概念

从根目录开始的完整文件路径,不依赖当前所在目录。Linux 以 / 开头,Windows 以盘符开头。

一类管控"谁能看到什么、能做什么、做完留没留痕"的安全控制。是 authentication、authorization、accountability 在系统里的具体落地。

不只是看,还篡改在途数据包的攻击。比被动嗅探危险得多。

攻击者潜入目标系统后长时间维持访问、低调收集情报的攻击模式。通常由国家级或有组织的团伙发起,目标明确、耐心极强、技术高级。

通过操纵 AI / ML 系统来更高效地实施攻击的技术。AI 时代的新攻击面。

在应用里推送广告的软件。本身合法,但灰色地带很多——常和 spyware、PUA 捆绑,偷偷收集行为数据、拖慢机器、改浏览器主页。

解决某个问题的一组明确步骤。在 cybersecurity 里特别重要的是加密算法、哈希算法和密码学算法——它们决定数据被保护得有多牢。

攻击者在 Twitter、Facebook 等平台冒充品牌客服,劫持用户的求助贴,引导用户点钓鱼链接或交出账号信息。

用来预防、检测和清除 malware 和病毒的软件程序。现代版本通常叫 EDR / Endpoint Protection。

一段加密的字符串,代表某个用户或应用的身份和权限,用于程序对程序的鉴权。比用户名密码更适合机器调用,但泄露后果一样严重。

命令需要的具体信息。比如 cp source.txt target.txt 中,两个文件名就是 argument。也叫 positional argument。

Address Resolution Protocol —— 把 IP 地址翻译成 MAC 地址的网络协议。

被组织认为有价值、需要保护的东西。可以是数据、系统、声誉、人。

按敏感度和对组织的重要性给资产贴标签的过程。是 asset management 的前置步骤——不分级就没法决定哪些资产值得花多少钱保护。

组织需要保护的所有资产的目录。不知道有什么资产就没法保护——CIS Controls 把它列为第 1 条不是没原因的。

持续跟踪组织有哪些资产、它们面临什么风险、由谁负责的过程。是 cybersecurity 程序的地基——所有控制、风险评估、合规审计都建立在它之上。

用一对密钥(公钥+私钥)加解密数据。公钥可以随便公开,私钥必须保密。是 HTTPS、SSH、数字签名、PKI 等所有现代安全协议的基础。

攻击者可能下手的所有入口和暴露面的总和。攻击面越大,风险越高——所以加固的第一步永远是"砍掉用不到的东西"。

把"攻击者达成某个目标"拆解成一棵树的威胁建模工具。根节点是目标,子节点是实现路径,叶子节点是具体的攻击手法。

攻击者用来突破安全防御的路径。邮件、USB、未打补丁的服务、社工 —— 每一种"进来的方式"都是一个 attack vector。

验证"你是谁"的过程。密码、生物特征、令牌、证书都是 authentication 手段。是任何安全系统的第一道关。

决定一个已认证用户能访问哪些资源、能做哪些操作。和 authentication 是两件事 —— 先证身份,再分权限。

CIA Triad 的 A —— 授权用户在需要的时候能访问数据。攻得动的数据等于没用。

用某种"好处"或"好奇心"引诱目标主动妥协自身安全的社工战术。经典手法是把带病毒的 U 盘扔在停车场,等人捡起来插进电脑。

网络的最大数据传输容量,单位 bits per second。决定理论上一次能传多少数据,跟实际速度不是一回事。

系统的"标准配置"文档,作为后续构建、发布、更新的基础参考。

HTTP 协议自带的最古老认证方式——把用户名和密码 Base64 编码后塞进请求头。简单,但不加密、不防重放,只在 HTTPS 下才能用。

Business Email Compromise —— 攻击者冒充可信来源(常是公司高管)骗取钱财的钓鱼变种。损失金额最高的网络犯罪之一。

用人的物理特征验证身份 —— 指纹、人脸、虹膜、声纹。属于 authentication 三类因素里的 "something you are"。

Basic Input/Output System —— 计算机开机时跑的第一段代码,负责硬件自检和加载 OS。老系统标配,被 UEFI 取代。

计算机里最小的数据单位,只能是 0 或 1。所有数字数据——文字、图像、密码、加密密钥——本质上都是 bit 串。

在 BIOS/UEFI 之后、操作系统之前运行的小程序,负责把 OS 加载进内存并启动。GRUB、Windows Boot Manager 都是。

一堆被恶意软件感染、受同一个 threat actor 控制的电脑集合。常用作 DDoS 攻击的弹药。

不靠技巧,就靠算力穷举所有可能的密码、密钥或答案。简单粗暴,但只要时间够长就一定能破——除非空间大到宇宙寿命都不够。

公司公开邀请白帽 hacker 找漏洞并按严重程度付赏金的项目。把"被偷"变成"被告知",用市场化方式扩展安全测试覆盖面。

组织在面对灾难、攻击、宕机时,**仍能维持日常生产力**的能力。靠的是预先建立的灾难恢复计划。

Google Cloud 推的云原生 SIEM 工具,用来保留、分析、检索安全数据。可以理解成"云上的 Splunk"。

