安全防护服务
Security protection service
- 服务介绍
安全加固服务是为了帮助客户修补信息系统脆弱性、提高安全性、满足相关政策法规。安全加固通常建立在安全风险评估、等保测评、安全检查等评估或检查工作的结果基础之上，参照评估的结果对评估对象进行安全加固。安全加固服务可协助客户提高系统抵御外来的入侵和蠕虫病毒袭击的能力，缩小影响范围，使信息系统长期保持在稳定的安全状态。
- 服务内容
1、确定范围：确定资产范围，收集需要加固的信息系统涉及的主机、网络设备、数据库和中间件的信息，完成信息收集；
2、制定方案：制定安全加固方案，对加固范围内的资产进行安全评估，确认安全现状，制定加固措施形成加固方案；
3、确认与实施：与客户充分讨论安全加固方案、确认符合企业的需求的方案，实施安全加固方案；
4、服务交付：输出安全加固报告，保护企业信息安全，保证修复后业务正常运转。
安全加固主要有以下几个优势：
1、定制化;根据客户资产情况和需求，量身定制安全加固方案；
2、保证效果：安全加固方案及实施过程在实施前与客户充分讨论，保证实施效果；
3、专业服务：提供远程服务，如客户需要可提供驻场服务，保证企业信息安全。
安全加固可以做主机加固、数据库加固、中间件加固等服务。
- 服务输出
《安全加固报告》
- 服务介绍
目前，网络技术的迅猛发展，其建设之初所具有的开放性、共享性、身份追踪性，以及“尽力而为”的安全防护理念，已经给网络安全造成了巨大的威胁，在应对安全问题方面，传统的防火墙、入侵检测、信息审计、漏洞扫描等设备和措施已经显得力不从心，暴露出了许多问题。面对这些实际情况，如何增加网络防护的安全性成为人们竟相研究和探讨的热点。为此，必须深入研究分析基于网络行为的计算机网络安全预警系统，积极制定安全策略和防范措施，预测危险发生，最后给出及时报告和应急处理方案，甚至可以当即处置高危行为，确保网络运行安全可靠。
- 服务内容
网络安全预警主要是根据从网络上采集的流量数据进行分析，发现病毒、木马和攻击入侵行为等，在攻击行为未奏效之前，即与特征数据库或预先设置的阀值进行比对，从而判断其使用行为的安全性，对危险行为提前阻断。如果攻击行为已经造成伤害，在及时进行阻断的同时，对所造成的影响和伤害采取评价与记录两种方式进行处理。网络安全预警程序存在意义在意相关入侵事件影响继续恶化时，可以有效的完成阻断和抵制，快速合理的通过应急处理设备解决。网络安全预警按照其相应目标以及模式大体上包含漏洞预警、攻击行为预警和攻击趋势预警。
1、安全漏洞预警
所谓的安全漏洞就是指系统的软、硬件和协议在设计、实现和运行过程中出现在计划之外的安全问题。站在程序本身以及控制的立场进行研究，这种漏洞包含系统漏洞、服务漏洞和用户管理漏洞。通过这些漏洞，网络攻击者能够轻易进入系统内部，进行资源的侵占和非法访问等违规操作。网络攻击一般都是一种访问等级的提升，即通过利用网络漏洞，将自己从一个较低的访问等级提升到一个更高层次的访问等级，然后对系统进行进一步的破坏和攻击。网络安全漏洞预警就是要及时发现系统漏洞，研究漏洞，预测攻击者可能利用漏洞进行攻击的可能性和趋势，最终以最大限度来预防攻击行为的发生。
2、攻击行为预警
网络攻击者要实现对网络的成功攻击，就必须按照一定的攻击步骤逐步展开，最终完成一次完整的网络攻击。对于每个单独的攻击，是不会对网络造成多大威胁的，只有所有的单个攻击联合起来，协调统一之后，才可能完成一次完整的攻击。攻击行为预警就是在攻击者实施网络攻击的过程中，对其采取的一系列单个攻击所组成的复合攻击进行分析，及时发现某一部分单个攻击的迹象，然后根据攻击知识库或攻击行为特征库，比对之后就有可能预测下一步攻击行为，从而提前预警，采取应急响应措施。
3、攻击趋势预警
攻击者在实施攻击过程中，其攻击行为总是存在一定的趋势性，能够及时检测出这种趋势，并对下一步的攻击趋势做出预测，并及时采取有效措施进行控制和防止事态的进一步恶化，也就是攻击趋势预警。这种形式需要结合出现的或者目前存在的入侵现象的发展状态预测出后续会出现的入侵方式，接着在后续的情况出现以前，可以完成攻击行为科学的判断和预测。攻击趋势预警根据特定网络攻击发生的历史规律来预测将来攻击行为的发展趋势，可分为中短期预警和长期的安全预警。预测攻击行为的发展趋势，最重要是了解入侵事件长期以来呈现出来的特点，攻击阶段的呈现出来的特征推理涵盖的内容有：确定入侵情况的相关信息、确定合理有效的拟合图、形成回归方程、计算攻击事件的趋势信息。
