孙绿1. 从零搭框架：网络安全入门先认清"攻防棋盘"
很多刚接触网络安全的朋友都有一种感觉：资料铺天盖地，教程遍地都是，可真的坐下来学又不知道从哪儿下手。工具装了一堆，术语记了一堆，遇到实际问题照样懵。我自己当年就是这样，先把各种扫描器玩了个遍，结果连"为什么要做这件事"都没想明白。
这篇笔记是系列第一篇，先把最基础的框架立起来。不谈太多高端技巧，也不追热点漏洞，就讲清楚三件事：我们到底在防什么、有哪些核心原则是绕不开的、哪些工具和命令值得花时间真正把玩。后面的笔记会在这个框架里逐步填充细节，比如系统加固、日志分析、应急响应这些更有针对性的主题。
换句话说，这一篇的目标不是让你立刻成为渗透高手，而是让你看完之后，遇到一个安全事件能够按图索骥地分析，拿到一个系统知道从哪些维度去检查，读完一篇安全报告不会再满眼都是陌生名词。适合刚入行的安全工程师、运维和开发人员，也适合对网络攻防纯粹好奇但不知道从哪里开始的爱好者。
1.1 五大常见威胁类型拆解
安全领域有个老生常谈的分类，把所有威胁归成几个大类。我不按学术定义念，就按实际工作中遇到的频次和杀伤力来说。
第一类是恶意软件。病毒、蠕虫、木马、勒索软件、间谍软件都算这一类。它们的区别可以这样记：病毒需要宿主文件，靠人来传播；蠕虫能自我复制，靠网络自动扩散；木马伪装成正常程序，骗取你运行；勒索软件直接把数据加密，然后跟你谈条件。近年来勒索软件是重灾区，尤其是针对企业的定向攻击，往往一套组合拳下来，备份也被删了，业务直接停摆。
第二类是钓鱼和社会工程。严格说这不是纯技术攻击，但杀伤力排在最前面。钓鱼是把自己伪装成可信方，诱导你点链接、输账号、下附件。社会工程更宽泛：冒充客服套你验证码、假装行政让你转发内部文件、在停车场丢一个带病毒U盘等你去捡。这类攻击最大的特点是绕过了大多数安全设备，因为它攻击的目标是人。
第三类是拒绝服务攻击，也就是DoS和DDoS。原理简单粗暴：把目标服务器的资源耗尽。DDoS是分布式的，成千上万台被控制的设备同时打流量，很难靠单机防护解决。这类攻击不一定是为了入侵，有时候就是单纯让你业务瘫痪，也可能是入侵前转移防守方注意力的掩护。
第四类是中间人攻击，缩写MITM。攻击者插入到通信链路中间，你以为是直连服务器，实际上流量先经过了攻击者。公共Wi-Fi是这个场景的重灾区。这类攻击的可怕之处在于，即使你访问的是正常网站，攻击者也能在中间改写内容、窃取数据。
第五类是身份盗用与撞库。由于大量网站在不同平台重复使用同一套账号密码，攻击者拿到一个平台的泄露数据后，会批量去撞其他平台。这也是为什么安全圈年年都在呼吁密码管理器，可直到今天，最常见的入侵原因依然是弱口令和复用口令。
1.2 攻击者分层：威胁从哪来
对攻击者的画像要有基本认知，因为不同层级的威胁决定了你要花多少精力去防御。
最常见的是"脚本小子"，他们大多没有深入的技术能力，靠现成的工具和教程，扫描到漏洞就用，攻不下来就换目标。对付这一类，做好基础加固基本就够了。
往上一层是黑产团队，有明确的经济动机。勒索、挖矿、偷数据变现、洗钱一条龙。他们会花时间研究目标，比如通过钓鱼拿下某个员工的邮箱，再从中寻找财务人员的账号线索。这类威胁需要认真对待，多因素认证、网络分段、日志监控都是有效的对抗手段。
再往上是高级持续性威胁，也就是APT。这类对手往往有国家背景或顶级组织支撑，手段极其刁钻，可能用一个从未公开的漏洞潜伏几年，专盯高价值目标。普通企业和个人遇到APT的概率极低，但了解这个概念有助于理解为什么某些行业的安全要求会严苛到"看似变态"的程度。
还有一类容易被忽略的是内部威胁——在职或离职员工。有恶意泄露数据的，也有单纯误操作把配置改坏的。安全防护如果只防外部不防内部，就好像只锁大门不锁窗户。
