昨天拜访客户单位，其中涉及到地几个问题我不是很熟悉，导致我今天沉下心去学习等保2.0相关的内容，做好总结方便日后使用
无关紧要的话题
就算我把ds问吐了也是毛毛钱，AI做提升可以代替不太可能。
今日消费：
![[Pasted image 20250213183432.png]]
物理
- 访问：门禁/监控
- 环境：防水、雷、火、潮；空调系统保持温度22±2℃ /湿度 50%±10%；自动灭火sys
- 电力：不间断电源UPS，备用电源/电力监控
网络
- 网络拓扑结构设计避免单点故障确保网络高可用、冗余
- 网络边界部署防火墙
- 用虚拟局域网或者子网划分做好区域隔离
- 访问ACL列表、VPN控制
- 入侵检测IDS-SYS做好监测流量 | 入侵防御IPS-SYS阻止已知的攻击行为(我差不多认为跟安全组是一样的自己配置规则)
主机
- 身份认证用长密码
- 访问控制 RBAC 控制对文件用户权限
- 日志审计
应用
- 身份认证：强密码认证/多因素认证(指纹，短信)
- 权限管理控制访问
- 输入认证：对sql(sql注入)还有html+js代码(xss)过滤，限制文件上传
- 会话安全session管理，保证ID随机生成，session传输加密
- 开发人员了解安全编码规范/常见的漏洞/防范措施
- 第三方组件或者开源代码存在代码漏洞，各个组件隔离
数据
- 敏感数据：传输/存储，使用SSL/TSL加密协议、AES加密
- 备份
- 数据校验：哈希MD5、SHA/数字签证技术(新疆CA)
待攻破的问题：
越发觉得自己像个傻子*
- SSH/HTTPS
- 虚拟局域网
- 子网划分
- 如何才能达到 网络拓扑结构设计避免单点故障
- 数字签名到底是什么？新疆CA数据如何来往工作原理是什么？
- SQL注入/XSS跨站脚本攻击
- 点对点拉专线是如何拉的？底层实现原理是什么
- SSL/TSL 数据加密协议
- 云服务商是如何过平台等保的？
- OpenStack与VMvare架构的底层设计区别是什么？
