以百科形式系统化梳理 AI 安全与网络安全术语与主题
供应链攻击（Supply Chain Attack）指攻击者不直接攻击目标组织，而是通过入侵其信任的软件或硬件供应链上游环节——如开源依赖库、CI/CD 构建流水线、软件更新分发渠道、第三方SaaS服务商或硬件固件——将恶意代码或后门植入合法产品，随正常分发流程渗透至下游数千乃至数百万用户。其核心特征是「以可信管道为跳板」，突破传统边界防御。2020 年 SolarWinds 事件波及 18,000+ 家机构，2024 年 XZ Utils 后门几乎被植入全球 Linux 服务器，将供应链攻击从理论威胁升级为国家安全级议题。
跨站脚本攻击（Cross-Site Scripting，XSS）是一种代码注入类 Web 安全漏洞，攻击者通过将恶意客户端脚本注入到其他用户浏览的网页中，劫持用户会话、窃取敏感信息、篡改页面内容或实施钓鱼攻击。XSS 自 1999 年首次被微软安全工程师发现并于 2000 年 CERT 正式公告以来，已连续二十余年位居 OWASP Top 10 榜单前列——2021 版列为 A03:2025（Injection 大类），在 HackerOne 2024 年度报告中 XSS 仍是漏洞赏金平台提交量最高的漏洞类型，占总提交量的 18.3%。XSS 的根因在于 Web 应用将不可信的用户数据嵌入 HTML 页面时未进行严格的上下文相关转义，导致浏览器将数据误解为可执行代码。根据注入位置和触发方式不同，XSS 分为反射型（Reflected）、存储型（Stored）和 DOM 型（Document Object Model-based）三大类。现代防御体系以内容安全策略（CSP）为核心，配合上下文输出编码、HttpOnly Cookie 标记、输入校验白名单和可信类型（Trusted Types）组成纵深防线。根据 CWE 分类，XSS 对应 CWE-79（Improper Neutralization of Input During Web Page Generation）。
SQL 注入（SQL Injection，SQLi）是针对数据库驱动的 Web 应用程序最古老、影响最深远的安全漏洞之一，连续二十余年位居 OWASP Top 10 高风险漏洞榜单——2021 版列为 A03:2021（Injection）。攻击者通过在用户输入中嵌入恶意 SQL 片段，利用应用程序对输入参数的不安全拼接，操纵后端数据库执行非预期的查询——读取未授权的机密数据、篡改业务记录、获取管理员权限，甚至在特定条件下通过数据库扩展执行操作系统命令。1998 年，安全研究员 Jeff Forristal（Rain Forest Puppy）在 Phrack 杂志首次系统性地描述了 SQL 注入攻击技术；2008 年至 2010 年间，大规模自动化 SQL 注入攻击（如 Asprox 僵尸网络和 Lizamoon 攻击）感染了数百万网页，驱动全行业向参数化查询的范式迁移。据 MITRE CVE 数据库统计，2022—2025 年间每年仍有超过 1,200 个新增 SQL 注入相关 CVE，表明即使在 ORM 和参数化查询成为主流实践的当下，遗留代码、动态报表查询和存储过程的不安全用法仍在持续产生新漏洞。CWE 分类中 SQL 注入对应 CWE-89（Improper Neutralization of Special Elements used in an SQL Command）。
提示词注入（Prompt Injection）是针对大语言模型（LLM）的首要安全威胁，OWASP LLM Top 10（2025）将其列为 LLM01。其攻击原理根植于 LLM 的根本性架构缺陷——模型无法在架构层面可靠区分「系统指令」「用户输入」与「外部检索数据」，三者被放入同一上下文窗口后统一处理。攻击者通过向用户输入或外部内容中嵌入精心设计的指令，使恶意提示获得与系统提示同等的执行优先级，从而劫持模型的预期行为：绕过安全护栏、泄露系统提示中的敏感信息、调用工具执行越权操作，或将模型转化为钓鱼和信息窃取的代理。由 Greshake 等人于 2023 年首次系统化定义的间接提示词注入（Indirect Prompt Injection），利用网页、文档、邮件等载体隐藏载荷，危害远超直接注入，因其可绕过应用层输入校验且无需攻击者直接接触模型。
零日漏洞（Zero-day Vulnerability，简称 0-day）指软件、硬件或固件中已存在但尚未被厂商发现或认可、因而未发布官方修复补丁的安全缺陷。"零日"一词源于漏洞被公开披露后厂商拥有零天准备时间——攻击者可能已在野利用该漏洞数周乃至数月。零日漏洞是网络攻击武器库中最具价值的资源：据 Google Project Zero 与 Mandiant 历年追踪，每年在野发现约 50-80 个零日漏洞，其中多数被国家级 APT 组织或商业化间谍软件供应商掌握；一个 iOS 远程越狱零日链在灰色市场上的交易价格高达 200-800 万美元。零日漏洞的生命周期涵盖发现、武器化、利用、公开披露、补丁开发和部署六个阶段，其市场化交易和国家级储备构成了复杂的网络军备竞赛格局。
钓鱼攻击（Phishing）是一种利用伪装成可信实体（银行、电商、社交平台、企业内部 IT、政府机构等）的电子邮件、短信或恶意网站，诱骗用户泄露账号密码、支付信息或下载恶意软件的社会工程学攻击。根据 Verizon 2024 DBIR 报告，钓鱼以 31% 的占比位居所有社会工程学攻击之首，在所有数据泄露模式中占初始访问向量的第一位；Proofpoint 2024 年的统计指出，83% 的组织至少遭遇过一次成功的邮件钓鱼攻击。随着攻击技术演进，钓鱼已从群发垃圾邮件发展为高度定向的鱼叉攻击（Spear Phishing）和鲸钓（Whaling）——针对高管/财务人员/IT 管理员——以及利用 AI 生成多语种高度逼真的商业邮件欺诈（BEC，Business Email Compromise）。FBI IC3 2023 年报指出 BEC 造成的累计损失超过 500 亿美元，远超勒索软件。MITRE ATT&CK 将钓鱼分为 T1566（Phishing — 电子邮件）、T1566.001（Spearphishing Attachment — 含恶意附件的定向钓鱼）、T1566.002（Spearphishing Link — 含恶意链接的定向钓鱼）、T1566.003（Spearphishing via Service — 利用第三方服务如 Google Drive/Dropbox 分发的定向钓鱼）。
勒索软件（Ransomware）是一种以加密受害者文件或锁定系统访问权为手段、以勒索赎金（通常为加密货币）为目的的恶意软件类型，是当前全球最具破坏力的网络犯罪形式之一。典型的勒索软件攻击链包括初始入侵（钓鱼邮件 / 漏洞利用 / RDP 爆破）、横向移动与权限提升、数据窃取（双重勒索模式）、文件加密与系统锁定、赎金通知投放五个阶段。自 2017 年 WannaCry 全球大爆发以来，勒索软件已从技术炫耀型恶意代码演变为分工精细的勒索软件即服务（Ransomware-as-a-Service，RaaS）地下产业——核心开发者提供勒索软件和支付基础设施，联盟成员（Affiliates）负责入侵和部署，利润按比例分成。据 Chainalysis 统计，2023 年仅加密货币赎金支付总额即超过 10 亿美元，IBM 2023 年报告数据显示平均每次数据泄露总成本达 445 万美元。CISA 将勒索软件列为美国面临的最迫切网络威胁之一，其 #StopRansomware 计划持续发布勒索软件变种警报和防御指南。
《中华人民共和国网络安全法》是中国首部全面规范网络空间安全管理的基础性法律。该法于 2016 年 11 月 7 日由第十二届全国人大常委会第二十四次会议通过，2017 年 6 月 1 日正式施行。2025 年 10 月 28 日，第十四届全国人大常委会第十八次会议审议通过《关于修改〈中华人民共和国网络安全法〉的决定》（主席令第六十一号），修订版自 2026 年 1 月 1 日起施行——这是该法施行八年来的首次修订。修订后的网络安全法确立了网络安全工作的指导原则——"坚持中国共产党的领导，贯彻总体国家安全观，统筹发展和安全，推进网络强国建设"；新增人工智能安全与治理条款；大幅强化法律责任——原最高罚款 100 万元提升至最高 1000 万元（造成特别严重后果）；增加"关闭应用程序"处罚手段；并扩大法律域外适用范围。该法始终以四大制度为核心支柱：网络安全等级保护制度（等保2.0）、关键信息基础设施（CII）安全保护、网络产品和服务安全审查，以及个人信息保护（现由《个人信息保护法》衔接）。
《通用数据保护条例》（GDPR，Regulation (EU) 2016/679）是欧盟于 2018 年 5 月 25 日正式实施的数据保护与隐私法规，被视为全球最严格的个人数据保护立法。GDPR 确立了个人的八大数据主体权利，要求数据控制者和处理者实施「设计与默认的数据保护」（Data Protection by Design and by Default），强制 72 小时内报告数据泄露，并赋予监管机构对严重违规行为处以最高 2000 万欧元或全球年营业额 4%（取高者）的罚款权力。其域外管辖条款（Article 3）规定：即使数据控制者不在欧盟境内，只要处理欧盟居民个人数据，仍须遵守 GDPR——这一条款使其影响力远超出欧洲边界。
