企业官网建设流程全解析

网络安全防御

防火墙

防火墙主要用于逻辑隔离外部网络与受保护的内部网络； 防火墙是静态安全技术，安全策略是预先定义好的，策略之外的流量无法控制。

安全规则由匹配条件 + 处理方式两部分构成。

处理方式 3 种：

1. Accept：允许数据包通过
2. Reject：拒绝数据包，通知源端（返回拒绝消息）
3. Drop：丢弃数据包，不通知源端（直接扔掉，对方不知道）

2 种默认策略（高频考点）

1. 默认拒绝（推荐、安全）：一切未被允许的就是禁止。 只有匹配 Accept 规则才放行；所有不匹配全部拒绝。安全性高。
2. 默认允许（不安全）：一切未被禁止的就是允许。 匹配 Reject/Drop 才拦截；没匹配到直接放行，配置简单但风险大。

防火墙访问控制 4 层次（简答必考）

①服务控制：允许哪些服务访问（基于端口、IP，如 80 网页、25SMTP）

②方向控制：服务请求发起方向（内网→外网 / 外网→内网）

③用户控制：哪些用户可以访问（用户名、IP、MAC 标识用户）

④行为控制：检查服务内容，判断流量内容是否合规

防火墙的功能（简答）

1. 单点阻断，阻止未授权访问，隔离内外网，简化安全管理，防范 IP 欺骗、路由攻击。
2. 安全事件监控点，日志、告警集中在防火墙。
3. NAT 地址转换、网络流量审计记录。
4. 可作为 IPSec 平台，实现 VPN 虚拟专用网络。

防火墙局限性【超级高频！简答必背】

1. 不能防范绕过防火墙的攻击（内网主机拨号、无线接入，流量不走防火墙）
2. 不能消除来自内部的威胁（内部员工泄密、内网攻击）
3. 不能查杀病毒感染的程序 / 文件，无法扫描全部文件查杀恶意代码

二、核心基础概念：数据包 & 五元组

上网，所有信息不是一整块传过去，是拆成一个个小包裹（数据包）。 每个包裹外面写着标从哪来（源 IP），送到哪去（目标 IP），走哪个门（端口）。类比：快递包裹，外包装写寄件人、收件人。防火墙先看包裹外包装，高级的还能拆开看里面写了啥。网络传输的最小单元叫数据包。防火墙传统规则主要匹配五元组：

1. 源 IP
2. 目的 IP
3. 源端口
4. 目的端口
5. 协议（TCP/UDP/ICMP）

ACL（访问控制列表）：就是一条条五元组匹配规则，从上往下顺序匹配，匹配到一条就执行；全部不匹配，执行默认策略（行业惯例：默认拒绝）。

三、四大防火墙技术（按发展顺序）

1. 包过滤防火墙（第一代，网络层 / 传输层，无状态）

只看数据包头部（信封信息），不看包里面的数据内容，不记录连接会话。只看快递外包装，不看包裹里面东西。 规则比如：不让外网包裹直接送到内网电脑的 3389 端口。 缺点：坏人可以伪造快递外包装蒙混过关。

• 优点：速度极快、开销小、部署简单，路由器自带简易包过滤
• 缺点：无状态，无法识别 IP 欺骗；不知道数据包属于哪个会话；不能识别应用层攻击
• 例子：路由器 ACL

2. 状态检测防火墙（第二代，当前传统防火墙主流）

核心：多了一张会话表（Session 表），记住谁先发起的连接。

1. 收到一个数据包
2. 先检查包本身是不是残缺、非法，无效直接扔了，记日志
3. 去会话表里查一查
   • ✅找到了这条会话记录：核对序列号、会话状态没问题 → 做 NAT 地址转换，把包转发出去
   • ❌对不上：直接丢包，记录审计日志
4. 会话表里没有这条记录（新连接）
   • 去匹配防火墙策略（ACL 规则）
   • 策略允许：新建一条会话记录写到会话表，转发数据包
   • 策略不允许：直接丢包，记日志

• 缺点：依然只能看包头，无法解析应用层内容，防不了 SQL 注入、Web 攻击

3. 应用代理防火墙（应用层网关，第三代）

防火墙充当中间人，内外网不直接通信，所有流量由防火墙代理转发。内部主机不会直接暴露公网。开源Web应用防火墙有ModSecurity、WebKnight、 Shadow Daemon等。

