山西省等級保護測評機構：

1. 太原清眾鑫科技有限公司(編號：DJCP2010140047)

   • 地址：山西綜改示范區學府園區長治路303號807室
   • 聯系人：孫艷
   • 聯系方式：15235192617

2. 山西省信息化和信息安全評測中心(編號：DJCP2011140048)

   • 地址：山西省太原市高新開發區創業街19號方大領地A座16層
   • 聯系人：張力維
   • 聯系方式：13466877805

3. 山西晉信安科技有限公司(編號：DJCP2016140049)

   • 地址：山西省太原市高新區電子路環亞時代廣場B座1806
   • 聯系人：馬超
   • 聯系方式：13623450548

4. 山西因弗美訊科技有限公司(編號：DJCP2017140050)

   • 地址：山西省長治市太行北路168號2幢-1-9層
   • 聯系人：祁彥軍
   • 聯系方式：13903559310

5. 山西聯創電子信息技術有限公司(編號：DJCP2017140051)

   • 地址：山西省大同市城區永泰南路西側桐城中央二期綜合商務樓5層501號
   • 聯系人：苑小軍
   • 聯系方式：13903528283

6. 山西好友科技發展有限公司(編號：DJCP2017140052)

   • 地址：山西示范區長治路308號七層701
   • 聯系人：王彬
   • 聯系方式：13834640031

滲透測試使用虛擬機技術時要注意以下這些：

• 虛擬機跳躍：虛擬機跳躍是指借助與目標虛擬機共享同一個物理硬件的其他虛擬服務器，對目標虛擬機實施攻擊。如果兩個虛擬機在同一臺宿主機上。一個在虛擬機A上的攻擊者通過獲取虛擬機B的IP地址或通過獲得宿主機本身的訪問權限接入虛擬機B。攻擊者可將虛擬機B由運行改為離線，造成通信中斷。

• 虛擬機逃逸：虛擬機逃逸是指虛擬機內的程序可能會逃出到虛擬機以外，危及主機的安全。虛擬機逃逸是一種應用，其中攻擊者在允許操作系統與管理程序直接互動的虛擬機上運行代碼。這種應用可以使攻擊者進入主機操作系統和在主機上運行的其他虛擬機。

• 避免出現遷移攻擊：虛擬機遷移分為靜態遷移和動態遷移兩種方式。靜態遷移是指在遷出端將虛擬機域暫停，并轉化為虛擬機映像存放到文件系統，然后通過一定的方式（如借助可移動存儲）將該虛擬機映像復制到遷入端的物理計算機上，最后通過虛擬機恢復機制，在遷入端將虛擬機映像恢復成虛擬機域。動態遷移是指在遷出端發起動態遷移后，遷入端VMM通過與遷出端VMM進行網絡通信，先行復制遷出端虛擬機域的內存數據，然后遷出端停止被遷移虛擬機域工作，遷移運行中的各種環境數據，最后由遷入端恢復虛擬機域的運行。

• 虛擬機之間的相互影響：虛擬機技術的主要特點是隔離，如果我們從一臺虛擬機去控制另一臺虛擬機，安全漏洞就會出現。CPU技術可以通過強制執行管理程序來保護內存，內存的管理程序應該是獨立的，在正確的規則里，應該禁止從正在使用的內存看到另外一個虛擬機。也就是說，即使一臺虛擬機上有內存沒有被使用，另一臺虛擬機也不能去使用這些閑置的內存。

• 旁道攻擊：隨著多租戶、多個組織共享一個物理服務器，使云提供商能夠以極低的價格出售他們的服務。具有相同的物理服務器上擁有多個用戶的多個虛擬機實例意味著，除非一個組織特別要求物理隔離。否則，其虛擬機實例可能會同競爭對手或惡意用戶的虛擬機實例運行在同一臺物理服務器上。

可視化網絡安全態勢感知有以下優勢：

• 態勢可視化能快速地進行復雜的信息交流：描述性的統計（均值、中位數、方差等）能夠進行一定程度的數據描述，但會存在丟失數據之間細微聯系的問題。態勢可視化能夠將數據損耗降到最小，而且也會在極短的時間內呈現出巨大數據量的信息。

• 態勢可視化能識別潛在模式：統計學方法或者其他數據描述方式很難發現一些模式特征，通過可視化方法卻可以揭示出來。在使用可視化方式展現態勢時，網絡安全數據中存在的模式或者多個數據之間的關系都會展現出來。

