信息安全概述

1. 信息安全现状及挑战

1.1 攻击事件频发

       数据泄露：2018 年，万豪酒店发生大规模数据泄露事件，涉及 5 亿客户的姓名、联系方式、信用卡信息等，事件曝光后，万豪酒店股价单日下跌 6.9%，同时面临全球多地监管机构的巨额罚款，品牌形象严重受损。

勒索病毒：2023 年，俄罗斯五十多家企业遭遇新型勒索病毒攻击，攻击者不仅加密了企业核心业务数据，还窃取了大量敏感信息并威胁公开，导致这些企业生产停滞，直接经济损失超过 10 亿美元。

国家安全层面：“棱镜门” 事件曝光后，各国意识到网络安全已不再仅仅是企业层面的问题，而是上升至国家安全高度，多国纷纷出台政策加强网络空间主权保护和关键信息基础设施防护。

APT 攻击：2018 年平昌冬奥会期间，黑客通过钓鱼邮件向组委会工作人员发送带有恶意附件的邮件，成功入侵内部系统，导致比赛期间部分官方网站宕机，赛事信息发布受到严重影响。

个人信息泄露：2022 年，澳大利亚维多利亚州政府因系统漏洞导致 3 万名雇员的个人信息外泄，包括身份证号、薪资信息等，引发民众对政府数据安全管理能力的强烈质疑。

1.2 传统安全防护失效

       传统的防火墙、IPS、杀毒软件等安全产品主要基于特征库进行检测，其工作原理是将检测到的文件或行为与已知的恶意特征进行比对。

       然而，在面对变种恶意软件时，由于其特征发生变化，传统设备无法识别；APT 攻击具有极强的隐蔽性和持续性，攻击手段不断更新，特征库难以覆盖；零日漏洞是指尚未被发现或未被修复的漏洞，传统基于特征的防护对此完全无能为力；BYOD（自带设备）的普及使得企业网络边界模糊，大量个人设备接入内网，传统边界防护设备无法对这些设备进行有效管控。

1.3 安全风险能见度不足

（1）新型威胁难识别：水坑攻击是黑客通过入侵目标群体经常访问的网站，在网站中植入恶意代码，当目标访问该网站时便会感染恶意程序，这种攻击方式隐蔽性极强；鱼叉邮件攻击则是针对特定目标精心制作钓鱼邮件，邮件内容往往与目标的工作或生活相关，极具迷惑性；零日漏洞攻击由于没有现成的防御手段，一旦发生，往往造成严重后果。

（2）内网风险潜伏：黑客在入侵内网后，常常会预留后门程序，以便后续再次进入系统，这些后门程序通常伪装成正常文件，难以被发现；部分合法用户可能违反企业安全规定，私自拷贝敏感数据或安装未经授权的软件，给内网带来安全隐患；还有一些异常的数据外发行为，如大量数据在非工作时间被发送至外部邮箱，这些行为如果不及时发现，可能导致数据泄露。

（3）资产不清：随着企业业务的快速发展，新增的 IT 资产如 ERP 系统、财务系统、OA 系统等不断增多，部分资产由于管理疏漏未被及时归档，成为安全防护的 “盲区”。这些未被管理的资产往往存在较多漏洞，容易被攻击者利用，成为入侵企业网络的突破口。

1.4 缺乏自动化防御手段

       目前多数企业在处理安全事件时仍高度依赖人工操作。当安全事件发生后，需要安全人员手动收集日志、分析事件原因、制定处置方案，整个过程耗时较长。完全修复一个安全事件可能需要数月时间，而其中的一些关键处理阶段，如漏洞验证、恶意文件隔离等，仅因人工操作就可能耗时数周。这种滞后的响应速度使得攻击者有足够的时间扩大攻击范围，造成更大的损失。相比之下，仅有少数技术领先的企业通过部署自动化防御工具，实现了安全事件的接近实时处理，大大降低了安全事件带来的影响。

2. 信息安全的脆弱性及常见安全攻击

2.1 网络环境的开发性

       互联网的 “互联互通” 特性是其最大的优势，它打破了地域限制，实现了信息的快速传播和资源共享。但同时，这种开放性也带来了巨大的安全风险。

       开放性使得网络边界变得模糊，外部攻击者可以从多个途径对网络进行攻击，而且攻击来源往往难以追踪。例如，攻击者可以通过匿名代理服务器隐藏自己的真实 IP 地址，发起攻击后很难被溯源，这给网络安全防护带来了极大的挑战。