• 优点：安全性最高，可以深度理解应用协议（HTTP/FTP）
• 缺点：性能差，每种应用需要单独代理，延迟高，现在很少单独使用

4. 下一代防火墙 NGFW（Next-Generation Firewall，现代企业主流）

在状态检测基础上，增加DPI 深度包检测Deep Packet Inspection，可以拆开数据包，读取应用层内容。 新增能力：

• 识别应用（微信、抖音、网盘，不再只靠端口），老防火墙：靠端口判断业务； NGFW：看包里面的数据，认出这是抖音 / 微信。 举例：公司规则，禁止上班刷抖音。NGFW 直接识别抖音流量，直接阻断，哪怕抖音走 443 端口。
• 入侵防御 IPS、病毒查杀、URL 过滤（识别访问的网站地址，禁止访问某些网站（比如不良网站）。）、用户账号识别
• QoS 流量管，流量限速 / 优先保障。 例：公司业务系统优先，网盘下载限速，不让大文件下载占满带宽。

注意：NGFW ≠ WAF。WAF 是Web 应用防火墙，专门防护网站（HTTP/HTTPS），抵御 SQL 注入、XSS 等 Web 攻击，属于应用层专用防火墙。

外网黑客 → NGFW NGFW 看：目标是 DMZ 服务器的 443 端口，规则允许 →放行流量流量继续往前走，交给 WAF WAF 拆开里面网页内容，发现攻击代码 → 拦截！

四、防火墙按形态分类

1. 硬件防火墙

独立物理设备（类似路由器），自带专用 CPU、内存、嵌入式安全系统，部署在机房网络出口。

• 适用：企业边界，保护整个内网
• 优点：独立硬件，不占用服务器资源，吞吐高，抗 DDoS 能力强
• 缺点：价格高，配置复杂

2. 软件防火墙

安装在主机 / 服务器上的程序，只保护本机。

• 例子：Windows 防火墙、Linux iptables/firewalld
• 优点：免费、灵活，可以控制到进程级别
• 缺点：消耗本机 CPU 内存；主机一旦被攻陷，防火墙失效

3. 云防火墙（FWaaS）

云上的防火墙服务，阿里云 / 腾讯云 / AWS 提供，不需要物理硬件，保护云服务器、VPC 内网。

五、核心功能

1. 访问控制：最核心，基于规则允许 / 阻断流量，内外网双向管控
2. NAT 地址转换：把内网私有 IP 转为公网 IP，隐藏内网拓扑，公网无法直接看到内部设备真实 IP
3. 日志审计：记录所有放行 / 拦截流量，用于故障排查、安全溯源
4. VPN 接入：远程员工加密接入企业内网
5. 下一代防火墙额外：应用识别、入侵防御、URL 过滤、病毒检测

六、经典网络部署架构：DMZ 隔离区 Demilitarized Zone

企业常用三区隔离：

1. 内网（信任区）：办公电脑、数据库，禁止外网直接访问
2. DMZ 非军事区：放置对外服务器（官网、邮件服务器），外网可以访问 DMZ；DMZ 不能访问内网核心数据库。DMZ 里面放必须对外给互联网访问的服务器：公司官网服务器，邮件服务器，对外提供 API 的业务服务器，这些机器必须暴露在网上，风险最高，所以单独拎出来放 DMZ。
3. 外网（非信任区）：互联网

防火墙的三条核心规则（最简单版本）

1. 外网 ↔ DMZ：外网可以访问 DMZ 服务器开放的端口（比如网页 443）
2. 外网 → 内网：直接禁止，外网不能直接访问内网电脑、数据库
3. DMZ → 内网：默认禁止！就算 DMZ 服务器被黑客拿下，黑客想从 DMZ 打进内网数据库，防火墙挡住。

