网络安全的定义
什么是网络安全？
1、国际化尺度组织（ISO）引用ISO-74982文献中对安全的定义：安全就是最大程度地减少数据和资源被攻击的大概性。
2、《计算机信息安全体系保护条例》中的第三条规范了包括计算机网络体系在内的计算机信息体系安全的概述：“计算机信息体系的安全保护，应当保障计算机及其相关的配套的装备、办法（含网络）的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护计算机信息体系的安全运行。”
3、从本质上讲，网络安满是指网络体系的硬件、软件和体系中的数据受到保护，不因偶然或恶意的攻击而受到粉碎，更改、泄露、体系一连可靠正常的运行，网络服务不中断。广义上来讲，凡是涉及到网络上信息的保密性、完整性、可用性、可控性和不能否认性的相关技能和理论都属于网络安全所要研究的领域。
4、欧共体（欧盟前身）对信息安全给出的定义如下：“网络与信息安全可被明白为：在既定的密级条件下，网络与信息体系抵御意外事件或恶意举动的能力。这些事件和举动将危及所存储或传输的数据，以及经过这些网络和体系所提供的服务的可用性、真实性和秘密性。”
网络安全的根本要素
保密性 保密性是指信息不能被非法授权访问，即非授权用户即使得到信息内容也无法使用，通常通过访问控制和数据加密来保障信息的保密性。
完整性 完整性是指只有授权的人才能修改实体或进程，而且能够判断实体或进程是否被修改，一般通过访问控制来阻止篡改，通过算法来验证信息是否完整。
可用性 可用性是信息资源服务功能和性能可靠性的度量，设计物理、网络、体系、数据、应用和用户等多方面因素，是对信息网络总体可靠性的要求。使用访问控制来阻止非授权用户进入网络。
可控性 可控性主要是指对国家书息（包括非法加密）的监视审计，控制授权范围内的信息运动及举动方式，使用授权机制，控制信息传播范围、内容，必要时能规复密钥，保障对网络资源及信息的可控性。
不能否认性 不能否认性是对出现的安全问题提供调查的依据和本领。使用审计、监控、防狡辩等安全机制，使攻击者、粉碎者、依赖者“逃不脱”，并进一步对网络出现的安全问题提供调查依据和本领，实现安全的可检察性，一般通过数字签名来实现。
网络安全的紧张性
随着信息科技的迅速发展及计算机网络的遍及，计算机网络深入国家的政府、军事、文教、金融、商业等诸多的领域，可以说网络无处不在。
网络脆弱性的原因
开放性的网络环境
协议自己的脆弱性
操作体系的弊端
人为因素
网络安全涉及的内容
物理安全
包管计算机信息体系各种装备的物理安全，是整个计算机信息体系安全的条件
网络安全
网络安全主要包括局域网和子网安全，数据传输的安全，网络运行安全，网络协议安全。
体系安全
包括操作体系的安全以及数据库体系的安全
应用安全
包括应用软件开辟平台安全和应用体系安全
管理安全
网络安全至关紧张的每每不是技能本领，而是对人的管理
渗出测试简介
什么是渗出测试？
渗出测试是通过模拟恶意黑客的攻击方法，来评估计算机网络体系安全的一种评估方法。这个过程包括对体系的任何缺点、技能缺陷或弊端的主动分析，这个分析是从一个攻击者大概存在的位置来进行的，而且从这个位置有条件主动利用安全弊端。
渗出测试还具备以下两个明显特点：
渗出测试是一个渐进的而且逐步深入的过程。
渗出测试是选择不影响业务体系正常运行的攻击方法进行的测试。
PETS渗出测试执行尺度
Step1、前期交互阶段：在前期交互阶段，在渗出测试团队与客户进行交互讨论，最紧张的是确定渗出测试的范围、目的、限定条件以及服务条约细节。
