局域網攻擊的常用手段，他舉的這個栗子也很不錯，但是他只是介紹了ARP欺騙的原理沒有說攻擊手法，我們一般可以通過ARP攻擊實現局域網斷網攻擊，具體攻擊手法先查看局域網中的ip地址使用fping -asg 10.10.10.0/24這個命令查看局域網ip有哪些，這里假設發現了10.10.10.128和10.10.10.138這兩個ip地址。我們接下來使用netstat -rn查看局域網網關是多少這樣我們就可以使用10.10.10.138對10.10.10.128實施ARP攻擊了，使用arpspoof -i eth0 -t 10.10.10.254 10.10.10.128這個命令我們對10.10.10.128這個ip地址成功的實施了斷網攻擊。這個攻擊在局域網中是比較常見的希望能有用。

等級保護工作的核心是定級，由系統運用、使用單位根據《信息系統安全等級保護定級指南》自主確定信息系統的安全保護等級，有主管部門的，應當經主管部門審批。

安全保護等級初步確定為第二級及以上的等級保護對象，其運營使用單位應當依據《網絡安全等級保護定級指南》進行初步定級、專家評審、主管部門審批、公安機關備案審查，最終確定其安全保護等級。

內網相對于外網要安全：

內網：具有較高的數據傳輸率、具有較低的誤碼率、具有較低的時延、可支持的工作站數可達幾千個、支持多種媒體訪問協議、能進行廣播等；

外網優勢：距離不受限制、高效率、高精準度、實時便捷、互動聯系等。

一、名詞概念

內網

即局域網是指在某一區域內由多臺計算機互聯成的計算機組。一般是方圓幾千米以內。局域網可以實現文件管理、應用軟件共享、打印機共享、工作組內的日程安排、電子郵件和傳真通信服務等功能。局域網是封閉型的，可以由辦公室內的兩臺計算機組成，也可以由一個公司內的上千臺計算機組成。

外網

即廣域網，又稱公網。是連接不同地區局域網或城域網計算機通信的遠程網。通常跨接很大的物理范圍，所覆蓋的范圍從幾十公里到幾千公里，它能連接多個地區、城市和國家，或橫跨幾個洲并能提供遠距離通信，形成國際性的遠程網絡。廣域網并不等同于互聯網。

二、內網、外網的區別

1、ip地址設置的區別，一般內網有自己的IP號段，也不會和互聯網號段沖突，內網就是從路由器以下開始的，而且IP都是以192開頭的IP。一般是不能擁有外網IP的，因為個人或者小群體用外網也是一種資源浪費，所以一般都是通過內網去上網的，外網Ip一般都是用于公司企業，學校等機構的。

2、內網電腦連接外網需要一個統一出口，可能被限制一些不必要的訪問，而外網就不經路由器或交換機就可以上網的網絡，可以直接被外界所訪問到，無需經如何設備，直接連接電腦。

3、內網相對外網會多一層安全防火墻（外網路由），相對來說抵御來自外網的攻擊能力會好一些；內網不足之處在于，可能會遭到來自內部的攻擊；因為要共享帶寬，相對網速可能會慢些（終端越多越慢）。

4、內網的ip可以經常換，可以自己定義規則；而外網的ip一般都是固定的，你裝好寬帶的時候，你的ip就固定下來了。

入侵檢測技術的發展方向有以下這些：

• 更廣泛的信息源：網絡入侵的形式越來越復雜，各種類型的網絡應用都可能被攻擊者利用。實施入侵檢測必須盡可能廣泛地收集與入侵行為相關的信息。主機系統的信息、網絡系統的信息、應用系統的信息，如交換機、路由器等通信硬件設備的信息、防火墻等安全產品的信息，終端客戶主機的配置信息，以及通信連接情況等，與入侵相關的信息都應當被收集，并及時、高效地加以分析，為第一時間檢測入侵奠定扎實的基礎。

