云計算基礎設施原則有以下這些：
云計算基礎設施應根據業務需求進行整體規劃與統一建設。近期建設規模與遠期發展規劃應協調一致，系統應滿足性能穩定、安全可靠、兼容性好、擴展性強、綠色節能等要求。
云計算基礎設施的軟硬件架構應充分考慮系統運行的安全策略和機制，采用多種技術手段來提供完善的安全技術保障。
云計算基礎設施應根據業務需求劃分出不同的安全域，使具有相同保護等級要求的邏輯區域共享防護手段，并依據各安全域之間的安全互聯要求和安全防護需求，設置合理的訪問控制策略和安全防護手段。
云計算基礎設施的計算資源、存儲資源、網絡資源、安全資源以及云管理平臺應結合業務需求或現網運行數據進行資源模型的抽象，實現軟硬件資源的合理配置及優化。
云計算基礎設施的軟硬件設備應支持 IPv6，采用標準化設計的部件。
云計算基礎設施的關鍵設備應具備高可靠性，重要部件應采用負載分擔，關鍵部件應采用熱備份，并應具備故障自動倒換功能。
云計算基礎設施采用的虛擬化等軟件應具備與不同廠商的服務器、網絡、存儲等硬件設備兼容的能力。
云計算基礎設施采用的軟硬件應便于安裝、升級，并提供友好的用戶管理界面。
計算機網絡有以下幾種分類方法：
按覆蓋范圍可分為廣域網（遠程網）、局域網（本地網）和城域網（市域網）；
按信息交換方式可分為電路交換網、分組交換網、報文交換網和綜合業務數字網等；
按網絡的拓撲結構又可分為總線型、星型、樹型、環型、網狀、混合型、全連型和不規則型網絡；
根據通信子網的信道類型可分為點到點式網絡和廣播式網絡；
按傳輸速率可分為低速網、中速網、高速網；
按傳輸介質分為雙絞線、同軸電纜、光纖、無線和衛星網等；
按照帶寬分為基帶網絡和寬帶網絡；
按配置可分為同類網、單服務器網和混合網；
按對數據的組織方式可分為分布式、集中式網絡系統；
按使用范圍可分為公用網和專用網；
按網絡使用環境可分成校園網、內部網、外部網和全球網等；
按網絡組件的關系可分為對等網絡、基于服務器的網絡。
包過濾防火墻具有以下缺陷：
一些包過濾網關不支持有效的用戶認證。
規則表很快會變得很大而且復雜，規則很難測試。隨著表的增大和復雜性的增加，規則結構出現漏洞的可能 性也會增加。
這種防火墻最大的缺陷是它依賴一個單一的部件來保護系統。如果這個部件出現了問題，會使得網絡大門敞開，而用戶甚至可能還不知道。
在一般情況下，如果外部用戶被允許訪問內部主機，則它就可以訪問內部網上的任何主機。
包過濾防火墻只能阻止一種類型的IP欺騙，即外部主機偽裝內部主機的IP，對于外部主機偽裝外部主機的IP欺騙卻不可能阻止，而且它不能防止DNS欺騙。
ddos攻擊對業務會造成以下影響：
重大經濟損失：在遭受DDoS攻擊后，您的源站服務器可能無法提供服務，導致用戶無法訪問您的業務，從而造成巨大的經濟損失和品牌損失。
數據泄露：黑客在對您的服務器進行DDoS攻擊時，可能會趁機竊取您業務的核心數據。
惡意競爭：部分行業存在惡性競爭，競爭對手可能會通過DDoS攻擊惡意攻擊您的服務，從而在行業競爭中獲取優勢。
導致聲譽下降：品牌知名度是企業成功的關鍵因素。當您的在線應用無法提供服務時，客戶會對您的品牌失去信心。這也可能會降低您在業內的聲譽。一旦企業的聲譽下降，讓新客戶再次信任將會成為一項艱巨的任務。
導致收入損失：企業在線業務可能是主要的收入來源，如果遭受DDoS攻擊可能造成企業大部分收入損失。
預防DDOS攻擊的方法有以下這些：
充分利用網絡設備保護網絡資源，如路由器、防火墻等負載設備，進行配置使用都可以有效地保護網絡。
定期掃描網絡的節點，清查服務器存在的漏洞，及時進行更新和修復。
過濾服務器上非必要的服務和端口，在路由器上過濾假IP。使用反向路由器檢查訪問者的IP地址是否真實。單播反向路經轉發是判斷IP的方法，可以直接把虛假IP屏蔽掉。
