好，*三個的話就是對白盒測試，那么非常重要的一點就是你要知道如何去設計用例，如何去設計用例 好，設計用例的話，其實就是也就是你測試這個軟件的一個非常重要的邏輯思維這個東西。 因此就是說并不是說每個人都能夠隨隨便便去做一做一個很好的黑盒測試的工程師。
在安全運營工作當中，經(jīng)常需要系統(tǒng)日志、設備威脅事件日志、告警日志等，各種日志進行收集匯聚，具體分析，通過日志來分析威脅事件發(fā)生源頭、相關聯(lián)的人和資產(chǎn)關系，以日志數(shù)據(jù)的角度，來追究溯源威脅事件發(fā)生的過程和基本概括原貌。評估威脅事件產(chǎn)生危害的影響范圍，關聯(lián)到人與資產(chǎn)，采取順藤摸瓜，將各種信息進行關聯(lián)，無論是二維關系數(shù)據(jù)聯(lián)系關聯(lián)，還是大數(shù)據(jù)分析建模，數(shù)據(jù)的分類采集都是基礎工作。
企業(yè)安全相關的各種日志數(shù)據(jù)，存放的位置、形式、大小、業(yè)務、使用人群都不同，如何根據(jù)不同業(yè)務規(guī)模的日志數(shù)據(jù)，采取相得益彰的技術形式進行合理的日志、聚合、分析、展示，就成為了一個課題，接下來，我們主要圍繞這些相關的主題進行討論分享，通過具體的日志聚合分析實踐，讓數(shù)據(jù)有效的關聯(lián)，使其在威脅事件分析、應急事件分析響應過程中讓數(shù)據(jù)起到方向性指引作用、起到探測器的作用，通過以上技術實踐，讓更多日志數(shù)據(jù)，有效的為企業(yè)安全運營提供更好的服務。
在實際工作當中，日志聚合分析工具種類繁多：ELK、Graylog、rk、Clickhouse、Superset等工具。我們以常用的日志數(shù)據(jù)使用場景為例子，結合這些工具的使用，向大家展示在實際數(shù)據(jù)工作中數(shù)據(jù)運營的情況，如何進行數(shù)據(jù)聚合分析，以提供實際的操作案例，能能直觀的了解數(shù)據(jù)管理的工作流程，之后可以重復實踐，不繞道走遠路，著重給出日志分析工具使用的要點，快速上手掌握相關工具的使用，掌握日常日志數(shù)據(jù)實操及相關方法。
為了方便實踐，盡量避免商業(yè)系統(tǒng)和設備在案例中的出現(xiàn)，以可以方便取材的開源項目為基礎，展開案例的講解，大家可以容易的在網(wǎng)上取材這些軟件系統(tǒng)，在本地完成實踐練習過程。本篇介紹入侵檢測系統(tǒng)Suricata及威脅日志事件管理系統(tǒng)Graylog，通過對入侵檢測系統(tǒng)的日志進行收集，來展現(xiàn)日志收集處理的典型過程。
開源IDS系統(tǒng)Suricata與威脅事件日志管理平臺Graylog結合，對網(wǎng)絡環(huán)境進行截取與日志收集分析統(tǒng)計，通過Suricata捕獲輸出的日志，經(jīng)過Nxlog日志收集工具，將相關事件日志、告警日志、HTTP日志，通過Graylog進行日志聚合，對日志進行統(tǒng)計分析，分析網(wǎng)絡環(huán)境中存在各種威脅事件類型，通過自定義Suricata的檢測規(guī)則，控制入侵檢測的策略，以及入侵檢查系統(tǒng)的輸出結果。

