说实话网络安全这个领域最大的门槛从来不是技术而是不知道从哪里下手。我见过太多人一上来就想学渗透测试、研究漏洞利用结果连基本的流量方向都没搞清楚最后落个半懂不懂。这份笔记是我整理的基础知识第一弹目标很明确不管你是刚入行的运维、刚转安全的产品还是单纯想保护自己电脑和数据的朋友看完能建立一个清晰的安全知识框架知道什么东西在保护什么、攻击者大概有哪些套路、你日常该关注哪些配置。这一篇不追求炫技只把地基打牢。1. 安全的本质先搞清楚我们要保护什么很多人第一次接触网络安全脑子里全是黑客、病毒、攻击这些对抗性画面。但如果你去问一个做过五年以上的安全工程师他大概率会告诉你安全工作的日常不是在“攻击”而是在回答三个问题——什么东西不能让不该看到的人看到什么东西不能被别人偷偷改掉什么东西必须一直能用。这三个问题对应安全领域最经典的三元组机密性Confidentiality、完整性Integrity、可用性Availability合起来简称CIA。注意别跟中央情报局搞混这里是信息安全的铁三角。几乎所有安全事件最后都能归类到这三者中的某一项被破坏了。1.1 机密性访问控制是第一步机密性的核心是“只有授权的人能看”。这句话说起来轻巧做起来极其考验细节。比如一个内部系统登录密码设了但接口没有做权限校验直接拿别人的用户ID就能查到敏感数据这就是典型的机密性失效。再比如数据库备份文件放在了一个所有人可读的共享目录也算机密性失守。实际操作中保证机密性靠的是两层东西身份验证你是谁和访问控制你被允许看什么。前者常见手段是密码、验证码、证书后者靠权限模型比如RBAC基于角色的访问控制。提示很多小团队最容易忽略的是备份数据的加密。备份文件常常是最敏感的数据集合但存放环境往往最随意。至少要做到备份目录独立、权限收紧、重要备份加密存储。1.2 完整性防篡改比防查看更隐蔽完整性关心的是数据有没有被动过手脚。一个经典的例子银行转账金额如果在传输过程中被改成别的数字哪怕你传输是加密的只要接收端没有校验数据是否被篡改就会出大问题。完整性通常靠哈希校验来保证——发送前算一个哈希值接收后重新计算两个值不一致说明数据被动过。文件校验、数字签名、区块链的哈希链本质上都是在解决完整性问题。日常工作中最常见的应用是下载软件时官方提供的SHA256值安装包发布时的代码签名这些都是完整性的实际体现。我见过不少同行下载开源软件从来不看校验值这就是在给完整性漏洞留口子。1.3 可用性安全不能影响业务可用性指的是系统在需要的时候能用。这个目标最容易被安全措施反噬——比如密码策略设置得过于变态员工记不住每天都得重置或者干脆把密码贴在显示器上这种“安全”反而制造了更大的风险。更典型的可用性攻击是拒绝服务攻击DDoS攻击者通过大量请求打瘫服务器让正常用户无法访问。安全的三要素是相互制衡的。过度追求机密性会牺牲可用性过度追求易用又可能破坏机密性。优秀的方案往往是在三者之间找平衡点。比如银行网银的U盾体验很痛苦但安全性极高而一些资讯网站几乎完全公开对机密性要求极低重点全放在可用性上。注意做安全方案时不要只盯着攻击者还要考虑系统管理员和普通用户的操作成本。一个需要十步操作才能完成的安全流程最终一定被人绕过。2. 常见攻击手法你不需要会攻击但得看得懂套路防御者不一定要精通攻击技巧但必须能看懂攻击者的思路。这里我不展开讲渗透测试的技术细节而是把最常见的攻击类型和它们的防御方向梳理清楚让你遇到问题时知道自己在对抗什么。2.1 社会工程学与钓鱼人是最薄弱的环节先说一个可能不太中听的事实绝大多数系统被攻破不是技术漏洞多高级而是人先上当了。钓鱼邮件、假冒客服电话、伪造登录页这些都是社会工程学的经典手段。