• 態勢可視化能實現質量控制：借助于可視化方法往往能在態勢提取，也就是數據的收集準備預處理階段發現錯誤和異常數據。可視化方式是快速檢測工作結果合理性的好辦法。

• 態勢可視化可引導發現知識：用可視化的方法輔助進行頭腦風暴式的討論交流，能夠引發很多新穎想法，將網絡安全人員導向不同的觀察視角，有助于思考、發現更多的潛在威脅和風險。

• 態勢場景覆蓋全面化：梳理網絡邊界的各種訪問連接模式，針對每種模式的不同場景設計網絡安全能力。同時整合相同/相似連接類型的網絡邊界，收斂應用服務及接口的協議類型，統籌部署網絡安全防護能力，全面覆蓋網絡邊界的主要安全防護需求。

網絡安全態勢感知系統有以下作用：

• 對網絡資產進行管控資產：對系統當前所處的網絡環境中將其哪些無主資產、僵尸資產進行感知獲取并進行管控，在通過強大的資產指紋庫建立各類型資產的特征，包括網絡設備、安全設備、各類操作系統、數據庫和應用中間件等，進行識別資產并完成資產屬性的補全，最終實現未知資產的發現、識別與管理。

• 發現資產脆弱性：資產配置脆弱性感知方法是采用基線安全配置檢測工具，深度獲取主機、服務器和網絡設備等資產的配置信息，并與配置基線進行比較，發現資產配置的脆弱性。最終，在發現脆弱性基礎上，維護所有資產脆弱性的生命周期信息，并分析可能的攻擊面和攻擊路徑。

• 整合安全事件：系統結合安全告警事件的運行環境，對原來相對孤立的低層網絡安全事件數據集進行關聯整合，并通過過濾、聚合等手段去偽存真，發掘隱藏在這些數據之后的事件之間的真實聯系，確定事件的時間、地點、人物、起因、經過和結果。

• 感知網絡威脅：面對層出不窮的網絡攻擊和新的網絡安全形勢，感知網絡威脅的方法可以概括為“知己”和“知彼”兩個方面。“知己”方面是采集內部網絡流量數據、日志數據和安全數據等，進行基于大數據分析、人工智能技術的異常行為檢測，發現隱藏在海量數據中的網絡異常行為，“知彼”方面是通過監測、交換和購買等各種方式，搜集惡意樣板Hash值、惡意IP地址、惡意域名、攻擊網絡或者主機特征、攻擊工具、攻擊戰技術、攻擊組織等網絡威脅情報數據，用于支撐安全運行維護、安全檢測分析和安全運營管理。

• 評估網絡的整體安全風險：網絡安全風險感知是在感知網絡資產、脆弱性、安全事件、安全威脅和安全攻擊的基礎上，進一步進行數據融合分析，建立全網的安全風險指標體系和風險評估模型，從抽象的高度來評估當前網絡的整體安全風險。

解決基礎設施即服務的安全問題的措施有以下這些：

• 用戶數據可控和數據隔離：通過用戶控制其使用的網絡策略和安全以及虛擬化存儲可以解決數據泄露的風險。

• 綜合考慮數據中心軟硬件部署：在選購硬件時，要綜合考慮質量、品牌、易用性、價格和可維護性等因素，并選擇性價比高的廠商產品。在選擇虛擬化軟件中，也需要在價格、廠商和質量之間平衡。

• 針對服務中斷等不可抗拒因素：服務中斷在信息環境中始終存在，在設置云計算數據中心時，最好采用“兩地三中心”策略，進行數據的備份，即數據中心附近設置同地域災備中心，在其他地域設置另一個異地災備中心。

• 針對IaaS的網絡層采取多項措施：比如每個用戶采用單獨的VLAN，確保用戶內部可以自由通信，不同的用戶不能互通。采用端口綁定和端口隔離等措施，保證云平臺的正常運行。構建虛擬防火墻，用戶可以采用虛擬防火墻對特定的虛擬機進行訪問策略設定。為云平臺用戶提供反DDoS服務，自動發現攻擊，并實施清洗，確保云平臺不受DDoS攻擊影響。

• 在系統管理層面，提供多種安全措施：比如當用戶進行登錄時，除采用用戶名密碼認證外，同時采用手機動態密碼認證，確保客戶自服務賬號安全，避免非授權操作。提供SSL和VPN通信鏈路支持，確保用戶在接入虛擬系統時，避免用戶關鍵信息在公網上被泄露、竊聽或截獲。為客戶機提供集中的補丁管理，通過快速有效的安全補丁集中管理策略，及時保障云平臺各組件的安全。

