主要看信息系統的等級，等級不同，測評間隔時間不同。

一般規定：

三級信息系統要求每年至少開展一次測評

二級信息系統一般每兩年開展一次測評

證書鏈由兩個環節組成—信任錨（CA 證書）環節和已簽名證書環節。自我簽名的證書僅有一個環節的長度—信任錨環節就是已簽名證書本身。證書鏈可以有任意環節的長度，所以在三節的鏈中，信任錨證書CA 環節可以對中間證書簽名；中間證書的所有者可以用自己的私鑰對另一個證書簽名。CA可以用來遍歷證書鏈以驗證有效性，也可以用來構造這些信任鏈。證書最初生成時是一個自簽名證書。自簽名證書是其簽發者與主題相同的證書。

安裝完SSL安全證書后有以下好處：

• 有助于增加網站交易量：使用ssl證書后加強了網站的安全性，加強了網站的安全性可以使網站流量增多，不容易被黑客攻擊，相應的就增強了網站交易量；

• 保護用戶免受釣魚網站攻擊：可以降低用戶遭受釣魚網站和其他假冒網站的攻擊，在綠色地址欄中顯示的公司名稱有助于用戶辨別真假網站。許多銀行、在線支付等網站都會部署EVSSL證書，以保護消費者免受詐騙。

• 消除谷歌等瀏覽器的“不安全”警告：谷歌等瀏覽器要求所有的web頁面都必須使用SSL加密，無論交易是否在該頁面進行，任何不屬于https的頁面都會在瀏覽器地址欄自動收到“不安全”的警告，防止這些警告的唯一方法是使用SSL證書保護網站中的所有頁面。

• 有助于提升品牌形象：通過提供優質的客戶服務可以提高客戶滿意度以及對網站的信任度，而這反過來又可以提高企業收益和口碑，同時有助于提高SEO排名。

• 提高頁面加載速度：使用安全高速的HTTPS協議，能夠提高網頁加載速度，文字、圖片、多媒體等加載更快，實現低延遲和高吞吐量，優化用戶體驗。

Snort入侵檢測系統由以下4部分組成：

• 數據包解碼器 數據包解碼器主要是對各種協議棧上的數據包進行解析、預處理，以便提交給檢測引擎進行規則匹配。

• 檢測引擎Snort用一個二維鏈表存儲其檢測規則，一維稱為規則頭，另一維稱為規則選項。規則匹配查找采用遞歸的方法進行，檢測機制只針對當前已經建立的鏈表選項進行檢測。

• 日志子系統Snort可供選擇的日志形式有3種，文本形式、二進制數形式和關閉日志服務。

• 報警子系統 報警形式有5種，報警信息可發往系統日志、用文本形式記錄到報警文件中去、用二進制數形式記錄到報警文件中去、通過Samba發送WinPopup信息，以及關閉報警。

基于網絡消息的Cache通信協議有以下這些：

• ICP協議：定義了一種輕量級的消息格式，被用于在Cache服務器之間互相查詢Web資源信息，以確定當前被請求的資源是否存在于其他服務器上。當一臺Cache服務器向其鄰居發出Web對象（主要是URL信息）查詢請求時，接收到查詢請求的服務器通過反饋包含了“命中（hit）”或者“失效（miss）”信息的ICP應答說明被查詢的對象是否保存在自己這里。

• HTCP協議：是用于發現HTTP高速緩存（Cache）服務器和緩存數據的協議，在RFC2756中定義。它能夠管理一組HTTP Cache服務器并監控相關的緩存活動。是用于發現HTTP高速緩存（Cache）服務器和緩存數據的協議，在RFC2756中定義。它能夠管理一組HTTPCache服務器并監控相關的緩存活動。

• Cache Digest協議：Cache Digest的出現主要是為了解決ICP和HTCP協議在使用過程中的網絡延遲和擁塞問題。Cache Digest并不采用基于請求-問答模式的帶內查詢方法，而是在服務器之間建立對等關系，即每臺Cache服務器上都保存了它的所有鄰居的緩存信息摘要。當接收到用戶的Web對象訪問請求時，Cache Digest直接在本地的Cache內容摘要中檢索，并獲知該被請求的Web對象URI是否在某個鄰居Cache里。