越狱攻击（Jailbreak Attack）是指攻击者通过精心构造的提示词（Prompt），绕过大语言模型在 RLHF（人类反馈强化学习）和宪法 AI 等对齐过程中建立的安全护栏，诱导模型生成本应被拒绝的违规、有害或敏感内容。与提示词注入不同——后者攻击的是应用架构（通过外部数据注入指令），越狱针对的是模型自身的对齐层（Alignment Layer）。2022 年底 ChatGPT 发布后，"DAN"（Do Anything Now）角色扮演成为首个广泛传播的越狱 Prompt，截至 2025 年已演化出数十个变种。学术界方面，2023 年的 AutoDAN 首次证明通过遗传算法可自动生成跨模型迁移的对抗性越狱提示，GRADIENT JAILBREAK（GCG，Zou et al., 2023）则利用梯度优化在大规模开源模型上实现 >80% 的攻击成功率。OWASP LLM Top 10（2025）将越狱归入 LLM01 提示词注入大类，MITRE ATLAS 框架将其归类为 ML 模型规避（Evasion）。OpenAI GPT-4o System Card（2024）和 Anthropic Claude 3.5 红队报告均将越狱列为高风险项目持续追踪。
加密技术（Encryption）是将明文通过密码学算法与密钥转换为不可读密文的过程，确保只有持有正确解密密钥的授权方才能还原原始数据。现代加密体系建立在两个基础范式之上：对称加密（Symmetric Encryption）——发送方与接收方共享同一密钥，代表算法包括 AES（Advanced Encryption Standard，由 NIST 于 2001 年标准化，密钥长度 128/192/256 位）、ChaCha20（Google 于 2014 年推广的高效流密码，广泛用于 TLS 1.3 和移动端）和中国商用密码标准 SM4（GM/T 0002-2012）；非对称加密（Asymmetric Encryption）——使用数学关联的公私钥对，私钥保密、公钥公开，解决了对称加密的密钥分发难题，代表算法包括 RSA（1977 年）、ECC（椭圆曲线密码，同等安全强度下密钥远短于 RSA）和中国 SM2 椭圆曲线公钥密码算法。工程实践中，混合加密方案（Hybrid Encryption）是标准做法：使用非对称加密安全交换会话密钥，再用对称加密高效加密大量数据。截至 2024 年，全球超过 95% 的 Web 流量通过 TLS 加密传输（Google Transparency Report），TLS 1.3 强制前向安全性（Forward Secrecy），使历史会话即使服务器私钥泄露也无法被解密。后量子密码学（PQC，Post-Quantum Cryptography）是加密领域当前最紧迫的议题——2024 年 8 月 NIST 正式发布首批三项 PQC 标准（FIPS 203 ML-KEM、FIPS 204 ML-DSA、FIPS 205 SLH-DSA），美国国家安全备忘录 NSM-10 要求联邦机构在 2035 年前完成向量子安全密码的迁移。与此同时，加密技术面临复杂的政策博弈：端到端加密（E2EE）与公共安全的张力、瓦森纳协定（Wassenaar Arrangement）对密码产品的出口管制、以及各国数据本地化立法对跨境加密通信的限制，共同构成了加密技术的监管版图。
恶意软件（Malware，Malicious Software 的合成词）是以未经用户授权的方式破坏、窃取、控制或勒索计算机系统及其数据的恶意代码总称。恶意软件不是单一的技术概念，而是一个涵盖病毒、蠕虫、特洛伊木马、勒索软件、间谍软件、Rootkit、无文件恶意软件、广告软件（Adware）和加密劫持（Cryptojacking）等十余种子类型的伞形分类。 恶意软件的演进史是网络攻击的进化史。1986 年第一个 PC 病毒 Brain 通过软盘引导扇区传播，感染了全球数千台 IBM PC——其程序员甚至将联系方式写入代码供用户求助。1988 年 Morris 蠕虫感染了当时互联网约 10% 的 60,000 台主机，直接促成了首个计算机应急响应小组 CERT/CC 的成立。2000 年 ILOVEYOU 蠕虫以「LOVE-LETTER-FOR-YOU.txt.vbs」为附件，利用社会工程学和 VBScript 在数小时内感染了全球超过 5,000 万台计算机，造成约 100 亿美元的经济损失。2017 年 WannaCry 勒索蠕虫利用 EternalBlue 漏洞（CVE-2017-0144），在 24 小时内感染 150 个国家的 200,000+ 台计算机，英国 NHS 被迫取消 19,000+ 次预约——这是勒索软件首次引发国家级医疗保健急性危机。 据 AV-TEST 统计，截至 2024 年底，累计登记的恶意软件样本已突破 15 亿个，每日新增超过 450,000 个新样本。恶意软件的现代形态已从「破坏即炫耀」（病毒/蠕虫的早期动机）转向「持久化变现」（勒索软件即服务 RaaS、恶意挖矿、情报窃取），其攻击行为谱系在 MITRE ATT&CK 框架中被系统化为 14 种战术和 200+ 种技术。
容器逃逸（Container Escape）是指攻击者从容器内部突破隔离机制，获取宿主机或同级容器的非授权访问权限。容器的安全边界基于 Linux 内核命名空间（Namespaces）和 cgroups（控制组）的「软隔离」——与虚拟机的 Hypervisor 强隔离不同，容器与宿主机共享同一内核，一旦利用内核漏洞或配置缺陷突破命名空间，即可获得宿主机级别的访问。常见逃逸路径包括：特权容器（--privileged）挂载宿主机文件系统、Docker Socket（/var/run/docker.sock）挂载到容器内、内核逃逸（DirtyCow CVE-2016-5195、Dirty Pipe CVE-2022-0847）、容器运行时（runc CVE-2019-5736）漏洞等。Sysdig 2023 年报告指出约 90% 的容器镜像至少含一个中危以上漏洞。
社会工程学（Social Engineering）是利用人类心理弱点而非技术漏洞来获取信息、系统访问权或财务利益的攻击方法，是绝大多数网络攻击的初始入口。攻击者通过操纵信任、权威、紧迫感或好奇心，诱导受害者主动泄露凭证、执行恶意文件或绕过安全控制。社会工程学涵盖网络钓鱼（Phishing）、语音钓鱼（Vishing）、短信钓鱼（Smishing）、借口伪造（Pretexting）、尾随（Tailgating）、诱饵（Baiting）等多种技术。Verizon 2024 DBIR 报告指出 68% 的数据泄露涉及人为因素，IBM 2023 年报告将凭证窃取列为数据泄露最常见的初始攻击向量。
僵尸网络（Botnet）是由攻击者远程控制的大量被入侵设备（"僵尸"或"肉鸡"）组成的网络，用于发起 DDoS 攻击、发送垃圾邮件、窃取数据、挖掘加密货币等大规模恶意活动。僵尸网络的核心是命令与控制（C2，Command and Control）基础设施——攻击者通过 IRC、HTTP/S、DNS 隧道、P2P 或社交媒体等协议向受控设备下发指令。现代僵尸网络已从集中式 C2 演进出高度弹性的 P2P 架构和 DGA（域名生成算法）技术，使得追踪和关停日益困难。据 Spamhaus 和 Cloudflare 统计，全球活跃僵尸网络设备数量常年以百万计，Mirai（2016）、Emotet（2014-2021）、TrickBot（2016-2022）等家族深刻塑造了僵尸网络的演进轨迹。
《中华人民共和国数据安全法》是中国数据安全领域的基础性法律，于 2021 年 9 月 1 日正式施行。该法首次构建了「数据分类分级保护」制度框架，将数据分为一般数据、重要数据和核心数据三级，实行差异化保护。数据安全法还确立了数据安全审查制度、数据出口管制制度、数据交易管理制度和对向境外提供数据的反制措施。2022 年，国家互联网信息办公室发布的《数据出境安全评估办法》进一步细化了数据出境安全评估的具体流程和标准。对于违反核心数据管理制度的，该法规定了最高 1000 万元 + 责令停业/吊销执照的严厉处罚。
密码学（Cryptography）是研究信息加密、解密与破译的数学学科，其核心目标是通过算法与协议保障数据的机密性（Confidentiality）、完整性（Integrity）、真实性（Authenticity）和不可否认性（Non-repudiation）。密码学是网络安全的数学根基——HTTPS、区块链、数字签名、VPN、芯片安全启动等几乎所有安全机制都建立在其上。 现代密码学发展可追溯至 1949 年香农（Claude Shannon）发表的《保密系统的通信理论》，正式将密码学从工程艺术转变为数学科学。1976 年 Diffie 与 Hellman 提出公钥密码概念，革命性地解决了密钥分发问题。1977 年 DES 成为首个公开的联邦加密标准，历经 20 年服役后于 1999 年被分布式计算在 22 小时内暴力破解。2001 年 AES（Rijndael）取代 DES 成为新标准，至今未发现实用攻击。2024 年 8 月，NIST 正式发布三项后量子密码标准——ML-KEM（FIPS 203）、ML-DSA（FIPS 204）和 SLH-DSA（FIPS 205），标志着密码学正式进入后量子时代。 中国国密体系始于 2006 年：SM1（对称，未公开算法）、SM2（公钥，基于 ECC）、SM3（哈希，256 位输出）、SM4（对称，128 位分组）、SM9（基于身份的密码）已形成完整自主体系。2020 年《密码法》实施后，关键信息基础设施领域强制使用商用密码。
