光大证券网络安全审计

1. 能说一下钱包安全审计是什么吗这阵子都在说时代安全，他们的钱包安全审计好不好用

近年来，数字钱包安全事件频发。

2019年11月19日，Ars Technica报道称两个加密货币钱包数据遭泄露，220万账户信息被盗。安全研究员Troy Hunt证实，被盗数据来自加密货币钱包GateHub和RuneScape机器人提供商EpicBot的账户。

这已经不是Gatehub第一次遭遇数据泄露了。据报道，去年6月，黑客入侵了大约100 个XRP Ledger钱包，导致近1000万美元的资金被盗。

2019年3月29日，Bithumb失窃事件闹得沸沸扬扬。据猜测，这次事件起因为Bithumb拥有的g4ydomrxhege帐户的私钥被黑客盗取。

随即，黑客将窃取的资金分散到各个交易所，包括火币，HitBTC，WB和EXmo。根据非官方数据和用户估计，Bithumb遭受的损失高达300万个EOS币（约1300万美元）和2000万个XRP币（约600万美元）以上。

由于数字货币的匿名性及去中心化，导致被盗资产在一定程度上难以追回。因此，钱包的安全性至关重要。

CertiK技术团队认为这是减少攻击面和保护用户隐私的方法。

但是，如果应用程序希望为客户提供除了帐户管理和令牌传输之外的更多功能，那么该应用程序可能需要一个带有数据库和服务器端代码的中心化服务器。

服务器端组件要测试的项目高度依赖于应用程序特性。

根据在研究以及与客户接触中发现的服务器端漏洞，我们编写了下文的漏洞检查表。当然，它并不包含所有可能产生的服务器端漏洞。

认证和授权

KYC及其有效性

竞赛条件

云端服务器配置错误

Web服务器配置错误

不安全的直接对象引用(IDOR)

服务端请求伪造(SSRF)

不安全的文件上传

任何类型的注入(SQL，命令，template)漏洞

任意文件读/写

业务逻辑错误

速率限制

拒绝服务

信息泄漏

总结

随着技术的发展，黑客们实施的欺诈和攻击手段也越来越多样化。

CertiK安全技术团队希望通过对加密钱包安全隐患的分享让用户更清楚的认识和了解数字货币钱包的安全性问题、提高警惕。

现阶段，许多开发团队对于安全的问题重视程度远远低于对于业务的重视程度，对自身的钱包产品并未做到足够的安全防护。通过分享加密钱包的安全审计类目，CertiK期望加密钱包项目方对于产品的安全标准拥有清晰的认知，从而促进产品安全升级，共同保护用户资产的安全性。

数字货币攻击是多技术维度的综合攻击，需要考虑到在数字货币管理流通过程中所有涉及到的应用安全，包括电脑硬件、区块链软件，钱包等区块链服务软件，智能合约等。

加密钱包需要重视对于潜在攻击方式的检测和监视，避免多次受到同一方式的攻击，并且加强数字货币账户安全保护方法，使用物理加密的离线冷存储（cold storage）来保存重要数字货币。除此之外，需要聘请专业的安全团队进行网络层面的测试，并通过远程模拟攻击来寻找漏洞。

2. 所谓的上网行为审计可以知道多少内容

上网行为审计，能够透明地审计并管理员工的上网行为，屏蔽黄、赌、毒、邪教、黑客等不良网站，同时能够很好地满足来自信息安全市场的多种需求，例如政府、教育、企业等客户，从而达到提升教育形象、化解潜在的法律责任、提高企业的工作效率、营造绿色校园网络环境的目的，形成横跨多种行业的专业安全审计方案。同时，网络哨兵还能满足公安网监部门对联网用户上网行为审计备案的要求，为调查网络犯罪，提供了有力的取证信息和技术支持，切实符合国务院针对互联网提出的“兴利除弊、促进发展”的战略方针！
上网行为审计可以知道你们的以下内容：
网页浏览（HTTP）审计
加密网页浏览（HTTPS）审计
网络聊天审计(IM)
加密网络聊天内容审计（QQ、MSNSHELL）
收发邮件审计（标题、正文、附件）
P2P、BT 协议审计和封堵
搜索关键词审计
文件传输（FTP 协议）审计
音视频审计
网络游戏审计
带宽流量管理（QoS）
时间控制策略
分析和统计功能
路由功能
防火墙功能
预防DOS攻击
VPN功能
认证方式
VLAN支持
非法外联控制
VPN、VNC等远程应用软件审计
语音聊天记录
扩展性（网络级联）
多线路支持
时间管理控制
文件下载类型控制
文件上传本地存档
用户权限管理

