一、威胁的目标，无非是那三样

信息安全的教科书会把威胁分成三类，Web 系统一条都躲不开：

• 想拿走东西——偷数据、偷账号、偷钱。这类叫非法访问， 它的特征是【攻击者要进来，并且要带走点什么】。
• 想让服务不能用——不偷不抢，只把你的网站压得打不开。 这类叫 DoS 攻击，它的目的是【让你做不成生意】，而不是拿走数据。
• 想改掉或毁掉东西——篡改页面、加密你的数据库然后索要赎金。

这三类的应对办法完全不同。第一类靠身份验证和权限控制， 第二类靠流量清洗和自动设备，第三类靠备份和完整性校验。 所以做安全的第一步不是买设备，是先问自己：我最怕哪一类。

二、一次泄露的钱，花在哪几件事上

IBM 每年会出一份《数据泄露成本报告》，2026 年这一版统计了 602 家机构。 全球平均一次泄露的成本是 499 万美元，比上一年涨了 12%。

把 499 万拆开，钱是这么分布的：

• 检测与上报 164 万（32.9%）——取证、调查、内部沟通。
• 业务损失 154 万（30.9%）——停机、客户流失、口碑受损。
• 泄露后响应 136 万（27.3%）——客服、法律、监管罚款。
• 通知 45 万（9.0%）——挨个告诉监管机构和用户。

这里面没有赎金这一栏。检测与上报加业务损失合计 318 万， 占 499 万的 63%。也就是说，钱主要花在【弄清楚发生了什么】， 以及【在弄清楚的这段时间里停摆的业务】上。

这份报告还有个分地区的数据：美国平均 1150 万美元，是全球均值的两倍多； 医疗行业连续十三年排在成本最高的位置。

三、攻击是怎么进来的

Verizon 2026 年的报告统计了 145 个国家的 2.2 万起确认泄露， 把初始入口拆得很清楚：

• 利用软件漏洞 31%——这是第一次超过钓鱼，成为头号入口， 指的是那些【补丁早就发布、但你没打】的已知漏洞。
• 网络钓鱼 16%——骗你自己把凭证交出去。
• 滥用凭证 13%——用偷来的或猜出来的密码直接登录。
• 预置借口 6%——用电话或邮件编一个可信的故事。

还有一个数字值得单独记：把凭证算进全部环节，它在 39% 的泄露里出现过。 换句话说，攻击者很多时候不是【攻破】了边界，而是【用一个有效的凭证登录】进去的。

同一份报告里另外两个数字：勒索软件出现在 48% 的泄露里， 但 69% 的受害方拒绝付钱；第三方（供应商、承包商、软件提供方） 卷入的比例从 30% 涨到了 48%——你的数据可能从一家你从没听说过的公司漏出去。

四、2026 年的新变量：钱和 AI 都变了

2026 年多了一个往年没有的变量。四分之一以上的恶意泄露是 AI 驱动的， 比上一年涨了 56%。其中深度伪造和身份冒充占 45%，AI 生成的恶意软件占 19%。

它的代价也有数字：AI 驱动的恶意攻击平均 604 万美元， 非 AI 的恶意攻击平均 503 万美元，差约 100 万美元。

而防守这一侧，反过来的账是这样算的：大量使用安全 AI 与自动化的组织， 每次泄露少花 193 万美元，并且关闭事件快 65 天。

另外，处理速度本身就是最大的变量。报告里的数字是： 泄露从发现到控制的中位时间是 247 天（其中发现 183 天、控制 64 天）； 超过 200 天的平均花 565 万美元，200 天以内的平均花 432 万美元。 两者方法一样、样本一样，差的只是【在事件里待了多久】。

五、动手 Demo：把一次泄露的成本和入口占比算一遍

报告里的数字是散的，但把它们放在一起，能看出钱和时间的关系：

total = 499.0            # 全球平均单次泄露成本（万美元）
detect, lost = 164.0, 154.0
print("  检测上报 + 业务损失 = %.0f 万，占 %.1f%%" % (detect + lost, (detect + lost) / total * 100))
print("  快慢之差 = %.0f 万美元" % (565 - 432))
print("  凭证卷进全部环节的比例 = %d%%" % 39)

