7、信息安全关键要点解读

信息安全关键要点解读

1. 了解正常状态

在信息安全的蓝队或网络防御领域工作，不可避免地会参与一些调查工作，如网络入侵或恶意软件感染调查。理解“正常状态”是工作的重要方面。信息安全的基本宗旨是保护信息的机密性、完整性和可用性，这也是我们追求的“正常”标准。

1.1 明确正常状态的表现

需要了解网络协议、计算机操作、应用程序行为以及企业环境中的通信流量等方面的正常表现。攻击会破坏这种正常状态，检测工具依赖于对异常情况的定义来工作，例如入侵预防系统（IPS）和反恶意软件平台的签名或规则，能在匹配到恶意活动时发出警报。

1.2 收集基线信息

收集基线信息有助于理解正常状态，具体操作步骤如下：
1. 记录企业环境中的应用程序、软件和网络拓扑图。
2. 获得批准后，使用数据包嗅探工具或网络设备的NetFlow信息来收集网络基线。可以使用Wireshark并阅读相关协议的RFC文档，以帮助解析数据包。
3. 确定桌面和服务器上安装的典型软件或应用程序。
4. 使用免费工具（如Process Monitor或Redline）在模拟典型终端用户活动时捕获进程详细信息。
5. 分析数据，了解使用某些应用程序时会启动哪些进程。
6. 了解不同部门员工的日常任务以及他们在系统或网络中留下的模式，以便更容易发现内部威胁。

收集到的所有数据都可作为判断环境中正常状态的指南。同时，要了解工具的工作原理，以便在怀疑遥测数据异常时进行规则调整或工具修复。

1.3 正常状态判断流程

graph LR