当前位置： 首页 > news >正文

奇安信全流量（天眼）面试题

news 来源：原创 2025/8/11 4:38:00

一、全流量设备（天眼）的部署架构

天眼系统采用旁路部署模式，通过流量镜像实现非侵入式监测，核心组件包括流量传感器、分析平台和文件威胁鉴定器，具体部署架构如下：

  1. 传感器部署

    • 关键节点覆盖：在核心交换机、出口网关、DMZ区等关键位置部署流量传感器，镜像全量网络流量。例如，在护网场景中，需覆盖办公区、服务器区、云环境等区域的核心交换节点。

    • 协议解析能力：支持HTTP、DNS、SMTP、SMB等40余种协议解码，覆盖Web攻击、文件传输、邮件通信等场景，实现全流量元数据提取。

    • 性能优化配置：根据网络带宽调整捕获频率（如千兆/万兆适配），设置过滤规则减少冗余数据处理，并启用双向会话分析提升检测精度。

  2. 分析平台集群化

    • 集中化威胁分析：分析平台接收传感器上传的流量日志和文件样本，结合威胁情报进行关联分析。例如，某大型企业在15个产业园部署传感器，统一汇聚至总部分析平台实现全局威胁感知。

    • 分布式存储与计算：采用分布式搜索引擎（如ElasticSearch技术栈），支持PB级数据存储和秒级检索，满足护网期间海量日志的快速溯源需求。

  3. 管理组件扩展

    • 文件威胁鉴定器：独立部署沙箱模块，对传感器提交的可疑文件（如PE文件、脚本）进行动态行为分析，检测未知恶意代码。

    • 集中管理平台：通过统一界面管理多台天眼设备，实现规则库更新、补丁升级和状态监控，提升运维效率。

二、对普通漏洞的防护方式与作用

针对已知漏洞（如SQL注入、XSS、弱口令），天眼通过多维度检测引擎和自动化响应机制实现高效防御：

  1. 规则匹配与协议分析

    • 特征库检测：内置超4万条入侵检测规则（如CVE漏洞利用特征），实时匹配流量中的攻击行为，例如检测永恒之蓝漏洞（MS17-010）的SMB协议异常。

    • 协议深度解析：通过HTTP请求参数解码识别SQL注入语句，或从邮件附件中提取恶意文件，阻断WebShell上传等攻击链环节。

  2. 多维度关联分析

    • 攻击链还原：将离散告警（如端口扫描、漏洞利用、横向移动）关联为完整攻击事件，基于ATT&CK模型可视化展示攻击阶段（侦察-入侵-横向渗透）。

    • 威胁情报联动：结合云端情报（如恶意IP、域名）进行实时碰撞，快速识别已知恶意行为。例如，匹配Shodan扫描IP或恶意证书签名。

  3. 自动化响应与处置

    • 联动防御设备：通过OpenC2接口与防火墙、WAF联动，自动拦截攻击源IP或隔离受感染主机。

    • 漏洞修复辅助：生成漏洞扫描报告（如Nessus格式），标记未修复的高危漏洞（如Log4j2），指导护网期间优先修补。

三、对0day攻击的防护能力

针对无公开特征的0day漏洞，天眼通过行为分析与动态检测技术实现主动防御：

  1. 沙箱动态行为检测

    • 文件沙箱分析：对可疑文件（如Office文档、压缩包）在虚拟环境中执行，监控进程创建、注册表修改、网络连接等异常行为，识别无特征恶意代码。

    • 内存攻击防护：检测堆栈溢出、代码注入等内存操作，阻断漏洞利用链的关键步骤。

  2. 异常行为建模

    • 机器学习模型：基于历史流量建立正常行为基线（如访问频率、协议分布），识别偏离基线的异常活动（如非工作时间大量SSH登录）。

    • 攻击链狩猎：通过可视化拓线分析工具，从单条告警（如异常DNS请求）追溯潜在攻击路径，发现隐蔽的C&C通信或横向移动。

  3. 威胁情报与攻击溯源

    • 攻击痕迹留存：全流量原始数据包（PCAP）存储，支持按时间戳提取攻击发生时的完整流量，用于0day漏洞的逆向分析与漏洞验证。