• Cache Pre-filling協議：實現的是一種推送Cache內容的機制，它能夠很好地應用在IP多播網絡上。它使得預先被選定的資源能夠被同時插入到目標多播組中的所有Cache服務器中，從而實現集群中各臺服務器保存內容的同步。當前，Cache Pre-filling技術已經多有實現，特別是應用在衛星通信的場景中，它最大的優點在于能夠同時向多個分布的地面衛星接收器高速傳輸大容量數據，從而在網絡傳輸速度不高的情況下極大地改善數據訪問體驗。

• CARP協議：本質上是一個分布式的緩存協議，通過建立哈希函數用于劃分Cache服務器集群的URL空間。CARP的核心是為集群定義了一張Cache服務器陣列成員表，以及一個用于向Cache服務器上分發緩存URL信息的哈希函數。CARP為用戶提供Web對象URL的獲取路徑，該路徑是根據服務器陣列成員的名稱和相應的URL內容通過哈希操作而產生的，這就意味著對于任何特定的URL請求，都能夠準確地知道其所需的信息存儲在陣列中哪個Cache服務器上，而不用理會這是一個此前剛剛被請求并被緩存的信息，還是首次被點擊需要傳遞和緩存的信息。

常用的信息安全防范技術有：

• 入侵檢測技術：入侵檢測技術可以稱為動態保護技術。這個動態表現為：入侵檢測技術可以使用協議分析或內容分析等方法，針對具體內容進行深度審計。并且在使用入侵檢測算法分析違反安全策略的入侵行為的同時，還可以分析未到入侵階段的異常行為或潛在的入侵行為。因此，可以進行全新的動態挖掘入侵行為。由于入侵檢測技術的這種強大的信息獲取能力以及專業的入侵分析功能，所以入侵檢測技術可以主動發現和防范較多的黑客入侵行為。特別是針對網絡上的掃描/攻擊和主機上的木馬攻擊等非正常情況的防范。

• 訪問控制技術：訪問控制是指按用戶身份及其所歸屬的某項定義組來限制用戶對某些信息項的訪問，或限制對某些控制功能的使用。訪問控制通常應用于系統管理員控制用戶對服務器、目錄、文件等網絡資源的訪問，主要實現防止非法的主體進入受保護的網絡資源、允許合法用戶訪問受保護的網絡資源、防止合法用戶對受保護的網絡資源進行非授權的訪問等功能。

• 漏洞掃描技術：漏洞掃描是指基于漏洞數據庫，通過掃描等手段對指定的遠程或者本地計算機系統的安全脆弱性進行檢測，發現可利用的漏洞的一種安全檢測（滲透攻擊）行為。漏洞掃描技術可以通過對網絡和主機設備進行安全狀態測評，對有可能引起網絡和主機整體安全漏洞的系統本身缺陷、配置不當或者其他惡意程序/服務進行分析和探測。漏洞掃描技術是一把雙刃劍，它既是黑客攻擊中信息收集型攻擊的組成技術，也是安全管理員對整個信息系統進行安全評估的最重要技術。漏洞掃描技術能夠模擬黑客尋找可能成功的攻擊手段，安全管理員可以使用這種技術定時、定期檢查和調整信息系統的安全狀態，防止重要信息泄露以及安全漏洞的產生。不像其他安全防范技術直接參與安全防范，漏洞掃描技術主要輔助安全管理員，提供了間接安全防范能力，它和防火墻、入侵檢測系統互相配合，能夠有效避免黑客攻擊行為，提高網絡的安全性。

• 身份鑒別技術：身份鑒別技術是對訪問者身份和權限進行鑒定和識別。作為防護網絡資產的第一道關口，身份鑒別有著舉足輕重的作用。其作用是阻止非法用戶的不良訪問。一般通過三種方式驗證主體身份：一是主體了解的秘密，如用戶名、口令、密鑰；二是主體攜帶的物品，如磁卡、IC卡、動態口令卡和令牌卡等；三是主體特征或能力，如指紋、聲音、虹膜、簽名等。一般前兩種方式運用較多。通過提高使用者的安全意識，使用身份鑒別技術將大大降低黑客進行欺騙型攻擊的成功率。另外，通過增加身份鑒別安全保護機制，能夠防止口令暴力猜測等針對利用型的黑客攻擊手段。

