信息安全威胁与防护基础
常见安全威胁：
云安全威胁分析：
基础设施安全：硬件安全加固、软件安全加固
云账号安全：账号自动锁定、密码安全策略、多因子验证
应用系统安全加固：云主机安全、数据安全
常见安全威胁：
DDos攻击：发送大量的请求使目标系统无法提供正常的服务。
Denial of Service：攻击者控制僵尸主机——僵尸主机发起攻击——目标服务器瘫痪
Web攻击：主要针对网站和web应用程序。
SQL注入攻击：Web应用程序对用户输入的数据合法性没有判断，导致攻击者可以构造不同的sql语句来对数据库执行数据库的操作。危害：数据库信息泄露、网页篡改、远程控制服务器、破快硬盘数据
XSS攻击：恶意攻击者网Web页面里嵌入脚本代码，当用户浏览该网页之时，嵌入其中的代码会被执行，从而达到恶意攻击用户的目的。危害：盗取用户Cookie、修改网页内容、网站挂马、利用网站重定向
CSRF攻击：攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己以前认证过的站点并运行一些操作。危害：未授权访问、篡改站点数据、散播用户不良信息。
暴力破解：由于服务器端没有做有效限制，导致攻击者可以通过暴力手段破解所需信息，如用户名、密码、验证码等。危害：用户密码被重置、敏感目录/参数被枚举、账号被盗
命令执行攻击：应用未对用户输入做严格的检查过滤，导致用户输入的参数被当成命令来执行，攻击者可以任意执行系统命令。危害：反弹Shell、获得服务器权限
文件上传攻击：未对用户上传的文件进行检查和过滤，导致某些别有用心的用户上传了一些恶意代码或文件（asp/php/jsp），从而控制了网站。危害：Webshell攻击。
僵木蠕毒：计算机系统上的恶意软件，这些恶意软件会破坏计算机系统，影响计算机使用，并能自我复制和通过网络传播。
APT攻击：高级持续性威胁攻击。
侦察跟踪——武器化——交付——漏洞利用——安装植入——命令与控制——目标达成
信息安全防护基础：
五方面：保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性
发展历程：通信安全阶段——信息安全阶段——信息保障阶段——网络空间安全阶段
安全特性：机密性、完整性、可用性
信息安全模型：PDR
Protection：保护、Detection：检测、响应：Response
信息安全体系：
信息安全标准组织：
ISO：国际标准化组织
IEC：国际电工委员会
TC260：全国信息安全标准化技术委员会
中国通信标准化协会CCSA下辖的网络与信息安全技术工作委员会
标准和规范
信息安全等级保护：对信息和信息载体按照重要性等级分级别进行保护的一种工作
ISO27001：信息安全管理体系的国际标准
网络安全法：
中华人民共和国保守国家秘密法：
美国标准TCSEC：可信计算机系统评价标准
欧盟标准ITSEC：欧洲的安全评价标准