第1章 网络安全基础认知：攻防世界的入门指南

早上7点，你被手机指纹解锁的提示音叫醒，点开外卖APP选早餐，刷短视频等外卖上门，填了收件地址让骑手送到公司，上班用内网提交周报，下班刷银行卡账单核对今天的消费——这些你每天重复的动作里，每一个环节都藏着网络安全的影子。你可能觉得网络安全是黑客才关心的事，是互联网公司、政府机构才需要投入精力的事，但实际上，根据CNNIC 2023年发布的第52次中国互联网络发展状况统计报告，我国网民规模已达10.79亿，其中遭遇过网络诈骗、个人信息泄露、账号被盗的网民占比超过22%，相当于每5个上网的人里，就有1个直接遭遇过网络安全的威胁。

1.1 网络安全到底是什么：从你每天刷的手机说起

很多人对网络安全的认知还停留在“黑客攻击服务器”“病毒破坏电脑”的层面，实际上网络安全的覆盖范围远比这广泛。从技术层面看，网络安全是指通过采用必要的技术、管理和法律手段，保护网络系统的硬件、软件及其系统中的数据免受偶然或恶意的破坏、篡改、泄露，保障网络系统的连续可靠运行，同时保护网络用户的合法权益不受侵害。它的核心价值可以拆解为三个层面：对个人而言是保护财产安全、隐私安全和人身安全，对企业而言是保障业务连续、保护核心数据资产，对国家而言是守护关键信息基础设施、维护国家安全和社会稳定。

举个最贴近生活的例子：你用指纹/面容ID解锁手机，背后是生物识别安全技术；你收到的垃圾短信被手机自动拦截，背后是反垃圾安全规则；你在电商平台购物，支付时跳转到银行页面，背后是传输加密和身份认证技术；你公司的内网只有员工能访问，背后是访问控制和安全审计技术——这些你平时感知不到的环节，都是网络安全在发挥作用。

网络安全的核心目标是解决“攻防不对称”的问题：攻击者只要找到一个漏洞就能发起攻击，而防御者需要堵上所有漏洞才能保证安全，这种天然的难度差决定了网络安全从来不是某一项技术、某一个部门的事，而是需要覆盖技术、人、管理、制度多个层面的整体性工程。这也是本书贯穿始终的核心思想：没有绝对安全的系统，只有持续迭代的防御体系。

1.2 攻防世界的四十年：从个人炫技到国家博弈

网络安全的发展史，本质上是攻击与防御持续博弈、不断升级的历史，按照产业和攻击特征的不同，可以划分为三个明显的阶段：

1.2.1 萌芽期（1960-1989）：理论探索与早期实验

这个阶段的计算机和网络还属于军方和科研机构的专属工具，使用者数量极少，攻击行为也更多是理论层面的探索。1967年，美国计算机安全专家就首次提出了“闯入计算机系统的可能性”的论文，首次系统阐述了计算机系统存在的安全风险。1988年11月，康奈尔大学的研究生罗伯特·莫里斯编写了世界上第一个大规模传播的蠕虫病毒“莫里斯蠕虫”，该病毒利用Unix系统的漏洞，在互联网上自动传播，导致当时互联网上约10%的计算机（约6000台）瘫痪，造成了超过1000万美元的损失，这也是人类历史上第一起被广泛关注的网络安全事件。莫里斯最终被判处3年缓刑和1万美元罚金，这一事件也首次让全球意识到网络安全的潜在风险。

1.2.2 发展期（1990-2010）：商业化带来的利益驱动

随着个人电脑普及和互联网商业化，网络攻击从早期的个人炫技逐渐转向明确的利益驱动，病毒、木马、钓鱼等攻击手段开始大规模出现。1999年的CIH病毒是这一阶段的标志性事件，该病毒会破坏计算机主板的BIOS芯片，导致计算机直接无法开机，全球感染规模超过6000万台，造成的直接经济损失超过10亿美元。2003年的“冲击波”病毒利用Windows系统的RPC漏洞传播，导致全球超过1000万台计算机反复重启，大量企业、政府机构网络瘫痪。2006年国产病毒“熊猫烧香”大规模爆发，感染计算机超过2000万台，大量用户文件被破坏，作者李俊最终被判处有期徒刑4年。这一阶段的攻击目标主要是个人用户的账号、密码，以及企业的财务数据，攻击者的获利方式主要是窃取账号变现、传播木马盗取网银资金。

