攻击防护与安全运营¶
本页用于整理病毒、木马、蠕虫、勒索软件、SQL 注入、XSS、CSRF、拒绝服务、安全审计和日志。
常见应用与网络攻击¶
| 攻击 | 含义 | 常用防护 |
|---|---|---|
| SQL 注入 | 恶意输入改变 SQL 查询逻辑 | 参数化查询、输入校验 |
| XSS | 在网页中注入并执行恶意脚本 | 输出编码、输入过滤 |
| CSRF | 诱导已登录用户发起非本人意愿请求 | CSRF Token 等请求校验 |
| DDoS | 大量请求消耗服务资源 | 限流、流量清洗、弹性扩容 |
| 越权 | 访问当前用户无权访问的资源 | 服务端访问控制、最小权限 |
| 重放攻击 | 重复发送捕获的合法请求 | 时间戳、随机数、签名校验 |
| 中间人攻击 | 第三方窃听或篡改通信 | HTTPS、证书校验 |
多因素认证、日志审计、WAF、熔断、备份和灾备可作为纵深防御措施的一部分，应结合威胁与业务场景部署。
防火墙能力边界¶
防火墙按规则控制网络访问，常依据 IP、端口和协议过滤流量，能够阻挡部分外部未授权访问，并可通过限流或封禁缓解部分拒绝服务流量。但传统边界防火墙不能代替防病毒软件查杀文件中的病毒木马，难以单独防范内部人员攻击、内容层攻击（如 SQL 注入）或合法用户滥用权限。题目若问“防火墙不能防范的攻击”，通常按传统网络层访问控制的教材口径选择病毒传播；若选项强调内部攻击、DoS 或应用层攻击，则应结合防火墙类型和配置判断，不能绝对化地说防火墙对这些攻击完全无能为力。纵深防御需结合防病毒、IDS/IPS、WAF、访问控制和日志审计等多种控制，不能把单一设备视为万能防线。
来源：专业课速记/06_信息安全.md
补充：南网大纲 VI-6 网络安全基础（定义—机制/流程—场景—边界）
- 网络安全法律法规：网络安全法规定网络运营者履行安全保护、监测记录、应急处置等义务；数据安全法覆盖境内数据处理活动；个人信息保护法约束个人信息处理；关键信息基础设施安全保护条例对认定、重点保护、检测评估和报告提出专门要求。机制上按“识别适用主体与数据→确定主管部门/行业规则→落实制度和技术措施→留痕评估→事件报告”执行。边界是法规适用取决于主体、业务、数据和场景，不能把一般网络运营者、重要数据处理者、关键信息基础设施运营者的义务混为一谈。
- 网络安全技术：纵深防御以身份认证、访问控制、网络分区、边界防护、终端检测、漏洞管理、数据保护、备份恢复和安全监测组合实现；流程为资产发现→威胁建模→控制设计→上线验证→持续监测→补丁和配置复核。适用于办公网、生产网、云平台、工业控制和API。边界是WAF不能替代身份与数据权限，防火墙不能替代主机防护，IDS告警也不等于已完成处置。
- 安全管理与运营：安全运营是持续收集资产、漏洞、告警、日志和情报，进行研判、响应、复盘和改进的闭环。应明确值班、分级、升级、证据保全、变更审批、供应商协作和指标。适用于钓鱼、勒索、DDoS、账号盗用和供应链事件。边界是告警数量不是安全效果，不能为降低告警而粗暴关闭规则；高危事件应保留原始证据并控制知情范围。
- 漏洞管理：漏洞是可能被利用而破坏保密性、完整性或可用性的缺陷；流程为发现/接收→验证影响→分级排序→临时缓解→修复或补偿控制→复测关闭→复盘。适用于系统、组件、设备和供应商软件。边界是扫描发现不等于可利用性已证实，生产环境测试须授权；不能只修扫描报告而忽略业务暴露面和补丁依赖。
- 身份与访问运营：对账号实行实名、最小权限、强认证、权限申请审批、定期复核、离职回收和特权会话审计；适用于管理员、远程运维、服务账号和API密钥。边界是共享账号破坏追责，服务账号也要设置用途、范围、轮换和失效机制；多因素认证降低凭据风险但不能防止已授权滥用。
- 新技术安全：云计算重点关注租户隔离、控制面权限、配置漂移、日志和供应商责任；人工智能/大模型重点关注训练数据来源、敏感信息泄露、提示注入、越权工具调用、模型输出可靠性和人机复核；物联网/工业控制重点关注设备身份、固件、协议和生产连续性。流程为场景评估→数据和权限边界设计→安全测试→上线门禁→运行监控→模型/设备/配置变更复核。边界是“上云”“使用大模型”不等于安全责任转移；生成内容需校验，不能直接执行高风险指令。
三组易混概念对比：
| 对比 | 关键区别 | 典型场景 | 易错边界 |
|---|---|---|---|
| IDS—IPS—WAF | IDS侧重检测告警；IPS可联动阻断；WAF针对Web应用层请求 | 入侵检测、边界阻断、SQL注入/XSS防护 | WAF不能覆盖所有主机和业务逻辑漏洞，IPS误阻断也需回溯验证 |
| 漏洞—威胁—风险 | 漏洞是缺陷；威胁是可能利用缺陷的主体/事件；风险是发生可能性与影响的组合 | 补丁排序、威胁建模、风险接受 | 没有已知漏洞不代表没有风险；有漏洞也应结合暴露面和影响排序 |
| 备份—容灾—业务连续性 | 备份保存可恢复副本；容灾维持或恢复系统能力；业务连续性覆盖人员、流程、供应商和替代安排 | 勒索恢复、机房故障、供应商中断 | 备份成功不等于恢复可用，容灾切换也不等于业务流程已验证 |
具体场景过程链一（勒索软件）：终端告警→值班人员确认并隔离受感染主机/账号→保全样本、日志、内存或磁盘证据→阻断横向移动、关闭高风险共享和密钥→清点受影响资产与数据→按事件级别启动预案并报告→修复入口漏洞、重置凭据、重建干净环境→从离线或不可篡改备份恢复→业务部门验收完整性和RTO/RPO→复盘初始入口、权限路径、备份有效性并整改。边界是不能先格式化导致证据灭失，也不能在未确认干净前把恢复主机接回生产网。
具体场景过程链二（Web接口越权）：监测发现用户A访问用户B订单→保存请求、响应、账号、时间和权限配置→确认是否可遍历对象标识、是否读取/修改数据→立即在服务端增加对象级授权和限流，必要时吊销会话→检查历史日志和同类接口→评估个人信息影响并按规则报告/通知→回归测试正向、反向和并发场景→上线变更留痕并持续监测。边界是返回“无权限”但前端隐藏按钮不够，必须在服务端按每次请求核验资源归属。
练习1：安全团队发现WAF拦截SQL注入，但数据库账号仍使用共享高权限账户。该系统是否可以判定为安全？解析：不能。WAF只提供部分应用层防护，不能替代数据库最小权限、账号分离、审计和密钥管理；应补齐纵深控制并验证绕过路径。
练习2：某云厂商承诺“平台负责安全”，业务团队因此不做日志审计和备份。判断是否正确。解析：不正确。云环境通常是责任共担，具体边界需看服务模式、合同和配置；业务方仍应确认数据、身份、权限、日志、备份和恢复责任，并通过演练验证可用性。