专栏《计算机网络基础》对应总览第六篇 网络安全本篇角色开篇地图——把后面四章要用的语言、场景和「当下现状」一次铺齐读完你能用 CIA / 暴露面 / 信任边界解释一个真实系统分清「不通、被拒绝、连错人」向非安全同事讲清「为什么只开 HTTPS 不够」导读锁装上了门却还开着值班群里最常见的两种自信往往隔一周就会打脸一次。一种是开发说「接口全上 HTTPS 了安全没问题。」另一种是运维说「前面有防火墙 / 安全组端口都控着。」然后事故单来了管理后台的8443对0.0.0.0/0放了一个月源站 IP 被扫到流量根本不经 WAF证书续期脚本挂了三天全公司 App 弹红锁或者更窝囊——VPN 账号离职没关人已经不在编制里隧道还在。前五篇把「包怎么走」讲清楚了。第六篇换一个问题包能走不等于该走路上加密了不等于对方有权进来。网络安全在工程里很少是「买一个盒子」或「勾一个强制 HTTPS」。它是一组叠在 TCP/IP 上面的判断谁可信、谁可达、谁被证明是谁、出事怎么证伪。一、概念先把几组容易混的词拆开1.1 CIA三件事经常被「上了加密」糊成一件教科书喜欢把信息安全收成三个字母||含义|网络侧一眼能懂的例子|| — | — | — ||C 机密性|不该看的人看不懂|明文 HTTP、未加密的管理协议||I 完整性|路上不被偷偷改|中间人改包、缓存被污染后的「假页面」||A 可用性|该用的时候用得上|链路打满、服务被灌、误封自己人|TLS 主要扛的是 C 和一部分 I外加「你连的是不是你以为的那台服务器」。它几乎不解决端口该不该对公网开、账号该不该还能连 VPN、源站能不能被绕过——那些是可达性与授权的问题。现场沟通时尽量逼对方说清楚「你说的安全到底是怕泄密、怕被改还是怕挂」三件事的对策差很远。1.2 AAA认证、授权、记账网络设备教材里的 AAA放到今天的业务里仍然好用认证Authentication你是谁Wi‑Fi 密码、802.1X、证书、Token。授权Authorization你能做什么安全组放行了哪个端口、网关允不允许调管理接口。记账 / 审计Accounting做过什么谁在什么时间从哪个源 IP 连向哪。很多人把认证做成了授权随手一宽审计没有。出事以后只剩下「可能是内鬼也可能是扫描」——因为日志回答不了问题。1.3 威胁、脆弱性、风险别把扫描报告当判决书威胁可能造成损害的来源或事件误配置、凭据泄漏、自动化扫描撞上开放端口……。脆弱性系统里可被利用的弱点过宽的入站规则、未打补丁的管理面、弱 PSK。风险大致是「会发生的可能性 × 影响」——同样是开放22跳板机和数据库的影响不是一个量级。威胁模型不是写给审计看的长文是开工前三分钟能画完的草图1. 资产什么丢了/挂了会疼用户数据、密钥、主站可用性、管理面 2. 对手与能力脚本小子扫端口内网横向供应链 3. 入口公网端口、VPN、Wi‑Fi、供应商跳板、CI 出口 4. 最坏情况一句话写出来 5. 已有控制现在靠什么挡着哪一道坏了会全穿写不出第 5 条说明你只有「感觉安全」没有纵深。1.4 攻击面、暴露面、信任边界攻击面偏设计语言协议、接口、信任假设一共有多少可被触碰的点。暴露面更偏运维口语此刻从不可信网络上究竟能摸到哪些 IP:端口、哪些 URL、哪些管理入口。两者相关但不等于。代码里开了调试接口安全组没放行暴露面暂时为 dual反过来业务没这个功能误把3306放到0.0.0.0/0暴露面瞬间变大。信任边界是那条线线内你默认少检查线外你默认多怀疑。家用路由器 LAN 口内侧很多人默认「家里人都可信」公司财务 VLAN不该默认「能 ping 通就可信」。零信任后面会反复敲这句话网络位置 ≠ 身份可靠。1.5 纵深防御不是堆产品是「坏一道还有下一道」纵深不是采购清单上的勾选数量。有效的纵深长这样接入认证 ──► 网段隔离 ──► 主机/安全组收敛 │ ▼ TLS 与证书校验 ──► 网关鉴权 ──► 业务授权 │ ▼ 日志能回溯 ──► 能快速切断单点很强、其它为零现场照样穿。