因為HTTPS對中間人攻擊采取了三種防范措施：

• 防范直接獲取明文

  加密傳輸報文。當證書驗證合法后，在本地生成隨機數，通過公鑰加密隨機數，并把加密后的隨機數傳輸到服務端，服務端通過私鑰對隨機數進行解密，服務端通過客戶端傳入的隨機數構造對稱加密算法，對返回結果內容進行加密后傳輸。

• 防范非法中間加密代理

  黑客對客戶端偽裝成服務器，對服務器偽裝成客戶端，通過非法代理竊取會話數據。認證站點（客戶端向站點發起HTTPS請求，站點返回數字證書。客戶端通過數字證書驗證所訪問的站點是真實的目標站點。）和協商密鑰（客戶端與站點服務器協商此次會話的對稱加密密鑰，用于下一階段的加密傳輸。）可以防止這種非法代理行為。雖然黑客可以獲取站點的證書，偽裝成站點服務器接收請求，但黑客沒有站點服務器私鑰，無法與實現客戶端實現密鑰交換，不能竊取明文的會話數據。

• 防范解密歷史報文（前向安全性）

  防范解密歷史報文，這種安全防護叫前向安全。早期的HTTPS實現中，客戶端將會話密鑰通過站點公鑰加密后，發送給服務器，服務器用私鑰解密。此時如果服務器私鑰保管不善泄露，黑客如果留存了歷史報文，可以解密獲取會話密鑰，從而還原歷史報文數據。目前通過DH算法保證前向安全。在協商密鑰階段，客戶端與服務器只交換少量信息，雙方便可獨立計算出臨時會話密鑰用于加密。即使黑客事后獲取私鑰，也不能計算出會話密鑰，從而實現前向安全。

信息存儲有以下安全措施：

• 存放數據的盤，應妥善保管；

• 對硬盤上的數據，要建立有效的級別、權限，并嚴格管理，必要時加密，以確保數據的安全；

• 存放數據的盤，管理須落實到人，并登記；

• 對存放重要數據的盤，要備份兩份并分兩處保管；

• 打印有業務數據的打印紙，要視同檔案進行管理；

• 凡超過數據保存期的，須經過特殊的數據清除處理；

• 凡不能正常記錄數據的盤，需經測試確認后由專人進行銷毀，并做好登記；

• 對需要長期保存的有效數據，應質量保證期內進行轉存，并保證轉存內容正確。

國內網絡安全檢測工具有以下這些：

• 端口掃描器：Nmap是”Network Mapper”的縮寫，眾所周知，它是一款非常受歡迎的免費開源黑客工具。

• 網絡漏洞掃描器：Acunetix是一款非常受歡迎并且非常使用的自動漏洞掃描器，Acunetix通過抓取和掃描網站和Web應用的SQL注入、XSS、XXE、SSRF和主機頭攻擊和其他500多個web漏洞。

• 漏洞監測工具：Metasploit項目是一個非常受歡迎且受眾很廣的滲透測試以及攻擊框架。

• 取證：Maltego跟其他取證工具不同，因為它在數字取證范圍內工作。

• 網絡漏洞掃描器：OWASP Zed的代理攻擊(ZAP)是現在最流行的OWASP項目之一。

• 手動分析包工具：Wireshark是個抓包工具，或者更確切的說，它是一個有效的分析數據包的開源平臺。

1. 確定信息價值

   大多數組織沒有無限的信息風險管理預算，因此最好將您的范圍限制在最關鍵的業務資產上。為了以后節省時間和金錢，請花一些時間來定義確定資產重要性的標準。大多數組織都包括資產價值、法律地位和業務重要性。一旦該標準正式納入組織的信息風險管理政策，就可以使用它來將每項資產分類為關鍵、主要或次要資產。

2. 確定資產并確定其優先級

   第一步是確定要評估的資產并確定評估范圍。這將使您能夠確定要評估的資產的優先級。您可能不想對每個建筑物、員工、電子數據、商業機密、車輛和辦公設備進行評估。并非所有資產都具有相同的價值。

   您需要與業務用戶和管理人員一起創建所有有價值資產的列表。對于每項資產，在適用的情況下收集軟件、硬件、數據、界面、終端用戶、支持個人、目的、危急程度、功能要求、信息技術安全政策、IT安全架構、網絡拓撲結構、信息存儲保護、信息流、技術安全控制、物理安全控制、環境安全信息。

