术语表

分配给连接到互联网的设备的唯一标识号。分为 IPv4 (32 位，约 43 亿个) 和 IPv6 (128 位，数量几乎无限) 两种。是 Web 通信和网络管理的基础技术，对于确定通信对象不可或缺。通过 IP 地址可以推测国家和地区级别的位置信息，但无法确定个人住所。使用 VPN 或代理可以更改对外显示的 IP 地址，从而保护隐私。理解全局 IP 和私有 IP 的区别，对于排查网络故障非常重要。全局 IP 地址由 ISP 分配，在互联网上唯一标识设备；私有 IP 地址则在局域网内使用，不会直接暴露在互联网上。

为解决 IPv4 地址枯竭问题而设计的下一代互联网协议。拥有 128 位地址空间，可为几乎无限数量的设备分配唯一地址。隐私扩展地址 (RFC 4941) 有助于降低基于 MAC 地址的追踪风险。常见误解是「IPv6 比 IPv4 更安全」，但加密功能由 TLS 等上层协议承担，而非协议本身。随着物联网设备的爆发式增长，IPv6 的普及正在加速，许多运营商已默认提供 IPv6 连接，用户可通过 IPoE 连接获得更快的网络速度。

将人类可读的域名 (如 example.com) 转换为计算机可理解的 IP 地址的系统，被比喻为互联网的电话簿。每次浏览网页时，后台都会发生 DNS 查询。传统的 DNS 查询未加密，ISP 和网络管理员可以看到用户的浏览目标。DNS over HTTPS (DoH) 和 DNS over TLS (DoT) 等加密技术可以解决这一问题。此外，DNS 缓存投毒攻击可以将用户引导至伪造网站，是一种需要警惕的安全威胁。

根据 IP 地址推测大致地理位置信息 (国家、地区、城市) 的技术。广泛用于广告投放、内容本地化和异常访问检测。MaxMind 的 GeoLite2 是代表性的免费数据库，国家级精度超过 99%，但城市级可能存在数十公里的误差。使用 VPN 或代理时，GeoIP 结果显示的是服务器所在地而非用户实际位置。常见误解是「通过 IP 地址可以定位到家庭住址」，实际上 GeoIP 只能确定到 ISP 节点级别的信息。

在私有 IP 地址和全局 IP 地址之间进行相互转换的技术。家庭和办公室路由器广泛使用 NAT，使多台设备共享一个全局 IP 地址连接互联网，有效缓解了 IPv4 地址枯竭问题。NAT 还具有阻止外部直接访问内部网络的附带安全效果，但不能替代防火墙。P2P 通信或在线游戏出现连接问题时，往往与 NAT 类型设置有关。随着 IPv6 的普及，NAT 的必要性正在逐渐降低。端口地址转换 (PAT) 是 NAT 最常见的实现方式，通过端口号区分不同设备的连接。理解 NAT 的工作原理对于配置端口转发和解决远程访问问题至关重要。

即使使用 VPN 或代理，DNS 查询仍绕过加密隧道直接发送到 ISP 的 DNS 服务器的现象，导致浏览目标信息泄露给 ISP 或第三方。VPN 配置不当或操作系统的 DNS 解析顺序是常见原因。专用的泄露测试工具可以检测此问题，部署 VPN 后应立即进行检查。Windows 的「智能多宿主名称解析」功能曾被报告会引发 DNS 泄露。对策包括明确指定 VPN 提供商的 DNS 服务器，或同时启用 DNS over HTTPS。与 WebRTC 泄露并列为 VPN 使用时的主要隐私风险。

通过 HTTPS 协议加密 DNS 查询的技术。与传统的明文 DNS 不同，可以防止 ISP 和网络管理员窥探或篡改 DNS 流量。Chrome、Firefox、Edge 等主流浏览器已内置支持，可在设置中启用。类似技术 DNS over TLS (DoT) 使用端口 853，容易被封锁；而 DoH 使用端口 443 混入 HTTPS 流量中，具有更强的抗审查能力。在企业网络中，管理员可能会限制 DoH 以维持基于 DNS 的过滤策略。

自动为网络上的设备分配 IP 地址、子网掩码、默认网关和 DNS 服务器等配置信息的协议。家庭路由器大多内置 DHCP 服务器功能，手机或电脑连接后即可自动完成网络配置，无需手动设置。DHCP 采用租约机制，一定时间后地址会被重新分配，因此同一设备的 IP 地址可能会发生变化。需要注意的是，DHCP 欺骗攻击可以通过伪造的 DHCP 服务器分发恶意配置，从而拦截网络通信。企业网络中通常部署专用的 DHCP 服务器，支持地址保留和范围管理等高级功能。静态 IP 分配适用于服务器和网络设备等需要固定地址的场景。

通过加密互联网通信并经由其他位置的服务器中转，保护实际 IP 地址和通信内容的技术。在使用公共 Wi-Fi 或绕过地理限制时有效，但 VPN 提供商的可信度至关重要。免费 VPN 存在记录和出售用户数据的风险，因此推荐选择承诺无日志政策的付费服务。即使使用 VPN，DNS 泄露或 WebRTC 泄露仍可能暴露 IP 地址，部署后的泄露测试必不可少。企业中也广泛用于远程访问内部网络。选择 VPN 服务时，应关注服务器分布、连接速度、同时连接设备数和是否支持 Kill Switch 等功能。企业 VPN 和个人 VPN 的使用场景和安全需求有所不同。

位于客户端和互联网之间，中转通信的服务器。用于隐藏 IP 地址和内容过滤。与 VPN 不同，代理不加密整个通信，因此安全保护有限。HTTP 代理仅处理 Web 浏览流量，SOCKS 代理可处理各种协议。企业常用代理来记录访问日志和过滤恶意软件。免费公开代理存在通信被窃听的风险，选择可信的提供商至关重要。根据使用场景选择代理还是 VPN，是保护网络隐私的重要决策。透明代理在用户不知情的情况下运行，常用于企业网络的内容过滤。反向代理则位于服务器端，用于负载均衡和缓存加速。

通过多个中继服务器对通信进行多层加密，实现高度匿名性的网络。每个中继只知道通信路径的一部分，使得追溯发送方和接收方极为困难。通信速度下降是主要缺点，不适合视频观看和大文件下载。使用 Tor Browser 无需特殊配置即可接入 Tor 网络。记者和人权活动人士将其作为规避审查的工具，同时也是访问暗网的途径。VPN 与 Tor 组合使用的「Tor over VPN」配置可进一步提高匿名性。出口节点是 Tor 网络中最脆弱的环节，因为此处的通信已被解密。因此在使用 Tor 时仍应确保访问 HTTPS 网站。

当 VPN 连接意外断开时，自动切断所有互联网通信的安全功能。防止在 VPN 断开瞬间真实 IP 地址暴露，确保隐私保护的连续性。可靠的 VPN 服务通常将其作为标准功能提供。Kill Switch 分为应用级 (仅切断特定应用通信) 和系统级 (切断整个网络) 两种类型，后者保护范围更广，可防止后台进程的泄露。在种子下载或记者采访等 IP 暴露后果严重的场景中，此功能不可或缺。选择 VPN 服务时，应确认 Kill Switch 功能是否默认启用，以及是否支持系统级保护。部分 VPN 客户端还提供自定义规则，允许指定哪些应用在 VPN 断开时被阻止。

定义 VPN 连接建立方式和加密方法的通信规约。WireGuard 以高速、轻量和代码量少便于审计著称；OpenVPN 拥有高兼容性和 20 多年的实践经验；IPsec/IKEv2 在移动环境中表现稳定，Wi-Fi 和移动数据切换时能保持连接。PPTP 和 L2TP/IPsec 是旧一代协议，存在已知漏洞，不推荐新部署使用。选择 VPN 服务时，确认支持的协议是重要的判断标准，协议选择直接影响速度和安全性。