配置SYN/ICMP做最大流量限制進行過濾，因為一般出現這樣的流量即為非正常的流量，即說明有不正常的網絡訪問，而正常的流量是不會使用超過這么大的流量包進行數據傳輸。
DDos流量清洗：流量清洗是用于準確識別網絡中的異常流量，丟棄其中的異常流量，保證正常流量通行的網絡安全設備。流量清洗的主要對象DDOS攻擊。
常見的CMS漏洞有以下類型：
WordPress CMS漏洞：WordPress是使用PHP語言開發的博客平臺，用戶可以在支持PHP和MySQL數據庫的服務器上架設屬于自己的網站，也可以把WordPress當作一個內容管理系統（CMS）來使用。WordPress有許多第三方開發的免費模板，簡單易用。WordPress官方支持中文版，同時有愛好者開發的第三方中文語言包，如wopus中文語言包。WordPress擁有成千上萬個插件和不計其數的主題模板樣式。正是因為這些原因促使WordPress成為了一個全球著名的CMS平臺，同時也被各路攻擊者緊盯不放。在全球知名漏洞軍火商Zerodium的收購列表中WordPressRCE（遠程代碼執行）漏洞價值10萬美元。甚至有黑客團隊專門研發了針對WordPress的漏洞掃描器WPScan。WordPress的漏洞一般分為CMS本身漏洞和插件漏洞。
DedeCMS漏洞：織夢內容管理系統，是國內最知名的PHP開源網站管理系統，以簡單、實用和開源而聞名，是使用用戶最多的PHP類CMS系統。織夢基于PHP+MySQL技術架構，經過多年的發展，在功能和易用性方面，取得了長足發展，適用于個人網站或中小型門戶網站的構建。因為漏洞多且典型，很多版本的織夢CMS已經被作為靶機來進行練習和作為攻擊工具來使用了。
Drupal漏洞：Drupal是使用PHP語言編寫的開源內容管理框架（CMF），且經常被爆出代碼遠程執行漏洞所以危害較大，它由內容管理系統（CMS）和PHP開發框架（Framework）共同構成，能支持從個人博客到大型社區驅動的網站等各種不同應用的網站項目=。
包過濾防火墻具有以下缺陷：
一些包過濾網關不支持有效的用戶認證。
規則表很快會變得很大而且復雜，規則很難測試。隨著表的增大和復雜性的增加，規則結構出現漏洞的可能 性也會增加。
這種防火墻最大的缺陷是它依賴一個單一的部件來保護系統。如果這個部件出現了問題，會使得網絡大門敞開，而用戶甚至可能還不知道。
在一般情況下，如果外部用戶被允許訪問內部主機，則它就可以訪問內部網上的任何主機。
包過濾防火墻只能阻止一種類型的IP欺騙，即外部主機偽裝內部主機的IP，對于外部主機偽裝外部主機的IP欺騙卻不可能阻止，而且它不能防止DNS欺騙。
常用的身份認證方式有：
靜態密碼：靜態密碼是一串靜態數據，靜態密碼一旦設定之后，將保持不變，除非用戶更改。我們經常見到和使用的“賬號+密碼”身份驗證方式中提及的密碼即為靜態密碼。靜態密碼的優點是使用方便，缺點是容易被偷看、監聽猜測、竊取、遭受字典攻擊、重放攻擊、木馬攻擊、暴力破解等。為了提高靜態密碼的安全性，用戶往往需要定期更改靜態密碼。
動態密碼：動態密碼與靜態密碼相對應，是指每次使用時內容不固定的密碼。目前動態密碼主要有短信密碼、動態口令牌、手機令牌等。
智能卡：智能卡（Smart Card）又稱IC卡、集成電路卡（Integrated Circuit Card），在有些國家和地區也稱智慧卡（Intelligent Card）、微電路卡（Microcircuit Card）或微芯片卡等。智能卡內置集成電路芯片，芯片中存有與用戶身份相關的數據，并封裝成外形與磁卡類似的卡片形式。智能卡由專門的廠商通過專門的設備生產，是不可復制的硬件。智能卡由合法用戶隨身攜帶，登錄時必須將智能卡插入專用的讀卡器讀取其中的信息，以驗證用戶的身份。智能卡認證是通過智能卡硬件不可復制來保證用戶身份不會被仿冒的。