大多數(shù)開發(fā)人員沒有安全意識，其中軟件開發(fā)公司更嚴重。他們專注于實現(xiàn)客戶的需求，不考慮現(xiàn)在的代碼是否有安全上的危險。在生產(chǎn)軟件的同時，也生產(chǎn)脆弱性，沒有任何軟件是的，沒有脆弱性。因此，建議網(wǎng)絡安全技術人員對代碼進行安全審計，挖掘漏洞，避免風險。無論是大型軟件還是小型軟件，安全穩(wěn)定都是APP運營的標準。否則，即使是更好的商業(yè)模式也無法忍受網(wǎng)絡攻擊的推敲。大型軟件受到競爭對手和黑產(chǎn)組織的威脅，小型軟件通過掃描式隨機攻擊侵入服務器，稍有疏忽的平臺被利用。

滲透軟件。WebShell不可以應用普通的木馬，連接端應用加密數(shù)據(jù)流量，** 應用蟻劍。不應用默認的冰，需要修改為硬密碼鑰。內(nèi)網(wǎng)滲透時盡可能應用socks代理，在本地操作。上傳程序到目標服務器時，需要修改文件名稱，如svchost等，盡可能不上傳內(nèi)部自我研究軟件。透明化軟件需要去掉sqlmap、masscan、Beacon書等特征指紋。軟件需要設定線程或瀏覽頻率。比如，sqlmap的-delay、網(wǎng)絡掃描時的線程在5以下。CobaltStrike上線后，設定clock.sleep600秒。手機郵件的認證代碼需要應用等在線平臺。socks代理通道需要應用SSL加密。禁止在CS服務器上打開網(wǎng)絡服務，尤其是home目錄。小范圍傳播的軟件** 各大微信群透明化，以免上傳后意外跟蹤，你正好是參加團隊。

開源IDS系統(tǒng)有很多種，比較有名的系統(tǒng)有Snort、Suricata、Zeek等，我們選用Suricata是因為Suricata有多年的發(fā)展歷史，沉淀了的各種威脅檢測規(guī)則，新版的Suricata3與DPDK相結合，處理大級別的數(shù)據(jù)分析，Suricata支持Lua語言工具支持，可以通過Lua擴展對分析的各種實用工具。
Suricata與Graylog結合的原因，是因為在Graylog開源社區(qū)版本對用數(shù)據(jù)的數(shù)據(jù)處理量沒有上限限制，可以擴展很多的結點來擴展數(shù)據(jù)存儲的空間和瞬時數(shù)據(jù)處理的并發(fā)能力。Suricata在日志輸出方面，可以將日志的輸出，輸出成標準的JSON格式，通過日志腳本收集工具，可以將日志數(shù)據(jù)推送給Graylog日志收集服務，Graylog只要對應創(chuàng)建日志截取，就可以對JSON日志數(shù)據(jù)，進行實時快速的收集與對日志數(shù)據(jù)結構化和格式化。將JSON按Key和Value的形式進行拆分，然后保存到ElasticSearch數(shù)據(jù)庫中，并提供一整套的查詢API取得Suricata日志輸出結果。
在通過API取得數(shù)據(jù)這種形式以外，Graylog自身就已經(jīng)支持了插件擴展，數(shù)據(jù)面板，數(shù)據(jù)查詢前臺，本地化業(yè)務查詢語言，類SQL語言。通過開源IDS與開源SIEM結合，用Suricata分析威脅產(chǎn)生日志，用Graylog收集威脅事件日志并進行管理分析，可以低成本的完成威脅事件分析檢測系統(tǒng)，本文的重點還在于日志收集的實踐，檢測規(guī)則的創(chuàng)建為說明手段。
Suricata經(jīng)過多年發(fā)展沉淀了很多有價值的威脅檢測規(guī)則策略，當然誤報的情況也是存在的，但可能通過手動干預Surcicata的規(guī)則，通過日志分析后，迭代式的規(guī)則，讓系統(tǒng)隨著時間生長更完善，社區(qū)也提供了可視化的規(guī)則管理方案，通過后臺管理方式管理Suricata檢測規(guī)則，規(guī)則編輯本文只是簡單介紹。Scirius就是一種以Web界面方式的Suricata規(guī)則管理工具，可視化Web操作方式進行管理Suricata規(guī)則管理。
SINE安全網(wǎng)站漏洞檢測時必須要人工去審計漏洞和查找漏洞找出問題所在并修復漏洞，對各項功能都進行了全面的安全檢測。