• 建立健全行業法規：在云服務中，用戶的焦慮很大一部分來自于不知道自己的數據究竟存儲在哪，通過建立健全的法規可以對數據泄露和數據丟失等問題進行改善，減少用戶對云服務的不信任。

基于大數據技術的測量平臺具有以下功能：

• 分組流量采集：為支持網絡測量、網絡管理、網絡安全監控提供網絡流量原始數據，并為下一代互聯網核心網關鍵技術和運行管理技術研發提供網絡關鍵點的原始流量測量與分析數據，國家工程實驗室在CERNET2上部署了一套分組流量采集平臺。它針對大規模試驗網部署在核心節點核心路由器的萬兆接口，擁有8條10Gbit/s主干鏈路分組流量采集與分析能力，能支持網絡運行中的實時網絡流量采集與分析，并可存儲累積6小時長度的全報文和24小時的分組頭數據。

• Netflow流采集：為了給核心網技術的創新研究和網絡態勢評估提供基礎運行數據及網絡試驗環境，國家工程實驗室依托CNGI-CERNET2大規模試驗網絡部署的Netflow基礎設施，搭建了一套Netflow流采集平臺。平臺能支撐網絡研究人員從全網絡角度觀察和分析網絡行為，挖掘網絡發展與演進的規律，同時可為網絡優化和新型網絡體系結構研究提供網絡流量采樣數據。Netflow流采集平臺可支持大規模試驗網25個核心節點的Netflow流數據的采集、存儲與分析，可連續存儲12個月以上的數據，可支持未來持續不間斷的存儲容量擴充與分析能力升級。

• 數據分發：數據分發層的主要功能是將數據傳送到數據處理層或直接進入存儲層，同時能解耦數據采集層和數據處理層。這樣做的優點明顯，當出現新的采集工具或新的計算框架時，只需要關注它們與中間消息隊列的接口即可，消息隊列的另一端可以不必改動，降低升級帶來的開銷。另外由于我們的平臺有多個數據消費者（實時分析、標準數據集制作），為此引入消息隊列希望能做到一次采集多次讀取。這種選擇的一個缺點是，引入新的一層增加系統復雜性，同時如果消息隊列選取不合適將會造成兩頭瓶頸。因此我們在數據收集層的解決方案必須要求性能高效可靠。

• 數據處理：數據處理層是系統的核心部分，主要包括Storm流式處理，Hadoop離線處理以及數據脫敏處理。Storm主要負責實施流量監控，如鏡像流量的統計分析，Hadoop主要負責分析Netflow數據，以及用戶對歷史流量或流數據的查詢。所有分析的數據結果存儲在數據存儲層。由于Storm和Hadoop要分析的原始流量數據都來自數據采集設備，為了盡量保證Data Locality計算，減少數據復制帶來的額外存儲開銷，我們將Storm和Hadoop混合部署在同一個集群中。脫敏模塊負責從數據分發層獲取數據，并將數據中的敏感信息（如IP）通過算法抹去，保證用戶隱私不會被泄露。

• 數據存儲：原始數據包括鏡像流量和流數據以及它們匿名化之后的數據。對于鏡像流量數據我們并不能進行7×24小時的無止境存儲，大部分數據在實時分析之后被遺棄，只有特定采集計劃時間段內的流量數據才會被保存。流數據相較原始流量數據要小很多，我們將所有的流數據持續存儲以供歷史查詢。原始數據對網絡運行和研究都有非常重要的價值，因此為了保證數據可靠，我們將原始數據存儲在HDFS上。

信息系統風險評估有以下環節：

• 資產識別實際上就是一種確定評估對象范圍的過程。測評人員首先確定風險評估對象的物理邊界和信息系統邊界，然后識別評估范圍內的信息資產集合。這些信息系統資產包括軟硬件系統、數據、物理環境、人員等。資產識別過程的輸出為信息系統資產清單。在資產清單中，信息資產可以被賦予重要性評級，或者被估算出定量的資產價值，為后期風險評估結果的生成做準備。

• 威脅分析是一種結合給定被測評對象系統，調研并分析其可能面臨的安全威脅類型和概率的過程。不同地理環境和社會環境的信息系統，所面臨的安全威脅類型與概率也不同。例如，處于地震帶的信息系統，面臨的地震威脅要高于非地震帶的系統。威脅分析的輸出為信息系統的威脅清單。

• 弱點識別基本與信息系統安全檢測過程相對應。測評人員通過訪談、檢查和測試等多種手段，識別形成并輸出系統的安全弱點清單。在安全弱點清單中，安全弱點可以被賦予不同危險級別，比如“高”“中”“低”等，借此來表示安全弱點的危險程度。

