网络安全入门：我们在保护什么，谁在攻击

1网络安全到底在保护什么

先想象你家。你会锁门（别人不能随便进），会把贵重物品放保险箱（别人看不到），会装监控（东西被动过能发现），还希望水电随时能用。网络安全做的是同样的事，只不过保护对象换成了连上网的电脑、手机、服务器，以及里面的数据。

课件的定义很朴素：网络安全就是保护联网的硬件、软件和数据，不被未经授权地使用、修改、窃取或破坏。注意关键词 unauthorized（未经授权），整门课都绕着它转：同样是“看一份文件”，有权限的人看是正常工作，没权限的人看就是安全事件。

CIA 三要素：判断“出事没有”的三把尺子

安全领域用三个英文单词的首字母 CIA 来描述“安全”的三个方面。它和美国中情局没有关系，是考试必考的第一个概念。

几个必须认识的术语

课件 P1-13 列了一组基础术语。英文原词要认得，考试题干是英文的：

Authentication 认证

确认“对方就是他声称的那个人”。登录时输密码就是在认证。

Access control 访问控制

防止资源被未授权使用。认证之后，系统决定你能看哪些文件。

Data confidentiality

防止数据被未授权地披露，即 CIA 中的 C。

Data integrity

保证收到的数据和授权方发出的一样，即 CIA 中的 I。

Non-repudiation 不可否认

通信一方事后不能抵赖“我没发过”。第 4 章的数字签名就是干这个的。

Availability

资源可访问、可使用，即 CIA 中的 A。

Security mechanism

用来检测、阻止攻击或从攻击中恢复的手段，例如加密、防火墙。

安全靠什么实现：产品、人、流程

很多人以为“买个杀毒软件就安全了”。课件 P1-10 明确说，安全要靠三类实体共同实现：

• Products 产品：门锁、服务器、防火墙、杀毒软件这类东西；
• People 人：正确使用这些产品的员工；
• Procedures 流程：规定员工怎么正确使用产品的计划和政策。

买了最好的锁，员工却把钥匙挂在门上，等于没锁。这就是本课程反复强调的观点：技术和管理缺一不可（第 3 章会深入讲）。

课件还提到一个组织应该有多层安全：物理安全、人员安全、组织（流程）安全、通信安全、网络安全、网络空间安全（CIA）。像洋葱一样一层套一层，一层被突破还有下一层。

需要保护的“资产”也不只是数据。课件 P1-12 列了：数据资产、知识资产、软件资产、物理资产、金融资产、员工、客户与合作伙伴，以及 goodwill（商誉）。商誉最容易被忽略：一家银行被黑上新闻，客户流失的损失可能比被偷的钱还多。

2为什么网络世界这么容易被攻击

传统小偷要亲自跑到你家门口，一晚上偷一两户，还可能被邻居看到。网络罪犯为什么能一晚上攻击几百万人，还很难被抓？课件 P1-37 总结了互联网的三个特征，这是必背考点：

威胁有多大：几个让人印象深刻的数字

课件花了很多页列举 2015–2026 年的真实攻击事件。不用背每一个，但要有“量级”的概念：

• 网络犯罪的全球经济损失：2021 年约 6 万亿美元，2025 年约 10.5 万亿美元，超过德国 GDP 的两倍。如果它是一个国家，会是世界第三大经济体；
• 2023 年全球每次数据泄露的平均成本约 445 万美元（IBM）；
• Equifax（2017）：1.47 亿人的身份资料被盗；Yahoo（2016）：最多 30 亿个账户受影响；
• 勒索软件（2017 年 WannaCry）：150 个国家、30 多万台设备受害，损失超过 50 亿美元；Acer 2021 年被要价 5000 万美元赎金；
• 孟加拉央行（2016）：黑客通过 SWIFT 转走 8100 万美元，本来想偷 10 亿美元，因为把 foundation 拼成 fandation 才露馅。

