Day37-02｜18.1.1 信息安全面临的威胁：从攻击面识别到体系化防御

对应教材：第 18 章安全架构设计理论与实践——18.1.1 信息安全面临的威胁
学习定位：掌握信息安全威胁的主要来源、对象、表现和发展趋势，能够识别外部攻击、内部威胁、供应链风险、云与物联网风险，并将威胁映射到预防、检测、响应和恢复措施。

一、为什么要系统分析安全威胁

信息安全威胁不是某一类病毒或某一次攻击，而是可能破坏系统保密性、完整性、可用性、真实性和可审计性的各种因素。系统架构师如果只关注“有没有防火墙”，就很容易忽略账号被盗、配置错误、第三方接口、云权限、供应链和灾备失效等问题。

安全威胁分析的目标，不是预测所有攻击细节，而是识别系统最可能、影响最大的攻击路径和失效模式，进而决定安全边界、控制措施、监控指标、应急流程和恢复策略。一个成熟的分析过程应当回答：

哪些资产暴露在什么攻击面上？
威胁主体可能从哪里进入？
需要利用哪些脆弱性才能造成影响？
攻击发生后，哪些业务和数据会受到影响？
现有控制能否预防、发现、阻断和恢复？
如果控制失败，系统如何降低损失并保留证据？

可以将威胁分析抽象为：

资产与数据流 → 暴露面 → 威胁主体 → 攻击路径 → 安全事件 → 业务影响 → 控制与响应

二、威胁的主要来源

2.1 外部攻击者

外部攻击者可能通过互联网、开放 API、远程办公、供应商通道、移动应用和公开云资源进入系统。攻击者的能力差异很大，从自动化扫描和弱口令尝试，到有组织的长期潜伏和定向攻击。架构设计需要同时防御低成本大规模攻击和高价值目标的持续渗透。

外部攻击常见目标包括：账号凭据、互联网暴露接口、Web 应用、远程管理服务、邮件系统、VPN、DNS、云存储、边界设备和第三方连接。不能因为某个系统没有直接暴露在互联网，就认为它没有外部威胁，攻击者可能先攻陷办公终端或合作伙伴，再通过内部信任关系横向移动。

2.2 内部人员与内部终端

内部威胁包括恶意内部人员、被盗用的内部账号、被攻陷的办公终端、越权操作和误操作。内部主体通常已经拥有一定网络可达性和合法凭据，因此传统边界防御可能无法阻止其访问。

内部风险的重点不是假设每个人都恶意，而是避免单个账号、单台终端或单次误操作拥有过大的影响范围。最小权限、职责分离、审批、操作审计、终端准入、微隔离和异常行为分析可以降低内部威胁。

2.3 供应链与第三方

现代系统依赖操作系统、开源组件、云服务、网络设备、芯片、镜像、软件包、外包人员和数据接口。供应链风险可能来自恶意代码、被篡改的升级包、过期组件、默认密钥、第三方账号、远程维护工具或服务商配置错误。

供应链安全不能只靠合同承诺。需要建立组件清单、版本管理、来源验证、签名校验、漏洞扫描、供应商访问控制、升级审批、远程维护审计和退出机制。对高风险组件要准备替代方案和隔离运行环境。

2.4 自然环境与基础设施

火灾、水灾、地震、雷击、停电、空调故障、机房进水和线路中断都可能造成信息安全事件，因为安全不仅是“防攻击”，还包括保障信息和系统在异常环境中的可用性与完整性。

机房、云区域、运营商、供电和备份介质的共同故障域必须纳入分析。若主系统和备份位于同一机房，或者备份账号与生产账号共享，灾害或攻击可能同时破坏两者。

三、主要攻击面

3.1 网络攻击面

网络攻击面包括互联网出口、域名系统、VPN、无线网络、路由协议、远程管理、跨区域链路、云互联、容器网络和服务发现。常见风险包括端口扫描、拒绝服务、地址伪造、路由劫持、DNS 污染、中间人攻击、流量窃听和横向移动。

