Сегодня стартует новая серия водного, защитного оборудования. На самом деле, в Интернете есть много сообщений о средствах обеспечения безопасности, а также подробно представлены подробности о продуктах на официальных сайтах крупных производителей. Цель начала этой главы (за исключением воды) состоит в том, чтобы представить ее как можно более понятной. как можно более молодым мастерам, которые только начинают использовать различные виды охранного оборудования, и главным героем сегодняшнего дня является ситуационная осведомленность.

Ситуационная осведомленность - это часть оборудования, от которой не могут уклониться охранники. Будь то hw или 996 Malou, можно сказать, что даже если вы никогда не видели никакого другого оборудования и не знаете, интересно оно вам или нет, оно вам. абсолютно невозможно. Я никогда не читал статус-кво, не анализировал пакеты данных и не писал отчет о безопасности. Возьмем для примера подразделение, где работает Шушу, кроме ситуационной осведомленности, у меня нет разрешения на эксплуатацию другого охранного оборудования🙊грустная обезьяна. Во-первых, давайте остановимся на абзаце объяснения Baidu к статье о ситуационной осведомленности: «Оборудование безопасности с ситуационной осведомленностью представляет собой интеллектуальную систему мониторинга безопасности, которая объединяет датчики, алгоритмы и анализ данных. Оно может обеспечивать своевременное предупреждение и реагирование на ненормальное поведение или угрозы посредством мониторинга окружающей среды в реальном времени. Это оборудование можно использовать для защиты предприятия. Безопасность различных мест, таких как учреждения и правительства, включая физическую безопасность и сетевую безопасность». Поставил картинку с Baidu, отношение в принципе выглядит так:

​

Два ключевых слова: «датчик» и «анализ данных». Понимание этих двух слов эквивалентно пониманию того, что такое ситуационная осведомленность. датчик Датчик на самом деле является зондом. Зонд используется для зеркалирования потока, а датчик состояния анализирует данные, считывая поток изображения зонда. Это включает в себя проблему развертывания ситуационной осведомленности, которая подразделяется на развертывание с обходом и развертывание с прямым соединением. В большинстве случаев это развертывание с обходом. Прямое подключение легко понять. Вы можете просто подключить два сетевых кабеля к местам прохождения сети, например, к коммутаторам и выходам брандмауэра. Недостаток этого метода заключается в том, что в случае сбоя ситуационной осведомленности сеть также будет отключена, что повлияет на работу сети. бизнес. Обход развертывания означает, что система ситуационной осведомленности не может напрямую считывать сетевой поток, а косвенно отражает поток на зонд и получает поток через зонд. Это имеет то преимущество, что не влияет на бизнес, а также может использоваться через несколько устройств. разверните зонды игольчатым методом, чтобы получить максимально полные данные о потоке. анализ данных Здесь наступает ключевой момент. На самом деле, просто взглянув на вышеперечисленные детали, многие подумают, что ситуационная осведомленность очень похожа на полнопоточную технику (с точки зрения мастеров ее можно понимать как маленькую акулу, которая есть). оборудование для анализа потока). На самом деле, основная часть на самом деле почти такая же, и причина, по которой состояние ума можно отличить от полного оборудования потока, заключается в том, что анализ Можно сказать, что данные являются основной технологией идентификации. Ситуационная осведомленность включает в себя множество видов полезных данных и пользовательских правил для обнаружения угроз атак в потоке. Так уж получилось, что я сам написал очень размытый пост. На следующем рисунке представлена ​​база правил, которую я написал в то время:

​

Если выразиться немного по-детски, возьмем в качестве примера правило на картинке. Ситуационная осведомленность проверит, есть ли в трафике эти полезные нагрузки, и если они есть, это будет расценено как SQL-инъекция. То, что я здесь написал, является относительно водянистым. . У меня не было времени этим заниматься во время стажировки. Надо разбить дела на более детальные категории, например, инъекции в суставы, слепые инъекции и т. д. Если проанализировать, то основной принцип обнаружения базы правил ситуационной осведомленности заключается в следующем: если xx еще xx, не более! Конечно, текущая база правил ситуационной осведомленности обновляется очень быстро. Обычно ее обновляют каждые несколько дней или даже несколько раз в день. Это также необходимо для обеспечения полного охвата правил, что также приводит к следующему вопросу:

«Ложное срабатывание».

О ложных срабатываниях

Ложные тревоги также являются обязательным курсом для каждого Анфузи. Первая статья Шушу — О. ложных провониях. Заинтересованные друзья могут посмотреть, ссылка прилагается:

https://blog.csdn.net/qq_61807674/article/details/137222970?utm_source=miniapp_weixin

Ложное срабатывание связано с тем, что база правил представляет собой статическое правило сопоставления. Как только определенный контент появляется в передаваемом контенте и соответствует ему, я поговорил с другом, который занимается разработкой безопасности, и обнаружил, что основные продукты с поддержкой состояния. на рынке пока следует избегать. Если вы не можете решить эту проблему, конечно, это тоже тенденция. Разве не говорят, что постоянный мозг станет кошмаром для всех🙈. Возвращаясь к теме, текущий базовый режим обновления для ситуационной осведомленности (только для типа базы правил) в основном представляет собой наложенное обновление, если только существующая соответствующая библиотека не является неправильной или не доказано, что правила не оказывают никакого влияния на безопасность (возможность крайне низко), иначе новые правила будут добавлены на исходной основе.

Именно из-за негибкости и единства базы правил необходимо добавить ручное вмешательство и суждение сотрудников службы безопасности (мужчин), то есть исследование и суждение. Часть, связанная с исследованием и суждением, будет зарыта в яму. на данный момент и будет описан в отдельной главе позже.

Связанное удаление

Что касается связи, то в настоящее время я больше занимаюсь современной технологией sxf. Ее можно связать с собственным EDR, приманкой. Связанное Смысл удаления заключается в том, что ситуационная осведомленность не имеет функции блокировки, и если произойдет интрасетевая атака, ситуационная осведомленность может оказаться не в состоянии ее обнаружить. Кроме того, если происходит событие-хозяин, такое как распространение трояна или заражение вирусом, оно больше похоже на местонахождение устройства EDR. EDR может сообщить о пути вируса или трояна ситуационной осведомленности, и, наконец, его можно легко определить с помощью системы EDR. Сотрудники службы безопасности проверьте местоположение вируса с точностью до пути.

Будь то собеседование или реальное реагирование на чрезвычайную ситуацию, Связанное удаление — очень важный момент знаний с личной точки зрения Шушу.,Застрять в колее - это плохо,Накапливая и наследуя опыт предшественников, мы должны обновляться и сами.,Четко увидеть тенденцию,Изучите его физику,Мы не можем всегда быть обезьянами🐒.

Подвести итог

Этот полный текст носит гораздо более общий характер и не посвящен описанию сценариев и случаев ежедневного использования. В основном он знакомит с функциями и использованием самого устройства, чтобы помочь друзьям начального уровня учиться на основе собственных руководств. изучить руководства пользователя от крупных производителей безопасности.Давайте посмотрим.Существуют некоторые различия в подходах нынешних основных производителей и будущие направления исследований по-прежнему сосредоточены на сокращении ручного вмешательства. посмотрите рекомендации по продуктам определенного этапа и определенного института.