很多人刚开始学网络安全最容易一头扎进攻防技术、黑客工具这些“看起来很酷”的东西里。我做了好几年安全相关的工作想说的是真正决定一个系统、一台电脑、甚至一个普通人能不能防住攻击的往往不是你手里有多少高级工具而是你有没有把最基础的安全习惯想清楚。像防火墙原理、弱口令防护、数据备份这些知识点听起来很朴素却是绝大多数真实事故里能不能扛住风险的关键。这篇文章我就用最简单直白的方式把十个必学的基础知识点过一遍新手看完就能照着做不需要你懂代码也不需要你买设备。1. 基础中的基础防火墙到底在守什么1.1 防火墙的核心原理很多人听说过防火墙但问他防火墙到底做了什么往往只能说出“挡病毒”或者“防黑客”。严格来说防火墙不是杀毒软件它是一道按规则放行的关卡作用在数据流经网络的出入口。你可以把它想象成小区门口的保安不是所有进小区的人都拦下来而是先看对方是谁、打算去哪个楼、要做什么事符合规定的放行不符合规定的挡在门外。传统包过滤防火墙看的其实是网络包的头部信息也就是源IP地址、目的IP地址、源端口、目的端口和协议类型。比如内网会设置一条规则只允许外部访问网站的443端口不许访问数据库的3306端口。这条规则写在防火墙上所有经过的网络包都要按顺序匹配匹配到了就直接转发或丢弃。优点是效率高缺点是比较“死板”它只检查单个包不会思考这个包是不是某个合法连接的一部分。后来出现了状态检测防火墙它会记住“这条连接是不是我之前放行过的正常回包”。比如你从内网发起访问某个网站防火墙记录了这条连接当网站服务器回传数据包时虽然是从外网进来的但因为属于已建立的合法连接所以会被放行反过来如果你根本没有发起过连接外面却突然有人往内网发数据包防火墙就会直接丢掉。这个思路比一个包一个包地检查要聪明得多也是现在主流防火墙普遍使用的基础能力。再往上还有应用层过滤防火墙会深入解析HTTP流量看到你访问的是某个具体网站URL而不是只看到端口。但应用层过滤性能开销大配置复杂新手不用急着研究。新手真正需要理解的是“默认拒绝”和“白名单”的思想没有明确允许的一律禁止而不是“能通就通”。很多小单位配防火墙喜欢图省事把端口全放通那防火墙基本就形同虚设了。1.2 新手配置防火墙的注意点家用路由器其实也是一台带防火墙功能的设备很多人却从来没有打开过管理后台。新手第一步应该是登录路由器后台看看“端口映射”“DMZ主机”“远程管理”这些功能是不是都关着。如果不需要远程访问就不应该打开远程管理端口。否则相当于在小区门口开了一个没保安值守的侧门攻击者只要扫描到这个端口就能尝试进入你的管理界面。配置防火墙规则的时候要记住几个原则。一是规则顺序很重要大多数防火墙按从上到下的顺序匹配所以要把“拒绝危险流量”放在前面把“允许正常流量”放在后面避免后面的放行规则把前面的拒绝规则绕过。二是每条规则都尽量写清楚来源IP、目的IP、端口不要直接写成“允许所有人访问所有端口”。三是开启了防火墙日志后一定要找时间看一眼否则你根本不知道它在拦什么。提示防火墙不是装了就能一劳永逸。规则越细致维护成本越高但对整个网络的安全收益也越明显。新手最容易犯的错误是配完规则从不测试、从不看日志出了问题只会关闭防火墙来“解决”这是最危险的思路。2. 弱口令防护最容易攻破却最容易被忽视的门2.1 为什么弱口令是头号风险在历年的安全事件里弱口令导致的问题一直居高不下。所谓弱口令就是那些很容易猜出来或者很容易被工具试出来的密码比如“123456”“password”“admin888”还有使用默认密码不修改的设备。很多人觉得自己电脑没重要东西密码简单点没关系但在攻击者眼里你的设备可能就是一条进入整个网络的跳板。弱口令的可怕在于攻击者不需要多高深的技术只需要拿到一批常见密码再配合自动化工具挨个尝试就能在很短的时间内撞开大量账号。