2. 网络安全基础
在网络安全需求与合规证据工程中，所有控制措施、审计项和证据链最终都要回到几个基础概念：我们保护什么、防谁、怕什么、怎么判断风险、在哪里设防。CIA三元组、威胁与脆弱性、风险模型、安全边界与纵深防御，正是这套判断体系的骨架。理解它们，才能把“合规要求”翻译成“可验证的安全需求”。
一、CIA三元组：安全目标的三个维度
CIA三元组是信息安全最基础的目标模型，包括机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。它回答的是“安全到底在保护什么”。
- 机密性：信息只被授权主体访问。典型控制包括加密、访问控制、最小权限、脱敏、密钥管理。证据形式常见为加密算法配置、权限矩阵、密钥轮换记录。
- 完整性：数据未被未授权篡改，且可检测异常变更。典型控制包括哈希校验、数字签名、版本控制、审计日志、写保护。证据形式常见为校验值、签名验证日志、变更审批记录。
- 可用性：授权用户在需要时可访问系统和数据。典型控制包括冗余、备份、容灾、限流、DDoS防护、监控告警。证据形式常见为RTO/RPO指标、演练报告、可用性监控数据。
三者并非孤立。提高机密性可能增加访问延迟，影响可用性；强化完整性校验可能增加系统开销。安全需求工程的关键，是根据业务场景确定三者的优先级和可接受平衡点，而不是机械地“全都最高”。
二、威胁、脆弱性与风险：从“怕什么”到“怎么办”
威胁（Threat）是可能造成损害的潜在来源，如黑客、恶意软件、内部人员、自然灾害。脆弱性（Vulnerability）是系统或流程中可被威胁利用的弱点，如未打补丁、弱口令、配置错误、权限过大。风险（Risk）则是威胁利用脆弱性造成损失的可能性和影响。
一个常用的风险模型可以表达为：
风险 = 威胁 × 脆弱性 × 资产价值 × 影响程度
或简化为：
风险 = 可能性(Likelihood) × 影响(Impact)这个模型的价值在于：它把安全从“有没有漏洞”推进到“漏洞是否真的会带来业务损失”。例如，一个内网测试机存在高危漏洞，但资产价值低、无敏感数据、不可达互联网，其风险可能低于一台暴露在公网、存储客户信息的旧服务器上的中危漏洞。
| 要素 | 含义 | 示例 | 常见证据 |
|---|---|---|---|
| 资产 | 需要保护的对象 | 客户数据库、API密钥、日志平台 | 资产清单、数据分类分级表 |
| 威胁 | 可能造成损害的来源 | 勒索软件、钓鱼攻击、内部越权 | 威胁情报、攻击面分析报告 |
| 脆弱性 | 可被利用的弱点 | 未修复CVE、弱口令、开放端口 | 漏洞扫描报告、配置基线核查 |
| 风险 | 可能性与影响的组合 | 高危漏洞+公网暴露+核心数据 | 风险评估表、整改优先级 |
| 控制 | 降低风险的措施 | 补丁、MFA、WAF、备份 | 变更记录、策略配置、演练报告 |
三、安全边界与纵深防御：从单点设防到多层协同
安全边界是不同信任级别区域之间的分界，例如互联网与DMZ、DMZ与内网、办公网与生产网、普通用户与管理员权限域。边界不是一条线，而是一组控制点：防火墙、WAF、身份认证、API网关、网络隔离、数据脱敏等。
但仅靠边界防护不够。攻击者一旦突破外层，就可能横向移动。因此需要纵深防御（Defense in Depth）：在网络、主机、应用、数据、身份、检测响应等多个层面布置互补控制，使单点失效不会导致整体失守。
四、案例与场景：从概念到证据
假设一家电商企业要满足“客户支付数据保护”的合规要求。按照上述模型，可以这样拆解：
- 资产识别：支付卡号、订单信息、用户身份数据、API密钥。
- CIA目标：支付数据机密性最高；订单金额完整性必须可校验；支付服务可用性要求高。
- 威胁与脆弱性：外部攻击者利用未修复漏洞入侵；内部人员越权导出数据；配置错误导致存储桶公开。
- 风险判断：公网暴露的旧接口 + 弱鉴权 + 高价值数据 = 高风险，优先整改。
- 纵深防御：WAF拦截、API网关鉴权、数据库加密、字段脱敏、操作审计、备份恢复演练。
- 证据固化：扫描报告、策略截图、密钥轮换记录、审计日志、演练报告、整改闭环单。
五、常见误区与复盘
- 误区一：把CIA当成三个独立 checkbox。实际上三者相互制约，需要根据业务场景做权衡，并在需求文档中写明优先级。
- 误区二：只关注漏洞数量，不关注风险。漏洞扫描结果必须结合资产价值、暴露面和业务影响进行排序，否则整改会失去重点。
- 误区三：认为边界防火墙足够。边界是必要的，但攻击者可能通过钓鱼、供应链、内部人员绕过边界，必须配合纵深防御。
- 误区四：控制措施没有证据。“我们做了加密”不等于合规证据。需要算法、密钥长度、轮换周期、配置位置、审计记录等可验证材料。
- 误区五：忽视可用性证据。备份存在不等于可恢复。必须通过恢复演练、RTO/RPO实测记录来证明可用性控制有效。
复盘时，可以用一张“资产—威胁—脆弱性—风险—控制—证据”的映射表来检查：是否每个高风险都有对应控制？每个控制是否都有证据？证据是否可追溯、可复核、可更新？这张表就是后续安全需求与合规证据工程的起点。