• 加密技術：加密技術是對信息進行保護的一種可靠方法，使用加密算法對原始數據內容變化和隱藏的一種技術。對敏感數據在不安全鏈路上傳輸時進行保護，防止信息泄露以及被嗅探。根據加密技術在TCP/IP協議棧的作用層次，可以將其分為鏈路層加密、網絡層加密及應用層加密。最著名技術實現產品就是SSL安全套件及虛擬專用網（Virtual Private Network）產品。

• 防病毒技術:防病毒技術就是通過病毒樣本比對、行為特征分析等方法，對病毒程序、病毒攻擊流進行識別的技術。主機防病毒技術部署實現時，將對主機自身或應用系統進行病毒預警和殺除。網絡部署時有兩種方法實現：一種是網絡分布式部署的主機防病毒技術，在強調主機防病毒系統自身的查毒、殺毒功能的同時，還強調對分布在整個網絡中各個主機防病毒系統的集中管理、監控、審計、升級等能力；另一種是網絡部署方式的病毒網關防范技術，通過對網絡數據流中的病毒識別，可以結合訪問控制技術，提供病毒的預警、連接限制等控制。這兩種方法都能夠防范黑客的病毒型攻擊。

• 冗余技術：冗余技術是解決信息系統單點故障的重要措施。對關鍵性的網絡線路、信息系統節點設備通常采用雙熱或多熱備份的方式。信息系統運行時對運營狀態實時監控并自動調整，當網絡的網段或信息系統重要節點發生故障或安全狀態發生突變時能在有效時間內進行切換分配，保證信息系統正常的運行。冗余技術能夠減緩一定的漏洞與缺陷攻擊影響，特別是信息系統應用單點故障造成的拒絕服務問題。

MBSA全稱Microsoft Baseline Security Analyzer，此工具允許用戶掃描一臺或多臺基于Windows系統的計算機，以及發現常見安全方面的配置錯誤，并檢查操作系統和已安裝的其他組件，及時通過推薦的安全更新進行修補。MBSA的免費下載地址為：http://www.microsoft.com/downloads/details.aspx?FamilyID=F32921AF-9DBE-4DCE-889E-ECF997EB18E9&displaylang=en。

掃描模式如下：

• 單臺計算機MBSA最簡單的運行模式是掃描單臺計算機。默認情況下，將掃描本地計算機，管理員也可以通過指定計算機名或IP地址方式，使其掃描其他計算機。掃描遠程計算機時，當前用戶賬戶必須擁有目標計算機的遠程訪問權限。

• 多臺計算機 如果選擇“選取多臺計算機進行掃描”時，可以選擇通過輸入域名掃描整個域，或指定一個IP地址范圍并掃描該范圍內的所有基于Windows的計算機。

注·意
掃描遠程單臺主機或其他網段的計算機，必須使用具有相關權限的用戶賬戶。在進行“自動掃描”時，用來運行MBSA的賬戶也必須是管理員或者是本地管理員組的成員。

防火墻熱備切換會出以下這些問題：

• 雙機熱備份組網部分業務中斷：防火墻做雙機熱備份，配置的NAT地址池的地址需要帶上出接口的VRP的ID.保證和防火墻相連的設備請求NAT地址池地址的ARP的時候，主防火墻能正確的回應ARP報文而備防火 墻不回應此ARP請求；

• 雙機熱備份組網全網業務中斷：此現網故障原因是防火墻主備組網，備防火墻瞬間發生備- >主- >備的倒換，備防火 墻發送VRP虛地址和NAT地址池地址的免費ARP,導致NB40的ARP表項被更新，報文被轉發到被防火墻上；

• 雙機熱備份組網業務瞬間中斷：主備防火墻同時在線后，出現丟包的原因就找到了:主備鏈路的防火墻通過中間心跳 線備份配置，狀態表(session表，ARP表， MAC轉發表)。

堡壘機訪問白名單是限制用戶使用本地工具軟件（SecureCRT，Xshell，mstsc等），連接堡壘機的 IP 名單，類似于 CVM 的安全組。當用戶成功訪問運維頁面時，會自動把用戶的公網 IP 地址添加到白名單里面，也可以手動添加。已登錄運維頁面了，在使用工具訪問時，有時候無法連接成功可以嘗試將貴公司出口 IP 地址的相關 IP 網段手動添加到白名單中。