3. 安全审计的功能

有三种网络安全机制。 概述： 随着TCP/IP协议群在互联网上的广泛采用，信息技术与网络技术得到了飞速发展。随之而来的是安全风险问题的急剧增加。为了保护国家公众信息网以及企业内联网和外联网信息和数据的安全，要大力发展基于信息网络的安全技术。 信息与网络安全技术的目标 由于互联网的开放性、连通性和自由性，用户在享受各类共有信息资源的同事，也存在着自己的秘密信息可能被侵犯或被恶意破坏的危险。信息安全的目标就是保护有可能被侵犯或破坏的机密信息不被外界非法操作者的控制。具体要达到：保密性、完整性、可用性、可控性等目标。 网络安全体系结构 国际标准化组织（ISO）在开放系统互联参考模型（OSI/RM）的基础上，于1989年制定了在OSI环境下解决网络安全的规则：安全体系结构。它扩充了基本参考模型，加入了安全问题的各个方面，为开放系统的安全通信提供了一种概念性、功能性及一致性的途径。OSI安全体系包含七个层次：物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。在各层次间进行的安全机制有： 1、加密机制 衡量一个加密技术的可靠性，主要取决于解密过程的难度，而这取决于密钥的长度和算法。 1）对称密钥加密体制对称密钥加密技术使用相同的密钥对数据进行加密和解密，发送者和接收者用相同的密钥。对称密钥加密技术的典型算法是DES（Data Encryption Standard数据加密标准）。DES的密钥长度为56bit，其加密算法是公开的，其保密性仅取决于对密钥的保密。优点是：加密处理简单，加密解密速度快。缺点是：密钥管理困难。 2）非对称密钥加密体制非对称密钥加密系统，又称公钥和私钥系统。其特点是加密和解密使用不同的密钥。 （1）非对称加密系统的关键是寻找对应的公钥和私钥，并运用某种数学方法使得加密过程成为一个不可逆过程，即用公钥加密的信息只能用与该公钥配对的私钥才能解密；反之亦然。 （2）非对称密钥加密的典型算法是RSA。RSA算法的理论基础是数论的欧拉定律，其安全性是基于大数分解的困难性。 优点：（1）解决了密钥管理问题，通过特有的密钥发放体制，使得当用户数大幅度增加时，密钥也不会向外扩散；（2）由于密钥已事先分配，不需要在通信过程中传输密钥，安全性大大提高；（3）具有很高的加密强度。 缺点：加密、解密的速度较慢。 2、安全认证机制 在电子商务活动中，为保证商务、交易及支付活动的真实可靠，需要有一种机制来验证活动中各方的真实身份。安全认证是维持电子商务活动正常进行的保证，它涉及到安全管理、加密处理、PKI及认证管理等重要问题。目前已经有一套完整的技术解决方案可以应用。采用国际通用的PKI技术、X.509证书标准和X.500信息发布标准等技术标准可以安全发放证书，进行安全认证。当然，认证机制还需要法律法规支持。安全认证需要的法律问题包括信用立法、电子签名法、电子交易法、认证管理法律等。 1）数字摘要 数字摘要采用单向Hash函数对信息进行某种变换运算得到固定长度的摘要，并在传输信息时将之加入文件一同送给接收方；接收方收到文件后，用相同的方法进行变换运算得到另一个摘要；然后将自己运算得到的摘要与发送过来的摘要进行比较。这种方法可以验证数据的完整性。 2）数字信封 数字信封用加密技术来保证只有特定的收信人才能阅读信的内容。具体方法是：信息发送方采用对称密钥来加密信息，然后再用接收方的公钥来加密此对称密钥（这部分称为数字信封），再将它和信息一起发送给接收方；接收方先用相应的私钥打开数字信封，得到对称密钥，然后使用对称密钥再解开信息。 3）数字签名 数字签名是指发送方以电子形式签名一个消息或文件，表示签名人对该消息或文件的内容负有责任。数字签名综合使用了数字摘要和非对称加密技术，可以在保证数据完整性的同时保证数据的真实性。 