堡壘機和密碼機的主要區別就是功能不同，堡壘機即在一個特定的網絡環境下，為了保障網絡和數據不受來自外部和內部用戶的入侵和破壞的一種安全設備用來保護網絡，而密碼機不同他是一種在密鑰作用下的裝置，一般在密碼機中內置了各種加密解密的算法主要功能是對應用系統、數據庫、存儲設備等進行加密他無法保護網絡安全，只能保護數據傳輸中的安全加密，而且現在密碼機已經被淘汰了。
堡壘機的部署方式：
單機部署：堡壘機主要都是旁路部署，旁掛在交換機旁，只要能訪問所有設備即可。
異地同步部署：通過在多個數據中心部署多臺堡壘機。堡壘機之間進行配置信息自動同步。
集群部署：當要求管理的設備數量很多時，可以將n多臺堡壘機進行集群部署。其中兩臺堡壘機一主一備，其他n-2臺堡壘機作為集群節點，給主機上傳同步數據，整個集群對外提供一個虛擬IP地址。
密碼機部署方式：
云技術包括的關鍵技術有以下幾種：
虛擬化技術虛擬化技術：是一種計算機資源管理技術，是指計算元件在虛擬的基礎上運行，即將計算機的服務器、網絡、內存及存儲等各種實體資源，經過轉換以抽象的形式呈現出來，從而隔離軟件應用和底層硬件，使用戶可以通過比原本的組態更好的方式來應用這些資源。虛擬化技術具有擴大硬件容量、簡化軟件再次配置過程、減少軟件虛擬機產生的開銷和支持更多的操作系統等優點。因此，計算系統虛擬化是云計算在物聯網中實現的基礎。虛擬化技術主要應用在CPU、操作系統、服務器等多個方面，是提高服務效率的最佳解決方案。虛擬化技術的具體應用分為兩個模式，即將單個資源劃分成多個虛擬資源的裂分模式和將多個資源整合成一個虛擬資源的聚合模式。
分布式海量數據存儲技術：云計算系統由大量服務器組成，同時服務于大量用戶，因此云計算系統采用分布式存儲的方式存儲數據，用冗余存儲的方式（集群計算、數據冗余和分布式存儲）保證數據的可靠性。冗余的方式通過任務分解和集群，用低配機器替代超級計算機的性能來保證低成本，這種方式有效保證了分布式數據的高可用、高可靠和經濟性，即為同一份數據存儲多個副本。
海量數據管理技術：云計算需要處理和分析海量的分布式數據，所以數據管理技術必須保證能夠對大量數據進行高效的管理。目前，云計算系統中的數據管理技術主要是指Google的BigTable數據管理技術和Hadoop團隊開發的開源數據管理模塊HBase。由于云數據存儲管理形式與傳統的RDBMS數據管理方式不同，因此云計算數據管理技術必須解決如何在海量的分布式數據中一次性找到所需數據的問題。另外，在云數據管理方面，還應重點研究如何保證數據安全性和數據訪問高效性。
編程方式：云計算提供了一種基于分布式思想的計算模式，因此從客觀上要求必須具備分布式的編程模式。云計算采用的是一種思想簡潔的分布式并行編程模型Map-Reduce。Map-Reduce不只是一種編程模型，還是一種任務調度模型，其主要用于數據集的并行運算和并行任務的調度處理。在該模式下，用戶只需要自行編寫Map函數和Reduce函數就可以進行并行計算。其中，Map函數中定義了各節點上的分塊數據的處理方法，而Reduce函數定義的是中間結果的保存方法及最終結果的歸納方法。
云計算平臺管理技術：云計算系統的平臺管理技術能夠使大量的服務器協同工作，方便地進行業務部署和開通，快速發現和恢復系統故障，通過自動化、智能化的手段實現大規模系統的可靠運營。
基于代理的網頁木馬防范是在頁面被客戶端瀏覽器加載之前，首先在一個代理空間中對頁面進行必要的檢測或處理，在確保安全后再傳給Web瀏覽器進行內容顯示。客戶端訪問的任何頁面都首先在該代理處用基于行為特征的檢測方法進行網頁木馬檢測，如果判定訪問的頁面被掛馬，就給客戶端返回一個警告信息。目前，基于代理技術的網頁木馬防范技術發展非常迅速，具體的實現方法也比較多，其中“檢測－阻斷”式是常見的一種。