RAG（Retrieval-Augmented Generation，检索增强生成）安全是针对 RAG 架构特有攻击面的防护体系。RAG 已成为企业级 LLM 应用的标配——将大模型与外部知识库结合，以解决幻觉和知识过时问题——但其引入了全新的安全威胁面，远超模型自身的安全范畴。核心威胁围绕"检索到的内容不可信"这一前提展开：攻击者可通过知识库投毒（将恶意文档注入向量数据库）、间接提示词注入（在文档中嵌入隐藏指令劫持模型输出）、向量索引投毒（操纵嵌入到特定查询下优先被检索）以及检索结果劫持（中间人攻击篡改 API 响应）来突破系统安全。OWASP LLM Top 10 将间接注入归入 LLM01。2024 年，PwC 和 Accenture 的企业 AI 安全评估发现约 40% 的 RAG 实施缺乏对知识库内容的输入验证，Greshake 等人（2023）的研究更揭示了间接注入从学术概念到现实攻击的完整路径。RAG 安全的根本挑战在于：你无法信任检索回来的任何内容，而模型却必须基于这些内容做出回应。
数据投毒（Data Poisoning）是攻击者在模型的预训练、微调或嵌入数据中注入恶意样本，从而植入后门、偏见或漏洞的供应链级 AI 攻击。其独特危险在于：投毒模型的恶意行为仅在特定触发条件（Trigger）下激活——正常输入表现如常，绕过常规测试——且投毒效果随模型分发传播到所有下游应用。OWASP LLM Top 10（2025）将其列为 LLM04。研究表明，仅需数百条恶意样本即可对大规模模型完成后门植入（Wallace et al., 2021；Wan et al., 2023），而检测投毒样本的难度远高于投毒本身。2024 年，Hugging Face 上被发现超过 100 个含恶意代码的模型仓库，包括伪装为流行模型变种的"Model Poisoning"攻击。更令人警惕的是，投毒可发生在模型供应链的任何环节——从预训练语料（CC-100、 The Pile 中的恶意网站快照）到指令微调数据集（Crowd-Sourced 标注被污染），再到嵌入模型 API（攻击者控制向量数据库注入点）。据 NIST AI 600-1 反投毒指南（2024），大多数组织当前对训练数据来源缺乏完整的供应链追溯。
OWASP Top 10 是由开放 Web 应用安全项目（Open Web Application Security Project, OWASP）定期发布的、基于全球安全社区对 Web 应用漏洞的实际发生频率、严重性和影响范围进行统计后汇编的十大安全风险清单。OWASP Top 10 不是学术产出，亦非 OWASP 内部投票结果——2021 版的数据来源是覆盖 8 个安全厂商和咨询公司的 500,000+ 个应用程序的海量扫描和渗透测试数据，根据「CWE 到风险类别」的映射进行加权排序。 OWASP Top 10 自 2003 年首版以来，每隔约 3-4 年更新一版：2004、2007、2010、2013、2017、2021。每一版不仅是技术清单的更新，更是对行业共识的重新锚定。2017 版最重大的变化是将「注入」从连续多年稳居 A1 的位置降至 A3——反映出参数化查询和 ORM 框架的广泛采用注入了显著的安全提升。2021 版则彻底颠覆了传统的「注入即榜首」观念：A01「失效的访问控制」（Broken Access Control）跃居榜首，A03 注入（原 A01）退至第三——这一变化反映了开发者对 SQL 注入的重视改善了注入防御，但对访问控制的系统化设计不足使其成为最普遍的攻击入口。 OWASP Top 10 的核心价值不在于技术深度——每个类别的技术细节可在 CWE/CVE 数据库和 OWASP Cheat Sheet 中获取——而在于其为安全实践提供了「共同语言」：项目经理说「我们要符合 OWASP Top 10」、安全审计师按 Top 10 类别编写报告、开发团队将 Top 10 作为冲刺中必须清零的检查清单。这种标准化效力是任何单个安全厂商的报告都无法比拟的。 OWASP 于 2023 年发布了针对大型语言模型应用的专项清单 OWASP LLM Top 10（首版 2023），将提示词注入（LLM01）列为 AI 应用的首要安全威胁，标志着 OWASP 的安全视野从传统 Web 应用成功扩展至生成式 AI 场景。
Kubernetes（K8s）安全涵盖保护 Kubernetes 集群四个层面的所有安全实践：基础设施、控制平面、工作负载和运行时。根据 NSA/CISA 2023 年联合发布的 Kubernetes 强化指南，常见风险包括：etcd 未加密、API Server 匿名访问、Pod 以 root 运行且未设置 securityContext、网络策略缺失导致 Pod 间无隔离、镜像中的已知漏洞被部署到生产环境。CNCF 的 4C 安全模型（Cloud → Cluster → Container → Code）提供了从云基础设施到应用代码的逐层纵深防御框架。Kubernetes 内置的 RBAC、NetworkPolicy、Pod Security Standards（PSS）和 Admission Controllers 构成了平台原生安全能力的基础。
数据泄露是指敏感、受保护或机密数据被未授权访问、复制、传输或窃取的安全事件。Equifax、Yahoo、Target 等大事件已让数据泄露成为企业合规与品牌信任的核心风险。
多因素认证（Multi-Factor Authentication, MFA）是一种通过组合两个或以上独立类别的认证因素来验证用户身份的安全机制。与传统单一密码认证相比，MFA 构建了纵深防御屏障——即使攻击者获取了其中一个因素（如通过钓鱼获取密码），仍无法完成认证。微软身份安全团队在 2019 年基于对 3 亿条 Azure AD 登录日志的大数据分析指出：启用 MFA 可阻止 99.9% 的自动化账号攻击（如撞库和密码喷射）。Google 在 2020 年的安全博客中进一步证实：为其 1.5 亿用户账户启用基于设备的两步验证后，账户被接管事件下降了 50%。 NIST SP 800-63B（数字身份指南，2020 年修订版）将认证因素按本质属性分为三类：知识因素（Something You Know）——个人记忆的秘密如密码、PIN、安全问题答案；持有因素（Something You Have）——物理设备如安全密钥、智能卡、一次性密码生成器或被信任的手机设备；固有因素（Something You Are）——生物特征如指纹、面部、虹膜、声纹。真正的 MFA 必须跨类别组合——「密码+SMS 验证码」是 MFA（知识+持有），「密码+安全问题」不是 MFA（两者均为知识因素）。 近年 MFA 的发展趋势聚焦于「防钓鱼」（Phishing-Resistant）能力的提升。SMS OTP 和 TOTP 均面临实时钓鱼中继攻击（Real-time Phishing Proxy）的威胁——攻击者在钓鱼站点实时转发受害者的用户名、密码和 OTP 到真实站点完成登录。2022 年 9 月，Uber 遭受 Lapsus$ 黑客组织攻击即通过 MFA 疲劳攻击（反复推送 MFA 通知直至员工误点接受）绕过。FIDO2/WebAuthn 标准通过在认证器中内置 Origin 绑定（验证调用页面与注册时域名一致）从根本上阻断钓鱼中继——私钥永远不离开认证器设备。
数据脱敏（Data Masking），又称数据去标识化（De-identification），是对敏感数据进行不可逆或可有限逆转的变形处理，在保留数据用于开发、测试、分析或展示等业务用途所需的结构和统计特征的同时，使数据中的个人身份信息（PII）、财务信息或商业机密无法被还原至可识别个体或具体值的程度。 数据脱敏不同于加密。加密是将数据通过数学算法转换为密文，持有密钥即可完全恢复明文——加密解决的是「未经授权者看不懂」的问题。脱敏解决的是「即使授权用户也看不到原文」的问题——测试工程师不需要知道真实客户的手机号（只需长度和格式不变即可测试前端校验逻辑）；数据分析师不需要知道个体的精确收入（只需收入分布统计特征准确即可进行建模）。 脱敏技术按方法分为静态脱敏（Static Data Masking, SDM）和动态脱敏（Dynamic Data Masking, DDM）。静态脱敏在高线环境中对数据库副本进行一次性脱敏处理后交付给非生产环境使用；动态脱敏在生产数据库查询时实时拦截和掩码，「不落地」数据——查询结果在返回前一刻被改写。Microsoft SQL Server 自 2016 版起内置了动态数据掩码（DDM）功能，允许在列级别定义掩码函数（如 `MASKED WITH (FUNCTION = 'partial(2,"XXXXXX",2)')`），对非特权用户自动隐藏敏感列的真实值。 中国自 2020 年起显著加速了数据脱敏的合规进程。《个人信息保护法》（2021 年 11 月 1 日施行）第四条规定「匿名化处理后的信息不属于个人信息」，但第二十四条同时要求个人信息处理者在委托处理、对外提供等场景中实施去标识化。全国信息安全标准化技术委员会（TC260）于 2023 年发布 GB/T 42460-2023《信息安全技术 个人信息去标识化效果评估指南》，将去标识化效果分为四个等级（重标识风险从高到低），为国内数据脱敏工程的合规验收提供了量化工具。
