渗透测试专业术语——防守篇
渗透测试专业术语
- 开端
- 二、防守篇
-
- 1、软硬件
- 2、技术与服务
开端
你们千思万盼的专业术语终于来了，直接上干货
二、防守篇
1、软硬件
- 加密机
主机加密设备，加密机和主机之间使用 TCP/IP 协议通信，所以加
密机对主机的类型和主机操作系统无任何特殊的要求。 - CA 证书
为实现双方安全通信提供了电子认证。 在因特网、公司内部网或
外部网中，使用数字证书实现身份识别和电子信息加密。 数字证
书中含有密钥对（公钥和私钥）所有者的识别信息，通过验证识别
信息的真伪实现对证书持有者身份的认证。 - SSL 证书
SSL 证书是数字证书的一种，类似于驾驶证、护照和营业执照的电
子副本。 因为配置在服务器上，也称为 SSL 服务器证书。 - 防火墙
主要部署于不同网络或网络安全域之间的出口，通过监测、限制、
更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、
结构和运行状况，有选择地接受外部访问。 - IDS
入侵检测系统，用于在黑客发起进攻或是发起进攻之前检测到攻击，
并加以拦截。 IDS 是不同于防火墙。防火墙只能屏蔽入侵，而 IDS
却可以在入侵发生以前，通过一些信息来检测到即将发生的攻击或
是入侵并作出反应。 - NIDS
是 Network Intrusion Detection System 的缩写，即网络入侵检
测系统，主要用于检测 Hacker 或 Cracker 。 通过网络进行的入
侵行为。NIDS 的运行方式有两种，一种是在目标主机上运行以监
测其本身的通信信息，另一种是在一台单独的机器上运行以监测所
有网络设备的通信信息，比如 Hub、路由器。 - IPS
全称为 Intrusion-Prevention System，即入侵防御系统，目的在
于及时识别攻击程序或有害代码及其克隆和变种，采取预防措施，
先期阻止入侵，防患于未然。 或者至少使其危害性充分降低。入
侵预防系统一般作为防火墙 和防病毒软件的补充来投入使用。 - 杀毒软件
也称反病毒软件或防毒软件，是用于消除电脑病毒、特洛伊木马和
恶意软件等计算机威胁的一类软件。
反病毒引擎 通俗理解，就是一套判断特定程序行为是否为病毒程
序（包括可疑的）的技术机制。 例如奇安信自主研发的 QOWL 猫
头鹰反病毒引擎。 - 防毒墙
区别于部署在主机上的杀毒软件，防毒墙的部署方式与防火墙类似，
主要部署于网络出口，用于对病毒进行扫描和拦截，因此防毒墙也
被称为反病毒网关。 - 老三样
通常指 IDS、防火墙和反病毒三样历史最悠久安全产品。 - 告警
指网络安全设备对攻击行为产生的警报。 - 误报
也称为无效告警，通常指告警错误，即把合法行为判断成非法行为
而产生了告警。 目前，由于攻击技术的快速进步和检测技术的限
制，误报的数量非常大，使得安全人员不得不花费大量时间来处理
此类告警，已经成为困扰并拉低日常安全处置效率的主要原因。 - 漏报
通常指网络安全设备没有检测出非法行为而没有产生告警。一旦出
现漏报，将大幅增加系统被入侵的风险。 - NAC
全称为 Network Access Control，即网络准入控制，其宗旨是防
止病毒和蠕虫等新兴黑客技术对企业安全造成危害。 借助 NAC，
客户可以只允许合法的、值得信任的终端设备（例如 PC、服务器、
PDA）接入网络，而不允许其它设备接入。 - 漏扫
即漏洞扫描，指基于漏洞数据库，通过扫描等手段对指定的远程或
者本地计算机系统的安全脆弱性进行检测，发现可利用漏洞的一种
安全检测（渗透攻击）行为。 - UTM
即 Unified Threat Management，中文名为统一威胁管理，最早
由 IDC 于 2014 年提出，即将不同设备的安全能力（最早包括入侵
检测、防火墙和反病毒技术），集中在同一网关上，实现统一管理
和运维。 - 网闸
网闸是使用带有多种控制功能的固态开关读写介质，连接两个独立
主机系统的信息安全设备。 由于两个独立的主机系统通过网闸进
行隔离，只有以数据文件形式进行的无协议摆渡。 - 堡垒机
运用各种技术手段监控和记录运维人员对网络内的服务器、网络设