防火墙三大体系结构

三大结构：双重宿主主机、被屏蔽主机、被屏蔽子网（案例高频简答 + 画图选择题）

1. 双重宿主主机体系结构（Dual-Homed Host）

✅ 硬件：一台机器，2 块网卡，一块连外网，一块连内网

• 没有路由器！这台机器本身就是防火墙
• 关掉 IP 转发：数据包不能直接从网卡 A 跳到网卡 B
• 所有通信只能靠这台主机做应用代理，内外网不能直接传包

🌰类比：小区只有一个门卫，门卫身上有两扇门，一扇对着大街（外网）一扇对着小区（内网）。大街和小区之间没有直接通道，所有人进出必须经过门卫亲手转交消息。

• 优点：结构简单
• 致命弱点：门卫被黑 → 整个小区直接暴露

一句话：单台双网卡主机，无路由器，全部流量走代理

2. 被屏蔽主机体系结构（Screened Host）

✅ 硬件：1 台包过滤路由器（边界） + 内网里面放堡垒主机

• 路由器连外网，内网是一大片区域，堡垒主机藏在内网里
• 路由器做包过滤：外网只能访问内网里的堡垒主机，其他内网机器外网碰不到

🌰类比：小区门口装一道门禁闸机（屏蔽路由器）。堡垒主机放在小区院子（内网）里面。外人（外网）只能通过闸机去找堡垒主机，不能直接找其他住户。

• 优点：堡垒主机不直接接外网，比第一种安全
• 致命弱点：堡垒主机被攻破，攻击者就在小区内网里面了，内网全部沦陷

一句话：一台边界路由器 + 堡垒主机放在内网

一句话记忆：边界包过滤路由器 + 内网里的堡垒主机

3. 被屏蔽子网体系结构（Screened Subnet，最安全）

✅ 硬件：外部路由器 + 内部路由器，中间夹 DMZ（周边子网），堡垒主机放在 DMZ

• DMZ = 隔离的中间小子网，既不属于外网，也不属于内网
  • 外网 ↔【外部路由器】↔ DMZ 区 ↔【内部路由器】↔ 真正内网
• 外网只能访问 DMZ 里的堡垒主机；就算堡垒主机被拿下，攻击者还需要突破内部路由器才能进内网

🌰类比：小区大门第一道闸机（外部路由），先进入一个隔离的前厅（DMZ），堡垒主机放在前厅；前厅和住户生活区之间还有第二道闸机（内部路由）。就算坏人占领前厅，还有第二道门挡着，进不到住户内网。

• 优点：两层防护，堡垒主机沦陷内网也不会直接失守，三者最安全
• 缺点：设备多、贵、配置麻烦

一句话：两个路由器，中间夹 DMZ 子网，堡垒主机放在 DMZ

高频简答预测

问：三种防火墙体系结构中，哪一种安全性最高？为什么？

答：被屏蔽子网体系结构安全性最高。它使用内外两台屏蔽路由器，将堡垒主机放置在独立的周边网络（DMZ）。即使堡垒主机被攻击者入侵，攻击者仍需要突破内部路由器才能访问内部网络，内网不会直接暴露。缺点是成本较高、配置复杂。

问：被屏蔽主机结构存在什么安全缺陷？

堡垒主机是安全单点，一旦堡垒主机被入侵，整个内部网络就会处于攻击者威胁之下。

一、IDS 和 IPS 核心对比（必考选择题）

1. IDS 入侵检测系统（Intrusion Detection System）

• 定位：被动！只监控、找攻击痕迹，只报警，不能阻断流量
• 作用：监视网络 / 系统资源，发现违反安全策略行为，产生告警

一句话：IDS = 网络摄像头，看到入侵就报警，但拦不住坏人。

1. IPS 入侵防护系统（Intrusion Prevention System）

• 定位：主动防护，串接在网络里（流量必须经过 IPS）
• 作用：直接拦截、丢弃恶意数据包，在攻击到达目标前干掉攻击流量

一句话：IPS = 门禁保安，发现坏人直接拦住，不让进内网。

二、安全模型：PDR / P2DR（高频考点）

• PDR：防护 Protection、检测 Detection、响应 Response 公式思想：防护时间 > 检测时间 + 响应时间
• P2DR（动态安全模型）4 部分
  • Policy 安全策略（底层指导，所有动作都要遵守策略）
  • Protection 防护（防火墙、身份认证、加密）
  • Detection 检测（漏洞扫描、IDS 入侵检测）
  • Response 响应（发现攻击后的处置动作）