    • EDR联动：结合终端响应系统（如天擎）获取进程树、注册表变更等数据，关联网络侧异常行为，实现跨层威胁闭环处置。

相关文章：

奇安信全流量（天眼）面试题

一、全流量设备（天眼）的部署架构 天眼系统采用旁路部署模式，通过流量镜像实现非侵入式监测，核心组件包括流量传感器、分析平台和文件威胁鉴定器，具体部署架构如下： 传感器部署 关键节点覆盖：在…...

编程日记 2025/8/11 4:38:00

计算机四级 - 数据库原理（操作系统部分）- 第2章「操作系统运行机制」

系统调用是应用程序请求操作系统核心完成某一特定功能的一种过程调用，与一般调用的最大区别就是调用程序运行在用户态，而被调用程序则运行在系统态寄存器类型： 用户不可见寄存器：程序计数器、指令寄存器、程序状态字（P…...

编程日记 2025/8/10 17:26:30

【css酷炫效果】纯CSS实现虫洞穿越效果

【css酷炫效果】纯CSS实现穿越效果 缘创作背景html结构css样式完整代码基础版进阶版（虫洞穿越） 效果图 想直接拿走的老板，链接放在这里：https://download.csdn.net/download/u011561335/90491973 缘 创作随缘，不定时…...

编程日记 2025/8/8 15:49:47

火山引擎（豆包大模型）(抖音平台)之火山方舟的Prompt的使用测试

前言 在大模型的使用过程当中，Prompt的使用非常的关键。原来，我对Prompt的理解不深，觉得Prompt的产生并不是很有必要。但是，自从使用了火山方舟中的“Prompt优解”之后，感受加深了，觉得Prompt是我们和大模型…...

编程日记 2025/8/8 6:38:12

多线程(四)----线程安全

线程安全问题的万恶之源就是多线程的抢占式执行所带来的随机性. 有了多线程, 此时抢占式执行下, 代码执行的顺序, 会出现更多的变数, 代码执行顺序的可能性就从一种情况变成了无数种情况. 只要有一种情况使得代码结果不正确, 都是视为bug, 线程不安全. 有线程安全的代码 以下…...

编程日记 2025/8/6 1:03:19

跨系统投屏：Realme手机（远程）投屏到Linux系统的简单方法

家里长辈年纪上来了，有点老花眼，平常看手机总是觉得字体不够大，还一个劲儿地将手机拿很远。其实那台手机的字体已经调到最大了。 为了让长辈刷手机的时候可以轻松快乐一点，我们帮他将手机投屏到电脑上。毕竟电脑屏幕比手机大多了&…...

编程日记 2025/8/4 12:39:25

【eNSP基础使用教程-1】

座右铭: 纵有疾风起，人生不言弃。 文章目录 前言一、更改设备名称指令1、双击路由器进入2、 进入系统视图3、更改设备名称为R14、使用同样的办法修改路由器R2、R3 二、配置路由物理接口的IP 地址1、查看R1路由器当前接口IP 地址配置与路由表2、查看路由器上的路由表…...

编程日记 2025/8/7 1:54:26

android开发：组件事件汇总

在 Android 开发中，Java 文件中有许多组件事件可以处理用户交互。以下是一些常见的组件事件及其用途和示例： 1. 点击事件 (Click) 用于处理用户点击控件的操作。 示例代码： Button button findViewById(R.id.button); button.setOnClickL…...

编程日记 2025/8/4 12:54:05

C++|向函数传递对象

在 C 里，对象作为函数的参数和返回值，有值传递、指针传递和引用传递这三种传递方式，下面为你详细介绍。 1.值传递 在值传递时，把实参对象的值复制给形参对象，函数会接收实参的一个副本，而非实参本身。函数…...

