信息安全基础：定义、CIA三元组与威胁模型
信息安全是计算机技术与安全管理交叉的核心领域，其本质是保护信息资产免受未授权访问、使用、披露、破坏、修改或销毁。在信息安全技术体系中，理解“保护什么、防范什么、如何度量保护效果”是构建一切安全方案的前提。本章围绕信息安全的权威定义、CIA三元组（机密性、完整性、可用性）的工程含义，以及常见安全威胁与攻击类型的分类框架展开，为后续密码学、访问控制、安全审计等章节奠定概念基础。
2.1 信息安全的定义与内涵
核心原理：从“保护数据”到“保障业务”
国际标准化组织（ISO/IEC 27000）将信息安全定义为“保护信息的机密性、完整性和可用性，同时可包含真实性、可追溯性、不可否认性和可靠性等属性”。这一定义突破了早期“杀毒+防火墙”的狭义理解，将安全目标与业务连续性、合规要求、风险管理深度绑定。在实际工作中，信息安全不仅是技术问题，更是管理问题——约70%的安全事件源于内部流程缺陷或人员操作失误，而非纯技术漏洞。
信息安全的三个层次
| 层次 | 关注对象 | 典型措施 | 示例 |
|---|---|---|---|
| 物理安全 | 硬件设备、机房、介质 | 门禁、监控、UPS、防雷 | 服务器机房双因素门禁 |
| 逻辑/技术安全 | 数据、系统、网络 | 加密、访问控制、IDS/IPS | 数据库字段级加密 |
| 管理安全 | 人员、流程、制度 | 安全策略、培训、审计 | 最小权限原则落地 |
判断方法：如何界定“安全事件”
- 资产识别：明确需要保护的信息资产（数据库、源代码、配置文件、日志等）。
- 脆弱性评估：分析资产存在的弱点（弱口令、未打补丁、错误配置）。
- 威胁建模：判断可能的攻击者（外部黑客、内部员工、竞争对手）及其动机。
- 影响分析：若CIA任一属性被破坏，对业务造成的损失等级（高/中/低）。
常见误区
2.2 CIA三元组深度解析
核心原理：三元组的平衡与冲突
CIA三元组是信息安全的核心模型，三者既相互支撑又存在内在张力。机密性（Confidentiality）确保信息仅被授权实体访问；完整性（Integrity）保证信息在存储和传输过程中不被未授权修改；可用性（Availability）确保授权用户在需要时能够访问信息。在实际系统中，过度强调机密性（如高强度加密）可能降低可用性（解密耗时）；过度开放可用性（如取消访问控制）则破坏机密性。安全架构师的核心任务就是根据业务场景找到平衡点。
三元组属性对比
| 属性 | 核心问题 | 破坏后果 | 典型防护技术 | 检测手段 |
|---|---|---|---|---|
| 机密性 | 谁能读？ | 数据泄露、隐私侵犯 | AES加密、RBAC、DLP | 日志审计、流量监控 |
| 完整性 | 数据是否被改？ | 数据篡改、交易欺诈 | 哈希校验、数字签名、WAF | 完整性校验工具（Tripwire） |
| 可用性 | 能否正常使用？ | 业务中断、经济损失 | 负载均衡、冗余备份、DDoS防护 | Uptime监控、拨测 |
案例拆解：某电商平台数据篡改事件
背景：某电商平台订单系统遭SQL注入攻击，攻击者通过修改数据库中的商品价格字段，以0.01元价格下单购买高价商品。
- 初始现象：财务对账时发现大量异常低价订单，涉及金额约200万元。
- 分析过程：安全团队排查Web日志，发现攻击者利用搜索接口的拼接漏洞，注入恶意SQL语句修改price字段。该漏洞同时破坏了完整性和机密性（攻击者还读取了用户手机号）。
- 处置步骤：① 紧急下线搜索接口；② 数据库回滚至攻击前快照；③ 对price字段增加数字签名校验；④ 上线参数化查询修复漏洞。
- 结果对比：修复后同类攻击无法执行，完整性校验能在10秒内发现异常修改。
- 复盘经验：仅依赖数据库权限控制不够，应用层必须做输入验证和输出编码；完整性校验应覆盖关键业务字段。
常见误区
2.3 安全威胁与攻击类型概述
核心原理：威胁的分类框架
安全威胁是指可能对系统造成损害的任何潜在原因。按来源可分为自然威胁（地震、火灾）、环境威胁（断电、温湿度异常）和人为威胁（恶意攻击、误操作）。人为威胁又分为被动攻击（不改变系统数据，如窃听）和主动攻击（篡改数据或破坏系统，如DoS）。理解威胁分类有助于针对性部署防御措施——被动攻击重在预防（加密），主动攻击重在检测与响应（IDS+应急响应）。
常见攻击类型速查表
| 攻击类型 | 目标属性 | 攻击方式 | 防御要点 |
|---|---|---|---|
| 窃听/嗅探 | 机密性 | 抓包分析明文流量 | TLS加密、网络分段 |
| 流量分析 | 机密性 | 分析通信模式推断信息 | 流量填充、Tor |
| 篡改 | 完整性 | 中间人修改数据包 | MAC校验、数字签名 |
| 伪造 | 完整性/真实性 | 伪造身份或数据 | 双向认证、时间戳 |
| 重放 | 完整性 | 截获合法数据包重新发送 | 随机数Nonce、序列号 |
| DoS/DDoS | 可用性 | 资源耗尽、带宽淹没 | 流量清洗、速率限制 |
| SQL注入 | 机密性/完整性 | 恶意SQL语句操作数据库 | 参数化查询、WAF |
| XSS | 机密性 | 注入恶意脚本窃取Cookie | 输出编码、CSP |
| 社会工程学 | 多属性 | 钓鱼邮件、电话诈骗 | 安全意识培训、MFA |
判断方法：攻击类型识别流程
- 观察现象：系统变慢、文件被加密、异常外联、账号异地登录。
- 定位属性：判断是数据泄露（机密性）、数据异常（完整性）还是服务中断（可用性）。
- 追溯路径：通过日志分析攻击入口（Web漏洞、弱口令、钓鱼邮件）。
- 归类定性：对照攻击类型表，确定是主动还是被动、内部还是外部。
- 启动响应：根据分类选择隔离、清除、恢复或取证流程。
案例拆解：勒索软件双重攻击
背景：某医疗机构遭勒索软件攻击，攻击者同时加密数据库（破坏可用性）并窃取患者病历（破坏机密性），威胁不支付赎金就公开数据。
- 关键参数：加密文件扩展名变为.lock，检测到攻击者通过RDP弱口令进入内网，横向移动至备份服务器并删除备份。
- 分析判断：该攻击同时针对CIA三元组中的可用性和机密性，属于典型的“双重勒索”模式。备份被删除意味着单纯恢复不可行。
- 处置过程：① 隔离感染主机；② 从离线磁带恢复核心业务数据；③ 部署EDR查杀残留；④ 对RDP启用MFA并限制来源IP。
- 结果对比：业务中断36小时后恢复，未支付赎金，但泄露数据被公开，导致声誉损失和监管罚款。
- 复盘经验：备份必须遵循“3-2-1”原则（3份副本、2种介质、1份离线）；攻击检测能力比防护能力更重要，平均检测时间（MTTD）每缩短1小时，损失可降低约30%。