• 更快速的處理能力：寬帶網絡技術發展迅速，千兆以太網日益普及，網絡帶寬的增長速度甚至超越了計算機處理能力的增長速度。入侵檢測系統在對數據包進行檢查的過程中，往往需要拆封數據包并查看數據負載，此過程需要消耗計算資源。網絡帶寬的增長意味著入侵檢測系統在單位時間內需要處理的數據包數量迅猛增加，也就意味著入侵檢測系統必須耗費更多的計算資源來完成必需的檢查。目前，入侵檢測系統的性能指標與實際需求之間還有很大差距。入侵檢測系統的硬件體系、軟件結構及處理算法都需要進一步改進，從整體上進一步提升運行速度和工作效率。

• 分布式的體系結構：傳統的入侵檢測系統大多采用集中式的體系結構，多個探測結點分別采集信息，并將采集到的信息提交給系統的中心控制器進行集中的分析和處理。集中式的體系結構存在多方面缺陷。第一，信息傳輸存在時延開銷。探測結點采集的信息發送到中心控制器，存在傳輸時延的問題。或者說，信息收集和信息處理兩者之間存在時間上的滯后。中心控制器處理的信息并不能反映網絡的實時狀態，難以實時發現入侵。第二，信息傳輸會在一定程度上增加網絡通信負擔，影響網絡的通信性能。第三，中心控制器是整個體系中的檢測瓶頸，如果中心控制器的處理能力無法滿足入侵檢測的計算要求，將有很多信息無法及時處理，造成漏報。此外，中心控制器一旦出現故障，整個入侵檢測系統將失效。入侵檢測系統采用分布式的體系結構，往往會利用智能代理技術構建。在分布式的入侵檢測系統中，需要指定一些代理作為中央代理，負責整體的協調和分析工作，再使用一些本地代理負責局域性事件的處理。網絡中每個中央代理在收集本地代理信息的基礎上可以信息共享，相互協同。分布式體系結構強調全體智能代理協同工作，準確分析和處理入侵者的攻擊意圖和攻擊手段。

• 分布式的體系結構：傳統的入侵檢測系統大多采用集中式的體系結構，多個探測結點分別采集信息，并將采集到的信息提交給系統的中心控制器進行集中的分析和處理。集中式的體系結構存在多方面缺陷。第一，信息傳輸存在時延開銷。探測結點采集的信息發送到中心控制器，存在傳輸時延的問題。或者說，信息收集和信息處理兩者之間存在時間上的滯后。中心控制器處理的信息并不能反映網絡的實時狀態，難以實時發現入侵。第二，信息傳輸會在一定程度上增加網絡通信負擔，影響網絡的通信性能。第三，中心控制器是整個體系中的檢測瓶頸，如果中心控制器的處理能力無法滿足入侵檢測的計算要求，將有很多信息無法及時處理，造成漏報。此外，中心控制器一旦出現故障，整個入侵檢測系統將失效。入侵檢測系統采用分布式的體系結構，往往會利用智能代理技術構建。在分布式的入侵檢測系統中，需要指定一些代理作為中央代理，負責整體的協調和分析工作，再使用一些本地代理負責局域性事件的處理。網絡中每個中央代理在收集本地代理信息的基礎上可以信息共享，相互協同。分布式體系結構強調全體智能代理協同工作，準確分析和處理入侵者的攻擊意圖和攻擊手段。

• 綜合的安全態勢感知：隨著網絡戰這一新的戰爭形式的出現，以APT攻擊為代表的網絡攻擊技術向專業化、復雜化、隱蔽化和長期化方向發展，給現有的入侵檢測技術帶來了嚴峻的挑戰。斯諾登事件披露出來的一系列材料充分說明了這一點。如何從海量主機和網絡數據中發現潛在的安全威脅，準確了解并預測網絡的安全態勢，是入侵檢測技術下一步重點需要解決的問題。

網絡運營商使用信息化云有以下優勢：

• 應用靈活部署：得益于平臺層（PaaS 平臺和 IaaS 平臺）提供的云化中間件服務、開發 SDK、計算框架等能力，構建基于云計算的運營商信息化基礎架構（如云化的管理/運營支撐系統、運營商網管系統），架構自主可控。同時也實現應用的快速開發、快速部署、快速構建。降低業務開發部署難度，大幅提升新業務的上線能力，迅速響應客戶需求，降低試錯成本。