1.2.3 成熟期（2010至今）：有组织攻击与国家博弈

随着移动互联网、云计算、物联网的普及，网络攻击的规模、影响范围和利益驱动都发生了质变：攻击从个人行为升级为有组织的犯罪活动，甚至出现了针对关键基础设施的国家级APT（高级可持续威胁）攻击。2010年发现的“震网”病毒是首个针对工业控制系统的APT攻击，该病毒潜伏了数年，专门攻击伊朗的核浓缩设施，导致伊朗近20%的离心机报废，直接推迟了伊朗的核计划进度，被普遍认为是国家级行为体的攻击行动。2013年的“棱镜门”事件曝光了美国国家安全局（NSA）大规模监控全球网民通信、入侵各国政府和企业网络的行为，首次让全球意识到网络安全已经上升到国家博弈的层面。2017年的“WannaCry”勒索病毒利用NSA泄露的“永恒之蓝”漏洞，在150多个国家传播，感染超过20万台计算机，包括医院、工厂、银行、政府机构在内的大量单位被迫停机，攻击者要求支付比特币作为赎金，造成的直接经济损失超过80亿美元。2020年的“SolarWinds”供应链攻击更是将攻击的影响推到了新的高度：攻击者入侵了为全球3万多家机构提供IT管理软件的美国SolarWinds公司，在其官方软件更新中植入恶意代码，导致包括美国政府机构、微软、英特尔、思科在内的全球顶级机构都被入侵，整个攻击潜伏了超过9个月才被发现，被认为是历史上影响最广的供应链攻击。

这一阶段的攻击呈现出几个明显特征：一是目标精准，攻击者不再大规模撒网，而是针对高价值的政府、企业、基础设施目标发起精准攻击；二是利益驱动明确，勒索软件、数据窃取、商业间谍成为主要的攻击动机，攻击已经形成了完整的黑色产业链；三是影响范围从数字世界延伸到物理世界，比如攻击工业控制系统导致工厂停产，攻击燃油管道导致燃油短缺，攻击电网导致大面积停电，网络安全的现实影响已经远远超出了互联网本身。

1.3 攻防核心逻辑：攻击者与防御者的“猫鼠游戏”

理解了网络安全的发展历程，我们就能更清晰地看懂攻防双方的核心逻辑。攻击者的行为并不是随机的，而是遵循一套固定的流程，目前全球通用的攻击知识库MITRE ATT&CK框架将攻击者的行为划分为14个战术环节，普通人也能轻松理解： ```mermaid graph LR A[侦察踩点] --> B[初始入侵] B --> C[建立持久化] C --> D[权限提升] D --> E[横向移动] E --> F[数据窃取/破坏] F --> G[痕迹清理] ```

• **侦察踩点**：攻击者首先会收集目标的信息，比如目标用了什么系统、有什么对外服务、员工邮箱是什么、有没有公开的漏洞，就像小偷踩点一样，摸清楚目标的防御情况。
• **初始入侵**：攻击者利用找到的漏洞或者社会工程学手段（比如钓鱼邮件）进入目标的网络，比如点开钓鱼邮件下载木马，或者利用系统未打补丁的漏洞直接入侵。
• **建立持久化**：入侵之后攻击者会留后门，比如创建隐藏的管理员账号、安装远程控制程序，确保下次还能进来，不用再重新入侵。
• **权限提升**：普通用户的权限很低，攻击者会利用漏洞把自己变成系统管理员，获得最高权限，这样才能自由访问所有文件和系统。
• **横向移动**：攻击者会

攻击者会从这台被入侵的普通员工电脑出发，横向移动到目标内网的其他设备，比如先从部门共享文件夹找到连接财务服务器、核心数据库的跳板机，逐步渗透到核心资产所在的区域。整个过程中很多攻击者会用已经拿到权限的设备作为跳板，隐藏自己的真实IP，让防御者难以溯源。2022年国内某头部新能源车企就遭遇过这样的攻击：攻击者先通过伪装成“年终奖发放通知”的钓鱼邮件，获取了市场部一名普通员工的办公电脑权限，之后利用该电脑未打补丁的远程桌面漏洞横向移动，先后突破了部门防火墙、核心研发服务器权限，最终窃取了价值超过1.2亿元的电池核心技术数据，该事件导致企业当年新车型发布推迟了整整3个月，直接经济损失超过2亿元。