分布式拒绝服务攻击（DDoS，Distributed Denial-of-Service）是攻击者利用僵尸网络（Botnet）向目标服务器或网络发送海量恶意流量，耗尽其带宽、计算或应用资源，致使合法用户无法正常访问的攻击行为。DDoS 区别于单源 DoS 的核心特征是分布式——攻击流量来自数百至数百万台被控制的设备，使源 IP 封禁和流量溯源极为困难。按照 OSI 模型，DDoS 可分为三层：网络层（L3/L4）的容量耗尽型攻击——SYN Flood、UDP Flood、DNS/NTP/CLDAP 反射放大攻击（利用 Memcached 可实现 51,000 倍的理论放大）——以及应用层（L7）的资源耗尽型攻击——HTTP/HTTPS Flood、Slowloris。据 Cloudflare 2024 年 DDoS 威胁报告，2024 年第三季度观测到的最大攻击峰值达 3.8 Tbps（基于 CLDAP 反射放大），HTTP/2 Rapid Reset（CVE-2023-44487）则开创了利用协议特性而非流量规模的零日应用层 DDoS 新范式。MITRE ATT&CK 将 DDoS 分类为 T1498（网络 DoS）和 T1499（端点 DoS）。
服务端请求伪造（Server-Side Request Forgery, SSRF）是一种允许攻击者迫使服务端应用向非预期的目标发起网络请求的安全漏洞。与 CSRF 迫使浏览器发起请求不同，SSRF 的控制点在服务端——攻击者利用应用自身的网络出口，以应用服务器的身份（及其关联的 IAM 角色、网络权限和信任关系）访问内部资源。 SSRF 的危害远不止于端口扫描。在云原生环境中，SSRF 是通往元数据服务（Metadata Service）的直接通道。AWS EC2 实例的元数据端点 `169.254.169.254` 默认向同一实例上的任意进程开放，无需任何认证——攻击者通过 SSRF 访问该端点即可窃取 IAM 临时凭证（AccessKeyId、SecretAccessKey、Token），进而接管云资源。2019 年 Capital One 数据泄露事件的根本原因即是一条 SSRF 链：攻击者利用 WAF 配置错误触发服务端请求，访问 EC2 元数据服务获取 IAM 角色凭证，最终窃取了超过 1 亿美国用户和约 600 万加拿大用户的个人信息，Capital One 因此被罚款 1.9 亿美元。2021 年 OWASP Top 10 将 SSRF 新增为 A10——这是 SSRF 首次进入 Top 10，反映了其在云原生时代严重性的急剧攀升。 国内场景中，2023 年多家互联网公司发生因内部 API 未授权 + SSRF 链导致的数据泄露事件。阿里云 ECS 元数据端点同样运行在 `100.100.100.200` 上，腾讯云则使用 `metadata.tencentyun.com`——攻击者一旦获取任意 SSRF 向量，即可从这些端点提取临时凭证。
通用漏洞披露（Common Vulnerabilities and Exposures, CVE）是全球网络安全漏洞的标准化命名与编号体系，由 MITRE 公司自 1999 年起维护，目前由美国国土安全部（DHS）下属的网络安全与基础设施安全局（CISA）资助。CVE 不提供漏洞的技术细节、风险评级或修复方案，它只做一件事——为每个公开披露的漏洞分配一个全球唯一标识符，使安全社区能以统一的语言描述和引用同一个漏洞。 CVE 编号格式为 `CVE-YYYY-NNNNN`，如 `CVE-2021-44228`（Log4Shell）。截至 2024 年底，CVE 数据库累计收录超过 23 万个条目，2024 年单年新增发布约 3.6 万个 CVE，创历史新高，反映出漏洞发现和披露速度的持续加快。CVE 编号由分布在全球 40 个国家/地区的 260 余个 CVE 编号机构（CNA）分配，CNAs 覆盖了主流软件供应商（Microsoft、Google、Apple、Red Hat）、安全研究组织、国家级 CERT 团队（包括中国 CNCERT/CC）和漏洞赏金平台（HackerOne、Bugcrowd）。 CVE 体系并非无争议。2018 年，MITRE 面临 CVE 积压严重（数千个已公开漏洞在非官方渠道流通但未被分配 CVE 编号）的批评，CISA 自 2019 年起大幅增加资助并推动 CVE 流程改革，将单一 CNA 模式扩展为联邦制——允许更多组织成为 CNA 直接分配 CVE 编号，显著缩短了从漏洞发现到编号分配的时间窗口。2025 年，MITRE 发布 CVE 5.0 记录格式，引入了 JSON schema、CVSS v4.0 集成和多语言描述支持。
ISO/IEC 27001 是由国际标准化组织（ISO）与国际电工委员会（IEC）联合发布的信息安全管理体系（ISMS）国际标准，也是全球最具影响力的信息安全认证标准。第一版于 2005 年发布（基于 BS 7799-2:2002），2013 年更新为第二版（ISO/IEC 27001:2013），当前版本为 ISO/IEC 27001:2022（第三版）。 标准的独特价值不仅在于其技术内容，更在于其**认证属性**：获得 ISO 认可的认证机构可对组织的 ISMS 进行独立第三方审核，符合标准则颁发 ISO 27001 认证证书。这一证书已在全球商业合同、政府招标和监管合规中被广泛视为信息安全能力的信誉凭证。据 ISO Survey 2023，全球已有超过 71,000 张有效的 ISO 27001 证书分布于 150+ 个国家/地区——日本、中国、英国位列证书持有数前三名。 27001 的核心方法论是 PDCA（Plan-Do-Check-Act）持续改进循环，要求组织通过风险评估识别信息资产面临的威胁和脆弱性，从 Annex A 的 93 项控制措施中选择适用的安全控制，并持续监测、评审和改进 ISMS 的有效性。2022 版 Annex A 完成了迄今最大幅度的结构重组：从 2013 版的 14 个控制域 114 项控制措施精简为 4 主题 93 项——组织控制（A.5）、人员控制（A.6）、物理控制（A.7）、技术控制（A.8）。新增的控制措施包括威胁情报（5.7）、ICT 服务连续性规划（5.29）和配置管理（8.9），反映了对供应链安全和云服务依赖等新兴风险的回应。2022 版发布后，持有 2013 版认证的组织有三年过渡期（截至 2025 年 10 月 31 日）完成转版审核。 在中国，ISO 27001 对应国家标准为 GB/T 22080，二者内容实质等效。中国合格评定国家认可委员会（CNAS）负责对境内的 ISO 27001 认证机构进行认可监督。
密码学哈希函数（Cryptographic Hash Function）是一类把任意长度输入（消息）映射为固定长度输出（摘要/指纹）的单向确定性函数。其核心安全要求是三个层次递进的抗性：抗原像性（Preimage Resistance）——给定摘要 h，找 x 使 Hash(x)=h 在计算上不可行；抗第二原像性（Second Preimage Resistance）——给定 x1，找 x2≠x1 使 Hash(x1)=Hash(x2) 不可行；抗碰撞性（Collision Resistance）——找到任意 x1≠x2 产生相同摘要不可行。这三个属性共同构成了哈希函数作为「数字指纹」的信赖基础。 MD5（128 位输出，Rivest 1991）是最早的广泛部署哈希之一，其命运也最具警示意义：1996 年 Dobbertin 发现压缩函数弱点，2004 年王小云团队在国际密码学会议（Crypto 2004）上演示了完整 MD5 的碰撞攻击——当时仅需约 1 小时的计算时间。2008 年，Sotirov 等利用 MD5 碰撞构造了欺骗性 CA 证书，迫使浏览器厂商紧急禁用 MD5 签名的证书。SHA-1（160 位输出，1995）服役更久，2017 年 2 月 Google 与 CWI 阿姆斯特丹联合发布 SHAttered——投入 110 个 GPU 年（9,223,372,036,854,775,808 次 SHA-1 计算）实现首个实用碰撞，产生两个不同 PDF 文件具有相同的 SHA-1 摘要。2020 年 Gaetan Leurent 与 Thomas Peyrin 提出 Chosen-Prefix 碰撞攻击，将攻击成本进一步降至约 45,000 美元 GPU 时间。TLS 生态系统于 2017 年起逐步淘汰 SHA-1 证书签名。 当前主流安全哈希：SHA-256/SHA-384/SHA-512（FIPS 180-4，2002）、SHA-3（基于 Keccak 海绵结构，2015）、BLAKE3（极高性能，2020）、SM3（国密，256 位输出，2010）。密码存储场景另有独立进化路线：bcrypt（1999）、scrypt（内存硬，2012）、Argon2（密码哈希竞赛冠军，2015），通过高开销迭代和 salt 使字典/彩虹表攻击不可行。
