术语表

分配给连接到互联网的设备的唯一标识号。分为 IPv4 (32 位，约 43 亿个) 和 IPv6 (128 位，数量几乎无限) 两种。是 Web 通信和网络管理的基础技术，对于确定通信对象不可或缺。通过 IP 地址可以推测国家和地区级别的位置信息，但无法确定个人住所。使用 VPN 或代理可以更改对外显示的 IP 地址，从而保护隐私。理解全局 IP 和私有 IP 的区别，对于排查网络故障非常重要。全局 IP 地址由 ISP 分配，在互联网上唯一标识设备；私有 IP 地址则在局域网内使用，不会直接暴露在互联网上。

为解决 IPv4 地址枯竭问题而设计的下一代互联网协议。拥有 128 位地址空间，可为几乎无限数量的设备分配唯一地址。隐私扩展地址 (RFC 8981) 有助于降低基于 MAC 地址的追踪风险。常见误解是「IPv6 比 IPv4 更安全」，但加密功能由 TLS 等上层协议承担，而非协议本身。随着物联网设备的爆发式增长，IPv6 的普及正在加速，许多运营商已默认提供 IPv6 连接，用户可通过 IPoE 连接获得更快的网络速度。

将人类可读的域名 (如 example.com) 转换为计算机可理解的 IP 地址的系统，被比喻为互联网的电话簿。每次浏览网页时，后台都会发生 DNS 查询。传统的 DNS 查询未加密，ISP 和网络管理员可以看到用户的浏览目标。DNS over HTTPS (DoH) 和 DNS over TLS (DoT) 等加密技术可以解决这一问题。此外，DNS 缓存投毒攻击可以将用户引导至伪造网站，是一种需要警惕的安全威胁。

根据 IP 地址推测大致地理位置信息 (国家、地区、城市) 的技术。广泛用于广告投放、内容本地化和异常访问检测。MaxMind 的 GeoLite2 是代表性的免费数据库，国家级别几乎都能准确判定，但城市级别可能存在数十公里的误差。使用 VPN 或代理时，GeoIP 结果显示的是服务器所在地而非用户实际位置。常见误解是「通过 IP 地址可以定位到家庭住址」，实际上 GeoIP 只能确定到 ISP 节点级别的信息。

在私有 IP 地址和全局 IP 地址之间进行相互转换的技术。家庭和办公室路由器广泛使用 NAT，使多台设备共享一个全局 IP 地址连接互联网，有效缓解了 IPv4 地址枯竭问题。NAT 还具有阻止外部直接访问内部网络的附带安全效果，但不能替代防火墙。P2P 通信或在线游戏出现连接问题时，往往与 NAT 类型设置有关。随着 IPv6 的普及，NAT 的必要性正在逐渐降低。端口地址转换 (PAT) 是 NAT 最常见的实现方式，通过端口号区分不同设备的连接。理解 NAT 的工作原理对于配置端口转发和解决远程访问问题至关重要。

即使使用 VPN 或代理，DNS 查询仍绕过加密隧道直接发送到 ISP 的 DNS 服务器的现象，导致浏览目标信息泄露给 ISP 或第三方。VPN 配置不当或操作系统的 DNS 解析顺序是常见原因。专用的泄露测试工具可以检测此问题，部署 VPN 后应立即进行检查。Windows 的「智能多宿主名称解析」功能会向已连接的所有网络并行发送名称解析请求，因此容易导致查询泄漏到 VPN 隧道之外。对策包括明确指定 VPN 提供商的 DNS 服务器，或同时启用 DNS over HTTPS。与 WebRTC 泄露并列为 VPN 使用时的主要隐私风险。

通过 HTTPS 协议加密 DNS 查询的技术。与传统的明文 DNS 不同，可以防止 ISP 和网络管理员窥探或篡改 DNS 流量。Chrome、Firefox、Edge 等主流浏览器已内置支持，可在设置中启用。类似技术 DNS over TLS (DoT) 使用端口 853，容易被封锁；而 DoH 使用端口 443 混入 HTTPS 流量中，具有更强的抗审查能力。在企业网络中，管理员可能会限制 DoH 以维持基于 DNS 的过滤策略。