攻击者不直接撬锁而是骗你亲手把钥匙递过去。我处理过的一个案例特别典型某公司财务人员收到一封“老板”发来的邮件要求紧急转账一笔款项语气急促、拒绝电话确认财务就照着做了。后来发现是攻击者伪造了邮箱域名仅一个字母的差异——当时邮件系统的反钓鱼规则没覆盖这个变体。防御社会工程学几乎没有纯技术手段核心是流程和意识。大额转账要双人复核、电话确认邮件中的链接先看域名真实地址收到“紧急”“保密”这类话术时多长个心眼。安全培训不应该只是念念PPT要真的用仿真钓鱼邮件做测试我见过不少公司每年都搞培训结果内部钓鱼测试的点击率依然高达三成。2.2 密码攻击撞库、枚举与爆破密码仍然是目前最主要的身份认证手段所以针对密码的攻击花样非常多。撞库是用其他网站泄露的用户名密码组合来尝试当前系统——很多人所有平台用同一个密码就是给撞库送人头。暴力破解则是用字典或穷举所有可能的组合来尝试登录。还有一种叫密码喷洒特点是只试少量几个常见弱密码但针对大量账号去试专门绕过那些“锁定策略”。防御密码攻击不是一个单一动作而是一套组合。密码本身要足够复杂且唯一登录接口要有防暴力破解机制比如失败次数锁定、验证码、延迟响应更核心的是要支持多因素认证。看我前面的建议密码管理器是应对密码复用最实际的工具这个后面单独说。2.3 中间人攻击与流量嗅探中间人攻击MITM指的是攻击者插入到通信双方之间双方都以为自己在跟对方说话实际上所有数据都经过了攻击者。公共Wi-Fi是重灾区——攻击者在同一网络里抓包或者伪造一个同名热点用户连上去后所有明文流量都一览无余。防御中间人攻击最有效的手段是端到端加密通信。Web访问用HTTPS并且注意地址栏的证书状态Wi-Fi务必连接有WPA2或WPA3加密的自家网络公共场合不要连接无密码热点处理敏感事务用即时通讯工具时优先开启端到端加密的会话模式。2.4 恶意软件病毒、蠕虫与勒索软件恶意软件是覆盖面最广的攻击形式。病毒需要宿主文件传播蠕虫通过网络自我复制特洛伊木马伪装成正常软件潜伏勒索软件加密用户文件然后索要赎金。这几年勒索软件特别猖獗从小店到上市企业都有中招的案例。防御恶意软件有三大支柱。第一是端点防护也就是杀毒软件或EDR端点检测与响应工具第二是补丁管理很多勒索软件就是利用已知漏洞入侵的补丁一打就能堵上第三是备份策略真正的救命稻草是离线备份——勒索软件往往先破坏备份再加密数据所以备份必须与生产环境物理隔离并且定期做恢复演练。2.5 拒绝服务攻击让你的服务瘫痪DDoS攻击通过大量来自僵尸网络的请求或流量压垮目标服务器。这个攻击很难完全防御因为它看起来跟正常访问没什么区别只是量大到远超处理能力。常见缓解手段包括流量清洗服务、CDN吸收、负载均衡扩展、限流策略。这里得说句实在话对于普通个人或小企业自己跟DDoS死磕是不现实的要么花钱买高防服务要么把服务架构设计成可水平扩展的。如果你只是管理一个小网站把重点放在确保基础配置正确上别给攻击者留其他后门就好。3. 基础防御实践先从账号密码这些“小事”做起说完了攻击面来说具体怎么做。我强烈建议无论你是个人还是团队先从账号体系入手。因为攻击者第一优先目标是拿到合法凭据而不是辛辛苦苦去挖漏洞。你把账号这块管住了就已经挡住了大多数不费劲的攻击。3.1 密码策略别再强制90天改密码了这里得先纠正一个流传很广的误区。过去很多安全指南要求密码90天强制更换一次导致用户只能在一个基础密码上加个数字轮流改。这个策略现在已经被主流安全机构否定了——频繁改密码带来的密码疲劳反而促使人们用更容易记忆的模式比如Password1!、Password2!安全性不升反降。