網絡安全防禦技術與實踐

第1章 用戶管理技術001
1.1用戶管理概貌002
1.1.1用戶管理基礎知識002
1.1.2使用者組織結構003
1.1.3用戶認證體系008
1.1.4認證策略011
1.2內置Portal認證013
1.2.1內置Portal認證基礎知識014
1.2.2本地認證與伺服器認證017
1.2.3免認證028
1.3單點登錄029
1.3.1AD單點登錄029
1.3.2RADIUS單點登錄038
1.3.3控制器單點登錄044
1.3.4HTTP代理使用者源IP位址解析049
1.4外部Portal認證050
1.5基於用戶的存取控制052
1.6 接入後的存取控制055
1.7用戶管理技術綜合應用056
1.8習題062

第2章 加密流量檢測技術063
2.1加密技術基礎064
2.1.1加密技術064
2.1.2數字證書與PKI071
2.1.3SSL握手流程077
2.2加密流量檢測技術的原理081
2.2.1加密流量檢測策略083
2.2.2加密流量檢測設定文件086
2.2.3加密流量檢測的流程092
2.3加密流量檢測的典型場景094
2.3.1出站檢測：保護用戶端094
2.3.2入站檢測：保護伺服器104
2.3.3解密報文鏡像109
2.4加密流量檢測的異常處理110
2.4.1常見問題處理思路110
2.4.2查看流覽器收到的伺服器憑證114
2.4.3導入伺服器CA證書115
2.4.4禁用QUIC協議117
2.4.5配置功能變數名稱白名單118
2.5ECA技術120
2.5.1ECA技術原理121
2.5.2ECA部署方法124
2.6習題126

第3章 內容過濾技術127
3.1URL過濾128
3.1.1基於URL分類的URL過濾128
3.1.2基於黑白名單的URL過濾138
3.1.3基於URL信譽的URL過濾142
3.1.4HTTPS加密流量過濾146
3.1.5安全搜索153
3.1.6URL過濾小結155
3.2郵件過濾160
3.2.1郵件協議的基礎知識160
3.2.2RBL技術166
3.2.3本地黑白名單174
3.2.4郵寄地址檢查177
3.2.5MIME標題檢查180
3.2.6郵件附件控制184
3.2.7郵件過濾小結185
3.3應用識別與控制186
3.3.1應用識別技術187
3.3.2預定義應用與埠映射191
3.3.3自訂應用195
3.4文件過濾201
3.4.1文件過濾的應用場景201
3.4.2文件案類型的識別202
3.4.3文件過濾的流程204
3.4.4設定文件過濾208
3.4.5文件過濾的配置建議210
3.5內容過濾211
3.5.1內容過濾的應用場景211
3.5.2內容過濾的原理213
3.5.3配置關鍵字組216
3.5.4配置內容過濾219
3.6應用行為控制221
3.7內容過濾技術的綜合應用227
3.8習題230

第4章 入侵防禦技術231
4.1簡介232
4.1.1什麼是入侵232
4.1.2IDS與IPS233
4.2入侵防禦基本原理235
4.2.1入侵防禦處理流程235
4.2.2簽名237
4.2.3入侵防禦設定文件241
4.3防火牆的入侵防禦功能247
4.3.1防火牆的入侵防禦功能概述247
4.3.2配置防火牆入侵防禦功能248
4.4專業IPS設備252
4.4.1IPS設備概述252
4.4.2部署模式：IPS模式253
4.4.3部署模式：IDS模式257
4.5查看威脅日誌及報表261
4.6高級功能263
4.6.1惡意功能變數名稱檢查263
4.6.2關聯檢測264
4.6.3協議異常檢測266
4.6.4攻擊取證267
4.7持續監控及調整268
4.8習題271

第5章 反病毒技術273
5.1計算機病毒簡介274
5.1.1計算機病毒的概念274
5.1.2計算機病毒的分類275
5.1.3計算機病毒的特徵278
5.1.4計算機病毒的傳播方式279
5.1.5計算機病毒的危害280
5.2反病毒基本原理280
5.3反病毒配置邏輯283
5.4反病毒配置實踐287
5.4.1阻斷FTP傳輸的病毒文件287
5.4.2阻斷SMTP傳輸的病毒文件290
5.4.3阻斷SMB協定傳輸的病毒文件293
5.5習題296

第6章 DDoS攻擊防範技術297
6.1DDoS攻擊現狀與趨勢298
6.1.1DDoS攻擊發展歷程298
6.1.2DDoS攻擊全球現狀及趨勢298
6.2DDoS攻擊原理與防禦手段301
6.2.1常見DDoS攻擊類型與協議301
6.2.2基於HTTP的DDoS攻擊與防禦302
6.2.3基於DNS協議的DDoS攻擊與防禦308
6.2.4基於TCP的DDoS攻擊與防禦317
6.2.5基於UDP的DDoS攻擊與防禦322
6.3華為Anti-DDoS解決方案325
6.3.1解決方案概述325
6.3.2直路部署328
6.3.3旁路部署329
6.4華為Anti-DDoS解決方案典型場景333
6.4.1場景介紹333
6.4.2典型組網334
6.4.3數據規劃335
6.4.4配置過程337
6.4.5結果調測354
6.5習題358

第7章 安全沙箱359
7.1APT簡介360
7.1.1APT的基本概念360
7.1.2APT攻擊經典案例362
7.1.3APT攻擊過程364
7.2安全沙箱簡介366
7.2.1安全沙箱的作用及優勢366
7.2.2華為安全沙箱FireHunter367
7.2.3利用FireHunter防禦APT攻擊369
7.2.4FireHunter檢測原理370
7.3FireHunter獨立部署場景372
7.3.1場景簡介373
7.3.2檢測流程374
7.3.3配置流程374
7.3.4配置方法375
7.4FireHunter與華為防火牆聯動部署場景380
7.4.1場景簡介380
7.4.2檢測流程381
7.4.3配置流程383
7.4.4配置方法383
7.5查看FireHunter的檢測結果389
7.6習題394

縮略語表395

李學昭

華為網路安全產品與解決方案資料工程師，在網路安全領域具有10餘年的文檔編寫經驗，曾主導華為防火牆、Anti-DDoS、HiSec解決方案的資訊架構設計和文檔編寫。