P2DR 是动态循环：防护→检测→响应，持续调整系统风险。

三、IDS 的 2 种检测技术【超级高频，必区分】

1）异常检测（基于行为检测）

✅原理：先建立用户正常行为基线模型，把当前行为和正常模型对比；偏差大 = 判定异常入侵 ✅优点：能发现未知攻击，不需要预先知道攻击特征；通用性强 ❌缺点：误报率高；很难定阈值；用户行为会变；攻击者可以慢慢 “训练” 系统，把恶意行为伪装成正常。

例子：你平时每天登录 8:30，今天凌晨 2 点登录，判定异常。不关心是什么攻击，只看行为和平时一不一样

2）误用检测（特征检测，基于知识）

✅原理：维护攻击特征库 / 规则库；数据包匹配库里面的攻击特征，匹配上 = 入侵 ✅优点：准确率高，能精准报出是什么攻击 ❌缺点：只能检测已知攻击，未知攻击检测不到；规则库必须持续更新；和系统绑定强，移植差；很难检测内部合法用户越权泄露。

例子：特征库记录 “缓冲区溢出的数据包特征”，抓到一模一样的包，判定攻击。只抓库里登记过的攻击

极简记忆口诀

• 异常检测：对比正常行为，抓未知攻击，误报高
• 误用检测：匹配攻击特征库，只抓已知攻击，准确率高

四、IDS 3 种体系结构（选择题）

1. HIDS 基于主机型（Host-Based）
   • 部署：装在服务器 / 主机本机
   • 数据源：本机审计日志、系统日志
   • 缺点：容易被攻击者绕过；不能检测网络层攻击（端口扫描、域名欺骗）
2. NIDS 基于网络型（Network-Based）
   • 部署：网络链路旁，抓网络流量包
   • 数据源：网络数据包
   • 优点：可以弥补 HIDS 短板，检测端口扫描这类网络攻击
3. Agent-Based 基于主体（代理）
   • 多个独立自治代理，分布式检测，适合大型复杂网络

五、IDS 系统三大组成部件

1. 信息采集部件：收集原始日志 / 网络流量，格式化后交给分析模块
2. 入侵分析部件：IDS 核心，拿采集的数据做入侵分析
3. 入侵响应部件：收到告警后，执行响应动作（报警、记录日志等）

六、Snort（开源 IDS，软考常考）

Snort：开源网络入侵检测系统。 ✅三大工作模式

1. 嗅探模式（Sniffer）：读取网络数据包，控制台直接展示流量
2. 包记录模式（Packet Logger）：把数据包保存到磁盘
3. 网络入侵检测模式（最复杂）：流量匹配自定义规则，触发告警

✅Snort 体系 4 组件

1. 嗅探器：抓取网络原始数据流
2. 预处理器：插件处理数据包（HTTP、RPC、端口扫描插件），预处理后送给引擎
3. 检测引擎：Snort 主体，匹配规则，命中就触发告警
4. 输出模块：告警输出（弹窗、邮件、写入 MySQL 数据库、SNMP 等）

七、入侵的 4 个严重等级（选择题考点）

①拒绝服务 DoS：攻击者拿不到系统权限，直接把系统搞瘫痪 ② 拿到普通账号权限登录，不搞破坏 ③ 进入系统，修改、毁坏数据④ 获取系统完全控制权：改账号口令、删日志、植入后门木马

八、入侵来源分类

• 外部入侵者：未授权用户，外网来的黑客
• 内部入侵者：合法账号，但越权滥用（内部员工）

真题坑点提醒（考试最容易错）

1. IDS不能阻断，IPS 才可以阻断流量
2. 异常检测抓未知攻击；误用检测只能抓已知攻击
3. HIDS（主机型）看本机日志，检测不到端口扫描；NIDS（网络型）抓流量，可以检测端口扫描
4. P2DR 里 Policy（安全策略）是顶层，不是防护

一、VPN（虚拟专用网络 Virtual Private Network）

1. 基础概念

VPN：在公网（互联网）上，依靠 ISP，建立加密安全隧道，把异地分支、远程员工连入企业内网。

虚拟：不用拉物理专线，复用互联网；专用：加密隧道，数据私密传输。 优点：省昂贵专线租金。 VPN 三要素：客户机、隧道（替代物理传输介质）、VPN 服务器。VPN 服务器要有公网 IP。