网络防护应结合区域、身份和业务流，而不是仅依据 IP 地址。动态云环境和移动终端中，地址经常变化，安全策略需要依赖身份、标签、服务账号和设备状态。

3.2 应用和 API 攻击面

应用风险包括注入、越权、身份认证缺陷、会话管理错误、敏感数据泄露、文件上传、反序列化、业务逻辑滥用和接口限流不足。API 还可能被批量调用、重放、枚举和滥用。

架构设计需要明确 API 网关、认证授权、输入校验、速率限制、幂等、防重放、日志、敏感操作审批和服务间身份。仅在网络边界部署 WAF 不能解决所有业务逻辑问题。

3.3 身份与凭据攻击面

账号密码、令牌、证书、密钥、服务账号和 API Key 都是高价值目标。弱密码、长期有效令牌、共享账号、权限不回收、密钥硬编码和凭据泄露会让攻击者绕过部分网络防护。

身份架构应包含注册、认证、授权、会话、凭据存储、轮换、吊销、恢复和审计。对高风险动作应采用多因素认证、设备可信检查、短期令牌和动态授权。

3.4 数据和存储攻击面

数据库、对象存储、文件共享、备份、日志和缓存都可能泄露或被篡改。云存储桶公开、备份账号权限过大、日志中记录敏感信息、临时文件未清理、数据导出缺少审批，都是常见风险。

数据安全需要覆盖数据产生、传输、处理、共享、备份、归档和销毁。架构师要识别哪些数据必须加密、哪些可以脱敏、谁可以导出、备份如何隔离、删除如何验证以及日志如何防篡改。

3.5 终端和物联网攻击面

终端数量多、软件版本复杂、用户行为不可控；物联网设备可能资源有限、补丁能力弱、生命周期长、默认密码普遍存在。攻击者可利用摄像头、打印机、传感器、工业控制器和边缘网关作为进入内部网络的跳板。

终端和物联网设计应包括身份、固件签名、可信启动、网络隔离、最小服务、远程升级、漏洞处置、异常流量检测和设备退役。不能把所有终端放在同一平面中。

四、威胁的典型表现

4.1 恶意软件与勒索攻击

恶意软件可能通过邮件、下载、漏洞、供应链、移动介质或远程服务进入系统。勒索攻击通常不仅加密生产数据，还会窃取数据、删除备份、破坏恢复环境并扩大横向影响。

架构防护应包括终端检测、应用控制、网络分段、最小权限、不可变备份、备份隔离、恢复演练和关键业务降级。备份“存在”不等于能够恢复，必须定期验证恢复时间、数据完整性和依赖服务。

4.2 拒绝服务与资源耗尽

拒绝服务可以攻击网络带宽、连接数、CPU、内存、线程池、数据库连接池、消息队列和存储空间。应用层的慢请求和大量合法请求也可能造成资源耗尽。

防护要按层次设计，包括流量清洗、速率限制、连接保护、缓存、负载均衡、弹性扩容、优先级和熔断。关键业务应保留资源配额，避免低优先级流量耗尽共享资源。

4.3 欺骗、钓鱼和社会工程

攻击者可能通过伪造邮件、短信、网站、客服或供应商身份诱导用户交出凭据或执行危险操作。技术控制要结合用户教育、域名保护、邮件安全、强认证、敏感操作二次确认和异常行为分析。

4.4 中间人和通信窃听

不安全无线、未加密链路、伪造证书、DNS 篡改和弱协议可能导致数据被窃听或篡改。应使用证书认证、加密传输、密钥管理、完整性校验、网络隔离和终端证书验证，并监控异常证书和通信路径。

4.5 权限提升和横向移动

攻击者获得低权限账号后，可能利用本地漏洞、凭据复用、服务配置缺陷或管理接口实现权限提升，再访问其他主机和数据。防御重点是最小权限、管理员分离、网络微隔离、服务间认证、东西向监控和高风险操作审计。

4.6 数据泄露和篡改

数据泄露可能来自外部窃取、内部越权、错误共享、备份暴露、日志泄露和第三方接口。数据篡改可能不易立即被发现，尤其是报表、交易、配置和审计数据。

应结合数据分级、访问控制、加密、脱敏、DLP、完整性校验、版本和不可变存储建立控制。对关键交易和配置，可以使用签名、双人审批和不可否认审计。

五、新技术环境下的威胁

5.1 云计算威胁

云环境中，资源由 API 创建和管理，权限错误、公开存储、镜像漏洞、密钥泄露、租户隔离缺陷和控制平面误操作都可能产生严重影响。云安全责任通常由云服务商与客户共同承担，架构师必须明确责任边界。