Confidentiality(保密)、Integrity(完整)、Availability(可用)—— 信息安全所有工作最终都在服务的三个核心目标。

把明文加密成密文的具体算法。Cipher 是 cryptography 的执行单元,AES、RSA、ChaCha20 这些名字背后都是 cipher。

Certified Information Systems Security Professional —— 全球公认、含金量最高的信息安全认证之一。

Command-Line Interface —— 用文字命令跟计算机交互的界面。靠 shell 执行命令。

用互联网上托管的远程服务器、应用和网络服务,代替本地物理设备运行计算任务。

在远程数据中心存储资源和数据,通过互联网访问的服务器/计算机集群。

确保存放在云上的资产配置正确,且只有授权用户能访问 —— 云环境下版本的"门锁和钥匙管理"。

由云服务商托管的软件防火墙,不需要你自己买硬件设备。

CVE Numbering Authority,自愿加入 CVE 计划、负责分析并分发漏洞编号的组织。MITRE 是顶层,微软、Google、Red Hat 这些大厂都是 CNA。

告诉计算机做某件事的指令。CLI 里输入的 ls、cd、grep 都是命令。可以是内置命令也可以是可执行文件。

改变命令行为的输入。通常以 - 或 -- 开头,比如 ls -l 的 -l。也叫 flag 或 switch。

遵守内部标准和外部法规的过程。安全工作很大一部分是为了"过合规"。

恶意代码,附着在合法文件上,运行时干扰计算机操作并破坏数据和软件。Virus 是它的简称。

CIA Triad 的 C —— 只有被授权的人能访问特定资产或数据。

介于内网和外网之间的子网,用来保护内部网络不被外部直接访问。常用作 DMZ 的同义概念。

Central Processing Unit —— 计算机的主处理器,执行所有计算任务。性能由架构、核心数、频率、缓存共同决定。

影响发送方和接收方之间安全通信的攻击。破解加密、伪造签名、绕过完整性校验。

能把 ciphertext 还原成 plaintext 的那串数据。算法可以公开,密钥必须保密——所有加密系统的安全都压在密钥管理上。

研究怎么把信息变成局外人看不懂的形式的学科。Cryptography 是理论,encryption 是它最常见的应用,cipher 和 key 是具体工具。

一种 malware,偷偷在受害者的机器上挖加密货币。不偷数据、不勒索,只偷算力和电费——攻击者闷声发财,你电脑发烫卡顿。

公开的漏洞字典,给每个已知漏洞一个全球唯一编号(如 CVE-2021-44228)。CVE 是行业共同语言——所有扫描器、补丁系统、威胁情报都用这个 ID 对齐。

给漏洞打严重性分数的标准,0-10 分。CVSS 是 patch 优先级排序的通用尺子——9.0+ 是火警,5.0 以下可以排期。

通过保护网络、设备、数据和人,防止未授权访问和恶意利用,从而维护信息的保密性、完整性和可用性的实践。

当前没有被访问、躺在存储介质上的数据。硬盘里的文件、数据库表、备份磁带,都是 at rest 状态。防护手段:磁盘加密、访问控制、物理隔离。

负责安全处理、传输、存储数据的人或系统。Custodian 不决定数据怎么用——那是 owner 的事——只负责把 owner 定的规则落地执行。

从一个地方走到另一个地方的数据——网络包、API 调用、邮件、文件上传都属于这状态。主要防护手段是 TLS/HTTPS、VPN 这类传输加密。

当前被一个或多个用户/进程访问的数据,通常在内存里、缓存里、CPU 寄存器里。这是最难保护的状态——必须解密才能用。

决定数据怎么用、谁能访问、能不能销毁的人。Owner 是决策者,不是技术执行者——执行交给 data custodian。

在网络中从一台设备传到另一台设备的基本信息单位,包含数据和路由信息。

一段具体的信息单元。数据安全和隐私分析的最小处理单位。

信息或数据的有组织集合。安全视角下,数据库是高价值 asset,也是高危攻击面。

Distributed Denial of Service —— 用大量分布在不同位置的设备同时打垮目标。DoS 的多源版本。

用多层独立防护叠加来降低风险的策略。任何单层都可能被攻破,但攻击者要同时打穿好几层才能得手。源于军事,在安全领域是基本原则。

由可信第三方(CA)签发的文件,证明"这个公钥确实属于这个域名/这个人"。HTTPS 浏览器小绿锁背后就是这玩意。

在安全事件发生后收集和分析数据,还原发生了什么。法庭可用证据的标准操作流程。

用来组织其他文件的特殊文件。Linux/Unix 里"一切皆文件",目录也不例外。Windows 里叫"文件夹"。

Domain Name System —— 把人类可读的域名翻译成机器认的 IP 地址的网络协议。互联网的电话簿。

Denial of Service —— 用大量流量淹没目标服务器,让正常用户访问不了。

一种 malware,本身带着真正的恶意 payload,被执行后把 payload 释放并安装到目标系统。Dropper 是"包装盒",真正干坏事的是它里面的东西。

