Author Archives: neohope
设计模式
WSL2中apt升级systemd时报错：无法锁定passwd文件
1、环境：
Windows10+WSL2+Ubuntu24
PS:另一台电脑Windows11+WSL2+Ubuntu24，不会报错
2、再现方式及错误信息
# apt-get upgrade Reading package lists... Done Building dependency tree... Done Reading state information... Done Calculating upgrade... Done ... ... Setting up systemd (255.4-1ubuntu8.8) ... Initializing machine ID from random generator. Failed to take /etc/passwd lock: Invalid argument dpkg: error processing package systemd (--configure): installed systemd package post-installation script subprocess returned error exit status 1 Errors were encountered while processing: systemd E: Sub-process /usr/bin/dpkg returned an error code (1)
3、错误发生原因
systemd升级的脚本，会调用systemd-sysusers，systemd-sysusers会尝试通过fcntl锁定文件，但WSL中fcntl实现效果与Linux中不同，导致脚本执行失败。
更进一步的解释：
Linux中文件锁是基于文件描述符的，子进程会自动继承该文件锁。
Windows中文件锁是基于进程的，子进程需要自行获取新的文件锁。
WSL中，实现方式，更接近与Windows，重复获取同一个文件的锁自然是失败的。
openat(AT_FDCWD, "/etc/.pwd.lock", O_WRONLY|O_CREAT|O_NOCTTY|O_NOFOLLOW|O_CLOEXEC, 0600) = 3
fcntl(3, F_OFD_SETLKW, {l_type=F_WRLCK, l_whence=SEEK_SET, l_start=0, l_len=0}) = -1 EINVAL (Invalid argument)
4、如何绕过该错误
# 原文在此：https://github.com/microsoft/WSL/issues/10397
# 切换到/bin
# 将systemd-sysusers修改为systemd-sysusers.org
# 将systemd-sysusers做成一个echo的符号链接（用于欺骗升级脚本，让其以为得到了正确的结果）
# 切换回之前的目录
cd /bin && mv -f systemd-sysusers{,.org} && ln -s echo systemd-sysusers && cd -
# 修复包依赖
apt --fix-broken install
# 继续升级
apt-get upgrade
记一次存储Inode数量引发的生产故障
前一段时间，突然收到了系统报警，某上传服务异常。
经过排查，上传服务正常，但存储无法正常写入，一直写入失败，表现为：
1、一块新盘，32T，已使用2T，可用30T，控制台和命令行操作结果一直
2、服务写入时，一直报“no space left on device”
3、没有收到任何存储报警
立刻找了云服务厂商的老师，解决了问题：
1、除了限制写入文件总量的大小、并发写入的速度，同时还限制了inode数量
2、上传服务，写入了大量小文件，耗尽了inode数量