1.3 一个完整的入侵链案例
把上一节的内容串起来，看一条典型的攻击链路是怎么走的。
攻击者先发送一封鱼叉式钓鱼邮件，主题是"关于本月绩效调整的通知"，附件带一个看起来正常的Word文档。某个员工双击文档，提示启用宏，点击之后恶意宏在后台运行，下载了一个远程控制木马。木马建立一条加密通道回连到外部的服务器。
攻击者通过木马在内网横向移动，先抓取当前主机的口令缓存，破解出一个管理员账号，然后登录到文件服务器，接着在域控上导出所有账号的哈希。整个过程没有利用任何系统漏洞，就是靠着钓鱼+弱口令+缺少多因素认证和网络分段，一路畅通无阻地拿下了整个内网。
这个案例里，每一个环节都有对应的防御手段：邮件网关可以拦截附件，终端防护可以阻止宏执行，多因素认证可以让抓到的口令失效，网络分段可以阻断横向移动，日志和流量监控可以发现异常连接。安全不是靠某一个神器，而是靠层层设防，这也是后面要讲的纵深防御思想的来源。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 安全三原则：CIA与AAA为什么绕不开
安全领域有两个基础框架，入门者必须先吃透，因为后面所有具体的安全措施，本质上都是为了实现这两个框架里说的事情。一个是CIA三原则，另一个是AAA。
2.1 CIA：机密性、完整性、可用性
CIA是信息安全的基础目标。
机密性就是不该看的人绝对不能看到。管好机密性的手段主要是加密和访问控制。文件加密、磁盘加密、传输加密、数据库字段加密，都是围绕这个目标。访问控制的重点是权限最小化——给每个账号只赋予完成任务所需的最小权限。很多数据泄露不是被"攻破"的，而是因为某个销售账号能直接读全公司的客户资料，权限太大，泄漏只是时间问题。
完整性是保证数据没有被篡改。手段有哈希校验、数字签名、日志审计。比如你下载一个安装包，官网给出了SHA-256值，你本地算完发现对得上，就说明文件没有被调包。数据库、配置文件的完整性要靠权限和审计来兜底。
可用性则是要保证业务持续在线。DDoS防护、冗余部署、备份恢复、容量规划都属于这个范畴。有些公司过度关注机密性，把各种端口都封了，结果业务跑不起来，这其实是在破坏可用性。安全一定是在可用性之上的平衡。
网上常有一种调侃说CIA这三个字母也和情报机构撞名，但在安全领域，记住这个三维度框架，做任何安全评估都先想清楚：这个系统最重要的是保护哪个维度？机密？完整？还是可用？不同系统的答案完全不同。
2.2 AAA：认证、授权、审计
CIA说的是目标，AAA说的是实现手段。
Authentication是身份认证，确认"你是谁"。常见的有口令、验证码、生物特征、硬件密钥，以及多因素组合。很多看似高端的黑客技术，最后败给的就是一个不在服务器上的物理硬件密钥——攻击者能远程偷走密码，却没法隔空拿走你口袋里的钥匙。
Authorization是授权，确认"你能做什么"。这就是权限管控的范畴了，核心原则是最小权限，以及权限分离。权限分离的意思是，不要让同一个角色既负责审批又负责执行，比如能修改代码的人就不能同时发布上线。
Accounting是审计，记录"你做了什么"。没有日志的安全体系等于没有监控的银行金库。谁在什么时间从哪个IP登录了哪台设备、执行了什么命令、传输了什么文件，这些必须有记录。而且日志本身也要防篡改，常见的做法是实时同步到独立的日志服务器，并加上完整性校验。
落到实际操作层面，我在接手的系统里做基线检查时，第一个看的往往就是账号权限和日志配置。账号方面查有没有空密码、休眠账号、共用账号；日志方面看系统日志策略是否开启，流转到日志平台的通道是否畅通。很多公司被入侵后复盘，最尴尬的就是发现攻击者已经进进出出几个月了，日志却一个关键信息都没留下来。