VPN 等技术把敏感数据包裹在其他数据包内的过程,实现保护和传输隔离。

把可读数据转换成密文,让没有密钥的人看不懂。是 confidentiality(保密性)最基础的实现手段。

利用一个 vulnerability 的具体方法或代码。Vulnerability 是"门有缝",exploit 是"撬这条缝的撬棍"。

系统或流程里那种"还没被利用但已经被发现"的失误。和 vulnerability 容易混,但 exposure 更偏"漏出来了"——一旦 threat actor 发现就能用,所以在 CVE 里和 vulnerability 并列。

来自组织外部、对资产构成潜在伤害的因素。攻击者、竞争对手、自然灾害都算。跟 internal threat 相对。

不往磁盘上写文件、直接寄生在系统已有合法程序里运行的 malware。最难防的一类——因为没有可疑文件给杀毒软件扫,所有动作看起来都是 PowerShell、WMI、注册表这些"正常"工具在干。

监控进出网络流量的安全设备/软件,按规则放行或拦截。网络安全的第一道关卡。

站在客户端这边的代理 —— 帮内部用户访问外部资源,同时限制和记录他们的访问。

Graphical User Interface —— 用图标、窗口、鼠标操作的用户界面。跟命令行 CLI 相对。

任何用计算机获得对系统、网络或数据访问权的人。这个词中性,看用途分善恶。

出于政治目的进行黑客攻击的人。动机不是钱,是表达政治立场或推动议程。

计算机的长期存储设备。断电不丢数据,容量大但访问比 RAM 慢得多。HDD 和 SSD 都属于硬盘。

计算机的物理组件 —— 跟运行其上的软件相对的实体部分。

两个不同的输入算出同一个 hash 值。理论上无法完全避免(鸽笼原理),但好的 hash 算法应该让"故意造碰撞"在算力上不现实。MD5 和 SHA-1 就是因为可被人为造碰撞,被踢出密码学场景。

把任意输入转成定长、不可逆代码的算法。密码学的地基组件——存密码、验证文件完整性、数字签名、区块链都靠它。关键性质是单向(不能反推)和抗碰撞(很难造出两个一样的)。

用 hash 值做索引的数据结构,O(1) 查找。在安全场景里特别常见——杀毒软件的恶意文件指纹库、密码字典攻击的预计算表(rainbow table)、IP 黑名单查询都靠它。

Health Insurance Portability and Accountability Act —— 美国联邦法律,保护患者健康信息。处理 PHI 的公司必须合规。

HyperText Transfer Protocol —— 客户端和网站服务器之间通信的应用层协议。明文传输,已被 HTTPS 取代。

HyperText Transfer Protocol Secure —— 加密版的 HTTP。现代网站的标配。

把数据广播给网络上所有设备的老式网络设备。已基本被 Switch 取代,但理解它有助于看懂抓包攻击原理。

远程租用云服务商的底层基础设施——服务器、存储、网络。用户自己装操作系统、自己装应用、自己管一切。

Identity and Access Management —— 一整套让组织管"谁是谁、谁能干什么"的流程和技术。包括身份创建、认证、授权、审计全生命周期。AWS IAM、Okta、Azure AD 都是这一类。

Internet Control Message Protocol —— 设备之间报告网络传输错误的协议。ping、traceroute 的基础。

用大量 ICMP 请求包淹没目标服务器的 DoS 攻击。最基础的洪水攻击之一。

Intrusion Detection System —— 监控系统活动、告警可能入侵的应用。被动检测,不阻止。

安全事件发生时组织如何识别、控制、处理的整套流程。"出事了怎么办"的标准化预案。

防止未授权访问和分发数据的保护机制。和 information security 容易混 —— privacy 关心"谁该看",security 关心"怎么防住不该看的"。GDPR、CCPA、HIPAA 这些法规都在管 privacy。

Information Security —— 在数据所有状态(at rest / in transit / in use)下,让数据远离未授权用户的实践。比 cybersecurity 更广 —— InfoSec 还管纸质文件、口头泄露这些非数字场景。

