主要通過以下辦法來檢測是否被入侵：

1. 通過檢測日志文件來查看是否有入侵痕跡；

2. 通過查看自己的服務器看網站是否有來歷不明文件；

3. 檢查自己網站首頁、列表頁等等看看有沒有黑鏈；

4. 使用木馬掃描器對自己的服務器或者計算機進行全盤掃描開是否有木馬。

信息安全五性指以下五個特性：

• 保密性：保密性服務用于保護系統數據和信息免受非授權的泄密攻擊。

• 完整性：完整性服務用于保護數據免受非授權的修改。

• 可用性：可用性服務用于保證合法用戶對信息和資源的使用不會被不正當地拒絕。

• 可控性：可控性的關鍵為對網絡中的資源進行標識，通過身份標識達到對用戶進行認證的目的。

• 不可否認性：不可否認服務用于追溯信息或服務的源頭。

信息安全存在以下這些急需解決的問題：

• 網絡強依賴性及網絡安全關聯風險凸顯

  隨著網絡信息技術的發展，社會各個方面對網絡信息系統的依賴性增強，且各種關鍵信息基礎設施相互關聯，因而對網絡安全的影響范圍日益擴大，產生級聯反應、蝴蝶效應，建立可信的網絡信息環境成為迫切的需求。

• 網絡信息產品技術同質性與技術濫用風險

  網絡信息系統軟硬件產品技術具有高度同質性，缺少技術多樣性，極易構成大規模網絡安全事件觸發條件，特別是網絡蠕蟲安全事件。同時，網絡信息技術濫用容易導致網絡安全事件發生，如大規模隱私數據泄露，內部人員濫用網絡信息技術特權構成網絡安全威脅網絡安全威脅技術的工具化，讓攻擊操作易千實現，使網絡攻擊活動日益頻繁和廣泛流行。

• 網絡安全建設與管理發展不平衡、不充分風險

  網絡安全建設缺乏總體設計，常常采取“亡羊補牢＂的方式構建網絡安全機制，從而導致網絡信息安全隱患。“重技術，輕管理；重建設，輕運營；重硬件，輕軟件”的網絡安全認識偏差，使得網絡安全機制難以有效運行，導致網絡安全建設不全面例如，網絡設備的口令直接用廠家默認配置，認證訪問控制機制形同虛設。

• 網絡數據安全風險

  網絡中大鼠數據不斷地生成、傳輸、存儲、加工、分發、共享，支撐著許多關系國計民生的關鍵信息系統運營。由于數據處理復雜，涉及多個要素，數據安全風險控制是一個難題。若關鍵系統的某些重要的數據失去安全控制，就會導致系統運行中斷，引發社會信任危機，甚至危及人身安全。例如，電力控制系統指令的安全關系電網的正常運行，生產經營數據的失真影響企業決策電子病歷的安全影響個人健康和隱私。

• 高級持續威脅風險

  APT攻擊威脅活動日益頻繁，包括對目標對象采用魚叉郵件攻擊、水坑攻擊、網絡流量劫持、中間人攻擊等，綜合利用多種技術以實現攻擊意圖，規避網絡安全監測。APT攻擊目標總體呈現出與地緣政治緊密相關的特性，受攻擊的領域主要包括國防、政府、金融、外交和能源等。此外，醫療、傳媒、電信等國家服務性行業領域也正面臨越來越多的APT攻擊風險。

• 軟件代碼和安全漏洞風險

  由于軟件工程和管理等問題，新的軟件代碼安全漏洞仍然不斷地輸入網絡信息環境中，這些安全漏洞都可能成為攻擊切入點，攻擊者利用安全漏洞入侵系統，竊取信息和破壞系統。

• 人員的網絡安全意識風險

  網絡信息系統是人、機、物融合而成的復雜系統，而實際工作過程中容易忽略人的關鍵安全作用。研究表明，網絡用戶人員選擇弱口令的比例仍然較大；利用網絡用戶U盤是實施網絡物理隔離擺渡攻擊的重要環節。