云架构要关注账号层级、组织策略、资源标签、网络安全组、密钥管理、审计日志、镜像签名、配置基线和跨区域恢复。云上的自动化权限尤其要遵循最小权限和短期授权。

5.2 容器与微服务威胁

容器镜像、编排平台、服务账号、服务发现、消息队列和 API 网关构成新的攻击面。镜像中可能包含漏洞或密钥，编排平台权限过大可能影响整个集群，服务间通信未认证会导致横向传播。

需要建立镜像来源和签名校验、运行时限制、命名空间隔离、网络策略、服务身份、密钥注入、集群审计和供应链扫描。服务网格可以提供 mTLS 和策略，但不能替代应用授权和业务安全。

5.3 大数据与人工智能威胁

大数据平台通常数据源多、权限复杂、复制链路多，存在数据过度共享、脱敏不足、集群管理接口暴露和备份泄露等风险。人工智能系统还面临训练数据投毒、提示注入、模型窃取、敏感信息泄露和输出不可信等问题。

安全架构需要为数据来源、处理作业、模型、服务接口和输出建立审计与权限边界，避免为了追求数据利用率而放弃最小化和用途限制。

5.4 物联网与工业控制威胁

工业控制系统往往运行周期长、补丁窗口少、协议专用、设备资源有限。直接对其采用办公网络的扫描和补丁策略可能造成停机。应通过分区隔离、单向访问、白名单、协议代理、工业防火墙、旁路检测和分阶段维护保护生产安全。

六、攻击链与威胁建模

6.1 攻击链思路

攻击不是一个瞬间动作，通常包括侦察、初始访问、执行、持久化、权限提升、防御绕过、凭据访问、发现、横向移动、收集、外传和影响。架构师可以沿攻击链检查每个阶段有哪些可见信号和阻断措施。

例如，外部攻击者先扫描 API，利用弱认证获得低权限账号，再访问内部服务，窃取服务凭据，横向进入数据库，最后导出数据。对应控制应覆盖网关限流、强认证、最小权限、服务间身份、东西向隔离、数据库审计和数据导出告警，而不是只在互联网边界部署防火墙。

6.2 威胁建模

威胁建模可以在设计阶段识别资产、入口、信任边界、数据流、攻击者能力和安全控制。常见步骤包括绘制数据流图、标记外部实体、过程、存储和边界，列出欺骗、篡改、抵赖、信息泄露、拒绝服务和权限提升等威胁，再确定缓解措施和验证方式。

威胁建模的输出应进入需求和设计评审，不能成为一次性文档。系统新增接口、云资源、供应商或数据流时，需要重新评估。

七、从威胁到防御体系

7.1 预防

预防措施包括安全设计、最小权限、分区隔离、强认证、补丁、基线、加密、输入校验、网络访问控制和供应链验证。预防的目标是减少攻击成功率和影响范围。

7.2 检测

检测措施包括日志、流量分析、终端检测、漏洞扫描、配置审计、异常行为分析和蜜罐或诱捕。检测要覆盖关键资产和攻击链阶段，并确保事件能够关联到主体、时间、对象和动作。

7.3 响应

响应措施包括阻断、隔离、吊销账号、切换策略、限制流量、保存证据、通知责任人和执行应急剧本。自动化响应需要设置审批、范围、有效期和回滚，避免误报引发大面积故障。

7.4 恢复

恢复措施包括数据备份、配置恢复、灾备切换、密钥恢复、重建环境、业务降级和手工替代。恢复设计要验证依赖关系、恢复顺序和实际 RTO，而不是只保留一个备份文件。

八、案例分析：供应商远程运维引发的安全风险

某工厂允许设备供应商通过 VPN 远程维护生产设备。VPN 账号长期有效，多个工程师共享账号，生产区与办公区路由互通，维护操作没有集中审计。企业希望保持远程维护效率，同时降低入侵和误操作风险。

第一，识别威胁。供应商账号被盗、工程师误操作、维护终端感染恶意软件、VPN 作为横向入口、生产协议被误用、操作无法追责，都是需要处理的威胁。

第二，划分边界。供应商访问先进入远程运维区，再经跳板机或安全代理访问指定设备；办公网不能直接访问生产区；生产设备管理面与业务控制面分离；必要时采用单向数据交换或协议代理。

第三，改造身份。为每个供应商和工程师建立独立账号，使用多因素认证、证书或硬件令牌；权限按设备、时间、任务和操作类型限定；维护结束后自动失效，紧急账号采用双人审批。