4）数字时间戳 数字时间戳服务（DTS）是提供电子文件发表时间认证的网络安全服务。它由专门的机构（DTS）提供。 5）数字证书 数字证书（Digital ID）含有证书持有者的有关信息，是在网络上证明证书持有者身份的数字标识，它由权威的认证中心（CA）颁发。CA是一个专门验证交易各方身份的权威机构，它向涉及交易的实体颁发数字证书。数字证书由CA做了数字签名，任何第三方都无法修改证书内容。交易各方通过出示自己的数字证书来证明自己的身份。 在电子商务中，数字证书主要有客户证书、商家证书两种。客户证书用于证明电子商务活动中客户端的身份，一般安装在客户浏览器上。商家证书签发给向客户提供服务的商家，一般安装在商家的服务器中，用于向客户证明商家的合法身份。 3、访问控制策略 访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非常访问。它也是维护网络系统安全、保护网络资源的重要手段。各种安全策略必须相互配合才能真正起到保护作用。下面我们分述几种常见的访问控制策略。 1）入网访问控制 入网访问控制为网络访问提供了第一层访问控制。它控制哪些用户能够登录到服务器并获取网络资源，以及用户入网时间和入网地点。 用户的入网访问控制可分为三个步骤：用户名的识别与验证、用户口令的识别与验证、用户帐号的缺省限制检查。只有通过各道关卡，该用户才能顺利入网。 对用户名和口令进行验证是防止非法访问的首道防线。用户登录时，首先输入用户名和口令，服务器将验证所输入的用户名是否合法。如果验证合法，才继续验证输入的口令，否则，用户将被拒之网络之外。用户口令是用户入网的关键所在。为保证口令的安全性，口令不能显示在显示屏上，口令长度应不少于6个字符，口令字符最好是数字、字母和其他字符的混合，用户口令必须经过加密，加密的方法很多，其中最常见的方法有：基于单向函数的口令加密，基于测试模式的口令加密，基于公钥加密方案的口令加密，基于平方剩余的口令加密，基于多项式共享的口令加密，基于数字签名方案的口令加密等。用户还可采用一次性用户口令，也可用便携式验证器（如智能卡）来验证用户的身份。 2）网络的权限控制 网络的权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。我们可以根据访问权限将用户分为以下几类：（1）特殊用户（即系统管理员）；（2）一般用户，系统管理员根据他们的实际需要为他们分配操作权限；（3）审计用户，负责网络的安全控制与资源使用情况的审计。用户对网络资源的访问权限可以用一个访问控制表来描述。 3）目录级安全控制 网络应允许控制用户对目录、文件、设备的访问。用户在月录一级指定的权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。对目录和文件的访问权限一般有八种：系统管理员权限（Supervisor）、读权限（Read）、写权限（Write）、创建权限（Create）、删除权限（Erase）、修改权限（MOdify）、文件查找权限（FileScan）、存取控制权限（AccessControl）。用户对文件或目标的有效权限取决于以下二个因素：用户的受托者指派、用户所在组的受托者指派、继承权限屏蔽取消的用户权限。一个网络系统管理员应当为用户指定适当的访问权限，这些访问权限控制着用户对服务器的访问。八种访问权限的有效组合可以让用户有效地完成工作，同时又能有效地控制用户对服务器资源的访问，从而加强了网络和服务器的安全性。 随着计算机技术和通信技术的发展，计算机网络将日益成为工业、农业和国防等方面的重要信息交换手段，渗透到社会生活的各个领域。因此，认清网络的脆弱性和潜在威胁，采取强有力的安全策略，对于保障网络信息传输的安全性将变得十分重要。