VPN 连接时，仅将特定应用或目标的通信通过 VPN 隧道路由，其余通信直接连接互联网的技术。可在保护需要保护的通信的同时，为不需要 VPN 的服务保持高速连接，并允许访问本地网络资源 (如打印机和 NAS)。配置不当可能导致应受保护的通信绕过 VPN，产生隐私风险。远程办公场景中，通常将业务通信通过 VPN，视频流媒体等直接连接。部分 VPN 提供商支持按应用或 URL 进行精细控制。安全性要求较高的场景应避免使用分割隧道，确保所有流量都通过 VPN 保护。部分企业安全策略明确禁止分割隧道的使用。

在 OSI 模型会话层工作的通用代理协议。与 HTTP 代理不同，可中转 TCP 和 UDP 的任意流量，适用于邮件、FTP、P2P 等多种应用。SOCKS5 支持认证功能和 UDP，也被用于 Tor 网络的本地连接。SOCKS 代理本身不加密通信内容，需要机密性时应与 SSH 隧道或 TLS 结合使用。相比 VPN 开销更小，适合只需中转特定应用通信的场景。在实际应用中，SOCKS5 代理常用于绕过网络限制和加速特定应用的连接。配置 SOCKS 代理时需要在应用程序级别进行设置，而非系统级别，这与 VPN 的全局保护方式不同。

将 VPN 流量伪装成普通 HTTPS 通信，绕过深度包检测 (DPI) 对 VPN 的识别和封锁的技术。在限制 VPN 使用的国家或网络环境中，用于确保通信自由。Obfsproxy 和 Shadowsocks 是代表性实现。中国的防火长城和俄罗斯的通信管制等国家级审查使得混淆技术的重要性日益增加。支持混淆的 VPN 服务有限，出行前应确认服务的支持情况。由于通信开销增加，速度通常低于普通 VPN 连接。

网站保存在浏览器中的小型数据文件。分为用于维持登录状态和记忆设置的第一方 Cookie，以及用于跨站行为追踪的第三方 Cookie。由于对隐私的影响，GDPR 等法规要求使用 Cookie 前须获得用户明确同意。主流浏览器正在推进第三方 Cookie 的逐步淘汰。定期清除 Cookie 可降低追踪风险，但同时会丢失登录信息和个性化设置，需要在隐私和便利性之间权衡。Cookie 的 HttpOnly 属性可防止 JavaScript 访问，Secure 属性确保仅通过 HTTPS 传输。理解这些安全属性有助于评估网站的 Cookie 安全实践。

通过浏览器设置、插件、屏幕分辨率、字体、时区等组合来识别用户的技术。即使删除 Cookie 也能追踪，因此作为隐私威胁备受关注。Canvas 和 AudioContext 的渲染结果、WebGL 信息也被用于识别。EFF 的研究表明，约 83% 的普通浏览器配置可被唯一识别。Tor Browser 和 Brave 内置了指纹防护功能，通过统一属性值来降低识别精度。了解浏览器指纹的原理有助于选择合适的隐私保护策略。

实现浏览器间实时音视频通信的技术。用于视频通话和文件共享，但即使使用 VPN，本地 IP 地址也可能通过 WebRTC 泄露。STUN 服务器请求会暴露内部网络的 IP 地址，导致即使认为隐私受到 VPN 保护，实际 IP 仍可能被识别。Firefox 可在 about:config 中禁用 WebRTC，Chrome 可通过扩展程序防护，Brave 则内置了 WebRTC 泄露防护功能。部署 VPN 后应立即进行 WebRTC 泄露测试。

向网站传达拒绝行为追踪意愿的浏览器设置。作为 HTTP 头发送，但没有法律约束力，许多网站忽略此请求。由于实效性不足，W3C 于 2019 年停止了 DNT 的标准化工作。替代方案 Global Privacy Control (GPC) 已经出现，在加州 CCPA 法律框架下，网站有义务尊重 GPC 信号。值得注意的是，启用 DNT 本身可能成为浏览器指纹的识别要素之一，反而增加被追踪的风险。尽管 DNT 的实际效果有限，了解其存在和局限性有助于全面理解浏览器隐私保护机制的演进历程。

嵌入在网页或电子邮件中的 1x1 像素透明图像。加载时向服务器发送请求，记录浏览者的 IP 地址、浏览时间和设备信息等。也称为 Web 信标，广泛用于邮件打开确认和广告效果测量。在邮件客户端中设置「不自动加载图片」可以防范，但会影响使用体验。近年来 Apple 的 Mail Privacy Protection 功能自动屏蔽追踪像素，导致邮件营销的打开率指标可靠性下降。企业邮件营销中，追踪像素的使用率极高，几乎所有营销邮件都包含某种形式的打开追踪。了解这一机制有助于用户做出知情的隐私选择。

在隔离环境中执行 Web 内容，防止恶意代码影响用户设备的安全技术。远程浏览器隔离 (RBI) 在云端虚拟环境中渲染页面，仅将画面信息传输给用户。对零日攻击和偷渡式下载具有很高的防御效果。企业安全领域的采用正在增加，可大幅降低员工访问未知网站时的风险。缺点是网络带宽消耗增加和延迟上升。本地隔离则在沙箱中执行，两种方式各有适用场景。对于处理高度敏感信息的组织，浏览器隔离可以作为零信任架构的重要组成部分。部分云安全服务 (如 Zscaler 和 Menlo Security) 提供集成的浏览器隔离功能，可与现有安全基础设施无缝配合。

由当前访问网站以外的域设置的 Cookie。广告网络利用第三方 Cookie 实现跨站用户行为追踪。主流浏览器正推进其逐步淘汰，Safari 已完全阻止，Chrome 也在推进向 Privacy Sandbox 的迁移。替代技术如 Topics API 和归因 API 已被提出，但广告行业担忧效果测量精度下降。理解第三方 Cookie 与第一方 Cookie 的区别，并适当管理浏览器的 Cookie 设置，是保护在线隐私的重要一步。

利用 HTML5 Canvas 元素绘制不可见图形并读取像素数据的哈希值来识别浏览器的技术。由于 GPU、驱动程序、操作系统和字体渲染的差异，每个浏览器的 Canvas 输出略有不同，因此具有很高的识别精度。作为不依赖 Cookie 的追踪手段在广告行业中使用日益广泛。Canvas Blocker 扩展可通过随机化渲染结果来防护。与 AudioContext 指纹结合使用可进一步提高识别精度。在浏览器指纹的各属性中，Canvas 指纹的信息熵特别高。

除密码外，还要求另一种认证因素 (短信验证码、认证应用、物理密钥等) 的安全方法。即使密码泄露也能防止未授权访问。短信认证容易受到 SIM 卡交换攻击，因此推荐使用 TOTP 应用 (Google Authenticator、Authy) 或 FIDO2 安全密钥。大多数主流 Web 服务已支持 2FA，特别建议在邮箱、银行和社交媒体账户上启用。未设置 2FA 的账户是密码列表攻击的首要目标。启用 2FA 后，即使密码在数据泄露中暴露，攻击者仍无法仅凭密码访问账户，这是目前最具性价比的账户安全措施。

基于 FIDO2 标准的无密码认证技术。利用公钥加密，可通过生物认证或 PIN 登录。具有高度抗钓鱼能力，无需记忆或管理密码，作为下一代认证方式正在普及。Apple、Google、Microsoft 已在操作系统层面提供支持，可通过 iCloud 钥匙串或 Google 密码管理器在设备间同步。与传统密码认证不同，服务器端不存储秘密信息，因此即使发生数据泄露，风险也大幅降低。通行密钥的跨平台同步正在改善，但不同生态系统之间的互操作性仍是挑战。建议在支持通行密钥的服务上优先启用，同时保留传统认证方式作为备用。

