安全風險評估流程如下：

1. 明確評價對象；

2. 列出作業活動清單；

3. 分解工作步驟；

4. 識別每一步的主要危險源；

5. 識別現有安全控制措施；

6. 采用風險矩陣法進行風險評價；

7. 針對存在的問題提出建議改正控制措施。

從技術角度一般認為區塊鏈具有如下特點：

• 可信任性：區塊鏈技術可以提供天然可信的分布式賬本平臺，不需要第三方中介機構參與。

• 降低成本：與傳統技術相比，區塊鏈技術可以通過自動化合約執行帶來更快的交易，同時降低維護成本。

• 安全性高：區塊鏈技術將有利于安全、可靠的審計管理和賬目清算，減少犯罪風險。

• 分布式容錯性：分布式賬本網絡極其魯棒，能夠容忍部分節點的異常狀態。

• 不可篡改性：共識提交后的數據會一直存在，不可被銷毀或修改。

• 隱私保護性：密碼學保證了數據隱私，即便數據泄露，也無法解析。

訪問控制的基本任務如下：

• 用戶身份認證：認證就是證實用戶的身份。

• 授權：根據不同的用戶分配給不同的使用資源，決定訪問權限的因素有用戶類別、資源和訪問規則。

• 文件保護：對文件提供附加保護，使非授權用戶不可讀。

• 審計：記錄用戶的行動，以說明安全方案的有效性。

apt攻擊覆蓋了如社會工程學、病毒攻擊、0day漏洞、木馬攻擊、SQL注入攻擊、注入攻擊、加密等多種攻擊手段。apt攻擊的原理比其他攻擊形式更先進、更先進，其先進性主要體現在apt在發起攻擊前需要準確采集攻擊對象的業務流程和目標系統。在收集過程中，該攻擊會主動利用被攻擊對象的可信系統和應用程序的漏洞，利用這些漏洞構建攻擊者所需的網絡，并利用0day漏洞進行攻擊。

APT攻擊是一種高級持續性威脅攻擊，針對該攻擊的防御手段有以下這些：

• 使用威脅情報：這包括APT操作者的最新信息、從分析惡意軟件獲取的威脅情報、已知的C2網站、已知的不良域名、電子郵件地址、惡意電子郵件附件、電子郵件主題行、以及惡意鏈接和網站。威脅情報在進行商業銷售，并由行業網絡安全組共享。企業必須確保情報的相關性和及時性。威脅情報被用來建立“絆網”來提醒你網絡中的活動。

• 建立強大的出口規則：除網絡流量（必須通過代理服務器）外，阻止企業的所有出站流量，阻止所有數據共享和未分類網站。阻止SSH、FTP、Telnet或其他端口和協議離開網絡。這可以打破惡意軟件到C2主機的通信信道，阻止未經授權的數據滲出網絡。

• 收集強大的日志分析：企業應該收集和分析對關鍵網絡和主機的詳細日志記錄以檢查異常行為。日志應保留一段時間以便進行調查。還應該建立與威脅情報匹配的警報。

• 聘請安全分析師：安全分析師的作用是配合威脅情報、日志分析以及提醒對APT的積極防御。這個職位的關鍵是經驗。

• 對未知文件進行檢測：一般通過沙箱技術罪惡意程序進行模擬執行，通過對程序的行為分析和評估來判斷未知文件是否存在惡意威脅。

• 對終端應用監控：一般采用文件信譽與嘿白名單技術在終端上檢測應用和進程。

• 使用大數據分析方法：基于大數據分析的方法，通過網路取證，將大數據分析技術和沙箱技術結合全面分析APT攻擊。

蜜罐系統Agent組件包括以下四個功能模塊：

• 策略加載與更新模塊：策略的內容有高交互Server的轉發規則和IP、端口的白名單，啟動時會加載初始化策略。

• 非監聽端口的抓包模塊：用來捕獲攻擊者的掃描或訪問行為，不管服務器中此端口是否處于監聽狀態，只要攻擊者觸碰就可以檢測到。

• 高交互蜜罐的轉發模塊：根據規則將特定服務的流量轉發到高交互蜜罐中。在數據轉發的過程中會將攻擊者的真實源IP附帶到數據包中，方便蜜罐高交互服務直接獲取到攻擊者的真實源IP。