• 既有安全措施識別是一種發現已經部署和落實的措施的過程。常見的安全措施包括部署防惡意代碼軟件、防火墻、入侵檢測系統（IDS）、入侵防御系統（IP S）和安全補丁服務器等。這些安全措施可以在一定程度上對系統可能存在的安全弱點起到保護作用，并針對安全風險形成對沖。既有安全措施識別過程的輸出是既有安全措施清單。

• 風險度量是結合上述各個過程的輸出，通過一定的計算方法，來生成系統最終安全風險的過程。風險度量可分為定性和定量兩類方法。定性的方法主要指憑借分析者的經驗和直覺，以及業界的標準和慣例，為風險管理諸要素（資產價值、威脅的可能性、薄弱點被利用的容易度以及現有控制措施的效力等）的大小或高低程度定性分級，例如“高”“中”“低”三級，最終通過不同的風險計算矩陣進行風險的評估。定量的方法主要指以數值的度量形式，對構成風險的各個要素（資產價值、威脅發生的頻率、薄弱點被利用的程度、安全措施的效率和成本等）和潛在損失的水平進行估算，賦予風險以數值或貨幣金額。

內網安全管理系統是：

• 內網安全管理系統以終端監控系統為依托，在統一的管理平臺系統中集成了終端管理、網絡管理、內容管理、資產管理等諸多功能。

• 內網安全管理系統主要對內網上的主機進行統一安全管理。統一安全管理是指對網絡主機用戶操作實施監督控制,并對主機中的安全軟件(如主機入侵監測系統、主機防火墻和主機身份認證系統等等)進行統一的管理,使其運行在一個比較合適和安全的狀態之下。其中,主機的用戶操作監督控制是指對用戶的操作行為進行監督(如文件拷貝、網絡訪問、更改網絡主機IP地址、添加管理員用戶名以及文件網絡共享等等用戶操作),同時對惡意用戶做出的違規行為(如撥號外聯等等)進行控制。

保證內網安全的措施如下：

• 設置權限及口令：大多數計算機系統常用口令來控制對系統資源的訪問，這是防病毒進程中，最容易實現，也是最經濟的方法之一。網絡管理員和終端操作員根據自己的職責權限，選擇不同的口令，對應用程序數據進行合法操作，防止用戶非法訪問數據和使用網絡資源。然而在網絡系統中，由于認證信息要通過網上傳遞，口令很容易被攻擊者從網絡傳輸線路上竊取并破譯，因此在設置口令時應注意：務必使用長度超過6個字符并且由字母（區分大小寫）、數字、符號共同組成的較高強度的口令，加大口令破解的難度；口令要定期進行變更；不得寫下口令或在電子郵件中傳送口令。只要我們牢記以上幾點，就能取得很好的保密，控制效果。

• 熟悉網絡的結構：要熟悉網絡的結構布局。比如建筑物內部的網絡布局、建筑物之間的網絡布局以及單位內internet連接的情況等。要仔細研究網絡拓撲圖，清楚線路的走向，以及交換機之間的連接情況等。

• 集中管理軟件的安裝：在網絡上，軟件的安裝和管理方式是十分關鍵的，它不僅關系到網絡維護管理的效率和質量，而且涉及到網絡的安全性。好的安全防護軟件能在幾分鐘內輕松地安裝到組織里的每一個NT服務器上，并可下載和散布到所有的目的機器上，由網絡管理員集中設置和管理，它會與操作系統及其他安全措施緊密地結合在一起，成為網絡安全管理的重要部分，并且自動提供最佳的網絡病毒防御措施。

• 實時殺毒，多層防御：當計算機病毒對網上資源的應用程序進行攻擊時，這樣的病毒存在于信息共享的網絡介質上，因此就要在計算機硬件和軟件、局域網服務器、網關、防火墻上層層設防，對每種病毒都實行隔離、過濾，而且完全在后臺操作。

• 熟悉網絡設備：需要明確網絡設備的性能、作用、基本設置以及維護方法。熟悉尾纖的光接口類型，常用的有接光纖收發器的SC，也有接交換機光模塊的LC，接光終端盒的FC等。網絡設備工作狀態怎么樣?光纖收發器六個指示燈是否全亮，如果沒全亮，檢查光纖接口是否連接正確，本地的TX與RX是否與遠端的TX和RX交叉連接。如果六個指示燈都不亮，可能為光路衰減太大，此時可用光功率儀測量接收端的光功率，再看看交換機上的光模塊是否正常、光口是否啟用等。檢查HUB或交換機的狀態指示燈是否正常，如果閃爍或常亮黃燈，表明數據包在網絡上有阻塞現象，需要檢查同一網段中是否有環路產生或是否有ARP病毒爆發，這需要查看交換機的日志來獲得詳細的信息。

