计算机安全导论：从资产、威胁到可验证的防护

一个信息系统能够正常启动，并不等于它值得信任。真正的安全问题是：系统保存和提供的哪些东西有价值，它们可能以什么方式受损，我们准备怎样预防、发现、处置并恢复，以及如何证明这些措施确实有效。

在第一部分，我们建立一套可反复使用的分析框架。面对任意系统，先回答三个问题：保护什么资产？资产受到什么威胁？用什么对策把风险降到可接受范围？

学习目标与安全问题的边界

完成本章后，你应该能够：

• 用机密性、完整性、可用性描述安全需求，并补充真实性与可追责性；
• 区分资产、漏洞、威胁、攻击、对手、对策与残余风险；
• 从攻击后果、主动性和攻击来源三个维度分类事件；
• 说明安全服务、安全机制和安全策略之间的层次关系；
• 把预防、检测、响应、恢复、保障与评估组成持续闭环。

计算机安全保护的不只是文件。硬件、固件、操作系统、应用程序、数据库、密码与密钥、处理能力、网络带宽、通信链路、机房设施和组织声誉都可能是资产。安全也不是“装一个产品”就结束，而是贯穿设计、部署、运维、人员变动与退役的过程。

基本安全目标：CIA 及其补充属性

机密性：让信息只到达被授权的一方

机密性要求访问与披露遵循授权限制。它包含两层含义：一是敏感数据不能被无权主体读取；二是个人应能影响与自己有关的信息如何被收集、保存和分享。机密性丢失的直接表现是未授权披露。

访问控制、传输加密、存储加密、密钥管理和数据脱敏都能服务于机密性，但任何单一措施都不充分。例如，文件已经加密，若密钥与密文放在同一处且权限相同，攻击者仍可能同时取得二者；通信内容被加密，流量的时间、长度和通信双方仍可能泄露行为规律。

完整性：让数据和系统按授权方式变化

数据完整性要求信息与程序只按规定方式被修改；系统完整性要求系统持续执行预期功能，不受故意或意外操纵。完整性丢失包括未授权修改、删除、插入、重排、伪造，以及系统功能被改造成非预期行为。

完整性保护不仅要发现“变了”，还要回答“谁改的、是否有权、能否恢复”。哈希适合发现比特变化，消息认证码和数字签名还能提供更强的来源与完整性证据，细粒度权限限制修改者，审计记录帮助追踪修改过程，可信备份负责恢复。

可用性：在需要时及时、可靠地提供服务

可用性要求授权主体在需要时能够使用资源，并达到约定的性能。系统虽然仍返回响应，但如果耗时已经超过业务允许范围，也可能在实际意义上不可用。冗余、限流、容量规划、健康检查、故障转移、备份与灾难恢复都是常见措施。

真实性与可追责性

真实性回答“这个用户、设备、消息或来源是真的吗”；可追责性要求行为能唯一追溯到相应主体。身份认证、来源认证、不可否认性和受保护的审计日志共同支持这两项属性。由于防护不可能消灭全部风险，系统必须保留足够证据，以便调查、归责、修复和处理争议。

用影响分级决定优先级

同一资产在不同目标上的要求可能不同。学生成绩对机密性与完整性要求较高；匿名娱乐投票对完整性的要求较低；关键身份认证服务对可用性的要求极高。可以把损失影响分为低、中、高：低表示影响有限且主要功能仍可完成；中表示业务能力明显下降并产生显著损失；高表示关键任务中断或造成灾难性后果。

资产、漏洞、威胁、攻击与风险

安全分析中的术语必须保持清楚，否则容易把“可能发生的危险”和“已经执行的行为”混为一谈。

• 资产是组织希望保护的资源，包括数据、服务、能力、设备、软件、文档和设施。
• 漏洞是设计、实现、配置、运行或管理中的弱点，可能被利用来违反安全策略。
• 威胁是可能利用漏洞并造成损害的潜在条件、能力、行为或事件。
• 攻击是具有明确意图、已经实施的威胁行为。
• 对手是发动攻击或构成威胁的主体，可能来自边界外，也可能是滥用合法权限的内部人员。
• 对策用于消除漏洞、降低攻击成功概率、减轻损害，或发现并报告事件以便纠正。
• 风险是特定威胁利用特定漏洞并产生特定损害的可能性与后果的综合。