數字證書：數字證書是一種能在Internet上進行身份驗證的權威性電子文檔，由權威公正的第三方機構，即CA中心簽發。人們可以在互聯網交往中用它來證明自己的身份和識別對方的身份。以數字證書為核心的加密技術可以對網絡上傳輸的信息進行加密和解密、數字簽名和簽名驗證，確保網上傳遞信息的機密性、完整性。數字證書可用于：發送安全電子郵件、訪問安全站點、網上證券交易、網上招標采購、網上辦公、網上保險、網上稅務、網上簽約和網上銀行等安全電子事務處理和安全電子交易活動。
雙因素/多因素身份驗證：雙重身份驗證(2FA)要求用戶提供除密碼之外的至少一個附加身份驗證因素。MFA需要兩個或多個因素。其他因素可以是本文提及的其他身份驗證類型或通過文本或電子郵件發送給用戶的一次性密碼。“多因素”的涵義還包括帶外身份驗證，其中涉及第二個因素與原始設備位于不同的通道上，以減輕中間人攻擊。這種身份驗證類型增強了帳戶的安全性，因為攻擊者需要的不僅僅是訪問憑據。2FA的強度取決于次要因素。使用需要用戶的生物識別信息或推送通知，可提供更強大的2FA。但是，在部署2FA或MFA時要小心，因為它會降低用戶體驗，制造摩擦。
生物特征認證：生物識別技術使用用戶自身生物特征進行驗證，較少依賴容易被盜的秘密（例如密碼口令）來驗證用戶是否確實擁有帳戶。生物識別身份也是唯一的，這使得破解帳戶變得更加困難。
基于令牌的認證：令牌身份驗證使用戶能夠使用物理設備（例如智能手機、安全密鑰或智能卡）登錄帳戶。它可以用作MFA的一部分或提供無密碼體驗。使用基于令牌的身份驗證，用戶在預定的時間段內驗證一次憑據，以減少持續登錄。令牌使攻擊者難以訪問用戶帳戶。攻擊者需要物理訪問令牌和用戶憑據才能滲透帳戶。必須信任員工，讓他們保管自己的令牌，因為如果忘記或丟失令牌，用戶將被鎖定，無法訪問賬戶。
企業網絡安全中主持式數據收集包括以下階段：
發現風險階段：發現風險時，信息安全組需要風險承擔者，在分配資源以及就風險定義與確定優先級達成一致意見方面提供支持。某些沒有前瞻性風險管理計劃的信息安全組可能依賴于恐懼來推動組織，這最多是一項短期策略。如果需要長期維持風險管理計劃，信息安全組必須學習尋求組織的支持。建立此支持的第一步是與風險承擔者舉行面對面的會議。
建立支持階段：企業所有者在風險評估流程中具有清楚的角色。他們負責確定組織資產并估計這些資產面臨的潛在影響的成本。通過將這些責任正式確定下來，信息安全組和企業所有者平等分享管理風險的成功。大多數信息安全專業人員和非技術性風險承擔者不會自動實現這種聯系。作為風險管理專家，信息安全專業人員必須在風險討論過程中主動填補知識空隙。
討論與詢問階段：很多安全風險管理方法要求信息安全組向風險承擔者，提出清楚的問題并將其答案歸類。此類提問包括“你能描述貴公司為確保正確的職責區分所采取的政策嗎？”“貴公司審核政策和程序的流程是什么？”其原則是著重于開放式的問題以推動雙向討論。要簡單地告訴風險評估主持者他們想知道什么，這也是風險承擔者能夠表達其答案的真實意圖。風險討論的目的是了解組織及其面臨的安全風險，而不是對文檔化的政策進行審核。盡管非技術性風險承擔者提供的輸入資料非常寶貴，但通常也不全面。安全風險管理小組獨立于企業所有者，仍然需要研究、調查和考慮各個資產面臨的所有風險。
建立友好關系階段：信息安全是一項困難的業務功能。因為降低風險的措施通常被視為降低可用性或雇員的生產力。將主持式討論用作與風險承擔者建立同盟的工具。法規、隱私，來自競爭對手的壓力，以及消費者意識，已經使管理層和業務決策者認識到安全是一個極其重要的業務組成部分。有時，在信息安全組和風險承擔者之間，建立關系比在會議期間實際收集的數據更有價值。
