安全设备 on SoulJian小站

蜜罐专项：部署、识别与对抗

Sat, 29 Aug 2026 23:00:00 +0800

写在前面：合法学习边界

本文介绍蜜罐的部署与使用，用于授权环境与攻防演练。

一、蜜罐是什么

蜜罐是“故意暴露的诱饵”：伪装成有价值但没真实数据的主机/服务，用来吸引攻击者。攻击者一旦触达蜜罐，防守方就能提前发现、取证、溯源。

1

价值：把攻击者的动作暴露在“看得见”的地方

二、蜜罐的类型

1. 按交互程度

1
2


低交互：模拟协议响应，成本低、危险小
高交互：真实系统/容器，能捕获更多行为、风险高

2. 按场景

1
2
3
4


Web 蜜罐：伪装网站/后台，诱捕 Web 攻击
数据库蜜罐：伪装 MySQL/Redis 等
SSH 蜜罐：记录爆破行为
服务蜜罐：FTP、SMB 等

三、主流开源蜜罐

1
2
3
4
5


HFish：国产、图形化、免费，部署简单，社区活跃
T-Pot：多蜜罐平台，功能全、偏研究
Cowrie：SSH/Telnet 蜜罐，记录交互
Glastopf / SNARE：Web 蜜罐
（商业：绿盟、深信服等有蜜罐产品线）

四、部署位置与用法

1
2
3
4


部署：公网边界、内网关键网段、DMZ、办公网
伪装：用真实业务域名/IP 相近的名字
告警：触达蜜罐即高危告警（正常流量不该碰它）
溯源：记录攻击手法、工具、IP、行为

五、蜜罐的核心价值

1
2
3
4


提前发现：正常不会碰蜜罐，碰了就是攻击
诱饵转移：把攻击引向蜜罐，保护真资产
情报收集：捕获攻击工具/手法/自动化扫描
重保/护网：识别红队行为

六、识别与对抗（攻方视角）

1
2
3


蜜罐特征：服务过于开放、无真实业务数据、
响应异常、端口特征与其他设备不一致
工具指纹：某些蜜罐有已知特征

1

提示：攻击者也会探测蜜罐，蜜罐要“演得像真的”

七、运维要点

1
2
3
4


蜜罐要隔离在安全网段，防被当跳板
数据不落真实业务库
告警要接入态势感知/EDR 统一研判
定期更新伪装与指纹，避免被识别

部署与操作步骤

1
2
3
4
5


第 1 步：选定蜜罐类型（HFish / T-Pot / Cowrie / Web 蜜罐）
第 2 步：部署在隔离网段，伪装成真实业务
第 3 步：配置诱饵（假账号/假数据/仿真端口）
第 4 步：接入告警（态势感知/EDR 统一研判）
第 5 步：定期更新伪装与指纹，避免被识别

八、小结

蜜罐是“用诱饵换情报”的防御手段：正常流量永远不该碰它，碰了就是威胁信号。它和态势感知、EDR 配合，能显著提升发现能力。理解蜜罐类型、HFish/T-Pot 等工具和它的弱点，攻防两端都绕不开它。

EDR 专项：终端检测与响应

Sat, 29 Aug 2026 22:50:00 +0800

写在前面：合法学习边界

本文介绍 EDR 的功能与运维，用于授权环境与安全运营。

一、EDR 是什么

EDR（Endpoint Detection and Response）是终端安全的新一代方案，不只看有没有病毒，还看终端有没有“被攻击的行为”，并支持取证与响应。

1
2


传统杀软：特征查杀已知病毒
EDR：行为检测 + 响应 + 溯源

二、与传统杀毒的区别

维度	传统杀毒	EDR
方式	特征库查杀	行为/关联分析
范围	已知样本	已知 + 未知（APT/无文件）
能力	查杀	检测 + 隔离 + 取证 + 溯源
视角	单点	终端全生命周期

1

一句话：杀软防“已知”，EDR 防“未知 + 行为”

三、核心功能

1
2
3
4
5
6
7


1. 病毒/恶意文件查杀
2. 行为检测：进程链、异常命令、横向行为
3. 内存防护：无文件攻击、进程注入检测
4. 威胁狩猎：主动搜可疑痕迹
5. 隔离响应：一键隔离主机/进程
6. 取证溯源：还原攻击链
7. 与态势感知/防火墙联动

四、EDR 重点关注的行为

1
2
3
4
5


LSASS 被读取（mimikatz 特征）
异常计划任务/服务/注册表（持久化）
进程注入、内存中执行
异常外联（C2 回连）
横向移动特征（SMB/WMI/WinRM）