攻击背后的四类目的

Q&A 第 3 题和样题 Q1-12 提到攻击的几类原因：

• Criminal attacks 犯罪型：为了钱，包括诈骗、盗窃身份、盗窃品牌；
• Privacy violations 侵犯隐私：未经授权收集个人信息，例如监控、数据库倒卖、流量分析；
• Publicity attacks 出名型：为了上新闻、出名，任何系统都可能被盯上；
• Legal attacks 法律型：利用司法程序（比如打官司时要求对方提交证据）获取信息。

样题问“most obvious reasons”，答案是 All of the above。

3恶意软件家族：病毒、蠕虫、木马……分别是什么

Malware = malicious（恶意的）+ software（软件），是所有“坏软件”的统称（样题 Q1-14：True）。课件 P1-38 把网络攻击分成六大类：恶意软件、社会工程、密码攻击、中间人、SQL 注入、拒绝服务。这一节先讲第一类，它下面还有很多成员，最容易混淆，我们一个个拆开。

病毒 vs 蠕虫：最常考的一对

其他成员

Trojan horse 木马

伪装成有用的软件（免费游戏、破解工具、“明星照片”），装上后偷偷干坏事：装键盘记录器、开后门。名字来自特洛伊木马的故事。

Logic bomb 逻辑炸弹

平时潜伏不动，满足预设条件时才发作，比如到了愚人节、圣诞节，或者某个员工的账号被删除时。

Rootkit

拿到系统最高权限（root），并且把自己和其他恶意软件藏起来，让你根本发现不了电脑被入侵。最难检测的一类。

Botnet 僵尸网络

一大群被感染的电脑（bots / zombies），听从一个主控者（master）的指挥，可以用来发起 DDoS、破解密码、发垃圾邮件，而且很难追查到真正的攻击者。

Ransomware 勒索软件

把你的文件加密锁住，要求你用比特币付赎金。付了钱也不一定能拿回数据。

Spyware 间谍软件

在你不知情的情况下偷你的信息（密码、浏览记录）并交给攻击者。

Adware 广告软件

在屏幕上弹广告条，烦人，危害相对较小。

Payload 有效载荷

恶意代码里真正“干坏事”的那部分（删文件、加密、偷数据）。恶意软件 = 传播机制 + payload。

它们是怎么进到你电脑里的

课件 P1-42：用户点了可疑链接、下载了附件，或者插了被感染的 U 盘。样题 Q1-17 的答案也是“主要通过电子邮件，也通过 U 盘、文件共享、恶意网站下载、社交网络”。所以预防也很朴素：

• 安装并更新杀毒软件；
• 打开系统自带防火墙；
• 不点可疑链接；
• 定期更新操作系统和浏览器（打补丁）。

动手实验：蠕虫为什么能拖垮整个互联网

Q&A 第 2 题是一道经典大题：一个程序复制到电脑 X 后，就把自己复制到 6 台邻居电脑上，不删也不改任何文件。它有危害吗？

答案的思路：副本按 6、36、216、1296……指数增长，很快会塞满磁盘，占满带宽和 CPU，机器就崩溃了。所以即使它“什么坏事都不干”，结果也是一次拒绝服务（DoS），破坏的是 CIA 里的 A。1988 年的 Morris 蠕虫就是这样拖垮了当时的互联网。

怎么检测？它每次都换随机文件名，按特征码查杀很难。要看异常行为：网络流量、邮件量突然暴涨，机器莫名变慢。这里提前用到了第 5 章“异常检测”的思想，写进答案里会加分。

4社会工程与钓鱼：攻击“人”而不是“机器”

Social engineering 社会工程 是“操纵人的艺术”（课件 P1-44）：不去破解电脑，而是骗人主动交出密码、转账或者打开文件。为什么这招最有效？因为再强的防火墙，也挡不住员工自己把密码告诉“IT 管理员”。