堡壘機或者云堡壘機主要功能包含以下這些：

• 身份治理

  云堡壘機主賬號通過本地認證、AD認證、RADIUS認證等多種認證方式，將主賬號與實際運維用戶身份一一對應，確保行為審計的一致性，從而準確定位事故責任人，彌補傳統網絡安全審計產品無法準確定位運維用戶身份的缺陷。

• 角色分權

  持多種用戶角色：默認管理員、部門管理員、策略管理員、審計管理員、運維員。每種運維用戶角色的權限都各不相同。云堡壘機同時支持默認管理員自定義角色，滿足企業的復雜運維場景，為運維用戶設立不同的角色提供了選擇。

• 集中管控

  通過定制集中的訪問控制策略，幫助企業梳理運維用戶與資源的關系，并且提供一對一、一對多、多對一、多對多的靈活授權模式。云堡壘機提供的訪問控制策略，不僅實現了將資源授權給運維用戶，也實現了功能權限的精細化控制，最大程度地降低越權操作的可能。

• 資源改密

  在傳統的運維模式下，管理員需要定期手動修改資源賬戶的密碼，同時維護起來也比較繁瑣。通過云堡壘機提供的改密策略，實現自動化的改密，并且以日志形式記錄改密執行結果，能讓管理員十分清晰的掌握資源的改密動態和歷史密碼。

• 資源訪問

  云堡壘機支持托管主機、應用的賬戶和密碼，運維人員無需輸入主機的賬戶和密碼，直接點擊“登錄”即可成功自動登錄到目標資源，并進行運維操作。采用數據庫代理技術，DBA或運維人員可不改變原來的使用習慣，在本地使用的客戶端軟件上，通過云堡壘機連接目標數據庫服務器進行訪問和操作。同時，云堡壘機也支持批量登錄功能。通過批量登錄，運維人員可以在一個頁面上批量打開多臺資源(支持不同協議類型)，方便運維人員在操作時進行不同資源的切換。

• 全程審計

  運維人員登錄到云堡壘機之后，云堡壘機管控所有的操作，并對所有的操作都進行詳細記錄。針對會話的審計日志，支持在線查看、在線播放和下載后離線播放。云堡壘機目前支持字符協議(SSH、TELNET)、圖形協議(RDP、VNC)、文件傳輸協議(FTP、SFTP)、數據庫協議(DB2、MySQL、Oracle、SQL Server)和應用發布的操作審計。其中，字符協議和數據庫協議能夠進行操作指令解析，100%還原操作指令;圖形協議和應用發布可以通過OCR進行文字識別;文件傳輸能夠記錄傳輸的文件名稱和目標路徑。

• 命令控制

  云堡壘機提供了集中的命令控制策略功能，實現基于不同的主機和用戶設置不同的命令控制策略。策略提供斷開連接、拒絕執行、動態授權和允許執行等四種執行動作，根據命令的危險程度和資源的重要程度去設置命令的執行動作。同時，云堡壘機預置了近千條Linux/Unix和主流網絡設備的操作命令，讓管理人員可以直接從命令庫進行調取，簡化命令控制策略的配置過程。

• 工單申請

  運維人員向管理員申請需要訪問的設備，申請時可以選擇資源賬戶、運維有效期、申請備注等信息，并且工單以多種方式通知管理員。當需要使用的功能權限(例如文件管理、RDP剪切板等)由于策略的限制無法使用時，運維人員也可以通過工單申請相應的功能權限。管理員對工單進行審核和批準后，運維人員就擁有了臨時的訪問權限。工單的審批流程可以由系統管理員進行自定義，并且可以設置多人審批或會簽審批模式，滿足企業流程需求。這樣能更靈活也更安全的開展運維工作。

• 會話協同

  通過云堡壘機，運維人員可以邀請其他用戶加入自己的會話，進行協同操作。當某項運維工作需要多人操作時，可以通過會話協同能夠邀請其他的用戶協助自己進行操作，操作控制權可在不同的運維用戶之間能夠進行靈活的切換。