生成、保存和自动填充复杂且唯一密码的工具。只需一个主密码即可管理所有账户密码，防止密码重复使用，大幅降低凭证填充攻击的风险。1Password、Bitwarden、KeePass 是代表性产品。相比浏览器内置的密码保存功能，专业密码管理器提供更高级的安全性 (零知识加密、泄露检查)。需要注意的是，忘记主密码将无法访问所有数据，因此恢复密钥的安全保管至关重要。选择密码管理器时应考虑跨平台支持、浏览器扩展兼容性、家庭共享功能和紧急访问机制等因素。定期导出密码备份也是防范数据丢失的重要措施。

利用过去数据泄露中流出的 ID 和密码组合，自动尝试登录其他服务的攻击手法。利用密码重复使用的弱点，攻击者使用僵尸网络在短时间内尝试数百万组凭证。为每个服务设置不同密码是最有效的对策。可通过 Have I Been Pwned 等服务检查自己的邮箱是否出现在泄露列表中。启用双因素认证并配合使用密码管理器，是防御此类攻击的最佳组合。大规模凭证填充攻击每天尝试数十亿次登录，是当前最普遍的自动化攻击形式之一。网站运营者可通过 CAPTCHA、IP 速率限制和异常登录检测来防御此类攻击。

基于当前时间和共享密钥，每 30 秒生成一个新的一次性密码的认证算法。Google Authenticator 和 Authy 等认证应用广泛使用此技术。比短信认证更安全，不受 SIM 卡交换攻击影响。RFC 6238 标准化，几乎所有主流 Web 服务都已支持。如果未备份密钥，手机丢失时将无法访问账户，因此恢复代码的安全保管非常重要。建议在多个设备上设置认证应用以防万一。部分认证应用支持加密云备份功能，可在更换设备时恢复所有 TOTP 配置。Authy 和 Microsoft Authenticator 提供此功能，而 Google Authenticator 需要手动迁移。

使用一组凭证登录多个关联服务和应用的认证机制。提升用户体验并减轻密码管理负担。但如果 SSO 认证基础设施被入侵，所有关联服务都将受到影响。Google 账户和 Microsoft 账户的社交登录是常见示例。企业中广泛采用基于 SAML 和 OpenID Connect 协议的 SSO，使员工无需为数十个服务分别设置密码。SSO 账户应特别设置强力的双因素认证来保护。SSO 的安全性取决于身份提供商 (IdP) 的安全水平。选择支持多因素认证和异常检测的 IdP 是确保 SSO 安全的关键。

系统地尝试所有可能的密码组合来破解认证的攻击手法。随着计算能力的提升，8 位以下的字母数字密码可在数小时内被破解。设置足够长度 (12 位以上) 和复杂度的密码至关重要。账户锁定和速率限制是有效的防御措施。字典攻击 (尝试常用密码列表) 和混合攻击 (在字典词后附加数字和符号) 等效率更高的变体也广泛存在。使用密码管理器生成的随机长密码是最佳对策。现代 GPU 的并行计算能力使密码破解速度大幅提升，一块高端 GPU 每秒可尝试数十亿个哈希值。使用 bcrypt 或 Argon2 等慢哈希算法存储密码可有效抵御暴力破解。

允许第三方应用在不共享密码的情况下获得用户资源有限访问权的授权框架。Google 和 GitHub 账户登录其他服务的「社交登录」基于此技术。通常与认证层 (OpenID Connect) 组合使用。访问令牌设有作用域 (权限范围) 和有效期，可限制为最小必要访问。常见误解是将 OAuth 2.0 视为认证协议，实际上它是授权协议，用户身份验证需要 OpenID Connect 层来完成。授权码流程 (Authorization Code Flow) 是最安全的 OAuth 2.0 授权方式，适用于有后端服务器的应用。PKCE 扩展则为移动应用和单页应用提供了额外的安全保护。

在互联网活动中留下的痕迹总称。包括社交媒体帖子、搜索历史、在线购买记录等有意留下的 (主动型) 和 Cookie、访问日志等无意留下的 (被动型)。一旦公开的信息很难完全删除，因此日常管理很重要。求职和信用调查中参考过往发帖的情况日益增多。可通过 Google 的「我的活动」查看和删除搜索历史。定期审查社交媒体的公开范围和清理不用的账户，是管理数字足迹的有效方法。数据经纪商收集和出售个人数字足迹信息已成为一个庞大的产业。部分服务如 DeleteMe 可帮助用户从数据经纪商的数据库中删除个人信息。

关于数据的数据。包括照片的 Exif 信息 (拍摄日期、GPS 坐标、相机型号)、邮件头 (发送方 IP、经由服务器)、文档属性 (作者、编辑历史) 等，可能泄露比正文更多的个人信息。在社交媒体上传照片时，Exif 中的 GPS 信息可能暴露家庭住址。虽然许多社交平台会自动去除 Exif，但个人博客和文件共享服务中往往会保留。建议使用 ExifTool 等工具在分享前检查并删除元数据。PDF 文档的元数据可能包含作者姓名、组织名称和修订历史等敏感信息。在发布公开文档前，应使用专用工具清除所有元数据。

规定欧盟域内个人数据保护的法规。要求数据收集和处理需获得明确同意，保障被遗忘权和数据可携带权。违规时可处以全球营业额最高 4% 或 2000 万欧元 (取较高者) 的罚款。即使是欧盟域外的企业，只要处理欧盟居民的数据就适用。对日本个人信息保护法和美国 CCPA 等世界各国的隐私法产生了深远影响。Cookie 同意横幅的普及也是 GDPR 的直接影响。GDPR 的域外效力意味着中国企业如果向欧盟用户提供服务或监控其行为，也需要遵守 GDPR 的规定。数据保护官 (DPO) 的任命和数据保护影响评估 (DPIA) 是 GDPR 合规的重要组成部分。

不收集或追踪搜索历史和用户画像的搜索引擎。DuckDuckGo、Startpage、Brave Search 等为代表。虽然不进行搜索结果个性化，但可以避免过滤气泡 (只显示符合个人偏好的信息)，保护隐私。Startpage 通过代理显示 Google 搜索结果，在保持搜索质量的同时确保隐私。DuckDuckGo 结合自有爬虫和 Bing 的结果。仅将日常搜索切换到这些引擎，就能大幅减少广告画像分析。

日本关于个人信息处理的法律。规定了个人信息的获取、使用、提供等规则，赋予本人访问权和删除请求权。2022 年修订加强了泄露报告义务和处罚规定。个人信息保护委员会作为监管机构，拥有对违规企业的劝告和命令权限。与 GDPR 相比罚款上限较低，但每次修订都在加强监管力度。Cookie 信息被归类为「个人关联信息」，向第三方提供时需要获得同意。2024 年的修订进一步扩大了个人信息的定义范围，将生物识别数据和行为数据纳入保护。企业需要建立完善的个人信息管理体系，包括数据映射、风险评估和员工培训。中国的《个人信息保护法》在许多方面借鉴了 GDPR 的框架。

仅收集和处理实现目的所必需的最少个人数据的原则。GDPR 的核心原则之一，与「隐私设计」(Privacy by Design) 的理念密切相关。实践中包括：注册表单只要求必要字段、将日志保存期限控制在最短、积极采用匿名化和假名化等措施。其根本理念是「不持有数据就不存在泄露风险」。通过减少不必要的数据收集来降低泄露风险，也有助于赢得用户信任。在系统设计阶段就应考虑数据最小化，而非事后补救。例如，分析用户行为时可以使用聚合数据而非个人级别的数据，既满足业务需求又保护用户隐私。

