术语表

分配给连接到互联网的设备的唯一标识号。分为 IPv4 (32 位，约 43 亿个) 和 IPv6 (128 位，数量几乎无限) 两种。是 Web 通信和网络管理的基础技术，对于确定通信对象不可或缺。通过 IP 地址可以推测国家和地区级别的位置信息，但无法确定个人住所。使用 VPN 或代理可以更改对外显示的 IP 地址，从而保护隐私。理解全局 IP 和私有 IP 的区别，对于排查网络故障非常重要。全局 IP 地址由 ISP 分配，在互联网上唯一标识设备；私有 IP 地址则在局域网内使用，不会直接暴露在互联网上。

为解决 IPv4 地址枯竭问题而设计的下一代互联网协议。拥有 128 位地址空间，可为几乎无限数量的设备分配唯一地址。隐私扩展地址 (RFC 4941) 有助于降低基于 MAC 地址的追踪风险。常见误解是「IPv6 比 IPv4 更安全」，但加密功能由 TLS 等上层协议承担，而非协议本身。随着物联网设备的爆发式增长，IPv6 的普及正在加速，许多运营商已默认提供 IPv6 连接，用户可通过 IPoE 连接获得更快的网络速度。

将人类可读的域名 (如 example.com) 转换为计算机可理解的 IP 地址的系统，被比喻为互联网的电话簿。每次浏览网页时，后台都会发生 DNS 查询。传统的 DNS 查询未加密，ISP 和网络管理员可以看到用户的浏览目标。DNS over HTTPS (DoH) 和 DNS over TLS (DoT) 等加密技术可以解决这一问题。此外，DNS 缓存投毒攻击可以将用户引导至伪造网站，是一种需要警惕的安全威胁。

根据 IP 地址推测大致地理位置信息 (国家、地区、城市) 的技术。广泛用于广告投放、内容本地化和异常访问检测。MaxMind 的 GeoLite2 是代表性的免费数据库，国家级精度超过 99%，但城市级可能存在数十公里的误差。使用 VPN 或代理时，GeoIP 结果显示的是服务器所在地而非用户实际位置。常见误解是「通过 IP 地址可以定位到家庭住址」，实际上 GeoIP 只能确定到 ISP 节点级别的信息。

在私有 IP 地址和全局 IP 地址之间进行相互转换的技术。家庭和办公室路由器广泛使用 NAT，使多台设备共享一个全局 IP 地址连接互联网，有效缓解了 IPv4 地址枯竭问题。NAT 还具有阻止外部直接访问内部网络的附带安全效果，但不能替代防火墙。P2P 通信或在线游戏出现连接问题时，往往与 NAT 类型设置有关。随着 IPv6 的普及，NAT 的必要性正在逐渐降低。端口地址转换 (PAT) 是 NAT 最常见的实现方式，通过端口号区分不同设备的连接。理解 NAT 的工作原理对于配置端口转发和解决远程访问问题至关重要。

即使使用 VPN 或代理，DNS 查询仍绕过加密隧道直接发送到 ISP 的 DNS 服务器的现象，导致浏览目标信息泄露给 ISP 或第三方。VPN 配置不当或操作系统的 DNS 解析顺序是常见原因。专用的泄露测试工具可以检测此问题，部署 VPN 后应立即进行检查。Windows 的「智能多宿主名称解析」功能曾被报告会引发 DNS 泄露。对策包括明确指定 VPN 提供商的 DNS 服务器，或同时启用 DNS over HTTPS。与 WebRTC 泄露并列为 VPN 使用时的主要隐私风险。

通过 HTTPS 协议加密 DNS 查询的技术。与传统的明文 DNS 不同，可以防止 ISP 和网络管理员窥探或篡改 DNS 流量。Chrome、Firefox、Edge 等主流浏览器已内置支持，可在设置中启用。类似技术 DNS over TLS (DoT) 使用端口 853，容易被封锁；而 DoH 使用端口 443 混入 HTTPS 流量中，具有更强的抗审查能力。在企业网络中，管理员可能会限制 DoH 以维持基于 DNS 的过滤策略。

自动为网络上的设备分配 IP 地址、子网掩码、默认网关和 DNS 服务器等配置信息的协议。家庭路由器大多内置 DHCP 服务器功能，手机或电脑连接后即可自动完成网络配置，无需手动设置。DHCP 采用租约机制，一定时间后地址会被重新分配，因此同一设备的 IP 地址可能会发生变化。需要注意的是，DHCP 欺骗攻击可以通过伪造的 DHCP 服务器分发恶意配置，从而拦截网络通信。企业网络中通常部署专用的 DHCP 服务器，支持地址保留和范围管理等高级功能。静态 IP 分配适用于服务器和网络设备等需要固定地址的场景。

控制网络之间数据传输的通信设备。在家庭中，Wi-Fi 路由器负责连接互联网和家庭网络。NAT 功能允许多个设备共享一个全局 IP 地址，防火墙功能阻止外部未授权访问。从安全角度来看，定期更新路由器固件和修改默认管理密码非常重要。企业级路由器还具备 VLAN 划分和 QoS 流量控制等高级功能，可以有效管理网络资源分配。路由器的 DNS 设置如果被篡改，可能导致用户被重定向到恶意网站，因此建议使用可信的 DNS 服务器并定期检查路由器配置。

无线局域网通信标准的品牌名。基于 IEEE 802.11 标准，通过路由器将设备连接到互联网。在家庭、办公室和咖啡厅等各处使用。公共 Wi-Fi 方便但存在窃听和伪热点风险，建议使用 VPN。Wi-Fi 6 (802.11ax) 及更新版本改善了多设备同时连接时的性能表现，WPA3 加密协议提供了比 WPA2 更强的安全保护。选择 Wi-Fi 网络时应确认网络名称的真实性，避免连接名称相似的恶意热点。家庭 Wi-Fi 建议设置强密码并隐藏 SSID 以降低被未授权访问的风险。

为个人和企业提供互联网接入服务的运营商。ISP 负责 IP 地址分配、DNS 服务器提供和流量路由，是互联网连接的基础。接入方式包括光纤 (FTTH)、有线电视 (CATV)、移动网络 (4G/5G) 和 DSL，各有不同的速度和稳定性特征。虽然 ISP 在法律上有义务保护通信隐私，但从技术上可以观察到用户连接的目标域名和连接时间。使用 VPN 或 DNS over HTTPS 可以最大限度减少 ISP 可见的信息。选择 ISP 时，不应仅看标称最大速度，还需考虑高峰时段的实际速度、是否支持 IPv6 IPoE、总费用和服务质量等因素。

互联网上不同网络 (自治系统，AS) 之间交换路由信息的协议。在数万个 AS 相互连接的互联网中，BGP 决定数据包通过哪条路径到达目的地。由于 BGP 在设计上不验证路由通告的合法性，因此存在 BGP 劫持攻击的风险，攻击者可以非法通告不属于自己的 IP 前缀来截获流量。RPKI 通过加密方式验证路由来源的合法性，作为应对措施正在逐步普及，但由于并非所有 AS 都已部署，尚未实现完全防护。大规模 BGP 故障可导致整个地区或服务从互联网上消失。

数据从发送端到达目的地所需的时间延迟，以毫秒 (ms) 为单位衡量，数值越小表示响应越快。物理距离、经过的路由器数量和服务器处理时间是影响延迟的主要因素。延迟与带宽是相互独立的指标，即使拥有高速连接，访问远距离服务器时延迟仍然会很高。对于在线游戏、视频会议和直播等实时应用，降低延迟至关重要。CDN 和边缘计算通过将内容和计算推送到离用户更近的位置来有效减少延迟。使用 ping 和 traceroute 等工具可以测量和诊断网络延迟问题。

端口号是网络通信中用于识别应用程序和服务的数值标识符，范围从 0 到 65535。如果将 IP 地址比作建筑物的地址，那么端口号就相当于建筑物内的房间号。主要协议都有分配的知名端口：HTTP 使用 80，HTTPS 使用 443，SSH 使用 22。基于防火墙的端口控制是网络安全的基础，关闭不必要的端口可以直接减少攻击面。端口扫描是攻击者常用的侦察手段，通过探测目标服务器的开放端口来寻找入侵途径。

CIDR（无类别域间路由）是一种灵活指定 IP 地址网络部分和主机部分边界的表示法，以 192.168.1.0/24 的形式书写，斜杠后的数字（前缀长度）表示网络部分的位数。1993 年引入以取代低效的有类地址分配方案，大幅减少了 IP 地址浪费和路由表膨胀。/24 对应 254 个地址，/16 约 6.5 万个，/8 约 1677 万个。在 AWS 安全组和 VPC 设计中广泛使用，是云基础设施工程的必备知识。子网掩码以不同格式表达相同信息，/24 等于 255.255.255.0。

通过加密互联网通信并经由其他位置的服务器中转，保护实际 IP 地址和通信内容的技术。在使用公共 Wi-Fi 或绕过地理限制时有效，但 VPN 提供商的可信度至关重要。免费 VPN 存在记录和出售用户数据的风险，因此推荐选择承诺无日志政策的付费服务。即使使用 VPN，DNS 泄露或 WebRTC 泄露仍可能暴露 IP 地址，部署后的泄露测试必不可少。企业中也广泛用于远程访问内部网络。选择 VPN 服务时，应关注服务器分布、连接速度、同时连接设备数和是否支持 Kill Switch 等功能。企业 VPN 和个人 VPN 的使用场景和安全需求有所不同。

位于客户端和互联网之间，中转通信的服务器。用于隐藏 IP 地址和内容过滤。与 VPN 不同，代理不加密整个通信，因此安全保护有限。HTTP 代理仅处理 Web 浏览流量，SOCKS 代理可处理各种协议。企业常用代理来记录访问日志和过滤恶意软件。免费公开代理存在通信被窃听的风险，选择可信的提供商至关重要。根据使用场景选择代理还是 VPN，是保护网络隐私的重要决策。透明代理在用户不知情的情况下运行，常用于企业网络的内容过滤。反向代理则位于服务器端，用于负载均衡和缓存加速。