降低木馬所帶來危害的措施有以下這些：
安裝和維護防病毒軟件：防病毒軟件可識別惡意軟件并保護我們的計算機免受惡意軟件侵害。安裝來自信譽良好的供應商的防病毒軟件是預防和檢測感染的重要步驟。始終直接訪問供應商網站，而不是點擊廣告或電子郵件鏈接。由于攻擊者不斷地制造新病毒和其他形式的惡意代碼，因此保持我們使用的防病毒軟件保持最新非常重要。
謹慎使用鏈接和附件：在使用電子郵件和網絡瀏覽器時采取適當的預防措施以降低感染風險。警惕未經請求的電子郵件附件，并在單擊電子郵件鏈接時小心謹慎，即使它們貌似來自我們認識的人。
阻止彈出廣告：彈出窗口阻止程序禁用可能包含惡意代碼的窗口。大多數瀏覽器都有一個免費功能，可以啟用它來阻止彈出廣告。
使用權限有限的帳戶：瀏覽網頁時，使用權限有限的賬戶是一種很好的安全做法。如果我們確實受到感染，受限權限可防止惡意代碼傳播并升級到管理賬戶。
禁用外部媒體自動運行和自動播放功能：禁用自動運行和自動播放功能可防止感染惡意代碼的外部媒體在我們的計算機上自動運行。
更改密碼：如果我們認為我們的計算機受到感染，應該及時更改我們的密碼(口令)。這包括可能已緩存在我們的網絡瀏覽器中的任何網站密碼。創建和使用強密碼，使攻擊者難以猜測。
保持軟件更新：在我們的計算機上安裝軟件補丁，這樣攻擊者就不會利用已知漏洞。如果可用，請考慮啟用自動更新。
資料備份：定期將我們的文檔、照片和重要電子郵件備份到云或外部硬盤驅動器。如果發生感染，我們的信息不會丟失。
安裝或啟用防火墻：防火墻可以通過在惡意流量進入我們的計算機之前阻止它來防止某些類型的感染。一些操作系統包括防火墻;如果我們使用的操作系統包含一個防火墻，請啟用它。
使用反間諜軟件工具：間諜軟件是一種常見的病毒源，但可以通過使用識別和刪除間諜軟件的程序來最大程度地減少感染。大多數防病毒軟件都包含反間諜軟件選項，確保啟用。
監控賬戶：尋找任何未經授權的使用或異常活動，尤其是銀行賬戶。如果我們發現未經授權或異常的活動，請立即聯系我們的賬戶提供商。
避免使用公共Wi-Fi：不安全的公共Wi-Fi可能允許攻擊者攔截我們設備的網絡流量并訪問我們的個人信息。
信息安全等級保護是指對國家安全、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統分等級實行安全保護，對信息系統中使用的信息安全產品實行按等級管理，對信息系統中發生的信息安全事件分等級響應、處置。
保護標準如下：
《信息安全技術 網絡安全等級保護定級指南》（GB/T 22240-2020）；
《信息安全技術 網絡安全等級保護實施指南》（GB/T 25058-2019）；
《信息安全技術 網絡安全等級保護測評要求》（GB/T 28448-2019）；
《信息安全技術 網絡安全等級保護基本要求》（GB/T 22239-2019）；
《信息安全技術 網絡安全等級保護安全設計技術要求》（GB/T 25070-2019）；
《信息安全技術 網絡安全等級保護測評機構能力要求和評估規范》（GB/T 36959-2018）；
《信息安全技術 網絡安全等級保護安全管理中心技術要求》（GB/T 28449-2018）；
《信息安全技術 網絡安全等級保護測評過程指南》（GB/T 28449-2018）；
《電力信息系統安全等級保護實施指南》（GB/T 37138-2018）；
《信息安全技術 網絡安全等級保護測評評估技術指南》(GB/T 36627-2018);
《公安互聯網系統信息安全等級保護要求》（GB/T 35317-2017）；