控制社交媒体上个人信息公开范围的功能。包括帖子公开范围、个人资料可见性、标签权限、位置信息共享等设置。平台更新时设置可能被重置，或新的共享功能默认启用，因此需要定期审查。Facebook、Instagram、X (原 Twitter) 各平台的设置项目不同，需要逐一确认。定期审查设置对保护隐私至关重要，建议每季度检查一次各平台的隐私设置。许多用户不知道社交媒体的默认设置通常是最大程度公开的。新注册账户后应立即检查并调整隐私设置。特别注意位置标签、面部识别和搜索引擎索引等容易被忽视的选项。

在网上购物时保护个人信息和财务信息的方法。基本措施包括确认 HTTPS 连接、使用可信支付方式、警惕钓鱼网站和使用强密码。虚拟信用卡号和一次性密码可有效降低卡信息泄露风险。确认 URL 是否为正规域名、警惕异常低价、检查评价可信度也是重要的判断依据。选择 PayPal 或运营商支付等无需直接输入卡号的支付方式，可以减轻钓鱼攻击的风险。使用专门的邮箱地址进行网购注册可以隔离潜在的垃圾邮件和钓鱼攻击。启用银行的交易通知功能可以及时发现未授权的消费。在不熟悉的网站购物前，查看其他用户的评价和投诉记录也是明智之举。

加密互联网通信的协议。SSL 是旧称，现在 TLS 是标准。广泛用于网站 HTTPS 连接、邮件收发、VPN 通信等。TLS 1.3 是最新版本，实现了握手加速 (1-RTT) 和安全性增强。TLS 1.0/1.1 存在已知漏洞，主流浏览器已停止支持。常见误解是仍使用「SSL 证书」这一称呼，但实际运行的是 TLS 协议。证书有效期管理和适当的加密套件选择是服务器运维的重要环节。服务器端应禁用不安全的加密套件，优先使用前向保密 (Forward Secrecy) 的密码组合。SSL Labs 的在线测试工具可以免费评估服务器的 TLS 配置质量。

只有发送方和接收方才能解密数据的加密方式。包括服务提供商在内的第三方无法查看通信内容。被 Signal、WhatsApp 等消息应用和 ProtonMail 等邮件服务采用。面对执法机构的数据披露要求，服务提供商在技术上无法配合。另一方面，各国政府以妨碍犯罪调查为由施压要求设置后门。未采用 E2EE 的服务中，消息可能以明文形式存储在服务器上，存在被访问的风险。选择通信工具时，应确认其是否默认启用端到端加密。部分应用 (如 Telegram) 仅在「秘密聊天」模式下启用 E2EE，普通聊天并不加密。Signal 协议被认为是目前最安全的 E2EE 实现之一。

在 HTTP 基础上添加 TLS 加密的协议。加密浏览器和 Web 服务器之间的通信，防止窃听和篡改。可通过地址栏的锁图标确认，目前几乎所有网站都标准使用。Google 将 HTTPS 作为排名信号，从 SEO 角度来看也是必须的。Let's Encrypt 的普及使免费获取 SSL/TLS 证书成为可能，个人网站也能轻松实现 HTTPS。HTTP 网站在 Chrome 中会显示「不安全」警告，直接影响用户信任度。

设置在网络边界，控制通信允许/拒绝的安全机制。有包过滤型、状态检测型、应用网关型等类型，是防止未授权访问和恶意软件入侵的第一道防线。Windows Defender 防火墙和 macOS 防火墙是操作系统内置的，启用即可获得基本保护。企业网络中，下一代防火墙 (NGFW) 可检查到应用层，检测更高级的威胁。理解防火墙的工作原理有助于正确配置家庭网络的安全设置。家庭用户应确保路由器的防火墙功能已启用，并关闭不需要的端口和 UPnP 功能。定期检查防火墙日志可以发现潜在的入侵尝试。

使用一对密钥 (公钥和私钥) 进行加密和解密的方式。公钥加密的数据只能用对应的私钥解密。是 TLS 通信密钥交换、数字签名、通行密钥认证等现代互联网安全的基石。RSA 和椭圆曲线加密 (ECC) 是代表性算法，ECC 可用更短的密钥长度实现与 RSA 同等的安全性。量子计算机的发展可能破解现有公钥加密，向后量子密码 (PQC) 的迁移正在推进中。在日常使用中，SSH 密钥登录、HTTPS 证书验证和数字签名都依赖公钥加密。理解公钥和私钥的关系是掌握现代网络安全的基础。密钥长度直接影响安全性，RSA 建议至少使用 2048 位密钥。

证明网站或服务器身份的电子证明。由证书颁发机构 (CA) 签发，将公钥与域名所有者信息绑定。浏览器通过验证证书来确认 HTTPS 连接的可信度。Let's Encrypt 的普及使免费获取证书成为常态。证书分为 DV (域名验证)、OV (组织验证)、EV (扩展验证) 三个级别，认证程度各不相同。过期证书会触发浏览器警告，因此引入自动续期机制 (如 certbot) 在运维中非常重要。证书透明度 (Certificate Transparency) 日志允许任何人监控为特定域名签发的证书，有助于发现未授权的证书签发行为。

对邮件内容进行加密，防止第三方窃听的技术。ProtonMail 和 Tuta 提供标准的端到端加密，采用零访问加密，即使在服务器端也无法解密邮件内容。PGP/GPG 支持手动加密，但密钥管理的复杂性阻碍了普及。普通邮件服务 (Gmail、Outlook) 虽然支持传输加密 (TLS)，但邮件在服务器上以明文存储，服务提供商和执法机构可以访问，这一点需要注意。对于需要与不使用加密邮件服务的收件人通信的场景，ProtonMail 提供了密码保护邮件功能，收件人通过密码即可在浏览器中查看加密内容。S/MIME 证书可在 Outlook 等传统邮件客户端中实现加密。

Web 服务器发送的指示浏览器执行安全策略的 HTTP 响应头。Content-Security-Policy (CSP) 防止 XSS 攻击，Strict-Transport-Security (HSTS) 强制 HTTPS 连接，X-Frame-Options 防止点击劫持。正确设置可大幅缩小 Web 应用的攻击面。SecurityHeaders.com 等在线工具可免费诊断网站的头部设置。配置错误可能导致网站无法正常运行，因此建议分阶段引入。

冒充合法组织或个人，骗取密码和信用卡信息等敏感信息的攻击手法。使用邮件、短信 (短信钓鱼)、假网站等多种手段。确认 URL、验证发送方、启用双因素认证是主要对策。近年来利用 AI 制作的精巧钓鱼邮件日益增多，仅凭文本的不自然之处已难以识别。养成将鼠标悬停在链接上确认 URL、通过官方应用直接访问等习惯可有效防范。企业中定期进行钓鱼演练对提升员工安全意识效果显著。鱼叉式钓鱼 (Spear Phishing) 针对特定个人或组织定制攻击内容，成功率远高于群发式钓鱼。商业邮件欺诈 (BEC) 造成的经济损失在所有网络犯罪中位居前列。

加密受感染设备的文件，要求支付赎金 (多为比特币等加密货币) 以换取解密的恶意软件。通过邮件附件和漏洞利用传播。定期备份、更新操作系统和软件、避免执行可疑文件是重要的预防措施。即使支付赎金也不保证能获得解密密钥，且支付行为会成为犯罪组织的资金来源，因此不建议支付。双重勒索型勒索软件不仅加密数据，还以公开窃取的数据作为威胁。保持离线备份是最后的防线。勒索软件即服务 (RaaS) 模式使得技术门槛大幅降低，犯罪团伙将勒索软件工具包出租给其他攻击者并分成。网络保险可以在一定程度上缓解勒索软件造成的经济损失。