备、安全设备、数据库等设备的操作行为，以便集中报警、及时处
理及审计定责。
数据库审计 能够实时记录网络上的数据库活动，对数据库操作进
行细粒度审计的合规性管理，对数据库遭受到的风险行为进行告警，
对攻击行为进行阻断。 它通过对用户访问数据库行为的记录、分
析和汇报，用来帮助用户事后生成合规报告、事故追根溯源，同时
加强内外部数据库网络行为记录，提高数据资产安全。 - DLP
数据防泄漏，通过数字资产的精准识别和策略制定，主要用于防止
企业的指定数据或信息资产以违反安全策略规定的形式流出企业。 - VPN
虚拟专用网，在公用网络上建立专用网络，进行加密通讯，通过对
数据包的加密和数据包目标地址的转换实现远程访问。 - SD-WAN
即软件定义广域网，这种服务用于连接广阔地理范围的企业网络、
数据中心、互联网应用及云服务。 这种服务的典型特征是将网络
控制能力通过软件方式云化。 通常情况下，SD-WAN 都集成有防
火墙、入侵检测或者防病毒能力。并且从目前的趋势来看，以安全
为核心设计的 SD-WAN 正在崭露头角，包括奇安信、Fortinet 等
多家安全厂商开始涉足该领域，并提供了较为完备的内生安全设计。 - 路由器
是用来连接不同子网的中枢，它们工作于 OSI7 层模型的传输层和
网络层。 路由器的基本功能就是将网络信息包传输到它们的目的
地。一些路由器还有访问控制列表（ACLs），允许将不想要的信息
包过滤出去。 许多路由器都可以将它们的日志信息注入到 IDS 系
统中，并且自带基础的包过滤（即防火墙）功能。 - 网关
通常指路由器、防火墙、IDS、VPN 等边界网络设备。 - WAF
即 Web Application Firewall，即 Web 应用防火墙，是通过执行
一系列针对 HTTP/HTTPS 的安全策略来专门为 Web 应用提供保
护的一款产品。 - SOC
即 Security Operations Center，翻译为安全运行中心或者安全管
理平台，通过建立一套实时的资产风险模型，协助管理员进行事件
分析、风险分析、预警管理和应急响应处理的集中安全管理系统。 - LAS
日志审计系统，主要功能是提供日志的收集、检索和分析能力，可
为威胁检测提供丰富的上下文。 - NOC
即 Network Operations Center，网络操作中心或网络运行中心，
是远程网络通讯的管理、监视和维护中心，是网络问题解决、软件
分发和修改、路由、域名管理、性能监视的焦点。 - SIEM
即 Security Information and Event Management，安全信息和
事件管理，负责从大量企业安全控件、主机操作系统、企业应用和
企业使用的其他软件收集安全日志数据，并进行分析和报告。 - 上网行为管理
是指帮助互联网用户控制和管理对互联网使用的设备。 其包括对
网页访问过滤、上网隐私保护、网络应用控制、带宽流量管理、信
息收发审计、用户行为分析等。 - 蜜罐（Honeypot）
是一个包含漏洞的系统，它摸拟一个或多个易受攻击的主机，给黑
客提供一个容易攻击的目标。 由于蜜罐没有其它任务需要完成，
因此所有连接的尝试都应被视为是可疑的。 蜜罐的另一个用途是
拖延攻击者对其真正目标的攻击，让攻击者在蜜罐上浪费时间。蜜
罐类产品包括蜜网、蜜系统、蜜账号等等。 - 沙箱
沙箱是一种用于安全的运行程序的机制。它常常用来执行那些非可
信的程序。 非可信程序中的恶意代码对系统的影响将会被限制在
沙箱内而不会影响到系统的其它部分。 - 沙箱逃逸
一种识别沙箱环境，并利用静默、欺骗等技术，绕过沙箱检测的现
象 - 网络靶场
主要是指通过虚拟环境与真实设备相结合，模拟仿真出真实赛博网
络空间攻防作战环境，能够支撑攻防演练、安全教育、网络空间作
战能力研究和网络武器装备验证试验平台。
2、技术与服务
- 加密技术
加密技术包括两个元素：算法和密钥。 算法是将普通的文本与一
串数字（密钥）的结合，产生不可理解的密文的步骤，密钥是用来
对数据进行编码和解码的一种算法。 密钥加密技术的密码体制分
为对称密钥体制和非对称密钥体制两种。相应地，对数据加密的技
术分为两类，即对称加密（私人密钥加密）和非对称加密（公开密