- 服务输出
《网络安全预警报告》
- 服务介绍
当前，企业的信息化建设步伐逐步加快，各企业IT资产种类繁多，各厂商的各种漏洞、补丁公告频繁，这些大大增加了企业信息化建设的成本，特别是对IT管理者而言，更是众多苦恼之一。
安全通告服务可使客户及时了解、掌握当前最新的信息安全风险状况，了解当前各类IT资产的脆弱性、威胁情况，是企业IT管理者不可取少的安全信息来源之一。
安全通告服务信息权威，由专业团队及时、准确的实时监控并通告客户IT资产的安全漏洞动态，帮助客户结合企业自身资产进行分析，判断安全威胁程度。保障企业信息系统能够安全、可靠的提供服务。
- 服务范围
安全通告服务为客户提供及时、准确的安全风险预警，第一时间通知客户，并提供专业的安全解决建议。安全通告对象范围如下：
◆ 常见厂商的软、硬件网络设备：思科、华为、华三等路由、交换设备；
◆ 常见厂商的操作系统：微软、惠普、苹果、IBM等操作系统；
◆ 常见厂商的数据库软件：微软MSSQL、甲骨文Oracle等；
◆ 常见厂商的Web软件：BEA Weblogic、IBM Websphere、Apache、JBoss、Tomcat等。
- 服务内容
安全通告服务包括两类通告内容，分别为“安全漏洞通告”和“安全威胁通告”。针对特殊或突发情况，同时提供“紧急安全漏洞通告”和“紧急安全威胁通告”。
安全通告提供最新安全漏洞、威胁（0day、系统漏洞、网络攻击）的解决办法、安全问题描述和相应的处理意见，及时提供符合客户实际需求的安全信息。安全通告服务具体内容由以下模块组成：
◆ 公告ID：CVE编号；
◆ 公告标题：漏洞名称；
◆ 厂商：漏洞涉及的厂商；
◆ 发布时间：漏洞发布时间；
◆ 受影响软件及系统：漏洞影响的软件及系统；
◆ 综述分析：对漏洞进行描述,同时分析其造成影响的原因
◆ 解决方法：厂商补丁发布的链接；若厂商还未发布相应的补丁，团队将根据安全问题的实际情况,提供暂时的解决方案。
- 服务原则
安全通告中涉及的各厂商产品、设备的安全漏洞通告，均来自官方信息，其分析及解决方案由官方提供，对于尚未给出解决方案的漏洞，由专家团队给出临时性解决建议，确保信息权威、准确。
提供的安全通告服务第一时间将信息以电子邮件方式发给客户订阅邮箱，对于特殊突发情况，同时提供紧急安全通告，保障客户能够第一时间了解、掌握最新安全风险。
提供的安全通告服务以实用为第一要素，以防范安全风险为直接目的，安全通告中解决方案或建议，均经过专家团队的论证和实践，可信度，实用性更高。
- 服务方式
安全通告服务以年度服务为基准。在服务期间内，团队以电子邮件方式，每月发送“安全通告”或不定期发送“紧急安全通告”到客户订阅的电子邮箱。
客户可使用多个单一的电子邮箱，也可使用工作组邮箱、邮件列表等作为订阅通告的电子邮箱。
- 服务输出
《安全通告》
《紧急安全通告》
- 服务介绍
流量清洗服务是对客户的数据流量进行实时的监控，并在监控中及时发现异常流量，比如DDOS攻击、CC攻击等。在不影响正常业务的前提下，清洗掉异常流量，保证客户业务的正常运行。
抗DDoS攻击流量清洗系统由攻击检测、攻击缓解和监控管理三大部分构成。检测系统首先通过检测网络流量中隐藏的非法攻击流量，发现攻击后及时通知并激活防护设备进行流量的清洗；缓解系统通过专业的流量清洗功能，将可疑流量从原始网络路径中重定向到净化产品上进行恶意流量的识别和剥离，还原出的合法流量回注到原网络中转发给目标系统，其它合法流量的转发路径不受影响；监控管理系统实时展现DDOS攻击数据流量，流量清洗报表，实时连接数、请求数、带宽报表等数据。
- 服务内容
流量检测防御技术
流量清洗宽带流量清洗解决方案，流量检测和防御功能由旁挂在城域网的专用探测和防御设备实现。
DDoS探测设备通过对城域网用户业务流量进行逐包的分析和统计，完成用户流量模型的自学习，并自动形成用户流量模型基线。基于该基线探测设备可以对用户的业务流量进行实时监测。当发现用户流量异常后，探测设备向专用的业务管理平台上报攻击事件。