Step2、谍报搜集阶段：在目的范围确定之后，将进入谍报搜集阶段，渗出测试团队可以利用各种信息来源与搜集技能方法，实验获取更多关于目的组织网络拓扑、体系配置与安全防御步调的信息。
Step3、威胁建模阶段：在搜集到充足的谍报信息之后，渗出测试团队的成员们停下敲击键盘，大家聚到一起针对获取的信息进行威胁建模（Threat Modeling）与攻击规划。这是渗出测试过程中非常紧张，但很容易被忽略的一个关键点。
Step4、弊端分析阶段：在确定出最可行的攻击通道之后，接下来必要考虑该如何取得目的体系的访问控制权，即弊端分析（Vulnerability Analysis）。
Step5、渗出攻击阶段：渗出攻击是是渗出测试过程中最有魅力的环节。在此环节中，渗出测试团队必要利用他们所找出的目的体系安全弊端，来真正入侵体系当中，获得访问权。
Step6、后渗出攻击阶段：后渗出攻击是整个渗出测试过程中最能体现渗出测试团队创造力与技能能力的环节，前面的环节可以说是按部就班地完成非常普遍的目的，而在这个环节中，必要渗出测试团队根据目的组织的业务经营模式，保护资产形式与安全防御筹划的不同特点，自主设计出攻击目的，辨认关键基础办法，并探求客户组织最具价值和实验安全保护的信息和资产，最终能够对客户组织造成最紧张业务影响的攻击途径。
Step7、撰写报告阶段：渗出测试过程最终向客户组织提交，取得承认并乐成获得条约付款的就是一份渗出测试报告。这份谍报凝聚了之前所有阶段之中渗出测试团队所获取的关键谍报信息、探测和发掘出的体系安全弊端、乐成渗出攻击的过程，以及造成业务影响结果的途径，同时还要站在防御者的角度上，帮助他们分析安全防御体系中的单薄环节、存在的问题，以及修补与升级技能方案。
实际渗出测试中的流程
1、明确目的：当拿到一个渗出测试项目时，我们起首应该明确客户要求我们进行渗出测试的范围以及整体项目的时间。
2、信息网络：子域名、体系版本、架构、真实IP地点、whios查询、汗青弊端查询、指纹辨认等。
3、弊端发现：通过漏扫软件结合手动挖掘通例的web、体系等弊端。
4、弊端利用：由浅入深、旁敲侧推、尽大概的将弊端的价值发挥到最大化。
5、后渗出：包括内网渗出、权限维持、权限提拔，读取用户hash，这里一定要把握好尺度。
6、报告文档阶段：根据之前测试获取的弊端及企业要求去编写最终的渗出测试报告。
风险规避
不要进行诸如ddos攻击，不粉碎数据测试之前对紧张数据进行备份
任何测试执行前必须和客户进行沟通，以免引来不必要的贫苦
可以对原始体系天生镜像环境，然后对镜像环境进行的测试
明确渗出测试范围
…
OWASP Top 10应用安全风险-2017
A1：2017-注入：将不受信任的数据作为命令或查询的一部分发送到剖析器时，会产生诸如SQL注入、NoSQL注入、OS注入和LDAP注入的注入缺陷。攻击者的恶意数据可以诱使剖析器在没有得当授权的环境下执行非预期命令或访问数据。
A2：2017-失效的身份认证：通常，通过错误使用应用程序的身份认证和会话管理功能，攻击者能够破译密码、密钥或会话令牌，大概利用其它开辟缺陷来暂时性或永久性假冒其他用户的身份。
A3：2017-敏感数据泄露：许多Web应用程序和API都无法正确保护敏感数据，比方：财务数据、医疗数据和PII数据。攻击者可以通过偷取过修改未加密的数据来实验名誉卡诈骗、身份偷窃或其他犯罪举动。未加密的敏感数据容易受到粉碎，因此，我们必要对敏感数据加密，这些数据包括：传输过程中的数据、存储的数据以及浏览器的交互数据。