3. 密码学速成：项目里真正用得上的几个概念
密码学听起来唬人，但实际工作中需要掌握的核心概念并不多。我梳理了一下，真正天天用的就这么几块：哈希算法、对称加密、非对称加密，以及证书体系。逐个过一遍，再给命令级的实操。
3.1 三种密码工具的定位：哈希、对称、非对称
先看哈希。哈希算法的作用是对数据生成一段固定长度的指纹，特点是不可逆，也就是无法从哈希值反推出原文。相同的数据在任何时间任何机器上算出的哈希值都一样，哪怕原来只改一个字节，哈希值也会发生巨大的变化。因为不可逆的特性，哈希不能用来存密码之外的任何加密需求。数据库里存密码的常见做法是加盐哈希——先把一段随机字符串拼在密码后面再算哈希，这样即便两个用户密码相同，哈希值也不一样，可以有效对抗彩虹表攻击。
再看对称加密。加解密用同一个密钥，典型的算法是AES。优点是性能非常好，适合加密大块数据。问题是密钥怎么安全地交给对方，这就引出了非对称加密。
非对称加密有公钥和私钥两把。公钥可以公开，私钥自己保管。用公钥加密的数据只能用私钥解密。这样想传输数据时，对方把他的公钥发给你，你用公钥加密，他用自己的私钥解密，密钥传递的问题就绕开了。缺点是性能慢，所以实践中通常是先用非对称加密协商出一个随机的"会话密钥"，后续数据流都用对称加密来加解密——HTTPS就是这么干的。
3.2 实操：用OpenSSL搞定密钥、哈希与证书查看
OpenSSL是Linux生态里最常用的密码学工具箱，这几个命令值得动手跑一遍。
生成RSA私钥：
bash复制openssl genpkey -algorithm RSA -out private.pem -aes256
这里-aes256参数是把私钥文件本身也用密码加密保护。如果不加这个参数，私钥就是明文存储，谁拿到文件谁就能直接使用你的身份，这是实际项目中经常被忽略的细节。
从私钥导出公钥：
bash复制openssl pkey -in private.pem -pubout -out public.pem
计算文件的SHA-256哈希：
bash复制sha256sum file.tar.gz
这条命令非常常用，官网下载软件后，验证一下哈希值是否一致，能确认文件在下载过程中有没有被篡改。
查看一个远程网站的证书信息：
bash复制openssl s_client -connect example.com:443
这个命令会输出证书的详细信息，比如签发机构、有效期、域名匹配情况。排查网站证书异常时，这条命令比浏览器里的提示信息详细得多。
3.3 证书信任链与HTTPS的实际工作方式
证书的本质是"谁来担保这个公钥确实属于这个网站"。假如你访问某个网站，它直接发来一把公钥，你无法确认这把公钥是不是被中间人替换过。证书的存在，就是由受信任的第三方机构——CA证书颁发机构——对公钥做背书。
CA用自己的私钥为一对"域名+公钥"签发证书。浏览器内置了受信任的CA公钥，收到网站证书后，就可以验证签名的真实性。如果证书是伪造的、域名不匹配、或者有效期已过，浏览器会给出明确警告。
这个信任链在项目里常见的坑有两个。第一个是内网自建CA，有些公司为了给内部系统启用HTTPS，自己搭了一套CA体系，但员工电脑没有把根证书加入信任列表，导致每次访问都报错，于是干脆关掉告警——这等于亲手废掉了HTTPS的保护意义。正确的做法是规规矩矩地把自建根证书分发给所有内网设备并加入信任库。第二个坑是证书到期，很多线上事故不是被攻击，而是证书凌晨过期导致客户端全线拒绝连接，所以证书有效期监控一定不能省，提前一个月做自动告警都不过分。
