3、安全基础概念：CIA三元组、威胁建模、攻击面分析、安全控制类型
在红队与蓝队的攻防对抗中，一切技术动作与防御策略的底层逻辑都源于对安全基础概念的深刻理解。CIA三元组定义了安全的核心目标，威胁建模决定了我们如何系统性地寻找风险，攻击面分析划定了攻防双方的博弈疆域，而安全控制类型则提供了具体的防御手段。本章将围绕这四个核心概念展开，帮助学员建立从理论到实战的完整认知框架。
3.1 CIA三元组：安全目标的基石
核心原理
CIA三元组是信息安全领域最基础的安全目标模型，分别代表机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。机密性确保数据仅被授权实体访问，防止未授权泄露；完整性保证数据在传输、存储过程中未被篡改或破坏；可用性则确保授权用户在需要时能够正常访问数据和系统资源。三者相互制约，例如过度强调机密性可能影响可用性，而过度追求可用性又可能削弱完整性。
判断方法与实战映射
在红队演练中，攻击者通常以破坏CIA三元组中的某一项或多项为目标。判断一个安全事件对CIA的影响，可以从以下维度分析：
| CIA维度 | 攻击示例 | 检测指标 | 防御手段 |
|---|---|---|---|
| 机密性 | SQL注入拖库、SSH私钥窃取 | 异常数据外传流量、敏感文件访问日志 | 加密存储、最小权限、DLP |
| 完整性 | 篡改配置文件、植入后门代码 | 文件哈希变化、配置基线漂移 | 文件完整性监控（FIM）、代码签名 |
| 可用性 | DDoS攻击、勒索软件加密 | 服务响应超时、资源耗尽告警 | 负载均衡、冗余部署、备份恢复 |
常见误区
- 误区一：认为CIA三元组只是理论概念，与实战无关。实际上，每一次攻击和防御动作都可以映射到CIA的具体维度上。
- 误区二：忽视三者之间的平衡。例如，过度加密导致性能下降，反而影响可用性；过度冗余增加成本，却未必提升安全性。
- 误区三：只关注外部攻击对CIA的破坏，忽视内部人员误操作或恶意行为同样会破坏CIA。
3.2 威胁建模：系统化识别风险
核心原理
威胁建模是一种结构化的方法，用于识别、评估和优先处理系统可能面临的安全威胁。其核心思想是“以攻击者的视角审视系统”，在系统设计阶段或攻防演练前，系统地分析潜在的威胁路径。常用的威胁建模方法包括STRIDE模型（欺骗、篡改、否认、信息泄露、拒绝服务、权限提升）和攻击树（以树状结构展示攻击路径）。
操作流程
- 定义系统边界：明确需要保护的系统组件、数据流和信任边界。
- 绘制数据流图（DFD）：标识系统中的进程、数据存储、外部实体和数据流。
- 应用STRIDE分类：针对每个数据流和组件，逐一分析六类威胁。
- 评估风险等级：结合威胁发生的可能性与影响程度，使用DREAD模型（损害、可复现性、可利用性、受影响用户、可发现性）进行评分。
- 制定缓解措施：针对高风险威胁，设计对应的安全控制措施。
案例拆解：Web应用威胁建模
假设目标是一个电商Web应用，包含用户登录、商品浏览、下单支付三个核心功能。通过威胁建模，我们识别出以下关键威胁：
| STRIDE分类 | 威胁描述 | 风险等级 | 缓解措施 |
|---|---|---|---|
| 欺骗 | 攻击者通过撞库或暴力破解获取用户账号 | 高 | 多因素认证、登录限速、异常行为检测 |
| 篡改 | 中间人攻击篡改订单金额或支付信息 | 高 | TLS加密、签名校验、防重放机制 |
| 否认 | 用户否认发起过某笔交易 | 中 | 操作日志审计、数字签名、交易流水记录 |
| 信息泄露 | API接口返回过多用户敏感字段 | 高 | 最小化数据返回、字段级脱敏、访问控制 |