不使用技术手段，而是利用人类心理弱点来骗取信息的攻击手法。使用服从权威、制造紧迫感、利用好意等各种心理技巧。仅靠技术对策无法防范，提高安全意识不可或缺。「冒充上司的紧急转账请求」和「自称 IT 部门的密码确认」是典型手口。通过电话、邮件、面对面、社交媒体等各种渠道实施。组织中定期的安全培训和模拟攻击演练被认为是最有效的对策。商业邮件欺诈 (BEC) 是社会工程学最具破坏性的应用之一，攻击者冒充高管或合作伙伴发送虚假付款指令。据 FBI 统计，BEC 造成的损失远超其他网络犯罪类型。建立严格的付款审批流程和多人确认机制是有效的防范措施。

在软件漏洞公开或修复补丁发布之前，利用该漏洞的攻击。开发者没有时间采取对策 (零天)，因此得名。常用于国家级网络攻击，零日漏洞在暗网上以高价交易。纵深防御和及时应用更新是基本对策。端点检测与响应 (EDR) 工具具备检测利用未知漏洞的异常行为的能力。对个人而言，启用软件自动更新是最佳防护措施。零日漏洞的市场价值可达数百万美元，国家级攻击者和漏洞经纪商是主要买家。Bug Bounty 计划鼓励安全研究人员负责任地披露漏洞，而非在黑市出售。企业应建立漏洞响应流程，确保在零日漏洞被公开后能够迅速评估影响并采取临时缓解措施。虚拟补丁技术可以在正式补丁发布前提供临时保护。

利用深度学习技术精巧地合成或篡改人物面部和声音的技术。用于制作假视频和音频，进行冒充和虚假信息传播。不自然的眨眼、轮廓模糊、语调违和感等是识别线索。已有报告称利用模仿 CEO 声音的诈骗电话骗取数千万元。Microsoft Video Authenticator 等检测工具已被开发，但生成技术的进步使检测技术难以跟上。这是一种可能影响视频通话身份验证的新型威胁。实时深度伪造技术已可用于视频通话，使得远程身份验证面临新的挑战。多模态验证 (结合视频、音频和行为分析) 是应对深度伪造的发展方向。

不直接攻击目标组织，而是通过入侵其供应商或使用的软件来间接攻击的手法。通过篡改软件更新或开源库来大规模传播恶意代码。SolarWinds 事件影响了超过 18000 个组织，npm 包污染事件也频繁发生。Dependabot 和 Snyk 等自动扫描开源依赖关系的工具是有效的对策。软件签名验证和构建可重现性 (Reproducible Builds) 作为防御措施的重要性也在提升。软件物料清单 (SBOM) 的标准化有助于追踪软件组件的来源和已知漏洞。美国政府已要求关键基础设施供应商提供 SBOM。

从大量设备同时向目标服务器发送请求，使其过载而无法提供服务的攻击。利用僵尸网络 (被恶意软件感染的设备群) 进行。CDN、速率限制和流量分析异常检测是主要防御手段。攻击规模逐年增大，已观测到数 Tbps 级别的大规模攻击。暗网市场上廉价提供「DDoS 即服务」，即使没有技术知识也能发起攻击。AWS Shield 和 Cloudflare 等云端防御服务的使用是有效的应对方案。反射放大攻击利用 DNS、NTP 等协议的特性，将小请求放大为大流量攻击目标。Anycast 网络架构可以将攻击流量分散到全球多个节点，有效缓解 DDoS 影响。

攻击者在通信双方之间秘密拦截和篡改通信的攻击手法。在公共 Wi-Fi 等不安全网络中风险较高。HTTPS 的使用、证书验证和 VPN 是有效的防御措施。HSTS 头部防止协议降级也很重要。ARP 欺骗和 DNS 欺骗结合的高级攻击也存在。在咖啡厅和机场的免费 Wi-Fi 中，攻击者设置伪造接入点拦截通信的「Evil Twin 攻击」已有实际报告。SSL Stripping 攻击将 HTTPS 连接降级为 HTTP，使用户在不知情的情况下通过不加密的连接传输敏感信息。HSTS 预加载列表可以有效防止此类攻击。在使用公共 Wi-Fi 时，始终确认网站使用 HTTPS 并启用 VPN 是最基本的防护措施。

组织持有的个人信息或机密信息被未授权访问或泄露的事件。原因包括外部攻击、内部人员不当行为、系统配置错误等。泄露的凭证在暗网上被交易，用于凭证填充等二次攻击。迅速更改密码和确定影响范围是初始响应的关键。建议定期在 Have I Been Pwned 上检查自己的邮箱是否出现在泄露列表中。日本个人信息保护法规定，一定规模以上的泄露须向个人信息保护委员会报告并通知当事人。数据泄露的平均发现时间超过 200 天，这意味着攻击者有充足的时间窃取大量数据。缩短检测时间是降低泄露损失的关键因素。

盗取他人个人信息，冒充其身份进行欺诈的犯罪行为。利用被盗信息开设银行账户、申请信用卡、进行网上购物等。钓鱼、数据泄露和社会工程学是主要手段。早期发现需要定期检查信用报告和账户异常检测。遭受侵害时，应立即更改相关密码、联系金融机构并向警方报案。暗网上个人信息套装 (姓名、地址、信用卡号) 仅需几美元即可购买，任何人都可能成为潜在受害者。信用冻结 (Credit Freeze) 可以防止他人以你的名义开设新的信用账户，是身份盗窃后的重要保护措施。定期检查银行和信用卡账单中的异常交易，以及设置交易提醒通知，可以帮助及早发现身份盗窃行为。

利用 Web 应用漏洞在用户浏览器中执行恶意脚本的攻击。分为反射型 (通过 URL 参数)、存储型 (保存在数据库中)、DOM 型 (在客户端发生) 三种。输入值清理和 Content-Security-Policy 头的正确设置是主要防御措施。长期位列 OWASP Top 10 的代表性 Web 漏洞，被用于窃取 Cookie 和会话劫持。React 和 Vue.js 等现代框架默认进行输出转义，降低了 XSS 风险。

利用已认证用户的浏览器，在用户不知情的情况下向 Web 应用发送恶意请求的攻击。仅浏览攻击者准备的陷阱页面，就可能执行密码更改或转账等操作。CSRF 令牌验证和 SameSite Cookie 属性设置是有效对策。SameSite=Lax 已成为现代浏览器的默认值，基本的 CSRF 攻击可被自动防御。但使用 GET 请求进行状态变更的设计仍然脆弱，重要操作应结合 POST 方法和 CSRF 令牌。

通过在 Web 应用的输入字段中插入恶意 SQL 语句来操纵数据库的攻击。可能导致认证绕过、数据窃取、篡改和删除。预处理语句 (参数化查询) 是最有效的防御措施。长期位列 OWASP Top 10，截至 2023 年仍存在于许多 Web 应用中。即使使用 ORM (对象关系映射)，直接拼接原始 SQL 的地方仍可能产生漏洞。WAF 对输入模式的检测也是有效的辅助防御手段。盲注 (Blind SQL Injection) 即使不返回错误信息也能提取数据，通过观察响应时间或布尔条件来推断数据库内容。定期进行代码审计和使用自动化扫描工具是发现 SQL 注入漏洞的有效方法。

控制 Web 浏览器允许从不同源 (域名、协议、端口的组合) 加载资源的安全机制。服务器通过返回适当的 CORS 头来仅接受允许源的请求。在 Access-Control-Allow-Origin 中设置通配符 (*) 会允许所有源访问，生产环境应指定具体域名。不理解预检请求 (OPTIONS) 机制的话，API 开发时经常会遇到 CORS 错误。正确配置 CORS 是 Web 安全的重要环节。在开发环境中常见的做法是设置宽松的 CORS 策略以方便调试，但务必在部署到生产环境前收紧配置。