A4：2017-XML外部实体（XXE):许多较早的或配置错误的XML处理器评估了XML文件中的外部实体引用。攻击者可以利用外部实体偷取使用URL文件处理器的内部文件和共享文件、监听内部扫描端口、执行远程代码和实验拒绝服务攻击。
A5：2017-失效的访问控制：未对通过身份验证的用户实验恰当的访问控制。攻击者可以利用这些缺陷访问未经授权的功能或数据，比方：访问其他用户的账户、检察敏感文件、修改其他用户的数据、更改访问权限等。
A6：2017-安全配置错误：安全配置错误是最常见的安全问题，这通常是由于不安全的默认配置、不完整的临时配置、开源云存储、错误的HTTP标头配置以及包罗敏感信息的详细错误信息所造成的。因此，我们不光必要对所有的操作体系、框架、库和应用程序进行安全配置，而且必须及时修补和升级它们。
A7：2017-跨站脚本：当应用程序的新网页中包罗不受信任的、未经恰当验证或转义的数据时，大概使用可以创建HTML或Javascript的浏览器API更新现有的网页时，就会出现XSS缺陷。XSS让攻击者能够在受害者的浏览器中执行脚本，并劫持用户会话，粉碎网站或将用户重定向到恶意站点
A8：2017-不安全的反序列化：不安全的反序列化会导致远程代码执行，即使反序列化缺陷不会导致远程代码执行，攻击者也可以利用它们来执行攻击，包括：重播攻击、注入攻击和特权升级攻击。
A9：2017-使用含有已知弊端的组件：组件（比方：库、框架和其他软件模块）拥有和应用程序相同的权限。假如应用程序中含有已知弊端的组件的应用程序和API大概会粉碎应用程序防御、造成各种攻击并产生严重影响。
A10：2017-不足的日记记录和监控：以及事件响应缺失或无效的集成，使攻击者能够进一步攻击体系、保持一连性或转向更多体系，以及篡改、提取或销毁数据。大多数缺陷研究显示，缺陷被检测出的时间超过200天，且通常通过外部检测方检测，而不是通过内部流程或监控检测。
渗出测试术语简介
白帽子：白帽子形貌的是正面的黑客。通过技能本领辨认计算机体系或网络体系中的安全弊端，提交给厂商并提出修复方法。
黑帽子：为了谋取长处而行走在法律边沿乃至违法乱纪的骇客。
灰帽子：介质与好坏之间，无法详细的定性。
肉鸡：就是傀儡机，可以随意被控制的电脑或服务器。
木马：一些用来获取用户权限的程序大概代码段。
后门：为了方便二次进入体系留下的非常隐蔽的后门程序。
shell：命令执行环境，通常所说的拿Shell，就是拿到对方的命令执行环境。
webshell：通过Web入侵的一种脚本工具，可以据此对网站服务进行一定程度的控制。
poc：用来验证弊端存在的一段代码或程序。
EXP：弊端利用的一段代码或程序。
Payload：Payload即有效攻击载荷，可以是一段代码，被隐藏而且秘密发送的信息。
WAF：web应用防护体系，也称之为网站应用级入侵防御体系。
提权：利用一些本领将低权限提拔为高权限，这里的高权限一般为管理员或体系权限。
API：高级可一连性攻击，是指组织（特别是政府）大概小团体利用先进的攻击本领对特定目的进行恒久一连性网络攻击的供给形式（极强的隐蔽性、埋伏期长、一连性强、目的性强）。
CMS：内容管理体系，可以明白为网站的一种模板，将一些功能集中控制管理，是网站搭建变得更为快捷。
黑盒测试：即对内部环境一无所知的环境下进行渗出测试大概其他测试。
白盒测试：了解内部体系、结构、源码的环境下进行渗出测试或其他测试。
灰盒测试：介质于好坏盒之间的渗出测试或其它测试。
