【万字图谱】2025 网络攻防与安全基础体系

原创于 2025-08-19 22:02:35 发布 · 401 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#网络 #安全

学习路线同时被 3 个专栏收录

1629 篇文章

订阅专栏

干货分享

167 篇文章

订阅专栏

程序员

76 篇文章

订阅专栏

安全基础

网络安全本质是攻击成本与防御成本的动态博弈

核心安全目标 (CIA)

「机密性 (Confidentiality)」 信息只被授权者访问，加密技术核心
「完整性 (Integrity)」 信息不被未授权篡改，摘要签名技术核心
「可用性 (Availability)」 确保授权用户正常访问服务，抗DDoS等

常见网络威胁

「恶意软件 (Malware)」 病毒、蠕虫、勒索软件、木马…
「钓鱼攻击 (Phishing)」 假冒网站/邮件窃取凭证
「DDoS 攻击」 洪水攻击耗尽资源
「中间人攻击 (MitM)」 窃听、篡改通信
「SQL 注入 (SQLi)」
「跨站脚本攻击 (XSS)」
「跨站请求伪造 (CSRF)」

身份认证与访问控制

「密码学基础」 对称加密（AES）、非对称加密（RSA）、哈希（SHA-256）
「认证协议」 HTTP Basic Auth, Session-Cookie, 「JWT」 (JSON Web Token)
「单点登录 (SSO)」 OAuth 2.0, OpenID Connect, SAML
「多因素认证 (MFA/2FA)」 短信/邮箱验证码、Authenticator App、硬件Key
「权限模型」 ACL (访问控制列表), 「RBAC」 (基于角色的访问控制), ABAC (基于属性的访问控制)

网络基础防护

「防火墙 (Firewall)」 入口规则管理，区域隔离
「入侵检测系统 (IDS)」 网络流量监控与告警 (「NIDS」)
「入侵防御系统 (IPS)」 主动拦截恶意流量
「Web应用防火墙 (WAF)」 专防Web应用层攻击（SQLi, XSS）
「虚拟专用网 (VPN)」 加密远程访问通道 (IPSec, 「SSL/TLS VPN」)

操作系统安全

「最小权限原则」 只授予必要权限
「补丁管理」 及时修复系统与应用漏洞
「系统硬化」 关闭不必要服务/端口，强密码策略，日志审计
「端点保护」 EDR (端点检测与响应)、杀毒软件

Web 应用安全

「安全编码」 输入验证、输出编码、参数化查询防SQLi
「CSP」 (内容安全策略) 防XSS
「HSTS」 (HTTP严格传输安全) 强制HTTPS
「安全头」 X-Frame-Options, X-XSS-Protection
「依赖扫描」 识别第三方库漏洞 (Snyk, Dependabot)

云安全基础

「共享责任模型」 云厂商与用户的安全职责划分
「云安全组/ACL」 云平台虚拟防火墙
「密钥管理服务」 KMS（AWS，阿里云等）
「云安全态势管理 (CSPM)」 自动化检查云配置风险
「无服务器安全」 (Serverless Security) 函数权限、依赖、日志

渗透测试与攻击技术基础

信息收集 (Recon)

「DNS信息」 Whois, 「子域名枚举」, DNS记录查询 (A, CNAME, MX…)
「端口扫描」 Nmap 工具
「指纹识别」 Web服务器、应用、操作系统指纹
「搜索引擎技巧」 Google Dorking

漏洞扫描与评估

「自动化扫描」 Nessus, 「OpenVAS」, Nmap Scripts, OWASP ZAP (动态扫描DAST)
「手动测试」 Burp Suite Proxy, 「SQLMap」 (自动化SQL注入)
「漏洞知识库」 CVE, CVSS评分

常见攻击手法

「口令攻击」 爆破、撞库、弱口令利用
「Web应用攻击」 SQL注入、XSS（反射/存储/DOM）、CSRF、SSRF、文件包含/上传漏洞
「中间件漏洞」 未授权访问、RCE
「社会工程学」

后渗透基础

「权限提升」 Linux (SUID/GUID, Capabilities), Windows (内核漏洞, 服务配置)
「内网渗透」 横向移动 (Pass-the-Hash, 凭证窃取), 端口转发
「痕迹清除」

安全工具与资源

常用渗透测试工具

「信息收集」 Nmap, dig, theHarvester, Shodan/Censys
「漏洞扫描」 Nessus, OpenVAS, 「Nuclei」 (大量POC)
「Web代理」 「Burp Suite」 (Community/Pro), OWASP ZAP
「自动化攻击」 sqlmap, Metasploit Framework (渗透测试框架)
「无线安全」 Aircrack-ng

防御与检测工具

「防火墙」 iptables/nftables (Linux), Windows Firewall, 云WAF
「HIDS/NIDS」 「OSSEC」, Snort/Suricata (规则引擎)
「日志分析」 「ELK Stack」 (Elasticsearch, Logstash, Kibana), Graylog
「加密工具」 OpenSSL, GnuPG