自动为网络上的设备分配 IP 地址、子网掩码、默认网关和 DNS 服务器等配置信息的协议。家庭路由器大多内置 DHCP 服务器功能，手机或电脑连接后即可自动完成网络配置，无需手动设置。DHCP 采用租约机制，一定时间后地址会被重新分配，因此同一设备的 IP 地址可能会发生变化。需要注意的是，DHCP 欺骗攻击可以通过伪造的 DHCP 服务器分发恶意配置，从而拦截网络通信。企业网络中通常部署专用的 DHCP 服务器，支持地址保留和范围管理等高级功能。静态 IP 分配适用于服务器和网络设备等需要固定地址的场景。

控制网络之间数据传输的通信设备。在家庭中，Wi-Fi 路由器负责连接互联网和家庭网络。NAT 功能允许多个设备共享一个全局 IP 地址，防火墙功能阻止外部未授权访问。从安全角度来看，定期更新路由器固件和修改默认管理密码非常重要。企业级路由器还具备 VLAN 划分和 QoS 流量控制等高级功能，可以有效管理网络资源分配。路由器的 DNS 设置如果被篡改，可能导致用户被重定向到恶意网站，因此建议使用可信的 DNS 服务器并定期检查路由器配置。

无线局域网通信标准的品牌名。基于 IEEE 802.11 标准，通过路由器将设备连接到互联网。在家庭、办公室和咖啡厅等各处使用。公共 Wi-Fi 方便但存在窃听和伪热点风险，建议使用 VPN。Wi-Fi 6 (802.11ax) 及更新版本改善了多设备同时连接时的性能表现，WPA3 加密协议提供了比 WPA2 更强的安全保护。选择 Wi-Fi 网络时应确认网络名称的真实性，避免连接名称相似的恶意热点。家庭 Wi-Fi 建议设置强密码并隐藏 SSID 以降低被未授权访问的风险。

为个人和企业提供互联网接入服务的运营商。ISP 负责 IP 地址分配、DNS 服务器提供和流量路由，是互联网连接的基础。接入方式包括光纤 (FTTH)、有线电视 (CATV)、移动网络 (4G/5G) 和 DSL，各有不同的速度和稳定性特征。虽然 ISP 在法律上有义务保护通信隐私，但从技术上可以观察到用户连接的目标域名和连接时间。使用 VPN 或 DNS over HTTPS 可以最大限度减少 ISP 可见的信息。选择 ISP 时，不应仅看标称最大速度，还需考虑高峰时段的实际速度、是否支持 IPv6 IPoE、总费用和服务质量等因素。

互联网上不同网络 (自治系统，AS) 之间交换路由信息的协议。在数万个 AS 相互连接的互联网中，BGP 决定数据包通过哪条路径到达目的地。由于 BGP 在设计上不验证路由通告的合法性，因此存在 BGP 劫持攻击的风险，攻击者可以非法通告不属于自己的 IP 前缀来截获流量。RPKI 通过加密方式验证路由来源的合法性，是当前的主要应对措施，但未签发 ROA 的前缀不在验证范围内，因此无法实现完全防护。大规模 BGP 故障可导致整个地区或服务从互联网上消失。

数据从发送端到达目的地所需的时间延迟，以毫秒 (ms) 为单位衡量，数值越小表示响应越快。物理距离、经过的路由器数量和服务器处理时间是影响延迟的主要因素。延迟与带宽是相互独立的指标，即使拥有高速连接，访问远距离服务器时延迟仍然会很高。对于在线游戏、视频会议和直播等实时应用，降低延迟至关重要。CDN 和边缘计算通过将内容和计算推送到离用户更近的位置来有效减少延迟。使用 ping 和 traceroute 等工具可以测量和诊断网络延迟问题。

端口号是网络通信中用于识别应用程序和服务的数值标识符，范围从 0 到 65535。如果将 IP 地址比作建筑物的地址，那么端口号就相当于建筑物内的房间号。主要协议都有分配的知名端口：HTTP 使用 80，HTTPS 使用 443，SSH 使用 22。基于防火墙的端口控制是网络安全的基础，关闭不必要的端口可以直接减少攻击面。端口扫描是攻击者常用的侦察手段，通过探测目标服务器的开放端口来寻找入侵途径。