• 熟悉網絡的運行情況：要熟悉網絡的運行情況。如統計網絡正常運行時的狀態、網絡的使用效率以及網絡資源的分配情況等。這樣，當網絡出現不穩定因素時，就可以快速地分析出故障緣由，從而找出發生故障的設備。實際工作中應著重注意以下幾點：在整個網絡上生成的傳輸量以及這些傳輸都集中在哪些網段？網絡上傳輸的信息來源，是正常傳輸、人為攻擊還是病毒？服務器達到了什么樣的繁忙程度？能否在任意一個時刻滿足所有用戶的請求？除此之外，也可以借助一些網絡輔助軟件來統計，分析網絡的運行情況。

• 熟悉網線的故障排除：網線的制作方式對網絡傳輸速度的影響是非常大的，若不按照標準制作，來自網線自身的背景噪音以及內部串擾就會大大降低網絡傳輸速度。為此一定要按照T568B標準制作網線。網線是局域網的血管，沒有它信息就不能流通。某條線路突然中斷，若連續幾次ping都出現Request time out，表明網絡不通了。故障通常包括網線內部斷裂、雙絞線和RJ-45水晶頭接觸不良以及雙絞線是否采用標準線序連接等。T568B線序為：白橙、橙、白綠、藍、白藍、綠、白棕、棕，可以用測線儀來檢測一下線路是否斷裂及線序是否正確。

基于大數據技術的測量平臺具有以下功能：

• 分組流量采集：為支持網絡測量、網絡管理、網絡安全監控提供網絡流量原始數據，并為下一代互聯網核心網關鍵技術和運行管理技術研發提供網絡關鍵點的原始流量測量與分析數據，國家工程實驗室在CERNET2上部署了一套分組流量采集平臺。它針對大規模試驗網部署在核心節點核心路由器的萬兆接口，擁有8條10Gbit/s主干鏈路分組流量采集與分析能力，能支持網絡運行中的實時網絡流量采集與分析，并可存儲累積6小時長度的全報文和24小時的分組頭數據。

• Netflow流采集：為了給核心網技術的創新研究和網絡態勢評估提供基礎運行數據及網絡試驗環境，國家工程實驗室依托CNGI-CERNET2大規模試驗網絡部署的Netflow基礎設施，搭建了一套Netflow流采集平臺。平臺能支撐網絡研究人員從全網絡角度觀察和分析網絡行為，挖掘網絡發展與演進的規律，同時可為網絡優化和新型網絡體系結構研究提供網絡流量采樣數據。Netflow流采集平臺可支持大規模試驗網25個核心節點的Netflow流數據的采集、存儲與分析，可連續存儲12個月以上的數據，可支持未來持續不間斷的存儲容量擴充與分析能力升級。

• 數據分發：數據分發層的主要功能是將數據傳送到數據處理層或直接進入存儲層，同時能解耦數據采集層和數據處理層。這樣做的優點明顯，當出現新的采集工具或新的計算框架時，只需要關注它們與中間消息隊列的接口即可，消息隊列的另一端可以不必改動，降低升級帶來的開銷。另外由于我們的平臺有多個數據消費者（實時分析、標準數據集制作），為此引入消息隊列希望能做到一次采集多次讀取。這種選擇的一個缺點是，引入新的一層增加系統復雜性，同時如果消息隊列選取不合適將會造成兩頭瓶頸。因此我們在數據收集層的解決方案必須要求性能高效可靠。

• 數據處理：數據處理層是系統的核心部分，主要包括Storm流式處理，Hadoop離線處理以及數據脫敏處理。Storm主要負責實施流量監控，如鏡像流量的統計分析，Hadoop主要負責分析Netflow數據，以及用戶對歷史流量或流數據的查詢。所有分析的數據結果存儲在數據存儲層。由于Storm和Hadoop要分析的原始流量數據都來自數據采集設備，為了盡量保證Data Locality計算，減少數據復制帶來的額外存儲開銷，我們將Storm和Hadoop混合部署在同一個集群中。脫敏模塊負責從數據分發層獲取數據，并將數據中的敏感信息（如IP）通過算法抹去，保證用戶隱私不會被泄露。

