启程：为什么我们需要网络安全攻防？

2024年9月17日，周二，北京国贸地铁13号线的早高峰挤得像沙丁鱼罐头，26岁的林默攥着刚收到的深信服入职offer，被身后拎着包子的大妈挤得几乎贴到车门玻璃上，兜里的手机突然震了一下，屏幕亮起来是一条来自“某快递平台”的短信：【快递理赔】您的包裹在运输中破损，点击链接https://kuaidi-claim.com/xxx即可获得30元赔付，链接24小时内有效。【某快递官方】。林默刚想点开链接，旁边穿灰色冲锋衣、背磨得发白的双肩包的大哥突然拍了下他的胳膊：“别点，钓鱼链接，我上周刚挖过这个域。”没等林默反应过来，大哥已经随着人流挤到了另一节车厢，只留他站在原地，盯着那条短信愣神——钓鱼链接？域？这跟他大学四年学的软件开发有什么关系？

办完入职手续被带到3楼会议室的时候，林默刚好赶上公司每周一次的红蓝攻防演练复盘会。投影幕布上跳着密密麻麻的攻击路径日志，坐在主位的安全主管张姐敲了敲鼠标，点开一段录屏：“上周我们的红队从伪装成‘9月工资调整通知’的钓鱼邮件开始，附件是带宏的Word文档，行政部的小张点了‘启用内容’的一瞬间，远控木马就自动装到了他的电脑上。红队用他的电脑当跳板，横向移动了7台业务服务器，最后拿到了域控制器的管理员权限，整个过程只用了38分钟，比上周快了12分钟。我们的蓝队直到演练结束前10分钟，才在防火墙日志里看到异常的外联流量。”会议室里一片安静，林默盯着屏幕上红队标注的“已获取核心客户数据”的红框，后知后觉地反应过来：原来刚才地铁里大哥说的“挖域”，就是找公司网络里的这种漏洞。

这就是林默第一天上班的第一课：网络安全攻防（Cybersecurity Attack & Defense），从来不是电影里戴着兜帽在黑暗房间里敲代码的黑客炫技，是真实发生在每个人身边、能直接影响你钱包安全、甚至人身安全的日常博弈。

你每天都在经历的网络安全攻防

很多人觉得“网络安全”是个离自己很远的词，要么是政府机关、大厂才需要操心的事，要么是电影里的高科技犯罪，但只要你用过手机、连过WiFi、在网上付过钱，你早就已经无数次身处攻防博弈的第一线了。

2023年夏天，广东东莞的王女士接到一个FaceTime电话，对面的人长得和她老公一模一样，声音、表情、说话的语气分毫不差，说自己在国外谈生意急需200万周转，让王女士立刻转到一个陌生账户。王女士没多想就转了钱，直到晚上老公回国到家，才发现自己上了AI换脸诈骗的当——这就是典型的社会工程学攻击（Social Engineering Attack），攻击者不需要破解任何技术系统，只需要利用人的信任和恐慌，就能轻松拿到钱。据公安部2024年发布的数据，2023年全国共破获AI换脸、AI拟声类电信诈骗案件1200余起，涉案金额超过10亿元，其中超过60%的受害者是完全没有网络安全意识的普通上班族。

再往前数，2021年5月，美国最大的燃油管道运营商科洛尼尔管道公司（Colonial Pipeline）遭到勒索软件（Ransomware）攻击，攻击者加密了公司的调度系统，索要440万美元的比特币赎金。公司为了止损被迫关停了整个东海岸的燃油运输管道，导致美国多个州出现燃油短缺，加油站前排起长龙，油价一周内暴涨了15%，甚至出现了有人持枪抢油的恶性事件。这不是电影情节，是真实发生在世界第一强国的公共安全事件——而攻击者发起攻击的起点，只是因为公司某个员工的弱密码被撞库拿到了。