钥加密）。对称加密的加密密钥和解密密钥相同，而非对称加密的
加密密钥和解密密钥不同，加密密钥可以公开而解密密钥需要保密。
黑名单 顾名思义，黑名单即不好的名单，凡是在黑名单上的软件、
IP 地址等，都被认为是非法的。
白名单 与黑名单对应，白名单即“好人”的名单，凡是在白名单
上的软件、IP 等，都被认为是合法的，可以在计算机上运行。 - 内网
通俗的讲就是局域网，比如网吧、校园网、公司内部网等都属于此
类。 查看 IP 地址，如果是在以下三个范围之内，就说明我们是处
于内网之中的： 10.0.0.0—10.255.255.255 ， 172.16.0.0—
172.31.255.255，192.168.0.0—192.168.255.255 - 外网
直接连入 INTERNET（互连网），可以与互连网上的任意一台电脑
互相访问。 - 边界防御
以网络边界为核心的防御模型，以静态规则匹配为基础，强调把所
有的安全威胁都挡在外网。 - 南北向流量
通常指数据中心内外部通信所产生的的流量。 - 东西向流量
通常指数据中心内部不同主机之间互相通信所产生的的流量。 - 规则库
网络安全的核心数据库，类似于黑白名单，用于存储大量安全规则，
一旦访问行为和规则库完成匹配，则被认为是非法行为。所以有人
也将规则库比喻为网络空间的法律。
下一代 网络安全领域经常用到，用于表示产品或者技术有较大幅
度的创新，在能力上相对于传统方法有明显的进步，通常缩写为
NG（Next Gen）。 例如 NGFW（下一代防火墙）、NGSOC（下
一代安全管理平台）等。 - 大数据安全分析
区别于传统被动规则匹配的防御模式，以主动收集和分析大数据的
方法，找出其中可能存在的安全威胁，因此也称数据驱动安全。 该
理论最早由奇安信于 2015 年提出。 - EPP
全称为 Endpoint Protection Platform，翻译为端点保护平台，部
署在终端设备上的安全防护解决方案,用于防止针对终端的恶意软
件、恶意脚本等安全威胁，通常与 EDR 进行联动。 - EDR
全称 Endpoint Detection & Response，即端点检测与响应，通
过对端点进行持续检测，同时通过应用程序对操作系统调用等异常
行为分析，检测和防护未知威胁，最终达到杀毒软件无法解决未知
威胁的目的。 - NDR
全称 Network Detection & Response，即网络检测与响应，通
过对网络侧流量的持续检测和分析，帮助企业增强威胁响应能力，
提高网络安全的可见性和威胁免疫力。 - 安全可视化
指在网络安全领域中的呈现技术，将网络安全加固、检测、防御、
响应等过程中的数据和结果转换成图形界面，并通过人机交互的方
式进行搜索、加工、汇总等操作的理论、方法和技术。 - NTA
网络流量分析（NTA）的概念是 Gartner 于 2013 年首次提出的，
位列五种检测高级威胁的手段之一。 它融合了传统的基于规则的
检测技术，以及机器学习和其他高级分析技术，用以检测企业网络
中的可疑行为，尤其是失陷后的痕迹。 - MDR
全称 Managed Detection & Response，即托管检测与响应，依
靠基于网络和主机的检测工具来识别恶意模式。 此外，这些工具
通常还会从防火墙之内的终端收集数据，以便更全面地监控网络活
动。 - 应急响应
通常是指一个组织为了应对各种意外事件的发生所做的准备以及
在事件发生后所采取的措施。
XDR 通常指以检测和响应技术为核心的网络安全策略的统称，包
括 EDR、NDR、MDR 等。
安全运营 贯穿产品研发、业务运行、漏洞修复、防护与检测、应
急响应等一系列环节，实行系统的管理方法和流程，将各个环节的
安全防控作用有机结合，保障整个业务的安全性。 - 威胁情报
根据 Gartner 的定义，威胁情报是某种基于证据的知识，包括上下
文、机制、标示、含义和能够执行的建议，这些知识与资产所面临
已有的或酝酿中的威胁或危害相关，可用于资产相关主体对威胁或
危害的响应或处理决策提供信息支持。根据使用对象的不同，威胁
情报主要分为人读情报和机读情报。 - TTP
主要包括三要素，战术 Tactics、技术 Techniques 和过程