• 雙人授權

  為降低高權限賬號被濫用引起違規操作的風險，借鑒銀行金庫管理中開關庫房必須有兩名管庫員在場共同授權的方式，以多人制衡的手段對高權限的使用進行監督和控制。云堡壘機通過雙人授權，讓運維人員在訪問核心資源時，必須要通過管理員的現場審批，通過雙人授權有效遏制權限濫用的情況，降低安全事件發生的風險。

• 報表分析

  云堡壘機預置了多種分析報表，能夠全方位地分析系統操作、資源運維的情況，讓管理員迅速了解系統的現狀，快速分析系統操作和資源運維的情況，及時阻止安全事件的發生。報表支持自動發送，支持以天、周、月為粒度發送報表，并且以HTML、DOC等多種格式導出，讓管理員隨時掌握系統信息。

數據庫系統的安全特性主要針對數據而言包括以下方面：

• 數據獨立性。包括物理獨立性和邏輯獨立性兩個方面。物理獨立性指用戶的應用程序與存儲在磁盤上的數據庫中的數據是相互獨立的；邏輯獨立性指用戶的應用程序與數據庫的邏輯結構是相互獨立的。

• 數據安全性。操作系統中的對象一般是文件，而數據庫支持的應用要求更為精細。通常比較完整的數據庫對數據安全性采取以下措施：將數據庫中需要保護的部分與其他部分相隔；采用授權規則，如賬戶、口令和權限控制等訪問控制方法；對數據進行加密后存儲于數據庫。

• 數據完整性。包括數據的正確性、有效性和一致性。正確性指數據的輸入值與數據表對應域的類型一樣；有效性指數據庫中的理論數值滿足現實應用中對該數值段的約束；一致性指不同用戶使用的同一數據應該是一樣的。保證數據的完整性，需要防止合法用戶使用數據庫時向數據庫中加入不合語義的數據。

• 并發控制。如果數據庫應用要實現多用戶共享數據，就可能在同一時刻多個用戶要存取數據，這種事件叫作并發事件。當一個用戶取出數據進行修改，在修改存入數據庫之前如有其他用戶再取此數據，那么讀出的數據就是不正確的。這時就需要對這種并發操作施行控制，排除和避免這種錯誤的發生，保證數據的正確性。

• 故障恢復。由數據庫管理系統提供一套方法，可及時發現故障和修復故障，從而防止數據被破壞。數據庫系統能盡快恢復數據庫系統運行時出現的故障，可能是物理上或是邏輯上的錯誤，如對系統的誤操作造成的數據錯誤等。

網絡IPS有以下主要模塊組成：

• IPS管理模塊：負責管理和連接各個模塊，管理數據流，讀取配置文件后完成整個系統的初始化，對整個系統的狀態進行管理運行、停止重新加載。當Htp報文解析模塊通知有客戶端的訪問時，調用策略引擎對客戶端的行為及信息進行檢測，對策略引擎返回的結果通知Http響應模塊進行響應。

• 配置文件模塊：主要完成配置文件的讀取及保存。提供統一的接口，具體實現可以根據需要而作修改。

• Http報文的解析模塊：利用Web服務器提供的接口，對客戶端訪問Web服務器時提交的原始數據進行解析，并通知IPS管理模塊收到客戶端的訪問請求，請求策略引擎檢測客戶端的訪問行為。

• Http響應模塊：當需要對客戶端的行為進行響應時，在這模塊中對數據報文進行組裝。

• 策略引擎模塊：首先策略引擎對策略腳本進行解析，根據策略的屬性和優先級組裝策略鏈。當IPS管理模塊通知策略引擎對某一個客戶端的信息進行檢測時，策略引擎利用Http報文解析模塊提供的接口獲取所需的客戶端得信息，分析客戶端得行為，通過依次調度策略來控制客戶端的訪問。在策略中，可以檢測客戶端請求的各個字段，并對客戶端的行為進行分析或記錄，通過定義好的規則對客戶端不同的行為進行響應。當一個策略中沒有對客戶端的行為做出響應時，策略引擎調用策略鏈中的下一條，直到全部調用完。

• 日志模塊：日志模塊的作用是對系統運行時產生的日志或對入侵防御行為的進行記錄。使用統一的格式將日志信息記錄在文本文件中。由于系統采用分層的體系結構，所以這一模塊可以方便的替換成其他格式的日志記錄方式。