通过多个中继服务器对通信进行多层加密，实现高度匿名性的网络。每个中继只知道通信路径的一部分，使得追溯发送方和接收方极为困难。通信速度下降是主要缺点，不适合视频观看和大文件下载。使用 Tor Browser 无需特殊配置即可接入 Tor 网络。记者和人权活动人士将其作为规避审查的工具，同时也是访问暗网的途径。VPN 与 Tor 组合使用的「Tor over VPN」配置可进一步提高匿名性。出口节点是 Tor 网络中最脆弱的环节，因为此处的通信已被解密。因此在使用 Tor 时仍应确保访问 HTTPS 网站。

当 VPN 连接意外断开时，自动切断所有互联网通信的安全功能。防止在 VPN 断开瞬间真实 IP 地址暴露，确保隐私保护的连续性。可靠的 VPN 服务通常将其作为标准功能提供。Kill Switch 分为应用级 (仅切断特定应用通信) 和系统级 (切断整个网络) 两种类型，后者保护范围更广，可防止后台进程的泄露。在种子下载或记者采访等 IP 暴露后果严重的场景中，此功能不可或缺。选择 VPN 服务时，应确认 Kill Switch 功能是否默认启用，以及是否支持系统级保护。部分 VPN 客户端还提供自定义规则，允许指定哪些应用在 VPN 断开时被阻止。

定义 VPN 连接建立方式和加密方法的通信规约。WireGuard 以高速、轻量和代码量少便于审计著称；OpenVPN 拥有高兼容性和 20 多年的实践经验；IPsec/IKEv2 在移动环境中表现稳定，Wi-Fi 和移动数据切换时能保持连接。PPTP 和 L2TP/IPsec 是旧一代协议，存在已知漏洞，不推荐新部署使用。选择 VPN 服务时，确认支持的协议是重要的判断标准，协议选择直接影响速度和安全性。

VPN 连接时，仅将特定应用或目标的通信通过 VPN 隧道路由，其余通信直接连接互联网的技术。可在保护需要保护的通信的同时，为不需要 VPN 的服务保持高速连接，并允许访问本地网络资源 (如打印机和 NAS)。配置不当可能导致应受保护的通信绕过 VPN，产生隐私风险。远程办公场景中，通常将业务通信通过 VPN，视频流媒体等直接连接。部分 VPN 提供商支持按应用或 URL 进行精细控制。安全性要求较高的场景应避免使用分割隧道，确保所有流量都通过 VPN 保护。部分企业安全策略明确禁止分割隧道的使用。

在 OSI 模型会话层工作的通用代理协议。与 HTTP 代理不同，可中转 TCP 和 UDP 的任意流量，适用于邮件、FTP、P2P 等多种应用。SOCKS5 支持认证功能和 UDP，也被用于 Tor 网络的本地连接。SOCKS 代理本身不加密通信内容，需要机密性时应与 SSH 隧道或 TLS 结合使用。相比 VPN 开销更小，适合只需中转特定应用通信的场景。在实际应用中，SOCKS5 代理常用于绕过网络限制和加速特定应用的连接。配置 SOCKS 代理时需要在应用程序级别进行设置，而非系统级别，这与 VPN 的全局保护方式不同。

将 VPN 流量伪装成普通 HTTPS 通信，绕过深度包检测 (DPI) 对 VPN 的识别和封锁的技术。在限制 VPN 使用的国家或网络环境中，用于确保通信自由。Obfsproxy 和 Shadowsocks 是代表性实现。中国的防火长城和俄罗斯的通信管制等国家级审查使得混淆技术的重要性日益增加。支持混淆的 VPN 服务有限，出行前应确认服务的支持情况。由于通信开销增加，速度通常低于普通 VPN 连接。

网站保存在浏览器中的小型数据文件。分为用于维持登录状态和记忆设置的第一方 Cookie，以及用于跨站行为追踪的第三方 Cookie。由于对隐私的影响，GDPR 等法规要求使用 Cookie 前须获得用户明确同意。主流浏览器正在推进第三方 Cookie 的逐步淘汰。定期清除 Cookie 可降低追踪风险，但同时会丢失登录信息和个性化设置，需要在隐私和便利性之间权衡。Cookie 的 HttpOnly 属性可防止 JavaScript 访问，Secure 属性确保仅通过 HTTPS 传输。理解这些安全属性有助于评估网站的 Cookie 安全实践。

通过浏览器设置、插件、屏幕分辨率、字体、时区等组合来识别用户的技术。即使删除 Cookie 也能追踪，因此作为隐私威胁备受关注。Canvas 和 AudioContext 的渲染结果、WebGL 信息也被用于识别。EFF 的研究表明，约 83% 的普通浏览器配置可被唯一识别。Tor Browser 和 Brave 内置了指纹防护功能，通过统一属性值来降低识别精度。了解浏览器指纹的原理有助于选择合适的隐私保护策略。

实现浏览器间实时音视频通信的技术。用于视频通话和文件共享，但即使使用 VPN，本地 IP 地址也可能通过 WebRTC 泄露。STUN 服务器请求会暴露内部网络的 IP 地址，导致即使认为隐私受到 VPN 保护，实际 IP 仍可能被识别。Firefox 可在 about:config 中禁用 WebRTC，Chrome 可通过扩展程序防护，Brave 则内置了 WebRTC 泄露防护功能。部署 VPN 后应立即进行 WebRTC 泄露测试。

向网站传达拒绝行为追踪意愿的浏览器设置。作为 HTTP 头发送，但没有法律约束力，许多网站忽略此请求。由于实效性不足，W3C 于 2019 年停止了 DNT 的标准化工作。替代方案 Global Privacy Control (GPC) 已经出现，在加州 CCPA 法律框架下，网站有义务尊重 GPC 信号。值得注意的是，启用 DNT 本身可能成为浏览器指纹的识别要素之一，反而增加被追踪的风险。尽管 DNT 的实际效果有限，了解其存在和局限性有助于全面理解浏览器隐私保护机制的演进历程。

嵌入在网页或电子邮件中的 1x1 像素透明图像。加载时向服务器发送请求，记录浏览者的 IP 地址、浏览时间和设备信息等。也称为 Web 信标，广泛用于邮件打开确认和广告效果测量。在邮件客户端中设置「不自动加载图片」可以防范，但会影响使用体验。近年来 Apple 的 Mail Privacy Protection 功能自动屏蔽追踪像素，导致邮件营销的打开率指标可靠性下降。企业邮件营销中，追踪像素的使用率极高，几乎所有营销邮件都包含某种形式的打开追踪。了解这一机制有助于用户做出知情的隐私选择。

在隔离环境中执行 Web 内容，防止恶意代码影响用户设备的安全技术。远程浏览器隔离 (RBI) 在云端虚拟环境中渲染页面，仅将画面信息传输给用户。对零日攻击和偷渡式下载具有很高的防御效果。企业安全领域的采用正在增加，可大幅降低员工访问未知网站时的风险。缺点是网络带宽消耗增加和延迟上升。本地隔离则在沙箱中执行，两种方式各有适用场景。对于处理高度敏感信息的组织，浏览器隔离可以作为零信任架构的重要组成部分。部分云安全服务 (如 Zscaler 和 Menlo Security) 提供集成的浏览器隔离功能，可与现有安全基础设施无缝配合。

由当前访问网站以外的域设置的 Cookie。广告网络利用第三方 Cookie 实现跨站用户行为追踪。主流浏览器正推进其逐步淘汰，Safari 已完全阻止，Chrome 也在推进向 Privacy Sandbox 的迁移。替代技术如 Topics API 和归因 API 已被提出，但广告行业担忧效果测量精度下降。理解第三方 Cookie 与第一方 Cookie 的区别，并适当管理浏览器的 Cookie 设置，是保护在线隐私的重要一步。

利用 HTML5 Canvas 元素绘制不可见图形并读取像素数据的哈希值来识别浏览器的技术。由于 GPU、驱动程序、操作系统和字体渲染的差异，每个浏览器的 Canvas 输出略有不同，因此具有很高的识别精度。作为不依赖 Cookie 的追踪手段在广告行业中使用日益广泛。Canvas Blocker 扩展可通过随机化渲染结果来防护。与 AudioContext 指纹结合使用可进一步提高识别精度。在浏览器指纹的各属性中，Canvas 指纹的信息熵特别高。

网页地址字符串。由协议 (https://)、域名和路径组成。是判断链接安全性的最重要线索。钓鱼攻击常使用与正规网站极为相似的域名来伪造 URL，因此在点击链接前仔细核对域名部分至关重要。URL 还可包含查询参数和片段标识符，分别用于传递追踪信息和定位页面内的特定内容。短链接服务会隐藏真实的目标地址，增加了安全验证的难度，使用前建议通过链接预览工具确认实际跳转目标。理解 URL 的结构有助于在日常上网中快速识别可疑链接，是网络安全素养的基本功。

用于显示网页的应用程序。解释从服务器接收的 HTML、CSS 和 JavaScript 并进行可视化渲染。Chrome、Safari、Edge 和 Firefox 是最常用的浏览器。现代浏览器内置了隐私浏览模式、Cookie 管理、弹窗拦截和密码保存等功能，是用户访问互联网的主要入口。不同浏览器使用不同的渲染引擎，可能导致网页显示效果存在差异。浏览器扩展程序可以增强功能，但也可能带来安全风险，安装时应选择可信来源。定期更新浏览器版本对于修补安全漏洞、保护个人信息至关重要。

网站的名称 (如 example.com)。通过 DNS 转换为 IP 地址。检查域名是识别假网站最重要的步骤。域名通过注册商获取，需要每年支付费用来维持所有权。顶级域名 (.com、.org、.jp 等) 和子域名的层级结构有助于判断网站的可信度。域名所有者信息可通过 WHOIS 查询，但许多注册者会使用隐私保护服务隐藏个人信息。钓鱼网站常利用与知名品牌相似的域名来欺骗用户，因此养成仔细核对地址栏中域名的习惯是防范网络诈骗的关键措施。