对策本身也可能引入新漏洞。例如，集中身份服务便于统一控制，却可能成为高价值单点目标；自动备份提高恢复能力，若备份账号权限过大，又可能扩大泄露范围。因此，部署控制后仍然存在的风险称为残余风险，它需要继续监控、接受、转移或进一步降低。

四类资产的典型损害

威胁后果与攻击分类

从后果看：披露、欺骗、破坏与篡夺

未授权披露包括直接暴露、通信截获、通过统计或流量特征进行推断，以及绕过保护后的入侵读取。它首先威胁机密性。

欺骗使授权主体相信错误数据，包括冒充合法身份、伪造数据、否认已经发送或接收的行为。它主要威胁数据或系统完整性，也会削弱真实性与可追责性。

破坏使服务或功能中断、失常，包括让组件失去能力、腐化系统功能，以及通过占用通信或计算资源阻碍正常操作。它威胁可用性与系统完整性。

篡夺是未授权主体取得系统资源或功能的控制权，包括盗用处理能力、带宽或账号，以及让组件执行有害功能。它主要威胁系统完整性。

从行为看：被动攻击与主动攻击

被动攻击只观察或利用信息，不改变系统资源，典型形式是监听消息内容和分析流量模式。它往往难以察觉，因此重点是通过加密、流量保护和最小化暴露来预防。

主动攻击会修改数据流、制造虚假数据流或影响运行，常见形式包括伪装、重放、消息修改和拒绝服务。完全阻止所有主动攻击通常不现实，设计重点应同时覆盖检测、响应和恢复。

从来源看：内部与外部

外部攻击由安全边界外的未授权主体发起；内部攻击由边界内、原本拥有某些访问权的主体滥用权限发起。内部人员熟悉流程并拥有合法入口，不能仅靠边界防火墙处理，因此还需最小权限、职责分离、行为审计和异常检测。

安全功能、服务与机制

仅列出威胁还不足以指导建设。完整的功能要求既包含技术控制，也包含管理与运行控制。常见领域包括：访问控制、意识与培训、审计与可追责、持续安全评估、配置管理、应急与业务连续性、身份鉴别、事件响应、维护、介质保护、物理与环境保护、安全规划、人员安全、风险评估、系统与服务采购、通信保护，以及系统与信息完整性。

其中访问控制、身份鉴别、通信保护和信息完整性偏重技术；培训、规划、人员、物理环境、风险评估等偏重管理；配置管理、事件响应和介质保护则横跨两者。有效安全必须把技术、流程和人员放在同一张图上。

服务说明“要提供哪种保护”

• 认证服务确认通信实体或数据来源的身份；
• 访问控制服务规定谁能在什么条件下对资源执行哪些操作；
• 数据机密性服务保护连接、单个消息、选定字段以及流量特征；
• 数据完整性服务检测修改、插入、删除、复制、重排和重放，并可选择是否自动恢复；
• 不可否认服务为发送或接收行为提供证据；
• 可用性服务保证授权主体按性能要求使用资源。

机制说明“怎样实现保护”

加密、数字签名、访问控制、完整性校验、认证交换、流量填充、路由控制和可信第三方见证属于可针对具体协议或数据流部署的机制。可信功能、安全标签、事件检测、审计轨迹和安全恢复则贯穿多个层次。

一个服务通常需要多个机制，一个机制也可能支持多个服务。数字签名可以同时支持来源真实性、完整性和不可否认性；审计日志能支持检测与追责，但如果日志本身可被任意修改，它就无法提供可信证据。

威胁与防护技术的演进

攻击面会随计算环境变化而扩大。恶意软件仍是高频入口，钓鱼把技术漏洞与人的判断结合起来；移动设备与便携终端带来丢失和越界接入问题；内部账号滥用、拒绝服务、无线网络弱配置、口令窃取和经济欺诈则说明风险不会集中在单一层次。

成熟控制通常先得到广泛采用，例如防火墙、恶意代码防护、虚拟专用网络和补丁管理。它们容易理解、成本可控且能覆盖常见威胁，但“普及”并不意味着“足够”。现代系统还需要传输与静态数据加密、入侵检测与阻止、集中日志、端点防护、数据防泄漏、服务端访问控制、取证工具、公钥基础设施、一次性令牌、无线安全、虚拟化隔离和适当的生物特征认证。