WEP機制存在以下較大安全漏洞：

• 用戶數據完全暴露于攻擊者面前：WEP加密是可選功能，在大多數的實際產品中默認為關閉，因此用戶數據完全暴露于攻擊者面前。

• 易受IV Weakness攻擊：WEP對RC4的使用方式不正確，易受IV Weakness攻擊而被完全恢復秘密密鑰（SK）。RC4中存在弱RC4密鑰。一個弱密鑰是一個種子，并且RC4利用此種子產生的輸出看起來并不隨機。也就是說，當使用一個弱密鑰作為種子輸入RC4時，產生的前面幾位可以推斷出種子的其他位。由于此原因，安全專家建議拋棄RC4輸出的前256位。

• 容易遭受窮舉攻擊：SK可以由用戶手工輸入，也可以自動生成，無論怎樣都容易遭受窮舉攻擊。而且SK為用戶共享，很少變動，因而容易泄漏。

• 802.11協議沒有規定WEP中秘密密鑰如何產生和分發：在絕大多數產品中，密鑰有兩種方法產生：一是直接由用戶寫入40bit或108bit的SK；二是由用戶輸入一個密鑰詞組，該詞組通過一個生成器（Generator）產生SK。通常普通用戶愿意采用方便的第二種方法，但由于生成器設計的失誤造成40bit的SK實際上只有21bit的安全性，從而使窮舉攻擊成為可能。普通用戶還喜歡用生日、電話號碼等作為密鑰詞組，這使得字典攻擊也是一種有效的方法。

• 初始向量空間太小：流加密算法的一個重要缺陷是如果使用相同的IV||SK加密兩個消息時，攻擊者可以獲得。

• 不具有抗惡意攻擊所需要的消息認證功能：WEP中的CRC32算法原本是通信中用于檢查隨機誤碼的，是一個線性的校驗，并不具有抗惡意攻擊所需要的消息認證功能。首先，CRC32算法是一個線性函數，因此攻擊者可以任意修改密文而不被發現。其次，由于CRC32算法是一個不需要密鑰的函數，任何人如果知道消息的話都可以自行計算消息的校驗和。

WEP機制的改進方案如下：

• 高位WEP：一些無線產品供應商現在普遍都提供一種用104位密鑰的WEP(加上24位IV，一共128位)，個別提供152、256位甚至512位來改進WEP加密的脆弱性，這對 WEP的安全性有了輕微的改進。

• 動態WEP：為了加強WEP的安全性，一些供應商提出了一些動態密鑰的WEP方案。在這樣的方案中，WEP的密鑰不再是靜態不變的，而是能定期動態更新的。比如，思科(Cisco)提供的LEAP(Lightweight Extensible Authentication Protocol)就是這樣一種方案，LEAP同時還提供雙向的基于802.lx的認證。這些方案在一定程度上緩解了WEP的危機。

多維態勢可視化技術包括以下四個方面：

• 大數據實時分析：在很多安全應用場景中，數據的價值隨著時間的流逝而降低。實時數據分析系統能夠對正在發生的事件進行實時分析，及時發現最可疑的安全威脅。

• 用戶行為分析：UEBA基于海量數據對用戶進行分析、建模和學習，從而構建出用戶在不同場景中的正常狀態并形成基線。實時監測用戶的當前行為，通過已經構建的規則模型、統計模型、機器學習模型和無監督的聚類分析及時發現用戶、系統和設備存在的可疑行為，解決海量日志里快速定位安全事件的難題。

• 深度感知智能引擎：深度感知智能引擎在安全平臺中起到決策性的作用。它能夠對多維度的信息和多源數據進行整合、關聯、智能分析和預測，幫助安全人員做出最精準的判斷和調查，從而提高客戶對威脅攻擊的發現、防御和調查能力。

• 大數據交互式分析：大數據交互式分析專為滿足復雜業務場景的安全分析需求，實現持續威脅事件的分析和溯源，解決復雜數據的存儲、查詢、分析需求而研發，支持對已存儲數據進行交互式分析，通過多次查詢分析逐步逼近問題，最終解決分析問題。可支持多種算子模糊查詢，支持定制解決方案包，支持復雜場景定制。

SDN的體系結構可以分為3層：基礎設施層、控制層和應用層。基礎設施層與控制層之間通過控制數據平面接口（也稱為南向接口）進行交互，控制層與應用層之間通過應用程序編程接口（也稱為北向接口）進行交互。