《信息安全技術 公鑰基礎設施 PKI系統安全等級保護技術要求》（GB/T 21053-2007）；
《信息安全技術 公鑰基礎設施 PKI系統安全等級保護評估準則》（GB/T 21054-2007）。
防火墻的四個安全區域：
信任區域（ Trust Zone ）：
也叫做內部區域，所屬接口是 G1/1 、tunnel1 、Loopback1 ，是指公司內部網絡區域，表示可以信賴的區域。通常區域內是可以自由通信。
不信任區域（ Untrust Zone ）：
也叫做外部區域，所屬接口是 G1/2 ，是指公司外部網絡區域，比如互聯網。與信任區域相對，是不可信任的區域，通常只會攔截通信，不允許所有通信。也可以設置安全策略，允許從信任區域到不信任區域的通信。
DMZ 區域（ DeMilitarized Zone ）：
所屬接口是 G1/4 ，是對外公開的服務器使用的區域，與信任區域是分開的。為了防止攻擊，從外部網絡訪問內部網絡的通信會被防火墻攔截，但是內部網絡中有對外公開的服務器，比如 Web 服務器，對于 Web 請求就不能一刀切的攔截。但如果把服務器放在內部網絡中，一旦從外部網絡惡意入侵，就會導致內網的重要數據泄露。因此，我們把需要對外公開的服務器放在 DMZ 中，這樣即使服務器遭到入侵，DMZ 區域也無法直接訪問內部網絡。
自定義區域（ Custom Zone）：
這里說的是Sales Zone ，所屬接口是 G1/3 ，只有銷售部門員工才能訪問的區域，是人為劃分和定義的自定義區域。當然，也能根據具體內容、安全策略描述和管理目的自定義其它區域。
防火墻有安全區域（ Security Zone ，簡稱區域）的概念。防火墻的物理接口和邏輯接口會分配到不同的區域中，也就是將防火墻的網段分別劃分到不同的區域中。一個網絡接口只能屬于一個區域。在同一個區域內，可以自由進行通信，但是跨區域通信，必須符合安全策略才行。當然，防火墻也可以設置安全策略，根據源或目的地址等條件，判斷在同一區域內能否允許通信。
脆弱性測試的目的如下：
在有限的時間和資源下進行測試：找出軟件所有的錯誤和缺陷是不可能的，軟件測試不能無限進行下去，應適時終止。在軟件安全測試中同樣如此，應該通過威脅建模等方法，優先測試高風險模塊。
軟件安全沒有銀彈：測試只能證明軟件存在錯誤而不能證明軟件沒有錯誤。測試無法顯示潛在的錯誤和缺陷，繼續進一步測試可能還會找到其他錯誤和缺陷。同理，安全測試只能證明系統存在安全漏洞，并不能證明應用程序是安全的，只用于驗證所設立安全策略的有效性，安全策略是基于威脅分析階段假設選擇的。
測試應基于客戶需求：所有的測試工作都應該建立在滿足客戶需求的基礎上，從客戶角度來看，最嚴重的錯誤就是軟件無法滿足要求。有時候，軟件產品的測試結果非常完美，但卻不是客戶最終想要的產品，那么軟件產品的開發就是失敗的，而測試工作也是沒有任何意義的。因此測試應依照客戶的需求配置環境，并且按照客戶的使用習慣進行測試并評價結果。
測試要盡早進行：軟件的錯誤存在于軟件生命周期的各個階段，因此應該盡早開展測試工作，把軟件測試貫穿到軟件生命周期的各個階段中，這樣測試人員能夠盡早地發現和預防錯誤，降低錯誤修復的成本。盡早地開展測試工作有利于幫助測試人員了解軟件產品的需求和設計，從而預測測試的難度和風險，制訂出完善的計劃和方案，提高測試的效率。
窮盡測試是不可能的：由于時間和資源的限制，進行完全(各種輸入和輸出的全部組合)的測試是不可能的測試人員可以根據測試的風險和優先級等確定測試的關注點，從而控制測試的工作量，在測試成本、風險和收益之間求得平衡。