钓鱼（Phishing）家族

Phishing 读音同 fishing（钓鱼）：撒下诱饵，等你上钩。课件区分了好几种：

怎么识破钓鱼邮件

为什么社交网络让骗子如鱼得水

Q&A 第 16 题：你在社交网络上公开了生日、宠物名字、在哪工作、今天去哪吃饭，而很多人的密码提示问题恰恰是“你的宠物叫什么”；骗子知道你喜欢什么、朋友是谁，取得信任就很容易。平台本身也在收集和出售你的数据。课件的结论是：大多数社交网络风险都是“老骗术换新包装”。

5密码攻击：黑客是怎么“猜”出你的密码的

课件 P1-53 列了五种拿到密码的方法：

暴力破解要多久？一个公式就够了

暴力破解是数学问题，期末可能考计算。只要两步：

例 1（课件 P1-55）：6 位纯数字 PIN。每一位有 0–9 共 10 种可能，组合数 = 10⁶ = 1,000,000。每秒试 50 万次：1,000,000 ÷ 500,000 = 2 秒。所以 6 位数字密码几乎没有防护力。

例 2（P1-56）：95 个可打印字符、10 位密码、每秒 640 万次。组合数 = 95¹⁰ ≈ 6 × 10¹⁹；时间 ≈ 6 × 10¹⁹ ÷ 6.4 × 10⁶ ≈ 9.4 × 10¹² 秒 ≈ 30 万年。

对比一下：长度从 6 位变成 10 位、字符种类从 10 变成 95，时间从 2 秒变成 30 万年。长度是指数，字符种类是底数，长度的影响更大。

怎么防

• 用长且包含大小写、数字、符号的密码；不同网站不要用同一个密码（防止“撞库”）；
• 定期更换（课件建议 90 天）；不要把密码提示公开；
• 网站一侧：账户锁定（错 5 次锁定）、限速（每次失败后延迟）、MFA 多因素认证、封禁可疑 IP。

课件 P1-59 有个结论很关键：暴力破解只在没有限速、没有锁定、没有 MFA 时才有效。2013 年 GitHub 就是因为缺这些保护，被黑客拿其他网站泄露的密码批量试出了几十个账户。

6中间人攻击与 SQL 注入

中间人攻击（Man-in-the-Middle, MITM）

你以为自己在和银行说话，其实中间站着一个人：你说的话他先听，再转给银行；银行的回答也先经过他。他可以偷看（破坏 C），也可以篡改（破坏 I）。课件说它也叫 eavesdropping attack（窃听攻击）。

预防：留意网站是否安全（HTTPS、证书有效），在设备上使用加密，尽量不用公共 Wi-Fi。Q&A 第 17 题“蹭邻居没加密的 Wi-Fi 有没有风险？”的答案就是：登录信息和敏感信息可能被截获，同一网络里可能有被感染的设备，最危险的是热点本身就可能是恶意的。第 5 章讲完 TLS，你会知道 HTTPS 为什么能防中间人。

SQL 注入（SQL Injection）

网站背后通常有一个数据库，网站用一种叫 SQL 的语言去查询它。比如登录时，网站会拼出这样一句查询：

正常用户输入 alice 和 123。攻击者在密码框里输入一段“看起来像密码、其实是代码”的东西：' OR '1'='1，拼出来的查询就变成：

'1'='1' 永远成立，于是数据库认为条件满足，攻击者不用密码就登录了。更严重的注入可以查看、修改、删除整张表，甚至拿到管理员权限（课件 P1-61）。

预防（课件）：校验用户输入（validation of user-supplied data），以及使用入侵检测系统（IDS）。

7拒绝服务攻击 DoS / DDoS：把网站“堵死”

Denial of Service：攻击者用海量流量淹没服务器或网络，耗尽带宽、CPU 和内存，真正的用户就挤不进来了（样题 Q1-16：中断或降低服务 = DoS）。它破坏的是 Availability。

DDoS 的三大类（课件 P1-62）

SYN flood：TCP 握手被“只握一半”

电脑之间建立 TCP 连接，要先“握三次手”。理解了正常流程，SYN flood 就一目了然：

计算题：Ping flood 需要每秒多少个包

课件 P1-68～70 有一组固定题型：用 ICMP 包去塞满对方的链路，每秒要发多少个包？

例：500 字节的包，10 Mbps 链路。pps = 10,000,000 ÷ (500 × 8) = 10,000,000 ÷ 4,000 = 2,500 包/秒。