QR 码 (Quick Response Code) 是 1994 年由日本电装公司 (Denso Wave) 开发的二维矩阵条形码。与传统条形码只能在水平方向存储信息不同，QR 码可以在纵横两个方向编码数据，能够在极小的面积内容纳数千个字符的信息。其结构由定位图案、版本信息、基于里德-所罗门码的纠错编码和数据区域组成。QR 码广泛应用于移动支付、URL 分享、电子票务等场景，但近年来 QR 钓鱼 (Quishing) 攻击急剧增加。攻击者将恶意 URL 嵌入 QR 码中，诱导用户访问钓鱼网站。由于扫描前无法目视确认编码内容，养成扫描后检查 URL 的习惯是最有效的防范措施。

除密码外，还要求另一种认证因素 (短信验证码、认证应用、物理密钥等) 的安全方法。即使密码泄露也能防止未授权访问。短信认证容易受到 SIM 卡交换攻击，因此推荐使用 TOTP 应用 (Google Authenticator、Authy) 或 FIDO2 安全密钥。大多数主流 Web 服务已支持 2FA，特别建议在邮箱、银行和社交媒体账户上启用。未设置 2FA 的账户是密码列表攻击的首要目标。启用 2FA 后，即使密码在数据泄露中暴露，攻击者仍无法仅凭密码访问账户，这是目前最具性价比的账户安全措施。

基于 FIDO2 标准的无密码认证技术。利用公钥加密，可通过生物认证或 PIN 登录。具有高度抗钓鱼能力，无需记忆或管理密码，作为下一代认证方式正在普及。Apple、Google、Microsoft 已在操作系统层面提供支持，可通过 iCloud 钥匙串或 Google 密码管理器在设备间同步。与传统密码认证不同，服务器端不存储秘密信息，因此即使发生数据泄露，风险也大幅降低。通行密钥的跨平台同步正在改善，但不同生态系统之间的互操作性仍是挑战。建议在支持通行密钥的服务上优先启用，同时保留传统认证方式作为备用。

生成、保存和自动填充复杂且唯一密码的工具。只需一个主密码即可管理所有账户密码，防止密码重复使用，大幅降低凭证填充攻击的风险。1Password、Bitwarden、KeePass 是代表性产品。相比浏览器内置的密码保存功能，专业密码管理器提供更高级的安全性 (零知识加密、泄露检查)。需要注意的是，忘记主密码将无法访问所有数据，因此恢复密钥的安全保管至关重要。选择密码管理器时应考虑跨平台支持、浏览器扩展兼容性、家庭共享功能和紧急访问机制等因素。定期导出密码备份也是防范数据丢失的重要措施。

利用过去数据泄露中流出的 ID 和密码组合，自动尝试登录其他服务的攻击手法。利用密码重复使用的弱点，攻击者使用僵尸网络在短时间内尝试数百万组凭证。为每个服务设置不同密码是最有效的对策。可通过 Have I Been Pwned 等服务检查自己的邮箱是否出现在泄露列表中。启用双因素认证并配合使用密码管理器，是防御此类攻击的最佳组合。大规模凭证填充攻击每天尝试数十亿次登录，是当前最普遍的自动化攻击形式之一。网站运营者可通过 CAPTCHA、IP 速率限制和异常登录检测来防御此类攻击。

基于当前时间和共享密钥，每 30 秒生成一个新的一次性密码的认证算法。Google Authenticator 和 Authy 等认证应用广泛使用此技术。比短信认证更安全，不受 SIM 卡交换攻击影响。RFC 6238 标准化，几乎所有主流 Web 服务都已支持。如果未备份密钥，手机丢失时将无法访问账户，因此恢复代码的安全保管非常重要。建议在多个设备上设置认证应用以防万一。部分认证应用支持加密云备份功能，可在更换设备时恢复所有 TOTP 配置。Authy 和 Microsoft Authenticator 提供此功能，而 Google Authenticator 需要手动迁移。

使用一组凭证登录多个关联服务和应用的认证机制。提升用户体验并减轻密码管理负担。但如果 SSO 认证基础设施被入侵，所有关联服务都将受到影响。Google 账户和 Microsoft 账户的社交登录是常见示例。企业中广泛采用基于 SAML 和 OpenID Connect 协议的 SSO，使员工无需为数十个服务分别设置密码。SSO 账户应特别设置强力的双因素认证来保护。SSO 的安全性取决于身份提供商 (IdP) 的安全水平。选择支持多因素认证和异常检测的 IdP 是确保 SSO 安全的关键。

系统地尝试所有可能的密码组合来破解认证的攻击手法。随着计算能力的提升，8 位以下的字母数字密码可在数小时内被破解。设置足够长度 (12 位以上) 和复杂度的密码至关重要。账户锁定和速率限制是有效的防御措施。字典攻击 (尝试常用密码列表) 和混合攻击 (在字典词后附加数字和符号) 等效率更高的变体也广泛存在。使用密码管理器生成的随机长密码是最佳对策。现代 GPU 的并行计算能力使密码破解速度大幅提升，一块高端 GPU 每秒可尝试数十亿个哈希值。使用 bcrypt 或 Argon2 等慢哈希算法存储密码可有效抵御暴力破解。

允许第三方应用在不共享密码的情况下获得用户资源有限访问权的授权框架。Google 和 GitHub 账户登录其他服务的「社交登录」基于此技术。通常与认证层 (OpenID Connect) 组合使用。访问令牌设有作用域 (权限范围) 和有效期，可限制为最小必要访问。常见误解是将 OAuth 2.0 视为认证协议，实际上它是授权协议，用户身份验证需要 OpenID Connect 层来完成。授权码流程 (Authorization Code Flow) 是最安全的 OAuth 2.0 授权方式，适用于有后端服务器的应用。PKCE 扩展则为移动应用和单页应用提供了额外的安全保护。

在互联网活动中留下的痕迹总称。包括社交媒体帖子、搜索历史、在线购买记录等有意留下的 (主动型) 和 Cookie、访问日志等无意留下的 (被动型)。一旦公开的信息很难完全删除，因此日常管理很重要。求职和信用调查中参考过往发帖的情况日益增多。可通过 Google 的「我的活动」查看和删除搜索历史。定期审查社交媒体的公开范围和清理不用的账户，是管理数字足迹的有效方法。数据经纪商收集和出售个人数字足迹信息已成为一个庞大的产业。部分服务如 DeleteMe 可帮助用户从数据经纪商的数据库中删除个人信息。

关于数据的数据。包括照片的 Exif 信息 (拍摄日期、GPS 坐标、相机型号)、邮件头 (发送方 IP、经由服务器)、文档属性 (作者、编辑历史) 等，可能泄露比正文更多的个人信息。在社交媒体上传照片时，Exif 中的 GPS 信息可能暴露家庭住址。虽然许多社交平台会自动去除 Exif，但个人博客和文件共享服务中往往会保留。建议使用 ExifTool 等工具在分享前检查并删除元数据。PDF 文档的元数据可能包含作者姓名、组织名称和修订历史等敏感信息。在发布公开文档前，应使用专用工具清除所有元数据。

规定欧盟域内个人数据保护的法规。要求数据收集和处理需获得明确同意，保障被遗忘权和数据可携带权。违规时可处以全球营业额最高 4% 或 2000 万欧元 (取较高者) 的罚款。即使是欧盟域外的企业，只要处理欧盟居民的数据就适用。对日本个人信息保护法和美国 CCPA 等世界各国的隐私法产生了深远影响。Cookie 同意横幅的普及也是 GDPR 的直接影响。GDPR 的域外效力意味着中国企业如果向欧盟用户提供服务或监控其行为，也需要遵守 GDPR 的规定。数据保护官 (DPO) 的任命和数据保护影响评估 (DPIA) 是 GDPR 合规的重要组成部分。

不收集或追踪搜索历史和用户画像的搜索引擎。DuckDuckGo、Startpage、Brave Search 等为代表。虽然不进行搜索结果个性化，但可以避免过滤气泡 (只显示符合个人偏好的信息)，保护隐私。Startpage 通过代理显示 Google 搜索结果，在保持搜索质量的同时确保隐私。DuckDuckGo 结合自有爬虫和 Bing 的结果。仅将日常搜索切换到这些引擎，就能大幅减少广告画像分析。

日本关于个人信息处理的法律。规定了个人信息的获取、使用、提供等规则，赋予本人访问权和删除请求权。2022 年修订加强了泄露报告义务和处罚规定。个人信息保护委员会作为监管机构，拥有对违规企业的劝告和命令权限。与 GDPR 相比罚款上限较低，但每次修订都在加强监管力度。Cookie 信息被归类为「个人关联信息」，向第三方提供时需要获得同意。2024 年的修订进一步扩大了个人信息的定义范围，将生物识别数据和行为数据纳入保护。企业需要建立完善的个人信息管理体系，包括数据映射、风险评估和员工培训。中国的《个人信息保护法》在许多方面借鉴了 GDPR 的框架。

仅收集和处理实现目的所必需的最少个人数据的原则。GDPR 的核心原则之一，与「隐私设计」(Privacy by Design) 的理念密切相关。实践中包括：注册表单只要求必要字段、将日志保存期限控制在最短、积极采用匿名化和假名化等措施。其根本理念是「不持有数据就不存在泄露风险」。通过减少不必要的数据收集来降低泄露风险，也有助于赢得用户信任。在系统设计阶段就应考虑数据最小化，而非事后补救。例如，分析用户行为时可以使用聚合数据而非个人级别的数据，既满足业务需求又保护用户隐私。

控制社交媒体上个人信息公开范围的功能。包括帖子公开范围、���人资料可见性、标签权限、位置信息共享等设置。平台更新时设置可能被重置，或新的共享功能默认启用，因此需要定期审查。Facebook、Instagram、X (原 Twitter) 各平台的设置项目不同，需要逐一确认。定期审查设置对保护隐私至关重要，建议每季度检查一次各平台的隐私设置。许多用户不知道社交媒体的默认设置通常是最大程度公开的。新注册账户后应立即检查并调整隐私设置。特别注意位置标签、面部识别和搜索引擎索引等容易被忽视的选项。