• 網絡信息技術復雜性和運營安全風險

  隨著云計算、大數據、人工智能、移動互聯網、物聯網等新一代信息技術的普及應用，網絡信息系統的開放性、智能性等不斷提升，網絡安全運營的復雜性更高，其安全風險加大。云計算使得網絡安全邊界模糊化，網絡安全防護難度增加，云平臺的安全運維水平要求更高。業務連續性高的要求使得網絡信息系統的安全補丁維護管理成本提升。物聯網的開放性擴大了網絡信息系統的安全威脅途徑。

• 網絡地下黑產經濟風險

  隨著“勒索軟件即服務”的黑產興起，活躍勒索軟件的數量呈現快速增長勢頭，且更新頻率加快。例如，某勒索軟件一年出現了約19個版本，快速更新迭代以躲避安全查殺。受到加密貨幣利益驅動，挖礦團伙利用安全漏洞、僵尸網絡、網盤等進行快速擴散傳播挖礦木馬。

• 網絡間諜與網絡戰風險

  根據公開信息，某國大批量的網絡武器被曝光。網絡空間并非天下太平，一些國家建立起網軍，網絡戰威脅時隱時現。

入侵檢測系統的分類有以下這些：

• 基于主機的入侵檢測系統：該系統通常是安裝在被重點檢測的主機上，其數據源來自主機，如日志文件、審計記錄等。該系統通過監視與分析主機中的上述文件，就能夠檢測到入侵。能否及時采集到上述文件是這些系統的關鍵點之一。因為入侵者會將主機的審計子系統作為攻擊目標以避開IDS。

• 基于網絡的入侵檢測系統：此系統使用原始網絡包作為數據源。通常利用一個運行在隨機模式下網絡的適配器來實時監視并分析通過網絡的所有通信業務。它的攻擊辯識模塊通常使用四種常用技術來識別攻擊標志：模式、表達式或字節匹配，頻率或穿越閥值，次要事件的相關性，統計學意義上的非常規現象檢測。一旦檢測到了攻擊行為，響應模塊就提供多種選項以通知、報警并對攻擊采取相應的反應。反應因產品而異，但通常都包括通知管理員、中斷連接或為法庭分析和證據收集而作的會話記錄。

• 混合檢測系統：近幾年來，混合檢測日益受到人們的重視。這類檢測在作出決策之前，既分析系統的正常行為，又觀察可疑的入侵行為，所以判斷更全面、準確、可靠。它通常根據系統的正常數據流背景來檢測入侵行為，故而也有人稱其為“啟發式特征檢測”。

常見的密碼分類方法如下：

• 按時間分類：按時間可以分為古典密碼和現代密碼；

• 按保密內容分類：按保密內容可以分為受限制算法密碼和基于密鑰算法密碼；

• 按密碼體制分類：按密碼體制可以分為對稱密碼、非對稱密碼；

• 按明文處理方法分類：分為分組密碼和流密碼也指序列密碼。

以上的分類是按照個人使用的普通密碼來進行分類的，如果按照《中華人民共和國密碼法》可以分為以下三類：

• 商用密碼：核心密碼用于保護國家秘密信息，屬于國家秘密，由密碼管理部門依法實行嚴格統一管理。

• 普通密碼：普通密碼和核心密碼一樣但是保護級別不如核心密碼但是作用都是保護國家秘密并依法管理。

• 核心密碼：商用密碼用于保護不屬于國家秘密的信息，公民、法人和其他組織均可依法使用商用密碼保護網絡與信息安全。

內網安全設備有以下幾種：

• 硬件設備：都有主機(包括各種類型的計算機，通常局域網的主機是微型計算機)、網絡適配器(也是俗稱的網卡，用于實現計算機與局域網通信的接口)、傳輸介質(用于計算機和網絡設備之間的連接，它是實現高速通信的傳輸介質，如雙絞線等)、網絡連接設備(用于連接計算機或其他網絡的連接設備，通常是集線器、交換機等)。

