網絡中多個節點同時進行數據傳輸時，將導致很大的延遲及沖突，就像單車道一樣，每次只能通過一輛車，如果車流量增大，相互搶道，那么將導致堵車；同時其信道是固定的，即使用固定的頻率進行數據的發送和接收，很容易被攻擊者發現通信的信道，并進行竊聽、截取通信信息。在無線通信中使用擴頻或跳頻，雖然兩個節點通信時還是使用單一的頻率，但是每次通信的頻率都不相同，而別的節點就可以使用不同的頻率進行通信，即增加了通信信道，可以容納更多的節點進行同時通信，減少沖突和延遲，也可以防御攻擊者對通信鏈路的竊聽和截取。在擴頻或跳頻技術中，使用“說前先聽[Listen Before Talk（LBT）]”的機制，即要發送數據之前，對準備使用的頻率進行監聽，確認沒有別的節點在使用該頻率后，才在這個信道（頻率）上發送數據，不然就監聽下個頻率，依次類推。
安全路由：傳統網絡的路由技術主要考慮路由的效率、節能需求，但是很少考慮路由的安全需求。在傳感器網絡中，節點和節點通信、節點和基站通信、基站和基站通信、基站和網關（后臺系統）通信都涉及路由技術。在傳感器網絡中要充分考慮路由安全，防止節點數據、基站數據泄露，同時不給惡意節點、基站發送數據，防止惡意數據入侵。
入侵檢測：簡單的安全技術能夠識別外來節點的入侵而無法識別那些被捕獲節點的入侵。因為這些被捕獲的節點和正常的節點一樣，具有相同的加/解密、認證、路由機制。安全防護技術要能夠實現傳感器網絡的入侵檢測，防止出現由于一個節點的暴露而導致整個網絡癱瘓的危險。
NIST中云計算有以下基本特征：
按需自助服務：云用戶可以按需自動獲得計算能力，如服務器時間和網絡存儲，而無須與服務供應商的服務人員互動，這種方式有別于傳統的服務需要借助人力協調改變。
廣泛的網絡訪問：云服務能力通過網絡和標準的機制提供，支持各種標準接入手段，包括各種客戶端平臺如移動設備和筆記本電腦等，也包括其他傳統的或基于云服務的使用。目前云端的使用大部分都是通過瀏覽器進行。
資源池：云服務供應商將其計算資源匯集到資源池中，采用多租戶模式，按照用戶需要，將不同的物理和虛擬資源動態地分配或重新分配給多個用戶使用。資源通常包括存儲、CPU、內存、網絡帶寬以及虛擬機等。即使是私有云，在同一組織內部的不同部門往往也趨向將資源池化。資源池化的目的是在眾多用戶之間實現資源共享。
快速的彈性：彈性是指系統能夠根據用戶對資源需求的動態變化，動態地調節物理機的負載，并維持系統性能。云計算中的物理資源在隨時發生變化，為了實時保證云服務的性能需求，就需要云計算系統能夠及時地捕捉云中資源的變化情況，并能在某些情況下自動對服務占有的資源進行快速擴容、釋放和回收。對于用戶來說，云端可供應的服務能力近乎無限，且能依據自身的需求，隨時按需購買所需的計算能力。
可測量服務：用戶購買的服務可以量化并測量。云系統之所以能夠自動控制優化某種服務的資源使用，是因為云系統利用了經過某種程度抽象的測量能力，如存儲、CPU、帶寬或者活動用戶賬號等。人們可以借此來監視和控制資源使用并產生報表等。
數據脫敏的規則有以下這些：
脫敏算法和脫敏規則是否能符合項目敏感數據脫敏要求；
脫敏的審核審批流程是否已覆蓋到責任方；
脫敏后的數據驗證是否正常開展；
脫敏作業后安全檢查是否落實到位，數據源賬號權限、有效期、數據存儲合規等；
脫敏是否有合理的雙人監督或專責專崗；
脫敏源及指定賬號的安全管控是否到位；
脫敏應用環境是否有做劃分；
是否具備詳細的數據脫敏操作指引；
數據脫敏的數據采集、數據傳輸、數據存儲、數據處理、數據共享、數據銷毀是否符合法律法規要求；
漏洞掃描一般指掃描暴露在外網或者內網里的系統、網絡組件或應用程序，檢測其中的漏洞或安全弱點，掃描步驟如下：
