一、先分清两种敌人

【非法访问】和【有针对性的攻击】这两个词，教材是分开放的，因为它们打法和节奏完全不同：

为什么要区分：因为两种敌人对应两种投入。

• 对机会型攻击，你只要做到【不是最好捏的那个】就行——批量扫描器会去找更容易的目标。
• 对有针对性的攻击，做到【平均以上】没有意义——它就是冲你来的。这时候靠的是能发现异常（而不是拦得住已知攻击）。

但注意一件事：不要因为【我不会被针对】就跳过后面那一节。因为一旦机会型攻击得手，攻击者接下来做的事（提权、找数据、横向移动）和有针对性的攻击是一样的——他们走的是同一条链。

二、动手 Demo：两类攻击与一条攻击链

看到什么算成功：

==================================================================================================
【Demo 3】面临威胁时的安全对策：两类攻击与一条攻击链
==================================================================================================
  谈对策之前，得先分清对手是谁——因为这两类敌人的打法完全不同。

  【一】先分清两种攻击

  对比项          机会型攻击                      有针对性的攻击（APT）
  --------------------------------------------------------------------------------------------
  目标            谁上钩算谁                      只盯你一家
  节奏            快：几分钟到几小时              慢：几周到几个月
  常见入口        弱口令、没打补丁的服务          钓鱼、供应链、0day
  判断依据        撞大运，不看你是谁              明显研究过你的组织
  靠什么挡        基本功就够                      基本功之上还要【盯住异常】

  这一节的关键：教材说的【非法访问】主要是前者，
  【有针对性的攻击】是后者。两者的共同点是——都要经过下面这条链。

  【二】攻击链五步：每一步都是一次拦截机会

  步骤            攻击者在做什么                    对应的对策
  --------------------------------------------------------------------------------------------
  1 初始访问      钓到一组凭据 / 打穿一个洞         MFA、补丁、邮件过滤
  2 立足          植入后门、建立持久化              EDR、应用白名单
  3 提权          从普通账号拿到管理员              最小权限、即时提权
  4 横向移动      从一台机器走到另一台              分段 / 微隔离、东西向监控
  5 达成目标      加密数据、把数据传出去            不可变备份、出站管控

  防线只要在任何一步拦住，整条链就断了——所以【纵深】比【单点够硬】更值钱。

  【三】几个值得记住的数字

    · MFA 能挡住约 99.9% 的自动化凭据攻击（微软安全研究的公开结论）
    · 泄露事件里超过 80% 与凭据被窃有关（Verizon DBIR 历年结论）
    · 已被在野利用的漏洞，补丁窗口按 72 小时算（CISA 口径）
    · 暴露在公网的远程桌面（RDP），是中小企业被攻击的头号入口

  这几个数字指向同一句话：把【身份】看住，比把【网络】砌高更有效。

读结果：

• 第二张表是本节最该记住的一张。它把【对策】按攻击的步骤排列，而不是按设备排列——这个视角的转换很重要：买设备的时候你看到的是【我有防火墙、有杀毒】，按攻击链看的时候才会发现，那条链上有些步骤你根本没有对策。缺哪一步，就是攻击者会走的那一步。
• 最后一列里重复出现的是【最小权限】（第 3 步和第 4 步都靠它）。这一点和本课第五章讲资源管理时的结论一致：权限给多了，出事之后的破坏面就大——它同时是【少出事】和【出了事不至于全完】的两重保险。
• 【三个数字】那一段指向同一个结论：MFA 能挡 99.9% 的自动化攻击、超过 80% 的泄露和凭据有关、公网暴露的远程桌面是头号入口——三条都指向【身份】。 这和过去二十年【把网络边界砌高】的思路正好相反：边界要砌，但边界已经挡不住【用合法身份走进来】的攻击了。