云身份与访问管理（Cloud IAM）是在云环境中管理数字身份和访问权限的控制体系，被 Gartner、CISA 和几乎所有主流云厂商视为云安全的第一道防线。云 IAM 涵盖身份源管理（Federated Identity / SSO）、授权策略（IAM Policy / RBAC / ABAC）、临时凭证（STS / AssumeRole）、权限边界和服务控制策略（SCP）等组件。云 IAM 的复杂性远超传统本地 AD/LDAP 环境：一个中大型 AWS 组织可能包含数千个 IAM 角色、数万个权限策略和多层账户结构（AWS Organizations）。配置错误是云数据泄露的首要原因——2023 年，多个公开 S3 桶泄露事件均溯源至 IAM 策略过度授权或公开访问配置失误。CISA 将 IAM 安全列为云安全五大支柱之首。
网络蠕虫（Computer Worm）是一种具备自我复制能力和自主传播能力的恶意代码类型，与病毒的关键区别在于蠕虫无需依附宿主文件，无需用户交互即可通过网络自动扩散。蠕虫的核心杀伤力在于其传播的自主性和速度——在存在可被利用的网络服务漏洞时，一个蠕虫实例可以在数分钟内感染数以万计的主机。 1988 年 11 月 2 日，康奈尔大学研究生 Robert Tappan Morris 从 MIT 的一台计算机上释放了史上第一个蠕虫——Morris Worm。该蠕虫利用 finger 守护进程的缓冲区溢出和 sendmail 的 DEBUG 模式命令注入两个漏洞传播，感染了约 6,000 台主机（约占当时互联网全部 60,000 台主机的 10%），造成系统瘫痪和网络阻塞。Morris 成为首个被依据《计算机欺诈与滥用法案》（CFAA）定罪的黑客，被判处 3 年缓刑、400 小时社区服务和 1 万美元罚款。此事件直接催生了世界上第一个计算机应急响应团队——CMU 的 CERT/CC（由美国国防高级研究计划局 DARPA 资助）。 2003 年 1 月 25 日，SQL Slammer 蠕虫以流量型蠕虫之极速展示了传播速度的安全临界值——使用单个 UDP 数据包（376 字节）攻击 Microsoft SQL Server 的解析溢出漏洞（CVE-2002-0649），在 10 分钟内感染全球超过 75,000 台主机，峰值传播速率达到每 8.5 秒数量翻倍。由此引发的 DDoS 流量导致全球骨干路由器路由表震荡、BGP 会话重置，美国银行 ATM 网络断线、韩国全国互联网服务近乎瘫痪、美国航空公司票务系统中断。 2008 年 10 月，Conficker（又称 Downadup）蠕虫开始通过 MS08-067（NetAPI 远程代码执行，CVE-2008-4250）漏洞和 SMB 弱口令在全球范围内蔓延，至 2009 年 1 月感染主机数量超过 900 万台。Conficker 的独特性在于其更新机制的复杂设计——在每日生成数百个伪随机域名中，蠕虫本体仅通过其中少数域名进行实际更新通信，将反制和域名接管的技术难度提升了数个数量级。微软为此联合 ICANN、安全厂商和域名注册商成立了 Conficker 工作组，悬赏 25 万美元通缉蠕虫作者。
数据防泄漏（Data Loss Prevention, DLP）是通过策略驱动的内容识别技术，对组织内的敏感数据在**使用中（Data-in-Use）**、**传输中（Data-in-Motion）** 和**静态（Data-at-Rest）** 三种状态下实施实时监控、检测和阻断的安全技术体系。DLP 的核心价值不在于发现已经发生的泄露（这是事后审计的职责），而在于在泄露发生的前一刻阻止它——阻止员工将包含信用卡号的 Excel 表上传到个人网盘，阻止客户数据库通过邮件外发，阻止源代码被复制到 USB 存储设备。 DLP 的识别引擎是其技术核心。早期的关键词匹配和正则表达式（如匹配 16 位信用卡号 Luhn 校验）已演进为结合精确数据匹配（EDM，将数据哈希化后进行指纹匹配）、文档指纹（IDM，对完整文档生成哈希）、机器学习分类器和光学字符识别（OCR，识别图片中的敏感文字）的多层识别体系。 据 Gartner 数据，全球 DLP 市场规模在 2023 年约为 22 亿美元，并以年增长率约 15% 的速度增长。DLP 市场的驱动力主要来自三方面：GDPR（欧盟，2018 年 5 月生效）、CCPA（加州，2020 年 1 月生效）和 PIPL（中国《个人信息保护法》，2021 年 11 月生效）等全球隐私法规的合规压力；远程办公常态化带来的数据边界消失；以及内部威胁（据 Verizon 2024 DBIR，68% 的数据泄露涉及非恶意的人为因素）的持续增长。Symbol、Forcepoint、Microsoft Purview 和 Digital Guardian 是 DLP 市场的代表性厂商。 DLP 的实践缺陷也值得关注：过高频率的误报导致「告警疲劳」——安全运营团队逐渐忽视 DLP 告警；以及偏重结构化数据（如信用卡号、身份证号）而对非结构化数据（如设计图纸、合同文本）的识别能力不足——这两个问题至今是 DLP 产品的行业性瓶颈。
中间人攻击（MITM，Man-in-the-Middle / Adversary-in-the-Middle / On-Path Attack）是指攻击者秘密介入两方通信链路之间，拦截、转发甚至篡改双方数据的网络攻击。通信双方以为自己在直接对话，实际所有数据都经攻击者中转。MITM 跨越所有通信层级：ARP 欺骗（L2 局域网层，攻击者伪装网关 MAC 地址劫持流量）、DNS 劫持（L3/L7 间，将域名解析到攻击者控制的 IP）、SSL/TLS 剥离（将 HTTPS 降级为 HTTP，中间以明文通信）、证书伪造（伪造合法证书使客户端信任攻击者）、以及 Evil Twin Wi-Fi（部署与合法 AP 同名的恶意热点）。MITRE ATT&CK 将其归类为 T1557（Adversary-in-the-Middle）并细分为 ARP Cache Poisoning（T1557.002）和 LLMNR/NBT-NS Poisoning（T1557.001）。2024 年关键事件包括：腾讯安全团队发现的 Wi-Fi 降级攻击 CVE-2023-52424（Krack 系列扩展）、XZ Utils 供应链后门（CVE-2024-3094）中 OpenSSH systemd-notify 组件被植入流量劫持代码，以及 Let's Encrypt 单日签发 3,300+ 利用 ACME DNS Challenge 验证缺陷的证书事件。
跨站请求伪造（Cross-Site Request Forgery, CSRF）是一种利用 Web 应用对用户浏览器的隐式信任的攻击手法。攻击者构造一个恶意网页或邮件，内嵌指向目标网站的请求（如表单提交、API 调用、状态变更操作），当已登录目标网站的受害者访问该恶意页面时，浏览器自动携带目标域下的 Cookie（包括 Session Cookie）发出请求——目标服务器从请求中看到有效凭证，认为该请求是用户本人发起的合法操作，从而执行攻击者预期的状态变更。 CSRF 不同于 XSS：XSS 是在目标网站注入恶意脚本，CSRF 则是利用浏览器自动携带 Cookie 的机制从第三方网站发起请求。CSRF 仅能触发状态变更操作（修改密码、转账、修改邮箱等），无法窃取响应数据，因为同源策略阻止了跨域读取。2014 年 OWASP Top 10 将 CSRF 列为 A8，到 2017 年仅 5% 的受测应用仍存在 CSRF 漏洞——这是框架内置防御（如 Rails 的 authenticity_token、Django 的 csrf_token、Spring Security 的 CSRF 保护）取得显著成效的例证。然而 CSRF 仍未绝迹：2020 年 TikTok 被发现存在 CSRF 漏洞，攻击者可劫持用户账户执行任意操作，该漏洞获 CVE-2020-28973 分配且 CVSS 评分为 8.8。
高级持续性威胁（Advanced Persistent Threat, APT）是指由国家行为体或拥有国家级资源支持的攻击组织发起的隐蔽、长期、多阶段的网络攻击活动。APT 的命名源于其三大标记性特征：**高级（Advanced）**——攻击者掌握零日漏洞、定制恶意软件、软件供应链渗透等高级攻击手段；**持续性（Persistent）**——攻击不以短期经济利益为目标，而是长期潜伏（平均驻留时间 200+ 天），持续窃取情报、技术或施加影响；**威胁（Threat）**——背后有国家情报机构、军事单位或有组织犯罪团伙的支持，具备完整的攻击流水线和明确的地缘政治或经济目标。 与黑产攻击（以勒索软件、盗取信用卡、挖矿为主要目的）不同，APT 行动的关键区分标准是**非对称性动机**：入侵目标不是为了「卖钱」，而是为了获取外交谈判筹码、窃取军事技术、破坏关键基础设施或在重大事件期间实施影响力作战。MITRE ATT&CK 框架是全球 APT 行为分析的基础语汇，截至 2025 年已收录 140+ 个命名 APT 组织及其技术行为谱系。 标志性 APT 行动包括：Stuxnet（2010，首个确认破坏物理基础设施的 APT 攻击）、APT29/Cozy Bear（2015-2020 期间多次攻击美国政府机构和 COVID-19 疫苗研发）、APT41/Double Dragon（中国背景，兼具国家间谍和黑产盈利双重目的）、APT38/Lazarus Group 子集（朝鲜背景，以 SWIFT 银行转账和加密货币交易所攻击获取外汇收入）。据 CrowdStrike《2024 年全球威胁报告》，2023 年观察到的 APT 交互式入侵数量同比增长 75%，其中云环境入侵增长 110%。