3、上传服务，再次写入后，inode申请失败，导致写入失败
4、存储组的老师，紧急扩展了inode数量，解决了问题
经排查，云服务商反馈：
1、为了控制成本，我们之前买了一块较小的硬盘，然后进行了扩容
2、而存储的底层协议为FlexGroup
3、而FlexGroup的普通卷，在扩容的时候，只要超过了1T，默认的Inode数量就一直为21251126，不再提升
4、而我们的上传服务，一个小文件只有几百k，很快就把Inode数量耗尽了
5、对于Inode数量限制，云服务商没有提供任何监控
虽然FlexGroup的超大卷默认会提升Inode数量，但我们一开始购买的服务确是普通卷，然后进行扩容，扩容后仍是普通卷，就触发了Inode数量不会自动增加这个问题。
后续，我们做了两个约定：
1、尽量采购超大卷
2、如果要采购普通卷，同时提单，增加Inode数量
3、云服务商同步进行产品更新，后续产品迭代时，从根源上解决这个问题
PS：
最近发现，他们居然做了一个inode扩容的功能，默认是最小值，可以手工扩展，也能设置为自动扩展。
不知道是谁定的需求，默认选项不应该是自动扩展吗？
什么是APT攻击，如何防护APT攻击
一、什么是高级持续性威胁（APT）？
高级持续性威胁（Advanced Persistent Threat，APT），又叫高级长期威胁，是一种复杂的、持续的网络攻击，包含三个要素：高级、长期、威胁。高级是指执行APT攻击需要比传统攻击更高的定制程度和复杂程度，需要花费大量时间和资源来研究确定系统内部的漏洞；长期是为了达到特定目的，过程中“放长线”，持续监控目标，对目标保有长期的访问权；威胁强调的是人为参与策划的攻击，攻击目标是高价值的组织，攻击一旦得手，往往会给攻击目标造成巨大的经济损失或政治影响，乃至于毁灭性打击。
用一句话总结一下：不怕贼偷，就怕贼惦记，特别怕专业的贼长期惦记。
二、高级持续性威胁（APT）的攻击阶段
APT攻击者通常是一个组织，从瞄准目标到大功告成，要经历多个阶段，在安全领域这个过程叫做攻击链。每个厂家对于攻击链的步骤定义略有差异，但本质上相差不大。
阶段1、信息收集
攻击者选定目标后，首先要做的就是收集所有跟目标有关的情报信息。这些情报可能是目标的组织架构、办公地点、产品及服务、员工通信录、管理层邮箱地址、高层领导会议日程、门户网站目录结构、内部网络架构、已部署的网络安全设备、对外开放端口、企业员工使用的办公OS和邮件系统、公司web服务器的使用的系统和版本等等。
阶段2、外部渗透
2.1、信息收集完成后，就要考虑如何渗透到组织内部。从钓鱼邮件、web服务器还是U盘入手？如果是钓鱼邮件，利用哪种客户端软件的零日漏洞？如果是web服务器，目标用户最常去的网站有哪些？
2.2、渗透手段确定后，下一步则需要制作特定的恶意软件。通常，攻击者所在组织会有专门的一拨人从事零日漏洞的挖掘和利用，他们也会密切关注一些漏洞报告平台上的最新公告，利用这种公开或半公开披露的漏洞原理以及可能的POC代码来进一步制作自己的趁手武器，例如带有恶意代码的pdf文件或office文件。这种恶意代码被称作shellcode，往往短小精悍，采用代码混淆、加壳、加密等反侦测手段，并在投递之前用各种最新的防病毒软件检测一遍，以期在投递到目标网络之后尽可能不被发现。
2.3、恶意软件制作好，下一步是把它投递到目标网络内。常用的手法包括邮件的附件、网站（挂马）、U盘等。
a、对于钓鱼邮件攻击，黑客务必要精心构造一封足以乱真的邮件内容，邮件标题、邮件内容、附件的名称和类型，都要让收件者放松警惕，产生兴趣，最终打开邮件附件或邮件正文中的URL链接。例如2020 年结合疫情热点发送钓鱼邮件或制作诱饵文件，成为了全球高级持续性威胁的普遍趋势。
b、对于网站（挂马），要根据攻击目标的兴趣爱好，选择一个合适的网站下手，这个网站必须存在可被利用的零日漏洞，然后对网站展开渗透和攻击，攻破后放上一个能自动在后台进行下载的脚本，让访问该网页的目标用户在不知不觉中就把含有恶意软件下载到本地，同时利用浏览器漏洞来安装执行。