| 拒绝服务 | 攻击者通过大量请求耗尽应用资源 | 中 | 速率限制、WAF规则、弹性扩容 |
| 权限提升 | 普通用户通过越权访问管理员接口 | 高 | RBAC权限模型、接口级鉴权、越权测试 |
3.3 攻击面分析：划定攻防疆域
核心原理
攻击面是指系统暴露给攻击者的所有可被利用的入口点总和。攻击面越大，系统被攻破的概率越高。攻击面通常分为三类：网络攻击面（开放端口、服务、协议）、系统攻击面（操作系统漏洞、服务配置、补丁缺失）和应用攻击面（Web接口、API、业务逻辑）。
分析方法与工具
- 网络层：使用Nmap、Masscan进行端口扫描，识别开放端口和服务版本；使用Shodan、FOFA等互联网资产测绘工具发现暴露面。
- 系统层：使用Nessus、OpenVAS进行漏洞扫描；检查系统补丁级别、默认配置、弱口令。
- 应用层：使用Burp Suite、OWASP ZAP进行Web应用扫描；审查API文档，识别未授权接口和敏感数据暴露。
实战场景：攻击面收敛与利用
在一次攻防演练中，红队通过子域名枚举发现了一个未纳入监控的测试环境（test.example.com），该环境运行着旧版本的Tomcat，存在已知的CVE-2020-1938漏洞。红队利用该漏洞获取了服务器权限，并以此为跳板向内网渗透。蓝队复盘发现，该测试环境是开发团队三个月前临时搭建的，未纳入资产台账，也未部署任何安全监控。这一案例说明，攻击面管理的核心不仅是“发现已知”，更是“发现未知”。
3.4 安全控制类型：构建纵深防御体系
核心原理
安全控制是用于降低安全风险的具体措施，根据作用时机可分为预防性控制（阻止攻击发生）、检测性控制（发现攻击行为）和响应性控制（对攻击做出反应）。此外，按实现方式还可分为技术控制（防火墙、加密）、管理控制（安全策略、培训）和物理控制（门禁、监控）。
控制类型对比
| 控制类型 | 作用时机 | 典型工具/措施 | 红队绕过思路 | 蓝队优化建议 |
|---|---|---|---|---|
| 预防性 | 攻击发生前 | 防火墙、WAF、IAM、补丁管理 | 利用0day、绕过WAF规则、社会工程 | 最小权限、默认拒绝、定期攻防验证 |
| 检测性 | 攻击进行中 | IDS/IPS、EDR、日志审计、蜜罐 | 加密流量隐藏、内存马、日志擦除 | 行为分析、威胁狩猎、日志完整性保护 |
| 响应性 | 攻击发生后 | SOAR、应急响应预案、备份恢复 | 双重勒索、删除备份、破坏响应流程 | 定期演练、异地备份、自动化响应 |
案例拆解：勒索软件攻击的防御闭环
某企业遭受勒索软件攻击，攻击者通过钓鱼邮件投递恶意宏文档，成功执行后在内网横向移动，最终加密了核心数据库。复盘整个攻击过程，可以发现安全控制在不同阶段的作用：
- 预防阶段：邮件网关未能拦截钓鱼邮件（预防失败），但EDR在宏执行时发出告警（检测成功）。
- 检测阶段：EDR检测到异常进程行为，但安全团队未及时响应，攻击者继续横向移动。
- 响应阶段：数据库被加密后，企业启动应急响应，从异地备份恢复数据，避免了支付赎金。
这一案例表明，单一控制措施无法提供完整防护，必须构建预防-检测-响应的闭环体系，并定期进行攻防演练验证各环节的有效性。
常见误区与总结
- 误区一：认为部署了足够多的安全产品就等于安全。实际上，安全控制的有效性取决于配置、运维和持续优化。
- 误区二：忽视管理控制和物理控制。例如，再强的技术控制也挡不住内部人员将敏感数据拷贝到U盘。
- 误区三：检测性控制与响应性控制脱节。告警堆积无人处理，或者响应流程过于复杂导致错过黄金处置时间。