4. 安全审计系统是什么

而审计的话就会有相应的审计报告。因为是国家保密资质评分标准，所以这些国家的保密单位必须将这些需要审计的报告内容急性文档化的管理，把每次审计报告的结果，进行文档化管理，至于内容就是根据国家安全保密标准规定参考，那里面根据密级级别有详细划分，也就是审计报告要达到的内容，文档化就是需要将这些审计报告产生的结果，做为统计，或者归档，并保存起来，作为规范的文档来管理，像一些公文一样。

5. 全流量安全审计平台是干嘛用的

帮助安全人员审计系统的可靠性和安全性。
中孚网络安全审计系统是对网络全流量进行高性能审计和分析的安全审计产品。安全审计的跟踪功能是帮助安全人员审计系统的可靠性和安全性，对妨碍系统运行的明显企图及时报告给安全控制台，及时采取措施。

6. 数据库安全审计系统的市场分析

传统的关系型数据库审计已经很成熟，我们说说大数据库审计面临的挑战，安华金和在一个个针对大数据审计的项目落地过程中总结发现：
以操作类型为视角的统计很多场景不再实用，如HDFS下的数据库语句实际上是对文件系统的操作命令ls、cp等；
由于大数据存储节点众多，故数据访问端口范围的不确定性也随之而来，传统数据库审计对IP+端口的数据模型已不再适用，大数据审计一般都采用动态的端口范围，而且范围较大，如某项目现场的Hive端口数量30+；
语句模板难以用SQL方式翻译，在关系型数据库审计中安华金和的语句模板机制极大的减少了语句记录量，业务审计中以模板方式也极大的提高了统计和分析的价值，但大数据应用下这种方式将难以继续这种业务呈现；
业务化语言无法匹配，关系型数据库的业务化语言翻译不再适用于大数据时代。
这里提到的“大数据审计”有两层含义：
一是对使用大数据作为业务数据库存储的这类“数据库”审计；
二是对大量业务产生的审计数据以大数据方式存储。
前者的本质在于数据库的审计，后者的核心在于审计数据结果的处理。
在大数据使用愈发普及的市场背景下，以上两个方面常常同时出现：为了更好的服务于业务，大数据形态不断扩展和业务逐渐成熟，大数据审计成为刚需；大量的审计数据结果需要更大的存储空间和更庞大的后续统计分析，而这正是大数据擅长的地方，所以演变成了“用一个大数据应用来审计业务系统的大数据”。
在完成对大数据审计的协议解析后，如何呈现更合理的审计结果和统计分析？安华金和的思路是：基于现有DBAudit的语句、会话、风险三大视角基础框架，基于大数据形态做针对性的审计数据结果呈现和风险策略告警能力，DBAudit新的版本将会带来耳目一新的价值体现。
被审计数据库节点的极大增长，以及审计结果数据量的猛增，审计系统本身也将步入大数据化。
对大数据的审计支持能力，安华金和在国内厂商中一马当先，目前支持的大数据形态有：Hive、HBase、Sentry、HDFS、Impala、ElasticSearch，以及MangoDB、Redis等非关系型数据库。你与他们交流下，会有不同的收获。

7. 网络环境中部署安全审计系统的目的

1.对潜在攻击者起到威慑和警示作用；

2.及时检测系统，保证与安全策略和操作规程协调一致。

3.对破坏事件做出评估并提供有效的解决策略。

4.对系统控制、安全策略与规程中的变更进行评价和反馈，以便修订决策和部署。

5.协助系统管理员及时发现网络系统入侵或潜在的系统漏洞及隐患。

8. 互联网安全审计的采取积极措施

七、各级人民政府及有关部门要采取积极措施，在促进互联网的应用和网络技术的普及过程中，重视和支持对网络安全技术的研究和开发，增强网络的安全防护能力。有关主管部门要加强对互联网的运行安全和信息安全的宣传教育，依法实施有效的监督管理，防范和制止利用互联网进行的各种违法活动，为互联网的健康发展创造良好的社会环境。从事互联网业务的单位要依法开展活动，发现互联网上出现违法犯罪行为和有害信息时，要采取措施，停止传输有害信息，并及时向有关机关报告。任何单位和个人在利用互联网时，都要遵纪守法，抵制各种违法犯罪行为和有害信息。人民法院、人民检察院、公安机关、国家安全机关要各司其职，密切配合，依法严厉打击利用互联网实施的各种犯罪活动。要动员全社会的力量，依靠全社会的共同努力，保障互联网的运行安全与信息安全，促进社会主义精神文明和物质文明建设。