CIDR（无类别域间路由）是一种灵活指定 IP 地址网络部分和主机部分边界的表示法，以 192.168.1.0/24 的形式书写，斜杠后的数字（前缀长度）表示网络部分的位数。1993 年引入以取代低效的有类地址分配方案，大幅减少了 IP 地址浪费和路由表膨胀。/24 对应 254 个地址，/16 约 6.5 万个，/8 约 1677 万个。在 AWS 安全组和 VPC 设计中广泛使用，是云基础设施工程的必备知识。子网掩码以不同格式表达相同信息，/24 等于 255.255.255.0。

通过加密互联网通信并经由其他位置的服务器中转，保护实际 IP 地址和通信内容的技术。在使用公共 Wi-Fi 或绕过地理限制时有效，但 VPN 提供商的可信度至关重要。免费 VPN 存在记录和出售用户数据的风险，因此推荐选择承诺无日志政策的付费服务。即使使用 VPN，DNS 泄露或 WebRTC 泄露仍可能暴露 IP 地址，部署后的泄露测试必不可少。企业中也广泛用于远程访问内部网络。选择 VPN 服务时，应关注服务器分布、连接速度、同时连接设备数和是否支持 Kill Switch 等功能。企业 VPN 和个人 VPN 的使用场景和安全需求有所不同。

位于客户端和互联网之间，中转通信的服务器。用于隐藏 IP 地址和内容过滤。与 VPN 不同，代理不加密整个通信，因此安全保护有限。HTTP 代理仅处理 Web 浏览流量，SOCKS 代理可处理各种协议。企业常用代理来记录访问日志和过滤恶意软件。免费公开代理存在通信被窃听的风险，选择可信的提供商至关重要。根据使用场景选择代理还是 VPN，是保护网络隐私的重要决策。透明代理在用户不知情的情况下运行，常用于企业网络的内容过滤。反向代理则位于服务器端，用于负载均衡和缓存加速。

通过多个中继服务器对通信进行多层加密，实现高度匿名性的网络。每个中继只知道通信路径的一部分，使得追溯发送方和接收方极为困难。通信速度下降是主要缺点，不适合视频观看和大文件下载。使用 Tor Browser 无需特殊配置即可接入 Tor 网络。记者和人权活动人士将其作为规避审查的工具，同时也是访问暗网的途径。VPN 与 Tor 组合使用的「Tor over VPN」配置可进一步提高匿名性。出口节点是 Tor 网络中最脆弱的环节，因为此处的通信已被解密。因此在使用 Tor 时仍应确保访问 HTTPS 网站。

当 VPN 连接意外断开时，自动切断所有互联网通信的安全功能。防止在 VPN 断开瞬间真实 IP 地址暴露，确保隐私保护的连续性。可靠的 VPN 服务通常将其作为标准功能提供。Kill Switch 分为应用级 (仅切断特定应用通信) 和系统级 (切断整个网络) 两种类型，后者保护范围更广，可防止后台进程的泄露。在种子下载或记者采访等 IP 暴露后果严重的场景中，此功能不可或缺。选择 VPN 服务时，应确认 Kill Switch 功能是否默认启用，以及是否支持系统级保护。部分 VPN 客户端还提供自定义规则，允许指定哪些应用在 VPN 断开时被阻止。

定义 VPN 连接建立方式和加密方法的通信规约。WireGuard 以高速、轻量和代码量少便于审计著称；OpenVPN 拥有高兼容性和 20 多年的实践经验；IPsec/IKEv2 在移动环境中表现稳定，Wi-Fi 和移动数据切换时能保持连接。PPTP 和 L2TP/IPsec 是旧一代协议，存在已知漏洞，不推荐新部署使用。选择 VPN 服务时，确认支持的协议是重要的判断标准，协议选择直接影响速度和安全性。

VPN 连接时，仅将特定应用或目标的通信通过 VPN 隧道路由，其余通信直接连接互联网的技术。可在保护需要保护的通信的同时，为不需要 VPN 的服务保持高速连接，并允许访问本地网络资源 (如打印机和 NAS)。配置不当可能导致应受保护的通信绕过 VPN，产生隐私风险。远程办公场景中，通常将业务通信通过 VPN，视频流媒体等直接连接。部分 VPN 提供商支持按应用或 URL 进行精细控制。安全性要求较高的场景应避免使用分割隧道，确保所有流量都通过 VPN 保护。部分企业安全策略明确禁止分割隧道的使用。