• 軟件設備：都包括網絡操作系統(負責整個網絡系統的軟件資源管理、網絡通信和任務調度，提供用戶與網絡之間的接口以及網絡系統的安全性服務等)、網絡應用軟件(實現網絡服務的各種軟件集合)。

等級保護備案機關有以下幾種：

• 等級保護是由公安機關進行備案的，地市級以上公安機關公共信息網絡安全監察部門受理本轄區內備案單位的備案。隸屬于省級的備案單位，其跨地(市)聯網運行的信息系統由省級公安機關公共信息網絡安全監察部門受理備案。

• 隸屬于中央的在京單位，其跨省或者全國統一聯網運行并由主管部門統一定級的信息系統，由公安部公共信息網絡安全監察局受理備案，其他信息系統由北京市公安局公共信息網絡安全監察部門受理備案。

• 隸屬于中央的非在京單位的信息系統，由當地省級公安機關公共信息網絡安全監察部門(或其指定的地市級公安機關公共信息網絡安全監察部門)受理備案。

• 跨省或者全國統一聯網運行并由主管部門統一定級的信息系統在各地運行、應用的分支系統(包括由上級主管部門定級，在當地有應用的信息系統)，由所在地地市級以上公安機關公共信息網絡安全監察部門受理備案。

• 受理備案的公安機關應當建立管理制度，對備案材料按照等級進行嚴格管理，嚴格遵守保密制度，未經批準不得對外提供查詢。

一個二級系統完整的測評一次，在客戶方充分配合、測評方派3名測評師的情況下，大致需要四周左右。如果有多個系統同時測評，會存在部分重復工作，具體情況需要具體分析。

等級測評的流程：

1、測評準備活動階段

簽訂《合作合同》與《保密協議》。首先，被測評單位在選定測評機構后，雙方需要先簽訂《測評服務合同》，合同中對項目范圍（系統數量）、項目內容（差距測評？驗收測評？協助整改？）、項目周期（什么時間進場？項目計劃做多長時間？）、項目實施方案（測評工作的步驟）、項目人員（項目實施團隊人員）、項目驗收標準、付款方式、違約條款等等內容逐一進行約定。簽訂《測評服務合同》同時，測評機構應簽署《保密協議》。《保密協議》一般分兩種，一種是測評機構與被測單位（公對公）簽署，約定測評機構在測評過程中的保密責任；一種是測評機構項目組成員與被測單位之間簽署。

2、測評方案編制階段

該階段的主要任務是確定與被測信息系統相適應的測評對象、測評指標及測評內容等，并根據需要重用或開發測評實施手冊，形成測評方案。方案編制活動為現場測評提供最基本的文檔依據和指導方案。一個二級系統的方案編制工作一般需要2天左右完成。

3、現場測評階段

現場測評活動是開展等級測評工作的核心活動，包括技術測評和管理測評。其中技術測評包括: 物理安全、網絡安全、主機安全、應用安全、數據安全和備份恢復。管理測評包括:安全管理制度、安全管理機構、人員安全管理、系統建設管理和系統運維管理。現場差距測評一般包括訪談、文檔審查、配置檢查、工具測試和實地察看五個方面。

一個二級系統的現場測評工作一般需要5天左右完成。

4、分析與報告編制階段

此階段主要任務是根據現場測評結果，通過單項測評結果判定、單元測評結果判定、整體測評和風險分析等方法，找出整個系統的安全保護現狀與相應等級的保護要求之間的差距，并分析這些差距導致被測系統面臨的風險，從而給出等級測評結論，形成測評報告文本。一個二級系統的分析和報告編制工作一般需要3-4天左右完成。

此階段工作不一定需要在客戶現場完成。《測評報告》的模板是由公安機關統一制定的。

5、整改階段

主要根據測評機構出具的差距測評報告和整改建議進行整改，此階段主要由備案單位實施，測評機構協助，客戶可以根據自身的實際情況，把整改分為短期、中期、長期。

6、驗收測評階段

測評流程與之前的流程相同，主要是檢查整改的效果。

綜上，一個二級系統完整的測評一次，在客戶方充分配合、測評方派3名測評師的情況下，大致需要四周左右。如果有多個系統同時測評，會存在部分重復工作，具體情況需要具體分析。