c、而使用U盘载体来投递恶意软件的攻击行为，一般需要近距离的接触。当攻击目标不在internet上，不连接外网时，是一种手段。
阶段3、命令控制
当目标用户使用含有漏洞的客户端程序或浏览器打开带有恶意代码的文件时，就会被恶意代码击中漏洞，下载并安装恶意软件，恶意软件通常是一个体积很小的远程控制工具，业内简称为RAT（即Remote Administration Tool，或Remote Access Trojan），用于与控制服务器建立C&C信道。恶意程序一般还会提升权限或添加管理员用户，把自己设置为开机启动，甚至在后台悄悄关闭或修改主机防火墙设置，以让自己尽可能不被发现。
阶段4、内部扩散
同一个组织机构内部的办公主机往往都是相同的系统、类似的应用软件环境，因此很大程度上具备相同的漏洞，攻陷一台内网主机后，恶意程序会横向扩散到子网内其他主机或纵向扩散到企业内部服务器。由于RAT具备键盘记录和屏幕录像功能，因此很容易获取用户的域密码、邮箱密码及各类服务器密码。
阶段5、数据泄露
聪明的黑客在攻击的每一步过程中都通过匿名网络、加密通信、清除痕迹等手段来自我保护，在机密信息外发的过程中，也会采用各种技术手段来避免被网络安全设备发现。一方面化整为零，将机密信息打散、加密或混淆，避免DLP设备通过关键字扫描发现泄密；另一方面会限制发送的速率，以尽量不超过各类安全设备的检测阈值。
三、高级持续性威胁（APT）的特点
1、攻击者组织严密：往往是一个组织发起的攻击，可能具有军事或政治目的，有时会与某个国家关联在一起，而且背后往往有强大的资金支持。
2、针对性强：攻击者不会盲目攻击，一般会很有针对性的选择一个攻击目标，该目标往往具有军事、政治、经济上的较高价值。
3、手段高超：APT攻击的恶意代码变种多且升级频繁，结合尚未发布的零日漏洞，使得基于特征匹配的传统检测防御技术很难有效检测出攻击。
4、隐蔽性强：APT攻击者具有较强的隐蔽能力，不会像DDoS攻击一样构造大量的报文去累垮目标服务器，基于流量的防御手段很难发挥作用；在整个过程中都会使用高级逃逸技术来刻意躲避安全设备的检查，在系统中并无明显异常，基于单点时间或短时间窗口的实时检测技术和会话频繁检测技术也难以成功检测出异常攻击。
5、持续时间长：攻击者一般都很有耐心，渗透过程和数据外泄阶段往往会持续数月乃至数年的时间。
四、高级持续性威胁（APT）的典型案例
1、Google Aurora极光攻击
2010年，Google Aurora极光攻击是由一个有组织的网络犯罪团伙精心策划的有针对性的网络攻击，攻击团队向Google发送了一条带有恶意连接的消息，当Google员工点击了这条恶意连接时，会自动向攻击者的C&C Server（Command and Control Server）发送一个指令，并下载远程控制木马到电脑上，成为“肉鸡”，再利用内网渗透、暴力破解等方式获取服务器的管理员权限，员工电脑被远程控制长达数月之久，其被窃取的资料数不胜数，造成不可估量的损失。
2、震网攻击
2010年，“震网”病毒成功攻击了YL国的西门子离心机的工控软件，仅仅2个月，通过提高离心机转速，报废离心机约1000台，导致该国H计划进度至少推迟两年。据报道，“震网”是由多个国家发起的针对YL国设施的定向网络攻击事件， 但一个编程错误使蠕虫扩散到了其它不支持的操作系统上，才导致其在2010年6月被白俄罗斯安全人员捕获。
“震网”利用了7个漏洞，其中4个是零日漏洞。由于攻击目标不在Internet上，不连接外网，初期“震网”是经由特工之手将U盘插入目标系统或网络的。“震网”还应用了非常多的隐身、伪装、欺骗手法，例如，它的漏洞利用程序瞄准的是系统内核级别，以此逃脱反病毒软件的扫描，实现“隐身”；它会仔细跟踪自身在计算机上占用的处理器资源情况，只有在确定震网所占用资源不会拖慢计算机速度时才会将其释放，以免被发现，它还盗用了两家公司的数字签名，数字签名是程序的合法证明，公司一般会对数字签名进行额外的安全防护。
