🛡️ 网络与信息安全
照着《网络与信息安全》做的自学笔记 —— 前面十八门课讲的是【它怎么工作】，这一课讲的是【它会被谁、从哪儿、怎么弄坏】。全书 7 章 96 篇：信息安全的基本概念、针对网络的攻击、计算机病毒与间谍软件、系统漏洞的防范、密码/数字签名/数字证书、组织机构的安全防范对策、与安全相关的法律和制度。这是概念与方法课，不用装软件即可读完；涉及法规的段落一律按现行法规标注，遇教材与当下不符处以各篇【⚠️ 2026 现状】为准。大白话、不跳步骤、必带生活比喻、常见误区、可折叠自测题。
前置课程：计算机网络（网络怎么连）、服务器工作原理（服务器怎么转）、Agent+RPA实战。
内容来自我的 Obsidian 自学笔记 · 全 7 章 96 篇完结 ✅
第一章 信息安全的基本概念
攻击者的目的
四类目的（取乐／黑客主义／偷抢钱财／网络…
信息安全中不可或缺的认知
信息资产／威胁／风险三词；脆弱性才是你能…
威胁的分类
人为／技术性／物理性三类；分类是为了不漏…
出现内部违规的原因
机会／动机／正当化三条件是乘法；机会是唯…
信息安全的三要素
机密性／完整性／可用性（CIA）；三个定…
三要素以外的特性
真实性／责任可追溯性／不可抵赖性／可靠性…
成本、便利性、安全性的考量
成本／便利／安全三者不可兼得；没人愿意用…
权限只交给合适的人
访问权限／认证／授权／最小权限原则各管一…
针对密码的攻击
蛮力／字典／密码列表三种打法；长度赢过复…
使用一次性密码安全性更高
一次性口令让"偷到"贬值；多因子的要求是…
杜绝非法登录
基于风险的身份认证；把统一的麻烦换成分层…
密码使用环境的变化
一人管上百个账号；单点登录的价值是一处关…
利用个人身体信息
指纹／静脉／虹膜／人脸；可撤销性是共同短…
第二章 针对网络的攻击
数据的偷窥
明文与加密各暴露什么；加密保护内容不保护…
威胁数据可靠性的攻击
篡改打的是完整性；四个环节（传输／存储／…
冒充特定的人物
假扮／盗用／合成三档；认证挡得住假域名…
法律对非法访问的定义
《刑法》第 285 条三款；情节严重的数…
无辜的人变成犯罪者
被接管＝你的设备替别人干活；三个病灶（弱…
设置用于攻击的后门
后门管进得来、rootkit 管看不见…
增加负载的攻击类型
拒绝服务／分布式／僵尸网络／邮箱炸弹；耗…
应当在哪里防御
入口／出口／内部三个方向；出口方向最被忽…
非法访问的基本防御对策
包过滤／状态检测／应用识别三代；默认拒绝…
通信的监视与分析
抓包与 pcap 文件；十类流量各自能看…
外部入侵的检测和防御
检测走旁路、防御走串接；三种检测方法各自…
集中管理能提高防御效果
统一威胁管理合设备、安全信息和事件管理合…
拆分网络
DMZ 缓冲带的两条纪律；按信任级别而非…
管理网络连接
地址白名单的两个致命伤；设备地址随机化让…
实现安全的通信
无线四代标准演进；WPA3 让偷到握手失…
第三章 计算机病毒与间谍软件
恶意软件的种类
三种到达方式（靠宿主／靠网络／靠你）；分…
防御计算机病毒的标准做法
主程序与特征库是两件独立的事；离线环境要…
反病毒软件所使用的技术
特征／启发式／行为三条判断路线；蜜罐＝没…
利用假冒网站发起的攻击
钓鱼与域欺骗对照；域欺骗靠形近域名；域欺…
利用电子邮件发起的攻击和欺诈
垃圾邮件／钓鱼／商务邮件欺诈三分；商务邮…
窃取信息的软件
键盘记录器记以后敲的、信息窃取器取以前存…
索要赎金的计算机病毒
付与不付的四档账；有备份还把钱付了＝纯亏…
难以防范的针对型攻击
撒网型与针对型对照；不落新文件、全程用你…
需要当心的其他网页安全威胁
网页挂马三形态；恶意广告不黑网站、只买广…
计算机病毒感染的不仅仅是计算机
物联网设备＝没人管的小电脑；默认口令 8…
第四章 系统漏洞的防范
软件漏洞的分类
三种说法是套在一起的圈（软件缺陷 ⊃ 系…
修正系统软件漏洞
功能更新与安全补丁要分开；难点是【窗口期…
存在无法防范的攻击吗
零日与 n-day 只看补丁出了没有；没…
数据库的非法访问
拼接让数据变成代码；参数化把两者彻底分开…
跨越多个网站的攻击
输入被当成网页代码；存储型／反射型／DO…
假冒他人的攻击
伪造的是意图不是身份；SameSite…
用户登录状态的劫持