如果你的账号是管理员权限那后果更严重——对方可以直接控制整台设备。更麻烦的是很多设备出厂自带默认账号比如路由器、监控摄像头、打印服务器如果管理员忘记修改这些设备就等于大门敞开。我见过某单位一台对外提供服务的服务器账号用的还是出厂默认口令。攻击者进来之后先是静默观察后来在系统里放了挖矿程序直到服务器变得奇慢无比才被发现。整个过程里防火墙规则、杀毒软件都没有起到任何拦截作用因为对方是用合法账号、正常登录方式进来的。这说明了一个很扎心的道理再强的边界防御也防不住一个未改默认口令的合法账号。2.2 密码策略与多因素认证的落地弱口令防护并不是单纯要求你把密码设得很长而是要形成一个完整的口令使用习惯。对个人来说最重要的有三件事第一不同系统不要共用同一个密码否则一个平台泄露所有平台跟着遭殃第二优先使用密码管理器来生成和保存随机密码比自己在脑子里记强太多第三凡是支持多因素认证的账号一定要开启。多因素认证的原理很简单除了“你知道的密码”还要有“你拥有的东西”或“你身体的特征”比如手机上的一次性验证码、安全密钥、指纹。就算攻击者拿到了你的密码没有第二重验证他也进不来。现在很多邮箱、社交账号、云盘都支持多因素认证强烈建议新手从自己最重要的账号开始开启。对于企业和团队弱口令防护要落到制度上。我建议至少包括第一所有新设备第一时间修改默认口令第二密码长度不少于12位避免使用生日、手机号等公开信息第三管理员账号不用普通业务账号日常操作不要用管理员权限第四每半年或一年做一次账号口令抽查发现弱口令立即整改。常见错误口令攻击者猜中的可能性123456、qwerty极高password、admin极高生日姓名组合较高键盘顺序类如1qaz2wsx较高某个平台泄露的旧密码很高且会拖累其他账号注意不要把所有希望都放在密码上。多因素认证才是弱口令防护的真正兜底尤其是对管理员和财务这类高价值账号。3. 加密让数据在传输和存储中“上锁”3.1 对称加密、非对称加密和哈希的关系加密这个词听起来复杂其实可以拿快递箱来打比方。你给朋友寄一个带锁的箱子如果寄件人和收件人用的是同一把钥匙那就是对称加密——加密和解密都靠同一个密钥。对称加密速度快适合加密大量数据但问题在于怎么安全地把钥匙交给对方。如果钥匙在传输过程中被偷了箱子里的东西自然也就暴露了。非对称加密解决的是“钥匙怎么安全地交给对方”这个问题。它用一对钥匙公钥可以公开给任何人私钥必须自己保管。别人用公钥加密的数据只有用私钥才能解开反过来你用私钥签名的东西别人可以用公钥验证确实是你发的。现代网络通信里的HTTPS证书就是靠这个机制建立了传输层的信任关系。不过非对称加密速度慢所以实际使用中一般混合使用先用非对称加密安全地协商出一个对称密钥再用对称密钥加密真正的数据。这就是HTTPS里TLS协议的基本思路。哈希则和加密不太一样哈希算法是单向的可以把任意长度的数据算成一个固定长度的摘要但理论上不能从摘要反推出原文。它常用于校验文件是否被篡改以及保存密码的散列值而不是用来加密。3.2 实际使用中的加密注意事项新手在日常使用中不需要自己写加密算法但要学会判断“什么时候该用”以及“用的是不是靠谱的加密”。最直观的场景就是打开网站时看地址栏正规网站在浏览器里会显示HTTPS以及一把锁的图标。如果你的登录页面是HTTP开头的那就意味着你输入的密码、账号都是以明文形式在网络中传输的同网络里的人很容易就能看到。这里要特别提醒几点第一不要连接来源不明的公共Wi-Fi在公共网络上登录重要账号时要确保访问的是HTTPS网站第二重要文件在存储和备份时尽量做加密移动硬盘、U盘里的敏感资料要使用加密功能第三永远不要宣称“我自己设计了加密算法”真正的安全体系都经过多年公开检验没有验证过的算法等于没有算法。