風險討論準備階段：在風險討論開始之前，安全風險管理小組應用一些時間來調查并清楚地理解要討論的各個元素。更新對組織優先級或上次評估以來出現的任何變化的了解，特別注意任何合并和收購活動。審核過去的評估，了解過去。風險評估小組必須使新的評估遵循以前的工作。收集與風險評估范圍有關的任何審核報告。在評估以及選擇新的控制解決方案時，必須考慮審核結果。
確定資產并對其進行分類階段：風險評估的范圍定義了在數據收集討論中審核的組織區域。必須確定在此范圍內的企業資產以推動風險討論。資產定義為對組織有價值的任何東西。這包括公司無形資產和有形資產。定義企業資產時盡可能地具體，例如，客戶管理應用程序中的賬戶信息等。定義資產時，不應該討論影響陳述。影響陳述定義組織面臨的潛在損失或損壞。在客戶管理應用程序中的賬戶數據即是影響陳述的一個例子。在風險討論的以后階段展開說明影響陳述。請注意，在討論期間各個資產可能有多個影響。
根據移動交換的特點其呼叫處理程序主要包括以下功能：
用戶接入處理：對于MS始發的呼叫，不存在用戶線掃描、撥號音發送和收號等處理過程，MS接入和發號通過無線接口信令一次性完成。與此同時，MS還將其自身的國際移動臺識別號碼一起發送給交換機。交換機的功能只是檢查MS的合法性及其呼叫權限。若需要，交換機還可以通過無線信令指示MS發送國際移動設備號，據此檢查MS設備的合法性。
信道分配：信道分配是移動呼叫的特有功能。一般來說，每個小區分配有固定數目的語音信道，由交換機按需分配給主叫MS或被叫MS。如果語音信道全忙，就向始發MS發送釋放指令；或者發送呼叫排隊指令，待信道空閑后自動完成排隊隊列中的呼叫接續，以提高呼叫接通率。
數字分析：數字分析的基本任務和固話交換機類似，采用表格驅動的方法。但它是基于移動電話編號計劃，各交換機表格設計不一樣。另有一點與固話交換機不同的是：由于MS可以漫游，交換機收到的被叫MS的號碼不一定能表示MS的當前位置，數字分析得出的局向只是該MS的原籍交換局。為了節省話路，可以先根據被叫號碼向被叫MS的HLR檢索它的漫游號MSRN，然后據此進行數字分析，得到MS實際所在區域的局向。
路由選擇：路由選擇原則上和固話交換機相同，主要特點體現在路由選擇策略上。呼叫異地MS，可以通過移動專網連接，也可以借助PSTN網完成接續。呼叫漫游MS，可以采取重選路由方法，也可以不采取重選路由。這些都可視網絡規劃和交換機而異。
信道切換信道轉接是移動交換軟件特有的一項重要功能。固話交換機呼叫處理軟件進入通話階段后基本上就沒有什么任務了，而移動交換機必須繼續監視語音信道質量，必要時進行信道切換，以保持MS在移動過程中的通話連續性，這對交換和信令提出了新的要求。
移動計費：移動計費的特殊性源于兩個方面，一是規范不同，明顯的不同之處是一般的固話呼叫只向主叫收費，而作為被叫MS漫游時一般也要收費，其理由是被叫MS和主叫MS一樣，也要占用無線信道；二是用戶的移動性，MS常常不在其歸屬地，它的呼叫由訪問的移動交換機處理，但是計費數據應送回其原籍交換機或計費中心，這就對信令有特殊的要求。
入侵檢測的內容主要包括獨占資源、惡意使用者，試圖闖入或成功闖入、冒充其他用戶的攻擊者，違反安全策略的合法用戶或者導致信息泄露的合法用戶等都是入侵檢測進行檢測的主要內容。入侵檢測是防火墻的合理補充，幫助系統對付網絡攻擊，擴展了系統管理員的安全管理能力(包括安全審計、監視、進攻識別和響應)，提高了信息安全基礎結構的完整性。入侵檢測被認為是防火墻之后的第二道安全閘門。
IDS安全檢測系統有以下優點