遵循GoodEnough原則：GoodEnough原則是指測試的投入與產出要適當權衡，形成充分的質量評估過程，這個過程建立在測試花費的代價之上。測試不充分無法保證軟件產品的質量，但測試投入過多會造成資源的浪費。隨著測試資源投入的增加，測試的產出也是增加的，但當投入達到一定的比例后，測試的效果就不會明顯增強了。因此在測試時要根據實際要求和產品質量考慮測試的投入，最好使測試投入與產出達到一個GoodEnough狀態。
測試缺陷要符合“二八”定理：缺陷的“二八”定理也稱為Pareto原則、缺陷集群效應，一般情況下，軟件80%缺陷會集中在20%模塊中，缺陷并不是平均分布的。因此在測試時，要抓住主要矛盾，如果發現某些模塊比其他模塊具有更多的缺陷，則要投入更多的人力、精力重點測試這些模塊以提高測試效率。
避免缺陷免疫：我們都知道蟲子的抗藥性原理，即一種藥物使用久了，蟲子就會產生抗藥性。而在軟件測試中，缺陷也是會產生免疫性的。同樣的測試用例被反復使用，發現缺陷的能力就會越來越差;測試人員對軟件越熟悉越會忽略一些看起來比較小的問題，發現缺陷的能力也越差，這種現象被稱為軟件測試的“殺蟲劑”現象。它主要是由于測試人員沒有及時更新測試用例或者是對測試用例和測試對象過于熟悉，形成了思維定式。
盡量避免測試的隨意性：軟件安全測試是有組織、有計劃、有步驟的活動，要嚴格按照測試計劃進行，避免測試的隨意性。
包過濾防火墻特點如下：
對于一個小型的、不太復雜的站點，包過濾比較容易實現。
因為包過濾防火墻工作在IP層和TCP層，所以處理包的速度比代理服務器快。
包過濾防火墻為用戶提供了一種透明的服務，用戶不需要改變客戶端的任何應用程序，也不需要用戶學習任何新的東西。因為過濾防火墻工作在IP層和TCP層，而IP層和TCP層與應用層的問題毫不相關。
包過濾防火墻在價格上一般比較便宜。
sql注入的原因，表面上說是因為拼接字符串，構成sql語句，沒有使用sql語句預編譯，綁定變量。但是更深層次的原因是，將用戶輸入的字符串，當成了“sql語句”來執行。也有部分SQL注入是因為不當的類型處理、不安全的數據庫配置、不合理的查詢集處理、不當的錯誤處理、轉義字符處理不合適、多個提交處理不當等原因產生的，其本質是將用戶的輸入數據作為命令來執行了。
sql 注入防范措施有以下這些：
把應用服務器的數據庫權限降至最低，盡可能地減少 SQL 注入攻擊帶來的危害
避免網站打印出SQL錯誤信息，比如類型錯誤、字段不匹配等，把代碼里的SQL語句暴露出來，以防止攻擊者利用這些錯誤信息進行SQL注入。
對進入數據庫的特殊字符（’’尖括號&*;等）進行轉義處理，或編碼轉換。
所有的查詢語句建議使用數據庫提供的參數化查詢接口，參數化的語句使用參數而不是將用戶輸入變量嵌入到SQL語句中，即不要直接拼接SQL語句。
在測試階段，建議使用專門的 SQL 注入檢測工具進行檢測。網上有很多這方面的開源工具，例如sqlmap、SQLninja等。
善用數據庫操作庫，有些庫包可能已經做好了相關的防護，我們只需閱讀其文檔，看是否支持相應的功能即可。
基本的網絡釣魚攻擊試圖誘騙用戶輸入個人詳細信息或其他機密信息，而電子郵件是執行這些攻擊的最常見方法。
每天發送的電子郵件數量之多，這意味著它是網絡犯罪分子的明顯攻擊媒介。據估計，每天有37億人發送大約2690億封電子郵件。
大多數人根本沒有時間仔細分析收件箱里的每一封郵件——而這正是網絡釣魚者想要通過多種方式利用的。
在此示例中，為了“贏得”獎品，要求受害者輸入其詳細信息，例如姓名，出生日期，地址和銀行詳細信息，以便提出索賠。顯然，這是沒有獎品的，他們所做的只是將他們的個人信息交給了黑客。