云存储安全是指保护云对象存储服务（AWS S3、Azure Blob、GCP Cloud Storage、阿里云 OSS）中数据的机密性、完整性和可用性的安全实践。云存储配置错误是数据泄露的首要技术原因——2023 年 Verizon DBIR 报告将云存储错误配置列为基础架构安全事件的主要类型。典型问题包括：存储桶公开访问（Bucket ACL 设置为 PublicRead/PublicWrite）、静态加密未启用、访问日志未开启、跨区域复制无加密、对象版本控制缺失（导致勒索软件加密后可恢复）。云存储安全的核心防线是：默认拒绝公开访问 + 服务端加密（SSE-S3/KMS/客户自主密钥）+ 访问日志 + 对象锁定（Object Lock，防篡改/防删除）+ 生命周期策略自动清理过期数据。
数字签名（Digital Signature）是基于公钥密码学构建的电子认证机制，同时提供三项核心安全保障：身份认证（签名者身份可验证）、数据完整性（任何篡改会导致验签失败）和不可否认性（签名者事后无法抵赖）。数字签名是现代互联网信任体系的基石——从 HTTPS 证书链验证、软件分发（代码签名）、区块链交易授权、电子合同签署到电子邮件安全（DKIM/S/MIME），无一不依赖数字签名技术。 数字签名的法律基础在不同法域各有演进：联合国国际贸易法委员会（UNCITRAL）1996 年发布《电子商务示范法》，2001 年发布《电子签名示范法》。欧盟 2014 年通过 eIDAS 条例（Regulation(EU) No 910/2014），将电子签名分为简单电子签名（SES）、高级电子签名（AES）和合格电子签名（QES）三级，其中 QES 在法律效力上等同于手写签名。中国于 2004 年通过、2005 年实施的《电子签名法》（2019 年修订）以「功能等同」和「技术中立」为原则，认可可靠电子签名与手写签名或盖章具有同等法律效力。2019 年修订后进一步扩大了电子签名的适用领域。 主流签名算法演进：RSA-PSS（概率签名方案，FIPS 186-5 推荐替代 PKCS#1 v1.5 填充）、ECDSA（椭圆曲线数字签名算法，NIST P-256/secp256r1 使用最广）、Ed25519（Daniel J. Bernstein 等 2012 年设计，EdDSA 在 Curve25519 上的实例化，以高速、简洁、安全实现著称——已在 OpenSSH、Signal、WireGuard 中广泛采用）和 SM2（中国国密椭圆曲线签名算法，用于政企合规场景）。从工程实践角度，Ed25519 因排除了随机数依赖的脆弱性（ECDSA nonce 重用导致私钥泄露，如 2010 年索尼 PS3 ECDSA 私钥泄露事件）而越来越被推荐为默认选择。
零信任架构（Zero Trust Architecture, ZTA）是一种将「从不信任，始终验证」作为核心原则的企业网络安全策略模型。其根本思想是弃用传统的「城堡－护城河」式边界安全——即默认内网可信、外网不可信——转而要求对每一次资源访问请求都进行独立的身份认证、设备健康评估和动态授权决策，无论请求发起于内网还是外网。 零信任并非单一产品，而是一套贯穿身份管理、网络分段、终端安全、数据保护的战略框架。2019 年，美国国防信息系统局（DISA）发布首版零信任参考架构；2020 年，NIST 在 SP 800-207 中首次给出零信任架构的正式技术定义，确立三大核心逻辑组件：策略引擎（PE）、策略管理员（PA）和策略执行点（PEP）。2021 年 5 月，美国签署 Executive Order 14028《改善国家网络安全》，明确要求联邦政府机构向零信任架构迁移，CISA 随后于 2021 年 9 月发布《零信任成熟度模型》草案。据 Gartner 预测，到 2026 年，超过 60% 的大型企业将采用零信任作为安全架构基础。 零信任的工程落地面临实际挑战：传统应用（尤其遗留系统）缺乏细粒度授权接口、全网实施微隔离（micro-segmentation）带来的运维复杂度、以及跨混合云环境统一策略编排的困难。尽管如此，SolarWinds 供应链攻击（2020）和 Colonial Pipeline 勒索事件（2021）等重大安全事件持续推动零信任从概念走向普遍部署。
威胁狩猎（Threat Hunting）是一种主动的、假设驱动的安全运维方法——安全分析员不等待告警触发，而是主动在网络中搜索已绕过现有安全控制的隐蔽威胁。威胁狩猎的核心理念是「假定入侵」（Assume Breach）：攻击者已经在内网中，防御者的任务是找到他们，而非仅依赖告警做被动响应。Sqrrl（现 Amazon）将威胁狩猎定义为「在端点、网络和数据集之间进行迭代搜索，以检测和隔离绕过自动化防御系统的威胁」。MITRE ATT&CK 知识库为威胁狩猎提供了战术级的行为分析框架——通过将可疑活动映射到 ATT&CK 矩阵，分析员可将孤立告警关联为完整攻击链。
TLS（Transport Layer Security，传输层安全协议）是互联网应用最广泛的加密通信协议，为客户端与服务器之间的数据传输提供机密性、完整性和身份认证三重保障。它的前身是 Netscape 于 1994-1995 年开发的 SSL（Secure Sockets Layer），经历了 SSL 1.0（从未公开发布）、SSL 2.0（1995，多个严重漏洞）、SSL 3.0（1996）三代后，由 IETF 于 1999 年将其标准化并更名为 TLS 1.0。此后二十余年间历经 TLS 1.1（2006）、TLS 1.2（2008）、TLS 1.3（2018）三个主要版本，每次迭代都源于实战中发现的致命攻击。 截至 2025 年，全球 Web 流量中超过 95% 通过 HTTPS（HTTP over TLS）加密传输（根据 Google Transparency Report 和 Firefox Telemetry 数据）。2014 年这一比例仅为约 40%。Let's Encrypt（2016 年正式上线）通过免费、自动化的证书签发使 HTTPS 从「成本负担」变为「默认配置」，是这一转变的关键推手。 TLS 的安全演进是「攻击驱动升级」的典型范例。SSL 3.0 的 POODLE 攻击（2014）导致其被彻底废弃；OpenSSL Heartbleed（2014，非 TLS 协议漏洞但暴露了协议实现的脆弱性）；RC4 在 TLS 中的 Bar-Mitzvah 攻击（2015）加速了流密码的淘汰；DROWN（2016）利用 SSLv2 攻击 TLS 会话；ROBOT（2018，Bleichenbacher 攻击的 20 年后重生）揭示了 RSA PKCS#1 v1.5 加密的持续风险。TLS 1.3（RFC 8446，2018 年 8 月）是首次以「安全设计优先」而非「向后兼容优先」为原则的大版本——移除所有已知不安全的算法和模式（RSA 密钥传输、CBC 模式、RC4、MD5/SHA-1 哈希），强制前向保密（PFS），将握手从 2-RTT 压缩至 1-RTT。
公钥基础设施（Public Key Infrastructure, PKI）是一套由策略、流程、硬件、软件和人员构成的可信体系，其核心功能是将公钥安全地绑定到特定实体（人、组织、设备、域名），使依赖方（Relying Party）可以验证数字签名的来源、建立加密会话或确认代码分发者的身份。PKI 是 HTTPS（TLS 证书验证）、S/MIME（邮件签名和加密）、代码签名（Authenticode/Gatekeeper）、VPN 身份验证和电子政务的信任根。 X.509 v3 证书（RFC 5280）是 PKI 的标准数据格式，包含以下关键字段：版本号、序列号（CA 内唯一）、签名算法标识符、颁发者（Issuer）DN、有效期（NotBefore/NotAfter）、主体（Subject）DN、主体公钥信息和扩展字段（如 SAN 域名列表、密钥用途、基本约束、CRL 分发点）。证书链验证遵循严格的层次信任模型：依赖方从叶证书出发，递归验证每个中间 CA 的签名直到根 CA（信任锚），链上任一环节失效（过期、吊销、签名不匹配、约束违规）则整条链不可信。 PKI 的历史教训深刻。2011 年 DigiNotar 荷兰 CA 因内部网络入侵被签发超过 500 张欺诈证书（包括 *.google.com），导致浏览器厂商将 DigiNotar 根证书从信任锚中永久移除，CA 直接破产。2017 年 Symantec 因大规模证书签发违规（约 30,000 张证书未正确验证域名控制权）被 Chrome 分阶段不信任，最终其 CA 业务被 DigiCert 收购。这些事件催生了证书透明度（Certificate Transparency, CT）和 CA/Browser Forum 基线要求的持续收紧。
Serverless 安全是针对无服务器计算架构（如 AWS Lambda、Azure Functions、Google Cloud Functions）特有的安全威胁和防护体系。Serverless 改变了传统应用的安全模型：开发者不再管理操作系统和运行时环境，攻击面从「服务器漏洞」转变为「函数代码漏洞 + 事件源注入 + 身份与权限配置错误」。核心威胁包括：函数代码中依赖项含已知漏洞、事件数据注入（如 S3 触发器注入恶意数据）、过度授权的函数 IAM 角色（一个函数本应只读写单一 S3 桶，却被授予 s3:* 权限）、冷启动残留数据泄露、Serverless 特有 DoS（利用函数并发限制耗尽资源）、以及供应链风险（第三方 Lambda Layer 或 CI/CD 管道投毒）。OWASP Serverless Top 10 为开发者提供了系统的安全风险清单。