通过 HTTP 响应头限制 Web 页面可加载资源 (脚本、样式表、图像等) 来源的安全策略。可大幅减轻 XSS 攻击的影响，控制内联脚本执行和数据外发。分阶段引入时 report-only 模式很有用，可事先了解对现有网站的影响。基于 nonce 或 hash 的策略可实现仅允许授权脚本执行的精确控制。设置过严可能导致第三方组件和广告无法运行，因此建议逐步应用。CSP 违规报告功能可以帮助网站运营者了解哪些资源加载被阻止，从而逐步完善策略。strict-dynamic 关键字简化了对动态加载脚本的管理。

在透明的 iframe 中加载目标网站，诱导用户在不知情的情况下点击的攻击。社交媒体的「点赞」按钮和设置更改按钮常成为目标。通过 X-Frame-Options 头或 CSP 的 frame-ancestors 指令来防范。用户看不到的透明层下放置攻击者的页面，受害者以为在操作正规网站，实际执行了攻击者意图的操作。伪装摄像头和麦克风权限对话框的「UI 重定向」也属于同类攻击。现代浏览器对 X-Frame-Options 的支持已非常完善，但 CSP 的 frame-ancestors 指令提供了更灵活的控制能力，支持多个允许的源。

指示浏览器仅通过 HTTPS 连接到网站的安全机制。通过 HTTP 响应头设置，防止协议降级攻击和 Cookie 劫持。预加载列表可在首次访问时就强制 HTTPS，无需等待服务器响应。HSTS 的 max-age 参数指定策略有效期，建议设置为至少一年 (31536000 秒)。includeSubDomains 指令可将保护扩展到所有子域名。配置不当可能导致网站无法访问，因此应从较短的 max-age 开始逐步增加。

专门保护 Web 应用免受攻击的防火墙。检测和阻止 SQL 注入、XSS、DDoS 等攻击。基于规则和基于机器学习的检测方式并存。AWS WAF 和 Cloudflare 是代表性服务。与传统网络防火墙不同，WAF 在应用层 (第 7 层) 检查 HTTP/HTTPS 流量，可识别更复杂的攻击模式。托管规则集可快速部署基本防护，自定义规则则可针对特定应用的威胁进行精细调整。WAF 的误报管理是运维中的重要挑战，过于严格的规则可能阻止合法用户的正常请求。定期审查和调优 WAF 规则是确保安全与可用性平衡的关键。

控制智能手机应用可以访问的信息和功能的机制。包括位置信息、相机、麦克风、通讯录等权限。仅授予必要的最小权限，定期审查权限设置对保护隐私很重要。许多应用请求超出其功能所需的权限，例如手电筒应用请求通讯录访问权限就明显不合理。iOS 和 Android 都提供了按应用查看和管理权限的功能。建议每月检查一次应用权限，撤销不再需要的权限授予。Android 12 引入了大致位置权限选项，允许用户仅共享大致位置而非精确坐标。iOS 的隐私报告功能可以显示应用在过去 7 天内访问敏感数据的频率，帮助用户识别过度收集数据的应用。

保护连接互联网的设备 (智能家居、可穿戴设备等) 免受网络攻击的措施。许多 IoT 设备安全功能有限，使用默认密码且缺乏更新机制，容易成为僵尸网络的一部分。Mirai 僵尸网络事件中，数十万台 IoT 设备被利用发起大规模 DDoS 攻击。固件更新、更改默认密码和网络隔离 (将 IoT 设备放在独立的网络段) 是基本对策。购买设备时应确认制造商的安全更新支持政策。购买 IoT 设备时应优先选择支持自动固件更新和使用加密通信协议的产品。将 IoT 设备连接到独立的访客网络可以防止被入侵的设备访问主网络中的敏感数据。

智能音箱、安防摄像头、智能家电等智能家居设备收集的数据相关的隐私问题。语音数据和行为模式可能被发送到云端并长期保存。智能音箱的误唤醒导致私人对话被录制的事件已有报告。设备选择时应确认数据处理政策，定期审查隐私设置。关闭不需要的数据共享功能、定期删除语音历史记录是保护隐私的实用措施。选择支持本地处理 (而非云端处理) 的智能家居设备可以减少数据外传的风险。Home Assistant 等开源智能家居平台允许用户完全控制数据的存储和处理位置。定期检查设备的固件更新和安全公告，及时修补已知漏洞。使用强密码和双因素认证保护智能家居管理账户也是基本的安全措施。

Apple 在 iOS 14.5 中引入的功能，要求应用在追踪用户前获得明确许可。用户可以选择允许或拒绝每个应用的追踪请求。对广告行业产生了重大影响，据报告约 80% 的用户选择拒绝追踪。这迫使广告商转向基于上下文的广告和第一方数据策略。Google 也在 Android 上推进类似的隐私保护措施 (Privacy Sandbox)。这一变化标志着移动广告生态系统向更注重隐私的方向转变。开发者需要适应后 ATT 时代的广告生态，转向基于聚合数据和隐私保护技术的广告测量方案。

对智能手机或电脑存储的数据进行加密，在设备丢失或被盗时保护数据的功能。iOS 和 Android 默认启用全盘加密，没有解锁凭证就无法访问数据。Windows 提供 BitLocker，macOS 提供 FileVault 作为全盘加密方案。加密不仅保护个人隐私，在企业环境中也是合规要求。需要注意的是，加密只在设备锁定状态下有效，解锁后数据可被正常访问。设置强密码或生物认证是加密发挥作用的前提。全盘加密对设备性能的影响在现代硬件上已经微乎其微，因此没有理由不启用。企业应将设备加密作为安全基线要求纳入设备管理策略。

在智能手机或平板电脑上使用的 VPN。在公共 Wi-Fi 环境中保护通信，隐藏 IP 地址。IKEv2 协议特别适合移动环境，在 Wi-Fi 和移动数据网络切换时能快速重新连接，不会中断 VPN 保护。选择移动 VPN 时应关注电池消耗、数据使用量和连接稳定性。部分 VPN 应用可能请求过多权限或包含追踪代码，应选择信誉良好的提供商。始终开启 VPN 的「自动连接」功能可确保在任何网络环境下都受到保护。

通过社会工程学手段说服运营商将受害者的电话号码转移到攻击者的 SIM 卡上的攻击。攻击者可以接收短信验证码，突破基于短信的双因素认证，进而访问银行账户和社交媒体。近年来此类攻击案例显著增加，造成的经济损失可达数百万元。使用认证应用 (TOTP) 或硬件安全密钥代替短信认证是最有效的对策。向运营商申请 SIM 卡锁定或设置额外的安全 PIN 也能提供保护。部分运营商提供 SIM 卡锁定服务，要求本人携带身份证件到营业厅才能办理 SIM 卡变更。eSIM 技术在一定程度上降低了物理 SIM 卡被交换的风险，但远程 eSIM 配置仍可能被社会工程学攻击利用。

集中管理和保护组织内移动设备的系统。可以远程擦除丢失设备的数据、强制加密、限制应用安装、配置 VPN 和 Wi-Fi 设置等。在 BYOD (自带设备) 环境中，如何平衡企业安全需求和员工个人隐私是主要课题。容器化技术可将工作数据和个人数据隔离，在同一设备上实现两者的共存。Microsoft Intune 和 VMware Workspace ONE 是企业中广泛使用的 MDM 解决方案。零接触部署 (Zero-Touch Enrollment) 允许新设备开箱即自动注册到 MDM 系统，简化了大规模设备部署流程。

保护存储在云服务中的数据的措施。包括传输加密、静态加密、访问控制、多因素认证等。了解服务提供商的安全认证 (SOC 2、ISO 27001) 和数据存储位置也很重要。零知识加密的服务即使提供商也无法访问用户数据，提供最高级别的隐私保护。共享链接的权限设置不当是常见的数据泄露原因，应定期审查共享设置。企业使用时需确认数据主权和合规要求。多云环境中的数据安全管理更加复杂，需要统一的安全策略和跨平台的访问控制。定期审计云存储的访问日志和共享设置，可以发现潜在的安全风险和未授权的数据访问。

