企業從以下方面選擇高防服務器：

• 線路的選擇：無論是高防服務器還是普通的服務器，我們針對的用戶不同采用的線路也不同。簡單的說我們針對電信的用戶，我們就需要選擇電信線路的服務器，這樣我們針對的群體在訪問我們的網站的時候速度和穩定性要比其他線路的好。

• 挑選靠譜大數據中心：統計數據主機房是置放海外高防服務器的所在城市，針對租用海外高防服務器而言，挑選高品質的統計數據主機房十分關鍵。由于，著名大數據中心的海外服務器的配置特性配備都較為高，不僅可靠性、負荷工作能力好，并且安全性常見故障風險性也極低。這針對經營規模大、綜合型的網址而言都是極其有益的。

• 服務器的穩定性：服務器的穩定性和機房的線路的質量有很大的關系，在我們不知道機房線路的質量是好是壞的時候，我們可以通過測試IP來解決這樣的問題，通過輸入CMD程序，來測試IP 到我們本地速度的快慢和穩定性。這樣的檢測可以看出機房線路的好壞。

• 看機房防火墻防御能力有多強：提供高防服務器租用的數據中心都會有機房防火墻設備，一般設備至少要在100G以上，目前最高的高防機房集群防火墻已經能達到1T防御了。在提供單機防御中，要有50G-1T的防御選擇。所以客戶要了解機房防火墻及單機的防御能力有多強，另外能否根據需要可以隨時升級到更高防御。

• 看機房是否能提供足夠大的帶寬：很多網絡攻擊采用的是帶寬消耗型攻擊，所以機房需要提供足夠大的帶寬以應對帶寬消耗型網絡攻擊，這也是高防服務器最大的特點之一。因此客戶辨別是否是高防服務器可以根據機房以及服務器本身所提供的帶寬大小來判斷。

• 看機房是用的是不是品牌服務器：部分網絡攻擊采用的是資源消耗型攻擊，通過大量攻擊數據包導致服務器內存、CPU等資源出現崩潰，所以一般高防服務器都會采用知名品牌服務器，純SSD架構，行業領先的硬件計算能力，只需幾分鐘，便可輕松獲取和啟用，實現您的計算需求。可彈性擴展資源用量的同時，還能為您節約計算成本，簡化IT運維工作，讓您更專注于核心業務的創新。

防火墻要想禁用ip掃描漏洞辦法如下：

• 屏蔽IP的方法

  屏蔽IP，首先要把國外IP全部屏蔽掉，一般掃描IP，國外的居多，當我們把國外IP全部屏蔽以后，剩余國內IP，就會少很多，我們可以通過日志查詢，每天屏蔽這類IP，就可以解決問題了，安全上就可以保障了，同時，屏蔽了國外IP，也可以有效的防御CC攻擊和DOS攻擊，畢竟這類攻擊大部分都是國外IP。

• 利用偽靜態規則屏蔽抓取指定格式的文件

  有的時候，黑客會用國內多IP段，也就是代理IP，來不斷抓取你的指定格式文件，比如asp、aspx、rar、zip，我們經常備份文件都會備份在網站根目錄，黑客一般都會掃描這種格式，下載，然后尋找密碼，再來攻擊你的網站，針對于這種情況，偽靜態規則就可以解決掉了，在偽靜態規則中加入指定的規則，如果訪問rar/.zip/.aspx/.asp/等文件，會自動返回403禁止訪問，就有效的阻斷了黑客攻擊，不用禁止IP，無論他有多少IP段都是沒用的，這段代碼如下：

    location~/.*.（zip|rar|asp|jsp|aspx|ly|gz）${
  
    return403;
  
    }

  這個是Nginx服務器的偽靜態規則，如果需要AP的自己百度。

申請安全等級保護監測資質的方法如下：

• 申請成為測評機構的單位需向省級以上等保辦提出申請，初步申請通過后，申請成為等保測評機構的單位還要接受復審，主要是對測評師的要求，比如申請單位應至少有 15 人獲得測評師證書，其中高級測評師不少于 1 人，中級測評師不少于 5 人。對于滿足申請條件，且通過復審的單位，等保辦會頒發《網絡安全等級保護測評機構推薦證書》。

• 等保辦會于每年 12 月份對所推薦測評機構進行年審。年審通過的，等保辦在推薦證書副本上加蓋等級保護專用章或等保辦印章，發放測評師注冊標識。年審未通過的，等保辦會責令測評機構限期整改。拒不整改或整改不符合要求的，測評機構的等級測評業務會被暫停。

• 等保測評推薦證書并不是永久性的。測評機構推薦證書有效期為三年，測評機構應在推薦證書期滿前30日內，向等保辦申請期滿復審。

• 省級以上等保辦會對測評機構和測評業務開展情況進行監督、檢查、指導。國家等保辦每年組織對測評機構及測評活動開展監督抽查。測評項目實施過程中，測評機構應接受被測網絡備案公安機關的監督、檢查和指導。