把恶意代码塞进易受攻击应用里执行的一类攻击。SQL injection、XSS、command injection、LDAP injection 都属于这家族。OWASP Top 10 常年榜首,根因永远是同一个 —— 没把用户输入和代码隔离。

在程序里检查用户和外部程序传入数据的编程实践。所有 web 漏洞的最后一道也是最关键一道防线 —— 注入、XSS、buffer overflow 的根因都是没做这件事或做得不彻底。

CIA Triad 的 I —— 数据是正确、真实、可靠的,没有被未授权篡改。

计算机运行必需的内部组件 —— CPU、RAM、主板、电源、硬盘等。跟外设相对。

来自组织内部或可信关系网的安全风险 —— 现任/前任员工、外部供应商、受信任的合作伙伴都算。

Internet Protocol —— 一组用于在网络上路由和寻址数据包的标准,让数据知道怎么从源头跑到目的地。

标识一台设备在互联网上位置的唯一字符串,像设备的"门牌号"。

改 IP 数据包源地址、冒充别人的攻击。常用来骗过基于 IP 的访问控制。

操作系统的核心组件,负责管理进程、内存、设备。直接跟硬件打交道,应用程序通过 system call 请求内核服务。

Local Area Network —— 覆盖小范围的网络,比如一个办公室、学校或家庭。

已经过时但仍在使用的操作系统。Windows XP、Windows 7 是经典例子。安全风险大但替换成本也大。

开源操作系统。服务器市场的绝对主导,也是安全行业的标准工作环境。

Bourne Again Shell —— Linux 大多数发行版的默认 shell。命令行交互 + 脚本编程的主力工具。

Ubuntu、CentOS、Red Hat、Kali、Parrot —— 这些都是 Linux 的"发行版"。基于同一内核,但定位、包管理、目标用户各不相同。

Filesystem Hierarchy Standard —— Linux 文件系统的目录组织规范。规定了 /etc /var /usr 等目录各自的用途。

很多 Linux 发行版自带的命令行文本编辑器,简单易上手。入门级别用户的好朋友,比 vim/emacs 学习曲线低。

Linux 上对文件/目录的访问控制 —— 用户、组、其他人,各自的读/写/执行权限。chmod / chown 的基础。

Linux 系统中拥有最高权限的用户,可以修改任何文件、运行任何命令。也叫 superuser。日常不应该用 root 登录。

一种"轻量先头部队"型恶意软件 —— 自己几乎不带坏功能,主要任务是连到外部服务器,把真正的 payload 下载下来再装。和 dropper 像表兄弟,区别是 dropper 自带 payload,loader 现去拿。

组织系统内发生事件的记录。安全工作中,没有日志就没有取证、没有审计、没有调查。

Media Access Control address —— 每个物理设备网卡上烧死的唯一字母数字标识符。

任何专门用来伤害设备或网络的软件 —— 病毒、蠕虫、勒索软件、木马都属于这一大类。

软件应用的关键技术属性 —— 响应时间、可用性、失败率等,用来量化评估系统的表现。

Multi-Factor Authentication —— 要求用两种或更多方式验证身份才能访问系统。

一家美国非营利研究开发机构集合,做了很多公共安全资源 —— CVE 列表、ATT&CK 框架、CWE 弱点分类、D3FEND 都是 MITRE 维护的。基本上学网络安全绕不开这名字。

把路由器连到互联网、给 LAN 提供外网接入的设备。中文名"猫"。

一组相互连接的设备。最简单的定义,也是所有网络相关概念的起点。

检查网络日志、找出有价值事件的过程。安全运营的日常工作。

捕获和分析网络流量数据的工具,也叫 packet sniffer。中性工具,运维和攻击都用。

网络上多个设备之间通信的规则集合 —— 数据怎么排序、怎么打包、怎么传输的统一约定。

保护组织的网络基础设施不被未授权访问 —— 防火墙、VPN、网段隔离、入侵检测这一层。

把网络切分成多个独立段,限制攻击者横向移动 —— 一处被攻破不会全网沦陷。

NIST Cyber Security Framework —— 美国国家标准与技术研究院发布的网络安全管理框架,业界最广用的"地图"。

NIST Risk Management Framework —— 美国国家标准发布的 7 步走风险管理流程,把抽象的风险管理变成可重复执行的步骤。

NIST Special Publication 800-53 —— 美国联邦政府的信息系统安全控制项标准目录,大约 1000+ 个具体控制项。

信息的真实性和来源无法被否认的安全属性。靠数字签名、审计日志、时间戳实现 —— 让"这不是我发的""我没签过"这种抵赖在技术上站不住。CIA Triad 之外常被加进来的第四个属性。