编程日记 2025/8/9 17:15:45

网络爬虫【爬虫库urllib】

我叫不三不四，很高兴见到大家，欢迎一起学习交流和进步 今天来讲一讲爬虫 urllib介绍 Urllib是Python自带的标准库，无须安装，直接引用即可。 Urllib是一个收集几个模块来使用URL的软件包，大致具备以下功能。 ●　urlli…...

编程日记 2025/8/5 22:59:50

【一起来学kubernetes】17、Configmap使用详解

前言概述核心特性创建 ConfigMap使用 ConfigMap1. **环境变量**2. **Volume 挂载**3. **命令行参数** 更新与热重载Docker容器中Java服务使用Configmap**一、通过环境变量注入****步骤说明****示例配置** **二、通过 Volume 挂载配置文件****步骤说明****示例配置** **三、动态…...

编程日记 2025/8/3 11:25:29

QT程序双击可执行文件运行方法

1、qt编译选择release模式 在pro文件添加：QMAKE_LFLAGS -no-pie 2、cmake编译qt界面程序 在CMakeLists.txt文件中添加： set(CMAKE_C_FLAGS "${CMAKE_C_FLAGS} -no-pie") set(CMAKE_CXX_FLAGS "${CMAKE_CXX_FLAGS} -no-pie")注意 …...

编程日记 2025/8/10 16:35:55

【css酷炫效果】实现鱼群游动动态效果

【css酷炫效果】实现小鱼游动动态效果 缘创作背景css代码创建div容器引入jquery引入鱼群js完整代码效果图成品资源下载链接：点击下载 缘 在开发系统功能的时候，无意间看到了小鱼游动特效，感觉很有意思，就在网上找了相关教程，分享给大家。 创作背景 刚看到csdn出活动了…...

编程日记 2025/8/8 8:02:06

【GNN】GAT

消息传递 层数越多，聚合更多的消息...

编程日记 2025/7/16 16:56:59

Prims region.Views 为null

原因： 导航未完成或异步问题 解决方式：使用回调确认导航完成后再操作视图 _regionManager.RequestNavigate("MonitorRegion", "MonitorView", nps, navigationResult > {if (navigationResult.Result true){var region _regio…...

编程日记 2025/8/6 4:51:44

在windows10系统上安装docker，然后在容器中运行GPU版本的Pytorch，并使用vscode连接该容器

一 . 安装Docker Desktop 首先打开网址https://docs.docker.com/desktop/install/windows-install/ 下载完后，双击下面的exe文件进行安装，默认情况下，Docker Desktop 安装在C:\Program Files\Docker\Docker 出现提示时，请确保…...

编程日记 2025/8/10 15:14:24

WPS 搭配 Zotero 插件使用

安装Zotero后，Word自动引入了插件，但WPS却没有，做为WPS的重度用户，这是不行的。 解决方案： 1.找到 Zotero.dotm 一般在安装目录下， 2.然后复制到WPS的startup下 我的目录是：C:\Users\lianq…...

编程日记 2025/7/28 21:46:01

卷积神经网络 - 卷积层（具体例子）

为了更一步学习卷积神经网络之卷积层，本文我们来通过几个个例子来加深理解。 一、灰度图像和彩色图像的关于特征映射的例子 下面我们通过2个例子来形象说明卷积层中“特征映射”的概念，一个针对灰度图像，一个针对彩色图像。 例子 1&#x…...

编程日记 2025/8/10 22:00:27

新造车不再比拼排名，恰是曲终人散时，剩者为王

据称新能源汽车周销量不再发布，这可能也预示着新造车终于到了给出答案的时候了，新造车企业前三强已基本确立，其余那些落后的车企已很难有突围的机会，而特斯拉无疑是其中的最大赢家。 3月份第一周的数据显示，销量最高的…...

