安全小课堂第六十九期【企业安全基础框架】
运维安全是企业安全保障的基础，与web安全、移动安全、业务安全等环节共同构成了企业的安全防御体系,并且运维出现安全问题危害严重。 因此，因此运维安全往往是企业开始做安全的第一步。 JSRC 安全小课堂…
运维安全是企业安全的基础。它与网络安全，移动安全和业务安全一起构成了企业的安全防御系统，严重危害了运营和维护中的安全问题。
因此，操作和维护安全通常是企业开始做安全的第一步。
JSRC 安全小课堂第六十九期邀请两位老师分享有关企业安全基本框架的知识。在本期中，小班主席邀请HRay、Rootsecurity老师分享。与此同时，我要感谢JSRC白帽子的精彩讨论。
京安小妹
对于企业来说网络安全的基础框架包含哪些模块？
讲师： HRay
1）港口开放控制（非常重要）
2）主机系统，Web系统授权的集中化
3）webshell监控
4）bash监控
5）WAF（如果您没有钱买，请使用像百度云这样的云端加速）
6）漏洞扫描系统
7）DDOS保护（没有钱购买设备仍然可以使用云加速这个免费云waf）
事实上，仍有许多事情要做，但由于主题是基础，因此不会扩展太多。
讲师：Rootsecurity
我认为企业网络安全整体由四大部分组成：
1.基础设施安全
2.申请和交付安全
3.业务安全
4.建立信息安全管理系统（设计过程，总体安全策略）。
京安小妹
这些模块的作用分别是什么？
讲师： HRay
1.基础设施安全包括：IDC机房，生产网络中的各种链接和设备，服务器，大量服务器程序和中间件，数据库等。部分操作维度的方向将更多，并且存在许多相关的事情，例如漏洞扫描，修补，ACL管理，安全配置和主机入侵检测。
2.申请和交付安全
它包括：应用程序级安全评估，代码审计，渗透测试以及每个业务部门，业务线和其他自行开发产品的代码框架安全性。
3.业务安全包括：业务风险控制系统，信用信息系统，账户安全，反爬行，反刮，反欺诈，反垃圾邮件等，像一些游戏产业也会涉及反作弊，反.插头等，有效打击一些在线/离线黑色（灰色）彩色产业链。
4.信息安全系统/管理（设计过程，总体安全政策）。
讲师： Rootsecurity
1）企业的内部网一般都充满了大量的安全问题，甚至其中很多都可以一步入侵，如struts2，redis未经授权的访问等。如果端口完全暴露，它将是容易订婚，所以港口对外开放。重要。
2）企业经常有员工变动。如果授权分散，则会出现员工辞职不及时的问题，集中授权可以使授权更加可控。
3）总有办法知道你正在从事企业的入侵。 webshell的监控是基本的。
4）同上，bash监控也是一种了解你是否参与其中的方法。检查某些文件是否因任何原因丢失也很方便。
5）企业通常无法避免网络级别的漏洞。有了waf，虽然有可能被绕过，但它仍然会大大增加攻击成本并避免无脑扫描。
6）漏洞扫描是检测公司自身问题的重要部分。
7）安全是为了确保业务的正常和稳定运行，被多个G DDOS绞死当然是不可接受的。
[本文：安全小类69] [企业安全基本框架]由JSRC安全脉冲账户重印源安全脉冲发布]
京安小妹
要搭建这样的框架需要工程师具备什么样的能力？
讲师： HRay
Failure when receiving data from the peer
这相当于否认您之前的陈述，对于研发，您会觉得自己不是很专业。随着您的经验增长，您的思维会增加，您将逐步改善这种状况。
但对于没有经验的学生，你必须记住不要先说出这些话。如果您暂时不考虑它，那么您可以回过头来思考并提供反馈。如果你想不到它，只需拉几个人来讨论它。你必须了解你。它应对结果负责。如果您遇到问题，请考虑解决问题，不要轻易放弃。还有一些问题促进了公司自身的发展。我不想工作。我更有可能在办公区工作。我经常坐在他旁边盯着它看。当我不在某个地方时，我每天都会打电话。