• 蜜罐的攻擊日志傳輸模塊：蜜罐Agent不直接分析攻擊數據，而是發送到后端的日志服務器中，由后端處理程序從日志中取出處理，判斷是否為攻擊、是否告警等。

Redis如果在沒有設置密碼認證（一般為空）的情況下，會導致任意用戶在可以訪問目標服務器的情況下未授權訪問Redis以及讀取Redis的數據。攻擊者在未授權訪問Redis的情況下，利用Redis自身的提供的config命令，可以進行寫文件操作，攻擊者可以成功將自己的ssh公鑰寫入目標服務器的，進而可以使用對應私鑰直接使用ssh服務登錄目標服務器。

簡單說，漏洞的產生條件有以下兩點：

• redis綁定在 0.0.0.0:6379，且沒有進行添加防火墻規則避免其他非信任來源ip訪問等相關安全策略，直接暴露在公網；

• 沒有設置密碼認證（一般為空），可以免密碼遠程登錄redis服務。

漏洞的危害：

• 攻擊者無需認證訪問到內部數據，可能導致敏感信息泄露，黑客也可以惡意執行flushall來清空所有數據；

• 攻擊者可通過EVAL執行lua代碼，或通過數據備份功能往磁盤寫入后門文件；

• 最嚴重的情況，如果Redis以root身份運行，黑客可以給root賬戶寫入SSH公鑰文件，直接通過SSH登錄受害服務器。

加強大數據安全管理的措施有：

• 規范大數據建設：大數據建設是一項有序的、動態的、可持續發展的系統工程，規范的業務運行機制、標準和共享平臺建設至關重要。標準化建設可以促進大數據管理過程的正規有序，實現各級各類信息系統的網絡互連、數據集成、資源共享，在統一的安全規范框架下運行。

• 完善大數據資產管理：大數據資產管理要能夠清楚地定義數據元素，包括數據格式、統計表以及其他屬性等；描述數據元素定義的信息來源；記錄使用信息，包括數據元素的產生、修改情況（人員及日期等）、訪問、使用情況等。用戶要能夠跟蹤到大數據資產在整個分析、設計及開發流程中的所有狀態，包括中間過渡狀態。

• 建立以數據為中心的安全系統：新一代數據中心需要以集成的方法來管理設備、數據、應用、操作系統和網絡，內容包括資源保護、數據保護及驗證機制的安全技術組合。可以通過建設一個基于異構數據為中心的安全體系，從系統管理上保證大數據的安全。為了確保數據中心系統的安全，防護系統主要通過防火墻、入侵檢測系統、安全審計、抵抗拒絕服務攻擊、流量整形和控制、網絡防病毒系統來實現全面的安全防護。同時，通過使用加密、識別管理并結合其他主動安全管理技術，貫穿于數據從使用到遷移、停用的全部過程。

• 做好大數據安全風險評估：不同類型的數據形式以及數據的不同狀態，都有其不同的風險等級。針對大數據的固有特點，可以將其分為不同的安全風險等級，從而加強安全防范，并在實際生產中明確安全風險治理目標，降低企業數據泄露風險，分析并消除信息安全盲點。

  • 建立和完善大數據安全管理的法律法規：從國家層面加強基礎設施安全、數據安全、個人隱私保護、數據跨境流動等方面的法律法規環境的建設，建立和健全合理的行業自律和管理制度，以保障我國大數據產業健康有序發展和保護用戶的合法權益。

• 提高企業員工安全意識：數據安全管理需要自上而下的貫徹執行，企業員工需要積極參與產品及服務的研發過程，并將安全整合到企業的發展戰略中，促進安全的數據應用轉化為商業價值。在此過程中，需要提升員工對大數據安全威脅的識別能力，了解正在使用數據的價值，充分認識到管理在企業數據安全中的重要性。企業也需要對員工進行定期地安全培訓，并結合周期性的安全攻防演習，以檢驗培訓的成果。