让你在不交出密码的前提下,把"指定权限"授予第三方应用的开放标准。"用 Google 登录"、"用 GitHub 授权"背后都是它。注意 OAuth 是授权协议,不是认证 —— OpenID Connect 才是认证。

攻击者把自己塞在两个合法通信方中间,可以拦截、读取、修改在途数据。也叫 MITM(Man-in-the-Middle)。

计算机硬件和用户之间的接口。管理资源、调度任务、提供应用运行环境。

数字取证里,数据保留优先级的排序 —— 越易失的越要先采集,否则就丢了。

Open Systems Interconnection model —— 描述计算机通信的七层标准化模型,从物理硬件到应用程序。

Open Worldwide Application Security Project —— 全球最知名的应用安全非营利组织,出品的 OWASP Top 10 是 web 安全圣经。

云服务商提供的"应用开发平台"。开发者用它写、构建、部署自己的应用,不用管底层服务器、操作系统、数据库。

可以单独安装的软件组件。能跟其他 package 组合成一个完整应用。Linux apt/dnf、Python pip、Node npm 都是包系统。

帮你安装、更新、卸载软件包的工具。apt, dnf, pip, npm, brew 都是。是现代软件分发的核心。

捕获和检查穿越网络的数据包的实践。中性技术,既可以是合法运维工具,也可以是攻击手段。

攻击者只读不动 —— 连到网络 hub 上听所有流量,不修改任何数据。难被发现,但只能看明文。

试图破开密码保护的设备、系统、网络或数据的攻击。是所有攻击里最常见的初始入口之一。

Process for Attack Simulation and Threat Analysis —— 一个以风险为中心的威胁建模框架,7 个阶段,跨多个行业流行。和 STRIDE 比更偏业务视角 —— 不止问"哪有漏洞",而是问"哪些威胁对业务影响最大"。

修复软件或操作系统中已知安全漏洞的更新。最便宜也最被忽视的防御手段。

Payment Card Industry Data Security Standards —— Visa、Mastercard、AmEx、Discover、JCB 五家联合制定的强制性安全标准。只要你的系统接触信用卡数据就要合规,违规罚款 + 失去收单资格,做电商绕不开。

模拟真实攻击者来发现系统、网络、应用、流程中的漏洞。简称 pen test。

接到计算机上、被计算机系统控制的硬件 —— 键盘、鼠标、打印机、USB 设备、显示器等。

Protected Health Information —— 跟个人过去/现在/未来身心健康状况相关的信息。SPII 的一个特定子集,HIPAA 的核心保护对象。

用数字通信骗人交出敏感数据或装恶意软件的攻击。最常见、最有效的入侵方式之一。

启动钓鱼活动所需的软件工具集合 —— 仿冒登录页模板、邮件发送脚本、凭据收集后端、躲检测工具,打包卖。让没什么技术的人也能花几十刀开张钓鱼业务,降低了 phishing 的门槛。

一种影响数字 + 物理环境的安全事件 —— 拿到键盘的人通常等于拿到一切。

攻击者冒充员工/客户/供应商,获得对物理位置的未授权访问。安全攻击里最被低估的一类。

Personally Identifiable Information —— 任何能用来推断出某个个人身份的信息,姓名/地址/身份证号都算。

攻击者发超大 ICMP 包(超过 64KB)让目标系统崩溃。90 年代经典攻击,现代系统基本免疫。

Public Key Infrastructure —— 保护在线信息交换的加密框架,通过数字证书、公私钥对和证书颁发机构(CA)建立可信通信。HTTPS、SSL/TLS、数字签名都建立在 PKI 之上。

安全运营中,针对某类事件的标准化操作手册。出事时按 playbook 走,避免临场拍脑袋。

一组用来降低风险、保护信息的规则。安全策略定义"该做什么、不该做什么",是组织安全治理的最高层文档,下面才是 standards(标准)和 procedures(步骤)。

设备上一个软件位置编号,用来区分同一台机器上的不同网络服务。

防火墙的核心功能 —— 按端口号决定哪些通信放行、哪些拦截。

一种编码技术 —— 先把 SQL 语句的结构编译好,再把用户输入作为参数传进去,而不是拼字符串。是防御 SQL injection 最有效的手段。

只给完成任务所需的最低权限,不多给一点。信息安全最基础也最重要的原则之一。

保护个人信息不被未授权使用的行动。跟数据安全相关但不同 —— 安全是"防外人",隐私是"防被滥用"。

执行特定安全任务的分步指令。Procedure 是 policy 和 standard 落地的具体操作手册 —— 谁、在什么时候、按什么顺序、做什么动作。

写一组让计算机执行任务的指令的过程。安全行业里,编程能力把你从"会用工具"提升到"能造工具"。

数字取证里,正确处理脆弱易失证据的过程。错一步全废,法庭都不认。

替客户端去请求其他服务器的中间服务器。可以做缓存、过滤、隐藏来源、安全审计。

Potentially Unwanted Application —— 跟合法软件捆绑安装的不受欢迎程序,会显示广告、拖慢设备、偷装其他软件。不算严格意义的恶意软件,但很烦人。