服务器认令牌不认密码；Cookie 四属…
内存缓冲区溢出的滥用
写多了会盖住返回地址；五种缓解各挡一步…
检查系统是否存在漏洞
端口扫描看门、漏洞扫描看锁、渗透测试看能…
防范针对 Web 应用的典型攻击手段
第 7 层按内容判断；十条请求拦七条；虚…
软件开发者应当注意的问题
把安全从意识变成闸门；七个目标各有可测指…
当心那些使用方便的工具中存在的漏洞
插件＝你为它负责但你没写它；一季度 2…
对系统漏洞进行量化评估
CVSS 说多严重／EPSS 说会不会被…
报告和共享系统漏洞信息
铁律是先修好再公开；中国 2 日内报送…
第五章 什么是密码、数字签名、数字证书
密码学的历史
古典密码守算法、现代密码守密钥；凯撒移位…
高速的加密方式
加解密同一把钥匙所以快；两个命门是分发问…
解决密钥分发问题的密码
一把公开一把保密；1000 人从 49.…
公开密钥加密的核心技术
证书＝公钥＋身份＋有效期＋用途＋CA 签…
防止数据被篡改的技术
哈希三性质定长、单向、抗碰撞；雪崩效应…
在签名中运用公开密钥加密技术
先哈希再签把成本与内容长度脱钩；签名不提…
共享密钥加密与公开密钥加密的组合运用
非对称换钥匙、对称传数据；单次慢约 14…
Web 网站的安全性可通过加密图标确认
挂锁管的是管道不是站在管道那头的人；混合…
安全性更高的加密
两个方向是换更难的数学与加长钥匙；128…
如果加密变得不安全，世界会怎样
危殆化三来源：数学被攻破、算力变便宜、实…
增强电子邮件的安全性
传输加密、端到端加密、发件人认证三层互不…
实现安全的远程通信
SSH 传输层已默认后量子、认证层还在换…
为软件添加数字签名
签名只证来源与完整、不证安全；时间戳解开…
对数据传输进行拦截的攻击者
SSL 剥离下手于第一次明文请求；企业…
第六章 组织机构的安全防范对策
确立组织性的方针
方针不解决技术问题，只回答冲突时按谁的要…
安全性相关的改进举措
ISMS 是把 PDCA 转成可审计的循…
运用信息安全监督机制提升安全等级
监督机制与做一次评估的差别在周期性、指标…
最后一道防线是【人】
技术走到尽头总有交回给人的瞬间；模拟钓鱼…
突发事件的早期应对
胜负在最初 60 分钟分出一大半；NIS…
电商网站中的信用卡管理
PCI DSS 不是法律而是收单行写进合…
自然灾害对策也是安全的一环
BIA 决定先救谁、BCP 决定怎么救…
什么才是正确的风险应对
规避、降低、转移、接受常退化成一律降低…
防止对不当内容的访问
2026 年的分水岭只有一个：网关能不能…
日志是调查事故原因的重要线索
留存不少于六个月是《网络安全法》硬条款…
保留证据
取证要证明的是全程没被动过；哈希管内容…
移动设备的管理
MDM 已变成设备先过合规检查才拿得到数…
信息系统部门无法掌控的 IT
CIO 以为在管 45 个云应用、实际…
企业防范信息泄露的思路
瘦客户端让终端变得不重要、DLP 在每个…
物理性安全
A.7.7 把清理桌面与屏幕写成正式控制…
确保可用性
每多要一个 9 成本就翻一截；N、N+1…
确认合同内容
SLA 每档赔偿都是写死的；先读除外情形…
第七章 与安全相关的法律和制度
个人信息的管理
三层概念要分清：个人信息⊃个人数据⊃要保…
个人信息的运用
Opt-in 与 Opt-out 是两条…
户口本号码与法人编号的管理
个人编号只能用在法律列举的三个领域，能收…
个人信息管理体制的认证制度
隐私标记审个人信息、ISMS 审全部信息…
日趋严格的欧盟个人信息管理
GDPR 反转三件事：默认禁止、举证责任…
非法访问相关的惩罚条例
管的是钥匙不是门：五条条款按链条排列，登…
针对制作、持有病毒软件的处罚
2011 年刑法改正新设作成、提供、供用…
针对计算机的欺诈和业务妨害
246 条之 2 打财产利益、234 条…
注意出版物的未经授权使用
判断标准是给了谁看、以及当数据用还是当作…
服务提供商与电子邮件的规则
平台是协助者不是审查者，查发帖人靠发信者…
电子文档管理的相关法律
电子署名法管签名、电子账簿保存法管税务…
日本政府制定的安全战略和理念
三部基本法走完建设、守成、运用三步；20…
安全相关的资质
SG 无有效期，支援士与 CISSP 要…