另外对于企业环境文件加密要覆盖到服务器上的敏感配置和数据库里的个人数据。常见做法是数据落盘时加密传输时用TLS加密备份时也做加密。如果你自己搭过服务不要用已经废弃的早期加密协议尽量选择当前主流推荐的现代协议版本。提示加密不是为了让你变得神秘而是为了让数据在传输、存储过程中即使被截获或偷走对方也读不懂。加密不等于万无一失密钥管理才是加密体系里的真正短板。4. 恶意软件防护不只是装个杀毒软件4.1 恶意软件的类型与传播途径恶意软件是一个大家族常见的有病毒、蠕虫、木马、勒索软件、挖矿程序等。它们的行为各不相同病毒会寄生在文件里并感染其他文件蠕虫可以在网络上自我复制传播木马伪装成正常程序偷偷开放后门勒索软件加密你的重要文件然后要求付费恢复挖矿程序则偷偷占用你的电脑和服务器算力去“挖矿”。它们的传播途径其实比很多人想象的要普通。最常见的不是什么高深的网络攻击而是钓鱼邮件附件、下载站捆绑安装、U盘交叉使用、盗版软件和破解工具。攻击者最喜欢利用的就是用户贪便宜、怕麻烦、想白嫖的心理。只要你从不明网站下载了一个“免费激活工具”并允许它运行恶意软件可能就已经进去了。我记得有一次帮朋友处理电脑故障电脑不断弹出广告后台CPU占用居高不下。排查后发现他安装了一个来路不明的播放器播放器里捆绑了广告插件和挖矿模块。整个过程没有任何“黑客入侵”的迹象纯粹是自己装进去的。所以恶意软件防护的核心不是事后杀毒而是先管住自己的下载行为和安装习惯。4.2 主机加固和终端防护习惯杀毒软件当然要装但要明白杀毒软件只能拦截已知特征或部分行为异常不能保证百分之百。无论Windows还是MAC系统都自带安全防护建议保持开启。同时要做到以下几点第一操作系统和第三方软件开启自动更新及时打补丁第二不要随意运行从聊天软件、邮件附件里下载的文件第三关闭Office办公软件里的宏脚本这类文档是邮件披着“订单”“简历”外衣投递恶意载荷的常见载体。对单位来说主机加固还包括移除不必要的软件和启用防火墙。可以从最简单的做起取消用户的管理员权限让普通员工没有权限安装来历不明的软件统一软件分发渠道不在内网随意共享安装包对外接U盘启用杀毒扫描。如果环境里已经发现了恶意软件第一件事是断网再分析它做了什么最后重装或清除而不是一边查杀一边继续正常使用。还有一点要养成习惯给重要文件做备份。这听起来和恶意软件防护没关系但在勒索软件越来越常见的今天一个能正常恢复的备份往往比昂贵的“解密服务”实在得多。备份不是预防杀毒而是在最坏情况下给自己留后路。5. 漏洞与补丁管理把“已知缺口”堵上5.1 漏洞为什么不可避免任何软件都是人写出来的只要代码足够复杂就会出现设计缺陷和逻辑错误这就是漏洞。漏洞本身不是问题问题在于有些人会利用漏洞来执行命令、窃取数据或破坏系统。安全行业会给重要漏洞编号并公开描述这就是我们常说的漏洞公开编号体系。攻击者会不断研究这些漏洞在官方还没发布补丁或者用户还没更新补丁的时候发起利用。与其期待“没有漏洞的完美系统”不如接受“漏洞一定会出现关键是你有没有及时补上”。很多单位被入侵并不是因为攻击者用了什么前所未见的0day漏洞而是某个补丁发布了很久运维人员一直没去打。我见过一台老服务器维护文档里清楚写着“补丁更新后有兼容性问题暂时不要更新”结果这个“暂时”拖了一年多最终被利用该漏洞的扫描工具扫进来损失比当初的兼容性问题大得多。5.2 个人和企业如何做补丁管理个人用户最简单的做法就是开启操作系统和软件的自动更新。有些人不喜欢更新觉得重启麻烦、界面变化不适应但这种代价和漏洞被利用的代价比起来实在不值一提。尤其是浏览器、网盘、办公软件、远程控制工具这类常被攻击者盯上的程序更要及时升级。