0day：0day弊端是指负责应用程序的程序员或供应商所未知的软件缺陷。由于该弊端未知，以是没有可用的补丁程序。
1day：1day刚发布但是已被发现官方刚发布补丁网络上照旧存在大量的Vulnerability。
Nday：Nday已经被公布出来的0day。
Proxy：代理。一类程序或体系，接收来自客户机算计的流量，并代表客户端与服务器交互，代理能用于过滤应用级别的制定类型的流量或缓存信息以提高性能。许多防火墙依赖代理进行过滤。
加壳/脱壳：“壳”是一段专门负责保护软件不被非法修改或反编译的程序，它们一般都是先于程序运行，拿到控制权，然后完成它们保护软件的使命。加壳就是将软件源码保护，脱壳相反。
Shellcode: shellcode是一段用于利用软件弊端而执行的代码，shellcode 为16进制的机器码，由于经常让攻击者获得shell而得名。
钓鲸攻击：捕鲸是另一种进化形式的鱼叉式网络钓鱼。它指的是针对高级管理职员和组织其他高级职员的网络钓鱼攻击。通过使电子邮件具有个性化并专门针对相关目的进行定制的攻击。
水坑攻击：顾名思义，是在受害者必经之路设置了一个"水坑(陷阱)” 。最常见的做法是，黑客分析攻击目的的上网运动规律，探求攻击目的经常访问的网站的缺点，先将此网站“攻破”并植入攻击代码，一旦攻击目的访问该网站就会“中招”。
横向移动：在纵向获取到某个服务器的权限时，我们可以以该服务器为跳板，进行横向拓展的内网攻击。
电信诈骗：是指通过电话、网络和短信方式，编造虚伪信息，设置骗局，对受害人实验远程、非打仗式诈骗，诱使受害人打款或转账的犯罪举动，通常以假冒他人及仿冒、伪造各种合法外套和形式的方式达到欺骗的目的。
杀猪盘：网络盛行词，电信诈骗的一种，是一种网络结交诱导股票投资、赌博等类型的诈骗方式，"杀猪盘” 则是”从业者们”自己起的名字，是指放长线“养猪”诈骗，养得越久，诈骗得越狠。
脱库：将数据库中的数据导出。
社工库：一种黑客将泄露在暗网/公网上的用户数据整合起来，并用来查询大概社工的本领的工具。
撞库攻击：在获取到用户的一组账号密码时，实验用该账号登录其他站点/app等。
旁站：同一台服务器上大概存在其他的站点。
蜜罐：可以联想为谍报网络体系，用来诱导黑客进行攻击，以此来判断黑客举动，乃至完成反制。
挂马：就是在别人的网站文件里面放入网页木马大概是将代码潜入到对方正常的网页文件里，以使浏览者中马。
网络钓鱼（Phishing）：是"Fishing" 和" hone" 的综合体，由于黑客始祖早先是以电话作案，以是用"h” 来代替“F”，创造了"hishing" 。然而，当今的“网络钓鱼"攻击利用欺骗性的电子邮件和伪造的Web站点来进行诈骗运动，上当者每每会泄露自己的财务数据，如名誉卡号、账户用户名、口令和社保编号等内容。
cc攻击：攻击者借助代理服务器天生指向受害主机的合法请求，实现DDOS和伪装就叫: CC(Challenge Collapsar)CC主要是用来攻击页面的。
Dos攻击：拒绝服务攻击。攻击者通过利用弊端或发送大量的请求导致攻击对象无法访问网络大概网站无法被访问。
DDos攻击：分布式DOS攻击，常见的UDP、SYN、 反射放大攻击等等，就是通过许多台肉鸡一起向你发送一些网络请求信息，导致你的网络堵塞而不能正常上网。
抓鸡：利用弊端或其他本领批量的在公网上获取存在弊端的主机，将其沦为肉鸡。
C2：C2全称为CommandandControl, 命令与控制，常见于APT攻击场景中。作动词解释时明白为恶意软件与攻击者进行交互，作名词解释时明白为攻击者的“基础办法”。
