信息安全概述

一、信息安全现状及挑战

1. 网络安全市场趋势
   中国网络安全市场规模持续增长，2016-2021 年市场规模从 33.55 亿美元增长至 95.80 亿美元，年均增长率保持在 22% 以上，未来 3 年预计将达到百亿美元规模，且增长率几乎未减，市场容量可能翻倍。

2. 威胁升级与攻击频发
   数字化时代下，网络安全事件呈上升趋势，典型案例包括：棱镜门事件使网络安全上升到国家安全高度；平昌冬奥会因钓鱼邮件攻击导致网站宕机；俄罗斯多家企业遭勒索病毒攻击损失惨重；万豪酒店 5 亿客户数据泄露致股价下跌 6.9%；澳大利亚维多利亚州政府 3 万名雇员信息外泄等。

3. 传统安全防护失效
   传统防火墙、IPS、杀毒软件等基于特征库的防护手段，难以应对零日漏洞（未发布补丁的漏洞）、变种恶意软件、APT 攻击（高级持续性威胁）等新型威胁，如同 “马奇诺防线” 般被动。美国前国土资源部部长曾说：“世界上只有两种人，一种是知道自己被黑了的，另一种是被黑了还不知道的”，反映出传统防护的局限性。

4. 安全风险能见度不足

   • 看不清资产：新增资产（如法务系统、财务系统）未被防护，成为攻击者的突破口；
   • 看不见新型威胁：如 VPN 渗透、鱼叉邮件攻击、零日漏洞攻击等；
   • 看不见内网潜藏风险：包括黑客预留的后门、伪装合法用户的违规操作等。

5. 缺乏自动化防御手段
   IDC 报告显示，多数企业依赖人工处理安全事件，部分事件需数周甚至数月才能修复，仅有 17% 使用自动化工具接近实时处理，防御效率低下。

6. 监管标准愈发严苛
   近年来《网络安全法》《网络安全等级保护基本要求》等法规陆续出台，各行业需开展网络安全检查，合规压力增大。

二、信息安全脆弱性及常见安全攻击

1. 核心定义

   • 信息安全：防止数据未授权访问、泄露、破坏等，使数据处于安全状态；
   • 网络安全：计算机网络环境下的信息安全。

2. 常见术语

   • 漏洞：可被威胁利用的资产弱点（如系统缺陷）；
   • 攻击：企图破坏、泄露资产的行为（如黑客入侵）；
   • 0day 漏洞：未发布补丁的漏洞（黑客可利用其发起攻击）；
   • APT 攻击：针对特定目标的长期、高级持续性攻击（如国家层面的网络间谍活动）。

3. 脆弱性分类与攻击

   • 网络环境开放性：互联网的 “连接性” 既是优势也是风险，任何人都可能连接并发起攻击，正如 “互联网的美妙和可怕都在于你能和每个人连接”。

   • 协议栈脆弱性：协议设计存在缺陷（如缺乏数据源验证、机密性保障，缺乏完整性验证机制 ）导致漏洞、TCP 欺骗、IP 欺骗等攻击，不同网络层（物理层、链路层、网络层等）均有对应攻击，例如：

     • 传输层：TCP SYN Flood 攻击（大量发送连接请求占用资源，导致正常用户无法连接）；
     • 网络层：IP 欺骗（伪造源 IP 地址，冒充合法用户）。

   • 网络基本攻击模式：

     • 截获（被动威胁）：通过嗅探、监听获取信息（如黑客监听无线网络获取密码）；
     • 篡改（完整性破坏）：修改数据包内容（如篡改交易金额）；
     • 中断（可用性破坏）：发起拒绝服务攻击，使服务瘫痪（如攻击电商网站使其无法下单）；
     • 伪造（真实性破坏）：伪装成合法实体（如伪造银行网站骗取账号）。

   • 物理层攻击：包括设备破坏（如砸毁服务器）、线路窃听（如光纤监听），以及自然灾害（如暴雨冲毁数据中心、地震损坏设备）。应对办法是建设异地灾备数据中心（如某公司在上海和北京各建一个数据中心，互为备份）。

   • 链路层攻击：

     • MAC 洪泛：攻击者向交换机发送大量不同 MAC 地址，填满交换机的 MAC 地址表，导致交换机只能广播数据，攻击者借此获取信息（类似 “把快递柜塞满假地址，快递员只能广播喊人取件，偷听谁来取”）；
     • ARP 欺骗：当 A 要和 B 通信时，黑客冒充 B 向 A 发送自己的 MAC 地址，A 后续发给 B 的数据都会被黑客截获（好比 “你想给小明寄信，骗子告诉了你他的地址，结果信全到了骗子手里”）。