申請安全等級保護監測資質需要具備的條件：

• 在中華人民共和國境內注冊成立，由中國公民、法人投資或者國家投資的企事業單位;

• 產權關系明晰，注冊資金 500 萬元以上，獨立經營核算，無違法違規記錄；

• 從事網絡安全服務兩年以上，具備一定的網絡安全檢測評估能力；

• 法人、主要負責人、測評人員僅限中華人民共和國境內的中國公民，且無犯罪記錄；

• 具有網絡安全相關工作經歷的技術和管理人員不少于 15 人，專職滲透測試人員不少于 2 人，崗位職責清晰，且人員相對穩定；

• 具有固定的辦公場所，配備滿足測評業務需要的檢測評估工具、實驗環境等；

• 具有完備的安全保密管理、項目管理、質量管理、人員管理、檔案管理和培訓教育等規章制度；

• 不涉及網絡安全產品開發、銷售或信息系統安全集成等可能影響測評結果公正性的業務（自用除外）；

• 應具備的其他條件。

根據IPS工作模式的不同，可以將其分為3類：基于主機的入侵防御（HIPS）、基于網絡的入侵防御（NIPS）和基于應用的入侵防御（AIP）。

1. 基于主機的入侵防御（HIPS）

   HIPS通過在主機/服務器上安裝軟件代理程序，防止網絡攻擊入侵操作系統以及應用程序。基于主機的入侵防御能夠保護服務器的安全弱點不被不法分子所利用，因此它們在防范蠕蟲病毒的攻擊中起到了很好的防御作用。基于主機的入侵防御技術，可以根據自定義的安全策略以及分析學習機制來阻斷對服務器、主機發起的惡意入侵。HIPS可以阻斷緩沖區溢出、改變登錄口令、改寫動態鏈接庫以及其他試圖從操作系統奪取控制權的入侵行為，整體提升主機的安全水平。

   在技術上，HIPS采用獨特的服務器保護途徑，利用由包過濾、狀態包檢測和實時入侵檢測組成分層防御體系。這種體系能夠在提供合理吞吐率的前提下，最大限度地保護服務器的敏感內容，既可以以軟件形式嵌入到應用程序對操作系統的調用當中。通過攔截針對操作系統的可疑調用，提供對主機的安全防御。也可以以更改操作系統內核程序的方式，提供比操作系統更加嚴謹的安全控制機制。

   由于HIPS工作在受保護的主機/服務器上，它不但能夠利用特征和行為規則檢測，阻止諸如緩沖區溢出之類的已知攻擊，還能夠防范未知攻擊，防止針對Web頁面、應用和資源的未授權的任何非法訪問。HIPS與具體的主機/服務器操作系統平臺緊密相關，不同的平臺需要不同的軟件代理程序。

2. 基于網絡的入侵防御（NIPS）

   NIPS通過檢測流經的網絡流量，提供對網絡系統的安全保護。由于它采用在線連接方式，所以一旦辨識出入侵行為，NIPS就可以去除整個網絡會話，而不僅僅是復位會話。同樣由于實時在線，NIPS需要具備很高的性能，以免成為網絡的瓶頸，因此NIPS通常被設計成類似于交換機的網絡設備，提供線速吞吐速率以及多個網絡端口。

   NIPS必須基于特定的硬件平臺，才能實現千兆級網絡流量的深度數據包檢測和阻斷功能。這種特定的硬件平臺通常可以分為三類：一類是網絡處理器（網絡芯片），一類是專用的FPGA編程芯片，第三類是專用的ASIC芯片。

   在技術上，NIPS吸取了目前NIDS所有的成熟技術，包括特征匹配、協議分析和異常檢測。特征匹配是最廣泛應用的技術，具有準確率高、速度快的特點。基于狀態的特征匹配不但檢測攻擊行為的特征，還要檢查當前網絡的會話狀態，避免受到欺騙攻擊。

   協議分析是一種較新的入侵檢測技術，它充分利用網絡協議的高度有序性，并結合高速數據包捕捉和協議分析，來快速檢測某種攻擊特征。協議分析正在逐漸進入成熟應用階段。協議分析能夠理解不同協議的工作原理，以此分析這些協議的數據包，來尋找可疑或不正常的訪問行為。協議分析不僅僅基于協議標準（如RFC），還基于協議的具體實現，這是因為很多協議的實現偏離了協議標準。通過協議分析，IPS能夠針對插入與規避攻擊進行檢測。異常檢測的誤報率比較高，NIPS不將其作為主要技術。

3. 基于應用的入侵防御（AIP）

   NIPS產品有一個特例，即應用入侵防御（AIP），它把基于主機的入侵防御擴展成為位于應用服務器之前的網絡設備。AIP被設計成一種高性能的設備，配置在應用數據的網絡鏈路上，以確保用戶遵守設定好的安全策略，保護服務器的安全。NIPS工作在網絡上，直接對數據包進行檢測和阻斷，與具體的主機/服務器操作系統平臺無關。NIPS的實時檢測與阻斷功能很有可能出現在未來的交換機上。隨著處理器性能的提高，每一層次的交換機都有可能集成入侵防御功能。