更合理的密码策略是密码要长建议至少12位以上每个重要账号密码唯一只在出现泄露事件时才考虑全量更换重点是启用多因素认证。这类策略说白了就是把“防被猜出来”变成“防被偷走”。3.2 多因素认证第二道门锁一定要上多因素认证MFA是目前性价比最高的单点安全投入。它的原理是认证因素从“你知道的”密码扩展到“你拥有的”手机令牌、安全密钥或“你是什么”生物特征。就算密码泄露了攻击者没有第二个因素照样进不去。我建议优先级排序是这样的重要账号邮箱、财务、云控制台必须开启MFA能用硬件安全密钥的用硬件密钥它是目前抗钓鱼能力最强的MFA方式其次是TOTP令牌应用短信验证码是最后的选择因为存在SIM卡劫持风险。很多人嫌麻烦不愿意开但真被攻破一次就后悔了。3.3 补丁管理堵住已知的漏洞按攻击者的视角看系统漏洞分为已知和未知两类。未知漏洞零日漏洞极其珍贵攻击者不会轻易浪费在普通人身上。所以对绝大多数人来说真正的威胁是那些已经公开了补丁、但还没被装上系统的已知漏洞。勒索软件的大规模传播经常就是靠发布几个月甚至更久的公开漏洞。个人用户做三件事开启操作系统自动更新浏览器保持自动更新第三方软件尤其是远程控制类、办公文档类软件的更新不要忽视。企业团队要做的是建立补丁管理台账根据资产重要程度确定补丁优先级最关键的互联网暴露系统要在补丁发布后的48小时内完成更新部署。实操心得我见过很多团队补丁测试流程拉得太长补丁发布一周还在“走流程”结果被攻击的速度远快过补丁部署的速度。补丁影响评估要做但要抓主要矛盾——先给暴露在公网的系统和存放核心数据的系统打内网非核心资产可以排后。4. 网络层面的安全配置把路修窄把门看严账号密码守的是应用层的入口网络层面则需要考虑通信链路的安全和网络边界的防护。这一块很多小团队容易忽略因为网络配置不像代码漏洞那样直观出事了你才知道有问题。4.1 防火墙规则少比多安全防火墙的基本功能是控制流量方向的。但很多人用起来完全没想过规则设计什么端口都开着什么IP都能访问防火墙就成了一道摆设。设计防火墙规则有两个黄金原则默认拒绝只放行确实必要的流量最小开放对外只暴露必须对外开放的服务端口。例如一个Web服务器对外就开80和443管理端口如SSH的22改成不对外或只允许指定IP访问。规则写好后要做审查定期删掉不必要的放行。我之前接手过一个项目运维图省事把数据库端口3306开放到了公网还用了弱密码。结果不出意外地被人扫到并拖库。这种教训太多了而且几乎都是同一个原因嫌麻烦不相信自己会成为目标。4.2 加密通信HTTPS已经不是选配现在的网站如果还在用明文HTTP等于是把自己脱光了放街上走。浏览器小锁图标已经是用户判断网站是否可信的基本标识。部署HTTPS没有那么难免费的证书签发机构可以申请到有效期为90天的证书配合自动续期工具基本零成本维护。在服务器上要做的配置包括强制HTTPS跳转防止用户访问HTTP明文页面配置合理的TLS版本禁用已不安全的旧版本协议关闭不安全的加密套件避免降级攻击。这些配置在很多Web服务器的配置文档里都有模板直接参考官方推荐即可。这里额外提醒一句企业内部系统经常不重视HTTPS觉得内网没人看得到。但内网威胁的真实性一点也不低——一个被感染的工作站、一个故意插到交换机上的侦听设备都能让内网明文流量泄露。所有系统都应当默认使用加密通信不区分内外网。4.3 网络分段与最小权限这个概念很多新手会觉得抽象。简单说大型网络如果不做分段所有设备在同一个大网段里攻击者一旦拿下一台机器横向移动去访问同网段内的其他机器就像在自己家串门一样顺畅。网络分段就是修墙把不同安全级别的设备隔开。