如果你觉得这些例子还是太远，那你可以看看自己的手机：你收到的“快递理赔”“ETC过期”“社保升级”的短信，是“中奖了点击链接领奖”的弹窗，是QQ里突然跳出来的“老板让你加急转账”的消息，甚至是你刷短视频时跳出来的“恭喜你被抽中iPhone”的广告，90%以上都是攻击者放出来的“诱饵”，也就是我们常说的钓鱼攻击（Phishing Attack）。攻击者就赌你会不会点那个链接、会不会输自己的银行卡密码、会不会下载那个所谓的“领奖APP”，只要你上钩，你的钱、你的身份信息、你手机里的所有隐私，都会变成攻击者的囊中之物。

那到底什么是攻击（Attack），什么是防御（Defense）？我们可以用最通俗的“房子比喻”来解释：

• 攻击就是小偷想尽办法撬你家的门、爬你家的墙、骗你家的保姆给他开门，目的是偷你家的东西，或者把你家的东西砸烂，不让你用。
• 防御就是你在门上装防盗锁、窗户上装防盗网、给保姆做安全培训、门口装监控，目的是不让小偷进来，就算进来了也能及时发现、把他赶出去，把损失降到最低。

放到数字世界里，你家的“房子”就是你的手机、电脑、公司的服务器、城市的电网/水坝/交通系统这些所有联网的数字化资产，“小偷”就是攻击者，他们想偷的东西可能是你的微信钱包里的钱、公司的客户数据、电网的调度权限，甚至是想让整个城市的交通系统瘫痪。而网络安全攻防的核心，就是围绕“小偷想进来”和“户主不想让进来”的永恒博弈展开的。

这个博弈的目标，可以用信息安全领域最核心的“CIA三要素”来概括，这是所有攻防动作的底层准则，哪怕你以后做了10年网安，所有的工作最终都是围绕这三个目标来的： 1. 机密性（Confidentiality）：你的数据只有你能看，别人看不到。比如你的微信聊天记录只有你和对方能看到，黑客窃取你的聊天记录，就是破坏了机密性。 2. 完整性（Integrity）：你的数据不会被篡改。比如你转账的时候给朋友转100块，黑客把你的转账金额改成10000块，就是破坏了完整性。 3. 可用性（Availability）：你想用的时候就能用。比如你付钱的时候微信崩了登不上，就是攻击者破坏了可用性。

任何攻击行为，本质上都是试图破坏这三个要素中的至少一个；而任何防御行为，本质上都是为了保障这三个要素不被破坏。

> [📌 电子版侧边栏：根据中国网络安全产业联盟2024年发布的报告，2023年我国因钓鱼攻击导致的企业数据泄露事件占全年数据泄露事件的37%，个人遭遇的电信诈骗中有62%与钓鱼攻击相关，是当前危害最大的攻击手段。]

攻防演练：红与蓝的永恒博弈

林默参加的复盘会，其实是所有网络安全公司最日常的“练兵”环节，专业名称叫“攻防演练”，也叫“红蓝对抗（Red Team vs Blue Team Exercise）”，是检验攻防能力最核心的方式。

你可以把攻防演练理解成一场“模拟入室盗窃演习”：红队（Red Team，红方）就是“小偷”，他们的任务是不择手段地模拟真实黑客的攻击手法，突破公司的所有防御体系，拿到指定的“目标数据”，过程中不能用任何特殊权限，就像真的小偷一样，只能靠自己的技术找漏洞。蓝队（Blue Team，蓝方）就是“户主和保安”，他们的任务是日常监控公司的所有网络设备、服务器、员工终端，检测红队的攻击，及时阻断，把红队挡在门外，要是红队真的进来了，就要赶紧排查入侵范围，修复漏洞，把“小偷”赶出去，恢复被破坏的业务。

刚才林默看到的演练里，红队用的钓鱼邮件攻击，是当前全球范围内部署最广、成功率最高的攻击手段之一，没有之一。根据 Verizon 2024年《数据泄露调查报告》（DBIR），2023年全球82%的数据泄露事件，初始入侵点都是钓鱼攻击——攻击者根本不需要破解什么复杂的防火墙，只需要发一封伪装成正常的邮件，就能让员工自己把“小偷”引进家门。