緩沖區溢出攻擊會造成以下危害：

• 緩沖區溢出攻擊：緩沖區溢出攻擊的原理是向程序緩沖區寫入超出其邊界的內容，造成緩沖區的溢出，使得程序轉而執行其他攻擊者指定的代碼，通常是為攻擊者打開遠程連接的ShellCode，以達到攻擊目標。近年來著名的蠕蟲如Code-Red、SQL.Slammer、Blaster 和Sasser 等，都是通過緩沖區溢出攻擊獲得系統權限后進行傳播。

• 蠕蟲攻擊：網絡蠕蟲會利用緩沖區溢出構造緩沖區溢出程序，進而遠程控制易感目標主機，然后傳播蠕蟲程序。

• 拒絕服務攻擊：通過連續向攻擊目標發送超出其處理能力的過量數據，消耗其有限的網絡鏈路或操作系統資源，使之無法為合法用戶提供有效服務。某些操作系統設計不完善可能會因為緩沖區溢出而重啟、崩潰，造成拒絕服務器攻擊。

• 非法提升權限：攻擊者利用某種手段或者利用系統的漏洞，獲得本不應具有的權限。最為典型的非法提升權限攻擊為緩沖區溢出攻擊。另外，通過猜測口令、植入木馬、預留后門等，也可以使攻擊者獲得本不應具有的權限。一般來說，權限提升僅是一種手段，后續往往伴隨著對目標系統信息資源和服務的非法操作。

• 內存破壞類攻擊：此類漏洞的共同特征是由于某種形式的非預期的內存越界訪問，可控程度較好的情況下可執行攻擊者指定的任意指令，其他的大多數情況下會導致拒絕服務或信息泄露。對內存破壞類漏洞再按來源細分，可以分出如下子類型：棧緩沖區溢出、堆緩沖區溢出、靜態數據區溢出、格式串問題、越界內存訪問、釋放后重用和二次釋放。

預防緩沖區溢出攻擊的方法有以下這些：

• 嚴格編寫程序代碼：借助工具來協助程序開發者解決緩沖區溢出，但是可是由于C語言的本身特點，這些工具不能找出所有的緩沖區溢出漏洞，因此偵錯技術只是被用來減少緩沖區溢出漏洞，并不能完全消滅，想要完全消滅這類漏洞，就需要程序員嚴格編寫代碼。

• 禁止執行堆棧數據段：在進行系統操作時數據地址空間不可執行，從而禁止攻擊者執行被植入的攻擊代碼，這種措施在一定的程度上也對緩沖區溢出攻擊起到了防范作用。但是攻擊者不一定非要通過植入攻擊代碼來實現緩沖區溢出攻擊，所以這種方法并不能徹底解決緩沖區溢出攻擊。

• 利用程序編譯器的邊界檢查：植入攻擊代碼時引起緩沖區溢出攻擊的一個方面，改變程序執行的流程則是另一個方面，而利用程序編譯器的邊界檢查則使得緩沖區溢出攻擊不可能實現，從而完全消除了緩沖區溢出攻擊的威脅。

• 指針完全性檢查：程序指針完整性檢查和邊界檢查略有不同，程序指針完整性檢查在程序指針被改變之前檢測，因此即使攻擊者成功改變了程序的指針，也會因為先前檢測到指針的變化而失效，這樣雖然不能完全解決問題，但是他確實阻止了大多數的緩沖區溢出攻擊，并且這種方法在性能方面有很大優勢，兼容性特別優良。

• 及時修補漏洞：攻擊者利用緩沖區溢出的主要攻擊手段就是利用服務器程序、數據庫程序、操作系統等的漏洞，所以及時修補這些漏洞可以從根本上解決緩沖區溢出的問題，這種漏洞可以通過打補丁、升級軟件等方法來解決。

僵尸網絡按控制方式有以下分類：

• IRC Botnet類型：是指控制和通信方式為利用IRC協議的Botnet，形成這類Botnet的主要bot程序有spybot、GTbot和SDbot，目前絕大多數Botnet屬于這一類別。

• AOL Botnet類型：與IRC Bot類似，AOL為美國在線提供的一種即時通信服務，這類Botnet是依托這種即時通信服務形成的網絡而建立的，被感染主機登錄到固定的服務器上接收控制命令。AIM-Canbot和Fizzer就采用了AOL Instant Messager實現對Bot的控制。