3、SolarWinds供应链事件
2020年12月网络安全公司 FireEye披露其公司购置的网管软件厂商SolarWinds相关软件中存在后门，该后门通过HTTP与第三方服务器进行通信。SolarWinds对全球客户展开排查，经排查发现，多家大公司均被攻击者通过该软件作为入口而成功渗透。此外，多个政府机构也可能已经沦陷；世界500强企业中，也有超过9成受到影响；全球至少30万家大型政企机构受到影响。
4、国家授时中心攻击事件
2023年8月至2024年6月，漂亮国攻击势力，对国家授时中心进行了长期的APT攻击行为，攻击方式初步披露为：通过境外手机操作系统漏洞渗透员工手机，通过手机获取登录凭证，进一步攻击内网，对内网系统进行渗透。攻击中用到了大量的先进工具，长时间持续进行潜伏渗透，最后被破获。
五、如何应对高级持续性威胁（APT）？
1、建立多层防御体系：针对APT攻击的多阶段特点，需要建立多层防御体系，包括网络层、应用层和用户层等。
2、强化安全意识培训：加强对员工的网络安全意识培训，特别是针对钓鱼邮件等APT攻击手段。
3、定期更新和打补丁：定期对设施进行补丁、升级及安全测试，尽可能减少弱点。
4、实施多层次防御：采取多层次的安全措施，包括防火墙、入侵检测系统（IDS）和入侵防御系统（IPS）。
5、纵深防御策略：全面的纵深防御策略对于打击APT攻击至关重要，包括实施多层安全控制，例如强大的周边防御、网络分段、端点保护、入侵检测系统、数据加密等。
6、安全意识培训：提高员工的安全意识培训，尤其是针对Spear Phishing等APT攻击手段。
7、定期更新和及时打补丁：制定周密的补丁管理程序，确保所有软件和系统都保持最新状态，关闭潜在的安全漏洞。
8、分析出站流量：分析出站流量而不是仅仅关注入站流量对于检测和阻止APT攻击至关重要。
9、系统硬化：通过系统硬化、特权提升防护、角色管理以及使用标准化命令等技术可以帮助识别和遏制APT攻击。
10、外部监控：外部监控可以帮助发现隐藏在受损主机上的恶意活动。
参考地址：
什么是高级持续性威胁（APT）？
NEOHOPE大模型发展趋势预测2409
NEOHOPE大模型发展趋势预测2409
1、虽然ChatGPT-4o 和 OpenAI o1都有亮眼表现，但OpenAI仍未能突破瓶颈，GPT5发布遥遥无期
2、小模型化、移动化趋势越来越明显
3、多个领域模型能力组合，将逐步成为趋势
4、国内大模型厂商频频降价，将开始新一轮的清洗，部分厂商将陆续出局
5、开源大模型将会逐步侵占闭源模型市场
6、领域模型采用开源大模型将成为主流
7、逻辑推理能力有大幅加强，效率有待提升
8、美国对外大模型技术封锁会更加严格
一线厂商【主观】：
1、国外闭源：Claude、ChatGPT、Mistral、Gemini
2、国外开源：Llama3
3、国内闭源：月之暗面Kimi、质谱清言ChatGLM、秘塔搜索
4、国内开源：阿里通义千问
如何通俗解释可信纵深防御
一、可信防御
攻击者在何时何地通过何种攻击手法发起攻击是无法预测的，但是信息系统的运行状态可以基于网络流量、应用日志和系统进程等信息有效地分析刻画，因此在防御思路上需要将不确定的攻击威胁，通过已知的业务状态转换为有效的防御策略来应对威胁，有效规避风险事件的发生。
因此，在安全风险控制上，首先应遵循可信计算理念来建立可信根，再基于可信根构建信任链，进而基于基础设施层、应用层、网络层、移动端和终端层等各层建立可信策略控制点，最后形成可信防护策略，仅允许执行预期内信息系统运行所依赖的资源和行为，确保防护强度达到可信级。
二、纵深防御
纵深防御的理念来自战争学，该理念在信息安全领域得到了广泛的使用和推广。该理念即通过建立多层重叠的安全防护系统构成多道防线，使得即使某一防线失效也能被其他防线弥补，也即通过增加系统防御的层数或将各层之间的漏洞错开的方式防范差错发生。为了避免因单点防御措施失效导致风险事件的发生，须采用纵深防御理念进行可信防御体系的建设。