DDoS防御设备通过静态漏洞攻击特征检查、动态规则过滤、异常流量限速和基于用户行为的单向防御技术，可以实现多层次安全防护，精确检测并阻断各种网络层和应用层的DoS/DDoS攻击和未知恶意流量。支持丰富的攻击防御功能，如，SYN Flood，UDP Flood，ICMP Flood、ACK Flood、RST Flood、DNS Query Flood、HTTP Get Flood等常见攻击的防御。
流量牵引技术
为了在用户的业务遭受DDoS攻击时，将用户的流量动态的牵引到流量清洗中心来进行清洗。流量清洗中心利用IBGP或者EBGP协议，首先和城域网中用户流量路径上的多个核心设备(直连或者非直连均可)建立BGP Peer。攻击发生时，流量清洗中心通过BGP协议会向核心路由器发布BGP更新路由通告，更新核心路由器上的路由表项，将流经所有核心设备上的被攻击服务器的流量动态的牵引到流量清洗中心进行清洗。同时流量清洗中心发布的BGP路由添加no-advertise属性，确保清洗中心发布的路由不会被扩散到城域网，同时在流量清洗中心上通过路由策略不接收核心路由器发布的路由更新。从而严格控制对城域网造成的影响。
流量回注技术
流量清洗系统支持丰富的网络协议和多种物理接口来实现将清洗后的流量重新注入到城域网。可以提供策略路由、MPLS VPN、二层透传、双链路等多种方式进行用户流量的回注。
- 服务输出
《流量清洗报告》
- 服务介绍
应用层安全指的是特定的应用程序内部安全，以及应用程序运行和资源应用方面的安全问题，包含应用安全和数据安全。
应用安全，是保障应用程序使用过程和结果的安全。简言之，就是针对应用程序或工具在使用过程中出现计算、访问授权、应用接口等安全问题，通过其他安全工具或策略来消除隐患。
数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力，涉及对数据的收集、存储、使用、加工、传输、提供、公开等处理手段。
做好应用层安全需要从以下几个方面考虑：
授权访问-资源访问
加密访问
零信任防护-持续验证
接口安全
重放防护
数据共享脱敏
快照备份
一致性校验
- 服务内容
授权访问
授予用户进入系统的权利，或是授予用户访问特定文件、目录等资源的权利的情况下，用户获取某台计算机上特定数据的行为。增加人员、设备、应用和链路获取资源的权限，是有效提高应用层安全的有效手段。
加密访问
加密是促进全球网络安全、公共安全、个人隐私和经济繁荣的一种综合性手段，应用层安全的核心主要还是加密技术，通过建立应用程序和客户访问之间的安全性保障访问过程中内容不被泄露，比如https协议通过在客户端浏览器和web服务器之间建立一条SSL安全通道，其作用是对网络传输中的数据进行加密，防止数据被截取或窃听，从而保证网络数据传输的安全性。
零信任防护
零信任概述
零信任属于新型网络安全防护理念，突破传统的“信任”，实现“持续验证，永不信任”。默认情况下是不信任企业网络内外的任何人、设备和系统，基于身份认证和授权重新构建访问控制的信任基础，从而确保身份可信、设备可信、应用可信和链路可信。零信任主要凸显三个“安全”：终端安全、链路安全和访问控制安全。
基于零信任，应在授权前对任何试图接入网络和访问网络资源的人、事、物进行验证。零信任五大核心原则如下：
身份是访问控制的基础，信任来自于端到端所有对象的身份，基于身份而非网络位置构建访问控制。
最小权限原则，资源可见和访问按需分配，仅授予执行任务所需的最小特权。
实时计算访问控制策略，根据主客体信任评估和访问需求进行策略计算，并持续评估以保证策略实时变更。
资源受控安全访问，所有业务场景下全部资源基于单个访问请求连接，进行强制身份识别和授权、鉴权和通道加密。
基于多源数据进行信任等级持续评估，包括身份、访问上下文等的实时多源数据的多样性和可靠性，提升信任评估策略计算能力。
零信任框架
零信任安全体系架构从网络中心化转变为身份中心化，所有的访问行为都需要以身份为中心进行细粒度的自适应访问控制。企业应该基于认证和授权重构访问控制的信任基础，并且基于尽可能多的数据源对访问者进行持续的可信度评估，根据评估结果动态地调整授权和访问控制策略。
零信任框架中主要由两部分组成，分别为数据平面和控制平面，而数据平面包含所有应用程序、防火墙、代理服务器、路由器，以及它们直接处理网络上的所有流量，数据平面由控制平面指挥和配置。
访问主体首先经过控制平面处理请求信息，控制平面检查确定其请求具备合法的授权，转向数据平面动态配置，最后接收该客户端的访问流量。
