网络安全基础：常见攻击面与防御思路

网络安全基础：常见攻击面与防御思路引言安全不是买某个产品就能解决的，而是一种“站在攻击者视角看自己”的思维方式。入门第一步，是搞清楚攻击面（Attack Surface）到底在哪里，以及怎么系统地收敛它。一、什么是攻击面攻击面是系统里所有“可能被利用的入口”的总和：一个开放端口、一个登录框、一封邮件、甚至一个员工，都可能是入口。攻击面越大，被攻破的概率越高。安全建设的核心动作之一，就是持续收敛攻击面。二、威胁建模：STRIDE 在动手前，用微软的 STRIDE 模型系统性地枚举威胁： Spoofing（仿冒）：冒充用户或组件。 Tampering（篡改）：修改数据或代码。 Repudiation（抵赖）：操作无法被审计追溯。 Information Disclosure（信息泄露）。 Denial of Service（拒绝服务）。 Elevation of Privilege（提权）。对每个组件问一句“它面临哪几类 STRIDE 威胁”，比凭感觉防护全面得多。三、五类常见攻击面网络层：不必要的开放端口、暴露的管理后台、未打补丁的服务、弱加密协议（如 TLS 1.0）。应用层：Web 漏洞（注入、越权、反序列化）、不安全的接口、错误信息泄露堆栈。身份层：弱口令、凭据泄露、权限过大、缺失 MFA。社会层：钓鱼邮件、电话诈骗、冒充高管（BEC）。供应链（常被忽略）：第三方依赖、开源组件漏洞、构建流水线被投毒。四、纵深防御（Defense in Depth）不要把安全押在单点。网络层有防火墙，应用层有 WAF，身份层有 MFA，主机层有 EDR——任何一层被突破，其他层仍能挡住。 # 用 nmap 自查暴露面，关掉不该开的端口 nmap -sV -Pn your-server-ip # 发现 23/telnet、3389 裸奔？赶紧关掉或加堡垒机五、默认安全与最小权限默认安全：出厂即最严，需要时才放开。例如云厂商默认拒绝所有入站。最小权限：账号只给完成任务所需的最小权限，数据库应用账号不要给 DROP。六、零信任（Zero Trust）传统“内网即可信”已被证伪。零信任主张“永不信任，持续验证”：每次访问都校验身份、设备与权限，无论来自内网还是外网。七、资产与持续监控维护资产清单：你知道自己有哪些 IP、域名、服务吗？看不见的资产最危险。持续监控：对外暴露面会随时间变化（新上线、忘了下线），需定期扫描。八、常见误区 “我们有防火墙就安全了”——防火墙只是其中一层。 “内网机器不用打补丁”——横向移动是攻击标配。 “出了事再说”——事后救火成本远高于事前收敛。小结安全建设的核心是“收敛攻击面 + 多层防御 + 持续监控”。先用 STRIDE 想清楚威胁，再用纵深防御和最小权限把风险压下去。下一篇我们拆解 Web 最常见的两个漏洞：XSS 与 SQL 注入。延伸 OWASP Top 10 MITRE ATT&CK 框架下一篇：《XSS 与 SQL 注入：Web 安全两大经典漏洞》