強大的入侵檢測和攻擊處理能力：KIDS采用了獨特的零拷貝技術，可以有效地降低網絡數據包的處理開銷，最大能支持百兆網絡的數據流量。綜合了最新的協議分析和攻擊模式識別技術，在提高檢測性能的同時也大大降低了誤報率。KIDS可重組的最大的IP碎片數目為8192，同時監控的TCP連接數為10000，管理控制臺同時能管理的傳感器的數目也可以是多個（僅受計算機配置的影響）。這些性能最終形成了KIDS強大的入侵檢測和攻擊處理能力。
全面的檢測知識庫：KIDS具備國內最為全面的檢測知識庫，包括掃描、嗅探、后門、病毒、惡意代碼、拒絕服務、分布式拒絕服務、可疑行為、非授權訪問、主機異常和欺騙等11 大類的安全事件，目前共有檢測規則1509條，安全報警事件1054條。檢測知識庫可以實現定期的更新和升級，用戶完全不必擔心最新黑客攻擊方法的威脅。
強大的響應能力：KIDS一旦發現了攻擊入侵或可疑的行為，便可以采用多種實時的報警方式通知用戶，如屏幕顯示、發聲報警、郵件通知、傳呼通知、手機短消息、WinPop、SNMP Trap或用戶自定義的響應方式等，并將所有的報警信息記錄到日志中。同時KIDS對一些非法的連接也能夠進行及時的阻斷，如中斷TCP會話、偽造ICMP應答、根據黑名單斷開、阻塞HTTP請求、模擬SYN/ACK或通過防火墻阻塞等。
方便的報表生成功能：KIDS的報表功能可以為用戶提供全面細致的統計分析信息，它采用不同的統計分類來顯示或輸出報表，如按重要服務器、重點監測組、常用服務、常見攻擊類型和攻擊風險等級等進行統計。而對于每一類報表KIDS又提供了更為詳細的子分類統計，包括今日事件、三日內事件、本周事件、Top 20個事件（威脅最大的事件）、Top 20個攻擊源（攻擊嫌疑網址）和Top 20個被攻擊地址（有安全隱患的主機/服務器）等。最為方便的是用戶完全可以根據自己的喜好或需要定制特殊形式的報表。
開放式的插件結構：傳感器采用了插件技術進行分析處理。傳感器的核心引擎從網絡上抓取數據包，并調用相應的處理插件對其進行分析處理，處理插件將獲得的數據包特征與知識庫進行比較。對網絡高層協議的分析和數據的處理是由專門的插件來實現的，不同的應用層協議用不同的插件來處理。新的協議檢測，只需要增加新的處理插件。系統在檢測能力上的增強，只需增加和更新插件即可。KIDS包含包特征檢測、端口掃描檢測、流敏感內容監測器、HTTP檢測、POP3分析器、SMTP分析器等多種插件。
計算機等級保護是：
信息系統的安全保護等級分為以下五級，一至五級等級逐級增高：
第一級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。第一級信息系統運營、使用單位應當依據國家有關管理規范和技術標準進行保護。
第二級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。國家信息安全監管部門對該級信息系統安全等級保護工作進行指導。
第三級，信息系統受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。國家信息安全監管部門對該級信息系統安全等級保護工作進行監督、檢查。
第四級，信息系統受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。國家信息安全監管部門對該級信息系統安全等級保護工作進行強制監督、檢查。
第五級，信息系統受到破壞后，會對國家安全造成特別嚴重損害。國家信息安全監管部門對該級信息系統安全等級保護工作進行專門監督、檢查。
這是最基本的索引，它沒有任何限制，
–直接創建索引
CREATE INDEX index_name ON table(column(length))
–修改表結構的方式添加索引
ALTER TABLE table_name ADD INDEX index_name ON (column(length))
–創建表的時候同時創建索引