2.2 协议栈的脆弱性及常见攻击

（1）协议栈自身脆弱性

       缺乏数据源验证机制：在网络通信中，很多协议没有对数据的发送者进行严格验证，攻击者可以伪造数据源发送虚假信息，导致接收方做出错误判断。

       缺乏机密性保障机制：早期的很多网络协议在设计时没有考虑数据的机密性，数据在传输过程中以明文形式发送，容易被攻击者截获并窃取。

       缺乏完整性验证机制：部分协议无法验证数据在传输过程中是否被篡改，攻击者可以修改传输中的数据，破坏数据的完整性。

（2）各层级常见攻击

（3）基本攻击模式

       被动威胁：主要表现为截获，包括嗅探和监听等方式。攻击者通过在网络中部署嗅探工具，捕获传输中的数据包并进行分析，从而获取敏感信息，这种攻击方式不会对数据的传输和存储造成直接破坏，但会严重破坏信息的机密性。

       主动威胁：包括篡改、中断和伪造。篡改是攻击者非法修改传输或存储中的数据，改变数据的内容，破坏信息的完整性；中断是攻击者通过各种手段使网络服务或系统无法正常运行，如发起 DDoS 攻击导致服务器宕机，破坏信息的可用性；伪造是攻击者伪造虚假的信息或身份，欺骗接收方，如伪造银行网站骗取用户的账号和密码，破坏信息的真实性。

2.3 操作系统的脆弱性及常见攻击

2.3.1 操作系统自身的漏洞

（1）人为原因：在程序编写过程中，为实现不可告人的目的，在程序代码的隐藏处保留后门。

（2）客观原因：受编程人员的能力，经验和当时安全技术所限，在程序中难免会有不足之处，轻则影响程序效率，重则导致非授权用户的权限提升。

（3）硬件原因：由于硬件原因，使编程人员无法弥补硬件的漏洞，从而使硬件的问题通过软件表现。（软件无法解决就大批召回）

2.3.2 缓冲区溢出攻击

原理：缓冲区溢出攻击利用编写不够严谨的程序，通过向程序的缓冲区写入超过预定长度的数据，造成缓存的溢出，从而破坏程序的堆栈，导致程序执行流程的改变

危害：①最大数量的漏洞类型；②漏洞危害等级高。

过程：

防范：

2.4 终端的脆弱性及常见攻击

2.4.1 勒索病毒

定义：勒索病毒是一种特殊的恶意软件，它会感染用户的计算机、手机等终端设备，对设备中的文档、图片、视频等重要数据进行加密，使用户无法正常访问。随后，攻击者会向用户索要赎金，声称只有支付赎金后才会提供解密密钥，让用户恢复数据。

特点：调用加密算法库、通过脚本文件进行Http请求、通过脚本文件下载文件、读取远程服务器文件、通过wscript执行文件、收集计算机信息、遍历文件。

感染与传播方式：

勒索病毒攻击链分析：

复盘一次勒索病毒事件：

发展阶段：

第一阶段（2008 年前）锁定设备，不加密数据：这一时期的勒索病毒功能相对简单，主要通过锁定用户的操作系统界面，阻止用户访问设备，但不会对数据进行加密，如 LockScreen 家族勒索病毒。用户只需重启设备或进行简单的系统修复即可解除锁定，威胁性相对较小。

第二阶段（2013 年前后）加密数据，交付赎金后解密：随着加密技术的发展，勒索病毒开始具备数据加密功能。它们会对用户的数据进行高强度加密，用户必须支付赎金才能获得解密工具，如 CTB-Locker、TeslaCrypt、Cerber 等。这一阶段的勒索病毒给用户造成了较大的经济损失。

第三阶段（2017 年前后）攻陷单点后，横向扩散：以 WannaCry 为代表的勒索病毒出现，它们利用永恒之蓝等漏洞进行蠕虫式横向扩散，能够在短时间内感染大量终端设备，造成大规模的影响。（通过漏洞或弱命令等方式发起蠕虫式攻击）WannaCry 事件导致全球多个国家的医疗机构、企业等遭受重创，引起了社会对勒索病毒的广泛关注。(Satan等）

第四阶段，加密货币的出现改变勒索格局：勒索病毒开始依托比特币等加密货币实现匿名赎金交易，形成了完整的黑色产业链闭环。攻击者通过加密货币收取赎金，难以被追踪，进一步助长了勒索病毒的嚣张气焰。

第五阶段，RaaS模式初见规模：RaaS（勒索即服务）模式兴起，攻击者将勒索病毒的开发、传播、支付等环节进行模块化封装，以服务的形式提供给其他攻击者使用。其他攻击者只需支付一定的费用，就可以获得勒索病毒工具包和定制化服务，大大降低了攻击门槛，如 GandCrab 勒索病毒就采用了这种模式。

2.4.2 其他终端恶意程序

2.4.3 终端安全防范

2.5 其他常见攻击

3. 信息安全要素