• 數據存儲：原始數據包括鏡像流量和流數據以及它們匿名化之后的數據。對于鏡像流量數據我們并不能進行7×24小時的無止境存儲，大部分數據在實時分析之后被遺棄，只有特定采集計劃時間段內的流量數據才會被保存。流數據相較原始流量數據要小很多，我們將所有的流數據持續存儲以供歷史查詢。原始數據對網絡運行和研究都有非常重要的價值，因此為了保證數據可靠，我們將原始數據存儲在HDFS上。

基于主機的入侵檢測軟件有：

• OSSEC HIDS：這一個基于主機的開源入侵檢測系統，它可以執行日志分析、完整性檢查、Windows注冊表監視、rootkit檢測、實時警告以及動態的適時響應。除了其IDS的功能之外，它通常還可以被用作一個SEM/SIM解決方案。因為其強大的日志分析引擎，互聯網供應商、大學和數據中心都樂意運行 OSSEC HIDS，以監視和分析其防火墻、IDS、Web服務器和身份驗證日志

• 云眼主機入侵監測系統:云眼采用先進的自適應安全架構及端點檢測及響應（EDR）解決方案，提供云 + 端的云安全管理平臺為用戶解決公有云、私有云和混合云環境中可能遇到的安全及管理問題。

• Snort：Snort能夠對網絡上的數據包進行抓包分析，但區別于其它嗅探器的是，它能根據所定義的規則進行響應及處理。

• BASE：BASE又稱基本的分析和安全引擎，BASE是一個基于PHP的分析引擎，它可以搜索、處理由各種各樣的IDS、防火墻、網絡監視工具所生成的安全事件數據。其特性包括一個查詢生成器并查找接口，這種接口能夠發現不同匹配模式的警告，還包括一個數據包查看器/解碼器，基于時間、簽名、協議、IP地址的統計圖表等。

入侵檢測系統又叫IDS，是英文“Intrusion Detection Systems”的縮寫。

入侵檢測系統是軟件與硬件的組合，是防火墻的合理補充，是防火墻之后的第二道安全閘門。

入侵檢測的內容：試圖闖入、成功闖入、冒充其他用戶、違反安全策略、合法用戶的泄露、獨占資源以及惡意使用。

入侵檢測系統的功能：

• 監控用戶和系統的活動

• 查找非法用戶和合法用戶的越權操作

• 檢測系統配置的正確性和安全漏洞

• 評估關鍵系統和數據的完整性

• 識別攻擊的活動模式并向網管人員報警

• 對用戶的非正常活動進行統計分析，發現入侵行為的規律

• 操作系統審計跟蹤管理，識別違反政策的用戶活動

• 檢查系統程序和數據的一致性與正確性

層次型、網狀型和關系型數據庫劃分的原則是數據之間的聯系方式。層次數據庫是按記錄來存取數據的；網狀數據庫是采用網狀原理和方法來存儲數據；關系型數據庫是以行和列的形式存儲數據。

層次數據庫是按記錄來存取數據的。層次數據模型中最基本的數據關系是基本層次關系，它代表兩個記錄型之間一對多的關系，也叫做雙親子女關系（PCR）。

數據庫中有且僅有一個記錄型無雙親，稱為根節點。其他記錄型有且僅有一個雙親。在層次模型中從一個節點到其雙親的映射是惟一的，所以對每一個記錄型（除根節點外）只需要指出它的雙親，就可以表示出層次模型的整體結構。層次模型是樹狀的。

網狀數據庫是采用網狀原理和方法，以網狀數據模型為基礎建立的數據庫。一般是指由網狀數據庫管理系統產生的網狀數據庫系統。

網狀數據模型是以記錄類型為結點的網絡結構，即一個結點可以有一個或多個下級結點，也可以有一個或多個上級結點，兩個結點之間甚至可以有多種聯系，例如“教師”與“課程”兩個記錄類型，可以有“任課”和“輔導”兩種聯系，稱之為復合鏈。

兩個記錄類型之間的值可以是多對多的聯系，例如一門課程被多個學生修讀，一個學生選修多門課程。

關系型數據庫是指采用了關系模型來組織數據的數據庫，其以行和列的形式存儲數據，以便于用戶理解，關系型數據庫這一系列的行和列被稱為表，一組表組成了數據庫。

用戶通過查詢來檢索數據庫中的數據，而查詢是一個用于限定數據庫中某些區域的執行代碼。關系模型可以簡單理解為二維表格模型，而一個關系型數據庫就是由二維表及其之間的關系組成的一個數據組織。