编程日记 2025/8/7 6:08:43

学有所得-Deepin linux操作系统在安装nvidia显卡驱动后的问题修复

目标： 装有deepin V20.9的移动硬盘在系统启动后无法进入图形化界面，修复系统。 背景： 为了方便随时随地开发研究，又不破坏笔记本电脑原装的正版操作系统，在一个朗科（容量５０&…...

编程日记 2025/8/9 1:24:02

【QT：网络编程】

网络编程的本质就是在编写应用层代码。需要传输层支持。而传输层的协议有UDP、TCP等 使用QT网络编程的API，需要在.pro文件中添加network模块，而QT中的控件和其他内容都是包含在QtCore模块中的（默认添加） QT为什么要划分模块&…...

编程日记 2025/8/10 12:35:32

基于srpingboot高校智慧校园教学管理服务平台的设计与实现(源码+文档+部署讲解）

技术范围：SpringBoot、Vue、SSM、HLMT、Jsp、PHP、Nodejs、Python、爬虫、数据可视化、小程序、安卓app、大数据、物联网、机器学习等设计与开发。 主要内容：免费功能设计、开题报告、任务书、中期检查PPT、系统功能实现、代码编写、论文编写和辅导、论…...

编程日记 2025/8/8 17:50:47

分布式事务3PC解决了2PC哪些问题？

三阶段提交（3PC，Three-Phase Commit） 是对 二阶段提交（2PC，Two-Phase Commit） 的改进，旨在解决 2PC 的一些固有缺陷，特别是在分布式系统中的容错性和性能问题。以下是 3PC 比 2PC 更好的原因及其优势的详细分析： 1. 二阶段提交（2PC）的问题 2PC 是一种经典的分布式事…...

编程日记 2025/8/4 14:40:35

Dify 使用 - 创建 翻译 工作流

文章目录 1、选择 模板2、设置 和 基本使用3、运行应用 1、选择 模板 2、设置 和 基本使用 翻译模板 自带了系统提示词，你也可以修改 3、运行应用 右上角 点击 发布 – 更新，运行应用，就可以在新的对话界面中使用此功能 2025-03-18&#x…...

编程日记 2025/8/6 13:06:34

集成学习（上）：Bagging集成方法

一、什么是集成学习？ 在机器学习的世界里，没有哪个模型是完美无缺的。就像古希腊神话中的"盲人摸象"，单个模型往往只能捕捉到数据特征的某个侧面。但当我们把多个模型的智慧集合起来，就能像拼图一样还原出完整的真相&a…...

编程日记 2025/8/4 22:41:06

c盘清理宝藏小工具

引言 在数字化时代，电脑的存储空间和系统性能直接影响着我们的工作效率和用户体验。C盘作为系统盘，常常因为文件堆积、缓存冗余等问题变得臃肿不堪，导致电脑运行缓慢。为了解决这一问题，我最近试用了一款名为“小番茄C盘清理”的…...

编程日记 2025/8/6 4:54:16

QT多媒体播放器类：QMediaPlayer

QMediaPlayer 是 Qt Multimedia 模块中的核心类，用于播放音频和视频媒体文件。它支持本地文件、网络流媒体以及实时数据源，具备播放控制、状态管理、元数据访问等功能。QMediaPlayer的基本用法可能包括设置媒体源、控制播放（播放、暂停、停止…...

编程日记 2025/8/7 4:41:33

Java动态代理模式深度解析

1. 动态代理基础 1.1 核心组件 Proxy 类：动态生成代理对象的工厂类，核心方法为 newProxyInstance()。 InvocationHandler 接口：代理逻辑的处理器，所有方法调用会转发到其 invoke() 方法。 1.2 实现步骤 定义接口：代…...

编程日记 2025/8/5 10:01:06

【WRF模拟】垂直层设置/与观测数据对比

【WRF模拟】垂直层设置/与观测数据对比 WRF 中 有关垂直层的namelist变量1. 主要垂直层设置参数2. 详细解释3. 典型设置示例WRF 输出的垂直剖面数据与观测数据进行比较WRF 采用 地形跟随坐标（terrain-following coordinate）WRF 输出的垂直剖面数据与观测数据进行比较参考WRF …...