拿到核心数据后，攻击者会进入数据窃取/破坏环节：如果是窃取数据的攻击，攻击者会把目标文件加密打包，通过加密隧道偷偷传到境外服务器，整个过程会尽量控制流量，避免被流量检测系统发现；如果是勒索软件攻击，攻击者会直接加密目标服务器上的所有文件，然后弹出勒索信息，要求支付比特币等匿名货币才能获得解密密钥。现在很多勒索软件团伙还会玩“双重勒索”：如果受害者不支付赎金，攻击者就会把窃取到的核心数据公开到暗网，导致企业面临商业秘密泄露、用户投诉、监管处罚的多重损失，因此不少企业哪怕有数据备份，也不得不支付赎金。2023年国内某三甲医院就遭遇过这样的攻击，攻击者入侵了医院的挂号、收费、电子病历系统，加密了超过10TB的患者数据，同时窃取了超过50万患者的隐私信息，威胁要公开到暗网，导致医院停诊3天，最终不得不支付了1000万元比特币赎金才恢复系统，期间大量患者无法正常就医，甚至出现了延误治疗的情况。

最后攻击者会进入痕迹清理环节：删除系统日志、删除恶意程序文件、清除操作记录，甚至故意留下其他攻击者的痕迹嫁祸，让防御者难以追溯攻击来源。很多APT攻击会潜伏几个月甚至几年才被发现，就是因为攻击者会刻意隐藏自己的痕迹，避免触发安全告警。

我们可以通过下图更直观地理解攻击者的全流程，以及每个环节对应的防御手段： ```mermaid graph TD A[攻击者侦察踩点] -->|收集目标公开信息| B[初始入侵<br>（钓鱼邮件/漏洞利用）] B -->|获取初始设备权限| C[建立持久化<br>（留后门/隐藏账号）] C -->|长期驻留内网| D[权限提升<br>（获取系统管理员权限）] D -->|突破访问控制| E[横向移动<br>（渗透内网核心区）] E -->|接触核心资产| F[数据窃取/破坏<br>（加密/泄露/销毁）] F -->|完成攻击目标| G[痕迹清理<br>（清除日志/隐藏踪迹）]

H[防御者部署] -->|公开信息防护/漏洞扫描| A H -->|邮件安全网关/终端EDR| B H -->|EDR/日志审计/异常行为检测| C H -->|权限最小化/漏洞管理| D H -->|内网隔离/流量分析| E H -->|数据加密/离线备份/数据防泄漏| F H -->|日志留存/溯源取证系统| G ``` > 📌 侧边栏（电子版适配）：MITRE ATT&CK是目前全球最通用的攻击知识库，它将攻击者的行为拆解为战术、技术、程序三个层级，目前已经收录了超过200种攻击技术，是安全从业人员分析攻击、构建防御体系的核心参考框架，官网可免费查阅完整知识库。

---

1.4 常见网络攻击类型与真实案例

理解了攻击者的通用流程后，我们可以进一步梳理普通人最可能遭遇、也最常被媒体报道的几类攻击，每类攻击都有明确的攻击目标和获利逻辑，并非随机发生。

1.4.1 勒索软件：你的文件正在被“绑架”

勒索软件是近十年增长最快的攻击类型之一，本质是一类专门加密用户文件、要求支付赎金的恶意程序，通常通过钓鱼邮件、系统未打补丁的漏洞、供应链攻击等途径传播。加密的文件通常采用AES-256、RSA-2048等高强度算法加密，没有攻击者的私钥几乎不可能解密，普通用户根本无法自行破解。

现在的勒索软件已经形成了完整的黑色产业链，甚至出现了“勒索软件即服务（RaaS）”的成熟模式：攻击者不需要自己开发病毒，只需要向勒索软件团伙支付一定的“服务费”或者收益分成，就可以发起攻击，大大降低了攻击门槛。根据网络安全公司卡巴斯基2023年的报告，全球每年发生的勒索软件攻击超过1.5亿次，造成的直接经济损失超过300亿美元，其中70%的攻击目标是企业，30%的目标是个人用户。