企业层面建议建立一套轻量级的资产清单先搞清楚自己到底有哪些服务器、装了哪些软件、版本是多少。连资产都不清楚谈补丁管理就是空谈。然后在资产清单基础上至少每季度做一次漏洞扫描重点修复对外服务的高危漏洞。对暂时无法修复的老旧系统要在防火墙或主机层面做访问限制不能任由它暴露在网络里。处理优先级对象建议做法高对外提供服务的系统24小时内完成补丁测试与安装高管理员日常使用的电脑自动更新重启安排在业务低峰中内网办公终端每周检查一次更新状态低测试环境、临时系统尽量与生产环境隔离不连接敏感网络打补丁听起来不炫但它是最稳定、性价比最高的安全投入。新手学习漏洞管理不需要追着最新漏洞热点跑而是先把自己的系统和软件保持在受支持的最新版本这一步做扎实了就已经超过了很多人。6. 钓鱼攻击与社工防范最大的漏洞是“人”6.1 钓鱼邮件的常见套路钓鱼攻击不靠技术漏洞靠的是欺骗人。攻击者会伪装成银行、人事部门、快递公司或者领导同事给你发一封看起来很正常的邮件或消息诱导你点击链接、下载附件、输入账号密码。它之所以经久不衰是因为直接攻击系统太麻烦骗一个人往往容易得多。常见的钓鱼套路有几个共同点。第一是制造紧急感比如“您的账户将在24小时内被停用请立即登录验证”第二是伪造可信身份发件人名字可能显示成你认识的同事但仔细看邮箱地址会发现多了一个字母或后缀第三是诱导点击链接文字显示的是官网地址实际上指向另一个域名。还有一类是附件投递比如让财务人员打开“发票明细”的压缩包附件里的脚本就会执行恶意行为。识别钓鱼的核心不是靠“看邮件写得真不真”而是靠习惯性怀疑。任何主动索要密码、验证码、转账的信息都要走一遍官方渠道二次确认。我个人的习惯是凡是要登录账号的操作绝对不通过邮件或聊天消息里的链接进入而是自己打开浏览器输入官网地址再登录。6.2 识别与应对钓鱼的实操习惯新手可以从这几个动作开始。第一鼠标悬停在链接上但不要点击查看底部状态栏或邮件客户端显示的真实网址对比是否和预期网站一致第二查看发件人的完整邮箱域名而不是只看显示名称第三收到压缩包或可执行文件附件时先确认发送方身份最好打个电话或当面问一句第四开启多因素认证就算密码被诱骗攻击者也很难完成登录。应对钓鱼比识别更重要的是一套流程如果已经不小心点击了链接或填了密码立刻修改密码并强制退出所有已登录设备涉及财务或敏感数据要在最短时间里通报相关负责人。不要因为觉得丢人而隐瞒现实中很多时候小问题因为瞒报才变成了大事故。对于企业和单位建议定期做“防御性网络钓鱼演练”让大家在模拟邮件中练习判断这类演练对减少真实事件的效果相当明显。7. 数据备份与恢复做好最坏情况的打算7.1 备份的3-2-1原则数据备份这件事几乎所有安全报告都会提但真正认真执行的人并不多。备份不是把文件“多存一份”那么简单而是要保证在硬盘损坏、中勒索病毒、误删除、机房起火等场景下能快速把数据找回来。衡量备份是否有效唯一标准是恢复演练定期把备份的数据恢复一次确认数据可用。业界最经典的备份原则叫3-2-1。意思是至少保留三份数据副本其中两份存放在不同的介质上并且至少有一份存放在异地。三份副本包括正在使用的主文件和两份备份两种介质可以是本机硬盘加外接硬盘也可以是外接硬盘加云存储一份异地是为了防止火灾、失窃等物理灾难把本地所有副本一锅端。对个人而言最简单可执行的方案是“一份重要文件本地工作一份自动备份到外接硬盘一份加密上传到云盘”。云盘同步和云盘备份要区分开如果你只是开了云同步本地删除的文件也会同步删除那并不是安全的备份。想要覆盖“误删”场景就要用带有版本历史功能的备份方案或者定期做独立快照。7.2 备份方案选择与常见误区我对新手的建议是先从最容易被忽视的两种数据开始备份一是手机相册和通讯录二是各类工作文档和账目数据。