CREATE TABLE `table` (
`id` int(11) NOT NULL AUTO_INCREMENT ,
`title` char(255) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL ,
`content` text CHARACTER SET utf8 COLLATE utf8_general_ci NULL ,
`time` int(10) NULL DEFAULT NULL ,
PRIMARY KEY (`id`),
INDEX index_name (title(length))
)
–刪除索引
DROP INDEX index_name ON table
與普通索引類似，不同的就是：索引列的值必須唯一，但允許有空值（注意和主鍵不同）。如果是組合索引，則列值的組合必須唯一，創建方法和普通索引類似。
–創建唯一索引
CREATE UNIQUE INDEX indexName ON table(column(length))
–修改表結構
ALTER TABLE table_name ADD UNIQUE indexName ON (column(length))
–創建表的時候直接指定
CREATE TABLE `table` (
`id` int(11) NOT NULL AUTO_INCREMENT ,
`title` char(255) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL ,
`content` text CHARACTER SET utf8 COLLATE utf8_general_ci NULL ,
`time` int(10) NULL DEFAULT NULL ,
PRIMARY KEY (`id`),
UNIQUE indexName (title(length))
);
MySQL從3.23.23版開始支持全文索引和全文檢索，FULLTEXT索引僅可用于 MyISAM 表；他們可以從CHAR、VARCHAR或TEXT列中作為CREATE TABLE語句的一部分被創建，或是隨后使用ALTER TABLE 或CREATE INDEX被添加。對于較大的數據集，將你的資料輸入一個沒有FULLTEXT索引的表中，然后創建索引，其速度比把資料輸入現有FULLTEXT索引的速度更為快。不過切記對于大容量的數據表，生成全文索引是一個非常消耗時間非常消耗硬盤空間的做法。
–創建表的適合添加全文索引
CREATE TABLE `table` (
`id` int(11) NOT NULL AUTO_INCREMENT ,
`title` char(255) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL ,
`content` text CHARACTER SET utf8 COLLATE utf8_general_ci NULL ,
`time` int(10) NULL DEFAULT NULL ,
PRIMARY KEY (`id`),
FULLTEXT (content)
);
–修改表結構添加全文索引
ALTER TABLE article ADD FULLTEXT index_content(content)
–直接創建索引
CREATE FULLTEXT INDEX index_content ON article(content)
多個單列索引與單個多列索引的查詢效果不同，因為執行查詢時，MySQL只能使用一個索引，會從多個索引中選擇一個限制最為嚴格的索引。