其他騙局中也使用了類似的技術，在這些騙局中，攻擊者聲稱來自銀行或其他金融機構以試圖驗證詳細信息，試圖驗證不存在的購買的在線商店，或者有時（更客氣的是）攻擊者聲稱來自技術安全公司，他們需要訪問信息以確保客戶安全。
其他騙局（通常更為復雜）針對企業用戶。在這里，攻擊者還可能冒充來自同一組織或其供應商之一的人員，并會要求您下載附件，聲稱附件中包含有關合同或交易的信息。
攻擊者通常會以引人注目的事件為誘餌，以達到最終目標。例如，2020年，網絡犯罪分子大量發送電子郵件，據說其中包含有關冠狀病毒的信息，以此誘使人們成為受害者。網絡犯罪分子還試圖利用2020年美國總統大選作為攻擊手段。
一種常見的技術是交付要求用戶啟用宏才能運行的Microsoft Office文檔。該文檔隨附的消息旨在誘使潛在的受害者啟用宏以正確查看該文檔，但在這種情況下，它將允許騙子傳遞其惡意軟件有效載荷。
我們要對釣魚攻擊有一定的防護意識，比如提高警惕，不登錄不熟悉的網站，鍵入網站地址的時候要校對，以防輸入錯誤誤入陷阱網站，細心可以發現一些破綻。不要打開陌生人的電子郵件，更不要輕信即時通訊工具上的傳來的消息，很有可能是病毒發出的。安裝殺毒軟件并及時升級病毒知識庫和操作系統（如Windows）補丁。將敏感信息輸入隱私保護，打開個人防火墻等這些防護手段。
企業進行日志審計有以下這些作用：
記錄用戶操作：主要應對突然事件，例如一旦發生員工的誤操作則可以從日常記錄的審計日志中查看，可以有效解決問題。還可以記錄用戶的信息，通過日志信息的分析可以分析用戶的習慣
快速定位問題的根源：通過日志審計可以快速發現問題的所在，如果沒有日志審計會給溯源帶來困難，同時也會加大日志管理人員的工作強度。
追蹤程序執行的過程：通過日志可以追蹤程序的執行過程，通過程序的日志信息進行審計可以發現程序中存在的問題和程序執行過程中是否有攻擊和漏洞，可以更方便的完善程序的功能。
追蹤數據的變化：通過日志分析來追蹤設備內數據的傳輸，分析數據傳輸過程中是否進行加密，傳輸過程中是否有丟失或者被竊取，可以有效降低數據傳輸過程中的問題，加強數據傳輸安全性。
數據統計和性能分析：可以通過日志的審計統計設備內的數據信息，和對設備的性能進行簡單分析，以發現其中的問題。
采集運行環境數據：環境數據采集系統的任務是對環境各種參數進行采集，送入計算機，由計算機根據需要進行相應計算和處理，得到所需要的數據，同時將數據按要求進行顯示或打印。
常用的網絡層直接漏洞掃描手段有以下這些：
ICMP Echo：精度相對較高。簡單地向目標主機發送ICMP Echo Request，并等待回復的ICMP Echo Reply。
ICMP Sweep：進行批量并發性掃描。使用ICMP Echo Request一次探測多個目標地址。通常這種探測包會并行發送，以提高探測效率，適用于大范圍的掃描。
Broadcast ICMP：廣播型ICMP掃描。利用一些主機在ICMP實現上的差異，設置ICMP請求包的目標地址為廣播地址或網絡地址，這樣就可以探測廣播域或整個網絡范圍內的主機，子網內所有存活主機都會給予回應。但這種情況只適用于UNIX/Linux系統。
Non-Echo ICMP：在ICMP協議中不僅有基于ICMP Echo的查詢方式，還可以用Non-Echo ICMP。利用ICMP的服務類型，例如發出ICMP Timestamp Request、ICMP Address Mask Request等數據包，并且等待回應，根據回應來判斷資產存活狀態。
TCP Connect：一種簡單的端口掃描技術，它的實現基于TCP協議建立的過程，通過完成與被掃描端口之間的三次握手過程（SYN、SYN/ACK和ACK）來識別端口是否處于開放狀態。如果結果為成功，則表示端口處于開放狀態；否則，這個端口是不開放的，即沒有對外提供服務。