> 📌 侧边栏：什么是“双重勒索”“三重勒索”？早期的勒索软件只加密文件要赎金，现在团伙通常会多步施压：第一重加密文件要赎金，第二重威胁公开窃取到的敏感数据要赎金，第三重甚至会攻击企业的官方网站、客服系统，瘫痪业务要赎金，很多企业为了避免业务中断和数据泄露，哪怕有备份也会选择支付赎金。

国内也有大量真实的勒索软件攻击案例：2023年6月，国内某连锁零售企业遭遇勒索软件攻击，攻击者通过其供应链合作伙伴的未打补丁的VPN系统入侵了企业的ERP系统，加密了所有门店的库存、财务、会员数据，要求支付200万美元赎金，企业最终选择不支付赎金，花了2周时间从离线备份恢复数据，期间所有门店停业3天，直接损失超过5000万元，还流失了超过10%的会员客户。

> ✅ 普通用户防护指南：定期备份重要文件到离线存储设备（比如移动硬盘），不要和电脑一直连接，这样就算被勒索，也可以从备份恢复，不用支付赎金。

1.4.2 钓鱼攻击：藏在链接和邮件里的“陷阱”

钓鱼攻击是社会工程学攻击的最常见形式，占比超过所有网络攻击的70%——攻击者不需要利用系统漏洞，只需要利用人的心理弱点，伪装成可信的身份（比如银行、客服、领导、同事），诱导用户点击恶意链接、下载恶意程序、泄露账号密码、转账汇款。现在的钓鱼攻击已经非常逼真：仿冒的银行官网和真官网几乎一模一样，甚至域名都只差一个字母；攻击者可以用AI模仿你领导的语气、说话习惯，发的微信/邮件和真的几乎没有区别，普通人很难分辨。

钓鱼攻击通常分为三类： 1. 邮件/文档钓鱼：最常见的形式，攻击者伪装成HR、财务、领导，发带有恶意宏的Word/Excel文档、或者带恶意链接的邮件，用户点开文档或者链接就会下载木马。2023年国内某大型制造企业就是被这种攻击入侵：攻击者伪装成“税务部门”发来“税收调整通知”的Word文档，行政人员点开文档后，宏代码自动执行，下载了远程控制木马，攻击者拿到权限后横向移动到了财务服务器，偷走了超过2亿元的研发资金数据。 2. 短信/即时通讯钓鱼：伪装成快递客服、电商平台、银行客服，说你“快递丢了”“账户异常”“积分要过期”，诱导你点链接填身份证号、银行卡号、验证码，这类攻击的目标通常是个人用户的财产，2023年国内因这类诈骗导致的财产损失超过120亿元。 3. 语音钓鱼（“冒充公检法”诈骗）：攻击者伪造警官证、通缉令、检察院文书，说你涉嫌“洗钱”“诈骗”，要求你把钱转到“安全账户”配合调查，这类诈骗的单笔损失通常最高，2023年国内最高单笔语音钓鱼诈骗损失超过1亿元。

> ✅ 钓鱼识别小技巧：凡是涉及到转账、输密码、填身份证号的链接/邮件/电话，一定要先通过官方渠道核实，比如打银行官方电话、找同事当面确认，不要直接点链接、回电话，所有“安全账户”“保密账户”都是诈骗。

1.4.3 DDoS攻击：让服务器“累到瘫痪”的流量轰炸

DDoS（分布式拒绝服务攻击）是攻击者控制大量的“肉鸡”（被入侵的电脑、手机、物联网设备），向目标服务器发送海量的无效请求，占满服务器的带宽、CPU、内存资源，导致正常用户无法访问服务器。现在的DDoS攻击规模已经可以达到T级别，也就是每秒传输1TB的数据，相当于每秒传输1000部高清电影，普通的服务器根本扛不住，通常只能被迫停机或者支付保护费让攻击者停止攻击。