• P2P Botnet類型：這類Botnet中使用的bot程序本身包含了P2P的客戶端，可以連入采用了Gnutella技術（一種開放源碼的文件共享技術）的服務器，利用WASTE文件共享協議進行相互通信。由于這種協議分布式地進行連接，就使得每一個僵尸主機可以很方便地找到其他的僵尸主機并進行通信，而當有一些bot被查殺時，并不會影響到Botnet的生存，所以這類的Botnet具有不存在單點失效但實現相對復雜的特點。Agobot和Phatbot采用了P2P的方式。

云計算的缺點有以下方面：

• 停機時間：由于云計算系統完全依賴于互聯網，沒有有效的互聯網連接，企業無法訪問托管在云中的數據或應用程序。

• 供應商鎖定：將公司的工作負載和服務從一個云提供商遷移到另一個云計算提供商是云計算的主要挑戰。云環境之間的差異可能會導致兼容性或集成問題。如果轉換處理不當，可能會將組織的數據暴露給不必要的安全漏洞。

• 有限控制：由于云基礎設施由云供應商全資擁有和管理，使用云計算服務的企業對其數據、應用程序和服務的控制有限。因此，制定適當的最終用戶許可協議(EULA)以了解企業在云基礎架構中可以做什么和不能做什么非常重要。

• 數據丟失或被盜：將關鍵數據存儲在虛擬數據中心可以為各種可能導致數據丟失的風險打開大門，例如云配置錯誤、信息被盜、安全漏洞、憑證被盜等。

• 數據可能泄密的環節增多：云端、災備中心、離線備份介質、網絡、云終端、賬號和密碼，這些都有可能成為信息的泄密點。

• 用戶對數據和技術的掌控靈活度下降：數據存放在云端，如果數據量巨大，那么用戶移動數據耗時又耗力，如果網速慢，則勢必會嚴重影響數據的掌控靈活性。

• 相對于傳統的分散計算風險更集中：云端成了單點故障，如果云端發生事故，則影響面將非常巨大。目前常見的應對措施是數據冗余存儲、建立災備中心、建立雙活數據中心等。

云化數據中心面臨的安全挑戰如下：

• 傳統風險與新興風險并存：云化數據中心的演進是一個長期的過程，傳統風險與新興風險并存。數據中心是一個大規模的IT基礎設施。受制于業務形態和運行環境要求，并不是將傳統數據中心“一刀切”式地摒棄，這也導致傳統數據中心向云化數據中心的演進不是一蹴而就的。在這個過程中，傳統數據中心、云數據中心混合共存。對于安全體系也是如此，它需要兼容這種混合云數據中心，能有效應對傳統風險與新興風險長期并存的局面。

• 企業對云數據中心安全建設缺乏全面系統的認識：大部分企業采用傳統數據中心安全防護的經驗和思路指導云數據中心安全的建設，由于云數據中心與傳統數據中心在IT架構、管理運營等方面都存在較大差異，尤其是云數據中心具有多層次的網絡縱深、多角色的IT活動、多形態的服務模式等特性，這導致安全防護與現有云業務的運行、運營管理脫節，無法有效支撐云數據中心安全的防護作用。

• 云數據中心面臨更嚴峻的安全挑戰：由于云數據中心是應用、業務、數據、流量的大型集散地，因此越來越多的攻擊者將目標指向云數據中心。單點突破、橫向擴散等多手段、多階段的攻擊方法成為針對云數據中心的主流攻擊行為，極具隱蔽性和動態性。其次，云數據中心新技術的運用，使得針對這些虛擬化、云計算新技術的攻擊成為攻擊者熱衷的突破點。最后，云計算的彈性、動態為業務提供方便的同時，也對安全提出了更高的要求，導致現有靜態安全體系無法適應這個變化節奏。

• 混合云導致云數據中心的安全挑戰更趨復雜：企業的云數據中心往往并不局限于自建私有云模式，隨著企業業務和云計算服務的發展，采用自建云平臺并結合云服務商的公有云或專有云服務形成一個混合云，已經成為大型企業云數據中心的一個重要模式。同時，云數據中心往往還會存在總部云、區域云甚至海外云等多云互聯服務的情況。企業內網訪問、多云互聯、公有云接入、互聯網業務訪問等業務場景都聚合在混合云環境中，這使得云數據中心的安全防護工作面臨更加復雜的挑戰。

• 原有的網絡邊界越來越模糊：企業接觸云之后，基礎設施供應方發生了變化，無論是公有云、混合云還是私有云，原有的網絡邊界越來越模糊，不同業務之間有著不同的訪問權限和控制規則。

• 業務模式在變化：以往的業務是靜態的，重構整合之后，業務需要重新部署在共享的技術架構上，靜態安全已經無法適應業務的動態變化。

云計算服務安全風險應對措施如下：

• 加強云計算服務中技術和管理安全標準體系研究：據研究表明，云計算平臺中的安全問題絕大部分是傳統IT系統存在的問題（如各類系統安全漏洞），而剩下的安全問題主要來自新技術架構應用帶來的安全技術風險，傳統IT技術機制在云計算服務應用場景中產生的技術風險，以及新的服務模式帶來的安全管理隱患，這些都需要結合云計算服務特點研究制定有針對性的技術和管理標準來降低隱患。目前，圍繞云計算平臺之間的元數據和數據交換，不同云平臺之間的應用遷移，云運營服務的監控、審計、計費和通告機制，云計算服務中密碼支撐體系建設應用，云平臺的業務連續性要求以及服務水平協議等，都需要開展研究并逐步形成標準體系以保障云計算服務安全。