无论是网络层、应用层、容器主机层、基础设施层还是硬件可信芯片层，需要通过各层的可信管控能力实施数据内视和可信管控，最终建立可信纵深防御体系。每增加一层可信防御能力，所建设的防御体系的防御强度都会大幅增强，同时也意味着投入成本的增加。因此，我们应在威胁有效应对和业务的合规要求、安全成本投入、管控效率上取得最佳平衡，做到既能满足监管合规要求，又可以高效应对面临的高级和未知威胁，同时可以将可信纵深防御体系的建设成本和管控效率控制在合理范围，不会因为防御体系建设过重而带来过多成本、性能和效率的损耗。
三、可信纵深防御
可信纵深防御是一种新的安全防御体系架构, 结合了可信防御、纵深防御、零信任、安全平行切面等多种新技术理念，是主动免疫可信计算在实际业务场景的落地实践，可以做到只允许预期内的行为执行即主动免疫，而且能够实现对所有威胁路径的多层覆盖，大幅降低风险事件发生的概率。同时它还建立了完备的信任链，将信任关系逐级规约至硬件芯片可信根，保障防御体系自身的安全。建立的防御措施做到仅允许信息系统在安全可信的环境下运行预期内的资源和行为加载、执行，且确保内容均是经过安全评估为无风险的；同时根据业务面临的威胁状况，可信防御措施需要多层覆盖，最终形成可信纵深防御体系，有效地应对0Day攻击、社会工程学攻击、软硬件供应链攻击等高级和未知威胁。
可信纵深防御体系以可信根为支撑，以可信软件基为核心，以密码学方法为主要手段，通过度量、检测、证明以及管控等手段，构建贯穿硬件、固件、系统软件、应用软件和网络行为的完整信任链，为信息系统的运行提供安全可信的底座。可信防御措施进行多层覆盖，以大幅降低风险事件发生的概率。最终达成事前高效规避已知（含高级）和未知威胁的目标，兼顾业务效率与体验要求。
可信纵深防御体系整体架构包含四个关键部分：硬件可信芯片、可信策略控制点、信任链和可信管控中心，由安全防护部件形成的可信防护体系与由计算部件形成的计算体系形成双体系结构。其中可信管控中心又由可信策略管控系统、可信策略刻画系统、安全保障系统、稳定性保障系统四部分组成。在整体架构设计上以硬件可信芯片为信任根；以可信软件基为核心，它由基础设施层、应用层、网络层及移动端和终端层等各层构建的可信策略控制点组成；基于硬件可信芯片构建的信任链来保障可信策略控制点的安全可信；基于可信策略刻画系统及密码学技术生成的“免疫基因抗体”对信息系统的运行环境、资源加载和交互行为进行可信管控，有效识别“自己”和“非己”成分，破坏与排斥进入信息系统机体的有害物质，为信息系统加持“免疫能力”，保障信息系统和数字资产的安全性；安全保障和稳定性保障技术为整体可信纵深防御体系的落地提供支撑，防止在可信纵深防御体系建设中产生安全漏洞和稳定性风险事件，导致业务受损。
四、关键技术
可信计算：通过主动免疫的方法防御不可预测、不可控的攻击与威胁，基于不可篡改的硬件芯片作为可信根，主动逐层检查系统行为是否可信，建立理论可证完备的信任链。
安全平行切面技术：在业务系统中构建安全防御的平行空间，实现与业务解耦、透视、智能评估、精准管控，兼顾业务效率的同时，高效构建安全纵深防御体系。
零信任防御理念：从不信任，始终验证；不信任网络位置；最小化访问权限；记录和监控所有网络访问流量。
可信芯片：作为信任根，可信芯片负责验证硬件设备的启动参数和程序，确保硬件的安全性和完整性。
信任链构建：通过静态和动态的信任链校验机制，确保从硬件到软件各层级的信任关系。
远程证明：允许系统在远程环境中进行身份验证和状态确认，增强系统的可信赖性。
密钥安全保护：包括密钥的安全存储和使用，确保密钥不被非法获取或篡改。
五、实施可信纵深防御的方法包括
基于硬件可信芯片构建信任根：利用硬件可信芯片和密码学方法对物理机的启动参数和启动程序进行可信管控，确保硬件芯片、启动参数、系统OS等均是安全可信的。