那攻防演练到底有什么用？很多人觉得“反正都是模拟，演了也白演”，但实际上，真实的攻击和演练的区别，只在于“有没有造成实际损失”。2022年某国内头部电商公司就是在攻防演练里被红队拿到了核心支付系统的权限，当时红队只是模拟“偷100块钱”，公司觉得“反正是演练，没造成实际损失”就没重视，结果3个月后，真的黑客用同样的手法攻击，偷走了超过2亿的用户的支付数据，公司赔了十几亿，股价暴跌30%，这就是典型的“演练时发现的问题不解决，真出事就是大问题”。

攻防演练的核心价值，从来不是“红队赢了还是蓝队赢了”，而是通过模拟真实的攻击，找到现有防御体系的短板：

• 如果红队用钓鱼邮件拿到了权限，说明员工的安全培训不够，邮件网关的规则要更新，终端的EDR（终端检测与响应）规则要加；
• 如果红队用某个软件的漏洞拿到了服务器权限，说明漏洞补丁没打，漏洞管理流程要优化；
• 如果红队横向移动的时候没被发现，说明内部网络的流量监控不到位，零信任架构要落地。

说白了，攻防演练就是数字世界的“消防演习”：平时多流汗，战时少流血。如果平时不演习，真着火了，所有人都只会乱跑，根本不知道消防栓在哪里，不知道该怎么逃生。

张姐在复盘会的最后，指着屏幕上的攻击路径跟林默说：“很多人觉得我们做网安的是‘抓黑客的’，其实不是，我们大部分时间不是跟黑客斗，是跟‘人’斗：跟员工的弱密码斗，跟管理员忘打补丁的惰性斗，跟公司为了业务方便不落实安全措施的侥幸心理斗。我们做防御的终极目标，从来不是‘抓住所有黑客’，而是‘让攻击者进来一次的成本，远高于他拿到的东西的价值’——如果攻击者花100万成本，只能偷到10块钱的东西，他自然就不会来攻击了。这才是攻防的终极价值：不是让数字世界完全没有攻击，而是让攻击变得‘不划算’。”