DDoS攻击的目标通常是商业网站，尤其是电商、游戏、直播等对稳定性要求极高的行业：2023年618期间，国内某头部直播电商平台遭遇了峰值达1.2Tbps的DDoS攻击，导致平台页面无法打开、直播中断，持续了近2个小时，直接损失超过2亿元，大量用户投诉，品牌形象也受到严重影响。很多中小游戏公司、地方性电商网站因为扛不住DDoS攻击，每年需要支付几十万到几百万的DDoS防护服务费，否则就会频繁遭遇攻击。

> 📌 侧边栏：为什么你的手机/电脑也可能成为DDoS攻击的“帮凶”？如果你的设备被入侵成了“肉鸡”，攻击者会在你完全感知不到的情况下，用你的设备向目标服务器发请求，你只会觉得手机变卡、网速变慢，不会发现自己参与了攻击。所以及时更新系统、不下载陌生软件，不仅是为了保护自己的设备

早上7点，你被手机指纹解锁的提示音叫醒，点开外卖APP选早餐，刷短视频等外卖上门，填了收件地址让骑手送到公司，上班用内网提交周报，下班刷银行卡账单核对今天的消费——这些你每天重复的动作里，每一个环节都藏着网络安全的影子。你可能觉得网络安全是黑客才关心的事，是互联网公司、政府机构才需要投入精力的事，但实际上，根据CNNIC 2023年发布的第52次中国互联网络发展状况统计报告，我国网民规模已达10.79亿，其中遭遇过网络诈骗、个人信息泄露、账号被盗的网民占比超过22%，相当于每5个上网的人里，就有1个直接遭遇过网络安全的威胁。

1.1 网络安全到底是什么：从你每天刷的手机说起

很多人对网络安全的认知还停留在“黑客攻击服务器”“病毒破坏电脑”的层面，实际上网络安全的覆盖范围远比这广泛。从技术层面看，网络安全是指通过采用必要的技术、管理和法律手段，保护网络系统的硬件、软件及其系统中的数据免受偶然或恶意的破坏、篡改、泄露，保障网络系统的连续可靠运行，同时保护网络用户的合法权益不受侵害。它的核心价值可以拆解为三个层面：对个人而言是保护财产安全、隐私安全和人身安全，对企业而言是保障业务连续、保护核心数据资产，对国家而言是守护关键信息基础设施、维护国家安全和社会稳定。

举个最贴近生活的例子：你用指纹/面容ID解锁手机，背后是生物识别安全技术；你收到的垃圾短信被手机自动拦截，背后是反垃圾安全规则；你在电商平台购物，支付时跳转到银行页面，背后是传输加密和身份认证技术；你公司的内网只有员工能访问，背后是访问控制和安全审计技术——这些你平时感知不到的环节，都是网络安全在发挥作用。

网络安全的核心目标是解决“攻防不对称”的问题：攻击者只要找到一个漏洞就能发起攻击，而防御者需要堵上所有漏洞才能保证安全，这种天然的难度差决定了网络安全从来不是某一项技术、某一个部门的事，而是需要覆盖技术、人、管理、制度多个层面的整体性工程。这也是本书贯穿始终的核心思想：没有绝对安全的系统，只有持续迭代的防御体系。

1.2 攻防世界的四十年：从个人炫技到国家博弈

网络安全的发展史，本质上是攻击与防御持续博弈、不断升级的历史，按照产业和攻击特征的不同，可以划分为三个明显的阶段：

1.2.1 萌芽期（1960-1989）：理论探索与早期实验

这个阶段的计算机和网络还属于军方和科研机构的专属工具，使用者数量极少，攻击行为也更多是理论层面的探索。1967年，美国计算机安全专家就首次提出了“闯入计算机系统的可能性”的论文，首次系统阐述了计算机系统存在的安全风险。1988年11月，康奈尔大学的研究生罗伯特·莫里斯编写了世界上第一个大规模传播的蠕虫病毒“莫里斯蠕虫”，该病毒利用Unix系统的漏洞，在互联网上自动传播，导致当时互联网上约10%的计算机（约6000台）瘫痪，造成了超过1000万美元的损失，这也是人类历史上第一起被广泛关注的网络安全事件。莫里斯最终被判处3年缓刑和1万美元罚金，这一事件也首次让全球意识到网络安全的潜在风险。

1