在 OSI 模型会话层工作的通用代理协议。与 HTTP 代理不同，可中转 TCP 和 UDP 的任意流量，适用于邮件、FTP、P2P 等多种应用。SOCKS5 支持认证功能和 UDP，也被用于 Tor 网络的本地连接。SOCKS 代理本身不加密通信内容，需要机密性时应与 SSH 隧道或 TLS 结合使用。相比 VPN 开销更小，适合只需中转特定应用通信的场景。在实际应用中，SOCKS5 代理常用于绕过网络限制和加速特定应用的连接。配置 SOCKS 代理时需要在应用程序级别进行设置，而非系统级别，这与 VPN 的全局保护方式不同。

隐藏 VPN 流量中协议特有特征、绕过深度包检测 (DPI) 对 VPN 的识别和封锁的技术。既有伪装成普通 HTTPS 通信的方式，也有转换为无特征随机字节序列的方式。在限制 VPN 使用的国家或网络环境中，用于确保通信自由。obfs4 和 Shadowsocks 是代表性实现。在中国的防火长城和俄罗斯的通信管制等国家级审查环境中，混淆技术被用作规避手段。支持混淆的 VPN 服务有限，出行前应确认服务的支持情况。由于通信开销增加，速度通常低于普通 VPN 连接。

网站保存在浏览器中的小型数据文件。分为用于维持登录状态和记忆设置的第一方 Cookie，以及用于跨站行为追踪的第三方 Cookie。由于对隐私的影响，GDPR 等法规要求使用 Cookie 前须获得用户明确同意。Safari 默认拦截第三方 Cookie，Firefox 则通过 Total Cookie Protection 按站点隔离第三方 Cookie，而 Chrome 已放弃淘汰计划，于 2025 年 4 月确认继续保留。定期清除 Cookie 可降低追踪风险，但同时会丢失登录信息和个性化设置，需要在隐私和便利性之间权衡。Cookie 的 HttpOnly 属性可防止 JavaScript 访问，Secure 属性确保仅通过 HTTPS 传输。理解这些安全属性有助于评估网站的 Cookie 安全实践。

通过浏览器设置、插件、屏幕分辨率、字体、时区等组合来识别用户的技术。即使删除 Cookie 也能追踪，因此作为隐私威胁备受关注。Canvas 和 AudioContext 的渲染结果、WebGL 信息也被用于识别。EFF 于 2010 年启动的 Panopticlick 初期调查显示，访问该项目的浏览器中有 83.6% 在当时可被唯一识别。Tor Browser 和 Brave 都内置了指纹防护功能，但思路相反：Tor Browser 统一所有用户的属性值，Brave 则按站点和会话改变属性值，以此降低识别精度。了解浏览器指纹的原理有助于选择合适的隐私保护策略。

实现浏览器间实时音视频通信的技术。用于视频通话和文件共享，但即使使用 VPN，本地 IP 地址也可能通过 WebRTC 泄露。STUN 服务器请求会暴露内部网络的 IP 地址，导致即使认为隐私受到 VPN 保护，实际 IP 仍可能被识别。Firefox 可在 about:config 中禁用 WebRTC，Chrome 需借助扩展程序防护，Brave 则可在设置中选择 WebRTC IP 处理策略，各浏览器可配置的范围并不相同。部署 VPN 后应立即进行 WebRTC 泄露测试。

从浏览器向网站传达「请不要追踪我」意愿的 HTTP 头部设置。但它不具法律约束力，是否响应取决于各网站自身的判断。2019 年 1 月 W3C 结束了标准化工作，Apple Safari 甚至删除了该功能本身。2020 年提出的 GPC（Global Privacy Control）被视为其后继方案，在美国加州法律下具有法律支撑，但要实现有效的追踪防护，仍需配合广告拦截器和浏览器的追踪防护功能。

嵌入网页或邮件中的 1x1 像素透明图像。加载时会向服务器发送请求，记录浏览者的 IP 地址、打开时间和设备信息，广泛用于邮件的打开确认和广告效果测量。也被称为网络信标或像素标签，与 Cookie 不同，它不会在本地留下可供用户删除的痕迹。在邮件客户端关闭「自动加载图片」即可防范，但要牺牲一部分便利性。2021 年推出的 Apple 邮件隐私保护会在后台预加载图片（无论是否打开邮件），因此邮件营销中打开率指标的可靠性正在下降。