在网上购物时保护个人信息和财务信息的方法。基本措施包括确认 HTTPS 连接、使用可信支付方式、警惕钓鱼网站和使用强密码。虚拟信用卡号和一次性密码可有效降低卡信息泄露风险。确认 URL 是否为正规域名、警惕异常低价、检查评价可信度也是重要的判断依据。选择 PayPal 或运营商支付等无需直接输入卡号的支付方式，可以减轻钓鱼攻击的风险。使用专门的邮箱地址进行网购注册可以隔离潜在的垃圾邮件和钓鱼攻击。启用银行的交易通知功能可以及时发现未授权的消费。在不熟悉的网站购物前，查看其他用户的评价和投诉记录也是明智之举。

加密互联网通信的协议。SSL 是旧称，现在 TLS 是标准。广泛用于网站 HTTPS 连接、邮件收发、VPN 通信等。TLS 1.3 是最新版本，实现了握手加速 (1-RTT) 和安全性增强。TLS 1.0/1.1 存在已知漏洞，主流浏览器已停止支持。常见误解是仍使用「SSL 证书」这一称呼，但实际运行的是 TLS 协议。证书有效期管理和适当的加密套件选择是服务器运维的重要环节。服务器端应禁用不安全的加密套件，优先使用前向保密 (Forward Secrecy) 的密码组合。SSL Labs 的在线测试工具可以免费评估服务器的 TLS 配置质量。

只有发送方和接收方才能解密数据的加密方式。包括服务提供商在内的第三方无法查看通信内容。被 Signal、WhatsApp 等消息应用和 ProtonMail 等邮件服务采用。面对执法机构的数据披露要求，服务提供商在技术上无法配合。另一方面，各国政府以妨碍犯罪调查为由施压要求设置后门。未采用 E2EE 的服务中，消息可能以明文形式存储在服务器上，存在被访问的风险。选择通信工具时，应确认其是否默认启用端到端加密。部分应用 (如 Telegram) 仅在「秘密聊天」模式下启用 E2EE，普通聊天并不加密。Signal 协议被认为是目前最安全的 E2EE 实现之一。

在 HTTP 基础上添加 TLS 加密的协议。加密浏览器和 Web 服务器之间的通信，防止窃听和篡改。可通过地址栏的锁图标确认，目前几乎所有网站都标准使用。Google 将 HTTPS 作为排名信号，从 SEO 角度来看也是必须的。Let's Encrypt 的普及使免费获取 SSL/TLS 证书成为可能，个人网站也能轻松实现 HTTPS。HTTP 网站在 Chrome 中会显示「不安全」警告，直接影响用户信任度。

设置在网络边界，控制通信允许/拒绝的安全机制。有包过滤型、状态检测型、应用网关型等类型，是防止未授权访问和恶意软件入侵的第一道防线。Windows Defender 防火墙和 macOS 防火墙是操作系统内置的，启用即可获得基本保护。企业网络中，下一代防火墙 (NGFW) 可检查到应用层，检测更高级的威胁。理解防火墙的工作原理有助于正确配置家庭网络的安全设置。家庭用户应确保路由器的防火墙功能已启用，并关闭不需要的端口和 UPnP 功能。定期检查防火墙日志可以发现潜在的入侵尝试。

使用一对密钥 (公钥和私钥) 进行加密和解密的方式。公钥加密的数据只能用对应的私钥解密。是 TLS 通信密钥交换、数字签名、通行密钥认证等现代互联网安全的基石。RSA 和椭圆曲线加密 (ECC) 是代表性算法，ECC 可用更短的密钥长度实现与 RSA 同等的安全性。量子计算机的发展可能破解现有公钥加密，向后量子密码 (PQC) 的迁移正在推进中。在日常使用中，SSH 密钥登录、HTTPS 证书验证和数字签名都依赖公钥加密。理解公钥和私钥的关系是掌握现代网络安全的基础。密钥长度直接影响安全性，RSA 建议至少使用 2048 位密钥。

证明网站或服务器身份的电子证明。由证书颁发机构 (CA) 签发，将公钥与域名所有者信息绑定。浏览器通过验证证书来确认 HTTPS 连接的可信度。Let's Encrypt 的普及使免费获取证书成为常态。证书分为 DV (域名验证)、OV (组织验证)、EV (扩展验证) 三个级别，认证程度各不相同。过期证书会触发浏览器警告，因此引入自动续期机制 (如 certbot) 在运维中非常重要。证书透明度 (Certificate Transparency) 日志允许任何人监控为特定域名签发的证书，有助于发现未授权的证书签发行为。

对邮件内容进行加密，防止第三方窃听的技术。ProtonMail 和 Tuta 提供标准的端到端加密，采用零访问加密，即使在服务器端也无法解密邮件内容。PGP/GPG 支持手动加密，但密钥管理的复杂性阻碍了普及。普通邮件服务 (Gmail、Outlook) 虽然支持传输加密 (TLS)，但邮件在服务器上以明文存储，服务提供商和执法机构可以访问，这一点需要注意。对于需要与不使用加密邮件服务的收件人通信的场景，ProtonMail 提供了密码保护邮件功能，收件人通过密码即可在浏览器中查看加密内容。S/MIME 证书可在 Outlook 等传统邮件客户端中实现加密。

Web 服务器发送的指示浏览器执行安全策略的 HTTP 响应头。Content-Security-Policy (CSP) 防止 XSS 攻击，Strict-Transport-Security (HSTS) 强制 HTTPS 连接，X-Frame-Options 防止点击劫持。正确设置可大幅缩小 Web 应用的攻击面。SecurityHeaders.com 等在线工具可免费诊断网站的头部设置。配置错误可能导致网站无法正常运行，因此建议分阶段引入。

将数据转换为第三方无法读取的格式的技术。分为对称密钥加密 (AES 等) 和公钥加密 (RSA 等) 两种。用于 HTTPS 通信、端到端加密消息和磁盘加密，是现代数字安全的基础技术。加密后的数据只有持有正确密钥的人才能解密还原。密钥长度 (位数) 越大，破解难度越高，目前 AES-256 被广泛采用。加密技术保护的是数据的机密性，而数据完整性和身份验证则需要哈希算法和数字签名等技术来配合实现。量子计算的发展可能对现有加密算法构成威胁，后量子密码学的研究正在积极推进中。

SSH (Secure Shell) 是一种用于安全远程连接网络计算机的加密协议。它对所有通信内容进行加密，防止密码和命令被窃听。公钥认证可以有效防止暴力破解攻击，端口转发功能可以通过 SSH 隧道安全传输其他协议的流量。SSH 广泛应用于服务器管理、Git 仓库访问、CI/CD 流水线以及通过 SCP/SFTP 进行的文件传输。默认端口号为 22。1995 年由芬兰研究员 Tatu Ylönen 开发，后来通过 OpenSSH 项目成为事实上的标准协议。

哈希函数是一种将任意长度的数据转换为固定长度哈希值的单向函数。相同的输入始终产生相同的输出，但从输出反推原始数据在计算上是不可行的，这一特性称为单向性。MD5 和 SHA-1 的碰撞抗性已被攻破，目前 SHA-256 是通用哈希的标准选择。密码存储需要使用 bcrypt 或 Argon2 等故意降低计算速度的算法，并添加盐值来防御彩虹表攻击。在区块链技术中，SHA-256 作为区块链接和工作量证明挖矿的基础技术发挥着核心作用。哈希函数与加密不同，加密是可逆的，而哈希是不可逆的，这正是密码存储和数据完整性验证选择哈希函数的原因。

证书颁发机构 (CA) 是负责签发和管理数字证书的组织。在网站的 HTTPS 通信中，CA 验证申请者是否为域名的合法管理者，并对绑定公钥与域名的证书进行数字签名。浏览器内置了受信任 CA 的列表 (根存储)，只有该列表中的 CA 签发的证书才会被判定为有效。证书按验证严格程度分为 DV (域名验证)、OV (组织验证) 和 EV (扩展验证) 三种类型。2015 年推出的 Let's Encrypt 通过免费自动签发 DV 证书，极大地推动了全球 HTTPS 的普及。2011 年的 DigiNotar 事件促使 Certificate Transparency (CT) 机制的诞生，建立了检测非法证书签发的透明化体系。

客户端与服务器在 HTTP 通信过程中，与正文 (Body) 分开传输的元数据信息。请求头部将浏览器类型、可接受的内容类型和认证令牌等信息传递给服务器，响应头部则向浏览器指定内容类型、缓存策略和安全指令。安全相关头部 (CSP、HSTS、X-Frame-Options、X-Content-Type-Options) 通过控制浏览器行为来缓解 XSS、点击劫持和 MIME 类型嗅探等攻击，是多层防御的基础。缓存控制头部 (Cache-Control、ETag) 同时影响性能和安全性，隐私相关头部 (Referrer-Policy、Permissions-Policy) 则防止用户追踪和设备功能的未授权访问。正确配置这些头部是 Web 安全防护的关键环节。

冒充合法组织或个人，骗取密码和信用卡信息等敏感信息的攻击手法。使用邮件、短信 (短信钓鱼)、假网站等多种手段。确认 URL、验证发送方、启用双因素认证是主要对策。近年来利用 AI 制作的精巧钓鱼邮件日益增多，仅凭文本的不自然之处已难以识别。养成将鼠标悬停在链接上确认 URL、通过官方应用直接访问等习惯可有效防范。企业中定期进行钓鱼演练对提升员工安全意识效果显著。鱼叉式钓鱼 (Spear Phishing) 针对特定个人或组织定制攻击内容，成功率远高于群发式钓鱼。商业邮件欺诈 (BEC) 造成的经济损失在所有网络犯罪中位居前列。

加密受感染设备的文件，要求支付赎金 (多为比特币等加密货币) 以换取解密的恶意软件。通过邮件附件和漏洞利用传播。定期备份、更新操作系统和软件、避免执行可疑文件是重要的预防措施。即使支付赎金也不保证能获得解密密钥，且支付行为会成为犯罪组织的资金来源，因此不建议支付。双重勒索型勒索软件不仅加密数据，还以公开窃取的数据作为威胁。保持离线备份是最后的防线。勒索软件即服务 (RaaS) 模式使得技术门槛大幅降低，犯罪团伙将勒索软件工具包出租给其他攻击者并分成。网络保险可以在一定程度上缓解勒索软件造成的经济损失。