登錄掃描器
在瀏覽器中輸入漏洞掃描器的地址然后登陸漏洞掃描器；
新建任務
新建一個任務，設置好基本選項然后確定即可；
掃描完成
掃描完成后到報表輸出欄中，按照紅框所標注的將本次掃描結果輸出；
輸出報表并下載
當掃描完成后會跳轉到報表輸出頁面，根據自己的需要選擇輸出范圍和格式下載報表就行了。
針對工控攻擊面有以下這些：
工控蠕蟲：工控蠕蟲攻擊是一種不依賴于計算機，只通過像西門子這樣的PLC設備進行攻擊和傳播的工控蠕蟲病毒，可以繞過當前的網絡安全防御系統。首先，攻擊者通過攻擊目標PLC設備，向目標PLC設備中寫入該蠕蟲病毒，然后通過西門子通信端口102嘗試建立連接，如果連接建立成功，則檢查目標PLC是否已被感染。如連接未建立成功，或目標PLC已被感染，則選擇新IP重新嘗試建立連接。如目標PLC未被感染，則停止目標PLC，下裝病毒程序，最后重新啟動目標PLC。
工控邏輯炸彈：該惡意軟件將攻擊代碼者注入到目標PLC上的現有控制邏輯中，改變控制動作或者等待特定的觸發信號來激活惡意行為。攻擊者可以通過LLB篡改合法的傳感器讀數等一系列惡意操作。
工控勒索病毒：這種勒索病毒一般指針對工控系統，但是和普通勒索病毒一樣，都具備普通勒索病毒的所有特性和特點，并且這種病毒對工控系統危害巨大。
工控Payload分發：工控payload分發是一種將payload注入到工控設備中，然后通過使目標機訪問來執行攻擊腳本的方式。攻擊者從互聯網上尋找一個具有足夠的空間來存儲payload的PLC，將payload上傳到PLC的內存。 攻擊者用dropper感染一個主機，然后利用stager與Modbus進行“交流”，從PLC中下載并執行該stage。
安全事件分類主要參考中央網信辦發布《國家網絡安全事件應急預案》，網絡安全事件分為有害程序事件、網絡攻擊事件、信息破壞事件、信息內容安全事件、設備設施故障、災害性事件和其他網絡安全事件等。
有害程序事件分為計算機病毒事件、蠕蟲事件、特洛伊木馬事件、僵尸網絡事件、混合程序攻擊事件、網頁內嵌惡意代碼事件和其他有害程序事件。
網絡攻擊事件分為拒絕服務攻擊事件、后門攻擊事件、漏洞攻擊事件、網絡掃描竊聽事件、網絡釣魚事件、干擾事件和其他網絡攻擊事件。
信息破壞事件分為信息篡改事件、信息假冒事件、信息泄露事件、信息竊取事件、信息丟失事件和其他信息破壞事件。
信息內容安全事件是指通過網絡傳播法律法規禁止信息，組織非法串聯、煽動集會游行或炒作敏感問題并危害國家安全、社會穩定和公眾利益的事件。
設備設施故障分為軟硬件自身故障、外圍保障設施故障、人為破壞事故和其他設備設施故障。
災害性事件是指由自然災害等其他突發事件導致的網絡安全事件。
其他事件是指不能歸為以上分類的網絡安全事件。
標準的MDR網絡服務有以下功能：
零痕跡網絡可視化：為每個Internet和WAN流量初始化收集完整的元數據，包括原始客戶端、時間軸和目的地址。所有這些都不需要部署網絡探測器。
自動化威脅狩獵：高級算法尋找流數據倉庫中的異常，并將它們與威脅情報來源相關聯。這個機器學習驅動的過程會產生少量可疑事件，以供進一步分析。
專家級威脅驗證：隨著時間的推移，Cato安全研究員檢查標記的端點和流量，并評估風險。SOC只對實際威脅發出警報。
威脅容器：通過配置客戶網絡策略來阻止C&C域名和IP地址，或斷開受威脅的計算機或用戶與網絡的連接，可以自動包含已驗證的實時威脅。
整改協助：SOC將建議風險的威脅級別、補救措施和威脅跟蹤，直到威脅消除為止。
報告與溯源：每個月，SOC將發布一份自定義報告，總結所有檢測到的威脅、它們的描述和風險級別，以及受影響的端點。