Procedures，是描述高级威胁组织及其攻击的重要指标，作为威胁
情报的一种重要组成部分，TTP 可为安全分析人员提供决策支撑。 - IOC
中文名为失陷标示：用以发现内部被 APT 团伙、木马后门、僵尸
网络控制的失陷主机，类型上往往是域名、URL 等。 目前而言，
IOC 是应用最为广泛的威胁情报，因为其效果最为直接。一经匹配，
则意味着存在已经失陷的主机。 - 上下文
从文章的上下文引申而来，主要是指某项威胁指标的关联信息，用
于实现更加精准的安全匹配和检测。
STIX STIX 是一种描述网络威胁信息的结构化语言，能够以标准化
和结构化的方式获取更广泛的网络威胁信息，常用于威胁情报的共
享与交换，目前在全球范围内使用最为广泛。 STIX 在定义了 8 中
构件的 1.0 版本基础上，已经推出了定义了 12 中构件的 2.0 版本。
杀伤链 杀伤链最早来源于军事领域，用于描述进攻一方各个阶段
的状态。 在网络安全领域，这一概念最早由洛克希德-马丁公司提
出，英文名称为 Kill Chain，也称作网络攻击生命周期，包括侦查
追踪、武器构建、载荷投递、漏洞利用、安装植入、命令控制、目
标达成等七个阶段，来识别和防止入侵。 - ATT&CK
可以简单理解为描述攻击者技战术的知识库。 MITRE 在 2013 年
推出了该模型，它是根据真实的观察数据来描述和分类对抗行为。
ATT&CK 将已知攻击者行为转换为结构化列表，将这些已知的行
为汇总成战术和技术，并通过几个矩阵以及结构化威胁信息表达式
（STIX）、指标信息的可信自动化交换（TAXII）来表示。 - 钻石模型
钻石模型在各个领域的应用都十分广泛，在网络安全领域，钻石模
型首次建立了一种将科学原理应用于入侵分析的正式方法： 可衡
量、可测试和可重复——提供了一个对攻击活动进行记录、(信息)
合成、关联的简单、正式和全面的方法。 这种科学的方法和简单
性可以改善分析的效率、效能和准确性。 - 关联分析
又称关联挖掘，就是在交易数据、关系数据或其他信息载体中，查
找存在于项目集合或对象集合之间的频繁模式、关联、相关性或因
果结构。 在网络安全领域主要是指将不同维度、类型的安全数据
进行关联挖掘，找出其中潜在的入侵行为。
态势感知 是一种基于环境的、动态、整体地洞悉安全风险的能力，
是以安全大数据为基础，从全局视角提升对安全威胁的发现识别、
理解分析、响应处置能力的一种方式，最终是为了决策与行动，是
安全能力的落地。 - 探针
也叫作网络安全探针或者安全探针，可以简单理解为赛博世界的摄
像头，部署在网络拓扑的关键节点上，用于收集和分析流量和日志，
发现异常行为，并对可能到来的攻击发出预警。 - 网络空间测绘
用搜索引擎技术来提供交互，让人们可以方便的搜索到网络空间上
的设备。 相对于现实中使用的地图，用各种测绘方法描述和标注
地理位置，用主动或被动探测的方法，来绘制网络空间上设备的网
络节点和网络连接关系图，及各设备的画像。 - SOAR
全称 Security Orchestration, Automation and Response，意即
安全编排自动化与响应，主要通过剧本化、流程化的指令，对入侵
行为采取的一系列自动化或者半自动化响应处置动作。
UEBA 全称为 User and Entity Behavior Analytics，即用户实体
行为分析，一般通过大数据分析的方法，分析用户以及 IT 实体的
行为，从而判断是否存在非法行为。 - 内存保护
内存保护是操作系统对电脑上的内存进行访问权限管理的一个机
制。内存保护的主要目的是防止某个进程去访问不是操作系统配置
给它的寻址空间。 - RASP
全称为 Runtime application self-protection，翻译成应用运行
时自我保护。 在 2014 年时由 Gartner 提出，它是一种新型应用
安全保护技术，它将保护程序像疫苗一样注入到应用程序中，应用
程序融为一体，能实时检测和阻断安全攻击，使应用程序具备自我
保护能力，当应用程序遭受到实际攻击伤害，就可以自动对其进行
防御，而不需要进行人工干预。 - 包检测
对于流量包、数据包进行拆包、检测的行为。 - 深度包检测