青島四海通達電子科技有限公司坐落于美麗的海濱城市--青島，是致力于網(wǎng)站安全和服務器安全的和*。安全服務于互聯(lián)網(wǎng)金融、游戲平臺、移動APP軟件、O2O&電商、支付平臺、外貿(mào)等行業(yè)，已精誠服務于上千家網(wǎng)站。公司的創(chuàng)立者為國內(nèi)早從事互聯(lián)網(wǎng)安全技術研究和服務器安全方面的，在安全滲透、身份認證安全、網(wǎng)站安全、服務器安全維護、應用攻防等技術方面有深厚的積累和*到的創(chuàng)新。

 

    SINE安全公司專注于安全領域十年，擁有的安全團隊，擁有自己的內(nèi)部信息漏洞平臺，時刻洞察整個互聯(lián)網(wǎng)的安全態(tài)勢、漏洞信息、以及的攻擊方法。正因為如此，我們具備攻擊者視角以及防御者視角的多維度防御方法，所謂未知攻，焉知防，知己知彼，百戰(zhàn)不殆！

 

    公司的安全服務項目包含服務器安全服務、網(wǎng)站安全服務、服務器代維服務、安全滲透測試服務。內(nèi)容涉及服務器安全設置，底層系統(tǒng)的安全加固，深度攻擊防御，服務器安全日志審查，網(wǎng)站漏洞測試，網(wǎng)站防劫持跳轉，SQL防注入攻擊，網(wǎng)站木馬清理、網(wǎng)站程序代碼安全審計，Windows 、Linux、服務器維護，服務器環(huán)境配置，LAMP環(huán)境配置，IIS、Nginx、Apache、JSP+Tomcat數(shù)據(jù)庫集群、網(wǎng)站防攻擊防篡改方案，網(wǎng)站漏洞檢測，模擬入侵攻擊，APP軟件安全滲透(Android、IOS)，服務器漏洞測試等等。

 

    SINE安全公司研發(fā)的服務器安全防御系統(tǒng)，具有服務器攻擊自動防御，網(wǎng)站攻擊安全分析，攻擊行為自動，調(diào)用底層IIS防火墻，Linux內(nèi)核級防火墻，遠程桌面軍規(guī)認證，端口安全過濾，多年來研發(fā)的內(nèi)部漏洞信息安全系統(tǒng)（包含各種開源程序的漏洞，DEDECMS、DISCUZ、ECSHOP、Wordpress、Magento、PHPCMS、Thinkphp、馬克斯MAXCMS、等網(wǎng)站程序、以及MYSQL、Apache Serv-u、Tomcat等常用服務器軟件的漏洞信息），以及社工庫系統(tǒng)，源代碼安全審計系統(tǒng)（程序代碼的安全審查，能發(fā)現(xiàn)SQL注入，代碼執(zhí)行，命令執(zhí)行，文件包含，繞過轉義防護，拒絕服務，XSS跨站，信息泄露，任意URL跳轉等漏洞）。 多個安全系統(tǒng)為客戶提供了全面的、的、化的安全維護方案，進行技術支持與服務，有效的解決了入侵攻擊，漏洞帶來的安全威脅。 特別是我們在國內(nèi)率先開展網(wǎng)站安全服務業(yè)務，建立了完善的安全服務體系(SafeServer)，具備國內(nèi)網(wǎng)站安全服務資質(zhì)，目前已成功為多家企事業(yè)單位和個人用戶進行了網(wǎng)站及服務器安全維護服務，受到所有用戶的一致**和認可，被青島本地企業(yè)評為“值得信賴的網(wǎng)絡安全公司”，經(jīng)過數(shù)十年的發(fā)展，sine安全已成長為面向**市場的網(wǎng)站服務器安全解決方案提供商。