还有资源问题。例如，我们的研究和开发受到了项目的严格压制，对公司来说这是一个非常重要的项目。这要求你尽你所能，而你却做不到。它毕竟只能推迟，毕竟它应该基于公司的业务。
讲师： Rootsecurity
我们的创业公司通常资金相对紧张。它没有钱购买外部安全产品。它可以做一些适合公司自身情况的简单替代方案。它不一定高大有效。
甲方可能有几种类型的人。第一类没有深入参与安全行业。它仍然处于最初的迷恋阶段，并制造防火墙，IDS和IPS等硬件设备。第二类是“商业和我如何”。没关系，只要没有安全问题，业务是否已经死亡并不重要。
这两者似乎属于同一类别，但性质不同。第二类可能只对口头唱歌很重要，但心脏仍会妥协。另一方面，说安全和安全更好的初衷是什么？也许你猜对了，害怕责任！
由于业务已经死亡，安全团队不负责任，他们可以说：“你看到安全不是问题！”这当然是保护自己的一种方式，但我认为安全的本质是为业务服务，如果业务已经死亡即使安全性更好，也没有价值。更确切地说，安全性需要根据业务量身定制。
Failure when receiving data from the peer
首先，上任后，安全人员应立即熟悉并整理现有业务，并确保上任后上线的业务系统安全。其次，清理“灰色区域”。这里所谓的灰色区域通常是指资产管理（CMDB）。边缘DMZ区域没有统计边缘系统或第三方或外包开发系统。这些系统容易出现系统弱密码，弱密码，SQL注入，文件上载点和命令执行。
建立应急响应能力，例如SRC。
京安小妹
1）数据安全性，大多数安全工作是确保公司的数据不被盗，因此如果重要数据能够得到妥善保存，那一定是非常有益的。
2）企业安全，面临大量账单，扫地，粉碎羊毛，企业安全至关重要。
3）促进企业中各种事物的部署标准化。这对于操作，维护和安全非常重要。如果是标准化的，根据公司自身情况进行一些安全监控会更方便。您还可以添加一些默认设置。安全相关参数。
4）通过技术手段确保或协助实施安全法规。
这是JSRC安全小班的结论。如需更多内容，请期待下一个安全小班。如果您仍希望出现在安全的小班级内容中，则尚未提供。请留言告诉我们。
[本文：安全小类69] [企业安全基本框架]由JSRC安全脉冲账户重印源安全脉冲发布]
京安小妹
对于企业来说网络安全的基础框架包含哪些模块？
讲师： HRay
1）港口开放控制（非常重要）
2）主机系统，Web系统授权的集中化
3）webshell监控
4）bash监控
5）WAF（如果您没有钱买，请使用像百度云这样的云端加速）
6）漏洞扫描系统
7）DDOS保护（没有钱购买设备仍然可以使用云加速这个免费云waf）
事实上，仍有许多事情要做，但由于主题是基础，因此不会扩展太多。
讲师：Rootsecurity
我认为企业网络安全整体由四大部分组成：
1.基础设施安全
2.申请和交付安全
3.业务安全
4.建立信息安全管理系统（设计过程，总体安全策略）。
京安小妹
这些模块的作用分别是什么？
讲师： HRay
1.基础设施安全包括：IDC机房，生产网络中的各种链接和设备，服务器，大量服务器程序和中间件，数据库等。部分操作维度的方向将更多，并且存在许多相关的事情，例如漏洞扫描，修补，ACL管理，安全配置和主机入侵检测。
2.申请和交付安全
它包括：应用程序级安全评估，代码审计，渗透测试以及每个业务部门，业务线和其他自行开发产品的代码框架安全性。
3.业务安全包括：业务风险控制系统，信用信息系统，账户安全，反爬行，反刮，反欺诈，反垃圾邮件等，像一些游戏产业也会涉及反作弊，反.插头等，有效打击一些在线/离线黑色（灰色）彩色产业链。
4.信息安全系统/管理（设计过程，总体安全政策）。
讲师： Rootsecurity
1）企业的内部网一般都充满了大量的安全问题，甚至其中很多都可以一步入侵，如struts2，redis未经授权的访问等。如果端口完全暴露，它将是容易订婚，所以港口对外开放。重要。