• 基礎設施層：由經過資源抽象的網絡設備組成，這些網絡設備僅實現網絡轉發等數據 平面的功能，不包含或僅包含有限的控制平面的功能。

• 控制層：利用南向接口控制基礎設施層的網絡設備，構建并維護全局的網絡視圖，實現傳統網絡設備中控制平面的功能。

• 應用層：基于北向接口和控制層提供的網絡視圖進行編程，實現各種不同的網絡應用，使得網絡的轉發行為能夠通過軟件進行定義，實現網絡智能化。

XXE 攻擊就是XML（External Entity Injection）外部實體注入，該漏洞發生在應用程序解析XML輸入時，沒有禁止外部實體的加載，導致可加載任意外部文件，造成文件讀取、命令執行（有點極端）、內網端口掃描、攻擊內網網站、發起dos攻擊等危害。

XML外部實體（XXE）注入是一個嚴重的缺陷，允許攻擊者讀取服務器上的本地文件，訪問內部網絡，掃描內部端口或在遠程服務器上執行命令。它針對解析XML的應用程序。

當包含對外部實體的引用的XML輸入由弱配置的XML解析器處理時，會發生此攻擊。攻擊者通過在XML數據中嵌入惡意內聯DOCTYPE定義來利用它。

當Web服務器處理惡意XML輸入時，實體將被擴展，這可能會導致攻擊者訪問Web服務器的文件系統，遠程文件系統訪問或通過HTTP/HTTPS建立與任意主機的連接。

按照構造外部實體聲明的方法不同可分為，XXE可以分為：

• 直接通過DTD外部實體聲明

• 通過DTD文檔引入外部DTD文檔中的外部實體聲明

• 通過DTD外部實體聲明引入外部DTD文檔中的外部實體聲明。

按照XXE回顯信息不同可分為正常回顯XXE、報錯XXE和Blind XXE。

導致企業出現端點安全問題的原因如下：

• 不了解端點安全：這是許多端點安全問題的根源。企業決策者常常將現代的下一代端點安全與早期的計算機保護程序混為一談。這種關聯一度被認為是正確的，但現在不再是這樣。端點安全可以保護連接到企業網絡的所有設備。端點安全確實包含反惡意軟件和防火墻，這是早期計算機保護的原始功能。然而那些功能盡管很重要，但都只是端點安全功能的表層。畢竟，連接到貴公司網絡的每個設備(每個端點)是進入IT基礎設施的潛在入口。數據流量進出端點，甚至可能最終存儲在端點上。此外，應用程序一直與這些端點進行交互，若不加以監測，這可能會造成安全漏洞。

• 忽視端點保護演進方面的趨勢：端安全在不斷發展，以便最有效地抵御和阻擋黑客的戰術。然而，企業常常忽視這些變化，從長遠來看導致端點安全的問題得不到消除。端點保護平臺的最新趨勢包括機器學習的好處;這些AI算法幫助安全團隊緊跟日益自動化的數字威脅。此外，現代數字邊界必須包括防范無文件惡意軟件的機制。

• 端點安全過于復雜化：常見的謬誤認為網絡安全系統越多，貴企業就越安全。其實，情況往往恰好相反;實際上，端點保護平臺越精簡且集成，你的數字資產就越安全。安全代理越多，集成問題和安全漏洞就越多。此外，每個代理都需要給予關注和監控，這常常導致代理易被疏忽。作為改善貴公司端點安全問題的一方面，要及時了解功能和威脅方面的最新趨勢。擁有多個威脅情報源更能有所幫助。

• 缺乏問責制：端點安全問題不是靠購買EPP解決方案就能神奇解決的。因此，需要落實某種系統以確保貴公司受益于網絡安全并獲得最佳保護。因此，企業應落實一套系統來確保問責制。

• 注重反惡意軟件而不是其他功能：最后，繼續依賴反惡意軟件是最常見的企業端點安全問題之一。企業決策者常常認為，單單反惡意軟件可以解決其網絡安全問題。然而，反惡意軟件只處理貴公司面臨的一些問題。你需要其他功能才能對付外部威脅分子。惡意軟件仍然是一種威脅，但惡意數據流量和漏洞百出的邊界同樣是威脅。