攻防世界的版图：核心分支与新兴方向

听完复盘会，张姐带林默参观了公司的攻防实验室，一进门林默就看到了贴满整面墙的思维导图，上面密密麻麻写着各种攻防分支的名称，张姐说：“攻防领域很大，不是只会用个工具扫漏洞就叫懂网安，你可以把整个领域分成两大部分：攻击技术（Offensive Security）和防御技术（Defensive Security），两边是互相促进的‘矛和盾’，攻击技术越强，防御技术也会跟着进化。”林默凑过去看，那张思维导图后来被他拍下来存在了手机里，成了他入门网安的第一张地图：

```mermaid mindmap root((网络安全攻防<br/>Cybersecurity Attack & Defense)) 攻击技术 Offensive Security Web渗透测试 Web Penetration Testing 二进制漏洞挖掘 Binary Vulnerability Mining 社会工程学 Social Engineering 无线安全研究 Wireless Security 工控安全 Industrial Control Security 云安全攻防 Cloud Security 人工智能安全 AI Security 防御技术 Defensive Security 安全运营 Security Operations 应急响应 Incident Response 威胁情报 Threat Intelligence 安全合规 Security Compliance 数据安全 Data Security 零信任架构 Zero Trust Architecture ```

张姐挨个给林默解释每个分支是干嘛的，林默发现，这些分支里的大部分，他平时都接触过，只是从来没往“网络安全”上想过：

• **Web渗透测试（Web Penetration Testing）**：就是找网站、APP、小程序这些互联网应用的漏洞，比如你逛的购物网站有没有漏洞能让攻击者不用密码就登录你的账号，你用的外卖APP有没有漏洞能让攻击者拿到你的地址和手机号，这是当前入门门槛最低、岗位需求最大的攻防分支。
• **二进制漏洞挖掘（Binary Vulnerability Mining）**：就是找操作系统、软件、硬件底层的漏洞，比如Windows系统、Office软件、手机芯片里的漏洞，这类漏洞危害极大，一旦被利用可以控制整个设备，是“高难度、高回报”的攻击方向。
• **社会工程学（Social Engineering）**：就是前面说过的“骗人”，不需要任何技术，只需要利用人的心理弱点，比如伪装成客服骗你的密码，伪装成老板骗财务转账，是“成本最低、成功率最高”的攻击手段，90%以上的攻击初始点都是社会工程学。
• **无线安全（Wireless Security）**：研究WiFi、蓝牙、5G这些无线通信的漏洞，比如你连的公共WiFi是不是能被攻击者窃听你的聊天记录，你家的智能摄像头是不是能被陌生人远程控制。
• **工控安全（Industrial Control Security）**：保护工厂、电网、水坝、交通系统这些工业控制系统的安全，比如电网的调度系统被攻击会导致大面积停电，工厂的PLC系统被攻击会导致生产线爆炸，这类攻击一旦发生就是公共安全事件。
• **云安全攻防（Cloud Security）**：现在90%以上的企业都在用阿里云、AWS这些云服务，云安全就是研究云平台的漏洞，攻击者怎么攻破云服务器偷数据，防御者怎么保护云上的资产。
• **人工智能安全（AI Security）**：这是当前最火的新方向，研究怎么攻击大模型，比如用“提示词注入（Prompt Injection）”让大模型泄露训练数据里的隐私信息，或者让大模型执行恶意指令；同时也要研究怎么防御AI攻击，比如用AI检测异常攻击流量。

而防御技术的各个分支，本质上就是对应攻击的每个环节做防护：

• **安全运营（Security Operations）**：就是日常的“站岗放哨”，7*24小时监控公司的所有网络设备、服务器、终端的日志，发现异常及时报警，是防御的第一道防线。
• **应急响应（Incident Response）**：就是“救火”，真被攻击了，第一时间排查入侵范围，修复漏洞，恢复业务，把损失降到最低，比如公司被勒索软件攻击了，应急响应团队要决定是付赎金还是从备份恢复数据，怎么防止攻击者二次入侵。
• **威胁情报（Threat Intelligence）**：就是“收集敌情”，收集全球最新的攻击手法、漏洞信息、攻击者团伙的活动轨迹，提前给防御体系加规则，比如知道最近有个新的勒索软件团伙在攻击电商行业，就给电商公司的防火墙提前加对应的拦截规则。