编程日记 2025/8/10 4:51:16

植物知识分享论坛毕设

1.这四个文件直接是什么关系？各自都是什么作用？他们之间是如何联系的？ 关系与联系 UserController.java 负责接收外部请求，调用 UserService.java 里的方法来处理业务， 而 UserService.java 又会调用 UserMapper.jav…...

编程日记 2025/8/10 9:28:03

可视化图解算法：链表中倒数（最后）k个结点

1. 题目 描述 输入一个长度为 n 的链表，设链表中的元素的值为ai ，返回该链表中倒数第k个节点。 如果该链表长度小于k，请返回一个长度为 0 的链表。 数据范围：0≤n≤105，0 ≤ai≤109，0 ≤k≤109 要求&am…...

编程日记 2025/8/5 14:02:20

qt下载和安装教程国内源下载地址

qt不断在更新中，目前qt6日渐成熟，先前我们到官方下载或者国内镜像直接可以下载到exe文件安装，但是最近几年qt官方似乎在逐渐关闭旧版本下载通道，列为不推荐下载。但是qt5以其广泛使用和稳定性，以及积累大量代码使得qt5…...

编程日记 2025/8/10 10:05:42

html5表格实战-跨行跨列

效果如图 代码如图...

编程日记 2025/8/9 10:17:49

使用OBS进行webRTC推流参考

参考腾讯云官方文档： 云直播 OBS WebRTC 推流_腾讯云 说明非常详细，分为通过WHIP和OBS插件的形式进行推流。 注意：通过OBS插件的形式进行推流需要使用较低的版本，文档里有说明，需要仔细阅读。...

编程日记 2025/7/22 10:00:01

Rockchip --- 图像时延优化

通过配置wait-line，即图像采集多少行后提前输出buffer给ISP，而无需等待图像全部采集完毕。一般设置为图像采集一半后提前输出buffer给ISP （一）VICAP提前输出 Video Input CAPture是用于图像采集和处理的子系统 1. 通过dts配置 …...

编程日记 2025/8/5 7:20:38

微软 LIDA 库：基于大模型的自动化数据分析与可视化

微软 LIDA 库：基于大模型的自动化数据分析与可视化 一、核心架构与 LLM 交互流程 #mermaid-svg-UzSwZNKPlgrJUpej {font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;fill:#333;}#mermaid-svg-UzSwZNKPlgrJUpej .error-icon{fill:#5…...

编程日记 2025/8/11 3:01:46

java-正则表达式-集合-泛型

正则表达式 正则表达式到底是什么东西？ 在编写处理字符串的程序或网页时，经常会有查找符合某些复杂规则的字符串的需要。正则表达式就是用于描述这些规则的工具。换句话说，正则表达式就是记录文本规则的代码。 http://tool.oschina.net/r…...

编程日记 2025/8/5 0:00:33

力扣刷题994. 腐烂的橘子

994. 腐烂的橘子 - 力扣（LeetCode） 使用bfs，先遍历所有的橘子，统计所有的橘子数量，然后把腐烂的橘子放入队列当中，然后进行bfs遍历，套用bfs的模版，但是每一次出队的橘子&#xff08…...

编程日记 2025/8/10 19:07:44

Kubernetes的Service详解

一、Service介绍 在 kubernetes 中， pod 是应用程序的载体，我们可以通过 pod 的 ip 来访问应用程序，但是 pod 的 ip 地址不是固定的，这也就意味着不方便直接采用pod 的 ip 对服务进行访问。 为了解决这个问题，kuberne…...

编程日记 2025/8/9 18:42:22

Linux目录理解

前言 最近在复习linux，发现有些目录总是忘记内容，发现有些还是得从原义和实际例子去理解会记忆深刻些。以下是个人的一些理解 Linux目录 常见的Linux下的目录如下： 1. 根目录 / (Root Directory) 英文含义：/ 是文件系统的根…...