3. 識別網絡威脅

   網絡威脅是指任何可被利用來破壞安全以造成傷害或從您的組織竊取數據的漏洞。雖然會想到黑客、惡意軟件和其他 IT 安全風險，但還有許多其他威脅：

   • 自然災害：洪水、颶風、地震、閃電和火災的破壞力不亞于任何網絡攻擊者。您不僅會丟失數據，還會丟失服務器。在內部部署服務器和基于云的服務器之間做出決定時，請考慮發生自然災害的可能性。

   • 系統故障：您最關鍵的系統是否在高質量設備上運行？他們有很好的支持嗎？

   • 人為錯誤：您的S3 存儲桶是否正確配置了保存敏感信息的信息？您的組織是否接受過有關惡意軟件、網絡釣魚和社會工程的適當教育？任何人都可能不小心點擊惡意軟件鏈接或將其憑據輸入到網絡釣魚詐騙中。您需要有強大的 IT 安全控制，包括定期數據備份、密碼管理器等。

   • 對抗性威脅：第三方供應商、內部人員、受信任的內部人員、特權內部人員、成熟的黑客團體、特設團體、企業間諜、供應商、民族國家

     影響每個組織的一些常見威脅包括：

   • 未經授權的訪問：來自攻擊者、惡意軟件、員工錯誤

   • 授權用戶濫用信息：通常是內部威脅，其中數據被更改、刪除或未經批準使用

   • 數據泄露：個人身份信息 (PII)和其他敏感數據，由攻擊者或通過糟糕的云服務配置

   • 數據丟失：組織丟失或意外刪除數據作為備份或復制不良的一部分

   • 服務中斷：由于停機造成的收入損失或聲譽損失

     在確定組織面臨的威脅后，您需要評估它們的影響。

4. 識別漏洞

   漏洞是威脅可以利用來破壞安全、損害您的組織或竊取敏感數據的弱點。通過漏洞分析、審計報告、美國國家標準與技術研究院 (NIST)漏洞數據庫、供應商數據、事件響應團隊和軟件安全分析發現漏洞。

5. 分析控制并實施新控制

   分析現有的控制措施，以最大限度地減少或消除威脅或漏洞的可能性。控制可以通過技術手段實現，例如硬件或軟件、加密、入侵檢測機制、雙因素身份驗證、自動更新、持續數據泄漏檢測，或通過非技術手段，例如安全策略和物理機制，例如鎖或鑰匙卡訪問。

   控制應分類為預防性或檢測性控制。預防性控制嘗試阻止加密、防病毒或持續安全監控等攻擊，檢測性控制嘗試發現攻擊何時發生，如持續數據暴露檢測。

6. 每年計算各種情景的可能性和影響

   了解了信息價值、威脅、漏洞和控制措施，下一步是確定這些網絡風險發生的可能性以及發生時的影響。

7. 根據預防成本與信息價值對風險進行優先排序

   以風險級別為基礎，確定高級管理人員或其他負責人采取的措施以減輕風險。以下是一些準則：

   • 高——盡快制定整改措施

   • 中等 - 在合理的時間內制定的正確措施

   • 低 - 決定是接受風險還是減輕風險

     在已經確定了資產的價值以及您可以花多少錢來保護它的情況下，如果保護資產的成本超過其價值，則使用預防性控制來保護它可能沒有意義。也就是說，請記住可能會產生聲譽影響，而不僅僅是財務影響，因此將其考慮在內也很重要。

     另外，請考慮組織政策、名譽受損、可行性、法規、 控制的有效性、安全、可靠性、組織對風險的態度、 對風險因素不確定性的容忍度、風險因素的組織權重等相關因素。

8. 記錄風險評估報告的結果

   最后一步是制定風險評估報告，以支持管理層就預算、政策和程序做出決策。對于每個威脅，報告應描述風險、漏洞和價值。以及發生的影響和可能性以及控制建議。

軟件安全在需求獲取時有以下常用方式：

• 頭腦風暴：頭腦風暴（Brain-storming）又稱智力激勵法、自由思考法，是指無限制的自由聯想和討論，其目的在于產生新觀念或激發創新設想。頭腦風暴在需要初步確定安全需求的情況下是可以接受的，但必須有更多系統化、結構化的方法來全面地決定安全需求。