• 海量處理能力：運營商可通過信息化云組建超級計算機，解決資源的規模提供以及大型系統的計算/存儲能力問題，提供更強大的運營數據挖掘分析、信息處理服務等能力。

• 資源動態擴展：相較于傳統信息化平臺，信息化云可提供資源動態伸縮及流轉。在運營商業務高峰期，如月底開賬、群障保修等情況下，啟動閑置資源，納入系統提升能力。而在業務負載低的情況下，則可釋放資源，轉入節能模式，從而在保障業務平穩有序的情況下，達到資源綠色、低碳的應用效果。

• 統一運營管理：信息化云實現了基于統一的底層平臺架構承載各類業務系統應用，統一視圖，數據一點生成，全局共享，全網集約化運營。也可通過遠程、自動化等方式，實現應用系統部署、性能故障監控、資源管理和設備維護等高效運維功能。

• 激活創新動力：構建統一開放的移動互聯網創新應用托管平臺，利用云計算的海量存儲及分布式計算能力，集成電信業務、網絡能力，加快移動互聯網業務創新。通過構建運營商云平臺，對外開放自有能力和第三方能力，從而有效聚合產業鏈，提高用戶黏度。

計算機病毒發作之前主要是以潛伏、傳播為主。計算機病毒會以各式各樣的手法來隱藏自己，在不被發現同時，又自我復制，以各種手段進行傳播。以下是一些計算機病毒發作前常見的現象：

• 平時運行正常的計算機突然經常性無緣無故地死機。

• 操作系統無法正常啟動。

• 運行速度明顯變慢。

• 以前能正常運行的軟件經常發生內存不足的錯誤。

• 打印和通訊發生異常。

• 無意中要求對軟盤進行寫操作。

• 以前能正常運行的應用程序經常發生死機或者非法錯誤。

• 系統文件的時間、日期、大小發生變化。

• 打開Word文檔后，該文件另存時只能以模板方式保存無法另存為一個DOC文檔，只能保存成模板文檔（DOT）。這往往是打開的Word文檔中感染了Word宏病毒的緣故。

• 磁盤空間迅速減少。

• 網絡驅動器卷或共享目錄無法調用。

• 自動鏈接到一些陌生的網站。

滲透威脅建模階段主要工作如下：

• 分析業務資產：主要是分析私人身份信息，健康信息和信用卡信息，定義和找出組織的知識產權和企業的關鍵資產。其中企業分關鍵資產也是需要著重關注的部分，包括商業機密，研發和開發，市場計劃，企業銀行卡 / 信用卡賬戶，客戶資料，供應商資料，關鍵雇員（董事會、中間層管理、系統管理員、工程師、技術專家、人力資源、總裁助理）信息等。

• 分析業務流程：這部分主要是分析企業業務上使用的基礎設施，人力基礎設施，使用的第三方平臺。分析這些平臺上的業務流程，可以根據業務流程建立初步模型。

• 威脅對手和社區分析：威脅對手包括企業的內部矛盾和外部競爭對手，國家政府的限制，有組織的犯罪團伙，黑客等。其中公司的內部矛盾體現在內部人員的關系上，需要分析內部人員的關系網。

• 威脅能力分析：威脅能力分析主要是對使用的工具，可用的相關滲透測試代碼和攻擊載荷，通信機制（加密，下載站點，命令控制，安全宿主站點）等進行分析。

• 查找歷史攻擊記錄：這一步主要是查找被測試網站是否被攻擊過，如果被攻擊過可以查找攻擊者的攻擊手法，然后查找這些被攻擊的位置是否被修復，如果沒被修復可以嘗試再次攻擊。

以下這些可以作為識別潛在漏洞條件的依據：

• HTTP狀態碼：Web 服務器的請求響應包含一個三位數字的代碼以標識請求的狀態。在 RFC2616-超文本傳輸協議-HTTP/1.1的第十部分可以找到完整的狀態碼列表。狀態碼可以提供確定哪些模糊請求需要進一步研究的線索。例如，一系列 500 錯誤（表示“內部錯誤”的狀態碼）可能意味著前面的請求導致服務器發生錯誤。401錯誤（表示“未授權錯誤”的狀態碼）則意味著被請求的頁面存在，但是受密碼保護。