• 保障云計算服務供應鏈安全：隨著云技術和其他新興科技的發展，供應鏈生態安全日益受到關注，整個供應鏈生態環境的每個環節都需要通力合作，在設計研發、采購、運行維護、日常監督階段均應關注供應鏈安全問題，一是要求信息系統、組件或服務的開發商在系統生命周期的早期階段說明系統中的功能、端口、協議和服務；二是要求信息系統、組件或服務的提供商對供應鏈產品開展安全性評價工作；三是要求信息系統、組件或服務的開發商即使在交付信息系統、組件或服務后，也應跟蹤漏洞情況，在發布漏洞補丁前便應通知云計算服務商；四是定期對供應鏈上的服務商進行評審和論證，要求供應鏈的供應商遵守信息安全、保密、訪問控制、隱私、審計、人事策略和服務級別要求和標準。

• 加速培養云計算服務安全專業人才：相對于傳統網絡安全問題，云計算服務中的網絡安全問題更加復雜，一旦發生網絡安全事件，其造成的影響和破壞性也會更大。我們需要集中精力在信息安全領域培養更多合格的專業人員，滿足日益增長的云計算安全專業人員的迫切需求，同時提升現有從業人員安全技能，尤其是云計算安全評估方面的技能。一方面高等院校在網絡空間安全人才培養中可通過開設云計算安全技術相關課程，提升學生在云計算安全技術方面的素養，為今后的就業打下良好的基礎；一方面可通過社會職業技能教育方式，開展云計算服務安全技能集訓、考核和認證，不斷完善云計算服務安全技術人員培訓認證體系，培養更多、更優質的云計算服務安全專業人才。

• 進一步夯實云計算服務網絡安全評估工作：實踐經驗表明，云計算服務安全評估是網絡安全工作中的重要抓手，是提升云計算服務安全防護能力的關鍵一環，通過持續安全評估可及時發現、排除安全隱患，提升云計算服務的可控性和安全性。

等級保護中的高風險是指以下幾項：

• 沒有安全管理制度為高風險：二級及以上系統未建立任何與安全管理活動相關的安全管理制度或者制度無法滿足適用于當前系統。

• 未建立網絡安全領導小組為高風險：三級及以上系統未成立指導和管理網絡安全工作的委員會或領導小組，或其最高領導未由單位主管領導擔任或授權。

• 未定期開展網絡安全意識和安全技能培訓為高風險：二級及以上系統未定期組織開展與安全意識、安全技能相關的培訓。這要求我們各家網絡運營者每年至少開展一次相關培訓，并留痕。

• 未對外部人員接入受控網絡進行管理為高風險：二級及以上系統未建立外部人員接入受控網絡訪問系統的相關管理制度，同時無法提供外部人員接入受控網絡訪問系統的申請、審批等相關記錄文檔。

• 沒有運維工具管控措施的為高風險：三級及以上系統應嚴格控制運維工具的使用，經過審批后方可接入使用，操作過程中應保留審計日志數據，操作結束后應刪除工具中的敏感數據。使用開源的運維工具，應保證工具自身的安全，做好病毒檢測、漏洞掃描等。推薦大家使用商用的運維工具，不要隨意使用來源不明的工具。

• 沒有設備外聯管控措施的為高風險：三級及以上系統管理制度上無關于外部連接的授權和審批流程，也未定期進行相關的巡檢同時無技術手段對違規上網及其他違反網絡安全策略的行為有效控制、檢查、阻斷。這里要求我們在三級及以上系統中配備安全準入系統進行技術管控。

• 沒有外來接入設備惡意代碼檢查措施的為高風險：二級及以上系統未在管理制度中明確外來計算機或存儲設備接入安全操作流程同時外來計算機且存儲設備接入網絡前未進行惡意代碼檢查。這在實際工作中不少單位沒有落實或者落實不徹底，這也是為什么內網會中毒的一個重要原因。

• 沒有變更管理制度的為高風險：二級及以上系統無變更管理制度，或變更管理制度中無變更管理流程、變更內容分析與論證、變更方案審批流程等相關內容且實際變更中無任何流程、人員、方案等審批環節和記錄。不能隨意對系統進行變更，有時一些安全事件就是因為誤操作而導致的。