9. 安全审计的包含内容

安全审计涉及四个基本要素:控制目标、安全漏洞、控制措施和控制测试。其中,控制目标是指企业根据具体的计算机应用,结合单位实际制定出的安全控制要求。安全漏洞是指系统的安全薄弱环节,容易被干扰或破坏的地方。控制措施是指企业为实现其安全控制目标所制定的安全控制技术、配置方法及各种规范制度。控制测试是将企业的各种安全控制措施与预定的安全标准进行一致性比较,确定各项控制措施是否存在、是否得到执行、对漏洞的防范是否有效,评价企业安全措施的可依赖程度。显然,安全审计作为一个专门的审计项目,要求审计人员必须具有较强的专业技术知识与技能。
安全审计是审计的一个组成部分。由于计算机网络环境的安全将不仅涉及国家安危,更涉及到企业的经济利益。因此,我们认为必须迅速建立起国家、社会、企业三位一体的安全审计体系。其中,国家安全审计机关应依据国家法律,特别是针对计算机网络本身的各种安全技术要求,对广域网上企业的信息安全实施年审制。另外,应该发展社会中介机构,对计算机网络环境的安全提供审计服务,它与会计师事务所、律师事务所一样,是社会对企业的计算机网络系统的安全作出评价的机构。当企业管理当局权衡网络系统所带来的潜在损失时,他们需要通过中介机构对安全性作出检查和评价。此外财政、财务审计也离不开网络安全专家,他们对网络的安全控制作出评价,帮助注册会计师对相应的信息处理系统所披露信息的真实性、可靠性作出正确判断。
根据互联网安全顾问团主席Ira Winkler，安全审计、易损性评估以及渗透性测试是安全诊断的三种主要方式。这三个分别采用不同的方法，分别适于特定的目标。安全审计测量信息系统对于一系列标准的性能。而易损性评估涉及整个信息系统的综合考察以及搜索潜在的安全漏洞。渗透性测试是一种隐蔽的操作，安全专家进行大量的攻击来探查系统是否能够经受来自恶意黑客的同类攻击。在渗透性测试中，伪造的攻击可能可能包括社会工程等真正黑客可能尝试的任何攻击。这些方法各有其固有的能力，联合使用两个或者多个可能是最有效的。

10. 什么是安全审计，关于数据库的

数据库安全审计主要用于监视并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作，并记入审计数据库中以便日后进行查询、分析、过滤，实现对目标数据库系统的用户操作的监控和审计。它可以监控和审计用户对数据库中的数据库表 、视图、序列、包、存储过程、函数、库、索引、同义词、快照、触发器等的创建、修改和删除等，分析的内容可以精确到SQL操作语句一级。它还可以根据设置的规则，智能的判断出违规操作数据库的行为，并对违规行为进行记录、报警。由于数据库安全审计系统是以网络旁路的方式工作于数据库主机所在的网络，因此它可以在根本不改变数据库系统的任何设置的情况下对数据库的操作实现跟踪记录、定位，实现数据库的在线监控，在不影响数据库系统自身性能的前提下，实现对数据库的在线监控和保护，及时地发现网络上针对数据库的违规操作行为并进行记录、报警和实时阻断，有效地弥补现有应用业务系统在数据库安全使用上的不足，为数据库系统的安全运行提供了有力保障。
一、数据库安全审计主要功能包括：
· 实时监测并智能地分析、还原各种数据库操作。
· 根据规则设定及时阻断违规操作，保护重要的数据库表和视图。
· 实现对数据库系统漏洞、登录帐号、登录工具和数据操作过程的跟踪，发现对数据库系统的异常使用。
· 支持对登录用户、数据库表名、字段名及关键字等内容进行多种条件组合的规则设定，形成灵活的审计策略。
· 提供包括记录、报警、中断和向网管系统报警等多种响应措施。
· 具备强大的查询统计功能，可生成专业化的报表。
二、数据库安全审计主要特点
· 采用旁路技术，不影响被保护数据库的性能。
· 使用简单，不需要对被保护数据库进行任何设置。
· 支持SQL-92标准，适用面广，可以支持Oracle、MS SQL Server、Sybase、Informix等多类数据库。
· 审计精细度高，可审计并还原SQL操作语句。
· 采用分布式监控与集中式管理的结构，易于扩展。
· 完备的"三权分立"管理体系，适应对敏感内容审计的管理要求。