网络安全运维面试准备

一、信息安全策略与风险管理

1. 安全框架与合规性

   • 掌握ISO 27001、NIST CSF等安全框架，制定数据分类、访问控制策略

   • 熟悉《网络安全法》等法规对系统建设的影响（如数据本地化要求）1

   • 实施安全审计流程，定期检查系统日志、注册表文件、配置文件1

2. 风险管理与防御技术

   • 威胁建模与风险评估方法（如DREAD、STRIDE）

   • 部署防火墙、IDS/IPS、SIEM系统构建监测体系12

   • 管理漏洞生命周期：扫描（Nessus）、渗透测试（Metasploit）、修补2

3. 加密与身份管理

   • 应用加密算法（AES、RSA）保护传输/存储数据

   • 实施多因素认证（MFA）和最小权限账户管理体系

NIST CSF 安全框架 + iso 27001（网络安全风险管理工具）

NIST CSF 包含三个主要部分：核心（Core）、实施层级（Tiers）和配置文件（Profiles）。

核心（Core）
由五个功能组成，涵盖网络安全活动的生命周期：

1. 识别（Identify）：理解和管理网络安全风险相关的系统、资产、数据和能力。
2. 保护（Protect）：实施防护措施确保关键基础设施服务的交付。
3. 检测（Detect）：开发并执行活动以识别网络安全事件的发生。
4. 响应（Respond）：在检测到网络安全事件时采取行动。
5. 恢复（Recover）：制定计划以恢复受网络安全事件影响的能力或服务

实施层级（Tiers）
描述组织对网络风险管理实践的成熟度，分为四个层级：

1. 层级1（Partial）：网络安全实践是非正式的、临时的。
2. 层级2（Risk-Informed）：组织意识到风险，但尚未全面实施标准化流程。
3. 层级3（Repeatable）：组织已制定正式政策并定期更新安全措施。
4. 层级4（Adaptive）：组织能够基于实时信息动态调整安全策略。

配置文件（Profiles）
帮助组织根据自身需求、风险容忍度和资源，从核心中选择适用的类别和子类别，形成定制化的网络安全策略。

ISO 27001框架概述

旨在帮助组织系统化地管理信息安全风险，确保数据机密性、完整性和可用性。

1. 信息安全管理体系（ISMS）

• 定义信息安全策略、目标和流程，形成持续改进的管理体系。
• 需高层管理参与，明确责任分配。

2. 风险管理和评估

• 识别信息资产、威胁及脆弱性，评估风险等级。
• 通过风险处置（如规避、转移、减轻或接受）降低影响。

3. 控制措施（Annex A）
ISO 27001附录A列出114项控制措施，分为14类：

• A.5 信息安全策略（如制定和维护安全政策）。
• A.6 组织安全（如角色分工、远程工作安全）。
• A.7 人力资源安全（聘用前审查、安全意识培训）。
• A.8 资产管理（信息分类、存储介质处理）。
• A.9 访问控制（用户权限管理、密码策略）。
• A.10 密码学（加密技术与密钥管理）。
• A.11 物理与环境安全（设备保护、访问限制）。
• A.12 操作安全（备份、漏洞管理、日志监控）。
• A.13 通信安全（网络隔离、数据传输保护）。
• A.14 系统获取与维护（安全开发生命周期）。
• A.15 供应商关系（第三方服务的安全要求）。
• A.16 事件管理（安全事件响应流程）。
• A.17 业务连续性（灾难恢复计划）。
• A.18 合规性（法律、法规及合同要求的遵从）。