一种 baiting 社工手段 —— 攻击者承诺给好处(钱、礼物、技术支持、奖品),骗受害者交出访问权限、敏感信息或直接打钱。拉丁语"something for something"。

预先生成的 hash 值与对应明文的查找表。攻击者拿到密码 hash 后,直接查表反推原文,而不用现场暴力破解 —— 是密码破解最常用的工具之一。

Random Access Memory —— 计算机的短期记忆。运行中的程序、数据都在 RAM 里。断电即丢。

攻击者加密受害者数据,然后索要赎金才解密的恶意软件。近年最猖獗、损失最大的网络犯罪类型之一。

政府或权威机构设定的规则,用来控制某件事的执行方式。Regulations 是法律层面强制要求 —— 违反有罚款、诉讼甚至刑事责任,跟 policy(内部规则)不同。

从当前目录算起的文件路径。不以根目录开头。`./`(当前) 和 `../`(上一级) 是常见标记。

攻击者拦截一个合法数据包,稍后或反复重新发送,冒充原始用户。

站在服务端这边的代理 —— 替后端真实服务器接收外部请求,保护、分流、加速。

任何可能影响资产 confidentiality, integrity, availability 的因素。安全工作的核心就是识别、评估、应对 risk。

通过部署控制项、流程、规则来降低风险影响的过程。是 risk 4 种应对方式中最常见的一种。

文件系统的最顶层目录,所有其他目录都在它下面。Linux 是 /,Windows 是 C:\(或盘符)。

提供远程管理员级访问的恶意软件。Rootkit 的危险之处在于深度隐蔽 —— 通常藏在操作系统底层(kernel)或固件层,杀软难以发现,常用来长期潜伏控制目标系统。

把多个网络连起来的设备 —— 家用路由器连内网和互联网,运营商路由器连不同 ISP。

终端用户通过浏览器使用的应用,服务商负责所有后端。用户什么都不装,打开网页就能用。

在 hash 前给原始数据加一段随机字符串(salt),用来加强 hash 函数。即便两个用户密码一样,加 salt 后 hash 也不同 —— 是抵御 rainbow table 攻击的标准做法。

用恐吓战术让用户主动感染自己设备的恶意软件。典型套路是弹窗"您的电脑发现 50 个病毒,立即清理",诱导下载假杀软或付费"清理"。

由多个组件(工具、流程)组成的安全设计,用来保护组织免受风险和外部威胁。

检查当前安全防护对威胁的弹性如何 —— 是主动找弱点的"压力测试"。跟 security audit 不同:audit 偏合规对照,assessment 偏弹性测试。

对组织的安全控制项、策略、流程进行系统性检查,看是否符合一套预期标准(内部规范或外部法规)。

用来降低具体安全风险的防护措施。可以是技术的、流程的、物理的。

安全从业者做决策时遵循的伦理指南。技术能做的事 ≠ 应该做的事。

帮组织建立安全计划、降低数据和隐私风险的指南体系。给"该做什么"一个完整地图。

支持、定义、指导组织安全工作的实践。把安全从"技术活"提升到"组织战略"的层面。

减小系统漏洞和攻击面的过程 —— 关掉不必要的东西、配紧默认值、打补丁、加防御层。

一个组织防御关键资产和数据、并应对变化的整体能力 —— 不是某个工具,是综合的"安全实力"快照。

公司网络里的一个独立段,用来把内部网络跟互联网隔开。是网络分段的具体实现单位。

用户不应被授予可单独滥用系统的权限级别 —— 把关键操作拆成多个角色,任何单个人都没法独立完成全套敏感动作。是内部威胁和欺诈的核心防线。

跟同一用户关联的一系列网络 HTTP 请求和响应。HTTP 本身无状态,服务器靠 session 把"同一个登录用户的多次请求"串起来 —— 你登录一次就能浏览全站,靠的就是 session。

网站用来验证 session 并决定 session 持续时长的 token。Session cookie 存在浏览器里,每次请求自动带上,服务器据此识别"这是哪个已登录用户"。

攻击者获取合法用户 session ID 的事件。一旦拿到活跃 session ID,攻击者就能直接以受害者身份登录系统,完全绕过用户名密码 —— 哪怕开了 MFA 也无效。

用户访问系统时识别其身份和设备的唯一 token。Session ID 是 session 机制的核心 —— 服务器靠它把"无状态的 HTTP 请求"和"登录用户"对应起来。