手机里的很多备份操作只要设置一次就会自动运行。电脑上可以用外接硬盘配合备份软件做定期全量或增量备份不用买多高级的设备稳定就行。常见的误区有三个第一备份完之后从不验证等到要恢复时才发现备份文件早损坏了第二备份介质和电脑放在同一个房间里一旦发生火灾或盗窃备份也跟着没了第三把备份视为可以随意插拔的设备长期不连接真到中招那天才发现备份停留在几个月前。这些都是可以通过“定期恢复测试”和“异地存放”来避免的。对企业来说建议至少区分关键业务数据、重要文件和可重建系统。关键业务数据要做到小时级甚至分钟级备份重要文件做到每天备份系统镜像做每周备份并把镜像保存到异地带存储。数据恢复的演练频率最好和你的恢复时间目标挂钩计划写得再漂亮不演练就是一张废纸。8. 最小权限原则给每个账号刚刚好的权限8.1 最小权限的含义与应用场景最小权限原则翻译成人话就是每个账号、每个程序只给它完成自己工作所必需的那一点点权限不给他多余的权限。这个原则不但适用于人也适用于系统服务和应用程序。比如一个用户只需要处理报表就没必要给他装软件和管理员的权限一个软件只需要读取某个文件夹就不该让它能修改整个系统。为什么这条原则这么重要因为权限一旦放大攻击者只要攻破一个低权限进程就可以横向移动、提权、访问更多敏感数据。反过来如果权限被严格限制即使某个终端中了木马攻击者的操作空间也会非常受限很难把影响扩散到全网。很多勒索病毒在内网蔓延很大程度上是因为员工用的都是管理员账号病毒拿到权限后可以直接感染共享文件和整个局域网。8.2 实施最小权限的步骤实施最小权限并不需要一步到位可以从很小的动作开始。个人电脑上日常账号不要一直用管理员权限设置一个标准用户用于日常上网、办公只有安装软件或改系统设置时再临时用管理员账号。手机上也一样尽量不要越狱或获取管理员权限也不要给不必要的应用授权通讯录、相册、定位等敏感权限。企业里建议按这几个步骤推进第一步建立账号清单搞清楚每个账号归属谁、是干什么的第二步按角色定义权限模板比如“普通员工只能访问公共盘和办公系统”“财务只能访问财务系统”“管理员只能由指定专人持有”第三步关闭离职和转岗人员的账号权限这类账号经常被遗忘第四步每季度做一次权限复核清理过期权限。角色建议权限范围额外说明普通员工办公系统、公共盘、部分业务系统不授予软件安装权限运维人员服务器管理、监控系统按需使用管理员权限且记录操作财务人员财务系统及关联审批双人复核资金操作外包人员只允许访问指定项目目录期限到期自动回收权限最小权限看上去会带来一点不方便安装软件要审批、访问文件要申请但这种“麻烦”恰恰是安全价值的体现。我在实际排查安全事件时发现大多数事情失控根源不是攻击多高明而是权限当初给得太随便。9. 网络边界与分段把风险关在“分区”里9.1 什么是网络分段与安全域很多新手觉得只要装了防火墙、设了复杂密码内网里的电脑就是安全的。可惜现实不是这样网络入侵抵达内网的方式有好几种比如员工电脑中了钓鱼邮件黑客拿到内网控制权比如有问题的Wi-Fi被外人接入比如外部访客进入了办公网络。一旦内部网络全部打通攻击者就可以在内网里横向移动一台电脑沦陷很快蔓延到整个公司。网络分段就是为了打破这种“一马平川”的局面。简单说就是把网络按用途、风险等级切成多个安全域比如办公域、服务器域、访客域、物联网域不同域之间用防火墙或访问控制限制互相通信。之前提到的DMZ就是专门放置对外服务系统的一个隔离区域让外部可以访问必要端口但进入DMZ的设备不能直接访问内部核心网络。家用场景其实更需要分段。把访客Wi-Fi和主人网络分开是最简单也最实用的做法。家人、朋友、客人来家里连接访客Wi-Fi能上网但不能访问你家里电脑、NAS、智能家居设备。