实施步骤

1. 确定范围与目标
明确ISMS覆盖的业务范围（如部门、系统或地理位置），并与组织战略目标对齐。

2. 风险评估与处置
采用标准化方法（如ISO 27005）分析风险，制定处置计划并记录残余风险。

3. 建立控制措施
根据风险评估结果，从附录A中选择适用的控制措施，形成安全策略文档。

4. 执行与运行
部署技术工具（如防火墙、加密系统）、培训员工，并监控控制措施的有效性。

5. 内部审核与管理评审
定期检查ISMS是否符合ISO 27001要求，高层评审需确保体系持续适用。

6. 认证审核
由第三方机构进行两阶段审核：

• 阶段一：文件审查。
• 阶段二：现场实施验证。

7、持续改进（PDCA循环）

• Plan：制定ISMS政策和目标。
• Do：实施控制措施。
• Check：通过审计和监控评估效果。
• Act：纠正偏差并优化体系。

二、风险管理与防御技术

• 威胁建模与风险评估方法（如DREAD、STRIDE）

• 部署防火墙、IDS/IPS、SIEM系统构建监测体系12

• 管理漏洞生命周期：扫描（Nessus）、渗透测试（Metasploit）、修补

威胁建模与风险评估方法

威胁建模与风险评估是信息安全领域的重要实践，用于识别、评估和缓解潜在威胁。以下是常用的方法：

DREAD模型

DREAD是一种风险评估模型，用于量化威胁的严重性。其名称由五个评估维度的首字母组成：

• Damage Potential（潜在损害）：威胁成功实施后可能造成的损害程度。
• Reproducibility（可复现性）：威胁是否容易被复现。
• Exploitability（可利用性）：攻击者利用漏洞的难易程度。
• Affected Users（受影响用户）：受威胁影响的用户数量或范围。
• Discoverability（可发现性）：漏洞是否容易被发现。

每个维度通常按1-10分评分，最终通过加权或简单平均计算总分，以评估威胁的优先级。

STRIDE模型

STRIDE是一种威胁建模框架，用于分类和识别系统中的潜在威胁。其名称代表六种威胁类型：

• Spoofing（假冒）：攻击者冒充合法用户或系统。
• Tampering（篡改）：未经授权修改数据或代码。
• Repudiation（抵赖）：用户否认执行过某项操作。
• Information Disclosure（信息泄露）：敏感信息被未授权访问。
• Denial of Service（拒绝服务）：系统资源被耗尽，导致正常服务中断。
• Elevation of Privilege（权限提升）：攻击者获取未授权的权限。

实施步骤

1. 系统分解：绘制数据流图（DFD）或架构图，明确系统组件、边界和交互。
2. 威胁识别：使用STRIDE对每个组件可能面临的威胁进行分类。
3. 风险评估：通过DREAD或其他方法评估威胁的严重性和优先级。
4. 缓解措施：针对高优先级威胁设计缓解方案，如加固认证、加密数据等。
5. 验证与迭代：定期更新模型以反映系统变化和新威胁。

三 部署防火墙、IDS/IPS、SIEM系统构建监测体系

部署防火墙

选择下一代防火墙（NGFW）以支持应用层过滤、入侵防御和威胁情报集成。配置策略时遵循最小权限原则，仅开放必要端口和服务。定期更新规则库以应对新型攻击，如零日漏洞。

部署IDS/IPS

在网络边界和关键子网部署基于签名的IDS（如Snort）和基于行为的IPS（如Suricata）。对已知攻击模式启用实时阻断，对异常流量进行日志记录。每周更新威胁特征库，并定期调整误报率阈值。

部署SIEM系统

采用Splunk或IBM QRadar等平台聚合防火墙、IDS/IPS日志，关联分析安全事件。配置实时告警规则，如多次登录失败或数据外泄行为。通过机器学习模型识别高级持续性威胁（APT），生成每日安全报告。

构建监测流程

建立7×24小时安全运营中心（SOC），定义事件分级响应机制。对关键资产（如数据库、域控制器）实施增强监控。定期进行红蓝对抗演练，验证监测体系有效性。

持续优化

每月审查防火墙策略冗余，每季度评估IDS/IPS检测准确率。利用威胁情报平台（如MISP）更新SIEM规则。通过ATT&CK框架映射覆盖缺口，逐步提升检测覆盖率至95%以上。

管理漏洞生命周期：扫描（Nessus）、渗透测试（Metasploit）、修补

发现漏洞--渗透测试--漏洞修复

四 加密与身份管理

• 应用加密算法（AES、RSA）保护传输/存储数据

• 实施多因素认证（MFA）和最小权限账户管理体系

加密算法

AES是一种对称加密算法，加密和解密使用相同密钥。密钥长度可选128、192或256位，密钥越长安全性越高但性能开销越大。

RSA是非对称加密算法，使用公钥加密、私钥解密。通常用于加密AES密钥（密钥交换场景）。

混合使用：

实际系统中常采用混合加密方案：用RSA加密随机生成的AES密钥，再用AES加密实际数据。这种方案结合了RSA的安全密钥交换和AES的高效加密能力。

实施多因素认证（MFA）和最小权限账户管理体系

启用MFA的核心组件
选择支持MFA的服务或工具，例如Google Authenticator、Microsoft Authenticator或硬件令牌（如YubiKey）。确保所有关键系统（如VPN、云服务、管理员账户）强制启用MFA。

分层验证策略
对于高敏感操作（如财务交易、数据删除），要求额外的验证步骤（如生物识别或一次性密码）。普通用户登录可采用短信验证码或应用推送，但避免依赖单一短信验证（易受SIM交换攻击）。