平時用的SQL查詢語句一般都有比較多的限制條件，所以為了進一步榨取MySQL的效率，就要考慮建立組合索引。例如上表中針對title和time建立一個組合索引：ALTER TABLE article ADD INDEX index_titme_time (title(50),time(10))。建立這樣的組合索引，其實是相當于分別建立了下面兩組組合索引：
–title
–使用到上面的索引
SELECT * FROM article WHREE title='測試' AND time=1234567890;
SELECT * FROM article WHREE utitle='測試';
–不使用上面的索引
SELECT * FROM article WHREE time=1234567890;用戶上網行為管控
隨著網絡的發展，網絡手段進行數據傳輸的渠道越來越多，如PC微信、微博、論壇、郵箱等等。此時就需要在用戶上網的同時，對用戶的行為和流量進行監控。常見的安全設備如上網行為管理系統，通過此系統對敏感網站進行評比，對敏感數據進行攔截，同時對用戶的上網路徑進行審計。
病毒防控
所有終端必須安裝最新版的殺毒軟件，至少windows的客戶端是必須安裝的，并且制定定期更新病毒庫策略，一些嵌入式終端可以忽略。
數據防泄漏
數據防泄漏（DLP）軟件是一套非常成熟的數據安全解決方案，可以從流程上對數據進行分類、識別和管控。DLP分為HDLP（主機DLP）和NDLP（網絡DLP），在項目中，傾向使用HDLP，因其安裝在客戶端對數據的監控粒度更細，審計更清晰，便于追溯。
外設管控
所有辦公終端、生產終端禁止外接USB、串口等設備。可以通過專業的桌面管理軟件進行授權控制，同時對外拷的數據進行審計，如Landesk、SCCM等老牌桌管軟件。
軟件管理
所有辦公終端、生產終端禁止隨意安裝軟件，制定軟件白名單，未在其中的軟件直接拒絕安裝或者運行，防止惡意軟件、木馬等程序被有意無意的調用。一般傳統的桌管軟件均具備此功能。
資產管控
要想管理好終端，就必須對終端資產的分布、狀態了如指掌。業內流行的資產管理軟件很多，均可實現此功能。如SCCM、Landesk桌面管理軟件等。
終端審計
審計功能作為重要的追溯功能在各個系統中被使用，終端安全中審計也發揮著至關重要的作用。利用AD開啟所有辦公終端的Audit功能，針對登陸失敗、成功等關鍵動作進行記錄。
打印管理
在日常的工作中，管理員往往忽略了打印機的功能。根據多年的工作總結，部分核心文檔一般都是通過打印機進行打印流出的。為了避免由此帶來的安全漏洞，建議采用集中打印的模式，禁止零散打印機的使用。利用集中打印的安全策略，對敏感詞匯、非授權內容進行阻攔。同時與AD集成，對打印的作業進行審計。
系統管理
所有辦公終端（Windows系統）必須加入活動目錄，開啟密碼復雜度要求，最小化用戶權限，利用組策略下發終端安全策略，如審計、最小化授權、限制3389登陸等措施。
管理規范
制定各類的終端安全管理規范，用技術與管理結合的方式，規范用戶的使用習慣，了解終端安全的重要性，使用戶警鐘長鳴。
終端安全運營
一個完整的終端安全防御離不開技術與管理，正所謂“三分技術，七分管理”。要保障終端安全，除了有必要的技術手段支持以外，還要考慮組織和管理的因素，也就是人、流程與制度的因素。
給正常文件一個通行證
將正常的程序文件數量、名稱記錄下來，并保存每一個正常文件的MD5散列做成數字簽名存入數據庫;如果當遇到黑客攻擊修改主頁、掛馬、提交webshell的時候，由于這些文件被修改過或者是新提交的，沒有在數據庫中存在，則將其刪除或者恢復以達到防護效果;
檢測和防護SQL注入攻擊
通過過濾SQL危險字符如：“’、select、where、insert、,、;”等等將其進行無害化編碼或者轉碼，從源頭遏止;對提交到web服務器的數據報進行過濾檢測是否含有“eval、wscript.shell、iframe”等等;