• Web服務器錯誤消息：Web應用可能會直接在Web頁面內容中顯示錯誤消息。使用正則表達式來解析包含在響應中的HTML可以找到這類消息。

• 中斷連接：如果某個模糊測試輸入導致Web服務器掛起或發生崩潰，后續請求將不能成功地連接到服務器。因此，模糊測試工具應當維護日志文件，記錄管道中斷或是連接失敗事件。當查看日志文件并發現一系列的連接失敗后，就可以直接查看剛好在發生錯誤的日志條目之前的請求，確定故障所在。

• 日志文件：大多數Web服務器可以被配置為記錄多種類型的錯誤。這些日志同樣可以提供發現哪些模糊請求會導致一個可被利用的條件發生的線索。使用日志文件所面臨的難點是無法直接根據日志文件找到導致錯誤的請求。將請求和錯誤日志聯系起來的一個可行方法是，將攻擊計算機和目標計算機的時鐘進行同步，查看請求和日志條目的時間戳，這樣可以縮小需要檢查的范圍，但它仍然不能準確、確定地將某個模糊測試請求關聯到它導致的故障。

• 事件日志：事件日志也不能直接對應到相應的請求，但可以通過時間戳關聯到特定事件，在這一點上它與Web服務器日志類似。微軟的Windows操作系統使用了事件日志，可以通過事件查看器（Event Viewer）應用查看事件日志。

• 調試器：鑒別已處理和未處理異常的最好方法是，在開始模糊測試之前將目標應用連接到調試器。錯誤處理機制可能會掩蓋模糊測試導致的許多明顯的故障表現，但通過調試器通常可以發現這些錯誤。尋找已處理的異常和尋找未處理的異常同樣重要，因為錯誤處理機制會處理某些特定類型的錯誤，如解引用空指針以及格式字符串引發的異常，但如果給定恰當的輸入，它們也可以成為可被利用的漏洞。和上面的異常檢測方法一樣，這里面臨的最大挑戰仍然是確定哪個請求導致異常的產生。在Web應用模糊測試方面調試器有一定的局限性，因為調試器可以發現服務器的異常，卻不能發現應用層的異常。

密評的對象是采用商用密碼技術、產品和服務集成建設的網絡與信息系統，評估內容包括密碼應用安全的三個方面：合規性、正確性和有效性。

• 商用密碼應用合規性評估：商用密碼應用合規性評估是指判定信息系統使用的密碼算法、密碼協議、密鑰管理是否符合法律法規都和密碼相關國家標準、行業標準的有關要求，使用的密碼產品和密碼服務是否經過國家密碼管理部門核準或由具備資格的機構認證合格。

• 商用密碼應用正確性評估：商用密碼應用正確性評估是指判定密碼算法、密碼協議、密鑰管理、密碼產品和服務使用是否正確，即系統中采用的標準密碼算法、協議和密鑰管理機制是否按照相應的密碼國家和行業標準進行正確的設計和實現，自定義密碼協議、密鑰管理機制的設計和實現是否正確，安全性是否滿足要求，密碼保障系統建設或改造過程中密碼產品和服務的部署和應用是否正確。

• 商用密碼應用有效性評估：商用密碼應用有效性評估是指判定信息系統中實現的密碼保障系統是否在信息系統運行中發揮了實際效用，是否滿足了信息系統的安全需求，是否切實解決了信息系統面臨的安全問題。

web應用防火墻包括以下這些類型：

• 云WAF類：云WAF基于云端的檢測，安裝簡單，修改DNS解析或在服務器安裝云WAF的模塊即可。

• 硬件WAF類：硬件WAF串聯在內網的交換機上，防護范圍大。軟件WAF安裝在服務器上，根據網站流量決定占用的內存量。

• 軟件WAF類：軟件WAF采用純軟件的方式實現，特點是安裝簡單，容易使用，成本低。但它的缺點也是顯而易見的，因為它必須安裝在Web應用服務器上，除了性能受到限制外，還可能會存在兼容性、安全等問題

