波仔
🛡️ 第一章 信息安全的基本概念
📄 一句话概括

威胁分三个方向——人为威胁、技术性威胁、物理性威胁；三类里最容易被漏掉的是物理性，因为它不在屏幕上。

📝 本节和前面几节的关系

上一节（信息安全中不可或缺的认知）建立了"资产—威胁—风险"这条线，其中的【威胁】只做了一句话介绍。这一节把它拆开。

为什么要拆？因为分类的作用是防漏。不做分类，安全清单会长成同一个样子：防火墙、杀毒、打补丁——全是技术侧的东西。做了分类你才会发现，还有一整类事情（门禁、空调、光缆）从头到尾没人管。

一、三个方向，各问一句话

教材把威胁分成三类。每一类都可以用一句提问来记住：

类别 一句话提问 典型例子
人为威胁 人会做错或故意做坏事吗？ 误发邮件、离职带走资料、内部违规、钓鱼上钩
技术性威胁 系统会被钻空子吗？ 漏洞利用、弱口令、注入攻击、恶意软件
物理性威胁 环境会把设备弄坏吗？ 断电、过热、水浸、断线、设备老化、雷击

这三类不是按"严重程度"分，而是按"来源的方向"分。这么分的好处是：每一类对应一批不同的负责人和不同的动作。

一个组织如果把三类放在一个人身上，基本可以断定第三类没人管。

二、人为威胁：不是只有"坏人"

人为威胁里要再分两半，这一点教材说得比较简，但实际很重要：

第一半是"有意"的：内部人员为了利益导出数据、外部人员用社交手段套取信息。这类威胁在现实中的成本往往最高，因为他们用的是合法权限——系统看到的是一次正常登录、一次正常下载。

第二半是"无意"的：发错收件人、把文件传到公开的分享链接、把口令写在便签上、点了钓鱼邮件。这一半的数量远大于前一半。

这个区别决定了防护思路完全不同：

三、技术性威胁：变化最快的一类

技术性威胁的特点是更新速度最快：

这个时间差就是技术性威胁的全部空间。所以这一类的应对不是"一次做完"，而是建立一个能持续跑起来的机制：资产清点 → 漏洞发现 → 评估影响 → 修复 → 复核。

这里有一个新手最容易误解的点：

技术性威胁不是"高手的专利"。 大量技术性攻击用的是已经公开好几年的老漏洞——因为还有大量系统没打补丁。这也是上一节说的：威胁你改不了，但脆弱性你改得了。

四、物理性威胁：最容易被漏掉的一类

这一类在教材里的篇幅通常不大，但在现实中出事的时候特别难看，原因很简单：

它不在屏幕上，所以不在检查表上。

想想这几个场景：

物理性威胁有三个特点，值得单独记住：

  1. 它的故障通常是"整体性"的：一台服务器坏了还有别的，但机房断电是全停。
  2. 它的修复时间往往很长：光缆要挖开重接，空调要等人来修。
  3. 它常常是"技术防护的旁路"：进了机房，拔掉硬盘就走，加密和防火墙都拦不住。

所以物理性威胁的应对思路是两句话：冗余（不要有单点）和隔离（不该进的人进不来）。

五、动手 Demo：威胁分类体检器

下面这个 Demo 把 13 条威胁自动分到三类，然后检查覆盖面——哪一类是这份清单的短板。

def bucket(text):
    if any(k in text for k in ("施工", "光缆", "机房", "硬盘", "雷击", "空调", "断电")):
        return "物理性"
    if any(k in text for k in ("漏洞", "口令", "注入", "恶意软件", "病毒", "攻击")):
        if "写在便签" in text:
            return "人为"          # 明明是技术词，但根源在人
        return "技术性"
    return "人为"

