信息安全蓝队工作笔记

今年工作从红方转到了蓝方产品开发，从开发红队的工具开发转到了蓝队乙方产品的防护方案研究与落地执行：

1.多总结与归纳，每周看看进度思考，在完成ddl的情况下多思考改进，目的是增加检出率，防住攻击面。

1.1 后续可以在更厉害的能力上思考，收集大量的攻击数据后，通过一定的算法进行归纳整理出危险集和非危险集。然后通过相似算法来进行匹配。

2.安全产品能力总结

2.1 基础防护能力，拦截市面上已知的漏洞，通过规则引擎，同时增加不同语法糖的绕过方案的检出率。

2.2未知防护能力，通过行为拦截，并且增加检出率。

2.3 打不进来，打进来了不能维权，打进来如果运行危险命令直接T出去，打进来了不能横向，打进来了还能反击，安全产品自身安全

技术本质

1.了解有哪些观测点，这些观测点能拿到哪些数据维度（进程（参数），网络，内存状态）

2.检测模型，居用什么恶意特征来完成检测，与步骤一相辅相成，因为我们检测模型也依赖于观测模型，观测模型能够观测到哪些数据很关键