• 沒有重要事件的應急預案的為高風險：二級及以上系統未制定重要事件的應急預案或應急預案內容不完整，未明確重要事件的應急處理流程、系統恢復流程等內容，一旦出現應急事件，無法合理有序的進行應急事件處置過程。在三級及以上系統中不僅要有預案，還需要定期培訓與演練，定期（至少每年一次）對相關人員進行應急預案培訓，未根據不同的應急預案進行應急演練，無法提供應急預案培訓和演練記錄的也是為高風險。這就要求我們應急預案不只是一個預案，更要成為發生突發事件后實際操作的一個規范應對流程。

• 云計算平臺運維方式不當的為高風險：二級及以上云計算平臺的運維地點不在中國境內且境外對境內云計算平臺實施操作運維未遵循國家相關規定。對于云計算平臺還是建議大家至少選擇物理位置及運維地點在中國境內的平臺。

身份鑒別的相關實體：

• 申請者（Claimant），出示身份信息的實體，又稱作示證者（Prover），提出某種認證請求；

• 驗證者（Verifier），檢驗申請者提供的認證信息的正確性和合法性，決定是否滿足其認證要求；

• 攻擊者，可以竊聽和偽裝申請者，騙取驗證者的信任；

• 鑒別系統在必要時會有第三方，即可信賴者（可信第三方）參與仲裁。

目前大數據隱私保護面臨以下問題：

• 大數據依托的非關系型數據庫缺乏數據安全機制：從基礎存儲技術角度來看，大數據依托的基礎技術是NoSQL。當前廣泛應用的SQL（關系型數據庫）技術，經過長期改進和完善，在維護數據安全方面已經形成嚴格的權限訪問控制和隱私管理工具。而在NoSQL技術中，并沒有這樣嚴格的要求。大數據的數據來源和承載方式多種多樣，數據處于分散的狀態，使企業很難定位和保護所有這些私密數據。NoSQL允許不斷對數據記錄添加屬性，其前瞻安全性變得非常重要，同時也對數據庫管理員提出了新的要求。

• 社會工程學攻擊帶來的安全問題：社會工程學的特點是不需要專業技術，成本低，效率高。該攻擊與其他攻擊的最大不同是其攻擊手段不是利用高超的攻擊技術，而是利用受害者的心理弱點進行攻擊。因為不管大數據多么龐大總也少不了人的管理，如果人的信息安全意識淡薄，那么即使在技術上防護手段已做到無懈可擊，也沒辦法有效保障數據安全。由于大數據的海量性、復雜性，以及攻擊目標不明確，因此攻擊者為了提高效率，經常采用社會工程學攻擊。

• 軟件后門：在軟件定義世界的時代，軟件是IT系統的核心，也就是大數據的核心，所有的后門可能都是開放在軟件上面的。據了解，IBM、EMC等各大巨頭生產制造的存儲、服務器、運算設備等硬件產品，幾乎都是全球代工的，在信息安全的監聽（硬件）方面是很難做手腳的。換句話說，軟件才是信息安全的軟肋所在。軟件供應方在軟件上設計了特殊的路徑處理，測試人員只按照協議上的功能進行測試，根本就無法察覺軟件預留的監聽后門。

• 大數據存儲問題：大數據會使數據量呈非線性增長，而復雜多樣的數據集中存儲在一起，多種應用的并發運行以及頻繁無序的使用狀況，有可能會導致數據類別存放錯位的情況，造成數據存儲管理混亂或信息安全管理不合規范。現有的存儲和安全控制措施無法滿足大數據安全需求，安全防護手段如果不能與大數據存儲和應用安全需求同步升級，就會出現大數據存儲安全防護的漏洞。

• 文件的安全面臨極大挑戰：文件是整個數據和系統運行的核心。大多數的用戶文件都是在第三方的運行平臺中存儲和處理的，這些文件往往包含了很多部門和個人的敏感信息，其安全性和隱私性自然成為重要的問題。盡管文件的保護提供了對文件的訪問控制和授權，例如Linux自帶的文件訪問控制機制，通過文件訪問控制列表來限制程序對文件的操作。然而大部分文件保護機制都存在一定程度上的安全問題，它們通常使用操作系統的功能來實現完整性驗證機制，因此只依賴于操作系統本身的安全性。但是作為網絡攻擊，操作系統才是最大的一個攻擊點。

• 大數據安全傳輸的問題：大數據安全傳輸的問題涉及通信網絡的安全、用戶興趣模型的使用安全和私有數據的訪問控制安全，既包括傳統搜索過程中可能出現的網絡安全威脅，比如相關信息在網絡傳輸時被竊聽，以及惡意木馬、釣魚網站等，也包括服務器端利用通信網絡獲取用戶隱私的危險。

• 大數據支撐平臺云計算安全：云計算的核心安全問題是用戶不再對數據和環境擁有完全且直接的控制權，云計算的出現徹底打破了地域的概念，數據不再存放于某個確定的物理節點，而是由服務商動態提供存儲空間。這些空間有可能是現實的，也可能是虛擬的，甚至可能分布在不同國家及地區。