• **安全合规（Security Compliance）**：就是“按规矩办事”，满足国家、行业的合规要求，比如中国的《网络安全法》《数据安全法》《个人信息保护法》，还有等保2.0（网络安全等级保护2.0）的要求，金融行业还要满足人行的《金融数据安全 数据生命周期安全规范》，不满足合规要求会被罚款，严重的会被停业整顿。
• **数据安全（Data Security）**：专门保护数据的安全，从数据的采集、存储、使用、传输、销毁全生命周期做防护，比如用户的身份证号、银行卡号要加密存储，不能随便泄露，现在数据安全是监管要求最严的方向之一。
• **零信任架构（Zero Trust Architecture）**：是当前最火的防御架构，核心原则是“永不信任，始终验证”，不管你是公司内部员工还是外部访客，不管你用公司电脑还是个人手机，只要想访问公司的内部资源，都要做身份验证、权限校验，不能因为是内部网络就随便进，解决了传统“内网就是安全的”这个错误认知带来的大量风险。

张姐最后指着实验室里的一台服务器说：“你看，现在所有的攻击和防御，最终都是落在这些看得见摸不着的系统上的，而所有的系统，最终都是为人服务的。我们搞攻防的，不是为了炫技，不是为了抓黑客，是为了让普通人刷短视频的时候不会被诈骗，转账的时候钱不会被人转走，去医院看病的时候系统不会被人攻击导致停诊，坐高铁的时候调度系统不会被人篡改导致事故。你以后做的每一行代码，修的每一个漏洞，写的每一个防御规则，最终都会落到某个具体的人身上。”

340万人的缺口：为什么攻防人才这么稀缺

复盘会结束后，张姐给林默安排了一个入职任务：先看完公司内部的《网安入门手册》，下周参加CTF（Capture The Flag，夺旗赛）新人赛，如果能拿到前10名，就可以进红队实习。林默翻了翻那本厚厚的入门手册，最后一页写着公司的招聘要求：“熟练掌握至少一门编程语言，了解常见网络协议，有CTF竞赛经验或CVE漏洞挖掘

“熟练掌握至少一门编程语言，了解常见网络协议，有CTF竞赛经验或CVE漏洞挖掘经验者优先。”林默把手册翻到最后一页，盯着那行加粗的小字看了三分钟，又翻回第一页的目录：《TCP/IP协议详解》《Web漏洞原理与利用》《Python安全脚本编写》《应急响应流程》……他大学四年学的是软件工程，这些课他要么没在必修课里见过，要么只学了皮毛——TCP/IP他只知道是“网络传输的基础协议”，具体怎么分层、数据包怎么传输、每个端口对应什么服务，早在他备考后端开发岗的时候还给老师了；CTF他听室友提过一嘴，说是“计算机竞赛”，具体赛制、考什么都不清楚；至于CVE，他更是第一次听说这个缩写。

他攥着手册走到张姐的工位旁边，敲了敲桌角：“张姐，请问CVE和CTF是什么？我们招聘要求里写的这些，我目前只会基础的Python，其他都没接触过，是不是不符合要求？” 张姐抬头笑了笑，摘下防蓝光眼镜，拉过旁边的椅子让他坐：“别紧张，我们招应届生本来就没要求你会这些，手册最后一页的要求是给有经验的人看的。来，我给你讲，你刚才在复盘会上看到的那些攻击路径、漏洞编号，其实都跟这两个东西有关。” 她点开电脑上的一个网页，页面上跳出来一串编号：“你看这个CVE-2024-1234，CVE就是*Common Vulnerabilities and Exposures*的缩写，中文叫‘通用漏洞披露’，是全球通用的漏洞编号规则，每一个被发现的、会影响用户安全的漏洞，都会被分配一个唯一的CVE编号，方便全世界的安全人员跟踪、修复。比如你之前听过的Log4j漏洞，正式编号就是CVE-2021-44228，这个漏洞危害有多大你知道吧？全球几百万台服务器都受影响，很多大厂的系统都被攻击过，就是因为这个漏洞太普遍了，只要用了Log4j这个日志组件的系统，几乎都有问题。” 林默点点头，他之前刷技术公众号的时候确实看到过Log4j漏洞的报道，当时只觉得“又一个系统漏洞，跟我没关系”，现在听张姐一说，才发现原来每个漏洞都有统一的编号，全世界的安全人员都在围着这些编号做攻防。 “那CTF呢？”林默又问。 “CTF就是*Capture The Flag*，中文叫‘夺旗赛’，是网络安全领域最主流的竞赛形式，就像你大学的时候参加的ACM程序设计竞赛一样，只不过ACM考的是编程算法，CTF考的是攻防技术。”张姐点开一个CTF竞赛的页面，上面跳出来各种题目：“你看这些题目，有Web类的，让你找网站的漏洞拿到flag；有逆向类的，让你反编译软件找到隐藏的flag；有密码类的，让你破解加密的密文拿到flag；还有二进制类的，让你找程序的漏洞拿到flag。我们公司每周都会组织新人CTF赛，就是让你们在模拟环境里练手，不会真的让你去攻击别人的系统，练得多了，自然就会挖漏洞、做防御了。”

接下来的几天，林默一边看公司的入门手册，一边跟着张姐安排的入门课程学基础，他才知道，原来网络安全攻防这个领域，远比他想象的要大，也远比他想象的要缺人。

-