三、纵深防御：为什么每一步都要有防线

【纵深防御】这个词经常被当成口号，其实它是一个很具体的算术：

假设一道防线被突破的概率是 10%。如果只有一道，攻击成功率就是 10%；如果有五道各自独立的防线，成功率是 0.1 的五次方——十万分之一。

但现实中做不到【各自独立】，原因有两个：

• 防线之间会共享同一个弱点。五道防线都靠【同一个密码系统】，那密码被偷一次，五道同时失效。
• 同一个管理者会重复犯同一个错。这是最常见的情况——一处配置写错，往往在别处也写错。

所以纵深的正确用法不是【堆数量】，而是【让每一道防线防的是不同的东西】：

这五层没有一层是【可选的】——因为它们防的不是同一件事。 这也是本节要放在对策开头的理由：后面每一节讲的都是这里的某一层。

四、把身份看住

这一节最反直觉、也最实用的一条是：现代攻击的主要入口已经不是【网络漏洞】，而是【合法身份】。

原因很直接——攻破一个网络漏洞需要技术，而拿到一组有效凭据只需要一封邮件。而且用合法身份登录，所有日志看起来都是正常的。

所以这几年的对策重心发生了偏移：

一句话：从【防住那条路】变成【看清这个人】。 这也解释了为什么本节把【外网暴露的远程桌面】单列出来——它是最典型的【用合法凭据从正门走进来】的通道。

30 秒实验

打开任意一个【我看到过的最夸张的泄露新闻】的复盘文章（搜【数据泄露 复盘】或【postmortem】），只做一件事：

找到【攻击者是怎么进来的】那一段（通常在开头几百字），看看第一条路径是什么。

做完这个你会发现一个高度一致的规律：十篇里有七八篇写的是【一组凭据】或【一个没打补丁的设备】，而不是【一个精妙的零日漏洞】。这就是本节那三个数字想说的话——攻击者不走最难的路，他走最省事的那条。所以安全工作做得最值的部分，往往是最不酷的那部分：MFA、补丁、权限。

常见误区

1. 错误：我们公司太小，不会被盯上，不用管有针对性的攻击。——纠正：这句话前半段对，后半段错。 小公司确实一般不会被专门针对，但【机会型攻击得手之后的那条链】，和不针对你的攻击者走的是同一条——他会提权、找数据、横向移动、留下后门等着卖。所以你要防的不是【第一批攻击者有没有水平】，而是【任何一个人进来之后能走多远】。后者与公司大小无关，只与你的纵深有关。

2. 错误：装的安全设备越多越安全。——纠正：设备多不等于层次多。五台设备如果都只看【网络流量特征】，那它们防的是同一件事——一次绕过特征库的新攻击可以让五台同时失效。本节讲的纵深，要求的是不同层次防不同的事（进不来 / 走不远 / 没权做 / 被发现 / 能恢复）。判断标准不是【有几台】，而是【覆盖了攻击链上的几步】。

3. 错误：攻击链五步，只要把第一步堵死就行了。——纠正：第一步永远堵不死。因为第一步（初始访问）依赖的是【人不犯错】，而人一定会犯错——一封邮件、一次忽略的补丁、一个复用的密码。所以成熟的思路是默认【第一步会失守】，把力气花在【失守之后能撑多久】：怎么尽快发现（检测）、怎么不让它扩散（分段）、怎么还能恢复（备份）。这才是纵深存在的理由。

4. 错误：MFA 装了就万事大吉。——纠正：MFA 也有强弱之分。短信验证码可以被【转号】攻破，推送确认可以被【反复弹窗轰炸】逼用户误点；而基于硬件密钥、把认证和域名绑定在一起的方式，才是真正防钓鱼的。另外 MFA 只保护【登录】那一瞬间——登录之后如果拿到了令牌，攻击者可以【带着令牌】继续用。所以 MFA 是必要的一层，不是唯一的答案（这也是 6-9 要讲【每次验证】而不只是【登录时验证】的原因）。

• ☐ 下一节（6-4 安全对策的物理性架构：多层防御）

相关笔记

• 安全策略的特点 —— 上一篇：先写下要防什么
• 其他安全措施 —— 攻击链第 3、4 步的具体对策
• 接入云服务的连接 —— 从外面怎么连进来（VPN、专线）
• ☁️ 云计算 · 索引 —— 全课路线图