針對BOTS自動木馬的防御措施有以下這些：

• 部署針對Bots自動化威脅的防御新技術：將Bots管理納入到企業應用和業務威脅管理架構中，部署能針對自動化威脅進行防護的新技術，結合多重變幻的動態安全防護、威脅態勢感知及人工智能技術，防止漏洞利用、擬人化攻擊等多類應用安全問題，構建集中于商業邏輯、用戶、數據和應用的可信安全架構。

• 以動態技術構建主動防御：通過對網頁底層代碼的動態變幻和實時人機識別技術，隱藏可能的攻擊入口，增加服務器行為的不可預測性。同時，需要保證應用邏輯的正確運行，高效甄別偽裝和假冒正常行為的已知和未知自動化攻擊，直接從來源端阻斷自動化攻擊。

• AI技術助力自動化威脅行為的深度分析和挖掘：融入涵蓋機器學習、智能人機識別、智能威脅檢測、全息設備指紋、智能響應等的AI技術，對客戶端到服務器端所有的請求日志進行全訪問記錄，持續監控并分析流量行為，實現精準攻擊定位和追蹤溯源，并對潛在和更加隱蔽的攻擊行為進行更深層次的分析和挖掘。

• 可編程對抗技術實現靈活便捷的攻防對抗：為企業使用者和用戶構建了一個開放式的簡單編程環境，提供上百個字段用于規則編寫，讓具備一定編程基礎的客戶能夠根據企業自身的情況，實現自我防護需求定制和靈活、便捷的攻防對抗。

• 基于大數據分析的自動化威脅情報：通過大數據分析能力，結合業務威脅的特征，對流量進行實時監控。全方位感知透視自動化攻擊的來源、工具、目的和行為，并對攻擊者進行畫像，建立IP信譽庫、指紋信譽庫和賬號信譽庫，實現安全無死角。

• 從等保合規的角度制定網絡安全防護策略：結合《網絡安全法》、等保2.0等網絡安全相關的法律法規，將風險評估、安全監測、數據防護、應急處置、自主可控等納入企業網絡安全防護策略，提高應對網絡攻擊的防御能力，降低工作流程中的數據泄漏和其他安全風險。

• 強化內網縱深安全保護：從技術層面而言，企業可以通過APT解決方案、內網陷阱等方式，并引入“零信任機制”，強化內網縱深安全保護。此外，內網的Web應用及數據庫服務器更是重點防護對象，以杜絕內部人員或外部滲透黑客竊取或篡改企業的敏感關鍵數據。而從管理層面看，嚴格制定并安全執行各類IT使用規范必不可少。

• 重視IoT及工控設備安全：重視物聯網及工控設備安全，提供設備的資產清查、安全管理、預警與聯防，整體防護物設備、網絡傳輸及云端，避免物聯網及工控設備成為企業信息安全的重大隱患。

NTP放大攻擊是種基于反射的容量耗盡分布式拒絕服務攻擊。在這種攻擊中，攻擊者利用一種網絡時間協議服務器功能，發送放大的UDP流量，使目標網絡或服務器不堪重負，導致正常流量無法到達目標及其周圍基礎設施。所有放大攻擊都利用了攻擊者和目標Web資源之間的帶寬成本差異。當許多請求之間的成本差異被放大時，由此產生的流量會破壞網絡基礎架構。通過發送小的查詢導致較大響應，惡意用戶可以從更少的資源中獲取更多收益。

緩解NTP放大攻擊的措施有以下這些：

• 禁用monlist：減少支持monlist命令的NTP服務器的數量：修補monlist漏洞的一種簡單解決方案是禁用該命令。默認情況下，4.2.7之前的所有版本的NTP軟件都容易受到攻擊。通過將NTP服務器升級到4.2.7或更高版本，該命令被禁用，從而修補了該漏洞。如果無法升級，則遵循US-CERT的說明將允許服務器的管理員進行必要的更改。