• 問卷調查和訪談：調查可以直接用于生成安全需求。通常通過發送E-mail或在線問卷的方式請被調查者回答一些問題，也可以采用訪談的方式來進行。問卷調查和訪談的有效性取決于如何向被調查對象提出合適的問題。調查的問題應當覆蓋軟件安全設計原則和安全配置文件的內容，應當考慮業務風險、過程（或項目）風險和技術（或產品）風險。

• 策略分解：策略分解是指將組織需要遵守的內部和外部政策，包括外部法律法規、隱私和遵從性命令分解成詳細的安全需求。策略分解過程是一個連續的、結構化的過程。表面上看，策略文件的分解過程可能是很簡單、很直接的，但因為策略處于組織管理的高層次，可以開放解釋，因此在分解過程中往往會出現很多歧義。因此，需要關注策略定義范圍并謹慎實施分解過程，以確保分解過程是客觀的、符合安全策略的，而不是某個人主觀上的意見。

• 數據分類：數據分類是指，根據數據生命周期管理（Data Lifecycle Management，DLM）對數據的分階段劃分來決定相應的安全需求；也可以根據數據的重要性對保護級別的劃分來決定相應的安全需求。

• 主/客體關系矩陣：采用主/客體關系矩陣來刻畫一個基于使用用例的主/客體之間的操作關系。主/客體關系矩陣是角色和組件的二維表示，主體（角色）作為列，客體（對象/組件）作為行。當主/客體關系矩陣產生后，與主/客體關系矩陣所允許的對應動作相違背的事件就可以判定為威脅，在此基礎之上可以確定安全需求。

• 使用用例和濫用案例建模：一個使用用例模型可以描述軟件或系統的預期行為，而預期行為描述了完成業務功能所需要的行為和事件的順序。通過清楚地描述什么時間和在什么條件下會發生某些行為，可以有效地確定業務需求，包括安全需求。

• 軟件安全需求跟蹤矩陣：通過數據分類、使用用例和濫用案例建模、主/客體關系矩陣，以及其他需求獲取過程，可以將軟件安全需求編制成一個需求列表或需求跟蹤矩陣。一個通用的RTM是一個信息列表，可以采用管理決策理論的Zachman框架來描述。

進行網絡安全審計主要目的如下：

• 對可能存在的潛在攻擊者起到威懾和警示作用，核心是風險評估。

• 測試系統的控制情況，及時進行調整，保證與安全策略和操作規程協調一致。

• 對已出現的破壞事件，做出評估并提供有效的災難恢復和追究責任的依據。

• 對系統控制、安全策略與規程中的變更進行評價和反饋，以便修訂決策和部署。

• 協助系統管理員及時發現網絡系統入侵或潛在的系統漏洞及隱患。

網絡安全審計系統有以下這些功能：

• 采集多種類型的日志數據：能采集各種操作系統的日志，防火墻系統日志，入侵檢測系統日志，網絡交換及路由設備的日志，各種服務和應用系統日志。

• 日志管理：多種日志格式的統一管理。自動將其收集到的各種日志格式轉換為統一的日志格式，便于對各種復雜日志信息的統一管理與處理。

• 日志查詢：支持以多種方式查詢網絡中的日志記錄信息，以報表的形式顯示。

• 入侵檢測：使用多種內置的相關性規則，對分布在網絡中的設備產生的日志及報警信息進行相關性分析，從而檢測出單個系統難以發現的安全事件。

• 自動生成安全分析報告：根據日志數據庫記錄的日志數據，分析網絡或系統的安全性，并輸出安全性分析報告。報告的輸出可以根據預先定義的條件自動地產生、提交給管理員。

• 網絡狀態實時監視：可以監視運行有代理的特定設備的狀態、網絡設備、日志內容、網絡行為等情況。

• 事件響應機制：當審計系統檢測到安全事件時候，可以采用相關的響應方式報警。

• 集中管理：審計系統通過提供一個統一的集中管理平臺，實現對日志代理、安全審計中心、日志數據庫的集中管理，包括對日志更新、備份和刪除等操作。

霧計算在節點環境安全中的響應策略有以下這些：

• 物理安全和防篡改機制：霧節點支持的物理安全級別應該與該設備的安全策略和威脅級別一致。這將取決于訪問系統組件有多困難，以及系統被破壞會有什么后果。霧節點的位置和物理訪問的可用程度將在評估中起作用。霧節點位于開放的公共空間，如購物中心、街角、電線桿，甚至在個人車輛中，這將加大被物理攻擊的風險。