经典组合拳是HTTPS 配得很漂亮源站 IP 暴露在公网边缘上的 WAF 形同虚设。1.6 共享责任云厂商的「安全」停在哪上云以后最容易吵架的一句话是「这不是你们平台的问题吗」粗线条可以记|大致由云厂商侧重|大致由你侧重|| — | — ||物理机房、宿主机hypervisor 基线、管控面可用性|安全组/NACL、OS 与应用补丁、密钥与证书||部分托管服务的底层加固|谁能调 API、数据分类、备份与恢复演练||合规证明里「平台侧」那一段|「租户侧」配置是否过宽、日志是否打开|同一朵云RDS 对公网打开、密钥写进镜像责任一定落在租户配置上。后面讲安全组、讲监测时还会回到这张表。1.7 六种「坏法」直觉标签网络侧对照不必背完整威胁分类学。值班沟通时用下面六种标签把现象钉住就够|标签|网络侧样子|常见错觉|| — | — | — ||假装|假门户、假 Wi‑Fi 名、假证书环境|「有锁就是正主」||篡改|DNS 指错、缓存脏了、中间人改内容|「HTTPS 开了就不可能被改」——要看证书是否校验通过||抵赖|出事找不到是谁改的安全组|「我们有墙」≠「我们有审计」||泄露|明文协议、日志打出 Token、对象存储桶公开|只盯外网端口忘了仓库与前端包||拒绝服务|链路打满、连接表打满、误封自己|当成纯性能问题不做暴露面收敛||未授权可达|管理口对公网、扁平内网横向|「反正有密码」|一次事故往往叠两种以上。证书过期是可用性同时有人趁乱把流量导到错误入口就变成假装/篡改。归类是为了选工具不是为了写报告好看。1.8 控制与「残余风险」加固做完风险不会归零只会变成你愿意接受的残余。写进变更单的一句话很有用我们接受公网 443 对全世界开放业务需要我们不接受数据库端口对全世界开放。没有「接受/不接受」的边界安全讨论会永远停在「能不能再买个盒子」。二、场景同一套语言三种现场第六篇后面会反复回到三条线。这里先对齐「资产 / 暴露面 / 典型误配」。2.1 家庭与小团队||内容|| — | — ||资产|家人隐私、摄像头画面、NAS、路由器管理口、偶尔的小服务||常见暴露面|WAN 端口转发、UPnP 自动开洞、弱 Wi‑Fi 密码、云摄像头厂商账号||典型误配|为了「外网看监控」把设备直接打到公网访客与主网不分路由器管理口偶发对 WAN 开放||已有控制理想|强 PSK 或更好、访客 SSID、关闭不必要 UPnP、管理仅 LAN|这个场景的专业难度不高但事故密度不低——因为决策快、文档少、设备杂。2.2 办公园区||内容|| — | — ||资产|终端、文件服务器、域控/身份源、内网 OA、研发环境、打印与 IoT||常见暴露面|访客 Wi‑Fi、会议室临时密码、出口防火墙策略、VPN 门户、供应商驻场电脑||典型误配|办公与产线/IoT 平铺一大二层离职账号残留「临时放行」永久化||已有控制理想|802.1X 或等效接入、访客隔离、出口默认拒绝例外、VPN 分权、分段|办公网的心理陷阱是「都插在公司交换机上了还能有事」——能。横向移动吃的就是这口默认信任。2.3 公有云与混合云上的对外业务||内容|| — | — ||资产|用户数据、API、源站、私钥与 Token、数据库、CI/CD 密钥||常见暴露面|公网负载均衡、安全组入站、源站真实 IP、管理端口、对象存储桶策略||典型误配|0.0.0.0/0 数据库或 Redis源站可直连绕过 WAF证书自动续期失败无人看||已有控制理想|最小安全组、仅经网关、TLS、鉴权、藏源站、证书监控、审计日志|云上事故的传播速度比机房快一条错误的安全组规则改完就是「全世界可达」不用等变更窗口。