网络安全工作要坚持网络安全为人民、网络安全靠人民,保障个人信息安全,维护公民在网络空间的合法权益。

                                                                                                                                                                           ――泡泡糖

1 前言

     大家好，由于疫情和工作的原因我有好长时间都没有发布文章。其实在疫情期间我在家待的两个月时间里我也做了一些关于信息安全方面的实验和资料相关的内容，在这段时间我整理了一下，准备分期全都发布出来，其中有关于信息安全侧室工具的安装和介绍、怎样被动和主动的收集网络信息、针对服务器的弱点扫描、漏洞的工机和侧室、无线信息的收集与工机、web应用的漏洞侧室、电子取证和密码破解等供大家一起参考。

     在我服务过的大多数企业或事业单位来说，IT信息网络的规模都不是很大，跟阿里、中石油、银行等相比那是小巫见大巫。正因为他们的IT信息和网络系统都有限，所以对信息、数据的安全都不是特别重视，系统被工机或数据丢失影响都不是很大。有的单位觉得单独去找一个的网络安全人员来做运维开支太大，也不一定能找到合格的网络安全运维人员。

    每个三、四线城市都有不少的网络公司，但大多数只是卖产品或做一些系统集成的项目。对信息安全有能力去做保护和防御的公司几乎没有，技术人员也就更少了。也不排除有的网络公司想去请一位网络安全运维高手，但在一个三、四线城市也开不起合适的工资来匹配。有没有即能匹配当地工资水平又能够满足当地三、四线城市的中小企事业单位信息安全运维的需要呢？

    在网络上有很多关于信息安全的文章或者是视频讲座，我也看了很多，但对于一般的技术人员来说都太深了，又或者没有一个安全体系，让人觉得只能学到安全的一个方面，或者学着学着似乎根本用不着，让人摸不着头脑。在这里我就结合工作这么多年的经验，针对三、四线城市的中小企事业单位信息安全运维到底该怎么去做，我们做技术的要掌握哪些知识工具，对基本的安全工房要怎么去解决，我这里想去做个全面的描述。

    在一个三、四线城市的中小企事业单位一般就是几十台电脑和办公设备，再加上一个小型网络、监控系统、广播系统和OA系统等，有的还有一个门户网站。对这些系统该怎样去做安全防护，或者说出了安全问题我们应该怎样去解决？我们可以先去了解外面是怎样对这些系统进行深透工机的，有时我们要先对系统进行深透测试，然后针对系统发现的一些漏洞和弱点进行修补。

深透测试的标准：

l  前期交互阶段

l  情报收集阶段

l  威胁建模阶段

l  漏洞分析阶段

l  深透工机阶段

l  后深透测试阶段

l  深透测试报告

    当然我们要对一个系统进行深透测试一定要获得授权才行，要不然会这被当作HEKE给抓起来。我们首先是要用到一些工具和软件，首先我要介绍的就是大名鼎鼎的Kali（kālī，⾳译为迦梨或迦利，字⾯意思是“⿊⾊的”），它是印度教中⼀个重要的⼥神，她是湿婆神妃帕尔⽡蒂产⽣的化⾝，印度神话中最为⿊暗和暴 虐的⿊⾊地⺟。她⽪肤黝⿊，⻘⾯獠⽛，额头和湿婆神⼀样有第三只眼睛， 四只⼿臂分持武器，戴着蛇和骷髅的项链，⾆头上滴着⾎。有她的传说总 是与杀戮和鲜⾎相连，史上曾经⽤过活⼈献祭，是印度教派中最为隐晦和神秘的⼀派。 迦梨⼀词也可解释为时间，故中⽂翻译为时⺟。在后期的信仰体系中，时⺟被认为与时间和变化有关，象征着强⼤和新⽣。 在⾯对前所未有的强⼤的阿修罗时陷⼊困境，这时候她的⾯孔因为愤怒⽽发⿊，从她脸上的⿊⽓中诞⽣了可怕的迦梨。今⽇印度的都市加尔各答，名字的意思就是“迦梨的沐浴场” 。

     好了上面我说了一通的废话，主要的目的就是为了下期给大家介绍Kali这个软件的安装和使用环境，也是为了后期介绍信息安全深透测试都离不开这个工具。那我们就下期再见！！！

   小知识：最新的等保2.0标准里的等保三级标准有哪些要求，有哪些安全设备是必需的，有哪些是可选的请看下图：