不使用技术手段，而是利用人类心理弱点来骗取信息的攻击手法。使用服从权威、制造紧迫感、利用好意等各种心理技巧。仅靠技术对策无法防范，提高安全意识不可或缺。「冒充上司的紧急转账请求」和「自称 IT 部门的密码确认」是典型手口。通过电话、邮件、面对面、社交媒体等各种渠道实施。组织中定期的安全培训和模拟攻击演练被认为是最有效的对策。商业邮件欺诈 (BEC) 是社会工程学最具破坏性的应用之一，攻击者冒充高管或合作伙伴发送虚假付款指令。据 FBI 统计，BEC 造成的损失远超其他网络犯罪类型。建立严格的付款审批流程和多人确认机制是有效的防范措施。

在软件漏洞公开或修复补丁发布之前，利用该漏洞的攻击。开发者没有时间采取对策 (零天)，因此得名。常用于国家级网络攻击，零日漏洞在暗网上以高价交易。纵深防御和及时应用更新是基本对策。端点检测与响应 (EDR) 工具具备检测利用未知漏洞的异常行为的能力。对个人而言，启用软件自动更新是最佳防护措施。零日漏洞的市场价值可达数百万美元，国家级攻击者和漏洞经纪商是主要买家。Bug Bounty 计划鼓励安全研究人员负责任地披露漏洞，而非在黑市出售。企业应建立漏洞响应流程，确保在零日漏洞被公开后能够迅速评估影响并采取临时缓解措施。虚拟补丁技术可以在正式补丁发布前提供临时保护。

利用深度学习技术精巧地合成或篡改人物面部和声音的技术。用于制作假视频和音频，进行冒充和虚假信息传播。不自然的眨眼、轮廓模糊、语调违和感等是识别线索。已有报告称利用模仿 CEO 声音的诈骗电话骗取数千万元。Microsoft Video Authenticator 等检测工具已被开发，但生成技术的进步使检测技术难以跟上。这是一种可能影响视频通话身份验证的新型威胁。实时深度伪造技术已可用于视频通话，使得远程身份验证面临新的挑战。多模态验证 (结合视频、音频和行为分析) 是应对深度伪造的发展方向。

不直接攻击目标组织，而是通过入侵其供应商或使用的软件来间接攻击的手法。通过篡改软件更新或开源库来大规模传播恶意代码。SolarWinds 事件影响了超过 18000 个组织，npm 包污染事件也频繁发生。Dependabot 和 Snyk 等自动扫描开源依赖关系的工具是有效的对策。软件签名验证和构建可重现性 (Reproducible Builds) 作为防御措施的重要性也在提升。软件物料清单 (SBOM) 的标准化有助于追踪软件组件的来源和已知漏洞。美国政府已要求关键基础设施供应商提供 SBOM。

从大量设备同时向目标服务器发送请求，使其过载而无法提供服务的攻击。利用僵尸网络 (被恶意软件感染的设备群) 进行。CDN、速率限制和流量分析异常检测是主要防御手段。攻击规模逐年增大，已观测到数 Tbps 级别的大规模攻击。暗网市场上廉价提供「DDoS 即服务」，即使没有技术知识也能发起攻击。AWS Shield 和 Cloudflare 等云端防御服务的使用是有效的应对方案。反射放大攻击利用 DNS、NTP 等协议的特性，将小请求放大为大流量攻击目标。Anycast 网络架构可以将攻击流量分散到全球多个节点，有效缓解 DDoS 影响。

攻击者在通信双方之间秘密拦截和篡改通信的攻击手法。在公共 Wi-Fi 等不安全网络中风险较高。HTTPS 的使用、证书验证和 VPN 是有效的防御措施。HSTS 头部防止协议降级也很重要。ARP 欺骗和 DNS 欺骗结合的高级攻击也存在。在咖啡厅和机场的免费 Wi-Fi 中，攻击者设置伪造接入点拦截通信的「Evil Twin 攻击」已有实际报告。SSL Stripping 攻击将 HTTPS 连接降级为 HTTP，使用户在不知情的情况下通过不加密的连接传输敏感信息。HSTS 预加载列表可以有效防止此类攻击。在使用公共 Wi-Fi 时，始终确认网站使用 HTTPS 并启用 VPN 是最基本的防护措施。

组织持有的个人信息或机密信息被未授权访问或泄露的事件。原因包括外部攻击、内部人员不当行为、系统配置错误等。泄露的凭证在暗网上被交易，用于凭证填充等二次攻击。迅速更改密码和确定影响范围是初始响应的关键。建议定期在 Have I Been Pwned 上检查自己的邮箱是否出现在泄露列表中。日本个人信息保护法规定，一定规模以上的泄露须向个人信息保护委员会报告并通知当事人。数据泄露的平均发现时间超过 200 天，这意味着攻击者有充足的时间窃取大量数据。缩短检测时间是降低泄露损失的关键因素。

盗取他人个人信息，冒充其身份进行欺诈的犯罪行为。利用被盗信息开设银行账户、申请信用卡、进行网上购物等。钓鱼、数据泄露和社会工程学是主要手段。早期发现需要定期检查信用报告和账户异常检测。遭受侵害时，应立即更改相关密码、联系金融机构并向警方报案。暗网上个人信息套装 (姓名、地址、信用卡号) 仅需几美元即可购买，任何人都可能成为潜在受害者。信用冻结 (Credit Freeze) 可以防止他人以你的名义开设新的信用账户，是身份盗窃后的重要保护措施。定期检查银行和信用卡账单中的异常交易，以及设置交易提醒通知，可以帮助及早发现身份盗窃行为。

恶意软件 (Malware) 是 Malicious 和 Software 的合成词，泛指所有旨在损害计算机系统、网络或用户的软件的总称。常见类型包括病毒、蠕虫、木马、勒索软件和间谍软件等。恶意软件通过电子邮件附件、恶意网站、虚假软件下载和 USB 驱动器等途径传播，可能导致数据窃取、文件破坏、系统瘫痪以及通过加密文件索要赎金等严重后果。随着网络攻击手段日益复杂，了解恶意软件的类型和防护措施对于保护个人和企业的信息安全至关重要。

由大量感染恶意软件的计算机和物联网设备组成的网络，通过攻击者的 C&C (命令与控制) 服务器进行远程操控。僵尸网络被广泛用于 DDoS 攻击、垃圾邮件群发、凭证填充攻击和加密货币挖矿等恶意活动。2016 年的 Mirai 僵尸网络利用物联网设备的默认密码感染了数十万台设备，对 DNS 服务商 Dyn 发起大规模攻击，导致 Twitter、Netflix、Reddit 等众多主流服务瘫痪数小时。防御措施包括及时更新固件、更改默认密码、关闭不必要的端口以及部署网络流量监控系统。

未经收件人同意而大量发送的骚扰信息的统称。电子邮件是最常见的形式，但垃圾信息也出现在短信、社交媒体、论坛和评论区等各种数字通信渠道中。全球约 45% 的电子邮件流量被归类为垃圾邮件，它不仅浪费带宽和存储资源、降低员工生产力，还是钓鱼攻击和恶意软件的主要传播渠道。SPF、DKIM 和 DMARC 邮件认证、贝叶斯过滤器以及实时黑名单是主要的技术对策。2024 年 2 月起，Gmail 要求日发送量超过 5000 封的域名必须配置 SPF、DKIM 和 DMARC，邮件认证已从「推荐」进入「强制」时代。

无需人工操作即可自动执行任务的软件程序的统称，源自「Robot」的缩写。Web 流量中约有一半来自机器人。良性机器人包括搜索引擎爬虫 (Googlebot)、聊天机器人和监控机器人等，是互联网基础设施的重要组成部分。恶性机器人则被用于数据抓取、凭证填充攻击、垃圾信息发布和 DDoS 攻击等恶意活动。在接受良性机器人的同时排除恶性机器人，是网站运营在安全和用户体验两方面的重要课题。检测技术包括 CAPTCHA、行为分析 (鼠标移动轨迹和按键节奏)、速率限制、JavaScript 挑战和设备指纹识别，组合多种技术的多层防御最为有效。许多恶性机器人作为僵尸网络的一部分大规模运作。

利用 Web 应用漏洞在用户浏览器中执行恶意脚本的攻击。分为反射型 (通过 URL 参数)、存储型 (保存在数据库中)、DOM 型 (在客户端发生) 三种。输入值清理和 Content-Security-Policy 头的正确设置是主要防御措施。长期位列 OWASP Top 10 的代表性 Web 漏洞，被用于窃取 Cookie 和会话劫持。React 和 Vue.js 等现代框架默认进行输出转义，降低了 XSS 风险。

利用已认证用户的浏览器，在用户不知情的情况下向 Web 应用发送恶意请求的攻击。仅浏览攻击者准备的陷阱页面，就可能执行密码更改或转账等操作。CSRF 令牌验证和 SameSite Cookie 属性设置是有效对策。SameSite=Lax 已成为现代浏览器的默认值，基本的 CSRF 攻击可被自动防御。但使用 GET 请求进行状态变更的设计仍然脆弱，重要操作应结合 POST 方法和 CSRF 令牌。

通过在 Web 应用的输入字段中插入恶意 SQL 语句来操纵数据库的攻击。可能导致认证绕过、数据窃取、篡改和删除。预处理语句 (参数化查询) 是最有效的防御措施。长期位列 OWASP Top 10，截至 2023 年仍存在于许多 Web 应用中。即使使用 ORM (对象关系映射)，直接拼接原始 SQL 的地方仍可能产生漏洞。WAF 对输入模式的检测也是有效的辅助防御手段。盲注 (Blind SQL Injection) 即使不返回错误信息也能提取数据，通过观察响应时间或布尔条件来推断数据库内容。定期进行代码审计和使用自动化扫描工具是发现 SQL 注入漏洞的有效方法。