• 配置高防IP：隱藏源站IP阻止欺騙性數據包占用資源，攻擊者的僵尸網絡發送的UDP請求必須具有欺騙到受害者IP地址的源IP地址，因此降低基于UDP的放大攻擊的有效性的關鍵因素是Internet服務提供商(ISP)拒絕任何內部流量欺騙的IP地址。因此我可以采用高防IP來作為前置IP達到抵御NTP放大攻擊。DDoS高防IP是針對互聯網服務器在遭受大流量DDoS攻擊后導致服務不可用的情況下，推出的付費增值服務，通過配置高防IP將攻擊流量引到高防IP達到隱藏源站IP保護源站安全穩定，提升用戶體驗和對內容提供商的黏度。

• 針對地理位置的源ip進行阻斷：針對業務用戶的地理位置特性，在遇到UDP反射攻擊時，優先從用戶量最少地理位置的源IP進行封禁阻斷，直到將異常地理位置的源IP請求全部封禁，使流量降至服務器可處理的范圍之內，可有效減輕干擾流量；

• 配置Web應用程序防火墻(WAF)過濾海量攻擊：Web應用防火墻是通過執行一系列針對HTTP/HTTPS的安全策略的一款產品。基于云安全大數據能力，用于防御SQL注入、XSS跨站腳本、常見Web服務器插件漏洞、木馬上傳、非授權核心資源訪問等OWASP常見攻擊，并過濾海量惡意CC攻擊，避免您的網站資產數據泄露，保障網站業務的安全與可用性。

保障Web應用程序驗證機制的安全措施有以下這些：

• 網絡安全生物識別技術：“生物識別”字面意思是“測量生命”。生物識別技術指使用用戶的已知和記錄的物理屬性來認證其身份。這是比較保險的，因為沒有兩個人會擁有完全相同的身體特征。常見的生物識別認證方法包括指紋識別，語音識別，視網膜和虹膜掃描以及面部掃描識別。這種方法的缺點是它需要專門的掃描設備，這對某些行業來說不是特別現實。

• 令牌認證：令牌是用于訪問安全系統的物料設備。常見形式包括加密狗，卡或加密芯片。令牌使得黑客更難以訪問帳戶，因為他們必須擁有長憑證和有形設備本身，這對于黑客來說更難盜取。

• 交易認證：在將有關用戶的已知數據與當前事務的詳細信息進行比較時，事務認證會找出合理的錯誤。如果一個人住在國內，但是從海外的IP地址登錄時就會出現數據錯亂或提示認證身份。但這個方法的不便之處是需要更多步驟，以確保購買是合法的，并且用戶不是網絡犯罪的受害者。

• 多重身份認證：多重身份認證需要兩種或更多種獨立方式來驗證身份。比如包括用戶擁有的諸如電話或其他物理令牌之類的東西，諸如生物特征之類的固有因素或諸如密碼之類的已知因素。這樣網絡黑客即使破解了密碼，只要他得不到第二重驗證(手機里的驗證碼)，保密數據就還是安全的。

• 帶外認證：帶外認證使用完全獨立的通道(如移動設備)來驗證源自計算機的方法。任何需要從一個地方到另一個地方存款的交易，如大額匯款，都會在應用程序上生成電話，短信通知，要求完成交易需要更多的身份認證。通過兩個或更多個必要的保密認證渠道，黑客竊取資金就會困難得多。

• 靜態口令：口令又稱身份識別碼或通信短語，通過輸入口令進行認證的方法便稱為基于口令的認證方法。靜態口令是指用戶自己設定或改變口令，口令在一定時期內是不變的。認證過程中，以用戶名和口令為身份標識，只要輸入正確的口令，計算機就認為操作者就是合法用戶，這就是常用的用戶名/口令認證方式，是一種單一因素的認證。實際上，由于許多用戶為了防止忘記口令，經常采用諸如生日、電話號碼等容易被猜測的字符串作為口令，或者把口令抄在紙上放在一個自認為安全的地方，這樣很容易造成口令泄露。即使口令不被泄露，由于口令是靜態的數據，在驗證過程中需要在計算機內存中和傳輸，也可能會被木馬程序或網絡監聽工具截獲。因此，靜態口令方法從安全性上講是不安全的身份認證。