2.4 一张对照后面四章都挂在这上面家庭 办公 云业务 接入 Wi‑Fi PSK 802.1X/访客 跳板/堡垒 边界 光猫/路由转发 出口墙/ACL 安全组/NACL 信道 偶尔 HTTPS 办公 HTTPS/VPN 几乎默认 TLS 入口 几乎没有 反向代理/门户 CDN/WAF/网关 身份 路由器密码 域账号/VPN IAM/Token/mTLS你读 06-0205 时不妨把自己的系统钉在其中一列缺的格子用红笔圈。2.5 完整走一遍假想的「订单 API」威胁模型假设你维护对外订单查询 API十分钟草图可以长这样来源 - 互联网用户 / App - 合作方回调 - 自家运维VPN / 堡垒 - 自动化扫描不请自来 入口 - dns → cdn → lb → api-gateway → svc - 源站弹性公网 IP若仍挂着 - 管理域名 admin.api.example.com 资产 - 订单与用户 PII - 服务账号 Token / DB 账号 - 可用性大促 最坏 - 订单数据被拖或大促当天证书挂、收银台全红 已有控制举例 - 边缘 TLS WAF网关鉴权DB 无公网 缺口举例 - 源站 IP 是否可直连从未验证 - admin 与业务共证书、共入口 - 证书告警打进已归档的邮件组把「缺口」三条提成下周工单比再读三本安全书有效。后面 06-03/04/05 几乎都是在堵这类缺口。2.6 混合云与「人在外、数在内」还有第四种常见现场值得单独点名办公终端在公网核心数据在机房或专有云。此时信任边界被拉成一条隧道。隧道本身要认证隧道内侧仍要分段终端丢失等于钥匙丢失——磁盘加密与远程擦除开始变成网络策略的前置条件。细节回链 04-07 与本篇 06-03、06-05这里先承认远程办公不是例外是默认拓扑之一。三、现状今天的战场长什么样写安全文最怕停留在 2012 年的口吻。下面几条是写本篇时需要对齐的「当下」不是新闻汇总。3.1 加密从「加分项」变成「及格线」浏览器、移动 OS、企业代理对明文、过期证书、主机名不匹配都越来越不客气。用户侧的体感是红锁、打不开、提示不安全。工程侧的含义是证书生命周期必须进监控不能靠人肉记得「还有三十天」。TLS 普及不等于安全完成。它只是把「窃听网页」的门槛抬高了把「扫到开放管理口」的门槛并没有抬高。3.2 「内网」不再自动等于安全人在家、在高铁、在客户现场应用跑在别的可用区协作方要临时账号。信任边界如果还画在「公司出口防火墙内侧那一圈」图纸已经和现实错位。这不是让你立刻上全套零信任产品而是提醒策略评审时少说「在内网所以没事」多问「身份和权限是什么」。3.3 控制面变得很快误配也变得很快安全组、云 WAF、CDN 回源、证书签发很多是 API 驱动。好处是可重复、可审计坏处是一条错误terraform apply可以比过去周变更会更快地把数据库打到公网。因此「现状」里有一半是文化问题变更要可回滚、过宽规则要有到期时间、生产放行要留痕迹。3.4 攻击侧工业化防守侧要会收暴露面自动化扫描、撞库、勒索团伙的渗透路径对专栏读者最有用的结论只有几句公网暴露面会被不断摸备份与分段决定勒索场景下你能不能重建管理面和数据面混在一起时损失半径最大。本专栏不讨论对方怎么打只讨论你怎么把洞收小、把日志留全、把恢复练过。3.5 合规把「说不清」本身变成风险客户尽调、等保、行业监管常见第一问不是算法多强而是系统边界在哪访问关系是什么谁能碰生产数据答不上来哪怕暂时没出事项目也过不了。第六篇的清单思维有一半是为这个服务的。3.6 供应关系里的网络口子现在很少有系统「完全自研、完全自托管」。支付回调、短信网关、日志 SaaS、CDN、身份 IdP都会在你的防火墙上留下允许规则或在你的 DNS 里留下委派。现状含义供应商 IP 段变更你的白名单要跟着变否则业务挂或临时改成0.0.0.0/0供应商被攻破时你的回调入口是否仍校验签名、是否限流第三方脚本/SDK 从浏览器外连不在你的安全组里却在你的攻击面上。评审架构时多问一句「这条允许规则的对端我们还能叫得应吗」3.7 工具链本身成为高权限节点CI 跑在公网 Runner 上、能拿到生产 kubeconfig跳板机人人共用一个账号基础设施即代码的机器人拥有改安全组的永久密钥——这些都是网络策略的超级用户。