控制 Web 浏览器允许从不同源 (域名、协议、端口的组合) 加载资源的安全机制。服务器通过返回适当的 CORS 头来仅接受允许源的请求。在 Access-Control-Allow-Origin 中设置通配符 (*) 会允许所有源访问，生产环境应指定具体域名。不理解预检请求 (OPTIONS) 机制的话，API 开发时经常会遇到 CORS 错误。正确配置 CORS 是 Web 安全的重要环节。在开发环境中常见的做法是设置宽松的 CORS 策略以方便调试，但务必在部署到生产环境前收紧配置。

通过 HTTP 响应头限制 Web 页面可加载资源 (脚本、样式表、图像等) 来源的安全策略。可大幅减轻 XSS 攻击的影响，控制内联脚本执行和数据外发。分阶段引入时 report-only 模式很有用，可事先了解对现有网站的影响。基于 nonce 或 hash 的策略可实现仅允许授权脚本执行的精确控制。设置过严可能导致第三方组件和广告无法运行，因此建议逐步应用。CSP 违规报告功能可以帮助网站运营者了解哪些资源加载被阻止，从而逐步完善策略。strict-dynamic 关键字简化了对动态加载脚本的管理。

在透明的 iframe 中加载目标网站，诱导用户在不知情的情况下点击的攻击。社交媒体的「点赞」按钮和设置更改按钮常成为目标。通过 X-Frame-Options 头或 CSP 的 frame-ancestors 指令来防范。用户看不到的透明层下放置攻击者的页面，受害者以为在操作正规网站，实际执行了攻击者意图的操作。伪装摄像头和麦克风权限对话框的「UI 重定向」也属于同类攻击。现代浏览器对 X-Frame-Options 的支持已非常完善，但 CSP 的 frame-ancestors 指令提供了更灵活的控制能力，支持多个允许的源。

指示浏览器仅通过 HTTPS 连接到网站的安全机制。通过 HTTP 响应头设置，防止协议降级攻击和 Cookie 劫持。预加载列表可在首次访问时就强制 HTTPS，无需等待服务器响应。HSTS 的 max-age 参数指定策略有效期，建议设置为至少一年 (31536000 秒)。includeSubDomains 指令可将保护扩展到所有子域名。配置不当可能导致网站无法访问，因此应从较短的 max-age 开始逐步增加。

专门保护 Web 应用免受攻击的防火墙。检测和阻止 SQL 注入、XSS、DDoS 等攻击。基于规则和基于机器学习的检测方式并存。AWS WAF 和 Cloudflare 是代表性服务。与传统网络防火墙不同，WAF 在应用层 (第 7 层) 检查 HTTP/HTTPS 流量，可识别更复杂的攻击模式。托管规则集可快速部署基本防护，自定义规则则可针对特定应用的威胁进行精细调整。WAF 的误报管理是运维中的重要挑战，过于严格的规则可能阻止合法用户的正常请求。定期审查和调优 WAF 规则是确保安全与可用性平衡的关键。

HTTP (超文本传输协议) 是 Web 浏览器与服务器之间交换数据的基础通信协议。它采用请求-响应模型，客户端通过指定方法 (GET、POST、PUT、DELETE) 发送请求，服务器返回包含状态码 (200、404、500) 和数据的响应。HTTP 是无状态协议，每个请求独立处理，不保留之前交互的记忆，会话管理依赖 Cookie 或认证令牌。协议从 HTTP/1.1 (单连接单请求) 发展到 HTTP/2 (单 TCP 连接上的多路复用)，再到 HTTP/3 (基于 QUIC 的 UDP 传输，消除了 TCP 队头阻塞)。HTTPS 在 HTTP 基础上添加 TLS 加密层，已成为当今互联网的事实标准。状态码体系是 Web 开发和 API 设计的基础知识。

CAPTCHA (全自动区分计算机和人类的图灵测试) 是一种用于判断访问者是人类还是自动化机器人的验证机制。常见方式包括扭曲文字输入、图片选择挑战以及行为分析等。Google 的 reCAPTCHA v3 无需用户进行任何操作，在后台分析用户行为并返回风险评分。CAPTCHA 被广泛用于防止垃圾信息提交、暴力破解攻击和自动抢票机器人，但随着人工智能技术的进步，破解率不断上升，因此必须与 WAF、速率限制等其他防御措施配合使用才能发挥有效作用。视觉障碍用户无法完成图片选择挑战，这使得无障碍访问成为 CAPTCHA 设计中的重要课题。

控制智能手机应用可以访问的信息和功能的机制。包括位置信息、相机、麦克风、通讯录等权限。仅授予必要的最小权限，定期审查权限设置对保护隐私很重要。许多应用请求超出其功能所需的权限，例如手电筒应用请求通讯录访问权限就明显不合理。iOS 和 Android 都提供了按应用查看和管理权限的功能。建议每月检查一次应用权限，撤销不再需要的权限授予。Android 12 引入了大致位置权限选项，允许用户仅共享大致位置而非精确坐标。iOS 的隐私报告功能可以显示应用在过去 7 天内访问敏感数据的频率，帮助用户识别过度收集数据的应用。

保护连接互联网的设备 (智能家居、可穿戴设备等) 免受网络攻击的措施。许多 IoT 设备安全功能有限，使用默认密码且缺乏更新机制，容易成为僵尸网络的一部分。Mirai 僵尸网络事件中，数十万台 IoT 设备被利用发起大规模 DDoS 攻击。固件更新、更改默认密码和网络隔离 (将 IoT 设备放在独立的网络段) 是基本对策。购买设备时应确认制造商的安全更新支持政策。购买 IoT 设备时应优先选择支持自动固件更新和使用加密通信协议的产品。将 IoT 设备连接到独立的访客网络可以防止被入侵的设备访问主网络中的敏感数据。

智能音箱、安防摄像头、智能家电等智能家居设备收集的数据相关的隐私问题。语音数据和行为模式可能被发送到云端并长期保存。智能音箱的误唤醒导致私人对话被录制的事件已有报告。设备选择时应确认数据处理政策，定期审查隐私设置。关闭不需要的数据共享功能、定期删除语音历史记录是保护隐私的实用措施。选择支持本地处理 (而非云端处理) 的智能家居设备可以减少数据外传的风险。Home Assistant 等开源智能家居平台允许用户完全控制数据的存储和处理位置。定期检查设备的固件更新和安全公告，及时修补已知漏洞。使用强密码和双因素认证保护智能家居管理账户也是基本的安全措施。

Apple 在 iOS 14.5 中引入的功能，要求应用在追踪用户前获得明确许可。用户可以选择允许或拒绝每个应用的追踪请求。对广告行业产生了重大影响，据报告约 80% 的用户选择拒绝追踪。这迫使广告商转向基于上下文的广告和第一方数据策略。Google 也在 Android 上推进类似的隐私保护措施 (Privacy Sandbox)。这一变化标志着移动广告生态系统向更注重隐私的方向转变。开发者需要适应后 ATT 时代的广告生态，转向基于聚合数据和隐私保护技术的广告测量方案。

对智能手机或电脑存储的数据进行加密，在设备丢失或被盗时保护数据的功能。iOS 和 Android 默认启用全盘加密，没有解锁凭证就无法访问数据。Windows 提供 BitLocker，macOS 提供 FileVault 作为全盘加密方案。加密不仅保护个人隐私，在企业环境中也是合规要求。需要注意的是，加密只在设备锁定状态下有效，解锁后数据可被正常访问。设置强密码或生物认证是加密发挥作用的前提。全盘加密对设备性能的影响在现代硬件上已经微乎其微，因此没有理由不启用。企业应将设备加密作为安全基线要求纳入设备管理策略。

在智能手机或平板电脑上使用的 VPN。在公共 Wi-Fi 环境中保护通信，隐藏 IP 地址。IKEv2 协议特别适合移动环境，在 Wi-Fi 和移动数据网络切换时能快速重新连接，不会中断 VPN 保护。选择移动 VPN 时应关注电池消耗、数据使用量和连接稳定性。部分 VPN 应用可能请求过多权限或包含追踪代码，应选择信誉良好的提供商。始终开启 VPN 的「自动连接」功能可确保在任何网络环境下都受到保护。

通过社会工程学手段说服运营商将受害者的电话号码转移到攻击者的 SIM 卡上的攻击。攻击者可以接收短信验证码，突破基于短信的双因素认证，进而访问银行账户和社交媒体。近年来此类攻击案例显著增加，造成的经济损失可达数百万元。使用认证应用 (TOTP) 或硬件安全密钥代替短信认证是最有效的对策。向运营商申请 SIM 卡锁定或设置额外的安全 PIN 也能提供保护。部分运营商提供 SIM 卡锁定服务，要求本人携带身份证件到营业厅才能办理 SIM 卡变更。eSIM 技术在一定程度上降低了物理 SIM 卡被交换的风险，但远程 eSIM 配置仍可能被社会工程学攻击利用。

集中管理和保护组织内移动设备的系统。可以远程擦除丢失设备的数据、强制加密、限制应用安装、配置 VPN 和 Wi-Fi 设置等。在 BYOD (自带设备) 环境中，如何平衡企业安全需求和员工个人隐私是主要课题。容器化技术可将工作数据和个人数据隔离，在同一设备上实现两者的共存。Microsoft Intune 和 VMware Workspace ONE 是企业中广泛使用的 MDM 解决方案。零接触部署 (Zero-Touch Enrollment) 允许新设备开箱即自动注册到 MDM 系统，简化了大规模设备部署流程。

短距离无线通信标准。用于连接智能手机与耳机、键盘、音箱等设备。通信范围约 10 米，通过配对连接。始终开启蓝牙存在跟踪和未授权连接的风险，不使用时应关闭。蓝牙低功耗 (BLE) 版本专为可穿戴设备和物联网设备设计，大幅降低了电池消耗。蓝牙 5.0 及以上版本显著提升了传输速度和通信距离。蓝牙技术的名称源自 10 世纪统一丹麦和挪威的国王哈拉尔蓝牙，寓意统一不同设备之间的通信标准。在安全方面，建议关闭蓝牙的可发现模式，并只与已知设备配对。