防火墻的性能指標包括以下方面：

• 最大位轉發率：防火墻的位轉發率是指在特定負載下，每秒鐘防火墻將允許的數據流轉發至正確的目的接口的位數。最大位轉發率是指在不同的負載下，反復測量得出的位轉發率數值中的最大值。

• 吞吐量：吞吐量即在防火墻不丟包的情況下所能夠達到的最大包轉發速率。吞吐量是衡量防火墻性能的重要指標之一，吞吐量小就會造成網絡新的瓶頸，以致影響到整個網絡的性能。

• 時延：防火墻時延是指從防火墻入口處輸入幀的最后一位到達至出口處輸出幀的第一位輸出所用的時間間隔。防火墻的時延能夠體現它處理數據的速度。

• 丟包率：在連續負載的情況下，防火墻設備由于資源不足應轉發但未轉發的幀百分比。防火墻的丟包率對其穩定性、可靠性有很大的影響。

• 緩沖：防火墻從空閑狀態開始，以達到傳輸介質最小合法間隔極限的傳輸速率發送相當數量的固定長度的幀，當出現第一個幀丟失時，發送的幀數。這個指標能體現出被測防火墻的緩沖容量，網絡上經常有一些應用會產生大量的突發數據包（如NFS、備份、路由更新等），而且這樣的數據包的丟失可能會產生更多的數據包，強大的緩沖能力可以減小這種突發對網絡造成的影響。

漏洞主動掃描是：

• 漏洞主動掃描是當輸入某個URL，然后由掃描器中的爬蟲模塊爬取所有鏈接，對GET、POST等請求進行參數變形和污染，進行重放測試，然后依據返回信息中的狀態碼、數據大小、數據內容關鍵字等去判斷該請求是否含有相應的漏洞。

• 相對于被動掃描而言，主動掃描的范圍要小得多。主動掃描一般都是針對目標發送特制的數據包，然后根據目標的反應來獲得一些信息。這些信息主要包括目標主機是否在線、目標主機的指定端口是否開放、目標主機的操作系統、目標主機上運行的服務等。

口令維護時應注意如下問題：

• 口令只能自己知道：不要將口令告訴別人，也不要幾個人共享一個口令，不要把它記在本子上或計算機周圍。

• 不要用系統指定的口令：如root、demo和test等，第一次進入系統就修改口令，不要沿用系統提供給用戶的默認口令，關閉掉 UNIX 操作系統配備的所有默認賬號，這個操作也要在每次系統升級或系統安裝之后來進行。

• 不要用電子郵件傳送口令：最好不要用電子郵件傳送口令。如果一定需要這樣做，則最好對電子郵件進行加密處理。

• 如果賬戶長期不用，管理員應將其暫停：如果雇員離開公司，則管理員應及時把他的賬戶消除，不要保留一些不用的賬號，這是很危險的。

• 限制登錄事件：管理員也可以限制用戶的登錄時間，例如，只有在工作時間，用戶才能登錄。

• 限制登錄次數：為了防止對賬戶多次嘗試口令以闖入系統，系統可以限制登錄企圖的次數，這樣可以防止有人不斷地嘗試使用不同的口令和登錄名。

• 最后一次登錄，該方法報告最后一次系統登錄的時間、日期，以及在最后一次登錄后發生過多少次未成功的登錄企圖。這樣可以提供線索了解是否有人非法訪問。

• 通過使用簡單文件傳輸協議獲取口令文件：為了檢驗系統的安全性，通過TFTP命令連接到系統上，然后獲取/etc/passwd文件。如果用戶能夠完成這種操作，那么任何人都能獲取用戶的passwd文件。因此，應該去掉TFTP服務。如果必須要有TFTP服務，要確保它是受限訪問的。

• 定期查看日志：一定要定期地查看日志文件，以便檢查登錄成功和不成功中所用的命令，一定要定期地查看登錄未成功的消息日志文件，一定要定期地查看 Login Refused消息日志文件。

• 確保除了root外沒有公用賬號：根據場所安全策略，確保除了 root 之外沒有任何公共的用戶賬號。也就是說，一個賬號的口令不能被兩個或兩個以上的用戶知道。去掉guest賬號，或者更安全的方法是，根本就不創建guest賬號。