檢測和防護DNS攻擊解析
不斷在本地通過nslookup解析域名以監視域名的指向是否合法;
檢測和防護ARP攻擊
綁定MAC地址，檢測ARP攻擊并過濾掉危險的ARP數據報;
過濾對WEB服務器的請求
設置訪問控制列表，設置IP黑名單和白名單過濾掉非法訪問后臺的IP;對web服務器文件的請求進行文件預解析，對比解析的文件與原文件差異，存在差異的取源文件返回請求;
做好集群或者數據庫加密
對于NT系統設置好文件夾權限，控制因操作失誤所帶來的損失;對于SQL 2005可以設置管理IP和數據庫加密，切斷數據庫篡改的源頭;
加強培訓
加強安全意識培訓，操作合理化培訓，從程序自身的源頭遏制，從管理員自身的源頭遏制。
入侵檢測的內容主要包括獨占資源、惡意使用者，試圖闖入或成功闖入、冒充其他用戶的攻擊者，違反安全策略的合法用戶或者導致信息泄露的合法用戶等都是入侵檢測進行檢測的主要內容。入侵檢測是防火墻的合理補充，幫助系統對付網絡攻擊，擴展了系統管理員的安全管理能力(包括安全審計、監視、進攻識別和響應)，提高了信息安全基礎結構的完整性。入侵檢測被認為是防火墻之后的第二道安全閘門。
IDS安全檢測系統有以下優點
強大的入侵檢測和攻擊處理能力：KIDS采用了獨特的零拷貝技術，可以有效地降低網絡數據包的處理開銷，最大能支持百兆網絡的數據流量。綜合了最新的協議分析和攻擊模式識別技術，在提高檢測性能的同時也大大降低了誤報率。KIDS可重組的最大的IP碎片數目為8192，同時監控的TCP連接數為10000，管理控制臺同時能管理的傳感器的數目也可以是多個（僅受計算機配置的影響）。這些性能最終形成了KIDS強大的入侵檢測和攻擊處理能力。
全面的檢測知識庫：KIDS具備國內最為全面的檢測知識庫，包括掃描、嗅探、后門、病毒、惡意代碼、拒絕服務、分布式拒絕服務、可疑行為、非授權訪問、主機異常和欺騙等11 大類的安全事件，目前共有檢測規則1509條，安全報警事件1054條。檢測知識庫可以實現定期的更新和升級，用戶完全不必擔心最新黑客攻擊方法的威脅。
強大的響應能力：KIDS一旦發現了攻擊入侵或可疑的行為，便可以采用多種實時的報警方式通知用戶，如屏幕顯示、發聲報警、郵件通知、傳呼通知、手機短消息、WinPop、SNMP Trap或用戶自定義的響應方式等，并將所有的報警信息記錄到日志中。同時KIDS對一些非法的連接也能夠進行及時的阻斷，如中斷TCP會話、偽造ICMP應答、根據黑名單斷開、阻塞HTTP請求、模擬SYN/ACK或通過防火墻阻塞等。
方便的報表生成功能：KIDS的報表功能可以為用戶提供全面細致的統計分析信息，它采用不同的統計分類來顯示或輸出報表，如按重要服務器、重點監測組、常用服務、常見攻擊類型和攻擊風險等級等進行統計。而對于每一類報表KIDS又提供了更為詳細的子分類統計，包括今日事件、三日內事件、本周事件、Top 20個事件（威脅最大的事件）、Top 20個攻擊源（攻擊嫌疑網址）和Top 20個被攻擊地址（有安全隱患的主機/服務器）等。最為方便的是用戶完全可以根據自己的喜好或需要定制特殊形式的報表。
開放式的插件結構：傳感器采用了插件技術進行分析處理。傳感器的核心引擎從網絡上抓取數據包，并調用相應的處理插件對其進行分析處理，處理插件將獲得的數據包特征與知識庫進行比較。對網絡高層協議的分析和數據的處理是由專門的插件來實現的，不同的應用層協議用不同的插件來處理。新的協議檢測，只需要增加新的處理插件。系統在檢測能力上的增強，只需增加和更新插件即可。KIDS包含包特征檢測、端口掃描檢測、流敏感內容監測器、HTTP檢測、POP3分析器、SMTP分析器等多種插件。