Deep Packet Inspection，缩写为 DPI，又称完全数据包探测
（complete packet inspection）或信息萃取（Information
eXtraction，IX），是一种计算机网络数据包过滤技术，用来检查
通过检测点之数据包的数据部分（亦可能包含其标头），以搜索不
匹配规范之协议、病毒、垃圾邮件、入侵迹象。
全流量检测 全流量主要体现在三个“全”上，即全流量采集与保
存，全行为分析以及全流量回溯。 通过全流量分析设备，实现网
络全流量采集与保存、全行为分析与全流量回溯，并提取网络元数
据上传到大数据分析平台实现更加丰富的功能。 - 元数据
元数据（Metadata），又称中介数据、中继数据，为描述数据的
数据（data about data），主要是描述数据属性（property）的
信息，用来支持如指示存储位置、历史数据、资源查找、文件记录
等功能。 - 欺骗检测
以构造虚假目标来欺骗并诱捕攻击者，从而达到延误攻击节奏，检
测和分析攻击行为的目的。 - 微隔离
顾名思义是细粒度更小的网络隔离技术，能够应对传统环境、虚拟
化环境、混合云环境、容器环境下对于东西向流量隔离的需求，重
点用于阻止攻击者进入企业数据中心网络内部后的横向平移。 - 逆向
常见于逆向工程或者逆向分析，简单而言，一切从产品中提取原理
及设计信息并应用于再造及改进的行为，都是逆向工程。 在网络
安全中，更多的是调查取证、恶意软件分析等。 - 无代理安全
在终端安全或者虚拟化安全防护中，往往需要在每一台主机或者虚
机上安装 agent（代理程序）来实现，这种方式往往需要消耗大量
的资源。 而无代理安全则不用安装 agent，可以减少大量的部署
运维工作，提升管理效率。 - CWPP
全称 Cloud Workload Protection Platform，意为云工作负载保
护平台，主要是指对云上应用和工作负载（包括虚拟主机和容器主
机上的工作负载）进行保护的技术，实现了比过去更加细粒度的防
护，是现阶段云上安全的最后一道防线。 - CSPM
云安全配置管理，能够对基础设施安全配置进行分析与管理。这些
安全配置包括账号特权、网络和存储配置、以及安全配置（如加密
设置）。如果发现配置不合规，CSPM 会采取行动进行修正。 - CASB
全称 Cloud Access Security Broker，即云端接入安全代理。作为
部署在客户和云服务商之间的安全策略控制点，是在访问基于云的
资源时企业实施的安全策略。 - 防爬
意为防爬虫，主要是指防止网络爬虫从自身网站中爬取信息。网络
爬虫是一种按照一定的规则，自动地抓取网络信息的程序或者脚本。 - 安全资源池
安全资源池是多种安全产品虚拟化的集合，涵盖了服务器终端、网
络、业务、数据等多种安全能力。 - IAM
全称为 Identity and Access Management，即身份与访问管理，
经常也被叫做身份认证。 - 4A
即认证 Authentication、授权 Authorization、账号 Account、审
计 Audit，即融合统一用户账号管理、统一认证管理、统一授权管
理和统一安全审计四要素后的解决方案将，涵盖单点登录（SSO）
等安全功能。
Access Control list(ACL) 访问控制列表。 - 多因子认证
主要区别于单一口令认证的方式，要通过两种以上的认证机制之后，
才能得到授权，使用计算机资源。 例如，用户要输入 PIN 码，插
入银行卡，最后再经指纹比对，通过这三种认证方式，才能获得授
权。这种认证方式可以降低单一口令失窃的风险，提高安全性。
特权账户管理
简称 PAM。由于特权账户往往拥有很高的权限，因此一旦失窃或
被滥用，会给机构带来非常大的网络安全风险。所以，特权账户管
理往往在显得十分重要。 其主要原则有：杜绝特权凭证共享、为
特权使用赋以个人责任、为日常管理实现最小权限访问模型、对这
些凭证执行的活动实现审计功能。 - 零信任
零信任并不是不信任，而是作为一种新的身份认证和访问授权理念，
不再以网络边界来划定可信或者不可信，而是默认不相信任何人、
网络以及设备，采取动态认证和授权的方式，把访问者所带来的的