• 使用特殊的用戶組：使用特殊的用戶組來限制哪些用戶可以使用su命令來成為root，例如：在SunOS下的wheel用戶組。

• 關閉沒有口令卻可以運行命令的賬號：一定要關閉所有沒有口令卻可以運行命令的賬號，如sync。刪除這些賬號擁有的文件或改變這些賬號擁有文件的擁有者。確保這些賬號沒有任何的cron或at作業。最安全的方法是徹底刪除這些賬號。

零信任體系三個階段的主要任務是：

• 基礎階段

  基礎階段任務就是當前大多數企業網絡安全運維面臨的主要工作，譬如訪問權限的定義、基于策略的管理等等。

• 整合階段

  在基礎階段的前提下引入生命周期管理、動態授權和需要關聯幾個維度后的管理機制(基礎階段一般都是一個維度下的管理)。

• 自適應階段

  強調自動，因此人工智能/機器學習的應用是這個階段的顯著特點，同時對企業網絡的全面梳理，和對業務的深度融合都是該階段的重要挑戰，成功晉級該階段將意味著企業網絡安全的巔峰到來，意味著7R原則在企業網絡安全運維的高效運轉。

使用正則表達式篩選代碼的執行、直通、系統、shell_exec、en、proc_open功能，檢查它們的使用位置，以及哪些參數傳遞給他們，遵循參數，來自哪里，是否是用戶提供的輸入等。然后檢查它們的使用位置。以及哪些參數傳遞給他們。然后遵循參數。他們來自哪里？甚至是用戶提供的輸入嗎？如果幸運的話，也許一些用戶輸入將傳遞給這些函數，并且您很可能將具有RCE向量。

您還可以使用grep查找mysql的內容，看看是否有未轉義輸入的查詢，您可以在其中執行SQLi。文件處理也很好看。應用程序正在讀取或寫入磁盤嗎？也跟隨該流，查看數據來自何處。還要檢查反序列化，因為它可能容易受到對象注入的影響。

基本上就是這樣。嘗試查找功能，遵循輸入，嘗試了解此處發生的情況以及輸入的來源。并嘗試注入有效載荷。您還可以做的只是檢查OWASP Top X漏洞，看看是什么觸發了這些漏洞，然后在應用程序中查找代碼。這就像您可以執行的基準檢查。但是，在查看代碼時，您會慢慢了解應用程序，甚至可能發現可以利用的邏輯錯誤。

另一種方法是使用Fuzzer。這也很棒，但是需要使用模糊器和應用程序的一些經驗。模糊化應用程序的所有可能輸入是沒有意義的，因為這將永遠花費。如果要進行模糊測試，則需要正確設置范圍。

安全審計主要是檢測計算機網絡環境下的有關活動或者行為進行系統的、獨立的檢查驗證，安全審計是一個新概念，它指由專業審計人員根據有關的法律法規、財產所有者的委托和管理當局的授權來進行檢查并對檢測內容作出相應的評價。安全審計主要是檢測計算機網絡環境下的有關活動或者行為進行系統的、獨立的檢查驗證。

安全審計的作用包括：

• 自動響應：安全審計自動響應(AU_APR)定義在被測事件指示出一個潛在的安全攻擊時做出的響應，它是管理審計事件的需要，這些需要包括報警或行動。例如包括實時報警的生成、違例進程的終止、中斷服務、用戶賬號的失效等。根據審計事件的不同，系統將做出不同的響應，其響應的行動可做增加、刪除、修改等操作。

• 數據生成：安全審計數據生成(AU_GEN)功能要求記錄與安全相關的事件的出現，包括鑒別審計層次、列舉可被審計的事件類型，以及鑒別由各種審計記錄類型提供的相關審計信息的最小集合。系統可定義可審計事件清單，每個可審計事件對應于某個事件級別，如低級、中級、高級。產生的審計數據有以下幾方面。