Secure File Transfer Protocol —— 在 SSH 之上传文件的加密协议。替代不安全的 FTP。

组织里每个人都对降低风险、维持安全负有主动责任,不只是安全团队的事。云时代也指云厂商和客户之间的责任划分。

把用户输入的命令翻译给操作系统执行的程序。bash、zsh、fish 都是 shell。

Security Information and Event Management —— 集中收集和分析日志、监控关键活动的应用。

SMiShing 是用短信(SMS)伪装成银行、快递、政府机构来骗取敏感信息或诱导点击恶意链接的社工手段,本质是 phishing 的短信版。

攻击者伪造目标 IP 发 ICMP 广播,让整个网络回应都打到目标身上。流量放大型 DDoS。

Simple Network Management Protocol —— 监控和管理网络设备的协议,运维必备。

Security Orchestration, Automation, and Response —— 把多个安全工具串起来、自动化执行 playbook 的平台。

利用人的弱点和错误获取私密信息、访问权限或财物的操纵技术。安全攻击的"人性面"。

攻击者先在社交媒体收集目标信息,再发起定制化钓鱼。情报阶段在 LinkedIn / Twitter / 微信完成。

针对特定用户或群体的定制化钓鱼邮件,看起来像来自可信来源。比普通钓鱼有效得多。

设备发送和接收数据的实际速率,单位 bits per second。跟带宽不是一回事:带宽是上限,速度是真实表现。

Sensitive PII —— PII 的一个特殊子集,泄露后果更严重,处理标准比普通 PII 更高。

Splunk 的云托管版本,用来收集、检索、监控日志数据。功能跟 Splunk Enterprise 一致,运维交给 Splunk。

Splunk 的自托管版本,组织自己部署、运维。用来保留、分析、检索日志数据,提供实时安全告警。

未经用户同意收集隐私信息(键盘记录、浏览历史、账号密码)并出售或回传给攻击者的恶意软件,属于 malware 家族中最隐蔽的一类。

Structured Query Language —— 用来创建、操作、查询数据库的语言。也是最古老攻击形式之一 SQL 注入的攻击面。

SQL 中表示日期/时间的数据类型。时序查询、审计日志、安全分析都靠它。

不包含比较值本身的 SQL 运算符。比如 > 5 不包含 5。

用 WHERE 子句选出符合条件的行。是日志分析、IOC 挖掘最基础的操作。

一张表里的列,引用了另一张表的主键。SQL 表间关联的胶水。

包含比较值本身的 SQL 运算符。比如 BETWEEN A AND B 同时包含 A 和 B。

在数据库上执行意外查询的攻击 —— 利用 web 应用对用户输入校验不严,把恶意 SQL 拼进查询语句,可读取/篡改/删除数据库。OWASP Top 10 的老牌冠军。

SQL 中表示数字的数据类型 —— INT, BIGINT, DECIMAL, FLOAT。选错精度会丢数据或浪费空间。

在 SQL 中表示运算的符号或关键字 —— 比较、逻辑、算术、范围、模糊匹配。

表里每行都有唯一值的那一列,用来标识每一行。SQL 表设计的核心 —— 没主键的表不算严肃的表。

向数据库请求数据的语句。SELECT 是最基本的查询。安全分析师每天写大量 query 从日志表里挖证据。

由多张相互关联的表组成的结构化数据库。靠 primary key / foreign key 建立关联。MySQL、PostgreSQL、SQL Server 都是。

SQL 中表示文本的数据类型 —— VARCHAR, CHAR, TEXT。选错类型会浪费存储或截断数据。

SQL 语句的结构规则。每种数据库方言略有差异(MySQL/PostgreSQL/SQL Server 各家不完全一样)。

在 LIKE 子句中可以替代任意字符的特殊符号。% 匹配任意长度,_ 匹配单个字符。

Secure Shell —— 在远程系统上建立加密 shell 的安全协议。运维和服务器管理的基础工具。

Single Sign-On 把多个不同应用的登录合并为一个,用户登录一次就能访问所有授权系统,提升体验同时也集中了风险点。

程序输出错误信息的默认通道,也叫 stderr。跟 stdout 分开,是为了让正常输出和错误能分别处理。

程序接收输入的默认通道,也叫 stdin。通常是键盘,但也可以是管道、文件重定向。

程序输出正常结果的默认通道,也叫 stdout。通常是终端屏幕,但可以重定向到文件或管道。

告知如何制定 policy 的参考依据。Standards 比 policy 更具体、比 procedure 更抽象,通常来自行业组织或政府(NIST、ISO、PCI DSS)。