使用卫星信号确定当前位置的定位系统。用于智能手机地图应用、导航和基于位置的游戏。精度在几米以内。位置信息是敏感的个人数据，正确管理每个应用的位置权限很重要。GPS 是美国运营的卫星定位系统，配合俄罗斯的 GLONASS、欧盟的 Galileo 和中国的北斗等多系统联合使用可提高定位精度。在室内或高楼密集区域，卫星信号容易被遮挡，此时会通过 Wi-Fi 定位和基站定位进行补充。位置数据的持续收集可能暴露用户的日常行动轨迹，建议仅在需要时授予应用位置访问权限。

在网络设备制造时分配的 48 位唯一标识符，用于在同一局域网内识别通信设备。与 IP 地址在网络层负责路由不同，MAC 地址在数据链路层工作。前 24 位为 OUI（组织唯一标识符），标识制造商；后 24 位为设备序列号。近年来，iOS 和 Android 引入了 MAC 地址随机化功能，在连接 Wi-Fi 时自动生成随机地址，防止零售店和商业设施通过收集 Wi-Fi 探测请求中的 MAC 地址来追踪用户的到访频率、停留时间和移动路径。这一隐私保护机制已成为现代移动操作系统的标准功能，有效降低了基于硬件标识符的物理行为追踪风险。

网络连接在单位时间内能够传输的最大数据量，通常以 Mbps（兆比特每秒）或 Gbps（吉比特每秒）为单位。带宽相当于水管的粗细，管越粗一次能流过的水量越大；而延迟相当于水管的长度，决定水从一端到达另一端所需的时间。ISP 合同中标注的「最高 1 Gbps」是理论上限值（尽力而为），实际吞吐量通常只有标称值的 30%-70%，受网络拥塞、路由器性能和 Wi-Fi 信号质量等因素影响。ISP 还可能在特定条件下（如超出月度流量上限或高峰时段）对用户带宽进行限速（throttling），这也是实际速度远低于合同标称值的常见原因之一。理解带宽与延迟的区别，是正确评估网络性能的基础。

SSID（Service Set Identifier，服务集标识符）是用于识别 Wi-Fi 网络的名称。接入点通过信标帧定期广播 SSID，设备接收后在 Wi-Fi 列表中显示可用网络。SSID 最长 32 字节，一台路由器可配置多个 SSID。隐藏 SSID（关闭广播）看似能提升安全性，但已连接设备的探测请求和网络分析工具可以轻松检测到隐藏网络，实际安全效果有限。Evil Twin 攻击利用相同 SSID 设置伪造接入点来拦截用户流量。WPA3 加密和强密码仍然是最有效的防御手段。

保护存储在云服务中的数据的措施。包括传输加密、静态加密、访问控制、多因素认证等。了解服务提供商的安全认证 (SOC 2、ISO 27001) 和数据存储位置也很重要。零知识加密的服务即使提供商也无法访问用户数据，提供最高级别的隐私保护。共享链接的权限设置不当是常见的数据泄露原因，应定期审查共享设置。企业使用时需确认数据主权和合规要求。多云环境中的数据安全管理更加复杂，需要统一的安全策略和跨平台的访问控制。定期审计云存储的访问日志和共享设置，可以发现潜在的安全风险和未授权的数据访问。

在不透露信息本身的情况下证明拥有该信息的密码学技术。应用于隐私保护认证和区块链领域。零知识加密的云存储服务即使提供商也无法访问用户数据，从根本上消除了服务端数据泄露的风险。Tresorit 和 SpiderOak 等服务采用此技术。缺点是忘记密码将永久无法恢复数据，因为提供商也没有解密能力。在隐私法规日益严格的背景下，零知识架构的重要性正在提升。在区块链领域，零知识证明被用于实现隐私交易，如 Zcash 使用 zk-SNARKs 技术。随着计算效率的提升，零知识证明在身份验证和数据共享等更广泛的场景中的应用前景日益广阔。

将数据保存 3 份副本，使用 2 种不同存储介质，其中 1 份保存在异地的备份最佳实践。是勒索软件对策的基础，即使本地数据被加密，异地备份仍可用于恢复。定期测试恢复过程也很重要，未经验证的备份在紧急时刻可能无法使用。云备份和本地 NAS 的组合是个人用户的实用方案。企业环境中还应考虑备份数据的加密和访问控制，防止备份本身成为攻击目标。进阶版的 3-2-1-1-0 规则增加了一份不可变备份和零错误验证的要求。不可变备份 (Immutable Backup) 无法被修改或删除，即使攻击者获得管理员权限也无法破坏，是对抗勒索软件的最后防线。

将数据转换为没有密钥就无法读取的形式的技术。分为传输中加密 (TLS) 和静态加密 (AES) 两种。全盘加密保护设备丢失时的数据，文件级加密保护特定文件。AES-256 是目前最广泛使用的对称加密算法，被认为在可预见的未来内不可破解。加密密钥的安全管理与加密本身同样重要，密钥泄露等同于加密失效。在云环境中，客户端加密 (上传前加密) 提供比服务端加密更强的保护。全同态加密 (FHE) 允许在加密数据上直接进行计算，无需先解密，是隐私计算领域的前沿技术。虽然目前性能开销较大，但随着硬件加速的发展，实用化前景可期。

不信任网络内外任何访问，始终验证的安全模型。「永不信任，始终验证」是基本原则。对每次访问进行认证和授权，实现最小权限原则。传统的边界防御模型假设内部网络是安全的，但远程办公和云服务的普及使这一假设不再成立。零信任架构要求持续验证用户身份、设备状态和访问上下文。Google 的 BeyondCorp 是零信任实践的先驱案例。个人层面也可通过启用多因素认证和最小权限原则来实践零信任思维。实施零信任需要身份验证、设备健康检查、网络微分段和持续监控等多个组件的协同工作。

安全地与他人共享文件的方法和工具。端到端加密、访问权限设置、链接过期、密码保护等功能很重要。避免使用不加密的邮件附件共享敏感文件，因为邮件在传输和存储过程中可能被截获。企业级文件共享平台提供审计日志和数据丢失防护 (DLP) 功能。个人用户可使用支持零知识加密的云存储服务。共享链接设置为「任何人可访问」是常见的安全疏忽，应始终限制为特定收件人。对于一次性文件传输，Firefox Send (已停止) 的替代品如 OnionShare 和 Wormhole 提供了简单安全的端到端加密文件传输。设置文件下载次数限制和自动过期时间可以减少敏感文件长期暴露的风险。

监控暗网 (通过 Tor 等访问的匿名网络) 上是否有自己的个人信息被泄露的服务。检测邮箱地址、密码、信用卡信息等的泄露。Have I Been Pwned 是代表性的免费工具，可检查邮箱是否出现在已知的数据泄露中。许多密码管理器和安全软件也内置了暗网监控功能。发现泄露后应立即更改相关密码并启用双因素认证。企业可使用专业的威胁情报服务进行更全面的暗网监控。暗网上的数据交易通常使用加密货币进行，增加了追踪难度。企业级暗网监控服务可以监控品牌名称、域名和高管个人信息的泄露情况，提供更全面的威胁预警。

使已删除数据无法恢复的技术。普通删除只是移除文件系统的引用，数据本身仍然存在于存储介质上，可通过数据恢复工具找回。多次覆写、加密擦除和物理销毁是主要方法。SSD 由于磨损均衡机制，传统覆写方法可能不完全有效，应使用制造商提供的安全擦除命令。处置旧设备 (出售、捐赠、回收) 前必须执行安全删除。企业环境中，数据清除应遵循 NIST SP 800-88 等标准。云存储中的数据删除更加复杂，因为数据可能分布在多个物理位置的多个副本中。确认云服务提供商的数据删除政策和流程是保护敏感数据的重要步骤。

一种在下载数据的同时实时播放的技术。用于视频 (Netflix、YouTube)、音乐 (Spotify、Apple Music) 和直播。由于数据不保存到设备而是实时播放，因此需要稳定的网络连接。自适应比特率技术可根据网络速度自动调整画质，最大限度减少缓冲中断。使用 VPN 观看流媒体时通信会被加密，但可能导致速度下降。流媒体服务通常采用 DRM 数字版权管理技术来防止内容被非法复制和分发，不同平台的 DRM 方案各有差异。

检测、分析安全事件并将损害降至最低的系统化过程。按照准备、检测、遏制、根除、恢复、总结的流程进行。事先制定事件响应计划对迅速应对至关重要。没有预案的组织在遭受攻击时往往陷入混乱，导致损害扩大。响应时间直接影响损失规模，研究表明在 200 天内发现泄露的组织比更晚发现的组织平均节省数百万美元的损失。定期进行桌面演练和模拟攻击可以检验计划的有效性。自动化事件响应 (SOAR) 平台可以将常见的响应流程自动化，缩短响应时间并减少人为错误。事件响应计划应包括与法律顾问、公关团队和监管机构的沟通流程。

收集、保全和分析数字证据的技术领域。用于网络犯罪调查和事件原因分析。保持证据链的完整性是核心要求，任何对原始证据的修改都可能使其在法律程序中失效。取证工具如 EnCase 和 FTK 可以恢复已删除的文件、分析日志和重建事件时间线。内存取证可以捕获运行中的恶意软件和加密密钥等易失性数据。企业应在事件发生前就建立取证准备机制，包括日志保留策略和取证工具的预部署。云环境中的取证面临独特挑战，因为传统的磁盘镜像方法不适用于虚拟化环境。云取证需要利用云服务提供商的 API 和日志服务来收集证据。

负责组织内安全事件应对的专门团队。进行事件检测、分析、应对和与外部协调。JPCERT/CC 是日本的代表性 CSIRT，CERT/CC 是美国的对应机构。CSIRT 不仅在事件发生时响应，还负责日常的威胁监控、漏洞管理和安全意识培训。建立有效的 CSIRT 需要明确的职责分工、升级流程和与管理层的沟通渠道。中小企业可以通过外包 SOC (安全运营中心) 服务来获得类似的能力。FIRST (Forum of Incident Response and Security Teams) 是全球 CSIRT 社区的协调组织，促进成员间的信息共享和协作。

