一、培训简介
当前企业数字化转型加速，内网数据泄露、Web应用漏洞（如SQL注入/XSS）、DDoS攻击中断业务、服务器被入侵等安全事件频发，不仅造成直接经济损失，还可能触发合规风险（如等保2.0、数据安全法）。本课程聚焦企业实战场景，以“理论+案例+手把手实验” 为核心，覆盖网络边界防护（防火墙/IDS/IPS）、内网安全（ARP/DDoS防御）、应用安全（SQL 注入/XSS攻防）、渗透测试全流程四大模块，拒绝“纯理论灌输”，全程结合制造业、互联网、金融等多行业真实安全案例，让学员掌握能直接落地的安全技术——从识别企业资产漏洞，到搭建防护体系，再到用专业工具（SQLmap/Nmap等）解决实际安全问题，帮助企业快速补齐安全能力短板，降低安全事件发生率。
二、培训目的
从“企业实际需求”出发，帮助学员实现 “技术掌握→实战落地→价值转化”，具体目标包括：
1.风险识别能力：精准识别企业网络边界（防火墙 / IDS/IPS）、内网（ARP/DDoS）、应用层（SQL 注入 / XSS）的核心安全威胁，理解不同威胁对业务的影响（如 DDoS 致服务下线、SQL 注入致用户数据泄露）；
2.防护体系搭建能力：掌握防火墙/IDS/IPS的企业级部署与配置逻辑，能结合业务场景制定防护策略（如内网服务器与互联网边界隔离、敏感业务流量深度检测），满足等保 2.0 基础防护要求；
3.渗透测试实战能力：遵循企业真实渗透测试流程（需求确认→资产收集→漏洞检测→利用验证→报告输出），独立完成中小型企业 Web 应用、服务器的渗透测试，输出可落地的漏洞修复建议；
4.工具实战应用能力：熟练运用 Nmap（资产探测）、SQLmap（SQL 注入检测）、Burp Suite（Web 请求分析）、AWVS（漏洞扫描）等工具，解决企业日常安全检测与漏洞验证需求；
5.安全落地意识：将安全技术融入企业日常工作（如运维时的系统加固、开发时的漏洞规避），能针对典型安全事件（如永恒之蓝勒索攻击）制定应急响应方案，降低企业安全事件损失。
培训对象
本课程针对企业中直接参与安全建设、运维及风险防控的核心角色，具体包括：
1.企业IT运维团队（负责服务器、网络设备运维，需掌握边界防护与系统加固）；
2.企业安全专员/安全工程师（需独立执行渗透测试、漏洞检测与应急响应）；
3.Web 开发团队（前端/后端开发，需理解SQL注入/ XSS等漏洞原理，从源头规避安全风险）；
4.企业技术管理者（IT经理/安全负责人，需掌握安全体系搭建逻辑，对齐业务与合规需求）；
5.企业合规与风险管理专员（需理解安全技术落地路径，支撑等保2.0、数据安全法等合规检查）。
|
培训 时间 |
培训主题 |
培训大纲 |
|
第一天上午 |
网络安全 |
一、企业网络安全现状与威胁拆解 1. 2023-2024 年企业安全事件复盘（如某电商防火墙配置不当致用户数据泄露、某制造企业边界无防护遭 ransomware 入侵） 2. 企业核心安全风险分类：边界突破、内网渗透、数据泄露、业务中断 二、网络安全三要素（企业落地视角） 1. 机密性：企业敏感数据（客户信息、财务数据）传输 / 存储加密方案 2. 完整性：企业服务器配置、Web 页面防篡改技术（如文件校验、CDN 防护） 3. 可用性：业务高峰期（如促销、发薪日）服务连续性保障要点 三、防火墙企业级应用 1. 防火墙核心原理（包过滤、状态检测、应用层代理）及企业选型建议（中小微选 UTM、大型企业选下一代防火墙 NGFW） 2. 防火墙部署场景：企业内网 - 互联网边界、内网分区（办公区 - 服务器区）隔离、异地分公司 VPN 接入 3. 企业防火墙安全加固指南： - 最小权限原则（如仅开放业务必需端口：80/443/3389 等） - 日志审计配置（满足等保 “日志留存 6 个月” 要求） - 异常流量拦截（如高频访问、陌生 IP 段请求） 四、行业案例与实战实验 1. 案例：某大型企业防火墙部署案例分析 2. 实验一：防火墙基本配置 3. 实验二：防火墙深度检测 |
|
第一天下午 |
网络安全 |
一、IDS/IPS 企业内网防护实战 1. IDS（检测）vs IPS（防御）区别：企业如何搭配部署（如边界用 IPS、内网核心节点用 IDS） 2. 