网络安全风险降到最低。 - SDP
全称为 Software Defined Perimeter，即软件定义边界，由云安
全联盟基于零信任网络提出，是围绕某个应用或某一组应用创建的
基于身份和上下文的逻辑访问边界。 - Security as a Service
安全即服务，通常可理解为以 SaaS 的方式，将安全能力交付给客
户。 - 同态加密
同态加密是一类具有特殊自然属性的加密方法，此概念是 Rivest
等人在 20 世纪 70 年代首先提出的，与一般加密算法相比，同态
加密除了能实现基本的加密操作之外，还能实现密文间的多种计算
功能。 - 量子计算
是一种遵循量子力学规律调控量子信息单元进行计算的新型计算
模式，目前已经逐渐应用于加密和通信传输。 - 可信计算
是一项由可信计算组（可信计算集群，前称为 TCPA）推动和开发
的技术。 可信计算是在计算和通信系统中广泛使用基于硬件安全
模块支持下的可信计算平台，以提高系统整体的安全性。 - 拟态防御
核心实现是一种基于网络空间内生安全机理的动态异构冗余构造
（Dynamic Heterogeneous Redundancy，DHR)，为应对网络
空间中基于未知漏洞、后门或病毒木马等的未知威胁，提供具有普
适创新意义的防御理论和方法。
区块链
英文名为 blockchain，它是一个共享数据库，存储于其中的数据
或信息，具有“不可伪造”、“全程留痕”、“可以追溯”、“公
开透明”、“集体维护”等特征。 - 远程浏览器
鉴于浏览器往往成为黑客攻击的入口，因此将浏览器部署在远程的
一个“浏览器服务器池”中。 这样一来，这些浏览器所在的服务
器跟用户所在环境中的终端和网络是隔离的，从而使得客户所在网
络的暴露面大大降低。 这种服务也类似于虚拟桌面、云手机等产
品。 - 云手机
云手机采用全新的 VMI（Virtual Mobile Infrastructure 虚拟移动
设施，与 PC 云桌面类似）技术，为员工提供一个独立的移动设备
安全虚拟手机，业务应用和数据仅在服务端运行和存储，个人终端
上仅做加密流媒体呈现和触控，从而有效保障企业数据的安全性。 - 风控
也称大数据风控，是指利用大数据分析的方法判断业务可能存在的
安全风险，目前该技术主要用于金融信贷领域，防止坏账的发生。 - 渗透测试
为了证明网络防御按照预期计划正常运行而提供的一种机制，通常
会邀请专业公司的攻击团队，按照一定的规则攻击既定目标，从而
找出其中存在的漏洞或者其他安全隐患，并出具测试报告和整改建
议。 其目的在于不断提升系统的安全性。 - 安全众测
借助众多白帽子的力量，针对目标系统在规定时间内进行漏洞悬赏
测试。 您在收到有效的漏洞后，按漏洞风险等级给予白帽子一定
的奖励。通常情况下是按漏洞付费，性价比较高。 同时，不同白
帽子的技能研究方向可能不同，在进行测试的时候更为全面。 - 内生安全
由奇安信集团董事长齐向东在 2019 北京网络安全大会上首次提
出，指的是不断从信息化系统内生长出的安全能力，能伴随业务的
增长而持续提升，持续保证业务安全。 内生安全有三个特性，即
依靠信息化系统与安全系统的聚合、业务数据与安全数据的聚合以
及 IT 人才和安全人才的聚合，从信息化系统的内部，不断长出自
适应、自主和自成长的安全能力。 - 内生安全框架
为推动内生安全的落地，奇安信推出了内生安全框架。 该框架从
顶层视角出发，支撑各行业的建设模式从“局部整改外挂式”，走
向“深度融合体系化”；从工程实现的角度，将安全需求分步实施，
逐步建成面向未来的安全体系；内生安全框架能够输出实战化、体
系化、常态化的安全能力，构建出动态防御、主动防御、纵深防御、
精准防护、整体防控、联防联控的网络安全防御体系。 内生安全
框架包含了总结出了 29 个安全区域场景和 79 类安全组件。 - PPDR
英文全称为 Policy Protection Detection Response，翻译为策
略、防护、检测和响应。 主要以安全策略为核心，通过一致性检
查、流量统计、异常分析、模式匹配以及基于应用、目标、主机、
网络的入侵检查等方法进行安全漏洞检测。 - CARTA