在隔离环境中执行 Web 内容，防止恶意代码影响用户设备的安全技术。远程浏览器隔离 (RBI) 在云端虚拟环境中渲染页面，仅将画面信息传输给用户。对零日攻击和偷渡式下载具有很高的防御效果。在企业安全对策中被采用，可大幅降低员工访问未知网站时的风险。缺点是网络带宽消耗增加和延迟上升。本地隔离则在沙箱中执行，两种方式各有适用场景。对于处理高度敏感信息的组织，浏览器隔离可以作为零信任架构的重要组成部分。部分云安全服务 (如 Zscaler 和 Menlo Security) 提供集成的浏览器隔离功能，可与现有安全基础设施无缝配合。

由当前访问网站以外的域设置的 Cookie。广告网络利用第三方 Cookie 实现跨站用户行为追踪。Safari 默认完全阻止，Firefox 通过 Total Cookie Protection 按站点隔离，而 Chrome 于 2024 年撤回淘汰计划，并在 2025 年 4 月确认继续保留；作为替代开发的 Privacy Sandbox（Topics API 等）也已于 2025 年 10 月宣布废弃主要 API。上下文广告和第一方数据成为行业依赖的主要替代方案。理解第三方 Cookie 与第一方 Cookie 的区别，并适当管理浏览器的 Cookie 设置，是保护在线隐私的重要一步。

利用 HTML5 Canvas 元素绘制不可见图形并读取像素数据的哈希值来识别浏览器的技术。由于 GPU、驱动程序、操作系统和字体渲染的差异，每个浏览器的 Canvas 输出略有不同，因此具有很高的识别精度。作为不依赖 Cookie 的追踪手段在广告行业中被使用。CanvasBlocker 扩展可通过随机化渲染结果来防护。与 AudioContext 指纹结合使用可进一步提高识别精度。在浏览器指纹的各属性中，Canvas 指纹的信息熵特别高。

网页地址字符串。由协议 (https://)、域名和路径组成。是判断链接安全性的最重要线索。钓鱼攻击常使用与正规网站极为相似的域名来伪造 URL，因此在点击链接前仔细核对域名部分至关重要。URL 还可包含查询参数和片段标识符，分别用于传递追踪信息和定位页面内的特定内容。短链接服务会隐藏真实的目标地址，增加了安全验证的难度，使用前建议通过链接预览工具确认实际跳转目标。理解 URL 的结构有助于在日常上网中快速识别可疑链接，是网络安全素养的基本功。

用于显示网页的应用程序。解释从服务器接收的 HTML、CSS 和 JavaScript 并进行可视化渲染。Chrome、Safari、Edge 和 Firefox 是最常用的浏览器。现代浏览器内置了隐私浏览模式、Cookie 管理、弹窗拦截和密码保存等功能，是用户访问互联网的主要入口。不同浏览器使用不同的渲染引擎，可能导致网页显示效果存在差异。浏览器扩展程序可以增强功能，但也可能带来安全风险，安装时应选择可信来源。定期更新浏览器版本对于修补安全漏洞、保护个人信息至关重要。

网站的名称 (如 example.com)。通过 DNS 转换为 IP 地址。检查域名是识别假网站最重要的步骤。域名通过注册商获取，需要每年支付费用来维持所有权。顶级域名 (.com、.org、.jp 等) 和子域名的层级结构有助于判断网站的可信度。域名所有者信息可通过 WHOIS 查询，但许多注册者会使用隐私保护服务隐藏个人信息。钓鱼网站常利用与知名品牌相似的域名来欺骗用户，因此养成仔细核对地址栏中域名的习惯是防范网络诈骗的关键措施。

QR 码 (Quick Response Code) 是 1994 年由日本电装公司 (Denso Wave) 开发的二维矩阵条形码。与传统条形码只能在水平方向存储信息不同，QR 码可以在纵横两个方向编码数据，能够在极小的面积内容纳数千个字符的信息。其结构由定位图案、版本信息、基于里德-所罗门码的纠错编码和数据区域组成。QR 码广泛应用于移动支付、URL 分享、电子票务等场景，但它同时也成为 QR 钓鱼 (Quishing) 攻击的目标。攻击者将恶意 URL 嵌入 QR 码中，诱导用户访问钓鱼网站。由于扫描前无法目视确认编码内容，养成扫描后检查 URL 的习惯是最有效的防范措施。