4. 网络层安全：抓包与扫描是基本功
网络层是安全事件的"第一现场"。无论是扫描攻击、蠕虫传播、数据窃密还是僵尸网络回连，流量层面总是会留下痕迹。这一节重点讲三个实操主题：端口扫描的识别与自检、抓包分析的关键点、以及防火墙策略设计的常见误区。
4.1 端口扫描原理与自我排查
端口扫描的核心逻辑很简单：每个服务都监听在一个端口上，扫描器挨个端口发探测包，根据回包判断这个端口是否开放、运行了什么服务。最常见的SYN扫描，是只发一个TCP握手的第一步SYN包。如果对方回SYN-ACK，说明端口是开放的；如果回RST，说明端口关闭。
搞清楚原理最大的价值在于识别攻击。如果你拿一台公网服务器，看到日志里短时间内有大量来自不同IP的扫描记录，基本可以确定是攻击者在踩点。这类事件虽然烦，但真正被攻破的概率不大，因为扫描只是侦察，攻击者还要进一步利用具体漏洞。排查思路是两步：先看有没有被扫出来的端口真的开放了，再看这些端口上运行的服务有没有对应的漏洞补丁。
自检的时候，本机扫描是最安全的练手方式，用nmap扫自己：
bash复制nmap -sS -p 1-1000 127.0.0.1
这能帮你看清自己这台机器对外暴露了哪些端口。很多系统被攻破，是因为运维根本不知道自己某台服务器上还跑着一个默认配置的数据库或者调试接口。定期自扫，尤其是公网IP段，算是成本最低的安全体检。
4.2 Wireshark抓包分析的关键技巧
Wireshark是流量分析的标配工具，虽然界面看起来复杂，实际日常排查用到的功能就几个。
第一个是过滤。抓包会产生海量数据，全靠肉眼翻不现实。最常用的过滤表达式是协议过滤和IP过滤：
text复制tcp.port == 8080
ip.addr == 192.168.1.100
http.request
排查恶意流量时，有个技巧是过滤"异常回连"。正常情况下，内网设备只和已知的DNS服务器、DNS解析后的外部IP通信。如果发现某台内网主机频繁向某个陌生IP发起加密外连，且端口号不常见，就要高度警惕是否存在木马回连。
第二个是识别扫描痕迹。Wireshark里如果看到短时间内大量源IP相同、目标IP相同的SYN包，而且没有后续的ACK，基本可以认定是SYN扫描。如果看到大量目标端口递增的探测包，也属于扫描特征。
第三个是提取文件。当确认某个流量会话传输了可疑文件时，Wireshark可以直接"导出HTTP对象"，把传输的文件保存到本地进行分析。这个操作在排查恶意软件下载链时非常实用。
4.3 防火墙策略设计的常见误区
防火墙策略人人会写，但写得好不好差别很大，常见误区有三个。
第一个误区是"默认放行、例外阻断"。很多人在配置防火墙时，图省事先写一条目all every，然后再一条条加阻断规则。这种做法等于把大门敞开了，安全设备变成了摆设。正确做法是默认拒绝，逐条放行明确需要的端口和IP段，宁可配置时麻烦一点，也不要给攻击者留后门。
第二个误区是策略顺序没有规划。防火墙规则是自上而下匹配的，如果宽松规则排在前面，后面的严格规则永远不会生效。某公司曾出现过这种情况：运维新增了一条"拒绝特定IP访问数据库"的规则，但排在这条规则之前还有一条"允许某网段访问数据库"的宽泛规则，匹配结果永远命中前面那条，新增规则形同虚设。
第三个误区是只出不进的单向思维。有些团队非常关注入站流量，却对出站流量不设防。事实上，数据窃密和内网横向渗透最终都要通过出站流量完成，出站方向至少要做端口和目的地址的管控，对访问目标不在白名单内的连接直接阻断。
5. 主机与账号安全：配置和习惯才是护城河
网络层的防护再严密，攻击者最终落脚的还是主机。主机加固这件事不复杂，但有几条底线一定要守住。