• 篡改阻止：防篡改使用特殊的物理建筑材料，使篡改霧節點變得困難。這可能包括諸如硬化鋼外殼、鎖、密封或安全螺絲等特性。采用密閉的通道，增加在不打開外殼的情況下使用光纖探測節點內部的難度。當查看霧計算節點視圖時，啟用了SoC芯片制造商的所有接口，包括許多制造商稱為制造或測試模式的特殊操作模式的接口。在部署節點之后，必須保護這些操作模式不受篡改和物理攻擊。

• 篡改證據：篡改證據的目的是當篡改發生時，留下可見的證據。篡改證據的機制是破壞者的主要障礙。多種篡改證據材料和設備是合法的，比如一些特殊的封條和膠帶，當發生物理篡改時就很明顯。另外，篡改證據可以通知HPM，以確保更高級別的管理實體在不到場的情況下確定發生了篡改事件。

• 篡改取證：篡改取證意味著系統知道發生了不需要的物理訪問。用于檢測入侵的機制分為如微型開關、磁性開關、水銀開關和壓力觸點，檢測設備的開啟、物理安全邊界的破壞或特定組件的移動。傳感器溫度和輻射傳感器可以檢測到環境變化，電壓和功率傳感器可以檢測到故障攻擊。電路如柔性電路、鎳鉻線和纏繞在關鍵電路或電路板上特定元件上的光纖，用于檢測包裝器的擊穿、損壞或試圖修改的企圖。

• 篡改反應：當篡改發生時，篡改反應機制是一個應對策略，對此類事件的響應是可配置的。敏感數據被清除后，中斷信號發送到安全監視器上，確認這項工作已經完成，以便它重新啟動處理器并繼續執行。硬件發生故障時，軟件故障操作模塊可能被執行，緩存和內存被歸零，系統被重置。較小和較嚴重的后果都可能出現。最小的后果是什么也不做，或者可以將事件記錄下來供以后分析。嚴重后果可能是設備“變磚”，硬件徹底被損壞。這意味著在清除所有敏感數據、緩存和內存之后，不能再次啟動節點，必須更換節點。

• 建立和維持信任：可信計算（TCB）涉及平臺硬件、軟件、網絡部件，如果違反了安全規定，系統中的安全策略具有糾正不可信行為的能力。TCB中的組件和代碼越多，就越難保證它沒有bug和安全漏洞。最好確保TCB盡可能小，以最小化其攻擊面。有時達不到這個要求，因為滿足實際要求的系統環境太復雜。在復雜系統環境的空余區域創建多個隔離和保護區域是創建小型TCB、減少攻擊面的方法之一。

• 安全啟動或驗證啟動：霧計算節點應該擁有一個硬件信任根用于驗證啟動過程。安全啟動和驗證啟動過程是物聯網霧計算參考架構用于驗證已簽署的固件映像，引導裝載程序、操作系統內核和軟件模組。

等級保護中對機房建設要求有以下這些：

• 機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內。機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層或隔壁；機房場地應當避開強電場、強磁場、強震動源、強噪聲源、重度環境污染、易發生火災、水災、易遭受雷擊的地區。

• 機房出入口應有專人值守，鑒別進入的人員身份并登記在案；應批準進入機房的來訪人員，限制和監控其活動范圍；應對機房劃分區域進行管理，區域和區域之間設置物理隔離裝置，在重要區域前設置交付或安裝等過度區域；應對重要區域配置電子門禁系統，鑒別和記錄進入的人員身份并監控其活動。

• 應將主要設備放置在物理受限的范圍內；應對設備或主要部件進行固定，并設置明顯的無法除去的標記；應將通信線纜鋪設在隱蔽處，如鋪設在地下或管道中等；應對介質分類標識，存儲在介質庫或檔案室中；設備或存儲介質攜帶出工作環境時，應受到監控和內容加密；應利用光、電等技術設置機房的防盜報警系統，以防進入機房的盜竊和破壞行為；應對機房設置監控報警系統。