除密码外，还要求另一种认证因素 (短信验证码、认证应用、物理密钥等) 的安全方法。即使密码泄露也能防止未授权访问。短信认证容易受到 SIM 卡交换攻击，因此推荐使用 TOTP 应用 (Google Authenticator、Authy) 或 FIDO2 安全密钥。大多数主流 Web 服务已支持 2FA，特别建议在邮箱、银行和社交媒体账户上启用。未设置 2FA 的账户是密码列表攻击的首要目标。启用 2FA 后，即使密码在数据泄露中暴露，攻击者仍无法仅凭密码访问账户，这是目前最具性价比的账户安全措施。

基于 FIDO2 标准的无密码认证技术。利用公钥加密，可通过生物认证或 PIN 登录。具有高度抗钓鱼能力，无需记忆或管理密码，这是其主要特点。Apple、Google、Microsoft 已在操作系统层面提供支持，可通过 iCloud 钥匙串或 Google 密码管理器在设备间同步。与传统密码认证不同，服务器端不存储秘密信息，因此即使发生数据泄露，风险也大幅降低。截至 2026 年 8 月，通行密钥可在同一生态系统内同步，但跨生态系统的互操作性仍然有限。建议在支持通行密钥的服务上优先启用，同时保留传统认证方式作为备用。

生成、保存和自动填充复杂且唯一密码的工具。只需一个主密码即可管理所有账户密码，防止密码重复使用，大幅降低凭证填充攻击的风险。1Password、Bitwarden、KeePass 是代表性产品。相比浏览器内置的密码保存功能，专业密码管理器提供更高级的安全性 (零知识加密、泄露检查)。需要注意的是，忘记主密码将无法访问所有数据，因此恢复密钥的安全保管至关重要。选择密码管理器时应考虑跨平台支持、浏览器扩展兼容性、家庭共享功能和紧急访问机制等因素。定期导出密码备份也是防范数据丢失的重要措施。

利用过去数据泄露中流出的 ID 和密码组合，自动尝试登录其他服务的攻击手法。利用密码重复使用的弱点，攻击者使用僵尸网络在短时间内尝试数百万组凭证。为每个服务设置不同密码是对策的核心。可通过 Have I Been Pwned 等服务检查自己的邮箱是否出现在泄露列表中。启用双因素认证并配合使用密码管理器，是防御此类攻击的现实之选。在针对登录表单的自动化攻击中，凭证填充是常见形式之一。网站运营者可通过 CAPTCHA、IP 速率限制和异常登录检测来防御此类攻击。

基于当前时间和共享密钥，每 30 秒生成一个新的一次性密码的认证算法。Google Authenticator 和 Authy 等认证应用广泛使用此技术。比短信认证更安全，不受 SIM 卡交换攻击影响。RFC 6238 标准化，主流 Web 服务大多已支持。如果未备份密钥，手机丢失时将无法访问账户，因此恢复代码的安全保管非常重要。建议在多个设备上设置认证应用以防万一。部分认证应用支持加密云备份功能，可在更换设备时恢复所有 TOTP 配置。Authy 和 Microsoft Authenticator 提供此功能，Google Authenticator 自 2023 年起也支持同步到 Google 账户。

使用一组凭证登录多个关联服务和应用的认证机制。提升用户体验并减轻密码管理负担。但如果 SSO 认证基础设施被入侵，所有关联服务都将受到影响。Google 账户和 Microsoft 账户的社交登录是常见示例。企业中广泛采用基于 SAML 和 OpenID Connect 协议的 SSO，使员工无需为数十个服务分别设置密码。SSO 账户应特别设置强力的双因素认证来保护。SSO 的安全性取决于身份提供商 (IdP) 的安全水平。选择支持多因素认证和异常检测的 IdP 是确保 SSO 安全的关键。

