先查看ip，10.12.13.232模拟的外网ip，其他的模拟内网ip，服务里面搭建好的漏洞环境。
#第一个测试项目，web风险发现
新建，下发任务，点威胁检测，webshell，点扫描任务，点新建，
配置好之后直接执行。
#弱口令扫描，
网络分析-发现发现-账户扫描这块有弱口令扫描，然后新建下发任务和上面差不多。
口令复用扫描也差不多。
#软件漏洞扫描
分扫描和漏洞补丁检测，发现发现-软件漏洞-新建下发任务，
#控制台查杀
目的是否能发现病毒的样本。网络发现-病毒查杀-控制台查杀，然后差不多的流程不过他是重新扫描，
#虚拟补丁
开启虚拟补丁开关，发现发现，软件漏洞，找到一个漏洞，然后点影响机数，点进去之后就要开启主机的虚拟补丁了，
再去测试一下，失败之后，在虚拟补丁里面是会有一个告警，还可以信息查看，命中的虚拟补丁，
#本地查杀
先切换为本地查杀的模式，
相当于机器运行之后会进行一个自动的检测，
#端口白名单，禁止外围暴露i
这个测试目的，某些违规或者不必要的外围端口，比如数据库端口，不对外开放。
要自己开启禁止外网暴露。在微隔离-端口白名单，选择指定端口开启。
一建封堵，外内网都不允许访问。
#进程外联检测
测试外联行为，
#外联白名单-ip端口限制
指定此端口可以访问那些东西，添加百度白名单就可以访问百度，没添加的都不可以访问。
访问别的就会告警。
#应用白名单-非法应用管控
行为管理-应用白名单，自己新建策略管理，之后学习完就有信息展示出来
#防火墙规则-入方向，开启和阻止
测目目的确认能否组织入方向的流量。前提条件：管理中心-agent管理-功能设置-全局设置-防护开关，开启ip层流量过滤开关,dns解析监控开关，asp模型流量过滤开关。
防火墙-新建策略-规则列表，新建选择阻止入方向的流量。保存之后在点防火墙-服务器规则配置-选择服务器-应用策略好，选择那个新建的规则。就下发任务了，
触发规则就会告警。
#防火墙规则-出方向，开启和阻止
和上面一样，只是选择为出方向。
#防火墙规则-域名控制，禁止域名
前提条件：管理中心-agent管理-功能设置-全局设置-防护开关，开启ip层流量过滤开关,dns解析监控开关，asp模型流量过滤开关。
目的：能否阻止访问域名
#web中间件漏洞利用检测
常见java美中间件漏洞有 weblogic,反序列化、java反序列化等，这类漏洞椒图同的检测信息对java 类应用调用过程中针对内存堆找进行险制。检制用到组件执行系统命令和文件上传。
本地测试以weblogic反序列化漏洞为例进行测试。
目的：检测利用weblogic反序列化漏洞执行命令执行和webshell上传
在web应用部署rasp插件。
之后产生攻击就会有告警。
防护：agent管理-功能设置-应用防护-高级防护开关设置为开启，反序列化漏洞为防护状态。
在告警里面就显示已经被拦截。
#web应用框架漏洞利用检测
常见的框架漏洞有struts2反序列化漏洞，apache shiro反序列化漏洞，
这类漏洞的椒图检测原理是对java类应用调用过程中对内存堆进行检测，检测组件执行系统命令和文件上传。
对struts2反序列化漏洞进行测试，远程命令执行和webshell上传。
whoami
防御：开启struts2反序列化漏洞防护。
#任意文件上传漏洞检测
检测任意文件上传国家，
在web应用上部署好
防护：未知上传漏洞防护开启
#远程命令执行漏洞检测
检测远程命令执行，
防护：对应漏洞的防护开启
#虚拟补丁-web应用检测
基于waf，还一中保护waf包，目的就是不修改或升级软件下，监控攻击者利用
部署web插件
这个告警是基于waf的检测
防护：禁止使用php：//input，开启
#加密流量漏洞检测
目的：检测https加密协议发起的sql注入漏洞。条件：部署waf插件
#任意文件目录检测
目的：检测攻击者是否可以上传病毒样本，危险目录，webshell等等，对文件目录的权限控制，
防护，就在功能设置-用户防护-文件监控与防护，设置为防护模式。
#对外服务进程更改系统配置检测
目的：检测攻击者是否可以利用对外服务修改linux系统配置文件。
防护：功能设置-系统防护-操作系统加固开关设置开启，禁止对外访问进程更改系统配置文件，开启。
#对外服务进程添加定时任务检查
就是写一个计划任务，看能不能检测到，
防护，功能设置-系统防护-对外服务进程添加定时任务检查开启防护
#对外服务进程修改账户信息检测
#对外服务进程修改系统日志信息
都是用系统去检测，防护就是开启对应的防护项。
#webshell实时检测
基于文件创建的检测，基于文件浏览的检测，基于文件行为分析的检测，
测试是否会触发告警
防护，开启对应的防护模式
#端口扫描检测
目的是否可以检测到网络扫描工具
防护：功能设置-网络防护-方端口扫描，开启防护
#自动屏蔽扫描器
屏蔽awvs，xray等等，基于atp流量的扫描攻击，
威胁检测-恶意扫描-设置-屏蔽扫描器功能。
触发告警在威胁总览里面就会显示
防御就是开启防护模式
#暴力破解检测
是否能检测爆破攻击
防护，功能设置-入侵检测-暴力破解-开启自动封停。对ip拉黑。
#异常登录检测
威胁检测-异常登录-登录规则设置，上面就是一个规则。不是允许访问ip就会触发告警。
#反弹shell检测
检测反弹shell告警告警，
反弹shell都是默认开启的，
防护，威胁检测-反弹shell,，支持手段进行封停，封停后就杀掉进程，自动断开连接。
#本地提权检测
检测本地提权的行为
防护，威胁检测-本地提权信息，通过进程阻断地该行为进行阻断，。
#蜜罐诱捕检测
测试是否可以欺骗攻击者的恶意行为
功能设置-网络防护-微蜜罐，生成微蜜罐的功能，
#病毒实时检测
功能设置-系统防护-入侵检测-杀毒实时监控开关设置为开启，一般默认为开启
通过风险发现，病毒查杀，就可以显示出来
病毒实时防护的原理，打开发现发现-病毒查杀-设备管理，批量设置，自处理设置选择，会进行一个自动隔离。
#无文件攻击检测
仅使用Windows操作系统，
#rce利用检测
之前演示过
#oob的黑域名检测
目的：测试是否可以自动检测agent链接oob黑域名带外攻击（发现带外攻击行为，带外攻击能够使攻击者在没有任何回显或者表现的漏洞中，通过另一种方式来确认漏洞存在，如通过dns请求返回攻击数据）
agent就是通过dns数据源进行检测，从而进行黑域名的匹配。
把dnslog这些设置成一个黑域名，通过dns解析方式触发黑域名就会告警，
#代理隧道检测
检测一些代理隧道的脚本，二进制程序等等。
会进行告警
ss