5.1 口令策略的演进与多因素认证
口令这个话题年年说年年栽。传统的策略是"强制复杂度"，要求密码必须包含大写字母、小写字母、数字、特殊符号，还要定期更换。这个策略有两个问题：一是人脑很难记住这种密码，于是就会把密码写在便利贴上，或者用一两个密码到处复用；二是频繁更换导致用户每换一次就在旧密码基础上加个数字，攻击者拿到一个密码基本能推演出后续所有密码。
所以这些年主流观点已经转向"长口令优先"。与其要求"Abc@12345"，不如鼓励用户设置"清晨一杯咖啡配松饼"这种句子型密码，长度够长、易记、难以暴力破解。复杂度不是重点，长度才是。
多因素认证则是加码的关键。口令只是"知悉"因素，验证码或认证器App是"持有"因素，人脸和指纹是"固有"因素。两个及以上因素组合，才能有效避免单一口令泄露后的连锁沦陷。在配置任何后台系统时，远程登录入口强制启用多因素认证，是我建议的第一个加固动作。需要特别提醒的是验证码短信不是完美的多因素方案，SIM卡劫持攻击可以让攻击者接管你的短信，因此现金足够的话，优先用认证器App或硬件安全钥匙。
5.2 补丁管理、日志审计与基线检查
补丁管理最核心的难点不是"有没有补丁"，而是"能不能及时打上"。漏洞公开到被利用，时间窗口短到以天甚至小时计算。为了压缩这个窗口，企业至少要做到：资产清单完整——你到底有哪些服务器、跑着什么软件版本，不知道范围就谈不上补丁；更新源可靠——软件源和补丁包一定是官方渠道，本地下线后分发；优先级明确——不是所有补丁都同样紧急，暴露在公网的系统优先，高危漏洞优先。
日志审计方面，Linux重点看/var/log下的认证日志、系统日志和应用日志，Windows则关注事件查看器里的登录事件和策略变更事件。出问题时先看有没有异常登录时间、异常登录来源、权限变更记录。日志太大时用命令行过滤关键词反而效率更高，比如用grep快速定位某个用户在某个时间段的操作历史。
基线检查则是把安全配置要求固化下来逐项核对。开源社区有现成的基线工具和标准，比如面向Linux、Windows、数据库、中间件的各种CIS基准。检查项包括但不限于：是否禁用了不必要服务、关键文件权限是否正确、是否设置了登录失败锁定、是否开启了审计策略。这种检查建议做成定期任务，每个月或者每个季度跑一遍，形成对比报告，比出了事再翻要靠谱得多。
6. 无线网络安全：家用和办公Wi-Fi的常见坑
无线网络是很多人最容易忽视的入口。别说普通家庭，不少小公司对路由器的安全配置也是放飞状态：默认管理员密码没改、Wi-Fi密码简单、固件几年没升级、还开着WPS。这一节把无线安全的关键点讲透。
6.1 WPA2与WPA3的认证差异
Wi-Fi加密协议经历了WEP、WPA、WPA2到WPA3的演变。WEP因为RC4算法固有的弱点，密钥可以被轻易破解，现在任何接入点设置里再看到WEP选项都应该直接排除。WPA2是目前最普及的协议，虽然理论上存在一些攻击方法，比如用于破解握手包的手段，但只要配合足够长且随机的口令，实际被破解的成本依然很高。
WPA3是新一代标准，最大的变化是引入了更安全的密钥交换方式，即使口令强度一般，也难以被离线暴力破解。另外WPA3对开启"管理帧保护"有更完整支持，可以减少伪造Wi-Fi接入点来断线攻击的可能。
选购路由器时，支持WPA3是重要加分项。手头只有WPA2设备也不必恐慌，口令设置成随机生成的长字符串，长度在12位以上，放弃用生日和手机号，暴力破解的时间成本就会急剧拉高。
6.2 家用路由器的安全配置清单
在网上搜索"路由器被黑"相关案例，你会发现绝大多数家用路由器的沦陷原因都不是高深漏洞，而是基础配置没做全。这里直接给一份可执行的清单。