五、主流产品

1
2


国内：奇安信天擎、深信服 EDR、360 终端、火绒、微步 OneEDR 等
国外：CrowdStrike、SentinelOne、Microsoft Defender for Endpoint 等

六、运维与研判要点

1
2
3
4
5


覆盖要全（服务器+PC+云主机都要装）
检测策略分级，避免误杀业务
告警要闭环：研判 → 隔离 → 清理 → 复盘
与态势感知联动，统一处置
定期做终端基线核查

部署与操作步骤

1
2
3
4
5
6


第 1 步：在服务器/PC/云主机全覆盖安装 Agent
第 2 步：接入 EDR 管理端并下发检测策略
第 3 步：告警分级（避免误杀业务）
第 4 步：研判 → 隔离 → 清理 → 复盘
第 5 步：接入态势感知统一处置
第 6 步：定期终端基线核查与策略调优

七、小结

EDR 是终端安全的“最后一道防线”，擅长发现杀软漏掉的“行为类”攻击（无文件、内存马、横向）。运维重点是覆盖全、策略准、处置闭环。对攻防双方来说，EDR 都是终端侧的关键战场。

态势感知专项：平台功能与厂商对比

Sat, 29 Aug 2026 22:40:00 +0800

写在前面：合法学习边界

本文介绍态势感知平台的运维与研判，用于授权环境与安全运营。

一、态势感知是什么

态势感知是企业的“安全大脑”：把各安全设备（防火墙、IPS、EDR、漏扫）的日志和告警集中起来，做关联分析、威胁发现和响应处置。

1
2
3


输入：多源日志/流量/告警
处理：关联分析 + 情报 + AI
输出：威胁告警、态势可视化、处置闭环

二、与 SIEM 的区别

1
2
3


SIEM：偏日志收集、聚合、关联、合规报表
态势感知（SIP/NGSOC）：更广——整合威胁情报、
UEBA、SOAR 自动化编排、大屏可视化、重保

1

一句话：态势感知 ≈ SIEM + 情报 + UEBA + SOAR + 运营闭环

三、核心功能模块

1
2
3
4
5
6
7
8


1. 日志收集：Syslog/DB/SNMP/Netflow/API/镜像流量
2. 关联分析：多源关联、威胁建模（SABRE 类引擎）
3. 威胁情报：云端情报推送、失陷指标匹配
4. UEBA：用户与实体行为分析（内部威胁）
5. 资产与脆弱性感知
6. SOAR：编排自动化响应（联动封锁）
7. 可视化：大屏态势、风险资产/用户视角
8. 重保支撑：实时告警、攻击者分析、通报预警

四、与安全设备的联动

1
2
3
4


IPS/防火墙：态势感知下发封锁（联动阻断）
EDR：终端取证、隔离处置
漏扫：脆弱性数据汇入
蜜罐：攻击线索补充

1

联动链路：设备上报 → 平台研判 → 下发处置

五、主流厂商对比（查证）

厂商	产品	优势场景
奇安信	NGSOC 态势感知与安全运营平台	央企/部委/运营商、海量告警、APT 狩猎、护网成熟
深信服	安全感知平台 SIP（+探针 STA）	中小政企、轻量化一体化、联动封锁、安全 GPT 降噪
安恒	AiLPHA 大数据安全平台	金融/教育、UEBA + AI 研判、ATT&CK、SOAR
启明星辰	态势感知平台	公安/政务客户基数大
绿盟	安全运营平台	漏洞 + 威胁一体化闭环

1

共性：均内置原生 SOAR 模块，打包在平台内

六、运维与研判要点

1
2
3
4
5


数据源要全（不然分析盲区）
告警要降噪（分级、打标、规则优化）
研判要闭环（告警→验证→处置→复盘）
与设备联动要配置好（封锁动作可控）
重保/护网时是核心指挥台

运营与操作步骤

1
2
3
4
5
6


第 1 步：接入数据源（防火墙/IPS/EDR/漏扫/蜜罐日志与流量）
第 2 步：配置关联规则与威胁情报订阅
第 3 步：建立资产与风险基线
第 4 步：告警分级降噪、打标
第 5 步：研判闭环（验证 → 处置 → 复盘）
第 6 步：配置与设备联动封锁，重保时做指挥台

七、小结

态势感知是安全运营的“指挥中枢”，把分散的安全设备串成一张网。选型看场景（大厂重保 vs 中小轻量），运营看闭环（不是堆功能，而是告警能处置）。和 SIEM 的区别、和 IPS/EDR 的联动，是理解它的关键。

