网络攻防学习笔记 Day108

安全引擎是安全软件的核心技术，它通过特定的算法或规则体系，对本地的程序或文件进行风险分析和行为控制，并对检出的恶意程序进行查杀。不同的算法或规则体系形成了不同的安全引擎。

第一代安全引擎的特点是采用“特征码查黑”技术，也称为“静态黑特征匹配”技术。第二代安全引擎的特点是将“行为检测”与“黑白名单”技术相结合。第三代安全引擎的特点是新增了“内存指令控制流检测”。

云查杀技术就是一种联网查询威胁信息，辅助本地系统进行安全检测和响应的安全技术。

沙箱技术就是在计算机中建立一个虚拟的安全空间，并将程序置于这个封闭的环境中运行，即便运行的程序可能有风险，病毒也无法接触到真实的计算机系统，从而避免了其对计算机系统的破坏。

网闸是安全隔离与信息交换系统的通俗说法，网闸是实现物理隔离的网络边界设备。网闸的主要特点是使用私有协议、专用隔离装置和读/写介质等方式进行信息传输，而且只对指定应用产生的信息进行传输。网闸被广泛应用在公安机关和保密机构等对安全性要求较高的内部网络中。

网络识别一般是指对网络中的系统、人员、资产、数据等信息进行识别、分类和定位的技术。网络识别能够帮助管理员更好地理解自身的系统和能力，进而能够对网络风险进行有效的定位和管理。

网络流量识别技术的实现过程非常复杂，且识别精度越高，支持的协议越多，实现起来也就越复杂。同时，绝大多数基于网络流量识别的威胁分析系统，都需要具有实时或准实时的分析能力，因此往往对设备的性能要求较高。

常见的网络流量识别技术包括端口识别技术、深度包识别技术、深度流识别技术、基于行为特征的流量分类识别技术，以及基于机器学习的流量分类识别技术等。

流量威胁检测技术以网络流量数据为基础，网络流量数据不是简单依赖设备的日志，而是以一种高价值、高质量的网络数据表示——“网络元数据”存在的，其数据来源包括流量数据包、会话日志、元数据、告警数据、附件、邮件、原始还原数据等，也就是网络流量大数据。

网络安全扫描技术是一种安全检测技术，一般通过漏洞扫描等手段对指定的计算机系统和网络设备的安全脆弱性进行检测，从而发现安全隐患和可被利用的漏洞。通俗地说，网络安全扫描就是对系统进行诊断检测，看看其是否存在漏洞，如果存在漏洞，就通知管理员进行及时修复。

终端检测响应技术（Endpoint Detection and Response，EDR）是基于终端大数据分析的新一代终端安全技术，能够对终端行为数据进行全面采集、实时上传，对终端进行持续检测和分析，增强对内部威胁事件的深度可见性，同时结合威胁情报中心推送的情报信息（IP 地址、URL、文件 HASH 等）帮助企业及时发现、精准定位高级威胁。