• 機房建筑應設置避雷裝置；應設置防雷保安器，防止感應雷；應設置交流電源地線。

• 應設置火災自動消防系統，自動檢測火情、自動報警，并自動滅火；機房及相關的工作房間和輔助房，其建筑材料應具有耐火等級；機房采取區域隔離防火措施，將重要設備與其他設備隔離開。

• 水管安裝，不得穿過屋頂和活動地板下；應對穿過墻壁和樓板的水管增加必要的保護措施，如設置套管；應采取措施防止雨水通過屋頂和墻壁滲透；應采取措施防止室內水蒸氣結露和地下積水的轉移與滲透。

• 應采用必要的接地等防靜電措施；應采用防靜電地板。

網絡安全中網絡服務器密碼口令的管理要求有以下這些：

• 服務器和網絡設備的管理賬號密碼由網絡管理員持有，實行定期輪換制度，最長有效期不超過90天。

• 更換服務器與網絡設備密碼時必須執行密碼備案制度，以防遺失密碼，同時告知主管領導備案密碼。

• 用戶級密碼如網站、數據庫系統、網站信息管理系統等用戶賬號必須專人專號，不得互相泄露密碼。不同級別用戶間不得交換賬號使用，特殊情況須報告網絡管理員處理。

• 公共賬號，如公共FTP等不能向中心以外人員泄露，對外傳送文件必須使用臨時FTP。

• 如發現密碼及口令有泄密跡象，系統管理員要立刻報告部門負責人，嚴查泄露源頭，同時更換密碼。

• 對于要求重新設定密碼和口令的用戶，用戶必須與系統管理員商定密碼及口令，由系統管理員備案后操作。

• 公共賬號密碼變更，必須通知到相關部門。

• 如果網絡提供用戶自我更新密碼及口令的功能，用戶應謹慎修改密碼，并使其符合密碼復雜度要求，修改后必須牢記密碼。

等級保護由公安部牽頭其網安支隊認定，網安支隊監督是檢查、指導、協調全市公共信息網絡和國際互聯網的安全保護及管理工作，指導全市公安機關互聯網監控點建設和網上信息監控工作，查處危害公共信息網絡的違法犯罪案件，負責全市網吧安全管理工作及網吧違法案件的查處工作，負責重點領域計算機的安全管理工作。

公共信息網絡安全監察是國家賦予公安機關的一項重要職能，是公安機關在互聯網信息網絡領域承擔的 一項重要安全保衛任務。公共信息網絡安全監察部門是以網絡技術為主要手段，集情報信息、偵察控制 、打擊犯罪、防范管理于一體的實戰部門。

另外中國公安機關的職責還包括：

• 預防、制止和偵查違法犯罪活動；
• 防范、打擊恐怖活動；
• 維護社會治安秩序，制止危害社會治安秩序的行為；
• 管理交通、消防、危險物品；
• 管理戶口、居民身份證、國籍、出入境事務和外國人在中國境內居留、旅行的有關事務；
• 維護國（邊）境地區的治安秩序；
• 警衛國家規定的特定人員、守衛重要場所和設施；
• 管理集會、游行和示威活動；
• 監督管理公共信息網絡的安全監察工作；
• 指導和監督國家機關、社會團體、企業事業組織和重點建設工程的治安保衛工作，指導治安保衛委員會等群眾性治安保衛組織的治安防范工作。

不同維度下企業內網安全威脅有以下這些：

• 內部非法外聯：內部網絡用戶通過網卡（包括但不限于3G網卡和無線網卡）等設備上網，或將專網專用的計算機帶出內部網絡，接入到其他網絡，從而引發數據泄露等風險。

• 外部終端缺乏準入機制：未經認證授權的外部終端接入到內網，會導致組織內部重要信息泄露或丟失。企業很難管理接入終端對內網的非授權訪問，進而造成不可彌補的損失。未經檢查的移動設備（包括筆記本計算機、智能手機和平板計算機等）可能會接入企業內網，存儲內網數據，甚至成為病毒傳播的媒介。

• 病毒、蠕蟲入侵：目前，開放網絡面臨的病毒、蠕蟲具有傳播速度快、種類多、變化快等特點。病毒、蠕蟲非常容易利用各種途徑入侵企業內部網絡。除了企業網絡自身的安全漏洞以外，最大的威脅來自于企業內部安全管理不規范，例如未安裝或未及時更新病毒庫、允許接入未采取安全措施的外來設備等。這些都可能會將病毒和蠕蟲帶入企業內網，讓企業承擔風險。