规律：链路越快，需要的包越多；包越大，需要的包越少。课件用 500、1000、50000 字节三种包，在 1.5、2、10、100 Mbps 四种链路上各算了一遍，你可以用上面的计算器逐个核对。

著名攻击与防御

• GitHub 2018：峰值 1.3 Tbps，利用 Memcached 服务器把流量放大约 5 万倍，没有用 botnet。GitHub 有 DDoS 防护服务，10 分钟内就被告警，整场攻击约 20 分钟结束；
• Dyn 2016：Mirai 把 IoT 设备变成僵尸网络，Netflix、PayPal、GitHub 等大站都打不开；
• Spamhaus 2013：300 Gbps，作案者是一名受雇的英国少年；2025 年还出现了 29.7 Tbps 的史上最大攻击。

防御（P1-86）：做流量分析识别恶意流量；留意网络变慢等预警信号；准备好事件响应计划；把 DDoS 防护外包给 Cloudflare、Akamai、AWS 这类云服务。

8另外两种威胁：内鬼与加密劫持

Insider threat 内部威胁

攻击者不是外人，而是组织内部的人：员工、合同工、前员工。他们本来就熟悉系统、有权限，所以危害巨大，也最难预测。动机可能是贪婪、恶意报复，也可能只是粗心。小公司里一个人往往掌握多个账户，问题更突出。

预防（P1-87）：建立安全意识文化；按岗位限制访问权限（只给工作需要的权限，也就是“最小权限”）；培训员工识别内部威胁。第 2 章还会细讲“人”的因素。

Cryptojacking 加密劫持

攻击者偷偷用你电脑的算力去挖加密货币。他们感染一个网站，或者骗你点链接，挖矿代码就在后台运行。你唯一能察觉的是电脑变慢、风扇狂转。

预防：及时更新软件；培训员工；装广告拦截器（广告是挖矿脚本的主要来源）；用 MinerBlock 这类扩展。

9谁在攻击：黑客的帽子颜色和动机

Hacker 本来指“技术高手”。Hacking 的定义（样题 Q1-21）是：故意在未经授权或超出授权范围的情况下访问计算机资源。注意“超出授权”也算：你有权看 A 文件夹，却去翻了 B 文件夹，同样构成 hacking。

公司为什么要雇白帽？他们能抢在坏人之前发现漏洞，Google、Facebook、Tesla 每年都会通过 bug bounty（漏洞赏金）付给黑客数百万美元。

熟练黑客 vs 不熟练黑客（Q&A 第 15 题）

熟练黑客自己写代码，攻击还没人知道的漏洞，也就是零日攻击（zero-day），一开始几乎没法防。不熟练的（script kiddie）用的是公开工具，所以只要及时打补丁、关注已公开的攻击工具，就能防住大部分。

动机（课件 P1-95）

• 政府支持：网络战、网络恐怖主义、间谍；
• 产业间谍：偷商业机密；
• 精英黑客：公开漏洞、挑战自我、赚钱；
• Script kiddies：获得尊重（炫耀）；
• 内部人员：报复。

所以样题 Q1-19“黑客的动机有哪些”，答案是 All of the above。

10本章小结与考前清单

英文术语对照（考试题干是英文的）

breach

安全事件、泄露

threat landscape

威胁态势（都有哪些攻击者和攻击方式）

masquerading

冒充身份（伪造“来自某人”的信息，样题 Q1-13）

spoofing

伪造地址等技术标识（如伪造 IP）

eavesdropping

窃听

payload

恶意代码中执行破坏的部分

unsolicited commercial e-mail

spam 垃圾邮件的定义

zero-day attack

利用尚未公开、尚无补丁的漏洞的攻击

plan – protect – respond

安全管理循环：规划、保护（最耗时，日常运维）、响应（按计划恢复）

重做本页小测