堆疊是交換機的一項重要功能。堆疊是指將多臺支持堆疊特性的交換機通過堆疊線纜連接在一起，從邏輯上虛擬成一臺交換設備，作為一個整體參與數據轉發。堆疊是目前廣泛應用的一種橫向虛擬化技術，具有提高可靠性、擴展端口數量、增大帶寬、簡化組網等作用。

交換機堆疊能夠最大程度地優化網絡性能，并且能夠使使用者無需在同一時間內處理多臺設備，這一特點在中型數據中心或是機房環境中尤為突出。當用戶向邏輯交換機增加或是移除單體交換機時性能并不會受到影響。如果堆疊組中一條鏈路斷開，其他的交換機仍能繼續工作，因此交換機堆疊對許多網絡應用來說不失為一種靈活的解決方案。

堆疊棧中的交換機有兩種身份：主交換機和備交換機。一般來說，除了主交換機外，堆疊中其他的設備都被稱為備交換機。主交換機是堆疊組中的核心交換機，能夠管理其他的堆疊組成員，并且能夠為整個交換機堆疊組儲存運行的配置文件。可堆疊交換機通過DAC跳線和光模塊組合或是特殊的堆疊線進行堆疊。

堆疊交換機組中的交換機數量因品牌和產品型號而異。然而不管多少臺交換機進行堆疊，其中總有一臺交換機被指定為主設備來管理整個交換機組。堆疊形成后，用戶就能在這臺主交換機上管理維護整個堆疊組。

信息安全的目的就是要保證信息資產的三個元素：保密性，完整性和可用性（CIA），CIA這個也就是這三個元素開始為人們所關注的時間的先后。現在系統設計中所使用的安全模型的出現的順序也大概如此，先出現專門針對保密性的BLP模型，然后出現針對完整性的Biba模型、Clark-Wilson模型等，在訪問控制中所使用的訪問控制列表/矩陣（Access Control List(ACL)/Access Control Matrix(ACM)），在CISSP的CBK內容中也把它劃分到安全模型的范圍內。

• 保密性（confidentiality）：確保信息在存儲、使用、傳輸過程中不會泄漏給非授權用戶或實體。

• 完整性（integrity）：確保信息在存儲、使用、傳輸過程中不會被非授權用戶篡改，同時還要防止授權用戶對系統及信息進行不恰當的篡改，保持信息內、外部表示的一致性。

• 可用性（availability）：確保授權用戶或實體對信息及資源的正常使用不會被異常拒絕，允許其可靠而及時地訪問信息及資源。

企業內網安全防護措施如下：

• 注意內網安全與網絡邊界安全的不同：內網安全的威脅不同于網絡邊界的威脅。網絡邊界安全技術防范來自 Internet 上的攻擊，主要是防范來自公共的網絡服務器如 HTTP 或 SMTP 的攻擊。網絡邊界防范 (如邊界防火墻系統等) 減小了資深黑客僅僅只需接入互聯網、寫程序就可訪問企業網的幾率。內網安全威脅主要源于企業內部。惡性的黑客攻擊事件一般都會先控制局域網絡內部的一臺 Server，然后以此為基地，對 Internet 上其他主機發起惡性攻擊。因此，應在邊界展開黑客防護措施，同時建立并加強內網防范策略。

• 限制 VPN 的訪問：虛擬專用網 (VPN) 用戶的訪問對內網的安全造成了巨大的威脅。因為它們將弱化的桌面操作系統置于企業防火墻的防護之外。很明顯 VPN 用戶是可以訪問企業內網的。因此要避免給每一位 VPN 用戶訪問內網的全部權限。這樣可以利用登錄控制權限列表來限制 VPN 用戶的登錄權限的級別，即只需賦予他們所需要的訪問權限級別即可，如訪問郵件服務器或其他可選擇的網絡資源的權限。