在不透露信息本身的情况下证明拥有该信息的密码学技术。应用于隐私保护认证和区块链领域。零知识加密的云存储服务即使提供商也无法访问用户数据，从根本上消除了服务端数据泄露的风险。Tresorit 和 SpiderOak 等服务采用此技术。缺点是忘记密码将永久无法恢复数据，因为提供商也没有解密能力。在隐私法规日益严格的背景下，零知识架构的重要性正在提升。在区块链领域，零知识证明被用于实现隐私交易，如 Zcash 使用 zk-SNARKs 技术。随着计算效率的提升，零知识证明在身份验证和数据共享等更广泛的场景中的应用前景日益广阔。

将数据保存 3 份副本，使用 2 种不同存储介质，其中 1 份保存在异地的备份最佳实践。是勒索软件对策的基础，即使本地数据被加密，异地备份仍可用于恢复。定期测试恢复过程也很重要，未经验证的备份在紧急时刻可能无法使用。云备份和本地 NAS 的组合是个人用户的实用方案。企业环境中还应考虑备份数据的加密和访问控制，防止备份本身成为攻击目标。进阶版的 3-2-1-1-0 规则增加了一份不可变备份和零错误验证的要求。不可变备份 (Immutable Backup) 无法被修改或删除，即使攻击者获得管理员权限也无法破坏，是对抗勒索软件的最后防线。

将数据转换为没有密钥就无法读取的形式的技术。分为传输中加密 (TLS) 和静态加密 (AES) 两种。全盘加密保护设备丢失时的数据，文件级加密保护特定文件。AES-256 是目前最广泛使用的对称加密算法，被认为在可预见的未来内不可破解。加密密钥的安全管理与加密本身同样重要，密钥泄露等同于加密失效。在云环境中，客户端加密 (上传前加密) 提供比服务端加密更强的保护。全同态加密 (FHE) 允许在加密数据上直接进行计算，无需先解密，是隐私计算领域的前沿技术。虽然目前性能开销较大，但随着硬件加速的发展，实用化前景可期。

不信任网络内外任何访问，始终验证的安全模型。「永不信任，始终验证」是基本原则。对每次访问进行认证和授权，实现最小权限原则。传统的边界防御模型假设内部网络是安全的，但远程办公和云服务的普及使这一假设不再成立。零信任架构要求持续验证用户身份、设备状态和访问上下文。Google 的 BeyondCorp 是零信任实践的先驱案例。个人层面也可通过启用多因素认证和最小权限原则来实践零信任思维。实施零信任需要身份验证、设备健康检查、网络微分段和持续监控等多个组件的协同工作。

安全地与他人共享文件的方法和工具。端到端加密、访问权限设置、链接过期、密码保护等功能很重要。避免使用不加密的邮件附件共享敏感文件，因为邮件在传输和存储过程中可能被截获。企业级文件共享平台提供审计日志和数据丢失防护 (DLP) 功能。个人用户可使用支持零知识加密的云存储服务。共享链接设置为「任何人可访问」是常见的安全疏忽，应始终限制为特定收件人。对于一次性文件传输，Firefox Send (已停止) 的替代品如 OnionShare 和 Wormhole 提供了简单安全的端到端加密文件传输。设置文件下载次数限制和自动过期时间可以减少敏感文件长期暴露的风险。

监控暗网 (通过 Tor 等访问的匿名网络) 上是否有自己的个人信息被泄露的服务。检测邮箱地址、密码、信用卡信息等的泄露。Have I Been Pwned 是代表性的免费工具，可检查邮箱是否出现在已知的数据泄露中。许多密码管理器和安全软件也内置了暗网监控功能。发现泄露后应立即更改相关密码并启用双因素认证。企业可使用专业的威胁情报服务进行更全面的暗网监控。暗网上的数据交易通常使用加密货币进行，增加了追踪难度。企业级暗网监控服务可以监控品牌名称、域名和高管个人信息的泄露情况，提供更全面的威胁预警。

使已删除数据无法恢复的技术。普通删除只是移除文件系统的引用，数据本身仍然存在于存储介质上，可通过数据恢复工具找回。多次覆写、加密擦除和物理销毁是主要方法。SSD 由于磨损均衡机制，传统覆写方法可能不完全有效，应使用制造商提供的安全擦除命令。处置旧设备 (出售、捐赠、回收) 前必须执行安全删除。企业环境中，数据清除应遵循 NIST SP 800-88 等标准。云存储中的数据删除更加复杂，因为数据可能分布在多个物理位置的多个副本中。确认云服务提供商的数据删除政策和流程是保护敏感数据的重要步骤。

检测、分析安全事件并将损害降至最低的系统化过程。按照准备、检测、遏制、根除、恢复、总结的流程进行。事先制定事件响应计划对迅速应对至关重要。没有预案的组织在遭受攻击时往往陷入混乱，导致损害扩大。响应时间直接影响损失规模，研究表明在 200 天内发现泄露的组织比更晚发现的组织平均节省数百万美元的损失。定期进行桌面演练和模拟攻击可以检验计划的有效性。自动化事件响应 (SOAR) 平台可以将常见的响应流程自动化，缩短响应时间并减少人为错误。事件响应计划应包括与法律顾问、公关团队和监管机构的沟通流程。

收集、保全和分析数字证据的技术领域。用于网络犯罪调查和事件原因分析。保持证据链的完整性是核心要求，任何对原始证据的修改都可能使其在法律程序中失效。取证工具如 EnCase 和 FTK 可以恢复已删除的文件、分析日志和重建事件时间线。内存取证可以捕获运行中的恶意软件和加密密钥等易失性数据。企业应在事件发生前就建立取证准备机制，包括日志保留策略和取证工具的预部署。云环境中的取证面临独特挑战，因为传统的磁盘镜像方法不适用于虚拟化环境。云取证需要利用云服务提供商的 API 和日志服务来收集证据。

负责组织内安全事件应对的专门团队。进行事件检测、分析、应对和与外部协调。JPCERT/CC 是日本的代表性 CSIRT，CERT/CC 是美国的对应机构。CSIRT 不仅在事件发生时响应，还负责日常的威胁监控、漏洞管理和安全意识培训。建立有效的 CSIRT 需要明确的职责分工、升级流程和与管理层的沟通渠道。中小企业可以通过外包 SOC (安全运营中心) 服务来获得类似的能力。FIRST (Forum of Incident Response and Security Teams) 是全球 CSIRT 社区的协调组织，促进成员间的信息共享和协作。

关于网络威胁的信息收集和分析活动。包括攻击者的手法 (TTP)、使用的恶意软件、攻击指标 (IoC) 等。利用威胁情报可以实现主动防御，在攻击发生前采取预防措施。MITRE ATT&CK 框架提供了系统化的攻击技术分类。威胁情报分为战略级 (面向管理层的趋势分析)、战术级 (面向安全团队的技术细节) 和运营级 (面向自动化系统的 IoC) 三个层次。开源情报 (OSINT) 和商业情报服务的结合使用可以构建全面的威胁视图。

模拟攻击者的手法，验证系统和网络安全性的测试。发现漏洞并在被恶意利用之前修复。分为黑盒 (无信息)、白盒 (有完整信息) 和灰盒测试三种类型。与自动化漏洞扫描不同，渗透测试由专业人员手动执行，可以发现复杂的逻辑漏洞和业务流程缺陷。测试范围和规则应事先明确约定，避免对生产环境造成意外影响。PCI DSS 等合规标准要求定期进行渗透测试。红队演练 (Red Team Exercise) 比传统渗透测试更全面，模拟真实攻击者的完整攻击链，包括社会工程学和物理安全测试。紫队演练则让攻击团队和防御团队协作，共同提升组织的安全能力。