鱼叉攻击：鱼叉攻击是将用鱼叉捕鱼形象的引入到了网络攻击中，主要是指可以使欺骗性电子邮件看起来更加可信的网络钓鱼攻击，具有更高的乐成大概性。不同于撒网式的网络钓鱼，鱼叉攻击每每更加具备针对性，攻击者每每"见鱼而使叉"。
黑产：网络黑产，指以互联网为媒介，以网络技能为主要本领，为计算机信息体系安全和网络空间管理秩序，乃至国家安全、社会政治稳定带来埋伏威胁(重大安全隐患)的非法举动。比方非法数据买卖业务产业。
红队：通常指攻防训练中的攻击队伍。
蓝队：通常指攻防训练中的防守队伍。
紫队：攻防训练中新近诞生的一方，通常指监理方大概裁判方。
IDS：入侵检测体系，用于在黑客发起进攻或是发起进攻之前检测到攻击，并加以拦截。IDS是不同于防火墙。防火墙只能屏蔽入侵，而IDS却可以在入侵发生以前，通过一些信息来检测到即将发生的攻击或是入侵并作出反应。
IPS：IPS全称为Intrusion-PreventionSystem, 即入侵防御体系，目的在于及时辨认攻击程序或有害代码及其克隆和变种，采取预防步调，先期阻止入侵，防患于未然。大概至少使其危害性充分降低。入侵预防体系一 般作为防火墙和防病毒软件的增补来投入使用。
堡垒机：运用各种技能本领监控和记录运维职员对网络内的服务器、网络装备、安全装备、数据库等装备的操作举动，以便集中报警、及时处理及审计定责。
VPN：虚拟专用网，在公用网络上建立专用网络，进行加密通讯，通过对数据包的加密和数据包目的地点的转换实现远程访问。
科学上网：fq,翻越c防火墙，访问国外外网，实际上是一种不合法的举动。
CTF（夺旗赛）：CTF (CaptureThe Flag)中文一般译作夺旗赛,在网络安全领域中指的是网络安全技能职员之间进行技能竞技的一种角逐形式。
awd攻防对抗赛：AWD(AttackWithDefense, 攻防兼备)模式是一个非常有意思的模式，你必要在一场角逐里要饰演攻击方和防守方，攻者得分，失守者会被扣分。也就是说，攻击别人的靶机可以获取Flag分数时，别人会被扣分,同时你也要保护自己的主机不被别人得分，以防扣!
网络安全学习蹊径
这是一份网络安全从零基础到进阶的学习蹊径大纲全览，小同伴们记得点个收藏！
阶段一：基础入门
网络安全导论
渗出测试基础
网络基础
操作体系基础
Web安全基础
数据库基础
编程基础
CTF基础
该阶段学完年薪15w+没有问题
阶段二：技能进阶（到了这一步你才算入门）
弱口令与口令爆破
XSS弊端
CSRF弊端
SSRF弊端
XXE弊端
SQL注入
恣意文件操作弊端
业务逻辑弊端
该阶段学完年薪25w+
阶段三：高阶提拔
反序列化弊端
RCE
综合靶场实操项目
内网渗出
流量分析
日记分析
恶意代码分析
应急响应
实战训练
该阶段学完即可年薪30w+
阶段四：蓝队课程
蓝队基础
蓝队进阶
该部分主攻蓝队的防御，即更容易被大家明白的网络安全工程师。
攻防兼备，年薪收入可以达到40w+
阶段五：面试指南&阶段六：升级内容
必要上述蹊径图对应的网络安全配套视频、源码以及更多网络安全相关书籍&面试题等内容可在文章后方领取。
假如你对网络安全入门感兴趣，那么你必要的话可以点击这里网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！
大概扫描下方csdn官方互助二维码获取哦！
感谢您观看我的文章，谢谢！！
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。 |