网络流量分析：企业内网异常流量识别（如 ARP 欺骗流量、DDoS 攻击流量） 二、企业内网常见攻击与防御 1. ARP 欺骗攻击：危害（内网设备断网、数据被截获）+ 防御方案（静态 ARP 绑定、交换机 DAI 功能配置） 2. DOS/DDOS 攻击： - 常见场景（业务高峰期 TCP SYN Flood 致 Web 服务不可用、UDP Flood 致 DNS 瘫痪） - 企业防御方案（本地 IPS 抗 D+ 云抗 D 协同、带宽弹性扩容） 三、企业服务器系统安全加固 1. Windows 服务器加固（以 Windows Server 2019 为例）： - 账户安全（禁用默认管理员、开启复杂密码策略、登录失败锁定） - 服务优化（关闭无用服务如 Telnet、开启 Windows 防火墙） - 日志配置（开启安全日志、应用日志，对接企业日志平台） 2. Linux 服务器加固（以 CentOS 7 为例）： - SSH 安全（禁用 root 远程登录、修改默认端口、配置密钥登录） - 文件权限（关键目录如 /var/log、/etc/passwd 权限收紧） - 系统更新（定时更新安全补丁，避免永恒之蓝等漏洞利用） 四、实战实验 1. 实验一：ARP 欺骗攻击 2. 实验二：数据抓包分析 3. 实验三：系统安全加固 |
|
第二天上午 |
渗透测试 |
一、企业渗透测试基础认知 1. 黑客攻击流程（踩点→扫描→渗透→维持→清除）vs 企业渗透测试流程（需求确认→Scope 划定→信息收集→漏洞检测→利用验证→报告输出） 2. 渗透测试合规要点：企业需签署《渗透测试授权书》，避免法律风险 二、Web 应用安全基础 1. Web 应用原理（HTTP/HTTPS 协议、前后端交互逻辑） 2. 企业 Web 应用常见漏洞分布（登录页、查询页、文件上传页为高风险点） 3. 测试靶场搭建（基于 DVWA 搭建企业 Web 漏洞测试环境，模拟真实应用场景） 三、渗透测试核心环节实战 1. 信息收集（企业资产梳理）： - 工具：Nmap（端口扫描，识别企业服务器开放端口与服务版本）、portscan（批量探测企业域名对应 IP） - 目标：发现企业 “影子资产”（未备案的服务器、测试环境） 2. 中间人攻击： - 工具：Ettercap（模拟企业内网中间人攻击，截获 HTTP 明文数据） - 防御：企业内网 HTTPS 强制部署、证书校验配置 3. SQL 注入攻击（企业最高发漏洞之一）： - 原理：SQL注入对企业的危害（拖库、删库、权限提升） - 攻击流程：判断注入点→构造 payload→获取数据库信息→读取敏感数据 - 工具：SQLmap（Kali环境下自动化检测企业Web应用SQL注入漏洞，生成测试报告） 四、实战实验 1. 实验一：信息收集 2. 实验二：中间人攻击 3. 实验三：SQL注入攻击（手工） 4. 实验四：SQL注入攻击（用SQLmap自动） |
|
第二天下午 |
渗透测试 |
一、Web 漏洞扫描与利用工具实战 1. AWVS（Acunetix）： - 功能：批量扫描企业 Web 应用漏洞（SQL 注入、XSS、文件上传漏洞等） - 实战：配置 AWVS 扫描靶场应用，导出漏洞报告（含修复建议，符合企业交付标准） 2. Burp Suite： - 功能：拦截 Web 请求、修改参数、爆破登录密码、检测业务逻辑漏洞 - 实战：用 Burp Suite 拦截靶场文件上传请求，绕过前端验证上传恶意文件 二、XSS 攻击攻防（企业 Web 应用高频漏洞） 1. XSS 攻击原理与分类： - 存储型 XSS（如企业论坛、留言板，攻击代码长期存储）：危害（挂马、盗取 Cookie） - 反射型 XSS（如搜索页、跳转页，攻击代码临时生效）：危害（钓鱼链接诱导用户点击） 2. 企业 XSS 防御方案： - 前端：输入过滤（特殊字符转义） - 后端：输出编码、配置 CSP（内容安全策略） 三、MSF 测试平台与重大漏洞防御 1. MSF（Metasploit）平台基础：模块分类（漏洞利用模块、payload 模块） 2. 实战：永恒之蓝漏洞测试（模拟企业Windows服务器被永恒之蓝攻击，导致勒索病毒植入） 3. 防御方案：服务器安全补丁更新、关闭445端口、部署IDS/IPS拦截攻击流量 四、企业安全防御落地案例与总结 1. 案例：平台Web安全防护（SQL注入+XSS漏洞修复+AWVS定期扫描） 2. 案例：内网安全体系（IDS/IPS部署+ARP防御+服务器加固） 3. 课程总结：企业安全建设优先级（边界防护→内网加固→应用安全→定期渗透测试） 五、实战实验 1. 实验一：XSS 漏洞测试 2. 实验二：MSF - 永恒之蓝漏洞测试 |
汇款、微信转帐
汇款信息：
单位名称：北京市海淀区中科院计算所职业技能培训学校
开户行：工行海淀西区支行
账号：0200 0045 1920 0043 667
开户银行代码：1021 0000 0458
微信转账：
步骤一：打开微信，扫描二微码付款时，点击打开微信右下角里的“发现”，在列表界面有一个“扫一扫”选项，点击打开“扫一扫”（如下图）：
步骤二：点击打开“扫一扫”后，会出现一个扫描框，将中科院计算所培训中心二维码/条码放入框内，即可自动扫描，并显示支付信息，输入付款金额。
（中科院计算所培训中心二维码）
步骤三：点击 “添加付款备注”，填写付款人姓名和单位全称，所有信息核对无误后，点击“确认付款”，完成支付。