最小权限原则则是给每个账号、每个服务只分配完成任务所需的最小权限。这个原则适用于方方面面数据库账号只给业务库的读写、不给整库管理运维账号只在需要时提权即使是系统管理员日常工作也不应该用管理员账户。5. 日志与日常巡检安全需要可观测性很多安全事件在发生后很长时间才被发现不是因为没有痕迹而是因为没人看日志。一个系统每天产生海量日志显然是不现实的但你需要知道哪些日志该重点看以及出现什么特征说明可能出事了。5.1 重点关注三类日志第一类是认证日志特别是登录成功、登录失败、账号锁定这类事件。频繁的失败登录记录往往预示有人在尝试爆破凌晨时段的成功登录则可能是账号失窃后的非法使用。第二类是应用日志Web服务器的访问日志和错误日志。关注异常请求模式比如大量相同用户代理、大量404、非法请求参数、上传了意想不到的文件类型。这些可能是扫描器、探测、攻击尝试的痕迹。第三类是系统日志包括服务启停、计划任务执行、系统重启等。攻击者执行恶意命令时往往会留下系统级痕迹比如创建了新的计划任务、安装了新服务、修改了系统启动项。5.2 简单的异常判断思路对于没有专业日志分析平台的小团队我建议每周花点时间做一次例行检查。具体动作包括看认证日志里的失败次数排行检查所有公网暴露服务的访问日志确认服务器有没有新增的计划任务和服务核对公网IP的连接数是不是有异常增长。这里有个实用的基准方法先建立正常基线。连续观察一两个星期的正常日志情况记录常见来源IP、访问次数、时间段分布之后出现的偏离基线的行为就值得警觉。很多异常不是一开始就明显的但几乎都会偏离日常模式。6. 新手常踩的坑与排查心得最后这部分算是我个人经验的传送门。这些年见过太多新人和小团队在基础安全上反复踩同一个坑整理成一张速查表加几条心得希望对你有直接帮助。6.1 常见误区速查表误区实际情况正确做法“我们小公司/个人不会被盯上”攻击往往是自动化的扫到弱密码就打不看目标大小按标准配置弱密码必须清理“防火墙开了就安全了”规则配置错误等于没开甚至更危险定期审计防火墙规则默认拒绝“密码长就没问题”密码复用和泄露才是最大风险配合密码管理器密码唯一化“杀毒软件装了就能防全部”恶意软件越来越会躲避静态查杀结合补丁更新、软件来源管控、行为监控“内网不需要加密”内网威胁同样普遍内外网统一加密策略“备份了就不怕勒索软件”备份若被攻击者一并删除或加密便白搭离线备份定期恢复演练“安全就是IT部门的事”社会工程学攻击对象是全员定期培训和仿真钓鱼测试6.2 几条压箱底的经验第一学习安全最好的方式是先把自己的环境当作靶场。不需要买昂贵的实验室设备在自己的电脑上装虚拟机搭建一个带Web服务的模拟环境按照基础加固清单逐项做一遍理解每个配置项的作用。做得多了很多概念自然就通了。第二遇到安全告警先别慌先确认时间线发生了什么、什么时间发生的、涉及的资产是什么、当前影响范围有多大。把时间线拉清楚再决定应急动作。很多人在告警发生时急着删日志、改密码反而破坏了取证线索。第三文档习惯能救命。无论你改了什么安全配置、因为什么原因改的都记录下来。等出了问题时你就有据可查。我调试一个故障时经常发现让系统变的脆弱的就是几周前一个“临时解决办法”留下来的改动而当时改配置的人已经不记得为什么改了。最后说个很多人不太适应的点网络安全工作做得好的标志往往是“風平浪静”。不会有惊心动魄的对抗不会有频繁的告警一切都在掌控之中。这种平静不代表你没在做安全工作恰恰说明基础打扎实了。这也是我为什么反复强调基础知识——把地基夯实后面学攻防、学取证、学合规才有地方安放。下一篇我打算整理网络协议层面的核心知识从TCP/IP握手到DNS解析里的安全隐患到时候聊。