2. VPN 用到的安全技术

• 隧道技术（Tunneling）：封装数据包，在公网传
• 加解密技术
• 密钥管理
• 身份认证

加密算法考点

• DES：56 位密钥，64 位数据块；现在不安全，易破解
• 3DES：三次 DES，密钥 112 位，64 位块
• AES：DES 替代标准；密钥 128/192/256 位（必考）
• 流加密：RC4
• 密钥交换：Diffie-Hellman、RSA、ECC

3. 三大 VPN 隧道协议【高频选择题，分清 OSI 层】

表格

✅PPTP vs L2TP 区别

1. PPTP 只支持 IP 网络；L2TP 支持多种网络（IP、X.25、ATM 等）
2. PPTP 只能单隧道；L2TP 支持多条隧道
3. L2TP 支持包头压缩、隧道验证，PPTP 不支持

IPSec 重点（重中之重）

IPSec 两套协议：AH、ESP

1. AH 认证头：数据源认证 + 数据完整性 + 防重放；不提供加密；算法 HMAC-MD5、HMAC-SHA1
2. ESP 封装安全载荷：加密（核心）+ 可选认证；DES/3DES/RC4 等

IPSec 两种工作模式

1. 传输模式：保护上层载荷，不加密原始 IP 头；主机到主机端到端通信
2. 隧道模式：加密整个原始 IP 包，生成新外层 IP 头；网关之间（站点到站点 VPN，防火墙 / 路由器之间）

一句话记忆： 传输模式：保护 ** payload（数据）；隧道模式：保护整个 IP 包 **

二、安全扫描 & 漏洞、端口扫描

1. 漏洞定义

漏洞：硬件 / 软件 / 协议缺陷，合理配置下依然会被非法入侵、篡改、拒绝服务。

• 有意漏洞：后门、逻辑炸弹（人为故意留下）
• 无意漏洞：程序员疏忽，缓冲区溢出这类代码缺陷

漏洞来源不单是代码缺陷，错误的管理配置也算漏洞（弱口令、错误权限）

漏洞扫描器：自动检测主机端口、服务版本、系统漏洞。

• 外部扫描：网络侧扫描
• 内部扫描：以管理员身份登录主机扫描（黑客做不到，是管理员扫描器独有的能力，选择题坑点）

2. 端口号范围（必考）

IPv4 端口 0~65535，16bit

1. 0~1023：熟知端口（公认端口）IANA 管理（FTP21，SSH22，Telnet23，DNS53，HTTP80）
2. 1024~49151：注册端口
3. 49152~65535：动态 / 私有端口

3. 端口扫描经典方法

1. TCP connect 扫描（全连接扫描）

调用connect()系统函数，完成完整 TCP 三次握手。 判断逻辑：端口开放 → 三次握手成功。 缺点：会建立完整 TCP 连接，容易留下系统日志，极易被防火墙 / IDS 发现。

2. TCP SYN 扫描（半开扫描 Half-open）

只发送 SYN 包，不完成三次握手，不建立完整 TCP 连接。 判断逻辑：收到SYN/ACK应答 → 端口开放；收到RST包 → 端口关闭。 优点：连接不完全建立，不容易被系统记录日志，隐蔽性更强。

3. TCP FIN 扫描

发送FIN包（结束连接标记） 原理：只对 Unix/Linux 类系统生效，利用操作系统 TCP 协议栈实现特点

• 端口关闭：回复 RST
• 端口开放：收到 FIN 包，直接忽略，不回包

人话：发 FIN，如果对方啥都不回 = 端口开；回 RST = 关。Windows 不支持这个特性，对 Windows 无效。

4. TCP Xmas 树扫描（圣诞树扫描）

发送同时带FIN+URG+PUSH标记的 TCP 包

• 端口关闭：返回 RST
• 端口开放：无响应 名字由来：标志位全部点亮，像圣诞树彩灯。同样仅类 Unix 系统有效。

5. TCP Null（空扫描）

发送所有 TCP 标志位全部关闭的 TCP 包（没有任何标记）

• 端口关闭：返回 RST
• 端口开放：无响应 也是依靠 Unix 协议栈行为，Windows 识别不出，会直接回 RST，无法判断。

✅ 小结 FIN / Xmas / Null 这一类：靠操作系统对异常 TCP 包的不同反应，Windows 不适用。

6. TCP ACK 扫描

只发送 ACK 包 ⚠️不能直接判断端口开放还是关闭！作用：探测防火墙规则，判断这个端口是否被防火墙过滤。

• 收到 RST：端口未被过滤
• 没有任何回复：大概率被防火墙丢弃（过滤）

7. TCP Windows 扫描（窗口扫描）

依靠 TCP 头部里窗口大小字段异常做判断 适用：AIX、FreeBSD 这类系统 原理：这类系统在返回 RST 包时，窗口大小会出现不规则的值，以此区分端口开 / 关。属于小众扫描。