• 為合作企業網建立內網型的邊界防護：合作企業網也是造成內網安全問題的一大原因。例如安全管理員雖然知道怎樣利用實際技術來完固防火墻，保護 MS-SQL，但是 Slammer 蠕蟲仍能侵入內網，這就是因為企業給了他們的合作伙伴進入內部資源的訪問權限。由此，既然不能控制合作者的網絡安全策略和活動，那么就應該為每一個合作企業創建一個 DMZ，并將他們所需要訪問的資源放置在相應的 DMZ 中，不允許他們對內網其他資源的訪問。

• 自動跟蹤的安全策略：智能的自動執行實時跟蹤的安全策略是有效地實現網絡安全實踐的關鍵。它帶來了商業活動中一大改革，極大的超過了手動安全策略的功效。商業活動的現狀需要企業利用一種自動檢測方法來探測商業活動中的各種變更，因此，安全策略也必須與相適應。例如實時跟蹤企業員工的雇傭和解雇、實時跟蹤網絡利用情況并記錄與該計算機對話的文件服務器。總之，要做到確保每天的所有的活動都遵循安全策略。

• 關掉無用的網絡服務器：大型企業網可能同時支持四到五個服務器傳送 e-mail，有的企業網還會出現幾十個其他服務器監視 SMTP 端口的情況。這些主機中很可能有潛在的郵件服務器的攻擊點。因此要逐個中斷網絡服務器來進行審查。若一個程序 (或程序中的邏輯單元) 作為一個 Windows 文件服務器在運行但是又不具有文件服務器作用的，關掉該文件的共享協議。

• 首先保護重要資源：若一個內網上連了千萬臺 (例如 30000 臺) 機子，那么要期望保持每一臺主機都處于鎖定狀態和補丁狀態是非常不現實的。大型企業網的安全考慮一般都有擇優問題。這樣，首先要對服務器做效益分析評估，然后對內網的每一臺網絡服務器進行檢查、分類、修補和強化工作。必定找出重要的網絡服務器 (例如實時跟蹤客戶的服務器) 并對他們進行限制管理。這樣就能迅速準確地確定企業最重要的資產，并做好在內網的定位和權限限制工作。

• 建立可靠的無線訪問：審查網絡，為實現無線訪問建立基礎。排除無意義的無線訪問點，確保無線網絡訪問的強制性和可利用性，并提供安全的無線訪問接口。將訪問點置于邊界防火墻之外，并允許用戶通過 VPN 技術進行訪問。

• 建立安全過客訪問：對于過客不必給予其公開訪問內網的權限。許多安全技術人員執行的 “內部無 Internet 訪問” 的策略，使得員工給客戶一些非法的訪問權限，導致了內網實時跟蹤的困難。因此，須在邊界防火墻之外建立過客訪問網絡塊。

• 創建虛擬邊界防護：主機是被攻擊的主要對象。與其努力使所有主機不遭攻擊 (這是不可能的)，還不如在如何使攻擊者無法通過受攻擊的主機來攻擊內網方面努力。于是必須解決企業網絡的使用和在企業經營范圍建立虛擬邊界防護這個問題。這樣，如果一個市場用戶的客戶機被侵入了，攻擊者也不會由此而進入到公司的 R&D (人力資源部)。因此要實現公司 R&D 與市場之間的訪問權限控制。大家都知道怎樣建立互聯網與內網之間的邊界防火墻防護，現在也應該意識到建立網上不同商業用戶群之間的邊界防護。

• 可靠的安全決策：網絡用戶也存在著安全隱患。有的用戶或許對網絡安全知識非常欠缺，例如不知道 RADIUS 和 TACACS 之間的不同，或不知道代理網關和分組過濾防火墻之間的不同等等，但是他們作為公司的合作者，也是網絡的使用者。因此企業網就要讓這些用戶也容易使用，這樣才能引導他們自動的響應網絡安全策略。