选择控制时应避免按产品热度排序。正确方法是把每项控制映射到资产、威胁、漏洞与安全目标。例如，补丁管理主要减少可利用漏洞，集中日志提高检测与追责能力，备份提高恢复能力，数据防泄漏面向敏感数据的异常外发，而多因素认证降低口令单点失守的影响。

安全策略、实施、保障与评估

完整安全战略包含三个相互约束的层面：策略规定系统应该做什么，机制负责如何做到，保障回答设计与实现是否真的符合要求。评估则依据明确准则，用测试、检查、审计和分析来形成证据。

策略先于机制

安全策略应明确允许和禁止的行为、主体、资源、条件与责任，并由资产价值、系统漏洞、潜在威胁和攻击概率驱动。策略同时要权衡易用性与安全性，以及防护成本与失败、恢复成本。增加认证步骤会影响使用体验，深度检测会消耗处理能力，但控制不足又可能造成更大损失。

实施形成四种互补动作

1. 预防：使攻击无法成功，例如正确加密数据并妥善保护密钥；
2. 检测：发现异常登录、文件变化、流量激增等安全事件；
3. 响应：隔离账号或主机、阻断恶意流量、限制损害继续扩大；
4. 恢复：从可信备份恢复数据、重建服务、修补入口并复盘改进。

保障不是“绝对证明安全”，而是对控制按预期工作的信心水平。它同时检查设计是否满足需求、实现是否符合规格。评估越严格，得到的信心通常越强，但仍要承认系统、环境和威胁会变化，因此需要持续验证。

安全实践：用哈希观察微小篡改

下面的实验只在本地沙盒中操作两个普通文本文件。两个文件大小完全相同，内容只把金额从 100 改为 900。使用 SHA-256 计算摘要，真实结果如下：

original.txt  30 bytes
SHA-256: 15961b47e1d5894256e21c7b02ccce3098cfe70ec63601129f9547f9361cf93c
 
tampered.txt  30 bytes
SHA-256: 6e2a08b80a384770d58318588b697770f1536f348c4fb70c668f1bbaef64709e

可以看到，文件大小不能证明内容未变，而单个数字的变化会使摘要完全不同。复现实验可运行：

shasum -a 256 original.txt tampered.txt

这个实验能证明什么，不能证明什么

摘要不相同，足以说明两个输入不同；但如果攻击者能够同时替换文件和旁边保存的摘要，单纯比较就失去意义。要把校验结果变成可信证据，基准摘要必须通过受保护的渠道获得，或使用消息认证码、数字签名来绑定来源与内容。即使签名验证通过，也只说明签名之后内容未变且对应密钥参与了签名，不能自动证明内容在业务上正确。

建立可持续的安全思维

安全之所以困难，是因为简单目标往往需要复杂机制；攻击者会从设计者未预料的角度寻找弱点；机制必须放在正确的物理位置和协议层次；密钥等秘密信息还涉及生成、分发、保存与轮换；攻击者通常只需找到一处缺口，而防守者需要覆盖完整路径。

此外，安全投入的收益常常在事故发生前不明显，持续监控又容易被短期任务挤占。若安全被推迟到系统完成后才补做，架构层面的缺陷往往代价高昂。强控制也可能降低性能与易用性，因此安全设计必须基于风险，而不是无限堆叠措施。

可以用以下习惯建立安全思维：

• 默认关键组件最终可能失守，用分段、最小权限和隔离限制爆炸半径；
• 不把边界内等同于可信，持续验证身份、设备状态与请求上下文；
• 不依赖单点控制，用纵深防御让预防失败后仍可检测、响应和恢复；
• 记录关键行为并保护日志，使事件能够追踪与复盘；
• 把安全需求写进设计、采购、开发、测试、部署和退役流程；
• 定期用演练、恢复测试和配置核查验证控制，而不是只检查“是否安装”。

小结

计算机安全以资产为起点，以机密性、完整性、可用性、真实性和可追责性描述保护目标。漏洞使威胁有机会变成攻击，对策通过预防、检测、响应和恢复降低风险，但仍会留下残余风险。

分析时要区分策略、服务和机制：策略规定允许什么，服务描述要提供什么保护，机制给出实现方法。最后还需通过保障与评估取得可解释的信心。把这些概念连成闭环后，面对新系统就不必从产品清单出发，而能从资产、后果和证据出发做出可验证的安全决策。