零信任系统
零信任系统通过网络隐身、动态自适应认证、终端动态环境检测、全周期业务准入、智能权限基线、动态访问控制、多源信任评估等核心能力，满足多场景的企业应用安全访问需求，助力用户网络安全体系向零信任架构迁移，帮助用户实现流量身份化、权限智能化、访问控制动态化、运维管理极简化的新一代网络安全架构。
接口安全
API在应用程序中的激增，也更大程度的暴露攻击面，增加了程序的安全风险，逐渐成为程序被攻击的重要媒介，因此，API安全成为安全专业人员关注的领域。
想要实现应用程序接口安全，需要通过以下手段实现：
认证和鉴权
认证是对用户身份进行鉴别，判断其是否允许进行系统后续的操作，而接口认证是防止接口被任意应用调用，限制接口对未授权应用调用。
认证通过后，用户可以发起对资源的访问，服务端可使用session或者token的方式对后续用户请求进行鉴别，以判断是否具备访问该资源的权限。
加密和签名
在接口调用数据传输中，对传输数据加密防止数据被窃听，针对A1级别安全接口，使用AppSecret签名防止数据被篡改，使用对称算法加密防止数据被中间人攻击，针对A2级别的接口安全，应使用数字证书进行签名完成双向认证，使用非对称加密算法加密防止数据被中间人攻击；
常规漏洞防护
在API服务提供商接收到API数据请求后，完成解密之后，需要进行常规漏洞防护检测，比如sql注入、xss、RCE等等，可以通过开发框架中的提供好的函数或者开源的安全开发SDK完成。
数据合法性校验
数据合法性校验是每个系统都会有的校验、处理机制，只有在数据是合法的情况下才会进行数据处理，每个系统都有自己的验证规则，当然也可能有一些常规性的规则，比如参数的长度、参数的类型，参数的业务场景合法性等。
API限流
由于API接口所承载的业务不同，API接口被调用的频率也会不同，通过分析和监测API接口被访问和调用的频率来确保API接口未被攻击者攻击以及数据被泄漏，一般来说被攻击的API接口与正常接口调用情况在频率和调用总数上面都会出现较为明显的差异，因此通过统计API接口被访问的情况，进行限流等方式可以防护API出现被攻击者攻击甚至是拒绝服务的情况。
重放防护
重放攻击是攻击者利用网络监听或者其余方式盗取认证凭据，通过发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证过程，破坏认证的正确性。重放攻击能够由发起者，也能够由拦截并重发该数据的敌方进行。
了解了重放攻击后就利用重放攻击过程相关的参数实现重放防护。
加随机数。
通信双方增加随机数进行验证，保证随机数不重复。该方法优点是认证双方不需要时间同步，双方记住使用过的随机数，如发现报文中有以前使用过的随机数，就认为是重放攻击。缺点是需要额外保存使用过的随机数，若记录的时间段较长，则保存和查询的开销较大。
加时间戳
通信双方增加时间戳进行验证。该方法优点是不用额外保存其他信息。缺点是认证双方需要准确的时间同步，同步越好，受攻击的可能性就越小。但当系统很庞大，跨越的区域较广时，要做到精确的时间同步并不是很容易。
加流水号
通信双方在报文中添加一个逐步递增的整数，只要接收到一个不连续的流水号报文(太大或太小)，就认定有重放威胁。该方法优点是不需要时间同步，保存的信息量比随机数方式小。但是一旦攻击者对报文解密成功，就可以获得流水号，从而每次将流水号递增欺骗认证端。
数据共享脱敏
数据脱敏是指对某些敏感信息通过脱敏规则进行数据的变形，实现敏感隐私数据的可靠保护。涉及安全数据或者商业性敏感数据，在不违反系统规则条件下，对真实数据进行改造并提供测试使用，如SFZ号、手机号、卡号、客户号等个人信息都需要进行数据脱敏。
通过数据脱敏产品，可以有效防止企业内部对隐私数据的滥用，防止隐私数据在未经脱敏的情况下从企业流出。
快照备份
快照备份是数据恢复技术的一种，利用某个时间点的快照数据进行备份。快照可以提供比传统备份系统更快、更容易的备份，而且它们还能提供快照恢复时间目标点。
一致性校验
在做数据分析时，我们经常会遇到一致性检验的问题，即判断不同的模型或者分析方法在产出结果上是否具有一致性、模型的结果与实际结果是否具有一致性等。一致性检验的目的在于比较不同方法得到的结果是否具有一致性。
- 服务输出
《应用层安全防护服务报告》