提高嵌入式系統安全性的方法有以下這些：

• 使用安全的語言：在編寫第一行代碼之前，請針對你選擇的語言研究嵌入式軟件開發標準。例如，如果你要使用C或C++，請首先學習MISRA-C/C++。

• 啟用安全啟動：此功能允許微處理器在執行固件之前驗證加密密鑰和固件的位置。為了增強這種保護，您還可以啟用處理器的受信任執行環境功能，該功能在微處理器中創建一個安全區域來存儲固件。

• 禁用不安全和不必要的服務：要定義此類服務，你需要分析系統的操作。通常，此類服務的列表包括Telnet和瑣碎文件傳輸協議，調試代理，開放端口等。

• 限制內存分配：實現一個內存管理單元，為緩沖區、操作系統和應用程序分配足夠的內存。內存管理單元有助于保持嵌入式系統運行的平衡，并防止內存緩沖區溢出。此外，盡可能將內存切換到只讀模式。

• 創建分區：將嵌入式系統的重要部分（如操作系統、GUI和安全應用程序）劃分為不同的分區，有助于將它們彼此隔離并包含攻擊。分區可以是物理分區和虛擬分區。

• 實施訪問控制：不受保護地訪問嵌入式系統的任何部分都是對黑客的公開邀請。要保護您的訪問點，請使用強憑據并對其進行加密，實現最小權限原則，并盡可能啟用身份驗證。

• 保護通信通道：實現IPsec、DNS-SEC、SSH或SSL協議，并使用VPN保護與嵌入式系統的任何通信。部署防火墻來過濾流量也是一個很好的做法。

• 加密所有內容：所有固件更新、傳輸和處理的數據以及存儲的憑證都必須加密。使用加密簽名來驗證從可信來源獲得的文件并檢測可疑的修改。

• 混淆目標代碼：混淆是一個過程，使你的代碼糾纏在一起，對黑客來說不清楚，但在嵌入式系統中是可執行的。甚至可以通過混淆來加速代碼的執行。這項措施將使黑客更難對你的代碼進行反向工程。

• 進行端到端威脅評估：從設備制造商，軟件開發人員和最終用戶的角度執行完整的生命周期分析并識別潛在威脅，創建風險矩陣，并通過每個可能的渠道估算攻擊的可能性和成功率。

• 定期更新軟件：論為舊的嵌入式系統開發軟件有多么困難，這樣做總是有益的。在新的軟件版本中，你可以推出其他安全措施，以抵消新型攻擊或修補漏洞（如果在產品發布后發現一個漏洞）。別忘了添加如上所述的黑名單和白名單保護。這些方法將阻止從不受信任的來源安裝軟件。

常用四種漏洞掃描規避技術如下：

• 異常的IP包頭：向目標主機發送包頭錯誤的IP包，目標主機或過濾設備會反饋ICMP Parameter Problem Error信息。常見的偽造錯誤字段為Header Length和IP Options。不同廠家的路由器和操作系統對這些錯誤的處理方式不同，返回的結果也不同。

• 在IP頭中設置無效的字段值：向目標主機發送的IP包中填充錯誤的字段值，目標主機或過濾設備會反饋ICMP Destination Unreachable信息。這種方法同樣可以探測目標主機和網絡設備。

• 通過超長包探測內部路由器：若構造的數據包長度超過目標系統所在路由器的PMTU且設置禁止分片標志，該路由器會反饋Fragmentation Needed and Don’t Fragment Bit was Set差錯報文。

• 反向映射探測：用于探測被過濾設備或防火墻保護的網絡和主機。構造可能的內部IP地址列表，并向這些地址發送數據包。當對方路由器接收到這些數據包時，會進行IP識別并路由，對不在其服務的范圍的IP包發送ICMP Host Unreachable或ICMP Time Exceeded錯誤報文，沒有接收到相應錯誤報文的IP地址可被認為在該網絡中。