实跑输出：

==========================================================================
一、逐条归类
==========================================================================
  人为    员工把口令写在便签上              ✅
  人为    离职人员带走客户资料              ✅
  人为    供货商内部人员动手脚              ✅
  人为    钓鱼邮件骗到账号                  ✅
  技术性  操作系统漏洞被利用                ✅
  技术性  弱口令被批量尝试                  ✅
  技术性  Web 应用注入攻击                  ✅
  技术性  恶意软件侵入终端                  ✅
  物理性  机房空调故障导致过热宕机          ✅
  物理性  施工挖断光缆                      ✅
  物理性  硬盘老化损坏                      ✅
  物理性  无关人员进入机房                  ✅
  物理性  雷击烧毁设备                      ✅

==========================================================================
二、覆盖面检查
==========================================================================
  人为       4 条    30.8%    ████
  技术性     4 条    30.8%    ████
  物理性     5 条    38.5%    █████

  合计 13 条

  ④ 三类里最容易漏的是【物理性】：它不在屏幕上，
     所以安全清单常常只写【人不守规矩】和【系统有漏洞】，
     真出事时才发现是空调、光缆和门禁。

  ⑤ 分类不是为了贴标签，是为了【不漏项】：
     三类各问一句——人会不会做错？系统会不会被钻？
     环境会不会出事？三个都答得上来，清单才算齐。

读这个输出：留意第一条"员工把口令写在便签上"——它写起来像技术问题（口令），但根源在人。归类的作用不是争论它"到底算哪一类"，而是提醒你去问：这件事该由谁负责改？ 口令策略是技术配置，但"写在便签上"这一步是行为，得靠习惯和工程一起改（比如换成口令管理器）。

六、⚠️ 2026 现状

30 秒实验

打开你所在环境（公司、学校、家里）的脑子里的"安全清单"，快速过一遍：

  1. 你能说出一条人为威胁的应对措施吗？（比如离职当天停账号）
  2. 你能说出一条技术性威胁的应对措施吗？（比如定期打补丁）
  3. 你能说出一条物理性威胁的应对措施吗？（比如门禁记录、空调告警）

如果第三条你答得比前两条慢——这就是最典型的"物理性盲区"。能答出来，说明你的清单是完整的三类；答不出来，说明这一类目前是空的。

常见误区

  1. 错误：物理安全是保安和物业的事，跟信息安全无关。——纠正：物理入口是技术防护的旁路——进得了机房，加密、日志、防火墙全都失去意义。安全体系里的物理层从来不是"另一个部门的事"，它是所有其他层的前提。

  2. 错误：威胁分类只是为了把报告写整齐。——纠正：分类的真正用途是派活。三类对应三批不同的措施和三批不同的人；不做分类的表现就是"所有安全问题都堆在 IT 部门手上，然后一件也做不完"。

  3. 错误：人为威胁主要是有内鬼。——纠正：无意的失误数量远大于有意的违规。把安全资源全押在"防内鬼"上，会漏掉实际占比最大的那部分——发错、点错、传错。防失误的思路是"降低出错的代价"，而不是"要求人不出错"。

  4. 错误：技术性威胁要靠最新最强的工具来解决。——纠正：大量技术性攻击利用的是已经公开多年的旧漏洞。把基础的资产清点、补丁管理、默认配置改好，收益远大于追新工具。

自测三问（点开对答案） 1. 员工把公司文件上传到未获批准的个人网盘，属于哪一类威胁？为什么？ —— 归类上属于**人为威胁**（行为由人做出），且多为**无意**（他多半只是想方便）。但它的**技术侧应对**是存在的：出口管控、DLP、可用的企业网盘。这就是分类的实际用法——**根源在一类，措施可以跨类**。 2. 机房空调故障让你想到哪两条通用对策？ —— ① **冗余**：环境监控＋告警，关键设备做双路供电/备用温控，避免单点。② **降级预案**：真有故障时能顶住的安排（异地备份、临时迁移）。核心是承认物理故障**必然会来**，问题只是什么时候。 3. 为什么说"技术性威胁"这一类的应对重点是机制而不是工具？ —— 因为它的**更新速度最快**：今天补上的漏洞，下周会有新的。任何"一次做完"的方案都会很快过期。所以重点是把清点、发现、修复、复核**变成一个循环**，而不是买一个工具后就结束。

相关笔记