基于安全切面构建可信策略控制点：在数字银行IT架构中分析、选型或设计可信策略控制点，实现对风险场景的数据内视和可信管控。
基于信任链保障可信防御产品或能力的安全可信：利用硬件可信芯片提供的可信存储和密码技术，构建完备的信任链，将信任机制由硬件可信芯片逐层传递至基础设施层、应用层和网络层等各个层面的可信策略控制点，保障可信策略控制点的安全性。
基于可信管控中心实施可信管控：可信管控中心负责可信策略的生成、配置下发、事件上报和行为审计等工作，同时为整个可信纵深防御体系的运行提供安全性和稳定性的保障能力。
参考：
《数字银行安全体系构建》
如何通俗解释安全平行切面
安全平行切面是一种将软件工程中的面向切面编程（AOP）思想应用于安全体系建设的技术体系，其核心目标是构建一个与业务逻辑正交融合的安全空间，使安全能力能够融入企业的技术基础设施中，并与业务代码解耦。
与传统安全方案比，安全平行切面既不像外挂式安全体系，安静旁观，隔靴搔痒；也不像内嵌式安全体系，入侵业务，绑腿走路。而是通过端—管—云各层次的切面，能够在不修改业务逻辑的情况下，将安全可信的管控能力动态部署到目标系统的执行空间内部，从而实现对系统内部数据的自由观测，精确阻断攻击和风险，并进行精细化的数据治理。
安全平行切面的应用场景非常广泛，包括数据保护、身份验证、访问控制和威胁检测等多个领域。通过在业务逻辑和流量关键环节中构建切点组合，可以更快速地发现潜在威胁并实现对异常访问的精准感知和快速阻断。
实施安全平行切面通常涉及以下步骤：
定义安全需求：明确需要通过安全平行切面实现的保护目标和安全需求。
设计切面和切点：根据安全需求，设计切面（Aspect）和切点（Pointcut），确定在业务流程的哪些环节需要插入安全措施。
开发切面逻辑：开发或配置切面逻辑（Advice），这包括定义安全策略、异常检测、访问控制、数据加密等安全功能。
集成和部署：将设计好的切面逻辑集成到业务系统中，并在实际环境中进行部署。
测试和验证：对集成了安全平行切面的系统进行测试，确保安全措施有效且不会影响业务系统的正常运行。
监控和维护：持续监控切面的性能和效果，根据安全威胁的变化进行必要的调整和维护。
培训和文化建设：对团队进行安全平行切面的培训，提高安全意识，建立安全文化。
安全平行切面的核心优势在于它能够提供精准的内视能力和高效的干预能力，使得安全措施更加精细化和动态化。同时，安全平行切面还支持多层级的安全布防，能够实现不同层级间的安全管控，并通过多层级安全切面的联动形成整体的防御体系，达到更好的安全治理、防护和对抗效果。
什么是RASP
Gartner在2012年引入了RASP（Runtime Application Self-Protection，运行时应用程序自我保护），这是一种在应用程序运行时提供安全保护的技术，通过嵌入到应用程序中，实时监控和阻止针对应用程序的攻击，使应用程序具备自我防护能力。其核心思想是将安全防护代码集成到应用程序本身中，实时采集应用的高风险行为，结合特征规则、上下文语义分析及第三方安全产品数据关联分析，实现对应用程序的实时检测和防御，通过实时监控和防御来保护应用程序免受各种网络攻击。
具体来说，RASP通过以下几种方式实现自我保护：
1、动态代码注入：RASP通过动态代码注入技术，将自身防御逻辑注入到底层API中，从而实现无须人工干预、无感知的高精准检测和防御外部攻击。
2、API钩子：通过监控应用程序调用的API函数，实现对应用程序行为的监控。
3、上下文感知：RASP能够获取应用运行时的上下文信息，包括代码、框架配置、应用服务器配置、库和框架、运行时数据流、后端连接等，从而提供更精准的威胁检测。
4、安全策略配置：管理员可以通过配置安全策略来适应不同的应用程序需求和威胁模式，定义哪些行为是允许的，哪些是禁止的。
5、规则匹配与行为基线：RASP利用规则匹配、词法分析、行为及运行堆栈检测等方法，识别潜在的安全漏洞并防止攻击。这些功能有助于识别未知漏洞并给出详细的漏洞详情，极大降低误报率。