系统地尝试所有可能的密码组合来破解认证的攻击手法。针对泄露的密码哈希在本地进行离线破解时，8 位以下的字母数字密码可在短时间内被破解 (而针对登录界面的在线尝试会受到速率限制和账户锁定的制约)。设置足够长度 (12 位以上) 和复杂度的密码至关重要。账户锁定和速率限制是有效的防御措施。字典攻击 (尝试常用密码列表) 和混合攻击 (在字典词后附加数字和符号) 等效率更高的变体也广泛存在。使用密码管理器生成的随机长密码是最佳对策。现代 GPU 的并行计算能力使密码破解速度大幅提升，一块高端 GPU 每秒可尝试数十亿个哈希值。使用 bcrypt 或 Argon2 等慢哈希算法存储密码可有效抵御暴力破解。

允许第三方应用在不共享密码的情况下获得用户资源有限访问权的授权框架。Google 和 GitHub 账户登录其他服务的「社交登录」基于此技术。通常与认证层 (OpenID Connect) 组合使用。访问令牌设有作用域 (权限范围) 和有效期，可限制为最小必要访问。常见误解是将 OAuth 2.0 视为认证协议，实际上它是授权协议，用户身份验证需要 OpenID Connect 层来完成。授权码流程 (Authorization Code Flow) 是最安全的 OAuth 2.0 授权方式，适用于有后端服务器的应用。PKCE 扩展则为移动应用和单页应用提供了额外的安全保护。

在互联网活动中留下的痕迹总称。包括社交媒体帖子、搜索历史、在线购买记录等有意留下的 (主动型) 和 Cookie、访问日志等无意留下的 (被动型)。一旦公开的信息很难完全删除，因此日常管理很重要。求职招聘中查看候选人社交媒体的情况也存在，过往发帖可能影响评价。可通过 Google 的「我的活动」查看和删除搜索历史。定期审查社交媒体的公开范围和清理不用的账户，是管理数字足迹的有效方法。数据经纪商收集和出售个人数字足迹信息已成为一个庞大的产业。部分服务如 DeleteMe 可帮助用户从数据经纪商的数据库中删除个人信息。

描述数据的数据，包括照片的Exif信息(拍摄日期、GPS坐标、相机型号)、邮件头(发送方IP、中继服务器路径)、文档属性(作者、编辑历史)等。元数据往往在用户不知情的情况下生成和存储，积累后可精确描绘个人行为模式。美国NSA前局长曾表示'我们根据元数据杀人'，说明元数据泄露的信息量可能超过内容本身。

规定欧盟域内个人数据保护的法规。要求数据收集和处理需获得明确同意，保障被遗忘权和数据可携带权。违规时可处以全球营业额最高 4% 或 2000 万欧元 (取较高者) 的罚款。即使是欧盟域外的企业，只要处理欧盟域内个人的数据就适用。对日本个人信息保护法和美国 CCPA 等世界各国的隐私法产生了深远影响。Cookie 同意横幅的普及也是 GDPR 的直接影响。GDPR 的域外效力意味着中国企业如果向欧盟用户提供服务或监控其行为，也需要遵守 GDPR 的规定。数据保护官 (DPO) 的任命和数据保护影响评估 (DPIA) 是 GDPR 合规的重要组成部分。

不收集或追踪搜索历史和用户画像的搜索引擎。DuckDuckGo、Startpage、Brave Search 等为代表。虽然不进行搜索结果个性化，但可以避免过滤气泡 (只显示符合个人偏好的信息)，保护隐私。Startpage 通过代理显示 Google 搜索结果，在保持搜索质量的同时确保隐私。DuckDuckGo 结合自有爬虫和 Bing 的结果。仅将日常搜索切换到这些引擎，就能大幅减少广告画像分析。

日本关于个人信息处理的法律。规定了个人信息的获取、使用、提供等规则，赋予本人访问权和删除请求权。2020 年修订 (2022 年 4 月施行) 加强了泄露报告义务和处罚规定。个人信息保护委员会作为监管机构，拥有对违规企业的劝告和命令权限。与 GDPR 相比罚款上限较低，但每次修订都在加强监管力度。Cookie 信息被归类为「个人关联信息」，向第三方提供时需要获得同意。企业需要建立完善的个人信息管理体系，包括数据映射、风险评估和员工培训。