实跑输出：

--------------------------------------------------------------------
一次泄露的钱，花在哪几件事上
--------------------------------------------------------------------
  IBM《2026 年数据泄露成本报告》统计了 602 家机构，全球平均一次 499 万美元，
  比上一年上涨 12%，折下来相当于每小时 1100 美元。拆开看，钱基本不花在赎金上。

  成本类别       金额           占比      钱花在哪
  -------------------------------------------------------------
  检测与上报     164 万美元     32.9%     取证、调查、内部沟通
  业务损失       154 万美元     30.9%     停机、客户流失、口碑
  泄露后响应     136 万美元     27.3%     客服、法律、监管罚款
  通知           45 万美元      9.0%      告知监管机构与用户
  -------------------------------------------------------------

  检测与上报加业务损失 = 318 万美元，占 499 万美元的 63%。
  这两项一年各涨 11.5%；涨幅最大的是泄露后响应（15%），但占比不是最大。

  那攻击是怎么进来的？Verizon 2026 年的报告统计了 145 个国家的 2.2 万起泄露：

  初始入口         占比     说明
  -----------------------------------------------------
  利用软件漏洞     31%      没打补丁的已知漏洞
  网络钓鱼         16%      连续第四年排在前列
  滥用凭证         13%      偷来的或猜出来的密码
  预置借口         6%       电话或邮件里编好的一个故事
  -----------------------------------------------------

  把凭证算进全部环节，它在 39% 的泄露里出现过；勒索软件占 48%，
  但 69% 的受害方拒绝付钱；第三方（供应商、承包商）卷入从 30% 涨到 48%。

  2026 年多了一个新变量：四分之一以上的恶意泄露是 AI 驱动的，比上一年涨 56%。

  攻击类型                 平均单次成本     与基准比
  ----------------------------------------------------------
  AI 驱动的恶意攻击        604 万美元       高约 100 万美元
  非 AI 驱动的恶意攻击     503 万美元       基准附近
  全球平均（全部类型）     499 万美元       基准
  ----------------------------------------------------------

  小算例：604 万 − 503 万 = 101 万美元，而全类型平均只有 499 万。
  也就是说，同样一起恶意攻击，挂上 AI 三个字，平均要多掏约 100 万美元。

这三个数字里，最该记住的是 63% 和 133 万。 前者说明钱花在【查清楚】和【停摆】上，后者说明【快】本身就是省钱手段。 下一节开始讲具体怎么切网络、怎么设关卡，目标都是为了让这个数字变小。

30 秒实验

1. 把你手上这套系统的资产列一遍，按【最怕被拿走】【最怕不能用】【最怕被改掉】三栏归类。
2. 打开一个你常用的网站，看它登录时要不要第二个验证因素——那就是 9-5 要讲的 MFA。
3. 查一下你所在单位有没有公开的漏洞修补流程，多长时间打一次补丁。

常见误区

1. 错误：安全就是防住所有攻击。——纠正：没有系统能防住所有攻击，安全的目标是把【发生概率】和【发生后的代价】一起压到可接受的水平。
2. 错误：泄露的成本主要是赎金。——纠正：63% 花在检测上报和业务损失上，赎金不在成本构成的主项里。
3. 错误：攻击都是靠高超技术打进来的。——纠正：头号入口是利用没打补丁的已知漏洞（31%），很多入侵靠的是你忘了升级，而不是对手有多强。

• ☐ 下一节（9-2 安全措施的物理结构：防火墙、缓冲区、多层防御）

相关笔记

• Web应用使用免费软件 —— 漏洞修补跟不上，根子在这里讲的 OSS 更新问题
• 威胁的分类 —— 威胁分类的另一套讲法，更细
• 增加负载的攻击类型 —— 让服务不能用那一类的展开
• 索要赎金的计算机病毒 —— 改掉或毁掉那一类的展开
• 非法访问相关的惩罚条例 —— 非法访问在法律上怎么定义
• 🕸️ Web技术原理 · 索引