专18-4-大数据安全之系统最佳实践.pdf

《专18-4-大数据安全之系统最佳实践.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、系统最佳实践--大数据安全王军旺安全的本质攻击防御时间攻击源目标目的手段技术攻击者画像谁在什么时间为了什么目的通过什么手段/技术攻击了哪些资产！目录1.电商平台安全防御体系2.黑帽如何绕过各种防御体系3.大数据安全分析平台4.大数据安全分析平台主动保障系统安全5.大数据安全分析平台的未来趋势电商平台的安全防御体系电商平台的安全防御体系-技术实现网络安全主机安全应用安全电商平台的安全防御体系-安全服务安全事件事前安全事件事中安全事件事后1漏洞扫描1安全监控1事件溯源-主机、网络漏洞扫描-WAF拦截告警-突发安全事件应急处理-WEB漏洞扫描-网络流量监控-输出故障分析报告-安全状态监控-日志关联分

2、析，及潜在风2安全加固-基线加固2入侵拦截及告警险的排除-漏洞打补丁-NIDS拦截告警2日志审计-漏洞修复-HIDS拦截告警-SSLVPN访问日志审计3渗透测试-数据库访问日志审计3应急响应-WEB渗透测试（依据-输出审计异常报告-白帽子提交漏洞的修复owasptop10进行测试）-突发安全事件应急处理-移动端渗透测试-高危漏洞的修复-输出渗透测试报告4安全培训-SDL开发流程培训电商平台的安全体系建设可谓相当完善，但安全问题是否得到解决，是否可以预防攻击了呢？答案：目录1.电商平台安全防御体系2.黑帽如何绕过各种防御体系3.大数据安全分析平台4.大数据安全分析平台保障系统安全5.大数据安全分

3、析平台未来趋势某白帽子内网二日游端口检测服务检测1存在未授权访问2开放了脚本命令行执行功能3Jenkins以root运行信息采集开始攻击1创建用户2开启ssh隧道：我进来了，你发现了吗？黑客如何绕过各种防御数据库（mysqloracledb2等）WEB、应用服务器（IIStomcatjbossVIP等）主机防护软件（HIDS、安全狗、防篡改产品等）输入公网路由选择网络层过滤应用层处理主机层处理http://www.suning.comByPassWAFByPassByPassFWByPassDBByPassHIDSIDS/IPSWEBserver安全之疼1.APT攻击持续存在，检测难度

4、大2.防御体系各系统相互独立，数据互不共享3.如何从海量数据中提取有效数据，把攻击者的行为显露于水面，成了亟待解决的问题。谁在什么时间为了什么目的通过什么手段/技术攻击了哪些资产！目录1.电商平台安全防御体系2.黑帽如何绕过各种防御体系3.大数据安全分析平台4.大数据安全分析平台主动保障系统安全5.大数据安全分析平台未来趋势天网平台—系统架构安全管展示平台事件告警平台安全决策平台控平台离线分析实时计算数据计算Hive/Spark（Storm），特征匹配统计分析、机器学习阻断指令数据存储分布式文件系统HDFSKafka/Mangodb数据收集扫描器数据提取格式化规整防御安全产品Flume/log

5、stash/syslogNessus/w3afIPS/WAF/HIDSappscan数据源流量日志主机日志WEB日志DB日志其它应用日志外部支持数据天网平台—数据管理数据源抓取、格式化logstashflumesyslog。。。天网平台—数据管理1黑名单URL库1白名单URL1黑客特征库-恶意域名库-白名单域名库-黑客用户名库2黑名单IP库2白名单IP库-黑客密码库-恶意IP库-白名单IP库2邮箱、QQ、身份信息3恶意UA库3白名单UA库-邮箱社工库-黑客工具指纹库-爬虫白名单-QQ社工库4WEB攻击特征库-手机、身份证社工库-SQLi、XSS、目录遍历等5WEBShell库-webshell

6、特征库-webshell密码库大数据分析无外乎特征匹配及行为检测。如何得来，各厂家可是八仙过海，各显神通，或多或少，或真或假！天网平台—数据分析数据分析方法1.静态特征匹配特征正则匹配、基线或阈值匹配名单库异常匹配等2.统计分析x次登录失败后有一次登录成功网络上的多台主机遭受同一台主机的攻击或探测创建非管理员账户之后进行权限提升VPN用户在工作时间外登录，并向网络之外传输大量数据从同一个工作站以多个用户名登录在几分钟内有许多Web404、401、500和其他web错误码3、机器学习支持向量机SVM朴素贝叶斯算法天网平台—数据分析实时特征匹配分析法Agent1Kafkabolt1…..Colle

7、ctor…..MongodbboltnAgentnSpoutStormflumehdfs(hbase)天网平台—数据分析行为统计分析法利用hive的离线批处理功能进行统计分析；攻击性质攻击目的针对性攻击攻击团伙基于黑名单/机器学习发现的异常特征，进行相关联的统计分析，把与特征相关联用户、ip的访问行为进行串联起来；并进行评分，发送不同级别的告警；对于高级别的告警在发送告警的同时向防御产品（IPS、