8. TCP RPC 扫描

专门扫RPC 远程过程调用端口 拿到端口后，进一步探测：RPC 服务、程序编号、版本号。很多内网 RPC 漏洞会用这个扫描。

9. UDP 扫描

发送 UDP 数据包 UDP 是无连接、不可靠协议，没有握手，所以结果容易不准、受干扰。 判断逻辑：

• 收到ICMP 端口不可达→ 端口关闭
• 没有任何响应 → 大概率端口开放（也可能被防火墙丢包，存在误判）

10. Ident 扫描

连接目标TCP 113 端口拿到当前 TCP 连接对应的进程所属用户身份。 比如：知道这个开放端口是 root 用户跑的服务。

11. FTP Bounce（FTP 跳跃扫描）

利用 FTP 服务器的 PORT 命令，让 FTP 服务器替攻击者发包去扫描目标中间人思路：攻击者 → FTP 服务器 (21 端口) → 目标主机。 好处：扫描源 IP 是 FTP 服务器，隐藏攻击者真实 IP；现在大部分 FTP 服务器已经禁用这个功能。

12. 源端口扫描

用DNS (53)/SMTP (25)/POP 等知名服务端口作为扫描的源端口发包。 有些防火墙会信任来自这些知名端口的流量，绕过防火墙策略，用来探测端口是否开放。

Nmap 常用参数

• -sT：TCP connect () 全连接扫描（完整 TCP 三次握手）
• -sS：TCP SYN 半开扫描（最常用，不完成连接，日志少）
• -sF/-sX/-sN：FIN / XmasTree / Null 秘密扫描
• -sU：UDP 扫描
• -sR：RPC 扫描
• -b：FTP 跳跃攻击（FTPBounce）

二、密码类扫描（口令攻击）

1. 核心思路：建立口令字典文件，逐个尝试账号密码，探测弱口令。
2. 字典来源：用户名、生日、手机号、空口令、123456 等简单组合。
3. 目的：发现弱账号弱口令；检测系统能否发现这类扫描、告警。
4. 工具：SuperScan、Nmap、X-Scan

三、风险评估

1. 基本要素

• 资产：属性 = 资产价值
• 威胁：属性 = 威胁出现频率
• 脆弱性（漏洞）：属性 = 弱点严重程度

风险 = 威胁 × 脆弱性 × 资产价值，计算量化风险值

2. WPDRRC 国产动态安全模型（必考）

• 6 个环节：W 预警、P 保护、D 检测、R 反应、R 恢复、C 反击
• 3 大要素（层次）
  1. 人员（内层、基座）
  2. 政策（中间层：法律、制度、管理）
  3. 技术（外层；受人员、政策约束）

3. 风险评估流程

风险评估准备 →资产识别、威胁识别、脆弱性识别→ 确认已有安全措施 → 风险计算 → 判断风险是否可接受

• ✅可接受：保持现有安全措施
• ❌不可接受：新增安全措施，评估残余风险
  • 残余风险可接受 → 实施风险管理
  • 残余风险不可接受 → 重新选择安全措施

结论：不存在绝对安全，风险评估是动态循环，周期性重评估

4. 风险评估工具分类

1. 基于国家标准：NIST、FIPS、CRAMM、RA
2. 基于专家系统：COBRA、@RISK、BDSS
3. 定性 / 定量 / 半定量工具
   • 定性：CONTROL-IT、JANBER
   • 半定量：@RISK、RiskCALC、CORA

表格

四、主流扫描工具

1. Nmap：Fyodor 开发，开源命令行端口扫描器；支持 TCP/UDP 多种扫描、操作系统识别、RPC 扫描。
2. Nessus：漏洞扫描器，C/S 架构、跨平台，图形界面，给出漏洞利用方法和补救方案。
3. X-Scan：Xfocus 开发免费工具，多线程，图形 + 命令行；扫描网段主机，探测系统、端口、CGI/RPC/SQL 弱口令等。
4. 商业：绿盟极光 AuroraRSAS（OpenVM 五个阶段：漏洞预警、漏洞检测、风险管理、漏洞修复、漏洞审计，WEB 管理，NSIP/NSSE 引擎）