• 惡意軟件：許多大型企業網絡擁有成千上萬的用戶終端，同時，可供使用的網絡應用層出不窮，網絡管理員很難快速精準地控制企業網上的各類應用，由此導致了諸多安全隱患。員工使用未經企業允許的網絡應用，如使用未經允許的郵件服務器收發郵件，就可能會使企業的保密數據外泄或感染郵件病毒，同時，在此過程中還可能下載到帶有病毒、木馬程序的惡意軟件，進而感染內部網絡，造成內部網絡中敏感數據的泄密或損毀。

• 軟件漏洞：企業網絡往往由種類繁多、數量龐大的軟件構成，例如系統軟件、數據庫軟件、應用軟件等，尤其是終端桌面上的軟件，它們管理起來尤為繁雜，每個軟件都不可避免地存在已知或者未知的漏洞，只要漏洞被利用，就會危害到企業的網絡安全。

• 系統和軟件的安全配置不當：很多系統、軟件在安裝時都會采取默認配置，例如默認的賬號策略和審核策略等。這些配置漏洞可被不法分子利用，從而對企業信息系統造成很大的威脅。

• 員工惡意行為或安全意識薄弱：員工在工作時段進行一些與工作無關的網絡活動，這會影響工作效率，也會造成網絡帶寬的浪費。而一些員工蓄意通過各種手段主動泄露公司機密，倒賣公司數據謀取非法利益，會使公司蒙受巨大損失。另外，員工安全意識薄弱，企業對員工行為的管理疏忽，以及安全政策、合規及內審等控制措施不到位，都會對企業造成風險。

縱深防御安全架構體系由以下方面組成：

• 展現層：展現層分為app客戶端以及web網頁端，app客戶端主要有DEX加殼保護，內存防dump，資源文件保護，防二次打包以及防調試保護等等，現在移動互聯網化，所以防御戰場很多轉向移動app端處理，特別是金融和游戲領域顯得尤為重要。另外一種就是web網頁端，雖然現在網頁版比較少，但是基于可動態調整的H5版本化也逐漸流行，所以這一塊的防護也是不容忽視，主要是js的混淆加密，以及頁面混淆加密機制。

• 網絡層：網絡層是中間人攻擊的主要手段，所以信息的脫敏變得尤為重要，數據的加密傳輸，HTTPS的加密傳輸協議甚至自定義加密傳輸協議（特別適用于app客戶端）就顯得比不可少，數據脫敏可以采取非對稱加密，但是非對稱加密有一個比較大的問題，cpu資源耗損較大，如果能在數據傳輸階段就直接采用不可逆加密使最好的，例如密碼加密傳輸可以直接采用MD5加簽傳輸，即使在網絡層獲取也無從得知明文，或者說得知明文的代價很大。網絡層還有一種就是類似云防御機制的WAF系統，通過流量導入，對接口請求的參數進行整體過濾防御，例如xss攻擊，sql注入，惡意文件后門傳輸等可以做到有效防御。

• 代理層：代理層主要是指類似nginx的代理層，這一層是流量進入系統的最后一個環節，所以nginx代理層的作用也非常重要，主要防護措施可以有：白名單限制，refer域名限制，以及流量控制等等。例如某個不法IP在一段時間之內訪問頻次過高，就直接將此ip下發到防火墻一層，直接通過網絡層把非法IP封殺過濾掉，例如有些電商的秒殺系統就有此做法。

• 接入層：接入層其實就可以說是系統業務處理的第一層關卡了，在這一層業務邏輯以及用戶行為的一些數據都可以獲取到，可以進行基于歷史數據進行智能模型建模，線上實時行為數據采集通過模型計算出本次訪問的風險系數，業務系統可以依據風險系數進行有效防御。這個系統要做好有價值的一個關鍵因素是數據，通過大量的線上數據喂給算法進行學習，算法會依據數據吐出一個模型框架，這個模型框架的準確度關系到實時風控的有效性。一個好的風控系統除了有大量有價值的數據之外，其次就是算法，算法的有效性直接決定了模型的有效性。

