高级威胁防护与网络架构、通信保护
頻出约 58 分钟8 个术语过去问 18 题
本单元目标
- 能按监视的范围（单台终端，还是多台设备的日志）区分EDR和SIEM，并能说明DLP着眼于数据内容这一特点。
- 能根据放在其中的对象（接入公司内部之前的终端，还是对外公开的服务器）区分隔离网络（検疫ネットワーク）和DMZ。
- 能说明SSL/TLS和VPN各自保护的通信范围，并能列举终端丢失时管理员可借助MDM采取的措施。
术语总表（8 个）
术语
EDR是持续记录并监视PC、服务器等端点（エンドポイント，即连接在网络末端的设备）的行为，在入侵后检测可疑行为并协助响应的机制。
传统的杀毒软件主要通过与已知恶意软件的特征进行比对来阻止入侵。EDR则以可能被入侵为前提，采用监视程序行为本身的行为检测（振る舞い検知），即使面对特征尚未被掌握的攻击也能尽早察觉，重在控制损害。一旦发现可疑行为，就把终端从网络中隔离，并根据记录调查原因和影响范围。
类比就像在楼内巡逻的保安。除了用门锁守住入口之外，一旦在楼里发现可疑举动，就关上房门，再调出监控录像倒查。
记法Endpoint Detection and Response 的首字母缩写。后面的 D（检测）和 R（响应）表明，它属于“发现并处置”而非“拦在门外”一侧的机制。
考点
- 常考行为检测监视程序的行为，发现并阻止计划外的对外发送等可疑操作，可用来防范未知攻击。
- 易混传统杀毒软件靠与已知特征比对守住入口，EDR则观察入侵后的行为来进行检测和响应。
该术语的过去问 1 题 EDR →
DLP是识别机密信息、个人信息等需要保护的数据内容，并在这些数据要流出公司时进行拦截或警告的机制。
预先登记“机密”的判定条件（包含的词语、文件种类等），只有在发送邮件、复制到外部存储介质、打印等操作中出现符合条件的数据流动时才加以阻止。由于监视的是数据本身而非使用者，即使是拥有正当权限的员工误发或带出数据，也能应对。
类比就像在公司大楼出口检查随身物品的工作人员。不管是谁在搬运，只要里面有禁止带出的文件，就不放行。
记法Data Loss Prevention 的缩写。这里的 Loss 不是指数据损坏，而是指数据流失（外泄）到组织之外。
考点
- 易混防火墙主要按通信的发送方和目的地决定是否放行，DLP则按所发送数据的内容是否属于机密来判断。
SIEM是把服务器、网络设备和安全产品输出的日志集中到一处，通过相关分析发现攻击迹象的机制。
相关分析是指把不同设备的日志按时间、发送方等进行比对，关联为彼此相关的事件。仅看一台设备的日志并不显眼的行为，串联起来后可能就显现为一次攻击的过程。收集到的日志也能在事故发生后作为追溯经过的材料。
类比就像把整栋楼的监控画面排在一个房间里查看的安保中心。单看一路画面注意不到的人员动向，连起来就能看出可疑的路线。
记法由安全信息管理（SIM）和安全事件管理（SEM）组合而成的名称，日语读作 シーム。
考点
- 易混IDS是监视通信、发现非法行为的设备，SIEM则是收集包括IDS在内的多台设备的日志并进行横向分析的机制。
隔离网络（検疫ネットワーク）是先把想接入公司内部局域网的终端连到检查专用区域，确认安全后才允许其接入内部局域网的机制。
检查的是终端的状态，例如操作系统的修复程序（补丁）是否已安装、杀毒软件是否为最新。不符合标准的终端不能进入内部局域网，在修复完成前一直留在检查专用区域。其目的是防止那些不知在何处接入过什么网络的终端把感染扩散到公司内部。
类比就像从国外回来的人先在机场检疫站接受检查，没有问题才准许入境。
记法日语名称里的“検疫”就是中文的“检疫”：“检”是检查，“疫”是疫病。正如字面所示，先查清是否被感染，再放行进入。
考点
- 常考隔离网络的目的是不让存在安全问题的终端进入公司内部局域网。它与在边界筛选外部通信的防火墙作用不同。
该术语的过去问 1 题 検疫ネットワーク →
DMZ是用防火墙同时与外部（互联网）和内部局域网隔开的中间区域，用于放置对外公开的服务器。
外部用户可以连接到DMZ中的服务器，但从DMZ到内部局域网的通信会被防火墙阻止。如果把公开服务器直接放在内部局域网里，一旦被攻陷，它就会成为直接进入公司内部的入口。把它划到DMZ中，即使公开服务器被攻陷，攻击者也难以把它当作跳板（踏み台）侵入内部局域网。
类比就像公司的接待大厅。来客可以进到大厅，但大厅与里面的办公区之间隔着一道上锁的门，即使大厅里出了乱子，也进不了办公区。
记法DeMilitarized Zone（非军事区）的缩写，源自在对立双方之间设置缓冲地带的军事用语。
考点