• 網站內置WAF類：網站內置WAF在系統后臺內置一項安全功能以便管理者使用。在這些類別內，硬件WAF防護能力較強，當然這只是按照類別對比。

• 交換模式(二層模式)

交換模式的防火墻其實等于從數據鏈路層開始解析的基于包過濾原理/ 狀態機制的網絡級防火墻；如果防護墻支持路由模式，則即等于帶有加強的過濾規則和狀態機制的路由器。

• 路由模式(三層模式）

當防火墻位于內部網絡和外部網絡之間時，需要將防火墻與內部網絡、外部網絡以及DMZ 三個區域相連的接口分別配置成不同網段的IP 地址，重新規劃原有的網絡拓撲，此時相當于一臺路由器。

• 混合模式

如果防火墻既存在工作在路由模式的接口（接口具有IP 地址），又存在工作在透明模式的接口（接口無IP 地址），則防火墻工作在混合模式下。混合模式主要用于透明模式作雙機備份的情況，此時啟動VRRP（Virtual Router Redundancy Protocol，虛擬路由冗余協議）功能的接口需要配置IP 地址，其它接口不配置IP地址。

網絡安全測試的六個標準種類如下：

• 盲測（blind）：事先不了解目標系統的任何情況的測試就是盲測。然而，在評估過程開始之前，被測單位會知道何時開始安全測試。道德黑客（Ethical hacking）和對抗競賽（War Gaming）就是典型的盲測。因為盲測遵循了道德規范，事先通知被測單位，所以這種測試方法也被廣泛接受。

• 雙盲測試（double blind）：在雙盲測試中，審計人員事先不清楚目標系統的情況，被測單位事先也不會知道將有安全測試。黑盒審計和滲透測試都屬于雙盲測試。當前絕大多數的安全審計采用雙盲測試方法。對于審計人員來說，選擇能夠勝任的最佳工具和最佳技術已經是一種考驗了。

• 灰盒測試（grey box）：在灰盒測試中，審計師僅了解被測系統有限的情況，被測單位也會知道審計開始和結束的時間。脆弱性評估就屬于灰盒測試。

• 雙灰盒測試（double grey box）：雙灰盒測試工作的方式類似于灰盒測試。只不過在雙灰盒測試中，會給審計人員定義一個時限，而且這種測試不涉及信道測試和滲透矢量。白盒審計就屬于雙灰盒測試。

• 串聯測試（tandem）：在串聯測試中，審計人員對目標系統只有最低限度的了解，而在測試開始前他們會通告被測單位。需要注意的是，串聯測試會測試得比較徹底。水晶盒測試和內部審計都是串聯測試的例子。

• 逆向測試（reversal）：在逆向測試中，審計員充分了解目標系統；而被測單位將永遠不會知道測試的時間或方式。

提高域名的安全性的方式有以下七種：

• 帳號和密碼的安全

  一定要加強賬號和密碼安全，不要使用通用賬號密碼作為注冊域名時的賬號和密碼，以及郵箱的密碼。密碼強度盡量設置得復雜，包含大小寫字母、數字、字符等，長度在8位以上。如果可能，進行賬戶的二次驗證，并時常更換密碼。這樣做可以在一定程度上防止黑客破解其他網站的同名賬號和密碼，使用其來遍歷域名管理后臺，獲取用戶管理權限，進行域名轉移過戶等操作。

• 信息填寫準確域名出售表

  域名注冊時需要填寫個人信息，很多時候站長為了保護自己個人信息不被泄露，會在填寫時使用虛假的信息。雖然在一定程度上能夠避免自己的隱私不被泄露，但對域名的安全性來說是一個很大的隱患。

  在域名丟失的時候，我們可以憑借真實有效的信息來找回，但如果個人信息本身就是需要的情況下，域名就無法進行核對了。建站總離不開安全的話題，我們平時說得總是主機的安全，但從主機到網站數據再到域名，每一項都不容有失。