关于网络威胁的信息收集和分析活动。包括攻击者的手法 (TTP)、使用的恶意软件、攻击指标 (IoC) 等。利用威胁情报可以实现主动防御，在攻击发生前采取预防措施。MITRE ATT&CK 框架提供了系统化的攻击技术分类。威胁情报分为战略级 (面向管理层的趋势分析)、战术级 (面向安全团队的技术细节) 和运营级 (面向自动化系统的 IoC) 三个层次。开源情报 (OSINT) 和商业情报服务的结合使用可以构建全面的威胁视图。

模拟攻击者的手法，验证系统和网络安全性的测试。发现漏洞并在被恶意利用之前修复。分为黑盒 (无信息)、白盒 (有完整信息) 和灰盒测试三种类型。与自动化漏洞扫描不同，渗透测试由专业人员手动执行，可以发现复杂的逻辑漏洞和业务流程缺陷。测试范围和规则应事先明确约定，避免对生产环境造成意外影响。PCI DSS 等合规标准要求定期进行渗透测试。红队演练 (Red Team Exercise) 比传统渗透测试更全面，模拟真实攻击者的完整攻击链，包括社会工程学和物理安全测试。紫队演练则让攻击团队和防御团队协作，共同提升组织的安全能力。

集中收集和分析来自多个安全设备和系统的日志，实时检测威胁的平台。通过关联分析发现单个日志无法检测的攻击模式。Splunk 和 Elastic SIEM 是代表性产品。SIEM 的价值在于将分散的安全数据整合为统一视图，使安全团队能够快速识别和响应威胁。机器学习增强的 SIEM 可以检测异常行为模式，减少误报。部署 SIEM 的挑战包括日志量的管理、规则调优和专业人员的需求。云原生 SIEM 解决方案 (如 Microsoft Sentinel 和 Google Chronicle) 提供弹性扩展能力，适合处理大规模日志数据。

系统地发现、评估和修复系统漏洞的过程。使用 CVE (通用漏洞披露) 识别漏洞，通过 CVSS 评分评估严重性。定期扫描和及时打补丁是基本措施。CVSS 评分 9.0 以上的严重漏洞应在 24 小时内修复。自动化补丁管理工具可以减轻运维负担，但关键系统的补丁应先在测试环境验证。漏洞披露到被利用的时间窗口正在缩短，从数周缩短到数天甚至数小时，使得快速响应能力愈发重要。漏洞优先级技术 (VPT) 结合漏洞严重性、资产重要性和威胁情报来确定修复优先级，比单纯依赖 CVSS 评分更加有效。

在灾害或网络攻击等紧急情况下维持或迅速恢复业务的计划。包括系统冗余、数据备份、替代办公场所、通信手段确保等。定期演练和更新不可或缺。RTO (恢复时间目标) 和 RPO (恢复点目标) 是 BCP 的核心指标，决定了可接受的停机时间和数据丢失量。勒索软件攻击使 BCP 的重要性更加突出，因为传统的灾难恢复计划可能不足以应对有针对性的网络攻击。云服务的多区域部署和自动故障转移是现代 BCP 的重要组成部分。

故意设置的看似有漏洞的系统或服务器，用于引诱攻击者并观察其行为的安全工具。收集攻击手法和恶意软件样本，用于威胁情报分析。需要与生产环境严格隔离运行，防止攻击者以蜜罐为跳板入侵真实系统。蜜罐分为低交互型 (模拟有限服务) 和高交互型 (运行真实系统) 两种，后者能收集更详细的攻击信息但风险也更高。蜜网 (Honeynet) 是由多个蜜罐组成的网络，可以模拟更真实的企业环境。现代欺骗技术 (Deception Technology) 将蜜罐的概念扩展到整个网络，在生产环境中部署虚假资产和凭证来检测横向移动。

通过代码定义和管理服务器、网络等基础设施的方法。Terraform、CloudFormation、Pulumi 等工具实现基础设施的版本管理和自动化部署，消除手动配置错误，确保环境一致性。基础设施变更可以像应用代码一样进行代码审查和测试。GitOps 工作流将 Git 仓库作为基础设施状态的唯一真实来源。安全方面，IaC 模板的静态分析可以在部署前发现配置错误和安全漏洞，如 Checkov 和 tfsec 等工具。

保护 Docker 和 Kubernetes 等容器环境的安全措施。包括镜像漏洞扫描、运行时保护、网络策略、密钥管理等。容器的不可变性有助于安全，但配置不当会带来风险。以 root 用户运行容器、使用未经验证的基础镜像、暴露 Docker socket 是常见的安全隐患。Trivy 和 Snyk Container 等工具可在 CI/CD 流水线中自动扫描镜像漏洞。Kubernetes 的 RBAC、网络策略和 Pod 安全标准是集群安全的三大支柱。

管理用户身份并控制对系统和数据的访问权限的框架。实现最小权限原则，仅授予执行工作所需的最小权限。AWS IAM 和 Azure AD 是代表性的云 IAM 服务。过度授权是云安全事件的首要原因之一，定期审查和清理未使用的权限至关重要。基于角色的访问控制 (RBAC) 和基于属性的访问控制 (ABAC) 是两种主要的权限管理模型。IAM 策略的错误配置可能导致整个云环境暴露，因此应使用自动化工具持续监控。

安全地管理 API 密钥、数据库密码、证书等敏感信息的实践。避免在源代码中硬编码，使用 AWS Secrets Manager 和 HashiCorp Vault 等专用工具。自动轮换降低泄露风险。GitHub 上公开仓库中意外提交的 API 密钥在数分钟内就会被自动化扫描器发现并滥用。git-secrets 等工具可以在提交前检测敏感信息。密钥的生命周期管理 (创建、分发、轮换、撤销) 应有明确的流程和自动化支持。

将网络划分为多个段，限制段间通信的安全手法。即使一个段被入侵，也能防止攻击扩散到其他段，实现「爆炸半径」的最小化。微分段在云环境中实现更细粒度的控制，可以在工作负载级别定义安全策略。传统的 VLAN 分段在物理网络中仍然有效，但云原生环境更适合使用安全组和网络策略。零信任架构将网络分段的理念推向极致，对每个访问请求都进行独立验证。软件定义网络 (SDN) 使网络分段的实施和管理更加灵活，可以根据安全策略动态调整网络拓扑。在混合云环境中，一致的分段策略需要跨越本地数据中心和多个云平台，这对网络架构设计提出了更高的要求。

在全球分布的服务器上缓存内容，从离用户最近的服务器提供服务的网络。提高网站显示速度，同时具有 DDoS 攻击缓解和 WAF 功能等安全优势。CloudFront 和 Cloudflare 是代表性服务。CDN 不仅加速静态内容，还可以通过边缘计算处理动态请求。SSL/TLS 终端在 CDN 边缘节点完成，减轻源站负担。配置不当可能导致缓存投毒攻击，敏感数据被缓存等安全问题，因此缓存策略的正确设置至关重要。

云服务提供商和用户之间关于安全责任分担的框架。提供商负责基础设施安全 (物理安全、网络、虚拟化层)，用户负责数据和访问管理。IaaS、PaaS、SaaS 各层的责任范围不同，SaaS 中用户的责任最小，IaaS 中最大。常见误解是认为「上云就安全了」，实际上云中的安全事件大多源于用户侧的配置错误。理解共享责任模型是云安全的第一步，有助于明确哪些安全措施需要自己实施。AWS、Azure 和 GCP 各自发布了详细的共享责任模型文档，明确了每一层的安全责任划分。定期审查和理解这些文档是云安全管理的基础工作。

AWS Lambda 等无服务器环境特有的安全考虑。函数权限的最小化、依赖项漏洞管理、输入验证等是重点。虽然无需管理服务器补丁和操作系统安全，但应用层安全仍是用户的责任。每个函数应遵循最小权限原则，仅授予执行所需的 IAM 权限。冷启动时的依赖注入攻击和事件数据注入是无服务器特有的威胁。函数超时设置和并发限制可以防止资源滥用和拒绝服务攻击。无服务器环境中的日志和监控需要特别关注，因为传统的服务器级监控工具不适用。AWS X-Ray 和 CloudWatch Logs Insights 等工具可以帮助追踪函数执行和识别异常行为。依赖项的定期更新和漏洞扫描在无服务器环境中同样重要。

防止敏感数据从组织外部泄露的技术和策略。监控和控制邮件、云存储、USB 设备等数据传输渠道。通过内容检查检测信用卡号、身份证号和个人信息等敏感数据。DLP 策略应根据数据分类级别 (公开、内部、机密、绝密) 设定不同的保护措施。端点 DLP 监控用户设备上的数据操作，网络 DLP 检查传输中的数据，云 DLP 保护云服务中的数据。误报率的管理是 DLP 部署的主要挑战，过严的策略会影响工作效率。机器学习增强的 DLP 可以识别非结构化数据中的敏感信息，如图片中的身份证号或手写文档中的个人信息。

API 是允许软件应用程序之间进行通信和数据交换的一组规则和协议。现代 Web 服务通过组合数十到数百个 API 构建而成。常见的 API 风格包括 REST、GraphQL、WebSocket 和 gRPC。身份验证（API 密钥、OAuth 2.0、JWT）和速率限制对于保护 API 至关重要。基于 OWASP API Security Top 10 的安全实践是推荐的防护标准。API 安全已成为网络安全领域的重要议题。

通过网络向其他计算机（客户端）提供服务和数据的计算机或软件。按用途分为 Web 服务器、邮件服务器、DNS 服务器、数据库服务器等多种类型。部署方式从本地物理服务器到云实例（IaaS/PaaS）再到无服务器架构，选择取决于流量规模、可用性要求、数据���留法规和运维能力。无论采用哪种部署模式，补丁管理、访问控制和日志监控等基本安全措施都不可或缺。「无服务器」并非没有服务器，而是将服务器管理责任转移给云服务商的运维模式。