• 大數據分析預測帶來的用戶隱私挑戰：從核心價值角度來看，大數據關鍵在于數據分析和利用，但數據分析技術的發展，對用戶隱私帶來極大的威脅。在大數據時代，想屏蔽外部數據商挖掘個人信息幾乎是不可能的。

• 大數據共享所帶來的安全性問題：我們不知道該如何分享私人數據，才能既保證數據隱私不被泄露，又保證數據的正常使用。真實數據大部分不是靜態的，而是越變越大，并且隨著時間的變化而變化。

• 大數據訪問控制的安全性問題：訪問控制是實現數據受控共享的有效手段，由于大數據可能被用于多種不同場景，其訪問控制需求十分突出，難以預設角色，實現角色劃分。由于大數據應用范圍廣泛，它通常要被來自不同組織或部門、不同身份與目的的用戶所訪問，實施訪問控制是基本需求。然而，在大數據的場景下，有大量的用戶需要實施權限管理，且用戶具體的權限要求未知。面對未知的大量數據和用戶，預先設置角色十分困難。

負載均衡計算所需的信息都有以下這些：

• 服務器的“健康狀況”：GSLB最重要的特性之一就是持續不斷地監控各服務器的健康狀況，健康檢查的類型有多種，就像服務器健康檢查一樣，從二層、三層到四層，甚至是七層。未能通過健康檢查的服務器不能作為備選的域名解析結果。

• 地理區域距離：這里的距離指用戶本地DNS服務器的IP地址與服務器IP地址之間的路由距離。由于DNS系統本身的工作原理所限，GSLB只能看到用戶本地DNS服務器的IP地址，看不到用戶終端的IP地址。

• 會話保持：會話保持是一些業務的特殊要求，比如大多數電子商務應用系統或者需要進行用戶身份認證的在線系統中，一個客戶經常需要與服務器交互幾次才能完成一筆交易或者一個請求。由于這幾次交互是密切相關的，服務器在一次交互時需要了解上一次或上面幾次交互的處理結果，因此要求所有這些相關的交互過程都由一臺服務器處理，而不能被分散到不同的服務器上。

• 響應時間：通過計算一個請求/響應的往返延遲時間，GSLB能夠計算出每個服務器的響應時間。最簡單的方法就是通過測量服務器對健康檢查的響應快慢來計算出站點的響應時間。

• IP地址權重：這是GSLB預先為每個IP地址分配的權重值，這個權重值取決于一些商業方面的考慮，比如某些地域的IDC帶寬比較貴，CDN系統就會盡量少用這些昂貴的資源。權重值決定了某個IP與其他候選IP相比分配到的流量比例。

• 會話能力閾值：GSLB控制器可以獲得每個服務器當前可用的會話數和會話表大小的最大值，當前會話數/最大會話數比值超過定義的閾值時，該服務器將不再被選擇。

• 往返時間：往返時間指用戶向網站發出請求到從網站收到響應的時間間隔。這個時間是從用戶的角度出發來衡量CDN加速效果的指標，它基本反映了用戶與CDNPOP節點之間的鏈路健康狀況。測量往返時間可以由CDN發起來完成，也可以由用戶發起來完成。如果由用戶來發起測量，最后得到的數據會比較精確，但需要在瀏覽器中內嵌特定的客戶端程序進行通信和統計，而這種情況往往較少，所以多數情況下還是需要CDN來完成。CDN完成往返時間測量并用于GSLB的調度的方式有被動測量方式和主動測量方式，這兩種方式各有優劣，可以在不同情況下使用，也可以混合使用。

做好信息安全等級保護工作要做到以下幾點：

1. 定級：信息系統運營使用單位按照等級保護管理辦法和定級指南，自主確定信息系統的安全保護等級。有上級主管部門的，應當經上級主管部門審批。跨省或全國統一聯網運行的信息系統可以由其主管部門統一確定安全保護等級。雖然說的是自主定級，但主要還是根據系統實際情況去定級，有行業指導文件的根據指導文件來，沒有文件的需要根據定級指南來，總之一句話合理定級，該是幾級就是幾級，不要定的高也不要定的低。

2. 備案：第二級以上信息系統定級市級單位到所在地社區的市級以上公安機關辦理備案手續。省級單位到省公安廳網安總隊備案，各地市單位一般直接到市級網安支隊備案，也有部分地市區縣單位的定級備案資料是先交到區縣公安網監大隊的，具體根據各地市要求來。

3. 系統安全建設 ：息系統安全保護等級確定后，運營使用單位按照管理規范和技術標準，選擇管理辦法要求的信息安全產品，建設符合等級要求的信息安全設施，建立安全組織，制定并落實安全管理制度。

4. 等級測評：信息系統建設完成后，運營使用單位選擇符合管理辦法要求的檢測機構，對信息系統安全等級狀況開展等級測評。測評完成之后根據發現的安全問題及時進行整改，特別是高危風險。測評的結論分為：不符合、基本符合、符合。當然符合基本是不可能的，那是理想狀態。