• 啟用雙因素身份驗證

  僅僅使用一個復雜的密碼還是不夠的，如果啟用雙因素驗證可能安全性會更高，比如：當您輸入密碼時，便會發送一條驗證碼到您的手機上。只有通過手機驗證碼才能正常登陸，這樣安全性會更高。

• 保護你的電子郵件地址

  郵箱賬戶是我們在注冊域名時重要的聯系方式，是進行信息核實的重要憑證，所以郵箱賬戶的安全至關重要。一旦郵箱被盜或者郵件被泄露，盜竊者很容易利用密碼找回功能進行密碼重置，然后通過郵箱發送郵件進行域名修改轉移操作。

• 鎖定域名狀態

  為了防止域名被其他人轉移、刪除和過戶，可以使用域名鎖鎖定域名狀態。當域名處于鎖定狀態時，無法進行任何修改操作，可以有效防止他人竊取域名。只有域名處于解鎖狀態時，才能對該域名進行修改操作，鎖定域名不會影響域名的正常解析。如果域名被解鎖，域名所有者會在第一時間收到操作通知郵件，如果是他人非法轉移就可以及時予以阻攔，保證域名的安全。

• 不要隨意點擊不明鏈接

  這類點擊不明鏈接而造成密碼被盜的事件常有發生，類似于釣魚郵件，里面存放木馬或其他病毒，通過點擊鏈接，密碼將會被泄露。這是一個比較細節的地方，現在基本域名注冊都是以“http”開頭，如果不是，很可能是虛假網站，所以最好在“http”開頭的網絡環境下對賬戶進行更改和設置。

• 不在公用場所登錄

  公用場所安全性差，也極易被安裝病毒程序，因此不要在網吧或公共WIFI的環境下登入域名賬戶。

Linux防火墻最顯著的特點就是Linux防火墻其實是操作系統本身所自帶的一個功能模塊，不和傳統防火墻一樣有硬件支持的，就是單純的一個軟件來進行防護，從某些角度來說Linux防火墻也可以看做為包過濾防火墻的一種。在Linux防火墻中，操作系統內核對到來的每一個數據包進行檢查，從它們的包頭中提取出所需要的信息，如源IP地址、目的IP地址、源端口號、目的端口號等，再與己建立的防火規則逐條進行比較。

防火墻產品的主要參數有以下這些：

• 吞吐量 (Throughput)：吞吐量是衡量一款防火墻或者路由交換設備的最重要的指標，它是指網絡設備在每一秒內處理數據包的最大能力。吞吐量意味這臺設備在每一秒以內所能夠處理的最大流量或者說每一秒內能處理的數據包個數。設備吞吐量越高，所能提供給用戶使用的帶寬越大，就像木桶原理所描述的，網絡的最大吞吐取決于網絡中的最低吞吐量設備，足夠的吞吐量可以保證防火墻不會成為網絡的瓶頸。舉一個形象的例子，一臺防火墻下面有 100 個用戶同時上網，每個用戶分配的是 10Mbps 的帶寬，那么這臺防火墻如果想要保證所有用戶全速的網絡體驗，必須要有至少 1Gbps 的吞吐量。吞吐量的計量單位有兩種方式：常見的就是帶寬計量，單位是 Mbps (Megabits per second) 或者 Gbps (Gigabits per second)，另外一種是數據包處理量計量，單位是 pps (packets per second)，兩種計量方式是可以相互換算的。在進行對一款設備進行吞吐性能測試時，通常會記錄一組從 64 字節到 1518 字節的測試數據，每一個測試結果均有相對應的 pps 數。64 字節的 pps 數最大，基本上可以反映出設備處理數據包的最大能力。所以從 64 字節的這個數，基本上可以推算出系統最大能處理的吞吐量是多少。