跟踪每个连接状态、能主动识别威胁的智能防火墙。比 Stateless 强但开销大。

只按固定规则过滤数据包、不跟踪连接状态的防火墙。简单快但智能差。

把一个网络划分成多个逻辑子网的技术。便于管理、控制广播范围、提升安全。

攻击系统/应用/硬件/软件的某个组件,找到一个漏洞作为部署恶意软件的跳板。一击中,百站陷落。

在网络内部基于 MAC 地址定向转发数据的设备。比 Hub 智能,只把数据发给目标设备。

加密和解密用同一个秘密密钥的加密方式 —— 快、适合大数据量,但密钥分发是难题。AES 是当前事实标准。

攻击者发大量 TCP SYN 包但不完成握手,把服务器的连接队列耗光,正常用户连不进来。

未授权人员紧跟授权人员混入受限区域的物理社工战术 —— 一张工卡进两个人,门禁系统全白买。

Transmission Control Protocol —— 让两个设备建立稳定连接、可靠传输数据流的传输层协议。

现代互联网实际使用的网络分层框架,4 层,简化版的 OSI 模型。

需要掌握具体工具、流程、政策的能力 —— 跟可迁移的软技能相对。

任何能对资产造成负面影响的情况或事件 —— 不一定是攻击,自然灾害、人为失误都算。

任何带来安全风险的个人或组织 —— 涵盖黑客、犯罪组织、国家级行为者,也包括内部人员。

系统性识别资产、漏洞、以及各资产如何暴露于威胁的过程 —— 在写代码之前先想清楚"谁想攻击我、怎么攻击、攻击哪里",省下后期补救成本。

在其他领域学到、但能用到不同职业上的能力 —— 沟通、分析、抗压、团队合作这类。

伪装成合法文件或程序的 malware —— 用户主动下载/运行,以为是正经软件,运行后才释放真实 payload。命名来自希腊神话的特洛伊木马。

User Datagram Protocol —— 不建立连接的传输层协议,牺牲可靠性换低延迟。

Unified Extensible Firmware Interface —— BIOS 的现代替代品。支持大硬盘、快启动、secure boot。

组织网络之外的部分 —— 互联网这种你完全没法控制的区域。

攻击者把感染恶意软件的 U 盘"丢"在目标公司附近,等好奇员工捡起来插进电脑。

用户跟计算机/软件交互的界面。可以是 GUI 也可以是 CLI,也可以是声音、手势等。

创建并维护用户数字身份的全生命周期过程 —— 从入职开账号、给权限,到调岗改权限,再到离职禁用账号,贯穿员工在公司的全过程。

Voice + Phishing。用电话/语音通信骗取敏感信息或冒充可信来源。

Virtual Machine —— 一台物理机上跑的"虚拟版"计算机。安全研究、隔离测试、云服务的基石。

Virtual Private Network —— 在公网上建立加密隧道,把你的流量伪装、保护起来。

系统、流程、人员中可被 threat 利用的弱点。漏洞本身不造成伤害,被攻击者利用了才会。

公司对自家安全系统的内部审查过程 —— 系统性找出漏洞、评估严重程度、排优先级,为后续修补提供路线图。

发现并修补 vulnerability 的完整闭环过程 —— 不止找漏洞,还要修、验证、监控、记录,是一个持续运转的安全运营核心环节。

自动把已知 CVE 数据库跟网络中的实际技术栈做比对,识别哪些资产存在已知漏洞的软件 —— 漏洞管理流程里最基础的工具。

Wide Area Network —— 跨大地理范围的网络,城市、省、国家、跨国都算。

攻击者攻陷目标群体经常访问的网站,等目标自己上钩。像猎人在水坑边埋伏。

利用 web 应用编码缺陷的恶意代码或行为 —— 包括 SQL 注入、XSS、CSRF、SSRF、文件上传漏洞等一大类攻击,OWASP Top 10 几乎全是它。

针对组织高管(CEO/CFO/董事)的 spear phishing —— 因为目标体量大、油水多、决策权限高,所以叫"捕鲸"。

IEEE 802.11 标准定义的无线 LAN 通信规范。家庭和公共场所最常见的无线网络。

系统中任何人都能修改的文件。在多用户系统上是严重安全隐患。

能自我复制并跨系统传播的 malware,不需要宿主文件、不需要用户触发 —— 一旦放出去就像火苗一样自己烧,2003 年的 SQL Slammer 10 分钟感染全球 7.5 万台。

Wi-Fi Protected Access —— 设备安全接入 Wi-Fi 的加密协议。已迭代到 WPA3。

把恶意脚本注入到易受攻击的网站或 web app,等别的用户访问时在他们的浏览器里执行。XSS 是 OWASP Top 10 常客,危害从盗 cookie 到完全接管账号。

之前未知、厂商尚未发布补丁、防御方零天准备时间的 exploit —— 攻击者手里独占的"魔法子弹",黑市单价可达百万美元级。