網際網路企業安全高階指南讀書筆記之大規模縱深防禦體系設計與實現

設計方案

資料流視角

伺服器視角

IDC 視角

邏輯攻防視角

場景裁剪

應對規模

自研 HIDS、RASP 都是奢侈品，可以用 OSSEC、OSquery 等產品代替
網路分光可以用掃描器+ Web 日誌分析代替
SQL 審計可以在 CGI 層解決

業務型別

如果業務流量中中大部分都是 HTTP 型別的，那麼應該重點投入 WAF、RASP 和 Web 掃描器，NIDS/NIPS 可以省略，如果有條件搞 HIDS，應該優先關注使用者態檢測，比如 webshell 和提權

如果非 HTTP 協議例如 SSH、MySQL 等通用協議而非私有協議佔多數，網路的部分可以考慮 NIDS、資料庫部分可以使用 SQL 審計。如果訊息介面、遠端過程呼叫、資料快取和持久化中私有協議佔多數，則不用考慮 NIDS 和 SQL 審計，而應轉向 HIDS，私有協議對入侵者來說是一道門檻，被滲透的概率不高，所以更多關注作業系統本身就行。對於大量的非 Web 業務，例如很多儲存節點，也只需要關注作業系統的入侵，更多的在 HIDS 上投入，重點在後門程式和 Rootkit 檢測