6、自定义逻辑检查：不依赖请求特征检测攻击，而是在应用执行关键操作时，执行一段自定义的逻辑检查是否存在异常，以应对未知漏洞。
7、实时监测和阻断：RASP在应用程序运行时检测到恶意行为，并立即进行阻止，有效防止了恶意代码的执行。
相较于传统的Web应用安全产品，RASP从海量的攻击中排除掉大量无效攻击，聚焦发现真实的已知和未知安全威胁。
实施RASP时，可以采取以下步骤：
1、明确应用的安全需求和目标：包括识别关键的安全风险点、确定需要防护的攻击类型以及定义安全策略。
2、根据应用的技术栈和具体需求，选择适合的RASP工具。例如，Java应用可以选择OpenRASP等开源框架，或者使用商业解决方案如AWS WAF等。
2、集成RASP探针：在应用中集成RASP探针，这些探针会在应用运行时插入到业务代码中，监控其行为并进行实时检测。探针可以部署在主机或容器环境中，无需修改原有代码。
3、配置RASP规则：定义一套安全规则来指导RASP如何工作。这些规则包括允许和禁止的行为模式，并根据不同的应用场景进行调整。管理员可以通过图形界面或API配置这些规则。
4、测试：在生产环境部署RASP之前，进行彻底的测试，以确保它不会对应用程序的性能产生负面影响，并且能够有效地检测和阻止攻击。
5、部署：将RASP部署到生产环境中，并确保其与应用程序一同启动。
6、培训和维护：对开发和运维团队进行RASP相关的培训，并定期更新RASP规则和签名，以应对新的安全威胁。
7、监控和调整：部署RASP后，需要监控其性能和产生的安全警报，并根据监控结果调整RASP规则，以减少误报和提升防护效果。
8、定期评估：评估RASP性能和效果，根据新的安全威胁和漏洞进行更新和优化。同时，结合IAST（交互式应用程序安全测试）和DAST（静态应用程序安全测试）等工具，进一步提高防护能力。
9、应急机制：建立有效的应急响应机制，以便在发生安全事件时迅速采取措施。同时，合理管理和记录日志信息，便于事后分析和审计。
默认安全体系
默认安全体系（Default Security）是指在系统、网络或应用程序的设计和实施过程中，将安全措施作为标准配置和操作的一部分，以确保即使在未明确配置安全设置的情况下，也能提供一定级别的保护。默认安全使安全性成为组织文化的一部分，减少对用户或管理员进行复杂安全配置的依赖，从而提高整体的安全性和抵御威胁的能力。
默认安全的最终目标是：规避已知安全风险，存量风险治理逐步完成，同时新增业务默认经过安全评估和安全措施覆盖。类似于针对已知疾病的疫苗与抗体，对于已知类型风险，系统应达到投产即安全的状态。
默认安全体系的重要组成部分有：
1、安全默认配置：
确保所有系统、设备和应用程序在初始安装和设置时都具有安全的默认配置，如禁用不必要的服务、关闭未加密的远程访问等。
2、加密和数据保护：
在默认情况下启用数据加密，包括传输中的数据和静态数据，以及敏感信息的加密存储。
3、安全开发生命周期（SDL）：
将安全实践集成到软件开发生命周期的每个阶段，确保安全缺陷在早期被发现和修复。
4、安全测试和验证：
对所有系统和应用程序进行定期的安全测试，包括静态和动态代码分析、渗透测试等。
5、访问控制和认证：
实施强大的身份验证机制，如多因素认证，并在默认情况下启用访问控制。
6、最小权限原则：
按照最小权限原则为用户和应用程序分配权限，确保它们仅拥有完成其功能所必需的访问权限。
7、安全审计和监控：
启用日志记录和监控，以便在默认情况下跟踪和审计所有关键操作和事件。
8、安全补丁和更新：
确保系统和应用程序在默认情况下自动接收和应用安全补丁和更新。
9、用户安全意识教育：
教育用户了解默认安全措施的重要性，并鼓励他们采取安全意识行动。
10、应急响应计划：
制定应急响应计划，以便在安全事件发生时迅速采取行动。
11、合规性和政策制定：
确保默认安全措施符合相关的法律、法规和行业标准。
12、技术架构设计：
在设计阶段就考虑安全性，采用安全的网络架构和系统设计原则。