第四，限制通道。只开放必要地址、协议和端口，禁止供应商通过 VPN 访问整个生产网；对远程文件和工具进行来源校验、病毒检测和审批；维护终端需要满足安全基线。

第五，集中审计。记录登录、授权、命令、配置变化、文件传输、设备响应和会话录像，统一时间并防篡改；发现异常登录、越权访问和批量命令时暂停会话并通知责任人。

第六，设计故障与恢复。身份平台或审计平台故障时，默认暂停高风险远程维护；生产设备保持本地安全运行；平台恢复后核对权限、会话和配置差异。定期演练远程通道失效和生产设备本地接管。

九、常见失分点

只列病毒、木马、黑客，不分析资产和攻击路径。
只写外部攻击，忽略内部、供应链、误操作和自然灾害。
只关注网络边界，忽略身份、应用、数据、云和终端。
只写防护，不写检测、响应、恢复和证据保全。
将零信任、云安全、人工智能等概念写成口号，不落到主体、资源和策略。
工业和物联网方案直接照搬办公网补丁和扫描方式。

十、今日必背清单

威胁分析要从资产、暴露面、威胁主体和攻击路径出发。
威胁来源包括外部攻击者、内部人员、供应链、误操作和自然环境。
攻击面覆盖网络、应用、API、身份、数据、终端、云、容器和物联网。
重点攻击表现包括恶意软件、拒绝服务、钓鱼、窃听、权限提升、横向移动、泄露和篡改。
威胁建模可以沿数据流、信任边界和攻击链识别风险。
防御体系要覆盖预防、检测、响应和恢复。
供应商远程运维要做到独立身份、临时授权、受控通道、最小权限和全量审计。
新技术带来新能力，也带来新的控制面、供应链和管理风险。

十一、课后练习

练习一：单项选择

下列哪项属于供应链安全风险？

A. 设备机房温度过高
B. 第三方软件升级包被篡改并植入恶意代码
C. 用户忘记密码
D. 链路带宽不足

练习二：判断题

网络边界部署防火墙后，内部账号被盗就不会造成严重安全影响。（）

练习三：简答题

请说明为什么威胁分析需要同时关注预防、检测、响应和恢复四个阶段。

练习四：案例题

某云平台上部署了订单系统，发现对象存储桶可能被公开访问，管理员账号长期有效且权限过大，容器镜像来源不明。请识别主要威胁，并给出架构改进措施。

十二、参考答案

练习一答案

答案：B。

解析：第三方软件升级包被篡改属于供应链威胁。其他选项分别属于环境、账号、容量或运维问题，也可能成为风险，但不属于该题所指的供应链风险。

练习二答案

答案：错误。

解析：内部账号被盗后，攻击者可能利用合法身份绕过部分边界控制，访问内部应用、数据库和管理接口。需要持续认证、最小权限、微隔离、异常行为分析和高风险操作审计。

练习三答案

参考答案：预防可以减少攻击成功概率，检测可以在攻击发生后尽早发现，响应可以限制影响范围、阻断攻击并保留证据，恢复可以恢复数据和业务、降低停机和长期影响。任何一个阶段缺失，系统都可能在预防失败后无法及时发现、无法控制扩散或无法恢复。因此安全架构应形成完整闭环，而不是只依赖事前防护。

练习四答案

参考要点：

主要威胁包括对象存储公开导致敏感数据泄露；长期有效且权限过大的管理员账号被盗后可控制大量云资源；来源不明的容器镜像可能包含恶意代码或漏洞；云控制平面和镜像仓库还可能成为横向攻击入口。

改进措施包括：对存储桶实施默认私有、最小权限、临时授权和访问日志，敏感数据加密并进行异常下载检测；管理员使用统一身份、多因素认证、分权、短期凭据和高风险审批；建立镜像仓库白名单、来源验证、签名校验、漏洞扫描和版本追踪，禁止未经验证的镜像进入生产；设置云组织策略、网络安全组、运行时隔离、服务账号权限和控制平面审计；集中采集云审计、存储、身份、容器和应用日志，建立告警与应急隔离；对关键数据建立不可变备份和恢复演练。

十三、今日复盘

请从一个“远程运维账号被盗”的场景出发，依次写出资产、威胁主体、入口、脆弱性、攻击路径、业务影响、预防控制、检测信号、响应动作和恢复措施。若能写完整这十个环节，说明你已经掌握威胁分析的基本方法。

下一篇进入 18.1.2「安全架构的定义和范围」，将把今天识别出的威胁进一步映射到安全架构的边界和控制体系。