零知识证明（Zero-Knowledge Proof, ZKP）是密码学中一类允许证明者（Prover）向验证者（Verifier）证明某个陈述为真，而不泄露任何超出该陈述本身有效性的额外信息。1985 年，Shafi Goldwasser、Silvio Micali 和 Charles Rackoff 在论文《The Knowledge Complexity of Interactive Proof-Systems》中首次形式化定义了零知识证明的概念与三大核心属性：完备性（Completeness）——若陈述为真，诚实的证明者总能使诚实的验证者信服；可靠性（Soundness）——若陈述为假，任何不诚实的证明者无法使验证者信服（概率极低）；零知识性（Zero-Knowledge）——验证者除了「陈述为真」这一事实外，无法从交互中学到任何额外信息。 2012 年，Goldwasser 和 Micali 因「在密码学和复杂性理论方面的开创性贡献，特别是零知识证明」获得图灵奖。ZKP 的发展经历了从理论构造（1985-1990s 交互式证明）到实用化（2010s zk-SNARK）再到大规模部署（2020s 区块链 L2 扩容和隐私保护），其应用场景已远超学术界的最初想象：区块链隐私交易（Zcash，2016）、以太坊 L2 Rollup 扩展（zkSync、StarkNet）、去中心化身份验证（匿名凭证，无需透露年龄即可证明「年满 18 岁」）、安全多方计算、电子投票等。 ZKP 的两个实用化方向：zk-SNARK（Zero-Knowledge Succinct Non-Interactive Argument of Knowledge）以极小证明体积（数百字节）和极速验证（毫秒级）见长，但需要可信设置（Trusted Setup）仪式产生公共参考字符串——2018 年 Zcash 的 Sapling 升级通过 BGM17 协议减少假设但仍未完全消除；zk-STARK（Zero-Knowledge Scalable Transparent ARgument of Knowledge，Eli Ben-Sasson 等 2018）消除了可信设置（透明性），且具有抗量子安全性（仅依赖哈希函数），但证明体积较大（数十至数百 KB）。截至 2025 年，两者在生产环境中互补共存。
差分隐私（Differential Privacy, DP）是一种具有严格数学证明的隐私保护模型，由 Cynthia Dwork、Frank McSherry、Kobbi Nissim 和 Adam Smith 在 2006 年发表于 ICALP（国际自动机、语言与程序设计研讨会）的开创性论文「Calibrating Noise to Sensitivity in Private Data Analysis」中首次正式提出。差分隐私的核心思想是：一个数据分析算法的输出应该对「单个个体的数据是否存在于输入数据集中」表现为不可区分——攻击者无法通过比较算法输出推断某个特定个体是否在数据集中，更不用说推断该个体的具体信息。 这一思想被形式化为 $(ε, δ)$-差分隐私不等式：一个随机化算法 M 满足 $ε$-差分隐私，当且仅当对所有仅相差一条记录的相邻数据集 D 和 D'，以及所有可能的输出子集 S，有 $Pr[M(D) ∈ S] ≤ e^ε × Pr[M(D') ∈ S]$。其中 $ε$（epsilon）称为隐私预算（Privacy Budget），$ε$ 越小隐私保护越强。$δ$ 参数允许一个极小的概率（通常取 $δ ≪ 1/|D|$）违反纯 ε-差分隐私的约束，形成放松版 $(ε, δ)$-差分隐私。 差分隐私与传统匿名化技术的根本区别在于它提供了对**任意背景知识攻击**的免疫力。k-匿名性（k-Anonymity，Sweeney 2002）要求每个个体在至少 k 个记录中不可区分，但链接攻击（Linkage Attack）——将匿名化数据与外部公开数据集（如选民登记记录）关联——可以绕过 k-匿名性实现对个体的重新识别。差分隐私通过注入受控数学噪声（Laplace 机制、高斯机制）而非修改数据结构来提供隐私保障，并且在数学上可证明这种保障是绝对的。这一特性使差分隐私成为大数据分析时代最具理论说服力的隐私保护范式。 2023 年，差分隐私的重要变体「Shuffle Model」和「Local Differential Privacy」被应用于 Apple（iOS 10 起用于 QuickType 键盘建议和 Emoji 使用频率分析）和 Google（Chrome 的 RAPPOR 遥测系统和 COVID-19 社区移动报告），标志着差分隐私从理论论文走向数十亿用户终端的工程落地。2020 年美国人口普查首次对发布表格全面采用差分隐私（$ε=19.61$ 全局预算），引发学术界对 $ε$ 取值合理性的广泛讨论。
不安全反序列化（Insecure Deserialization）是指应用程序在将序列化的外部数据（二进制流、JSON、XML、YAML 等）还原为内存中的对象（反序列化, Deserialization）时，未对该数据的来源、完整性和类型进行充分校验，导致攻击者可构造包含恶意逻辑的序列化载荷，在反序列化过程中触发代码执行（RCE）、权限提升、对象注入或拒绝服务。 反序列化的安全问题根源在于「反序列化过程是隐式的计算执行」——与将字符串拼接到 SQL 查询中可能被执行（SQL 注入）类似，将不可信的数据还原为对象的过程可能调用对象的构造函数、析构函数、Set/Get 方法、或自定义的 __wakeup()/__destruct()/readObject() 魔术方法。如果这些方法中包含文件操作、命令执行或数据库连接逻辑，攻击者便可通过精心构造的序列化 payload 触发它们。 2017 年 OWASP Top 10 将不安全反序列化列为 A8。一个标志性案例是 Apache Commons Collections 的反序列化漏洞链（2015 年由 Gabriel Lawrence 和 Chris Frohoff 发现，工具 ysoserial 因此诞生）：攻击者构造的序列化对象中包含 Commons Collections 的 Transformer 链，反序列化过程中 Transformer 链自动执行路径上的任意命令——而接收序列化数据的 WebLogic、WebSphere、JBoss 等 Java 应用服务器默认监听并接受序列化数据。该漏洞影响数以万计的企业级应用服务器，2017 年 Equifax 数据泄露（涉及 1.47 亿美国消费者个人信息）的部分攻击路径即利用了 Apache Struts 中的一个反序列化漏洞。 在 Python 生态中，pickle 模块的文档明确警告「pickle 模块并不安全，只应对你信任的数据进行反序列化」——因为 pickle 允许在反序列化时执行任意代码。在 PHP 中，unserialize() 的 __wakeup() 和 __destruct() 魔术方法是著名的 POP（Property-Oriented Programming）链的构建基础。
OAuth 2.0（RFC 6749, 2012）是互联网最广泛部署的授权框架，允许第三方应用在资源所有者（用户）的许可下、无需获取用户密码即可访问受保护资源。它与 OpenID Connect（OIDC, 2014）配合构成现代身份基础设施的核心——OAuth 2.0 处理授权（「你能让这个应用访问你的 Google Drive 吗？」），OIDC 在其上增加身份认证层（「你是谁？」），通过 ID Token（JWT 格式）将用户身份安全地从身份提供方（IdP）传递给依赖方（RP）。 OAuth 2.0 定义了四种授权模式（Grant Types）：授权码模式（Authorization Code，服务器端应用，最安全）——客户端将用户重定向到授权服务器，用户同意后获得一次性授权码，客户端再凭授权码和自己的客户端密钥向令牌端点换取 Access Token+Refresh Token；隐式模式（Implicit，已废弃）——Access Token 直接通过 URL 片段返回，不经过令牌端点认证，安全性弱；密码模式（Resource Owner Password Credentials，已不推荐）——用户直接将密码交给客户端，破坏了 OAuth 的核心价值（不暴露密码）；客户端凭证模式（Client Credentials，机器对机器）——客户端用自己的凭证直接获取 Access Token。 OAuth 2.1（正在整合中）将移除隐式模式和密码模式，强制 PKCE（Proof Key for Code Exchange, RFC 7636）用于所有授权码流程（即使客户端密钥存在），并收紧 Refresh Token 安全要求。PKCE 最初是 2015 年为移动/公共客户端设计的安全加固，2021 年起 OAuth 安全最佳实践（BCP）要求所有客户端使用 PKCE——原因在于授权码拦截攻击：恶意应用注册相同的 redirect_uri scheme 可截获授权码。PKCE 通过 `code_challenge`（SHA-256(code_verifier)）和 `code_verifier`（客户端生成的高熵随机字符串）确保即使授权码被截获，没有 code_verifier 也无法换取令牌。
