1. 入侵检测概述：什么是设备入侵、常见攻击类型、为什么需要持续校验

大家好，我是老周。干网络安全这行十几年了，今天咱们聊聊设备入侵检测。说实话，这话题我每次讲都觉得特别沉重——因为踩过的坑太多了。

你想想看，现在哪个公司不是一堆设备？服务器、路由器、摄像头、门禁系统……这些设备一旦被入侵，后果往往比数据泄露还严重。我见过有人把工厂的PLC给黑了，生产线直接停摆，一天损失几百万。嗯，这不是电影情节，是真事。

什么是设备入侵？

设备入侵，说白了就是攻击者通过各种手段，获得了你设备的控制权。注意，我说的是"控制权"，不只是"访问权"。

我个人习惯把设备入侵分成三个层次：

• 浅层入侵：攻击者能读取设备上的数据，但不能修改配置或执行命令。比如通过漏洞读取内存中的密钥。
• 中层入侵：攻击者能修改设备配置，但无法完全控制操作系统。比如改了你的路由器DNS设置。
• 深层入侵：攻击者获得了root权限或等效控制权，设备完全沦陷。我在项目中遇到过，一台服务器被植入rootkit，你查日志都查不到异常。

常见攻击类型

这些年我见过的攻击手法，少说也有上百种。但万变不离其宗，常见的就这几类：

攻击类型	攻击目标	典型手法	危害等级
漏洞利用	系统/应用漏洞	缓冲区溢出、远程代码执行	极高
弱口令爆破	SSH/RDP/Web后台	字典攻击、暴力破解	高
供应链攻击	固件/软件更新包	植入后门、篡改签名	极高
中间人攻击	网络通信链路	ARP欺骗、DNS劫持	高
物理入侵	USB口、调试串口	BadUSB、JTAG调试	中高
社会工程	运维人员	钓鱼邮件、冒充技术支持	中

这里我要特别强调一下供应链攻击。为什么？因为这是最难防的。我曾经帮一家客户做安全审计，发现他们用的某款交换机固件里被人植入了后门。你猜怎么着？那个后门在出厂前就存在了，是上游芯片厂商的SDK里带的。你说这怎么查？

为什么需要持续校验？

好，问题来了：为什么传统的"装个防火墙、打个补丁"就不够了？为什么非要搞什么持续校验？

原因其实很简单——攻击者也在进化。

你想想看，十年前的攻击是什么样？一个大漏洞爆出来，攻击者写个exp，扫一圈，能打进去就打，打不进去就换下一个目标。典型的"打一枪换一个地方"。

现在呢？攻击者会潜伏。他们可能花几个月时间研究你的设备，找到一条隐蔽的路径，植入一个不会触发任何告警的后门。然后呢？他们不急着动手，而是慢慢收集信息，等待最佳时机。

我举个例子。有一次我们做红蓝对抗，蓝队把服务器加固得跟铁桶似的——端口全关了，补丁全打了，入侵检测系统也部署了。结果呢？红队通过一个IoT温度传感器打进去了。那个传感器用的是默认密码，而且因为"不影响业务"，没人管它。红队通过这个传感器作为跳板，一路渗透到了核心数据库。

你说，如果当时有持续校验机制，会怎么样？

• 传感器固件被篡改？校验不通过，告警。
• 传感器网络流量异常？校验不通过，告警。
• 传感器进程列表多了可疑进程？校验不通过，告警。

持续校验的核心逻辑，就是不相信任何一次"看起来正常"的状态。它要求你反复确认：设备还是不是你当初部署的那个设备？

为什么会这样？因为攻击者再厉害，也不可能完全模拟一个设备的正常行为。他们可以绕过签名检测，可以隐藏进程，但总有一些痕迹——比如CPU使用率的微小波动、网络包的时间间隔变化、内存中某个地址的异常写入。持续校验，就是抓住这些"不对劲"的地方。

嗯，这里要注意：持续校验不是万能的。它不能替代传统的安全措施，而是作为最后一道防线。我见过一些团队，上了持续校验系统就觉得万事大吉了，结果连基本的补丁管理都没做好。这就像你装了最先进的防盗门，但窗户大敞着——有什么用？

持续校验的核心知识体系

下面这张图，是我自己总结的持续校验知识体系。你看一遍，大概就知道这门课要讲什么了。

这张图你看懂了吗？四个模块环环相扣。基线管理是基础，没有基线就谈不上异常检测。实时监控是手段，你得知道设备在干什么。异常检测是核心，从海量数据里找出"不对劲"的地方。响应与恢复是兜底，出了问题你得能快速止血。

我曾经在一个项目里吃过亏。当时我们只做了基线管理和实时监控，异常检测用的是最简单的阈值告警。结果呢？攻击者用了慢速攻击，每天只改一点点配置，三个月后才触发告警。那时候数据已经被偷了大半了。从那以后，我坚持任何持续校验系统都必须包含行为基线偏离检测和时间序列分析。

好了，这一章的内容就这些。记住一句话：设备入侵不是"会不会发生"的问题，而是"什么时候发生"的问题。持续校验，就是让你在被入侵后能第一时间发现，而不是等到损失惨重才后知后觉。