编程日记 2025/8/8 7:31:09

vue中js简单创建一个事件中心/中间件/eventBus

vue中js简单创建一个事件中心/中间件/eventBus 目录结构如下： eventBus.js class eventBus {constructor() {this.events {};}// 监听事件on(event, callback) {if (!this.events[event]) {this.events[event] [];}this.events[event].push(callback);}// 发射…...

编程日记 2025/8/9 20:29:05

1~2 课程简介+ESP32-IDF环境搭建（虚拟机Linux环境下）

哔站“宸芯IOT”视频链接 一、课程内容介绍 1.什么是ESP32 ESP32是集成2.4GHz Wi-Fi和蓝牙双模的单芯片方案，具有超高的射频性能、稳定性、通用性和可靠性，以及超低的功耗，满足不同的功耗需求，适用于各种应用场景。ESP32是ESP8…...

编程日记 2025/8/5 1:16:11

Linux系统移植篇（十一）Linux 内核启动流程

要分析 Linux 启动流程，同样需要先编译一下 Linux 源码，因为有很多文件是需要编译才 会生成的。首先分析 Linux 内核的连接脚本文件 arch/arm/kernel/vmlinux.lds，通过链接脚本可以 找到 Linux 内核的第一行程序是从哪里执行的。vmlinux.lds …...

编程日记 2025/8/10 18:08:10

React19源码系列之Hooks(useId)

useId的介绍 https://zh-hans.react.dev/reference/react/useId useId 是 React 18 引入的一个新 Hook，主要用于生成全局唯一的 ID。在开发中，我们经常需要为元素（如表单元素、模态框等）生成唯一 ID，以便在 JavaScri…...

编程日记 2025/8/6 1:19:00

深度学习-149-langchain之如何不使用with_structured_output()从模型中返回结构化数据

文章目录 1 不使用with_structured_output()方法1.1 问题背景1.2 输出解析器1.3 远程deepseek大模型API2 基于提示词2.1 直接使用提示词2.2 少样本提示词3 直接提示和解析模型输出3.1 使用PydanticOutputParser3.1.1 构建解析器3.1.2 构建提示模板3.1.3 调用大模型3.1.4 调用链…...

编程日记 2025/8/7 12:06:54

SAP DOI EXCEL应用

【应用场景】采用DOI方式打开填充EXCEL数据 *&---------------------------------------------------------------------* *& 包含 ZFI1009R_TOP *&---------------------------------------------------------------------* TABLES:bkpf,bseg. D…...

编程日记 2025/8/6 4:58:35

RS485电路设计注意事项

（一）RS485的电平标准： RS485用缆线两端的电压差值来表示传递信号，逻辑“1”以两线间的电压差为2V~6V标识，逻辑“0”以两线间的电压差为-2V~-6V标识。由此可见，接口信号电平较低，不易损坏接口电路…...

编程日记 2025/8/10 19:56:10

Git 回退操作详解：带示例的“小白”指南

前言 在日常开发中，我们难免会遇到： 改错代码：推送之前才发现某些行根本就不该动提交错误：commit 信息打错、提交到错误分支想回到之前版本：测试时发现之前版本是好的，需要回去查看 这就需要用到 Git 的…...

编程日记 2025/8/10 22:52:08

PyQt5库 各种导入项的作用

from PyQt5.QtCore import QIODevice, QSharedMemory, pyqtSignal 这行代码是从 PyQt5 库中导入了几个类和信号，用于开发桌面应用程序。下面是每个导入项的详细解释： QIODevice: QIODevice 是 PyQt5 中的一个类，提供了对输入输出设备的抽象…...

编程日记 2025/8/7 8:59:55

Git下载安装（保姆教程）

目录 1、Git下载 2、Git安装（windows版） （1）启动安装程序 （2）阅读许可协议 （3）选择安装路径 （4）选择组件 （5）选择开始菜单文件夹…...

编程日记 2025/8/9 16:17:10