• 分析：安全審計分析(AU_ SAA)功能定義了分析系統活動和審計數據來尋找可能的或真正的安全違規操作。它可以用于入侵檢測或對安全違規的自動響應。當一個審計事件集出現或累計出現一定次數時可以確定一個違規的發生，并執行審計分析。事件的集合能夠由經授權的用戶進行增加、修改或刪除等操作。審計分析分為潛在攻擊分析、基于模板的異常檢測、簡單攻擊試探和復雜攻擊試探等幾種類型。

• 瀏覽：安全審計瀏覽(AU_SAR)功能要求審計系統能夠使授權的用戶有效地瀏覽審計數據，它包括審計瀏覽、有限審計瀏覽、可選審計瀏覽。

• 事件選擇：安全審計事件選擇(AU_SEL)功能要求系統管理員能夠維護、檢查或修改審計事件的集合，能夠選擇對哪些安全屬性進行審計。例如，與目標標識、用戶標識、主體標識、主機標識或事件類型有關的屬性，系統管理員將能夠有選擇地在個人識別的基礎上審計任何一個用戶或多個用戶的動作。

• 事件存儲：安全審計事件存儲(AU_ STG)功能要求審計系統將提供控制措施；以防止由于資源的不可用丟失審計數據。能夠創造、維護、訪問它所保護的對象的審計蹤跡，并保護其不被修改、非授權訪問或破壞。審計數據將受到倮護直至授權用戶對它進行的訪問。

以下這些方面包含網絡攻擊技術：

• 網絡監聽：自己不主動去攻擊別人，而是在計算機上設置一個程序去監聽目標計算機與其他計算機通信的數據。

• 網絡掃描：利用程序去掃描目標計算機開放的端口等，目的是發現漏洞，為入侵該計算機做準備。

• 網絡入侵：當探測發現對方存在漏洞后，入侵到目標計算機獲取信息。

• 網絡后門：成功入侵目標計算機后，為了實現對“戰利品”的長期控制，在目標計算機中種植木馬等后門。

• 網絡隱身：入侵完畢退出目標計算機后，將自己入侵的痕跡清除，從而防止被對方管理員發現。

文件包含漏洞的利用方法有以下這些：

• 上傳文件包含利用：利用包含漏洞將用戶上傳的php代碼由包含函數加載，進而實現代碼執行。條件是攻擊者需知道上傳文件的物理存放路徑，還需要對上傳文件所在目錄有執行權限。

• 日志文件包含利用：攻擊者可以向Web日志中插入PHP代碼，通過文件包含漏洞來執行包含在Web日志中的PHP代碼。

• 敏感文件包含利用：文件包含可直接讀取操作系統中的敏感文件，如當前操作系統信息、用戶名密碼信息、各類配置文件等。

• 臨時文件包含利用：如Session文件為例，session文件保存在服務器端，并且保存用戶敏感信息。首先找到Session文件并包含一次，可以通過插件查看當前Session值來找到文件名。

• 遠程文件包含利用：使用遠程文件包含功能，首先要確定PHP是否開啟遠程文件包含功能選項，需要再php.ini配置文件中修改，修改后重啟Web容器服務使其生效，可以遠程獲取服務器的信息。

文件包含漏洞的防護手段有以下這些：

• 文件名驗證防護：包含文件驗證是指對可保護文件名設置黑名單或白名單、文件后綴名固定等。如果需要使用文件包含，則通過使用白名單的方法對要包含的文件進行限制，這樣可以做到既使用了文件包含，又可以防止文件包含漏洞。

• 文件名驗證繞過防護：這防護手段主要有兩種方式一種方式是在文件后綴名處下手，另一種方式是通過目錄長度限制來截斷。嚴格限制包含中的參數，取消那些不可控的參數。

• 中間件安全配置防護：合理地配置中間件的安全選項也會有良好的防護效果，這主要通過調整中間件及PHP的安全配置，使得用戶在調用文件時進行基本的過濾及限制。

• 禁用相應函數防護：如果不需要文件包含，則關閉相應的文件包含函數，防止遠程文件包含，這是最安全的辦法。

• 關閉威脅配置防護：可以將PHP中的一些危險配置直接關閉，由于遠程文件的不可信任性及不確定性，在開發中直接禁止遠程文件包含選項。