云平臺安全技術架構包括以下層面：

• 物理安全層：即物理設施安全，重點保證數據中心環境、物理訪問控制、設施層面的安全；安全措施包括門禁系統、視頻監控、環境監控、安防系統等。

• 網絡安全層：重點實現對網絡系統中的系統和通信數據進行保護，不因偶然的或者惡意的原因而遭受破壞、更改、泄露，網絡服務不中斷、系統連續可靠正常地運行。安全措施和手段包括建立云安全資源池中的防火墻、IPS/IDS、WAF設備、Anti-DDoS攻擊系統、安全接入VPN等。

• 主機安全層：重點實現對資源池中的虛擬機、操作系統、中間件和數據庫的安全防護，保障用戶虛擬機、操作系統、中間件和數據庫不受數據中心內外網絡的病毒感染威脅、黑客入侵威脅、安全漏洞威脅，使得業務得以長期、穩定的運行。主要安全措施和手段包括主機安全加固、病毒查殺、安全補丁等。

• 虛擬化安全層：重點實現同一物理機上不同虛擬機之間的資源隔離，避免虛擬機之間的數據被竊取或遭受惡意攻擊，保證虛擬機的資源使用不受周邊虛擬機的影響。終端用戶使用虛擬機時，僅能訪問屬于自己的虛擬機的資源（如硬件、軟件和數據），不能訪問其他虛擬機的資源，保證虛擬機隔離安全。

• 數據安全層：數據是企業的核心資產。通過數據傳輸加密、數據存儲加密、數據備份、數據庫審計、剩余信息銷毀等技術，實現對數據的安全防護，避免發生數據泄密、丟失、篡改等行為，并可以在數據異常操作發生后通過對安全事件的追溯找到原因，從根本上保障數據安全。

• 應用安全層：重點實現對基于HTTP/HTTPS/FTP的蠕蟲攻擊、木馬后門、間諜軟件、灰色軟件、網絡釣魚等基本攻擊行為，以及對SQL注入攻擊、跨站腳本攻擊等Web攻擊的應用防護，主要技術措施為在資源池中部署Web應用網關設備。此外，還要實現對于數據中心的關鍵應用，如電子郵件、Web應用、門戶網站等的安全防護，保障用戶的應用數據能夠不受破壞、更改、丟失和泄漏，主要技術手段包括部署網頁防篡改、應用控制、APT威脅防護等。

• 云安全管理平臺層：對云數據中心實現集中的安全管理服務，一般由SOC，賬號、授權、認證和審計集中管理系統及相關安全子系統構成，相關安全子系統包括安全評估子系統、Web網站監測子系統、Web頁面防篡改子系統、數據庫審計子系統、流量監控分析子系統、防病毒管理系統等。

兩者是不同的，UDP洪水是一種DDoS攻擊，使用不需要的UDP數據包壓垮目標服務器。QUIC使用UDP，但QUIC洪水不一定等同于UDP洪水。UDP洪水沖垮目標服務器的一種方法是，將偽造的UDP數據包發送到服務器上未實際使用的特定端口。服務器必須使用ICMP錯誤消息來答復所有數據包，這會占用處理能力并減慢服務器速度。可使用QUIC來進行這種攻擊，但對于攻擊者來說，沒有生成QUIC數據包的額外開銷。

預防QUIC洪水型攻擊的手段有以下這些：

• 禁用UDP：對于內存緩存服務器，請確保在不需要時禁用UDP支持。默認情況下，內存緩存啟用了UDP支持，這可能會使服務器容易受到攻擊。

• 對內存緩存服務器進行防火墻保護：通過在內存緩存服務器和互聯網之間添加防火墻保護，系統管理員可以根據需要使用UDP，而不必暴露于風險中。

• 防止IP欺騙：只要可以偽造IP地址，DDoS攻擊就可以利用此漏洞將流量定向到受害者的網絡。防止IP欺騙是一個規模較大的解決方案，無法由特定的系統管理員實施，它要求傳輸提供商禁止源IP地址源自網絡外部的任何數據包離開其網絡。換句話說，互聯網服務提供商(ISP)之類的公司必須篩選流量，以使離開其網絡的數據包不得假裝成來自其他地方的其他網絡。如果所有主要的傳輸提供商都實施了這種篩選，基于欺騙的攻擊將在一夜之間消失。

• 開發具有減少UDP響應的軟件：消除放大攻擊的另一種方法是去除任何傳入請求的放大因素；如果由于UDP請求而發送的響應數據小于或等于初始請求，則放大就不復可能。

• 采用高性能的網絡設備：抗DDoS攻擊首先要保證網絡設備不能成為瓶頸，因此選擇路由器、交換機、硬件防火墻等設備的時候要盡量選用知名度高、口碑好的產品。再就是假如和網絡提供商有特殊關系或協議的話就更好了，當大量攻擊發生的時候請他們在網絡接點處做一下流量限制來對抗某些種類的DDoS攻擊是非常有效的。