堡垒机专项：运维审计与特权访问管理

Sat, 29 Aug 2026 22:30:00 +0800

写在前面：合法学习边界

本文介绍堡垒机的功能与运维规范，用于授权环境与合规建设。

一、堡垒机是干什么的

堡垒机（运维审计系统）是统一运维入口 + 全程审计：所有运维人员登录服务器/数据库/网络设备，都必须先经过它，操作全程录像留证。

1

一句话：把“谁、在哪、做了什么”全部记下来

二、为什么需要堡垒机

1
2
3
4


账号太多：每台机器一个密码，管理乱
风险：运维人员直接登录核心设备，无审计
合规：等保、金融、政务都要求运维审计
防风险：泄露、误操作、越权都能追责

三、4A 理念

1
2
3
4


Authentication 认证：统一身份认证
Authorization 授权：最小权限授权
Account 账号：统一账号管理（托管密码）
Audit 审计：全程操作审计

四、核心功能

1
2
3
4
5
6


统一账号管理：托管设备账号密码，定期改密
统一认证：SSO、双因子（OTP/短信）
权限控制：按人/按设备/按时间授权
协议支持：SSH、RDP、VNC、数据库、Web
全程审计：录像、命令记录、搜索回放
工单流程：申请→审批→授权→使用

五、主流产品

1
2


开源：JumpServer（JumpServer 开源堡垒机，很主流）
商业：齐治、安恒明御、深信服、绿盟、奇安信、天融信

1

JumpServer 特点：开源、Web 化、支持大量协议、社区活跃

六、部署与使用流程

1
2
3
4
5


第 1 步：部署堡垒机（独立主机/高可用）
第 2 步：添加资产（服务器/数据库/网络设备）
第 3 步：托管账号并授权
第 4 步：用户经堡垒机登录目标
第 5 步：全程审计、可回放

七、运维规范

1
2
3
4
5


堡垒机账号强密码 + 双因子
权限最小化，定期复核授权
高危命令/资产单独审批
审计日志定期备份（防篡改）
堡垒机自身也要加固（避免成为跳板）

八、小结

堡垒机解决的是“运维权限的可见性与可控性”。它不是单纯“多一道门”，而是把运维行为纳入审计闭环。对渗透测试来说，堡垒机往往是高价值目标——拿到它等于拿到一批特权账号；对防守方来说，把堡垒机本身加固好很关键。

IPS / IDS 专项：入侵检测与防御

Sat, 29 Aug 2026 22:20:00 +0800

写在前面：合法学习边界

本文介绍 IDS/IPS 的运维与检测，用于授权环境。不要对真实系统做规避检测的测试。

一、IDS 与 IPS 的区别

1
2


IDS（入侵检测）：旁路监听，只发现、告警，不阻断
IPS（入侵防御）：串接在链路，发现即阻断

一句话：IDS 是“看门狗”，IPS 是“拦路虎”。

维度	IDS	IPS
部署	旁路（镜像流量）	串接（链路中）
动作	告警	阻断 + 告警
风险	不影响业务	误杀会断业务
用途	检测/取证	实时防御

二、检测原理

1. 特征检测（基于规则）

1
2
3


匹配已知攻击特征（签名库）
例：SQL 注入关键字、恶意 payload 特征
优点：准确；缺点：只能查已知

2. 异常检测（基于行为/基线）

1
2
3


偏离正常流量基线 → 告警
例：异常协议、异常端口、流量突增
优点：能发现未知；缺点：误报多

3. 关联/协议分析

1
2


检查协议字段是否合规
发现畸形包、协议滥用

三、部署位置

1
2
3
4


边界（防火墙后）：防外部攻击
DMZ：保护对外服务
核心区/服务器区：防东西向与横向
终端/东西向：配合 EDR

四、告警研判

1
2
3


看：源/目的、攻击类型、命中规则、时间
验证：是否真实攻击（误报 vs 真告警）
处置：封 IP、阻断会话、取证、升级规则

五、常见绕过（理解攻防）

1
2
3


编码绕过（URL/Base64/Unicode）
分片、加密流量（TLS 内看不到）
慢速扫描、分布式攻击

1

这也是为什么要“特征 + 异常 + 情报”一起看

六、主流厂商

1
2
3


绿盟、启明星辰、华为、深信服、山石网科、奇安信、天融信
（NGFW 通常内置 IPS 模块）
（开源：Snort、Suricata 可做检测）

七、运维要点

1
2
3
4
5


特征库及时更新
规则分级（高/中/低），避免告警淹没
IPS 上线先观察模式再阻断，防误杀
与防火墙/态势感知联动
定期复盘告警质量（降噪）

部署与操作步骤

1
2
3
4
5
6


第 1 步：确定部署方式（IDS 旁路镜像口 / IPS 串接链路）
第 2 步：IDS 接交换机镜像口；IPS 串接在边界或核心前
第 3 步：导入规则并分级（高/中/低）
第 4 步：IPS 先观察模式运行，确认无误再开阻断
第 5 步：接日志到态势感知，联动防火墙封堵
第 6 步：定期更新特征库并复盘告警降噪