   •  网络层攻击：IP 欺骗、Smurf 攻击、ICMP 攻击（如向目标发送大量 “目的不可达” ICMP 报文，导致其无法接收正常数据）。

   • 传输层攻击：TCP 欺骗、TCP/UDP 拒绝服务、端口扫描，其中 TCP SYN Flood 攻击通过大量发送连接请求，占用资源导致正常用户无法连接至；

   • 应用层攻击：DNS 欺骗最常见，黑客篡改 DNS 数据，例如将 “深信服” 的域名指向假网站 “三信服”，用户输入正确域名却进入钓鱼网站。

   • 操作系统脆弱性：

     • 漏洞原因：
       人为原因
       ➢ 在程序编写过程中，为实现不可告人的目的，在程序代码的隐藏处保留后门。 客观原因
       ➢ 受编程人员的能力，经验和当时安全技术所限，在程序中难免会有不足之处，轻则影响程 序效率，重则导致非授权用户的权限提升。
       硬件原因
       ➢ 由于硬件原因，使编程人员无法弥补硬件的漏洞，从而使硬件的问题通过软件表现。
     • 典型攻击：缓冲区溢出（向程序输入超过预定长度的数据，破坏内存堆栈，执行恶意代码），例如某程序预期接收 100 字符，攻击者输入 200 字符，多余内容覆盖关键内存，导致程序执行黑客指令。
       缓 冲 区 溢 出 的 危 害：
       ➢ 最 大 数 量 的 漏 洞 类 型
       ➢ 漏 洞 危 害 等 级 高
       
       缓冲区溢出攻击过程及防御
       

   • 终端相关攻击：

     • 勒索病毒：
       
       • 发展阶段：
         勒索病毒第一阶段：锁定设备，不加密数据
         勒索病毒第二阶段：加密数据，交付赎金后解密
         勒索病毒第三阶段：攻陷单点后，横向扩散
         勒索病毒第四阶段：加密货币的出现改变勒索格局
         勒索病毒第五阶段：RaaS模式初见规模
       • 传播方式：钓鱼邮件（附件藏病毒）、蠕虫式传播（利用漏洞自动感染其他设备）等；
       • 案例：2019 年某企业因 3389 端口暴露，被黑客慢速爆破后植入勒索病毒，导致多台服务器数据被加密；
         
       • 防护：通过云端威胁情报、终端安全软件（EDR）、安全感知平台等协同防御。
     • 其他终端攻击：挖矿病毒（占用 CPU/GPU 挖比特币，使电脑变卡）、木马（如黑客通过 “服务器程序” 控制用户电脑）、蠕虫病毒（自我复制并通过网络传播，如爱虫病毒）。

   • 其他攻击类型：

     • 社工攻击：利用心理弱点获取信息（如冒充客服套取密码），防御需定期更换高强度密码；
     • 拖库、洗库、撞库：黑客盗取数据库（拖库）、变现数据（洗库）、用盗取的账号密码尝试登录其他平台（撞库），防御需使用独立密码、安装杀毒软件；
     • 钓鱼攻击：伪装成可信对象骗取信息（如伪造银行邮件）；水坑攻击：入侵目标常访问的网站，植入恶意软件（如某公司员工常上某论坛，黑客入侵该论坛感染员工电脑）。

三、信息安全要素

信息安全的核心是保障 “五要素”，缺一不可：

1. 保密性：确保信息不被未授权者获取，例如通过加密技术，即使信息被截获，攻击者也无法解密（如银行卡密码加密传输）；
2. 完整性：防止信息被篡改，例如通过校验机制，发现 “深信服科技” 被改为 “深信服信锐子公司” 时能及时识别；
3. 可用性：授权者能正常访问资源，例如抵御勒索病毒，避免数据被加密后无法使用；
4. 可控性：控制信息流向，例如限制敏感数据仅内部人员访问；
5. 不可否认性：通过审计日志等追溯行为，例如记录谁登录了服务器，避免 “抵赖”。

举例：QQ 被盗涉及保密性被破坏（聊天记录泄露）；数据被删除涉及完整性被破坏；勒索病毒加密数据导致可用性丧失。

四、整体安全解决方案

1. 企业安全建设目标：实现风险可视化（看见风险）、防御主动化（主动抵御）、运行自动化（全天候运营）、安全智能化（智能对抗未知威胁）。

2. 传统方案痛点：依赖产品堆叠（如防火墙 + IPS+WAF 简单组合）、重边界防护（边界被突破后内网无防护）、被动防守（仅应对已知威胁）。

3. 深信服安全架构：

   • 核心思路：从 “产品堆叠、边界防护、被动防守” 转向 “风险驱动、立体保护、主动防御”；
   • APDRO 架构：通过智能（AI）、检测（发现威胁）、防御（阻断攻击）、响应（处置事件）、运营（落地管理）构建体系；
   • 网端云协同：云端提供威胁情报，网络层部署防火墙等边界防护，终端通过 EDR（终端检测响应）加固，结合管理制度和运营体系，形成全方位防护。

4. 关键实践：

   • 安全分域：将网络划分为非安全区、半安全区、安全区、核心安全区，控制区域间访问；
   • 上网行为管控：监控并限制与工作无关的上网行为（如下载无关软件），合理分配带宽；
   • 纵深边界防护：识别资产和高危端口，优化安全策略，阻断黑客攻击链；
   • 安全大脑：整合多源数据（内网告警、威胁情报等），通过 AI 和大数据分析，实现风险预测、快速处置（如自动阻断异常连接）。