• 盡量避免NAT的使用：無論是路由器還是硬件防護墻設備都要盡量避免采用網絡地址轉換NAT的使用，除了必須使用NAT，因為采用此技術會較大降低網絡通信能力，原因很簡單，因為NAT需要對地址來回轉換，轉換過程中需要對網絡包的校驗和進行計算，因此浪費了很多CPU的時間。

• 充足的網絡帶寬保證：網絡帶寬直接決定了能抗受攻擊的能力，假若僅有10M帶寬，無論采取何種措施都很難對抗現在的 SYNFlood攻擊，當前至少要選擇100M的共享帶寬,1000M的帶寬會更好，但需要注意的是，主機上的網卡是1000M的并不意味著它的網絡帶寬就是千兆的，若把它接在100M的交換機上，它的實際帶寬不會超過100M，再就是接在100M的帶寬上也不等于就有了百兆的帶寬，因為網絡服務商很可能會在交換機上限制實際帶寬為10M。

• 把網站做成靜態頁面：大量事實證明，把網站盡可能做成靜態頁面，不僅能大大提高抗攻擊能力，而且還給黑客入侵帶來不少麻煩。

Windows 掛鉤技術

鉤子(Hook)技術是Windows消息處理機制的一個平臺,應用程序可以在上面設置子程序以監視指定窗口的某種消息，而且所監視的窗口可以是其他進程所創建的。當消息到達后，在目標窗口處理函數之前處理它。鉤子機制允許應用程序截獲處理window消息或特定事件。

鉤子(Hook)也是在等待捕獲系統中的某個消息或者動作。鉤子的應用范圍非常廣泛，比如輸入監控、API攔截、消息捕獲、改變程序執行流程等方面。殺毒軟件會用Hook技術鉤住一些API函數，比如鉤住注冊表讀寫函數，從而防止病毒對注冊表進行寫入；病毒使用Hook技術有針對性的捕獲鍵盤的輸入，從而記錄用戶的密碼等敏感信息；文件加密系統通過Hook技術在不改變用戶操作的情況下對用戶的文件進行透明加密，這些都屬于Hook范疇的知識。

在windows系統下，Hook技術的方法比較多，使用比較靈活，常見的Hook方法有Inline Hook，IAT Hook,Windows鉤子……Hook技術涉及DLL相關的知識。Hook技術也涉及注入的知識，想要把完成Hook功能的DLL文件加載到目標進程空間中，就要使用注入的知識。

Hook原理

Hook技術無論對安全軟件還是惡意軟件都是十分關鍵的一項技術，其本質就是劫持函數調用。但是由于處于Linux用戶態，每個進程都有自己獨立的進程空間，所以必須先注入到所要Hook的進程空間，修改其內存中的進程代碼，替換其過程表的符號地址。在Android中一般是通過ptrace函數附加進程，然后向遠程進程注入so庫，從而達到監控以及遠程進程關鍵函數掛鉤。

Hook技術的難點，并不在于Hook技術，初學者借助于資料“照葫蘆畫瓢”能夠很容易就掌握Hook的基本使用方法。如何找到函數的入口點、替換函數，這就涉及了理解函數的連接與加載機制。

從Android的開發來說，Android系統本身就提供給了我們兩種開發模式，基于Android SDK的Java語言開發，基于AndroidNDK的Native C/C++語言開發。所以，我們在討論Hook的時候就必須在兩個層面上來討論。

對于Native層來說Hook的難點其實是在理解ELF文件與學習ELF文件上，特別是對ELF文件不太了解的讀者來說；對于Java層來說，Hook就需要了解虛擬機的特性與Java上反射的使用。

安全審計分析應包括以下內容：

• 潛在威脅分析：日志分析系統可以根據安全策略規則監控審計事件，檢測并發現潛在的入侵行為。其規則可以是已定義的敏感事件子集的組合。

• 異常行為檢測：在確定用戶正常操作行為基礎上，當日志中的異常行為事件違反或超出正常訪問行為的限定時，分析系統可指出將要發生的威脅。

• 簡單攻擊探測：可對重大威脅事件的特征進行明確的描述，當這些攻擊現象再次出現時，可以及時提出告警。

• 復雜攻擊探測：更高級的日志分析系統，還應可檢測到多步入侵序列，當攻擊序列出現時，可及時預測其發生的步驟及行為，以便于做好預防。