全称为 Continuous Adaptive Risk and Trust Assessment，即
持续自适应风险与信任评估旨在通过动态智能分析来评估用户行
为，放弃追求完美的安全，不能要求零风险，不要求 100%信任，
寻求一种 0 和 1 之间的风险与信任的平衡。 CARTA 战略是一个
庞大的体系，其包括大数据、AI、机器学习、自动化、行为分析、
威胁检测、安全防护、安全评估等方面。 - SASE
全称为 Secure Access Service Edge，即安全访问服务边缘，
Gartner 将其定义为一种基于实体的身份、实时上下文、企业安全
/合规策略，以及在整个会话中持续评估风险/信任的服务。 实体
的身份可与人员、人员组（分支办公室）、设备、应用、服务、物
联网系统或边缘计算场地相关联。 - SDL
全称为 Security Development Lifecycle，翻译为安全开发生命
周期，是一个帮助开发人员构建更安全的软件和解决安全合规要求
的同时降低开发成本的软件开发过程，最早由微软提出。 - DevSecOps
全称为 Development Security Operations，可翻译为安全开发
与运维。 它强调在 DevOps 计划刚启动时就要邀请安全团队来确
保信息的安全性，制定自动安全防护计划，并贯穿始终，实现持续
IT 防护。 - 代码审计
顾名思义就是检查源代码中的安全缺陷，检查程序源代码是否存在
安全隐患，或者有编码不规范的地方，通过自动化工具或者人工审
查的方式，对程序源代码逐条进行检查和分析，发现这些源代码缺
陷引发的安全漏洞，并提供代码修订措施和建议。 - NTLM 验证
NTLM(NT LAN Manager)是微软公司开发的一种身份验证机制，
从 NT4 开始就一直使用，主要用于本地的帐号管理。 - MTTD
平均检测时间。 - MTTR
平均响应时间。 - CVE
全称 Common Vulnerabilities and Exposures，由于安全机构
Mitre 维护一个国际通用的漏洞唯一编号方案，已经被安全业界广
泛接受的标准。 - 软件加壳
“壳”是一段专门负责保护软件不被非法修改或反编译的程序。它
们一般都是先于程序运行，拿到控制权，然后完成它们保护软件的
任务。 经过加壳的软件在跟踪时已无法看到其真实的十六进制代
码，因此可以起到保护软件的目的。 - CNVD
国家信息安全漏洞共享平台，由国家计算机应急响应中心 CNCERT
维护，主要负责统一收集、管理国内的漏洞信息，其发布的漏洞编
号前缀也为 CNVD。 - 数据脱敏
数据脱敏是指对某些敏感信息通过脱敏规则进行数据的变形，实现
敏感隐私数据的可靠保护，主要用于数据的共享和交易等涉及大范
围数据流动的场景。 - GDPR
《通用数据保护条例》（General Data Protection Regulation，
简称 GDPR）为欧洲联盟的条例，前身是欧盟在 1995 年制定的《计
算机数据保护法》。 - CCPA
美国加利福尼亚州消费者隐私保护法案。 - SRC
即 Security Response Center，中文名为安全应急响应中心，主
要职责为挖掘并公开收集机构存在的漏洞和其他安全隐患。 - CISO
有时也被叫做 CSO，即首席信息安全官，为机构的主要安全负责
人。 - IPC 管道
为了更好地控制和处理不同进程之间的通信和数据交换，系统会通
过一个特殊的连接管道来调度整个进程。 - SYN 包
TCP 连接的第一个包，非常小的一种数据包。SYN 攻击包括大量
此类的包，由于这些包看上去来自实际不存在的站点，因此无法有
效进行处理。 - IPC$
是共享“命名管道”的资源，它是为了让进程间通信而开放的命名
管道，可以通过验证用户名和密码获得相应的权限，在远程管理计
算机和查看计算机的共享资源时使用。 - shell
指的是一种命令指行环境，是系统与用户的交换方式界面。简单来
说，就是系统与用户“沟通”的环境。 我们平时常用到的 DOS，
就是一个 shell。（Windows2000 是 cmd.exe） - ARP
地址解析协议(Address Resolution Protocol)此协议将网络地址
映射到硬件地址。