八、小结

IDS 管“发现”，IPS 管“拦截”。部署上 IDS 旁路、IPS 串接；检测上特征查已知、异常查未知。实际运营的难点是降噪和防误杀，所以要“观察→阻断”两步走，并与防火墙/态势感知联动。

防火墙专项：传统与下一代防火墙（NGFW）

Sat, 29 Aug 2026 22:10:00 +0800

写在前面：合法学习边界

本文介绍防火墙的配置与运维，用于授权环境与自建网络。不要对非授权网络做策略绕过或探测。

一、防火墙是干什么的

防火墙是网络边界的第一道门，按策略放行/阻断流量。

1

核心：基于“区域 + 策略”控制进出流量

传统防火墙看“五元组”，下一代防火墙看得更多。

二、传统防火墙 vs 下一代防火墙

维度	传统防火墙	下一代防火墙（NGFW）
识别	IP/端口/协议	应用、用户、URL
防御	包过滤/状态检测	应用识别 + IPS + 防病毒 + 情报
联动	少	与威胁情报/沙箱/EDR 联动

1

NGFW 核心：按“应用+用户”做策略，而不是只按端口

三、NGFW 的工作模式

1. 路由模式

1
2
3


防火墙接口配置 IP，作为三层设备
流量按路由表/策略转发
适合重新规划网络边界

2. 透明模式（桥接/透明桥）

1
2
3


防火墙像二层交换机一样透明串接
不改现有 IP 规划，接口通常无业务 IP
适合“不改变网络、只想插一道墙”

3. 混合模式

1
2


部分接口路由、部分接口透明，按需组合
常见于复杂网络

4. 旁路模式

1
2


通过镜像流量旁路分析（不做阻断）
常用于 IDS/探针，或取证分析

四、部署方式

1
2
3
4


透明串接：不改变拓扑，串在链路上
路由接入：作为边界网关
旁路：镜像流量检测（只告警）
HA 双机：主备热备，保证可用性

五、安全策略怎么做

1
2
3
4
5
6


原则：默认拒绝，按需放行
策略元素：源/目的、应用、用户、动作、时间
常用场景：
 内网→外网：只放行必要应用
 外网→内网：只放行对外服务（Web/DNS）
 DMZ 隔离：对外服务放 DMZ，不与内网直连

六、NGFW 常用功能

1
2
3
4
5
6
7


应用识别与控制
URL 过滤
入侵防御（内置 IPS）
防病毒/防恶意文件
IPsec VPN / SSL VPN
威胁情报联动
日志审计

七、国内主流厂商

1
2
3


华为、深信服、奇安信（网神）、山石网科、天融信、
H3C、启明星辰、绿盟
（国外：Fortinet、PaloAlto、Cisco 等）

八、常见问题与运维

1
2
3
4
5


策略太多太乱 → 定期梳理收敛
默认放行 all → 违反最小权限
规则没看日志 → 误放行未发现
双机没配好 → 单点故障
日志不审计 → 出了事没证据

九、检测与加固（安全视角）

1
2
3
4


检查是否有宽泛放行策略（any-any）
检查默认口令、远程管理暴露
定期审计策略与日志
更新特征库与情报

部署与操作步骤

1
2
3
4
5
6


第 1 步：确认模式（路由 / 透明 / 混合），决定放哪
第 2 步：按模式配置接口（路由配 IP；透明走桥接）
第 3 步：划分安全区域（外网 / 内网 / DMZ）
第 4 步：写安全策略（默认拒绝，按需放行）
第 5 步：开启 NGFW 功能（IPS / 防病毒 / URL / VPN）
第 6 步：验证连通性与策略，配置 HA 与日志审计

十、小结

防火墙的关键是“模式选对 + 策略收敛 + 功能用全”。NGFW 把 IPS/防病毒/VPN/情报揉进一台设备，但再强的墙也架不住 any-any 的策略。理解路由/透明/混合三种模式，才能把它放对位置。