五、安全协议 IPSec

IPSec：IP 层的加密与认证协议规范，一组 RFC 文档

• RFC2401：安全结构概述
• RFC2402：AH 认证头（IP 包认证）
• RFC2406：ESP 封装安全载荷（IP 包加密）
• RFC2408：加密机制

两大核心协议：

1. AH 认证头：提供完整性、数据源认证、防重放；不加密
2. ESP 封装安全载荷：加密 + 认证 + 完整性 + 防重放

IPSec 文档 7 部分：体系结构、ESP、AH、加密算法、认证算法、密钥管理、解释域

六、SSL（安全套接层，TLS 前身）

位置：应用层 ↔ 传输层之间，建立在 TCP 之上，独立于上层应用协议。

✅ SSL 三大安全服务：

1. 秘密性（保密性）：传输数据加密，第三方无法窃听
2. 完整性：HASH 摘要校验，数据传输不被篡改
3. 认证性：证书 + 第三方 CA，双向 / 单向身份识别

SSL 协议栈分为两层：

1. SSL 记录协议：底层，拆分分段、加密、压缩、校验，负责传输数据保护
2. SSL 高层协议（管理握手）
   • 握手协议：协商会话、协议版本、密码套件、交换证书、协商密钥
   • 改变密码说明协议
   • 警报协议

SSL 握手流程（简要） ClientHello ↔ ServerHello（协商版本、随机数、加密套件） 服务器下发证书 → 客户端验证证书 客户端生成 pre-master 密钥，用服务器公钥加密发给服务器 双方生成会话密钥 发送 ChangeCipherSpec + Finished，握手完成，开始加密传输

✅ PGP（Pretty Good Privacy）

基于 RSA 公钥体系，邮件 / 文件加密软件，事实标准，RFC3156

1. 核心原理：对称密钥加密正文；用接收方公钥加密这个对称密钥（电子信封）；接收方用自己私钥解密拿到对称密钥，再解原文，兼顾安全 + 效率
2. 签名流程（完整性 + 身份认证） ① 发件人 MD5 生成报文摘要 ② 发件人私钥 RSA 加密摘要，附在报文前（数字签名） ③ 收件人用发件人公钥 RSA 解密摘要④ 收件人重新计算摘要，对比，一致则报文可信
3. 优点
   • 免费、多平台（Windows/UNIX/Mac）
   • 算法成熟：RSA/DSS/DH；对称 CAST-128、IDEA、3DES；哈希 SHA-1
   • 用途广，邮件、文件加密
   • 无政府 / 标准机构控制

一句话区分：PGP 多用于个人邮件安全，S/MIME 偏向商业团体

✅ TLS（Transport Layer Security，安全传输层）

IETF 标准，是 SSL 标准化产物；TLS1.0≈SSLv3，微小差别。

用途：HTTPS 底层，传输层安全。

✅ IEEE802.1x（端口接入认证）

LAN 交换机、无线 LAN 接入点用户端口认证技术，起源 802.11，解决 WLAN 接入认证 3 大组件：

1. 认证系统 (Authenticator)：交换机 / AP，转发认证报文，控制端口开关
2. 客户端系统 (Supplicant)：用户终端（被认证设备）
3. 认证服务器 (Authentication Server)：Radius 服务器，做实际身份校验，可本地 / 远程

认证报文：EAPOL（客户端↔交换机）、EAPOR（交换机↔Radius） 流程简记：

1. 客户端发 EAPOL-Start 发起认证
2. 交换机 EAP-Request/Identity 索要用户名
3. 客户端 EAP-Response 带上用户名，转发给 Radius
4. Radius 生成随机挑战，下发
5. 客户端加密口令返回给服务器
6. 服务器比对，匹配 → EAP-Success，交换机打开端口；失败 EAP-Failure，端口保持关闭，仅允许认证流量
7. EAPOL-Logoff 注销，端口关闭