• 時延 (Latency)：時延是系統處理數據包所需要的時間。防火墻時延測試指的就是計算它的存儲轉發 (Store and Forward) 時間，即從接收到數據包開始，處理完并轉發出去所用的全部時間。在一個網絡中，如果我們訪問某一臺服務器，通常不是直接到達，而是經過大量的路由交換設備。每經過一臺設備，就像我們在高速公路上經過收費站一樣都會耗費一定的時間，一旦在某一個點耗費的時間過長，就會對整個網絡的訪問造成影響。如果防火墻的延時很低，用戶就完全不會感覺到它的存在，提升了網絡訪問的效率。時延的單位通常是微秒，一臺高效率防火墻的時延通常會在一百微秒以內。時延通常是建立在測試完吞吐量的基礎上進行的測試。測試時延之前需要先測出每個包長下吞吐量的大小，然后使用每個包長的吞吐量結果的 90%-100% 作為時延測試的流量大小。一般時延的測試要求不能夠有任何的丟包。因為如果丟包，會造成時延非常大，結果不準確。我們測試一般使用最大吞吐量的 95% 或者 90% 進行測試。測試結果包括最大時延，最小時延，平均時延，一般記錄平均時延。

• 新建連接速率 (Maximum TCP Connection Establishment Rate)：新建連接速率指的是在每一秒以內防火墻所能夠處理的 HTTP 新建連連接請求的數量。用戶每打開一個網頁，訪問一個服務器，在防火墻看來會是 1 個甚至多個新建連接。而一臺設備的新建連接速率越高，就可以同時給更多的用戶提供網絡訪問。比如設備的新建連接速率是 1 萬，那么如果有 1 萬人同時上網，那么所有的請求都可以在一秒以內完成，如果有 1 萬 1 千人上網的話，那么前 1 萬人可以在第一秒內完成，后 1 千個請求需要在下一秒才能完成。所以，新建連接速率高的設備可以提供給更多人同時上網，提升用戶的網絡體驗。新建連接速率雖然英文用的是 TCP，但是為了更接近實際用戶的情況，通常會采用 HTTP 來進行測試，測試結果以連接每秒 (connections per second) 作為單位。為什么針對防火墻要測試這個數據呢？因為我們知道防火墻是基于會話的機制來處理數據包的，每一個數據包經過防火墻都要有相應的會話來對應。會話的建立速度就是防火墻對于新建連接的處理速度。新建連接的測試采用 4-7 層測試儀來進行，模擬真實的用戶和服務器之間的 HTTP 教過過程：首先建立三次握手，然后用戶到 HTTP 服務器去 Get 一個頁面，最后采用三次握手或者四次握手關閉連接。測試儀通過持續地模擬每秒大量用戶連接去訪問服務器以測試防火墻的最大極限新建連接速率。

• 并發連接數 (Concurrent TCP Connection Capacity)：并發連接數就是指防火墻最大能夠同時處理的連接會話個數。并發連接數指的是防火墻設備最大能夠維護的連接數的數量，這個指標越大，在一段時間內所能夠允許同時上網的用戶數越多。隨著 web 應用復雜化以及 P2P 類程序的廣泛應用，每個用戶所產生的連接越來越多，甚至一個用戶的連接數就有可能上千，更嚴重的是如果用戶中了木馬或者蠕蟲病毒，更會產生上萬個連接。所以顯而易見，幾十萬的并發連接數已經不能夠滿足網絡的需求了，目前主流的防火墻都要求能夠達到幾十萬甚至上千萬的并發連接以滿足一定規模的用戶需求。并發連接數雖然英文用的是 TCP，但是為了更接近實際用戶的情況，通常會采用 HTTP 來進行測試。它是個容量的單位，而不是速度。測試結果以連接 (connections) 作為單位。基本測試的方法和 HTTP 新建連接速率基本一致，主要的區別在于新建連接測試會立刻拆除建立的連接，而并發連接數測試不會拆除連接，所有已經建立的連接會保持住直到達到設備的極限。

web防火墻有以下這些模塊：

• 預處理模塊：包含SSL解密加速和編解碼標準化兩部分，主要對SSL加密流量進行解密和加速，同時也對各種編碼進行歸一化和標準化。

• 檢測模塊：檢測模塊由三部分組成第一部分是基于特殊字符的過濾器，第二部分是自定義規則，第三部分基于會話的過濾器。

• 輸出過濾編碼模塊：基于敏感內容的過濾策略可以有效防止信息泄露，比如非法訪問數據庫文件和重要配置文件等。