攻击者的手法提升，如不扫描，不落地，污染日志等比较普及。 内网隐患47%，互联网隐患26%，生产网隐患19% 办公网隐患8%。

如果主机自身存在问题，那么前端层层部署的各类设备和措施就形同虚设，起不到应有的作用。在内网或者云上，很难找到一个类似“网关的位置”来部署设备,从而进行安全监测与防护。

在事前、事中、事后三个阶段，从风险点识别、反杀伤链、入侵处置、安全闭环三个维度来看待主机安全问题，通过主机EDR能力的增强，反哺SIEM或SOC平台，最终达到全网自动响应 已知威胁的能力 以及对 未知定向攻击的检测告警能力。

云+端架构

云眼采用云 + 端的云安全管理平台，为用户解决公有云、私有云和混合云环境中可能遇到的安全及管理问题；提供了包含安全体检、资产管理、漏洞风险管理、入侵威胁管理、安全监控、安全防护、合规基线、安全报表、安全告警等功能。

主机名、IPv4地址、MAC地址、操作系统、主板型号、主板版本、发行时间、内存大小、内存使用率、使用插槽、CPU、硬盘大小、硬盘使用率、网卡等信息。

端口号、对内/对外端口、协议、进程名、服务名等信息。

名称、版本号、安装路径、端口地址、协议类型、运行权限、配置文件和日志文件路径、启动参数等。支持的数据库包括：MySQL、Redis、Oracle、MongoDB、Memcache、Postgres、HBase、DB2、MSSQL等。

软件应用的名称、版本号、安装路径、服务状态、是否开机启动项、是否系统服务、定时任务等。

网站域名、网站标题、路径、运行状态、访问日志路径、错误日志路径、运行权限及用户、Web目录权限为“777”、Web服务以Root权限运行等。

Web容器名称、版本号、安装路径、启动用户等，支持的Web容器IIS、Apache、Nginx、Tomcat、Weblogic、JBoss、Wildfly、Jetty、WebSphere。

Web应用名称、版本号、服务类型、对应的站点域名、根目录、虚拟目录等。支持PHPMailer、wordpress、ThinkPHP、pan、BigTree、JPress、openwbs、jenkins、ZABBIX、Discuz!、ThinkCMF等。

Web应用框架名称、框架语言、版本、服务类型、根目录和应用路径等。支持的Web应用框架包含Java语言框架、PHP语言框架、Python语言框架。

采集环境变量名、变量的类型、变量值。

内核模块名称、内核模块的描述、主机上对应内核模块路径、版本以及内核大小、依赖的进程数和依赖的模块数量。

网络行为：目标IP，端口，时间。 文件行为：文件路径，操作，时间。 启动行为：进程启动时间，命令参数，父进程，用户及权限，模块信息。

添加或修改自动运行程序， 修改系统外壳程序， 修改应用程序初始化加载项， 新增服务， 禁止注册浏览器辅助对象。

采集方式：会话监控、微隔离， 采集内容：采集网络连接信息包含最后一次连接时间、本地IP和端口、远端连接IP和端口、服务、进程路径、PID、连接方向和连接建立次数。

CVE-2020-13933: Apache Shiro 权限绕过漏洞响应处置， 在2020年的hvv中其前序漏洞Apache Shiro Padding Oracle被广泛使用，造成了极大的影响。

2020年08月18日15:00 Apache Shiro框架0day漏洞披露

2020年08月18日15:48接收到漏洞通告，采用云网系统进行漏洞资产盘点。影响版本确认：涉及电子商务系统、涉及电子商城、移动应用平台，漏洞风险报告生成

2020年08月18日 18:30 通过云网系统，明确资产负责人、负责人邮箱、机房位置，推送漏洞整改通知

云眼部署后，我们发现了300多个账号的弱口令问题，利用平台进行了整改，很好的解决了服务器上的这类问题。 ——某航空类国有企业安全负责人

入侵威胁管理

展示及处理各类入侵事件及具有高度威胁的事件，支持识别并处置的入侵威胁事件包括：病毒木马、网页后门、反弹shell、异常账号、日志删除、异常登录、异常进程、系统命令校验等。

安全防护

提供强大的安全防护功能支持暴力破解防护、扫描防护、病毒防护、IP黑白名单、端口安全防护、访问控制、进程行为控制、反弹shell监控、远程登录防护、本地提权防护。

攻击队进入内网，我们启用了云眼IP黑白名单、进程白名单设置，有效切断和阻止了接近靶机环境。 ——某央企集团安全负责人

威胁捕获，快速进行全面风险识别，快速进行情报检查某企业，采用安全狗的产品后，通过他们内部自己的情报导入，发现了很多机器都中了挖矿病毒，成为矿工的服务器。目前支持包括样本hash、黑IP、C2域名的威胁捕获。 后续支持多源情报导入，包括内部情报、外部情报、入站情报、出站情报等不同运营角度的情报数据。

等保合规 提供官方等保基线模板，满足等保二级及等保三级要求；支持用户自定义基线模板；支持合规基线检查策略批量下发。

通过部署云眼，依托极强的适应性、扩展性、稳定性，支持各种虚拟化平台及虚拟机操作系统，同时可对物理服务器进行统一的安全管理。

通过在服务器部署云眼客户端，可实现全面的资产采集、漏洞风险管理及入侵威胁管理，同时具备隔离修复措施，协助用户及时定位已经失陷的主机，响应已知、未知威胁风险，避免内部大面积主机安全事件的爆发。

通过在业务系统服务器部署云眼客户端，开启安全防护策略以及完成基线合规性检测，全面满足在等保2.0标准中针对主机防病毒/补丁、漏洞管理、集中管控等安全控制点的合规要求，协助用户完成等级保护二、三级建设。