第2章：网络安全基础概念回顾
做安全这些年，我见过太多新人上来就扑向工具，却连最基本的几个词都搞混。今天我把底层的概念重新捋一遍。别看这些词简单，真到了攻防现场，理解不透会出大事。
2.1 核心三要素：CIA
网络安全所有的工作，说白了都是在保护三个东西——机密性、完整性、可用性。信息安全的“CIA三元组”，这是安全从业者的共同语言。
| 要素 | 英文 | 白话解释 | 我遇到过的典型场景 |
|---|---|---|---|
| 机密性 | Confidentiality | 该谁看就谁看，不该看的人看不到 | 某客户数据库明文存储密码，离职员工一把拖走几百万条记录 |
| 完整性 | Integrity | 数据在传输/存储中没被人改过 | 某支付接口未做签名校验，攻击者篡改订单金额，公司赔了上百万 |
| 可用性 | Availability | 系统该能用的时候就得能用 | 某电商大促当天被DDoS打瘫，损失超过一千万 |
2.2 威胁、漏洞、风险——三者到底什么关系？
很多人把这三个词混着用，但它们在安全分析中是严格区分的。我画过无数张暴露路径图，每次都会先标清楚这三样东西。
- 威胁：可能造成破坏的人或事物。比如黑客、恶意软件、自然灾害。
- 漏洞：系统里可以被利用的弱点。比如SQL注入点、未打补丁的WebLogic。
- 风险：威胁利用漏洞造成损失的可能性与影响程度。风险 = 威胁 × 漏洞 × 后果。
一句话记住：威胁是“坏蛋”，漏洞是“弱点”，风险是“坏蛋找到弱点后你能损失多少”。
我以前带过一个实训小组，学员非说“漏洞就是风险”，杀毒软件扫出一堆高危就慌得不行。其实扫出来的只是潜在弱点，没有对应的威胁源，风险是0。后来我让他们做暴露路径识别，把每个漏洞都配上对应的威胁场景，思路一下就清晰了。
2.3 常见攻击模式与攻击链
攻击者的动作不是乱来的。它们通常有章可循。我个人最常用的是Lockheed Martin的网络杀伤链（Cyber Kill Chain）框架，一共七个阶段：
- 侦察：收集目标信息（域名、IP、人员邮箱）
- 武器化：制作恶意载荷（木马、免杀样本）
- 投递：发送武器（钓鱼邮件、U盘）
- 利用：触发漏洞（点击链接、打开文档）
- 安装：植入后门（反弹shell、持久化）
- 指挥控制：建立C2通道（HTTPS隧道、DNS隐蔽通道）
- 目标达成：窃取/加密数据、破坏系统
为什么要在实训里反复提攻击链？
- 它帮你把“攻击路径”拆成可检测、可阻断的环节。
- 每个环节都有不同的防御切入点（比如侦察阶段可以隐藏信息，投递阶段可以过滤附件）。
- 做风险评估时，如果只算最后一步的损失，往往会低估风险——因为中间任何一步都可能被阻断。
2.4 安全控制措施的分类
知道了威胁和漏洞，接下来就得想怎么拦。安全控制措施按时间顺序分为三类：
| 类别 | 英文 | 作用时机 | 示例 |
|---|---|---|---|
| 预防性 | Preventive | 在攻击发生前阻止 | 防火墙ACL、身份认证、加密 |
| 检测性 | Detective | 在攻击过程中发现 | IDS、日志审计、异常流量监测 |
| 纠正性 | Corrective | 在攻击发生后恢复 | 补丁更新、系统还原、事件响应 |
记住：没有完美的预防。我做过一个渗透测试，目标客户的防火墙规则写得很严，但内部一个开发服务器上跑着弱口令的TeamViewer，检测类措施全都没有。结果我作为攻击者直接远程桌面进去，预防措施形同虚设。暴露路径识别时，一定要把“预防失效后检测是否兜得住”这个环节也评估进去。
2.5 暴露路径：把概念串起来
好，现在我们把前面所有概念串成一条线。什么是“暴露路径”？就是威胁从出发点到目标资产之间，经过的一系列漏洞、控制措施缺口、网络跳转点所形成的可达路线。
下面这张图你记住，后面每一章实训都会用这个逻辑。
你看这张图：攻击者从外部威胁源出发，利用SQL注入漏洞（因为WAF策略缺失），先打到应用服务器，再从应用服务器横向移动到数据库。这条路线就是一个完整的暴露路径。
关键认识：暴露路径不是一条直线，而是一连串“节点”。每个节点都是一个检查点——要么有防御直接阻断，要么有检测能发现。风险评估的本质就是把这些节点找全，再判断它们够不够硬。
2.6 资产、威胁、脆弱性的关联映射
做暴露路径识别时，不能只盯着一处看。我强烈建议你建立一张关联映射表，把资产、威胁、脆弱性（漏洞）三列对应起来。下面是我常用的模板：
| 资产ID | 资产名称 | 可能的威胁 | 关联脆弱性 | 暴露风险等级 |
|---|---|---|---|---|
| ASSET-001 | 客户数据库 | 外部攻击者、内部恶意员工 | CVE-2023-XXXX SQL注入 | 高 |
| ASSET-002 | OA系统 | 钓鱼攻击、弱口令爆破 | 未启用MFA | 中 |
| ASSET-003 | 核心交换机 | 物理破坏、配置篡改 | SNMP公共团体字+未做访问控制 | 高 |
记好这张表。后面做实训时，每一章你都会需要它来定位暴露路径的起点和终点。
2.7 本章小结
这一章我们只干了三件事：
- 把CIA三要素刻在脑子里。
- 分清威胁、漏洞、风险的区别。
- 理解暴露路径的基本构成——威胁出发，经过漏洞和控制缺口，抵达资产。
好了，概念备齐，工具箱也擦亮了。接下来我们就可以正式走进实训，用真实场景一步一步来画暴露路径、算风险值。我保证，后面每个案例你都会用上今天这张图。