分組交換的優點主要有：
向用戶提供了不同速率、不同編碼方式、不同通信協議的數據終端之間能夠相互通信的靈活的通信環境。
在網絡負荷較輕的情況下，信息的傳輸時延較小，而且時延的變化不大，能夠較好地滿足計算機實時交互業務的要求。
實現了線路的動態統計復用，通信線路（包括中繼線和用戶線）的利用率很高，在一條物理線路上可以同時提供多條信息通路。
可靠性高。分組在網絡中傳輸時可以在中繼線和用戶線上分段進行差錯校驗，使信息在分組交換網絡中傳輸的比特差錯率大大降低，一般可以達到10-10以下。由于分組在網絡中傳輸的路由是可變的，當網絡中的設備或線路發生故障時，分組可以自動地避開故障點，故分組交換的可靠性高。
經濟性好。信息以分組為單位在交換機中存儲和處理，不要求交換機具有很大的存儲容量，降低了網絡設備的費用；對線路的動態統計復用也大大降低了用戶的通信費用。
勒索軟件有以下類型：
文件加密勒索軟件：此版本主要在木馬的幫助下傳播。一旦滲透到計算機中，它將找到最常用的文件并對其進行加密。傳統上，加密文件包括照片，音樂文件，視頻，藝術品，商業以及其他對受害者重要的數據。此外，這種病毒開始顯示巨大的警告消息，聲稱解密加密數據的唯一方法是支付贖金。實際上，這是正確的，因為大多數此類惡意軟件都會刪除文件的卷影副本并阻止其恢復。
鎖屏勒索軟件：這種類型阻止了整個PC系統，并試圖威脅PC用戶支付虛構的罰款。為此，它將自身呈現為政府機構的警告消息。通常，黑客使用FBI，警察等名稱。一旦感染了系統，它就會檢查系統中是否存在非法文件，例如色情內容或受害者計算機上未經許可的程序版本。一旦檢測到它們，病毒就會鎖定計算機，并開始顯示巨大的警告消息，看起來它屬于某些政府機構。在這種情況下，受害者會被告知在其計算機上進行掃描后發現了非法文件。另外，要求用戶支付罰款以避免進入監獄。
瀏覽器鎖定勒索軟件：此版本不會感染計算機系統。它依賴于JavaScript阻止瀏覽器并引起巨大的警告消息。這種虛假通知與鎖屏惡意軟件所顯示的通知非常相似。它主要聲稱非法用戶在互聯網上的活動，并要求為避免入獄而支付贖金。當然，這種病毒與聯邦調查局，歐洲刑警組織和其他政府機構無關。
勒索軟件即服務（RaaS）：騙子獲得對惡意軟件配置的訪問權限后，騙子會通過其網絡傳播病毒。作為交換，他們通常會獲得總收入的60-80％。由于該業務是在地下黑客論壇上開展的，因此RaaS成為組織的重要問題。
Wipers：盡管wiper惡意軟件具有其自己的類別，但某些勒索軟件感染的編程方式可能會破壞受感染計算機的數據。在某些情況下，這是由于黑客缺乏經驗造成的-他們只是無法正確編寫代碼。無論是否有目的地包含了清除功能，受害者都永遠無法取回其文件，因此向網絡罪犯付款是沒有用的。
sql注入的原因，表面上說是因為拼接字符串，構成sql語句，沒有使用sql語句預編譯，綁定變量。但是更深層次的原因是，將用戶輸入的字符串，當成了“sql語句”來執行。也有部分SQL注入是因為不當的類型處理、不安全的數據庫配置、不合理的查詢集處理、不當的錯誤處理、轉義字符處理不合適、多個提交處理不當等原因產生的，其本質是將用戶的輸入數據作為命令來執行了。
sql 注入防范措施有以下這些：
把應用服務器的數據庫權限降至最低，盡可能地減少 SQL 注入攻擊帶來的危害
避免網站打印出SQL錯誤信息，比如類型錯誤、字段不匹配等，把代碼里的SQL語句暴露出來，以防止攻擊者利用這些錯誤信息進行SQL注入。
對進入數據庫的特殊字符（’’尖括號&*;等）進行轉義處理，或編碼轉換。
所有的查詢語句建議使用數據庫提供的參數化查詢接口，參數化的語句使用參數而不是將用戶輸入變量嵌入到SQL語句中，即不要直接拼接SQL語句。