• 邏輯層：邏輯層負責進行數據運算的，所以在這一層主要還是一點，就是數據的脫敏，以及加密算法的選擇。例如密碼，在邏輯層密碼不應該顯示打印，而且在對密碼加密的算法選擇上需要精細考量，為什么呢？加密算法是一個cpu耗損型運算，而密碼又是一個極其敏感的數據，簡單加密很有可能慘遭破解，那如何平衡之間的關系就顯得很重要了。建議密碼存儲不能做簡單的一次hash運行算，可以通過倒置，混淆，重復疊加多次hash運算來實現。另外對于邏輯層還需要主意邏輯漏洞的防護，對客戶端傳遞的一切參數秉承不信任的做法。

• 存儲層：存儲層原則上是終極核心層，可以實施權限管控，這里所要說的其實是另外一個處理方式，就是在存儲層做”蜜罐”處理，”蜜罐”是安全防御領域里面的一個象形詞，它的基本做法是多復制幾個表，在表的取名上近似相像，如果有人操作這些表，就通過監控機制直接告警，使得問題盡早的暴露出來，達到一個早期防御的功效。

目前常用的審計技術有如下四種：

• 基于日志的審計技術：通常SQL數據庫和NoSQL數據庫均具有日志審計的功能，通過配置數據庫的自審計功能，即可實現對大數據的審計。

• 基于網絡監聽的審計技術：基于網絡監聽的審計技術是通過將對數據存儲系統的訪問流鏡像到交換機某一個端口，然后通過專用硬件設備對該端口流量進行分析和還原，從而實現對數據訪問的審計。

• 基于網關的審計技術：該技術通過在數據存儲系統前部署網關設備，在線截獲并轉發到數據存儲系統的流量而實現審計。

• 基于代理的審計技術：基于代理的審計技術是通過在數據存儲系統中安裝相應的審計 Agent，在Agent 上實現審計策略的配置和日志的采集，該技術與日志審計技術比較類似，最大的不同是需要在被審計主機上安裝代理程序。代理審計技術從審計粒度上要優于日志審計技術，但是，因為代理審計不是基于數據存儲系統本身的，性能上的損耗大于日志審計技術。在大數據環境下，數據存儲于多種數據庫系統中，需要同時審計多種存儲架構的數據，基于代理的審計，存在一定的兼容性風險，并且在引入代理審計后，原數據存儲系統的穩定性、可靠性、性能或多或少都會有一些影響，因此，基于代理的審計技術實際的應用面較窄。

選擇分布式防火墻的原因：

• 保證系統的安全性：分布式防火墻技術增加了針對主機的入侵檢測和防護功能，加強了對來自于內部的攻擊的防范，對用戶網絡環境可以實施全方位的安全策略，并提供了多層次立體的防范體系。

• 保證系統性能穩定高效：消除了結構性瓶頸問題，提高了系統整體安全性能。

• 保證系統的擴展性：伴隨網絡系統擴充，分布式防火墻技術可為安全防護提供強大的擴充能力。

分布式防火墻具有以下功能：

• 集中化的安全管理，強化安全策略

  由于Internet上每天都有上百萬人在那里收集信息、交換信息，不可避免地會出現個別品德不良的人，或違反規則的人，防火墻是為了防止不良現象發生的“交通警察”，它執行站點的安全策略，僅僅容許“認可的”和符合規則的請求通過。

• 網絡日志及使用統計

  因為防火墻是所有進出信息必須通路，所以防火墻非常適用收集關于系統和網絡使用和誤用的信息。作為訪問的唯一點，防火墻能在被保護的網絡和外部網絡之間進行記錄，對網絡存取訪問進行和統計

• 保護那些易受攻擊的服務

  防火墻能夠用來隔開網絡中一個網段與另一個網段。這樣，能夠防止影響一個網段的問題通過整個網絡傳播。

• 增強的保密

  用來封鎖有關網點系統的DNS信息。因此，網點系統名字和IP地址都不要提供給Internet。

• 實施安全策略

  防火墻是一個安全策略的檢查站，控制對特殊站點的訪問。所有進出的信息都必須通過防火墻，防火墻便成為安全問題的檢查點，使可疑的訪問被拒絕于門外。

OSI安全體系結構涉及以下幾個方面：

• 數據鏈路層：點到點通道協議(PPTP)，以及第二層通道協議L2TP

  PPTP(Point To Point Tunneling Protocol)點到點通道協議，是微軟推出的一種支持多協議虛擬專用網的新型技術，它可以使遠程用戶通過Internet安全的訪問企業網。也就是平時所用的VPN技術。使用此協議，遠程用戶可以通過任意一款網絡操作系統以撥號方式連接到Internet，再通過公網連接到他們企業網絡。即PPTP在所用的通道上做了一個簡單的加密隧道。