这样即便访客的手机已经中病毒也很难通过Wi-Fi影响到你家里的重要设备。很多无线路由器都支持访客网络一般是登录后台在无线设置里启用名字和密码单独设置然后用防火墙规则禁止访客网络访问本地网段。9.2 家用/小企业如何设计网络分段在家庭环境里我建议至少划分两个网络一个是主要设备网络放电脑、手机、NAS这类需要互访的设备另一个是访客和物联网网络放智能音箱、摄像头、扫地机器人、访客手机等。如果是小公司还应该单独划分办公网络和服务器网络把数据库、财务系统这些核心资产放在单独的网段日常办公电脑无法直接访问。具体操作上新手可以登录路由器后台开启“访客网络”和“主网络隔离”功能。如果路由器不支持可以考虑换一台支持VLAN划分且带基础防火墙功能的路由器成本不会特别高。设置时要特别注意访客网络应该默认拒绝访问本地网段只能出外网而主网络可以访问内网设备出外网走默认规则。这样就算访客设备有风险也无法连进家里电脑。网络分段的意义在于“缩小爆炸半径”。它不能阻止所有攻击但能把单点失陷的影响限制在一个小范围内。对企业和家庭来说这个原则都是投入产出比很高的安全措施因为大部分设备都支持配置也不复杂。10. 日志与监控看得见的安全才有救10.1 日志里有答案日志是安全世界里最被低估的东西。路由器、操作系统、防火墙、服务器应用都会记录下各种事件比如谁在什么时候登录了、什么时候配置被改动了、系统报了什么错、防火墙拦了哪些流量。攻击者的每一步操作几乎都会在日志里留下痕迹。如果日志没开、时间不对、保存太短出了事根本没法还原过程。我建议新手从两个最基础的日志开始看一是操作系统的事件日志里面记录了登录成功和失败、计划任务、服务状态变化等信息二是家用路由器或企业防火墙的日志可以看到有哪些来源IP试图连接你的设备。看日志不是让你兼职做安全分析而是要有这个意识安全不是“感觉没问题”而是要“有记录可查”。日志必须配合时间同步才有意义。很多设备默认时间是错的攻击发生在下午记录的却是早上排查时就会非常混乱。所以无论路由器、服务器还是防火墙都要开启时间同步统一到标准时间。日志的保存周期建议至少90天关键系统可以更长这样才够排查和溯源。10.2 新手如何从日志监控开始对新手来说不需要一上来就搞庞大的日志分析平台可以先做两件事第一定期登录路由器后台看看有没有陌生设备接入看看防火墙拦截记录里有没有大量来自外网的可疑扫描第二给自己的电脑开启登录审计特别是管理员账号的登录成功和失败事件如果发现大量失败记录说明可能有人在尝试爆破口令。更进一步可以把日志发送到集中日志服务器或者干脆用现有云服务做基础告警比如设一个规则某账号在一分钟内有超过五次登录失败就发告警到邮箱。不要追求一次性把日志分析做得特别完美先养成“看日志”的习惯每天花五分钟看一眼就知道设备在网络里吐纳的常态是什么。我经常会在排查时遇到这样的情况某系统被黑后管理员说“感觉没什么异常”但一看日志发现攻击者早在几个月前就尝试了上百次弱口令登录。如果那时候有人看了日志及时封禁来源IP、开启双重认证后面的大麻烦完全可以避免。日志就像汽车的仪表盘你至少每周要看一次不能等仪表盘亮红灯了才去拍两下。讲到这里十个别最基本的安全知识点就梳理完了。我个人的体会是这些内容没有一样需要高深的技术背景真正的门槛不是学不会而是做不到长期坚持。很多单位不是不懂是“知道”和“做到”之间隔着一条执行力的河。新手也不用逼自己一天之内全部落地先挑三个最有感触的做起来比如开启多因素认证、把访客Wi-Fi隔离、给手机和电脑做一次备份。这三个动作半小时就能完成带来的是实实在在的安全感。最后再分享一个小技巧把密码和管理员账号这类安全变更写进一份私人的核查清单里每周五花五分钟过一遍。这套习惯养成了你已经是那批基础安全做得比较扎实的人了。