在測試階段，建議使用專門的 SQL 注入檢測工具進行檢測。網上有很多這方面的開源工具，例如sqlmap、SQLninja等。
善用數據庫操作庫，有些庫包可能已經做好了相關的防護，我們只需閱讀其文檔，看是否支持相應的功能即可。
針對虛擬化的攻擊方式有以下這些：
多重映射和虛擬機跨域訪問：跨域訪問是指客戶虛擬機不僅能夠訪問自身的地址空間，同時還能夠訪問到其他虛擬機或Hypervisor地址空間中的數據。在IaaS模型中，每個虛擬機都有獨立的EPT（Extend Page Table）或SPT（Shadow Page Table），并且 Hypervisor擁有單獨的地址空間。然而，攻擊者利用一些軟件漏洞、DMA攻擊、VLAN跳躍攻擊和Cache變更等可以實現虛擬機跨域訪問。例如，攻擊者利用Hypervisor漏洞或者已控制的 Hypervisor 對客戶虛擬機的頁表進行修改，使其映射到另一客戶虛擬機的地址空間中，從而實現跨域訪問。跨域訪問能夠竊取或篡改其他用戶的數據或建立隱蔽信道。可以通過對不同虛擬機之間進行隔離，并且剝奪Hypervisor更新EPT頁表的能力來防止這類攻擊。
DMA攻擊：DMA最初是為了允許外圍設備繞過MMU，直接對物理內存進行讀寫操作，從而提高I/O效率。在Intel VTd提出之前，具有DMA功能的外設可以對物理內存進行任意訪問，VTd的提出使這一問題得到了緩解。DMA攻擊首先對外設進行改造，嵌入惡意代碼；然后，將外設部署到目標主機中；最后，利用惡意代碼發送DMA請求，實現惡意攻擊。DMA攻擊的難點是定位需要訪問的數據結構或代碼的地址，如此才能精確地實現有目的的攻擊；否則，只能利用DMA進行粗粒度的數據竊取。在虛擬化場景下，內部攻擊者可以通過DMA設備，對物理內存中的代碼、數據進行篡改或竊取，從而實現代碼注入、控制流劫持和數據泄露等。當前的主要解決方案是結合IO MMU對DMA的讀寫操作進行限制。
快照、內存轉存威脅：虛擬機快照（snapshot）是Hypervisor提供給管理者的API，用于容錯和虛擬機維護。云提供商的內部管理員可以利用管理工具對運行中的虛擬機進行快照，為內部攻擊者打開了便利之門。這樣可以在用戶不知情的情況下將虛擬機回滾（rollback）到特定階段，從而繞過一些安全機制的更新。內部攻擊者甚至可以利用內存轉存工具對用戶的內存進行轉儲，然后進行線下分析、竊取用戶數據。防止這類攻擊可利用密碼學機制進行防護，或者禁用管理員的快照和轉存功能。
物理攻擊和線路竊聽：物理攻擊是指攻擊者能夠物理接近攻擊目標所在的物理服務器。雖然數據中心有專門的安全防護措施（例如錄像監控和審計機制），但是數據中心的機房每天都有維修人員、清潔人員和管理人員出入，給安全帶來了潛在的隱患。冷啟動攻擊就是很好的例子。通道或線路竊聽可認為是另一種形式的物理攻擊，攻擊者通過一些特殊的方式監聽受害者的通道和線路，包括外部網絡、虛擬機之間的虛擬網絡和內部總線等，從中竊取來自或流向虛擬機和Hypervisor的數據。
跨虛擬機的Cache攻擊：側信道攻擊可以分為基于時間驅動、基于軌跡驅動和基于訪問驅動。基于時間驅動的攻擊是攻擊者重復檢測被攻擊者的加密操作使用的時間，然后通過差分分析等技術推斷出密鑰等信息。基于軌跡驅動的攻擊通過持續地對設備的電能損耗、電磁發射等情況進行監控，獲取到其敏感信息，但是這類側信道攻擊需要攻擊者能夠物理接近攻擊目標。基于訪問驅動的攻擊是攻擊者在執行加密操作的系統中運行一個應用，這個應用通過監控共享 Cache 的使用情況來獲取密鑰信息，這種攻擊的優勢是不需要攻擊者得到受害者精確的時間信息。