  L2TP(Layer 2 Tunnel Protocol)第二層通道協議，是Cisco的L2F與PPTP相結合的一個協議，是IETF標準協議。L2TP有一部分采用的是PPTP協議，比如同樣可以對網絡數據流進行加密。不過也有不同之處，比如PPTP要求網絡為IP網絡，L2TP要求面向數據包的點對點連接。PPTP使用單一隧道，L2TP使用多隧道。L2TP提供包頭壓縮、隧道驗證，而PPTP不支持。

• 網絡層：IP安全協議(IPSEC)

  IPSec是三層隧道協議，IPV4在設計時，只考慮了信息資源的共享，沒有過多的考慮到安全問題，因此無法從根本上防止網絡層攻擊。在現有的IPV4上應用IPSEC可以加強其安全性，IPSEC在網絡層提供了IP報文的機密性、完整性、IP報文源地址認證以及抗偽地址的攻擊能力。IPSEC可以保護在所有支持IP的傳輸介質上的通信，保護所有運行于網絡層上的所有協議在主機間進行安全傳輸。IPSEC網關可以安裝在需要安全保護的任何地方，如路由器、防火墻、應用服務器或客戶機等。

• 傳輸層：安全套接字層(SSL)和傳輸層安全協議TLS

  SSL安全套接層(Secure Sockets Layer，SSL)是網景公司(Netscape)在推出Web瀏覽器首版的同時，提出的協議。SSL采用公開密鑰技術，保證兩個應用間通信的保密性和可靠性，使客戶與服務器應用之間的通信不被攻擊者竊聽。可在服務器和客戶機兩端同時實現支持，目前已成為互聯網上保密通訊的工業標準，現行Web瀏覽器普遍將Http和SSL相結合為HTTPS，從而實現安全通信。SSL協議的優勢在于它是與應用層協議獨立無關的。高層的應用層協議 (例如：Http、FTP、Telnet等等 ) 能透明的建立于SSL協議之上。SSL協議在應用層協議通信之前就已經完成加密算法、通信密鑰的協商以及服務器認證工作。在此之后應用層協議所傳送的數據 都會被加密，從而保證通信的私密性。

• 會話層：SOCKS代理技術

  SOCKS是一種網絡代理協議，主要用于客戶端與外網服務器之間通訊的中間傳遞。SOCKS是SOCKetS的縮寫。

  當防火墻后的客戶端要訪問外部的服務器時，就跟SOCKS代理服務器連接。這個代理服務器控制客戶端訪問外網的資格，允許的話，就將客戶端的請求發往外部的服務器。這個協議最初由Devid Koblas開發，而后由NEC的Ying-Da Lee將其擴展到版本4。最新協議是版本5，與前一版本相比，增加支持UDP、驗證，以及IPv6。根據OSI模型，SOCKS是位于應用層與傳輸層之間的中間層。

• 應用層：應用程序代理

  應用程序代理工作在應用層之上，位于客戶機與服務器之間，完全阻擋了二者間的數據交流。從客戶機來看，代理服務器相當于一臺真正的服務器;而從服務器來看，代理服務器又是一臺真正的客戶機。當客戶機需要使用服務器上的數據時，首先將數據請求發給代理服務器，代理服務器再根據這一請求向服務器索取數據，然后再由代理服務器將數據傳輸給客戶機。由于外部系統與內部服務器之間沒有直接的數據通道，外部的惡意侵害也就很難傷害到企業內部網絡系統。并對應用層以下的數據透明。應用層代理服務器用于支持代理的應用層協議，如：HTTP、HTTPS、FTP、TELNET等。由于這些協議支持代理，所以只要在客戶端的瀏覽器或其他應用軟件中設置“代理服務器”項，設置好代理服務器的地址，客戶端的所有請求將自動轉發到代理服務器中。然后由代理服務器處理或轉發該請求。