集中收集和分析来自多个安全设备和系统的日志，实时检测威胁的平台。通过关联分析发现单个日志无法检测的攻击模式。Splunk 和 Elastic SIEM 是代表性产品。SIEM 的价值在于将分散的安全数据整合为统一视图，使安全团队能够快速识别和响应威胁。机器学习增强的 SIEM 可以检测异常行为模式，减少误报。部署 SIEM 的挑战包括日志量的管理、规则调优和专业人员的需求。云原生 SIEM 解决方案 (如 Microsoft Sentinel 和 Google Chronicle) 提供弹性扩展能力，适合处理大规模日志数据。

系统地发现、评估和修复系统漏洞的过程。使用 CVE (通用漏洞披露) 识别漏洞，通过 CVSS 评分评估严重性。定期扫描和及时打补丁是基本措施。CVSS 评分 9.0 以上的严重漏洞应在 24 小时内修复。自动化补丁管理工具可以减轻运维负担，但关键系统的补丁应先在测试环境验证。漏洞披露到被利用的时间窗口正在缩短，从数周缩短到数天甚至数小时，使得快速响应能力愈发重要。漏洞优先级技术 (VPT) 结合漏洞严重性、资产重要性和威胁情报来确定修复优先级，比单纯依赖 CVSS 评分更加有效。

在灾害或网络攻击等紧急情况下维持或迅速恢复业务的计划。包括系统冗余、数据备份、替代办公场所、通信手段确保等。定期演练和更新不可或缺。RTO (恢复时间目标) 和 RPO (恢复点目标) 是 BCP 的核心指标，决定了可接受的停机时间和数据丢失量。勒索软件攻击使 BCP 的重要性更加突出，因为传统的灾难恢复计划可能不足以应对有针对性的网络攻击。云服务的多区域部署和自动故障转移是现代 BCP 的重要组成部分。

故意设置的看似有漏洞的系统或服务器，用于引诱攻击者并观察其行为的安全工具。收集攻击手法和恶意软件样本，用于威胁情报分析。需要与生产环境严格隔离运行，防止攻击者以蜜罐为跳板入侵真实系统。蜜罐分为低交互型 (模拟有限服务) 和高交互型 (运行真实系统) 两种，后者能收集更详细的攻击信息但风险也更高。蜜网 (Honeynet) 是由多个蜜罐组成的网络，可以模拟更真实的企业环境。现代欺骗技术 (Deception Technology) 将蜜罐的概念扩展到整个网络，在生产环境中部署虚假资产和凭证来检测横向移动。

通过代码定义和管理服务器、网络等基础设施的方法。Terraform、CloudFormation、Pulumi 等工具实现基础设施的版本管理和自动化部署，消除手动配置错误，确保环境一致性。基础设施变更可以像应用代码一样进行代码审查和测试。GitOps 工作流将 Git 仓库作为基础设施状态的唯一真实来源。安全方面，IaC 模板的静态分析可以在部署前发现配置错误和安全漏洞，如 Checkov 和 tfsec 等工具。

保护 Docker 和 Kubernetes 等容器环境的安全措施。包括镜像漏洞扫描、运行时保护、网络策略、密钥管理等。容器的不可变性有助于安全，但配置不当会带来风险。以 root 用户运行容器、使用未经验证的基础镜像、暴露 Docker socket 是常见的安全隐患。Trivy 和 Snyk Container 等工具可在 CI/CD 流水线中自动扫描镜像漏洞。Kubernetes 的 RBAC、网络策略和 Pod 安全标准是集群安全的三大支柱。

管理用户身份并控制对系统和数据的访问权限的框架。实现最小权限原则，仅授予执行工作所需的最小权限。AWS IAM 和 Azure AD 是代表性的云 IAM 服务。过度授权是云安全事件的首要原因之一，定期审查和清理未使用的权限至关重要。基于角色的访问控制 (RBAC) 和基于属性的访问控制 (ABAC) 是两种主要的权限管理模型。IAM 策略的错误配置可能导致整个云环境暴露，因此应使用自动化工具持续监控。

安全地管理 API 密钥、数据库密码、证书等敏感信息的实践。避免在源代码中硬编码，使用 AWS Secrets Manager 和 HashiCorp Vault 等专用工具。自动轮换降低泄露风险。GitHub 上公开仓库中意外提交的 API 密钥在数分钟内就会被自动化扫描器发现并滥用。git-secrets 等工具可以在提交前检测敏感信息。密钥的生命周期管理 (创建、分发、轮换、撤销) 应有明确的流程和自动化支持。

将网络划分为多个段，限制段间通信的安全手法。即使一个段被入侵，也能防止攻击扩散到其他段，实现「爆炸半径」的最小化。微分段在云环境中实现更细粒度的控制，可以在工作负载级别定义安全策略。传统的 VLAN 分段在物理网络中仍然有效，但云原生环境更适合使用安全组和网络策略。零信任架构将网络分段的理念推向极致，对每个访问请求都进行独立验证。软件定义网络 (SDN) 使网络分段的实施和管理更加灵活，可以根据安全策略动态调整网络拓扑。在混合云环境中，一致的分段策略需要跨越本地数据中心和多个云平台，这对网络架构设计提出了更高的要求。

在全球分布的服务器上缓存内容，从离用户最近的服务器提供服务的网络。提高网站显示速度，同时具有 DDoS 攻击缓解和 WAF 功能等安全优势。CloudFront 和 Cloudflare 是代表性服务。CDN 不仅加速静态内容，还可以通过边缘计算处理动态请求。SSL/TLS 终端在 CDN 边缘节点完成，减轻源站负担。配置不当可能导致缓存投毒攻击，敏感数据被缓存等安全问题，因此缓存策略的正确设置至关重要。

云服务提供商和用户之间关于安全责任分担的框架。提供商负责基础设施安全 (物理安全、网络、虚拟化层)，用户负责数据和访问管理。IaaS、PaaS、SaaS 各层的责任范围不同，SaaS 中用户的责任最小，IaaS 中最大。常见误解是认为「上云就安全了」，实际上云中的安全事件大多源于用户侧的配置错误。理解共享责任模型是云安全的第一步，有助于明确哪些安全措施需要自己实施。AWS、Azure 和 GCP 各自发布了详细的共享责任模型文档，明确了每一层的安全责任划分。定期审查和理解这些文档是云安全管理的基础工作。

AWS Lambda 等无服务器环境特有的安全考虑。函数权限的最小化、依赖项漏洞管理、输入验证等是重点。虽然无需管理服务器补丁和操作系统安全，但应用层安全仍是用户的责任。每个函数应遵循最小权限原则，仅授予执行所需的 IAM 权限。冷启动时的依赖注入攻击和事件数据注入是无服务器特有的威胁。函数超时设置和并发限制可以防止资源滥用和拒绝服务攻击。无服务器环境中的日志和监控需要特别关注，因为传统的服务器级监控工具不适用。AWS X-Ray 和 CloudWatch Logs Insights 等工具可以帮助追踪函数执行和识别异常行为。依赖项的定期更新和漏洞扫描在无服务器环境中同样重要。

防止敏感数据从组织外部泄露的技术和策略。监控和控制邮件、云存储、USB 设备等数据传输渠道。通过内容检查检测信用卡号、身份证号和个人信息等敏感数据。DLP 策略应根据数据分类级别 (公开、内部、机密、绝密) 设定不同的保护措施。端点 DLP 监控用户设备上的数据操作，网络 DLP 检查传输中的数据，云 DLP 保护云服务中的数据。误报率的管理是 DLP 部署的主要挑战，过严的策略会影响工作效率。机器学习增强的 DLP 可以识别非结构化数据中的敏感信息，如图片中的身份证号或手写文档中的个人信息。