5. 監督檢查：公安機關依據信息安全等級保護管理規范及《網絡安全法》相關條款，監督檢查運營使用單位開展等級保護工作，定期對信息系統進行安全檢查。運營使用單位應當接受公安機關的安全監督、檢查、指導，如實向公安機關提供有關材料。

其中定級、備案工作原則上是由用戶單位自己填寫定級備案表交給公安網監部門去進行備案工作，但考慮到實際情況，絕大多數情況下都是用戶單位在測評機構的協助下完成這些工作。系統安全建設和等級測評的工作不一定要嚴格按照這個順序開展，可以先測評再整改，也可以先建設再測評。具體還是根據自身實際情況來辦。

等級保護中的高風險是指以下幾項：

• 沒有安全管理制度為高風險：二級及以上系統未建立任何與安全管理活動相關的安全管理制度或者制度無法滿足適用于當前系統。

• 未建立網絡安全領導小組為高風險：三級及以上系統未成立指導和管理網絡安全工作的委員會或領導小組，或其最高領導未由單位主管領導擔任或授權。

• 未定期開展網絡安全意識和安全技能培訓為高風險：二級及以上系統未定期組織開展與安全意識、安全技能相關的培訓。這要求我們各家網絡運營者每年至少開展一次相關培訓，并留痕。

• 未對外部人員接入受控網絡進行管理為高風險：二級及以上系統未建立外部人員接入受控網絡訪問系統的相關管理制度，同時無法提供外部人員接入受控網絡訪問系統的申請、審批等相關記錄文檔。

• 沒有運維工具管控措施的為高風險：三級及以上系統應嚴格控制運維工具的使用，經過審批后方可接入使用，操作過程中應保留審計日志數據，操作結束后應刪除工具中的敏感數據。使用開源的運維工具，應保證工具自身的安全，做好病毒檢測、漏洞掃描等。推薦大家使用商用的運維工具，不要隨意使用來源不明的工具。

• 沒有設備外聯管控措施的為高風險：三級及以上系統管理制度上無關于外部連接的授權和審批流程，也未定期進行相關的巡檢同時無技術手段對違規上網及其他違反網絡安全策略的行為有效控制、檢查、阻斷。這里要求我們在三級及以上系統中配備安全準入系統進行技術管控。

• 沒有外來接入設備惡意代碼檢查措施的為高風險：二級及以上系統未在管理制度中明確外來計算機或存儲設備接入安全操作流程同時外來計算機且存儲設備接入網絡前未進行惡意代碼檢查。這在實際工作中不少單位沒有落實或者落實不徹底，這也是為什么內網會中毒的一個重要原因。

• 沒有變更管理制度的為高風險：二級及以上系統無變更管理制度，或變更管理制度中無變更管理流程、變更內容分析與論證、變更方案審批流程等相關內容且實際變更中無任何流程、人員、方案等審批環節和記錄。不能隨意對系統進行變更，有時一些安全事件就是因為誤操作而導致的。

• 沒有重要事件的應急預案的為高風險：二級及以上系統未制定重要事件的應急預案或應急預案內容不完整，未明確重要事件的應急處理流程、系統恢復流程等內容，一旦出現應急事件，無法合理有序的進行應急事件處置過程。在三級及以上系統中不僅要有預案，還需要定期培訓與演練，定期（至少每年一次）對相關人員進行應急預案培訓，未根據不同的應急預案進行應急演練，無法提供應急預案培訓和演練記錄的也是為高風險。這就要求我們應急預案不只是一個預案，更要成為發生突發事件后實際操作的一個規范應對流程。

• 云計算平臺運維方式不當的為高風險：二級及以上云計算平臺的運維地點不在中國境內且境外對境內云計算平臺實施操作運維未遵循國家相關規定。對于云計算平臺還是建議大家至少選擇物理位置及運維地點在中國境內的平臺。

云計算的海計算系統具有以下優勢：

• 節能、高效充分利用局部性原理，可以有效地縮短物聯網的業務直徑，即覆蓋從感知、傳輸、處理與智能決策，到控制的路徑，從而降低能耗，提高效率

• 通用結構通過引入融入信息裝置的“自主物體”，有利于產生通用的、可批量重用的物聯網部件和技術，這是信息產業主流產品的必備特征

• 分散式結構海計算物聯網強調分散式結構，較易消除單一控制點、單一瓶頸和單一故障點，擴展更加靈活。群體智能使得海計算物聯網更能適應需求和環境變化

• 物理上分布的共享方式存在，邏輯上單一整體形式呈現。資源在物理上都是通過分布式的共享方式存在，一般分為兩種形式，一種形式是計算密集型的應用；另一種形式是地域上的分布式。

• 按需使用資源，按用量付費。用戶通過互聯網使用云計算提供商提供的服務時，你只需要為你使用的那部分資源進行付費，你使用了多少，就付多少費，而不需要為你不使用的資源付費。