2）企业经常有员工变动。如果授权分散，则会出现员工辞职不及时的问题，集中授权可以使授权更加可控。
3）总有办法知道你正在从事企业的入侵。 webshell的监控是基本的。
4）同上，bash监控也是一种了解你是否参与其中的方法。检查某些文件是否因任何原因丢失也很方便。
5）企业通常无法避免网络级别的漏洞。有了waf，虽然有可能被绕过，但它仍然会大大增加攻击成本并避免无脑扫描。
6）漏洞扫描是检测公司自身问题的重要部分。
7）安全是为了确保业务的正常和稳定运行，被多个G DDOS绞死当然是不可接受的。
[本文：安全小类69] [企业安全基本框架]由JSRC安全脉冲账户重印源安全脉冲发布]
京安小妹
要搭建这样的框架需要工程师具备什么样的能力？
讲师： HRay
Failure when receiving data from the peer
这相当于否认您之前的陈述，对于研发，您会觉得自己不是很专业。随着您的经验增长，您的思维会增加，您将逐步改善这种状况。
但对于没有经验的学生，你必须记住不要先说出这些话。如果您暂时不考虑它，那么您可以回过头来思考并提供反馈。如果你想不到它，只需拉几个人来讨论它。你必须了解你。它应对结果负责。如果您遇到问题，请考虑解决问题，不要轻易放弃。还有一些问题促进了公司自身的发展。我不想工作。我更有可能在办公区工作。我经常坐在他旁边盯着它看。当我不在某个地方时，我每天都会打电话。
还有资源问题。例如，我们的研究和开发受到了项目的严格压制，对公司来说这是一个非常重要的项目。这要求你尽你所能，而你却做不到。它毕竟只能推迟，毕竟它应该基于公司的业务。
讲师： Rootsecurity
我们的创业公司通常资金相对紧张。它没有钱购买外部安全产品。它可以做一些适合公司自身情况的简单替代方案。它不一定高大有效。
甲方可能有几种类型的人。第一类没有深入参与安全行业。它仍然处于最初的迷恋阶段，并制造防火墙，IDS和IPS等硬件设备。第二类是“商业和我如何”。没关系，只要没有安全问题，业务是否已经死亡并不重要。
这两者似乎属于同一类别，但性质不同。第二类可能只对口头唱歌很重要，但心脏仍会妥协。另一方面，说安全和安全更好的初衷是什么？也许你猜对了，害怕责任！
由于业务已经死亡，安全团队不负责任，他们可以说：“你看到安全不是问题！”这当然是保护自己的一种方式，但我认为安全的本质是为业务服务，如果业务已经死亡即使安全性更好，也没有价值。更确切地说，安全性需要根据业务量身定制。
Failure when receiving data from the peer
首先，上任后，安全人员应立即熟悉并整理现有业务，并确保上任后上线的业务系统安全。其次，清理“灰色区域”。这里所谓的灰色区域通常是指资产管理（CMDB）。边缘DMZ区域没有统计边缘系统或第三方或外包开发系统。这些系统容易出现系统弱密码，弱密码，SQL注入，文件上载点和命令执行。
建立应急响应能力，例如SRC。
京安小妹
1）数据安全性，大多数安全工作是确保公司的数据不被盗，因此如果重要数据能够得到妥善保存，那一定是非常有益的。
2）企业安全，面临大量账单，扫地，粉碎羊毛，企业安全至关重要。
3）促进企业中各种事物的部署标准化。这对于操作，维护和安全非常重要。如果是标准化的，根据公司自身情况进行一些安全监控会更方便。您还可以添加一些默认设置。安全相关参数。
4）通过技术手段确保或协助实施安全法规。
这是JSRC安全小班的结论。如需更多内容，请期待下一个安全小班。如果您仍希望出现在安全的小班级内容中，则尚未提供。请留言告诉我们。
[本文：安全小类69] [企业安全基本框架]由JSRC安全脉冲账户重印源安全脉冲发布]
- 发表于 2017-08-14 08:00
- 阅读 ( 638 )
- 分类：黑客技术