安全风险评估是信息安全管理体系（ISMS）的核心过程，通过系统识别信息资产面临的威胁、脆弱性和潜在影响，确定风险等级并制定处置策略。ISO/IEC 27005 是信息安全风险管理的国际标准，NIST SP 800-30 Rev. 1 提供了美国联邦系统的风险评估指南。风险评估通常按「资产识别 → 威胁识别 → 脆弱性识别 → 影响分析 → 风险计算 → 风险处置」六步进行。风险处置策略分为四类：规避（不执行该项活动）、缓解（实施安全控制降低风险）、转移（购买网络安全保险或外包）、接受（在成本效益分析后保留残余风险），而非简单地追求「零风险」——这在实践中既不可行也不经济。
同态加密（Homomorphic Encryption, HE）是一类允许在加密数据上直接执行计算而无需先解密的密码学方案。计算产生的加密结果在解密后等于对明文执行相同操作的结果。这个看似简单的性质对隐私保护具有颠覆性影响：数据所有者可以将加密后的数据外包给不受信任的云计算服务商进行分析（如医疗影像 AI 辅助诊断、金融风控建模），而服务商全程无法阅览原始数据。 同态加密按支持的计算类型和深度分为三个等级：部分同态加密（Partially Homomorphic Encryption, PHE）仅支持无限次加或乘（之一），如 RSA 支持乘同态、Paillier（1999）支持加同态，已在实际系统中部署（如电子投票计票）；某种程度同态加密（Somewhat Homomorphic Encryption, SHE）支持有限次加法和乘法的组合；全同态加密（Fully Homomorphic Encryption, FHE）支持任意次加法和乘法的组合，即理论上可以执行任意计算。 FHE 的突破历经三十年：1978 年 Rivest、Adleman 和 Dertouzos 首次提出在加密数据上计算的设想，2009 年 Craig Gentry 在其博士论文中通过「自举」（Bootstrapping）技术构造了首个理论可行的 FHE 方案——核心思想是每次同态运算会累积「噪声」（误差），当噪声超过阈值时解密将失败，Bootstrapping 通过同态地解密自身来刷新噪声。Gentry 因此获得 2022 年 ACM 计算奖。后续优化方案——BGV（Brakerski-Gentry-Vaikuntanathan, 2011）、BFV（Brakerski/Fan-Vercauteren, 2012）、CKKS（Cheon-Kim-Kim-Song, 2017，支持近似浮点数运算）——将效率从「不可实用」提升至「特定场景可应用」。当前 FHE 相对于明文计算的性能开销约为 10^4 至 10^6 倍（取决于电路深度和方案选择）。
生物特征认证（Biometric Authentication）是利用人体固有的生理特征（指纹、面部、虹膜、声纹、掌静脉）或行为特征（步态、签名笔迹、击键节奏）进行身份验证的技术体系。与密码或安全令牌不同，生物特征的独特价值在于「随身携带、不可遗忘」——它消除了记忆负担和物理令牌丢失问题，因此在消费电子（智能手机指纹/面部解锁）、出入境管理（生物特征护照、机场自助通关）、金融支付和访问控制中大规模应用。 生物认证的核心指标是 FAR（False Acceptance Rate，误识率——错误接受冒充者的概率）和 FRR（False Rejection Rate，拒真率——错误拒绝真实用户的概率）。二者互为取舍：降低匹配阈值可减少 FRR（用户体验更好）但增加 FAR（安全性降低），反之亦然。ERR（Equal Error Rate，FAR=FRR 时的值）是系统整体精度的一种度量。商用指纹传感器的 FAR 通常低于 1/50,000，虹膜识别可达 1/10^6，高端军用系统对 FAR 要求低于 1/10^9。 2013 年 Apple 在 iPhone 5s 中引入 Touch ID 将指纹识别带入主流消费市场——使用电容式传感器读取指纹脊线电容差异（非光学拍照，具抗照片欺骗能力）。2017 年 iPhone X 的 Face ID 进一步升级为 3D 结构光面部识别——投影超过 30,000 个不可见红外点阵到面部，用专用神经网络引擎（Neural Engine）实时计算深度图，Apple 宣称被随机人解锁的概率约 1/1,000,000（vs Touch ID 的 1/50,000）。这一技术路线与 Android 生态中早期普遍使用的 2D 摄像头面部识别形成鲜明对比——后者多次被照片、视频甚至 3D 打印面具绕过（如 2017 年三星 Galaxy S8 面部识别被一张照片解锁的公开演示）。Android 10（2019）引入了生物特征分级：Class 3（Strong，要求 FAR<1/50,000 且活体检测）、Class 2（Weak）、Class 1（Convenience）。Google 要求 Class 3+ 才能用于支付验证和 KeyStore 认证。 生物特征的最大安全悖论在于「不可撤销性」：密码泄露可修改、安全密钥丢失可挂失替换，但指纹、面部和虹膜是终身不可更改的——一旦生物特征模板被攻破泄露，用户无法「换一张脸」或「换一个虹膜」。这一性质使生物特征模板的存储和保护成为隐私与安全红线。
模型窃取（Model Extraction / Model Stealing）是指攻击者通过对目标机器学习模型的 API（黑盒）或公开权重（灰盒）进行系统化的查询，收集输入-输出对，利用这些「查询-响应」数据训练一个在功能上高度逼近目标模型的替代模型（Substitute Model）。模型窃取的经济后果远不止「损失一个模型」——一个训练成本逾百万美元的大语言模型（LLM）如果被窃取，攻击者可获得该模型的所有能力，包括：以目标模型为底座构建竞品服务、发现训练数据中的敏感信息（成员推断攻击, Membership Inference Attack）、以及规避目标模型的安全护栏（因为替代模型不受任何输出限制）。 模型窃取的技术根源在于 **AI 模型作为商业产品面对的根本性矛盾**：模型的价值在于提供「推理即服务（Inference as a Service）」的 API，但每次 API 调用都向攻击者泄露了模型在特定输入上的行为信息。攻击者不需要突破任何安全边界——他们只是在「合法地使用 API」，然后对返回的结果进行反向工程。 Carlini、Jagielski 和 Mironov 在 CRYPTO 2020 发表的论文「Cryptanalytic Extraction of Neural Network Models」首次将模型窃取形式化为密码分析问题：攻击者以预言机（Oracle）身份访问目标模型的最后一层输出（logits 或软标签），使用差分分析技术逐层、逐神经元地提取模型参数——只需对目标模型进行与参数数量成正比的查询次数。他们对 CNN 分类器的成功提取证明了：黑盒模型参数提取的信息论基础是成立的，模型 API 即使仅返回预测标签（而非置信度分数），通过精心选择的查询集仍可部分重建模型的决策边界。 OWASP LLM Top 10（2023 版）将模型窃取列为 LLM10。随着 OpenAI GPT-4o、Anthropic Claude 和 Google Gemini 等黑盒 API 模型在商业应用中广泛部署，模型窃取的风险已从学术理论问题升级为涉及知识产权保护、商业机密安全和训练数据隐私的复合性安全风险。
密钥管理（Key Management）是覆盖加密密钥从生成到销毁全生命周期的策略、流程和技术体系，是密码学安全性的「阿喀琉斯之踵」——一个用 AES-256 加密的文件，如果其 256 位密钥被明文存储在配置文件里，密码学上的安全性完全归零。 密钥管理的核心悖论可以表述为：**「加密学越强，密钥管理的责任越重」**。在数学上，AES-256 的暴力破解需要 2^256 次运算——宇宙寿命级别的不可行。但攻击者不需要暴力破解 AES——他们只需要找到「密钥在哪里」，而这个答案通常是：在硬编码的配置文件里、在未加密的环境变量中、在开发者不小心提交到 GitHub 的 .env 文件中、在有权限访问 S3 的 AWS Lambda 函数内存中。密钥管理的安全性决定了密码学的实际安全性。 据 NIST SP 800-57 Part 1 Revision 5（2021 年发布），密钥管理应遵循以下核心原则：密钥生成必须使用经认可的密码学安全随机数生成器（CSPRNG）——操作系统内核熵池（Linux /dev/random、Windows BCryptGenRandom）或硬件安全模块（HSM）中的真随机数生成器（TRNG）；密钥决不应以明文形式离开受控的加密边界；密钥使用必须限定用途（Purpose-Bound Keys）——一个用于签名的密钥不能用于加密，反之亦然；密钥必须根据其保护的数据敏感度和密码学强度设定生命周期，到期必须轮换或销毁。 Gartner 估计，到 2025 年，超过 60% 的企业将通过云原生的密钥管理服务（KMS）——如 AWS KMS、Azure Key Vault、Google Cloud KMS、阿里云 KMS——管理其加密密钥，而非维护自有的硬件安全模块（HSM）集群。这一趋势的理由并非 HSM 技术本身不足，而是 HSM 的运维成本（硬件采购、双人控制、物理安全、灾难恢复）远超多数组织愿意且能够承担的投入。