现状是很多团队把应用网收得很紧把自动化账号放得很松。第六篇后半会反复提醒权限模型要覆盖机器身份不只覆盖工号。四、原理安全控制如何叠在 TCP/IP 上把前五篇的层和下文的控制点对齐避免「安全」飘在空中。应用入口 / 身份 网关鉴权、WAF、Token、mTLS ← 06-04、05 传输信道 TLS有时 VPN 外层也是 ← 06-04、03 网络可达 路由、NAT、安全组、ACL、公网 IP ← 06-03 链路接入 关联/认证、VLAN 隔离、端口准入 ← 06-02 物理/邻站 插错网线、无线覆盖、光模块 ← 第五篇回链排障时顺序可以记一句口诀先问「碰得到吗」再问「信得过吗」最后问「应用放不放行」。碰不到——边界或链路碰得到但不信任——证书、DNS、中间人环境信任信道在但业务 401——身份与授权。4.1 「纵深失效」的两种典型剪纸剪纸 A只加密不收敛用户 ──HTTPS──► 源站:443公网直达──► 应用 ──► 数据库同宽网段边缘 WAF 形同虚设应用一破数据库在侧。剪纸 B只收敛不校验身份用户 ──HTTP──► 内网反代无鉴权管理页──► 一切「反正在内网」——直到 VPN 账号共用、或有人从错误 VLAN 进来。好的形状两边都要外面收敛 路上校验 门口鉴权 里面分段。4.2 管理面与数据面运维接口、kube API、云控制台回调、数据库端口属于管理面对用户提供的 API/网页属于数据面。混在同一入口、同一证书、同一安全组是事故半径放大器。哪怕人力紧也至少做到管理面不对公网、管理面另网段或另安全组、管理面操作进审计。五、应用两张图建议当场画5.1 威胁模型草图十分钟版拿一张纸画四个框[用户/攻击者可能从哪来] → [他们能摸到的入口] → [关键资产] → [现有控制]每个箭头旁写一句「若此处失效会怎样」。若某个资产只有一道控制标红。5.2 资产—暴露面—控制 三列表|资产|当前暴露面尽量写 IP:端口 / URL|已有控制|缺口|| — | — | — | — ||例订单 API|lb.example.com:443源站1.2.3.4:443|CDN证书网关鉴权|源站是否可直连未验证||例MySQL|安全组是否对10.0.0.0/8或更宽|仅应用 SG|有无临时0.0.0.0/0|填表比听概念有用。后面 06-05 的总清单本质是把这张表补全并定期重跑。5.3 和开发、和老板怎么说话对开发「HTTPS 解决传输可信权限和暴露面是另一张工单。」对老板「我们不是没有设备是控制点之间有空档空档可以用清单量出来。」对审计「边界图 访问关系表 变更记录比堆厂商 logo 有效。」六、问题定位三种现象三种查法现场描述混乱时先归类|现象语言|可能含义|优先方向|| — | — | — ||连不上 / 超时|路由、丢弃、安全组静默丢、链路|ping/traceroute/tcping、安全组、链路灯||被拒绝|RST、ICMP unreachable、401/403、显式 deny|策略命中、鉴权、应用 ACL||能连但「不对」|证书告警、内容异常、解析到奇怪 IP|DNS、证书链、是否在劫持/强制门户环境|「不对」最消耗时间因为它看起来像业务 bug。经验做法换一个网络出口蜂窝 vs 公司网 vs 家里对比解析结果和证书三分钟能排除一大半环境问题。6.1 取证时先记五元组再下结论混乱的群聊里先逼出时间含时区 / 客户端网络公司/家/蜂窝/VPN 开否 / 目标域名与 URL / 现象原文超时红锁401 / 是否可复现缺「客户端网络」时不要先改服务器——很大概率是门户、代理、分裂 DNS。