第一章 开启网络安全态势感知的旅程

1.1 引言

网络安全态势感知本质上就是获取并理解大量网络安全数据，判断当前整体安全状态并预测短期未来趋势。总体而言，分为三个阶段：态势提取、态势理解和态势预测。

1.2 网络安全监视

1.2.1 计算机网络

1.2.2 恶意代码

计算机由硬件和软件两部分组成，前者决定了它的“体力”，后者决定了它的“智力”。软件不过是指令和数据的集合，表现形式是代码。

1、病毒

能够自我复制的程序

2、僵尸网络

攻击者通过各种途径传播僵尸程序（虽然本质上是病毒，但它只是充当了一个攻击平台的角色）以感染互联网上的额大量主机，而被感染的主机通过控制一个控制信道接收攻击者的指令，组成一个受控的“僵尸网络”，众多计算机就在不知不觉中成为被人利用的一种工具。

“僵尸网络”是一种由引擎驱动的恶意因特网行为，常与之一起出现的词还有ddos，后者是利用服务请求来耗尽被攻击网络的系统资源，从而使被攻击网络无法处理合法用户的请求。

3、木马

攻击者通过特定的木马程序控制另一台计算机，等到合适的时机，攻击者在控制端发出命令，于是隐藏的木马程序就开始进行破坏性行动。

4、蠕虫

蠕虫病毒是自包含的程序，它能将自身功能的拷贝或自身的某些部分传播到其他计算机系统上。

1.2.3 漏洞利用

漏洞利用是采用一组恶意软件的集合进行攻击的技术，这些恶意程序包含数据或可执行代码，能够在本地或远程计算机上运行。

零日漏洞：未知的漏洞

1.2.4高级持续性威胁

APT攻击相对于其他普通攻击形式更为高级、更为先进、更为持久。其高级型体现在于发动攻击前要对攻击对象的业务流程和目标系统进行精确的收集，在信息收集过程中，它会主动挖掘被攻击对象受信系统和应用程序的漏洞，利用这些漏洞组建攻击者所需的网络。

1.2.5 网络安全设施

（1）防火墙

防火墙是一种采用隔离技术的网络安全系统，常常部署在内部网与外部网、专用网与公用网之间、以保护内部网络免受非法用户的侵入。

（2