- 常考把公开服务器放在DMZ的目的，是即使该服务器受到攻击，也不让损害扩大到内部局域网。邮件服务器也放在DMZ中，以免被当作从外部侵入内部的跳板。
- 常考服务器放在哪里，取决于是否需要对外公开。公开的服务器放在DMZ，持有公司机密数据的服务器放在内部局域网。
- 常考DMZ是通过防火墙的设置构建的区域。外部和内部局域网都可以连接到它，但不允许从DMZ连接到内部局域网。
该术语的过去问 3 题 DMZ →
「隔离网络（检疫网络）」与「DMZ（隔离区）」的区别
SSL/TLS是对浏览器与Web服务器之间等的通信进行加密，并用服务器证书（サーバ証明書）确认通信对方服务器是否真实的协议。
服务器证书是由可信的第三方机构（认证中心）证明服务器所有者身份的电子证书。在Web上，使用SSL/TLS的HTTP通信称为HTTPS，其URL以 https:// 开头。SSL是较早的前身方式，现在使用的是其改进版TLS，但两者通常合称为SSL/TLS。
类比就像先核对对方的身份证件，再用看不到内容的信封往来书信。即使投递途中有人碰到，也读不到里面的内容。
记法https 最后的 s 是 secure（安全）的 s。带有这个 s，就表示通信受到 SSL/TLS 保护。
考点
- 常考HTTPS的加密覆盖从浏览器到Web服务器的全程。无线局域网（WLAN，也写作无线LAN）的加密（WPA2）只保护终端与接入点（无线局域网的基站）之间，有没有这层加密并不影响HTTPS的加密。
- 常考经服务器证书验证的SSL/TLS通信能确认的是：对方不是假冒网站，并且内容在传输途中不会被读取。它并不保证网站运营者的可信程度。
- 常考要用SSL/TLS开始加密，服务器需要准备服务器证书并出示给浏览器。HTTPS就是用SSL/TLS来保护Web通信的方式。
该术语的过去问 3 题 SSL/TLS →
VPN是在众多用户共用的网络之上，构建只有签约用户或员工才能使用的虚拟专用网络，使其能像专线一样使用的技术。
VPN用于从公司外部接入公司内部局域网的远程办公，以及连接相距较远的各个办公地点。代表性的形式有经由互联网的互联网VPN（インターネットVPN），以及使用通信运营商只向签约用户提供的封闭网络的IP-VPN。
类比就像在人人都走的普通道路中，挖一条只有自己人能通过、带遮挡的隧道。虽然走的是同一条路，外面却看不到里面的情形。
记法Virtual Private Network。并非真正的专线（Virtual，虚拟），却能像自己专用（Private）的网络一样使用，名称本身就说明了它的内容。
考点
- 常考经由互联网的互联网VPN走的是人人都能使用的网络，因此要把确认连接对象的认证与通信内容的加密组合起来以确保安全。
- 常考IP-VPN使用通信运营商的封闭网络，因此能保证带宽等通信质量。互联网VPN则无法提供这种保证。
- 易混在终端接入公司内部之前检查其安全状态，是隔离网络的作用，而不是VPN的特点。
该术语的过去问 3 题 VPN →
「SSL/TLS」与「VPN（虚拟专用网络）」的区别
MDM是由管理员远程统一管理公司为业务配发的智能手机等终端的机制。
预先在终端上安装管理用软件（代理程序），管理员就能在自己手边监视各终端的状态，或限制可使用的应用。终端丢失或被盗时，可远程锁定终端或擦除数据，防止信息泄露。
类比就像统一管理公司车辆的调度中心。所有车辆的设置保持一致，车被盗时还能从远处让发动机熄火。
记法Mobile Device Management 的缩写。字面相似的DMZ以 Zone（区域）结尾，讲的是网络；MDM以 Mobile（可携带的）开头，讲的是终端。
考点
- 常考为应对丢失或被盗，管理员能远程锁定终端，或擦除数据、恢复出厂设置，这是MDM的代表性功能。
- 易混把私人终端带来用于工作称为BYOD，与MDM是不同的术语。MDM指的是管理终端的机制。
- 常考利用MDM，管理员可以把强制屏幕锁定等安全设置统一分发到所有业务用终端。
该术语的过去问 2 题 MDM →
要点
- EDR持续监视终端的行为，发现可疑行为后通过隔离和调查加以应对。借助行为检测，它也能对未知攻击作出反应。
- DLP着眼于需保护数据的内容，阻止其被带出公司；SIEM收集多台设备的日志并进行相关分析。
- 隔离网络在终端接入公司内部局域网之前进行检查，DMZ则是把公开服务器与内部局域网隔开放置的区域。
- SSL/TLS对浏览器与Web服务器之间进行全程加密，并用服务器证书确认对方是否真实。
- VPN是在共用网络上构建可像专线一样使用的虚拟网络的技术，互联网VPN通过认证和加密确保安全。MDM是远程管理业务用移动终端、在丢失时进行锁定或擦除的机制。
查看这个领域的全部过去问 →