第一，修改管理后台的默认账号密码。很多路由器出厂账号密码是admin/admin这种，登录后台就能查看和修改所有网络配置，这类设备基本等于裸奔。改成强密码是第一要务。
第二，禁用WPS。WPS功能本意是为了方便连接设备，却因为PIN码只有很短的有效位数，可以被快速穷举破解。这个功能带来的便利远远小于风险，直接关掉。
第三，启用更新的加密标准，禁用老的兼容模式。无线设置里加密方式选WPA2/WPA3，加密协议优先选AES而非TKIP。
第四，划访客网络。如果家里有智能家居、临时访客，不要让他们连主网络。现在主流路由器都支持访客网络功能，启用后默认与主网络隔离，即使某个IoT设备被攻破，也不会直接殃及你的电脑和手机。智能家居设备这点尤其值得注意，很多物联网设备的安全性一言难尽，和主力设备隔离是低成本的止损方案。
第五，定期更新固件。路由器的管理界面通常有检查更新入口，建议设置提醒按月检查一次。固件更新修复的是已知漏洞，不及时更新等于明知有后门还让它敞着。
第六，关闭不必要的远程管理功能。部分路由器支持从公网登录管理界面，如果业务不需要，直接关闭。一旦开放，你的路由器就暴露给了全网扫描器，弱口令和旧版本漏洞都会被轻易利用。
7. 人的因素：社会工程与个人防护习惯
最后想说一块很多技术型选手容易忽视的内容。大量安全事件的根因不在技术而在人。技术防护做得再严密，一封伪装得当的钓鱼邮件就能绕过全套设备。
7.1 社会工程攻击的常见套路
社会工程的核心是利用人的心理弱点，最常见的是制造紧迫感。接到一条消息"您的账户异常，请在10分钟内验证身份，否则将被冻结"，很多人一着急就忽略了逻辑漏洞。应对这种信息，原则只有一个：不给任何压力和时限的"官方来电联系"中发验证码、转资金。
鱼叉式钓鱼是更高级的变体，攻击者会针对你的身份定制内容。比如给财务人员发一封"催款函"，给IT管理员发一封"系统升级通知"，给HR发一份"简历附件"。这种邮件往往做工精良，甚至能冒充真实同事的邮箱地址。辨别方法是留意发件人的完整域名，而不是只看显示名称；对外部链接先悬停看真实URL；对任何需要输入账号密码的页面，手动输入官方域名访问再操作。
还有一类容易被忽略的套路是"USB降低投递"。攻击者把恶意程序藏在U盘中，丢在目标公司的停车场或前台。捡到的人出于好奇插入电脑运行，恶意程序随即启动。安全培训里最常强调的规矩是：不捡不插，陌生人的存储介质一律不用。
7.2 个人防护习惯清单
除了防社工，日常习惯直接影响账户安全等级，下面几条是我现在一直坚持的底线。
密码管理器必须用。真的不要再靠脑子记密码了，或者更糟，所有网站一个密码。密码管理器能一键生成高强度随机密码并加密存储，只要记住一个主密码即可。唯一的破绽是主密码本身，务必设置成足够长的句子，并开启多因素认证。
设备锁屏和磁盘加密。无论在公司还是在家，离开工位就锁屏。便携设备比如笔记本电脑，全盘加密是标配，防止丢失后硬盘被直接读取。
软件从官方来源获取。一个很简单的判断标准：任何来源不明的破解软件、注册机、激活工具，都是恶意程序的主要载体。安装软件前先搜索一下该软件的官方下载页面，确认域名无误。
为重要账号单独设置邮箱。很多核心服务的密码重置邮件都发送到绑定邮箱，一旦这个邮箱被攻破，攻击者就能顺藤摸瓜重置几乎所有账户。所以主邮箱的密码安全等级必须是最高的，多因素认证必须开启。
这个系列的第一篇就梳理到这里。我在实际做安全运维的过程中，最深的体会是：安全不是某个瞬间的完美配置，而是一连串平凡习惯的累积。下一篇笔记会挑一个具体的实操主题展开——比如Windows主机加固的完整操作清单，或者从日志里还原一次攻击过程的案例复盘。慢慢来，把基础打扎实，比囤积一堆花哨工具管用得多。