安全学习资源

「靶场平台」 Hack The Box, TryHackMe, VulnHub, DVWA (练习Web漏洞)
「开放标准」 OWASP Top 10, 「NIST Cybersecurity Framework」
「社区资源」 OWASP 官方资料, PentesterLab, Exploit-DB
「认证体系」 CEH (入门), OSCP (实践技能标杆), 「CISSP」 (知识体系广度)

合规与意识

「法律法规」 网络安全法、数据安全法、个人信息保护法
「安全开发生命周期」 SDLC, 威胁建模
「安全意识培训」 针对全员（防钓鱼、社会工程学）

安全技术栈

🔐 密码学应用

「非对称加密」 RSA/ECC 证书体系
「国密算法」 SM2/SM4/SM9
「量子安全」 抗量子密码算法迁移
「密钥管理」 HSM，KMS云服务

🛡️ WAF技术

产品	核心特性
「Cloudflare」	DDoS防护，机器人对抗
「ModSecurity」	开源规则库，高度定制化
「雷池」	国内自研，语义引擎检测

🕵️ 威胁狩猎

「EDR」 终端行为链分析（CarbonBlack/CrowdStrike）
「NDR」 网络流量取证（Darktrace/Vectra）
「内存取证」 Volatility，恶意代码无文件攻击检测

合规与架构

📜 安全合规

「等保2.0」 三级系统物理隔离要求
「GDPR」 跨境数据传输限制
「渗透测试报告」 公安部认证机构签章
「漏洞修补SLA」 高危漏洞24小时响应

☁️ 云安全架构

# 云安全三板斧  
1. IAM权限最小化  
2. 存储桶策略加密锁定  
3. 安全组端口动态收缩

「CSPM」 云配置审计（Wiz/Lacework）
「CWPP」 云工作负载防护（Prisma Cloud）

实战工具链

🧰 渗透套件

「Burp Suite」 Web漏洞扫描标杆
「Metasploit」 渗透测试模块化平台
「Nmap」 端口扫描指纹识别
「Sqlmap」 自动化SQL注入攻击

📊 安全分析

在这里插入图片描述

原始日志SIEM关联分析威胁告警攻击溯源

「ELK堆栈」 日志分析开源方案
「Splunk」 商业日志分析黄金标准

安全开发

🧩 DevSecOps

「SAST」 静态代码扫描（SonarQube/Checkmarx）
「DAST」 动态应用测试（OWASP ZAP）
「SCA」 组件漏洞扫描（Snyk/DependencyCheck）
「安全左移」 IDE插件实时检测（Semgrep）

🔗 API安全

「认证」 JWT/OAuth2.0/API Key轮转
「限流」 令牌桶算法防御CC攻击
「Schema校验」 OpenAPI规范强制执行

安全管理

👥 安全团队

「蓝队」 防御体系建设，应急响应
「红队」 模拟APT攻击，突破防线
「紫队」 攻防协同，技术提效

🚨 应急响应

1. 📞 启动预案：通知CERT小组成员  
2. 🔍 遏制影响：隔离受损系统  
3. 💾 取证分析：内存/磁盘镜像提取  
4. 🛠️ 恢复验证：清除后门，补丁加固  
5. 📝 报告归档：提交主管机关

❝

红蓝对抗实战营推荐：

深度复现 「永恒之蓝」/「Log4j2」 等经典漏洞

自研靶场平台 securitylab.io支持攻防夺旗

企业级蜜罐诱捕系统开放测试申请

❞

跨领域融合

「AI安全」 对抗样本攻击（Fooling AI模型）
「车联网安全」 CAN总线协议逆向
「工控安全」 Modbus协议异常检测

职业素养

保持黑客思维：好奇心驱动漏洞挖掘
持续武器库更新：追踪GitHub安全项目
加入白帽子社群：漏洞平台致谢榜单
关注医疗险/意外险：高危操作保障

学习资源

如果你是也准备转行学习网络安全（黑客）或者正在学习，这里开源一份360智榜样学习中心独家出品《网络攻防知识库》,希望能够帮助到你

知识库由360智榜样学习中心独家打造出品，旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力，熟练掌握基础攻防到深度对抗。

01 内容涵盖

网络安全意识
Linux操作系统详解
WEB架构基础与HTTP协议
网络数据包分析
PHP基础知识讲解
Python编程基础
Web安全基础
Web渗透测试
常见渗透测试工具详解
渗透测试案例分析
渗透测试实战技巧
代码审计基础
木马免杀与WAF绕过
攻防对战实战
CTF基础知识与常用工具
CTF之MISC实战讲解
区块链安全
无线安全
等级保护

这份完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】

在这里插入图片描述

02 知识库价值

深度：本知识库超越常规工具手册，深入剖析攻击技术的底层原理与高级防御策略，并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等，提供了独到的技术视角和实战验证过的对抗方案。
广度：面向企业安全建设的核心场景（渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营），本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点，是应对复杂攻防挑战的实用指南。
实战性：知识库内容源于真实攻防对抗和大型演练实践，通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。