用户教育与异常检测
定期培训用户识别钓鱼攻击，避免MFA令牌泄露。部署行为分析工具，检测异常登录（如异地登录尝试），并自动触发二次验证。

权限分类与角色定义
将账户权限分为角色（如管理员、普通用户、审计员），基于职责分配最小必要权限。使用RBAC（基于角色的访问控制）模型，避免直接赋予用户独立权限。

定期权限审查与自动化
通过自动化工具（如AWS IAM Analyzer或Azure AD Access Reviews）定期检查权限使用情况，回收闲置权限。实施临时权限提升机制，确保高权限操作有审批记录。

隔离特权账户
特权账户（如域管理员）仅用于特定任务，禁止日常使用。采用PAM（特权访问管理）工具集中管理，记录所有会话操作，并设置双人审批机制。

技术工具推荐

MFA工具

• Duo Security：支持多种验证方式，集成企业目录。
• Okta：提供自适应MFA，结合地理位置和设备指纹。

权限管理工具

• Microsoft Entra ID（原Azure AD）：支持动态组成员和条件访问策略。
• HashiCorp Vault：集中管理密钥与敏感数据访问权限。

审计与监控

• Splunk/Sentinel：实时分析权限变更和登录行为。
• BeyondTrust：监控特权会话并自动终止异常活动。

五 数据备份与灾难恢复

• 定期备份关键数据，确保在数据丢失或系统故障时能快速恢复。

• 制定并测试灾难恢复计划，确保在重大安全事件后业务能迅速恢复正常运作。

制定RTO/RPO指标，测试恢复流程

RTO 和 RPO 是灾难恢复计划（DRP）的基石，它们共同指导策略设计，确保业务连续性和数据完整性。

• RTO 关注“恢复时间”（系统多久能重新上线）。

• RPO 关注“数据丢失量”（最多丢多少数据）。核心业务，如金融rpo=0 ,即实时备份。

RPO优化技术：(同步贵，异步便宜，但rpo有丢失)

• 同步数据复制：

  • 技术原理：实时将数据写入主备站点，确保故障时备站点数据零丢失。受网络延迟影响，适用于同城近距离。

• 日志实时传输

  • 技术原理：异步传输事务日志（如WAL日志），缩小数据复制间隔。如：Kafka日志持久化。

• CDP（持续数据保护）

  • 技术原理：记录所有数据变更时间点，支持任意时间点恢复。

• pod层面：数据持久卷

RTO优化技术：

• 故障自动切换（HA/FT）
  • ​​​​​​​技术方案：

    • 数据库透明故障转移（TAF）：如Oracle RAC、TDSQL共享集群架构（RTO<30s）4

    • 负载均衡器健康检查：F5、Nginx自动剔除故障节点

  • 关键点：需预配置备用节点并保持会话状态同步。

• 备份恢复优化

  • 加速方法：

    • 增量备份：仅备份变化数据（如Veeam CBT技术）

    • 热备系统：预启动的备用环境（如AWS Pilot Light架构）

    • 并行恢复：分布式数据库分片恢复（如GoldenDB异地部署）

六  网络流量与端口管理

• 关闭不必要的高危端口（如22、3389、445等），减少攻击入口。

• 使用流量分析工具识别异常流量，防范DDoS攻击和数据泄露

七 采用“纵深防御”策略

结合网络层、主机层、应用层、数据层等多层级防护措施，避免单一防护手段失效导致整体安全崩溃。例如，防火墙、入侵检测、终端安全软件、数据加密等协同工作，构建全面的安全体系

八 常见Web安全漏洞防护

• SQL注入：使用参数化查询和输入验证，防止恶意SQL代码注入。

• XSS（跨站脚本攻击）：对用户输入进行转义处理，防止脚本注入。

• CSRF（跨站请求伪造）：使用反CSRF令牌验证请求来源。

• 文件上传漏洞：限制上传文件类型，进行文件内容扫描。

• SSRF（服务器端请求伪造）：限制服务器发起的外部请求，防止攻击者利用内部网络

更多参考：创作中心-CSDN

九 弱电系统规划与实施

1. 基础设施安全

   • 设计符合安全架构的网络拓扑（分层防御、协议选择）

   • 实施物理安全：机房准入控制、线路屏蔽（防窃听）

   • 弱电施工规范：综合布线、防雷接地、电磁防护

2. 系统部署与加固

   • 服务器安全配置：关闭高危端口、强化文件系统（NTFS/EXT权限）

   • 补丁管理流程：自动化更新操作系统/应用漏洞

   • 备份与灾难恢复：制定RTO/RPO指标，测试恢复流程