✅ WEP（有线等价保密，802.11 早期无线加密）

基于 RC4，共享密钥加密 + 开放系统认证，经典弱点：密钥管理缺陷

1. 加密步骤 ① 明文计算 32bit CRC（ICV 完整性校验） ② 40bit 密钥 + 24bitIV →64bit 种子密钥，RC4 生成伪随机流 ③ 明文 + ICV 和伪随机流异或得到密文
2. 解密：提取 IV + 密文，同样生成伪随机流异或，校验 ICV
3. 身份认证
   • 开放系统认证：不校验密钥，不安全
   • 共享密钥认证：和加密用同一个 40bit 密钥，AP 发随机串，STA 加密返回比对
4. WEP 重大缺陷：没有密钥自动更新机制，IV 空间小容易冲突，密钥分发 / 更新没有规范，极易破解

Cisco 针对 WEP 缺陷推出 LEAP（轻量级可扩展身份验证协议）

✅ WPA（Wi-Fi 保护访问）

继承 WEP 原理，修复 WEP 全部漏洞

• 用户认证：强制使用 802.1x + EAP（802.11 中 802.1x 只是可选）
• 加密：TKIP（临时密钥完整性协议）
  • 每帧单独密钥、MIC 消息完整性校验、扩展 IV、密钥再生
  • 后续逐步支持 AES
• 特点：动态密钥，会话频繁更换密钥，大幅降低破解概率；企业无线内网使用

✅ RADIUS 远程认证接入用户服务

客户 / 服务器模型，UDP 传输，接入互联网的认证 + 授权 + 计费协议（AAA）

1. 通信：客户端（NAS 接入服务器）和 Radius 服务器之间用共享密钥加密
2. 认证流程
   1. 客户端收集用户名密码，MD5 加密，发送 Access-Request
   2. 服务器校验客户端共享密钥，查询用户数据库
   3. 返回：Access-Reject 拒绝 / Access-Challenge 挑战 / Access-Accept 允许接入
   4. Access-Accept 携带用户授权配置，允许上网

✅ Kerberos （科伯罗斯）

分布式环境，仅对称密码体制，MIT 雅典娜项目，基于 Needham-Schroeder

• 威胁场景：冒充用户、伪造地址、窃听重放
• 核心：KDC 认证中心，包含AS 认证服务器 + TGS 票据授予服务器
• 思想：凭票据访问服务，服务器不直接校验账号密码，全程 DES 加密 流程简记：

1. Client 向 AS 申请 TGT（票据授予票据）
2. AS 校验用户，生成会话密钥，生成加密 TGT，返回给客户端
3. Client 解密拿到会话密钥，向 TGS 申请目标服务票据
4. TGS 解密 TGT，校验身份，生成客户端与业务服务器的会话密钥 + 服务票据
5. Client 拿着服务票据访问业务服务器
6. 双向认证，提供服务

✅ X.509（ITU-T，数字证书标准）

X.500 系列，X.500 命名规则；X.509 定义证书、公钥认证框架

• 基于公钥密码、数字签名，推荐 RSA
• 证书内容：版本、序列号、签名算法、颁发者、有效期、主体、主体公钥、CA 签名
• 用途：IPSec、SSL/TLS、SET、S/MIME

✅ S/MIME（安全多用途互联网邮件扩展）

在 MIME 基础上增加安全，商业 / 团体工业标准（对比 PGP 偏向个人） 功能：

1. 封装数据：加密内容 + 加密会话密钥
2. 签名数据：摘要 + 发送者私钥签名，base64 编码
3. 透明签名数据：签名和原文分离，无 S/MIME 也能看原文，但不能验签
4. 签名并封装数据：先签名，再整体加密

✅ SSH（Secure Shell 安全外壳协议）

传输层与应用层之间的加密隧道协议，三层结构：

1. 传输层协议 SSH-TRANS：服务器身份认证、数据机密性、完整性，密钥交换，对称加密（IDEA、Blowfish、Twofish），提供 PKI 接口
2. 用户认证协议 SSH-USERAUTH：基于传输层之上；多种认证：密码、公钥、CA
3. 连接协议 SSH-CONNECT：多路复用多个逻辑通道，支持远程 shell、命令执行、端口转发 X11 转发

SSH 建立三步：

1. 版本协商（明文）
2. 会话密钥初始化：用公钥体系协商会话密钥
3. 用户认证