6.2 常见误判|误判|更可能的真相|| — | — ||「被黑了」|证书过期或中间证没配全||「防火墙坏了」|应用没监听 / 健康检查摘掉||「DNS 被劫持」|TTL 未到 本地缓存||「VPN 加密有问题」|分流路由没覆盖该网段||「WAF 太严」|源站已被直连边缘计数不涨|养成「先证伪最廉价假设」的习惯过期、缓存、错网段、错环境成本远低于启动应急预案。七、本篇小结安全不是单把锁是可达性、身份、信道、入口与审计的组合。CIA / AAA / 暴露面 / 信任边界 / 纵深 / 共享责任——后面四章复用这套词。家庭、办公、云业务三种现场误配形态不同语言可以统一。现状加密成默认、边界变糊、云上误配极快——清单与监控比口号重要。网络安全需要学习那些知识网络安全零基础入门学习路线规划初级1、网络安全理论知识2天①了解行业相关背景前景确定发展方向。②学习网络安全相关法律法规。③网络安全运营的概念。④等保简介、等保规定、流程和规范。非常重要2、渗透测试基础一周①渗透测试的流程、分类、标准②信息收集技术主动/被动信息搜集、Nmap工具、Google Hacking③漏洞扫描、漏洞利用、原理利用方法、工具MSF、绕过IDS和反病毒侦察④主机攻防演练MS17-010、MS08-067、MS10-046、MS12-20等3、操作系统基础一周①Windows系统常见功能和命令②Kali Linux系统常见功能和命令③操作系统安全系统入侵排查/系统加固基础4、计算机网络基础一周①计算机网络基础、协议和架构②网络通信原理、OSI模型、数据转发流程③常见协议解析HTTP、TCP/IP、ARP等④网络攻击技术与网络安全防御技术⑤Web漏洞原理与防御主动/被动攻击、DDOS攻击、CVE漏洞复现5、数据库基础操作2天①数据库基础②SQL语言基础③数据库安全加固6、Web渗透1周①HTML、CSS和JavaScript简介②OWASP Top10③Web漏洞扫描工具④Web渗透工具Nmap、BurpSuite、SQLMap、其他菜刀、漏扫等恭喜你如果学到这里你基本可以从事一份网络安全相关的工作比如渗透测试、Web 渗透、安全服务、安全分析等岗位如果等保模块学的好还可以从事等保工程师。薪资区间6k-15k到此为止大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗想要入坑黑客网络安全的朋友给大家准备了一份282G全网最全的网络安全资料包免费领取7、脚本编程初级/中级/高级在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中面对复杂多变的网络环境当常用工具不能满足实际需求的时候往往需要对现有工具进行扩展或者编写符合我们要求的工具、自动化脚本这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中想要高效地使用自制的脚本工具来实现各种目的更是需要拥有编程能力.零基础入门建议选择脚本语言Python/PHP/Go/Java中的一种对常用库进行编程学习 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP IDE强烈推荐Sublime ·Python编程学习学习内容包含语法、正则、文件、 网络、多线程等常用库推荐《Python核心编程》不要看完 ·用Python编写漏洞的exp,然后写一个简单的网络爬虫 ·PHP基本语法学习并书写一个简单的博客系统 熟悉MVC架构并试着学习一个PHP框架或者Python框架 (可选) ·了解Bootstrap的布局或者CSS。8、超级黑客这部分内容对零基础的同学来说还比较遥远就不展开细说了贴一个大概的路线。网络安全工程师企业级学习路线视频配套资料国内外网安书籍、文档工具当然除了有配套的视频同时也为大家整理了各种文档和书籍资料工具并且已经帮大家分好类了。一些我自己买的、其他平台白嫖不到的视频教程要学习网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】