仅收集和处理实现目的所必需的最少个人数据的原则。GDPR 的核心原则之一，与「隐私设计」(Privacy by Design) 的理念密切相关。实践中包括：注册表单只要求必要字段、将日志保存期限控制在最短、积极采用匿名化和假名化等措施。其根本理念是「不持有数据就不存在泄露风险」。通过减少不必要的数据收集来降低泄露风险，也有助于赢得用户信任。在系统设计阶段就应考虑数据最小化，而非事后补救。例如，分析用户行为时可以使用聚合数据而非个人级别的数据，既满足业务需求又保护用户隐私。

控制社交媒体上个人信息公开范围的功能。包括帖子公开范围、个人资料可见性、标签权限、位置信息共享等设置。平台更新时设置可能被重置，或新的共享功能默认启用，因此需要定期审查。Facebook、Instagram、X (原 Twitter) 各平台的设置项目不同，需要逐一确认。定期审查设置对保护隐私至关重要，建议每季度检查一次各平台的隐私设置。许多用户不知道社交媒体的默认设置通常是最大程度公开的。新注册账户后应立即检查并调整隐私设置。特别注意位置标签、面部识别和搜索引擎索引等容易被忽视的选项。

在网上购物时保护个人信息和财务信息的方法。基本措施包括确认 HTTPS 连接、使用可信支付方式、警惕钓鱼网站和使用强密码。虚拟信用卡号和一次性密码可有效降低卡信息泄露风险。确认 URL 是否为正规域名、警惕异常低价、检查评价可信度也是重要的判断依据。选择 PayPal 或运营商支付等无需直接输入卡号的支付方式，可以减轻钓鱼攻击的风险。使用专门的邮箱地址进行网购注册可以隔离潜在的垃圾邮件和钓鱼攻击。启用银行的交易通知功能可以及时发现未授权的消费。在不熟悉的网站购物前，查看其他用户的评价和投诉记录也是明智之举。

加密互联网通信的协议。SSL 是旧称，后继的 TLS 才是标准。广泛用于网站 HTTPS 连接、邮件收发、VPN 通信等。2018 年制定的 TLS 1.3 是最新的版本 (截至 2026 年 8 月)，实现了握手加速 (1-RTT) 和安全性增强。TLS 1.0/1.1 存在已知漏洞，主流浏览器已于 2020 年默认禁用，2021 年的 RFC 8996 禁止了它们的使用。常见误解是仍使用「SSL 证书」这一称呼，但实际运行的是 TLS 协议。证书有效期管理和适当的加密套件选择是服务器运维的重要环节。服务器端应禁用不安全的加密套件，优先使用前向保密 (Forward Secrecy) 的密码组合。SSL Labs 的在线测试工具可以免费评估服务器的 TLS 配置质量。

只有发送方和接收方才能解密数据的加密方式。包括服务提供商在内的第三方无法查看通信内容。被 Signal、WhatsApp 等消息应用和 Proton Mail 等邮件服务采用。面对执法机构的数据披露要求，服务提供商无法提交消息内容 (与谁通信、何时通信等元数据不在保护范围内)。另一方面，各国政府以妨碍犯罪调查为由施压要求设置后门。未采用 E2EE 的服务中，消息可能以明文形式存储在服务器上，存在被访问的风险。选择通信工具时，应确认其是否默认启用端到端加密。部分应用 (如 Telegram) 仅在「秘密聊天」模式下启用 E2EE，普通聊天并不加密。Signal 协议的规范公开发布，被广泛用作 E2EE 的实现基础。

在 HTTP 基础上添加 TLS 加密的协议。加密浏览器和 Web 服务器之间的通信，防止窃听和篡改。可通过地址栏的锁图标确认，截至 2026 年 8 月，绝大多数网站都已标准使用。Google 自 2014 年起公开表示将 HTTPS 作为排名信号，从 SEO 角度来看已是前提条件。Let's Encrypt 的普及使免费获取 SSL/TLS 证书成为可能，个人网站也能轻松实现 HTTPS。HTTP 网站在 Chrome 中会显示「不安全」警告，直接影响用户信任度。

设置在网络边界，控制通信允许/拒绝的安全机制。有包过滤型、状态检测型、应用网关型等类型，是防止未授权访问和恶意软件入侵的第一道防线。Windows 防火墙 (旧称 Windows Defender 防火墙) 默认处于启用状态，macOS 也内置了系统自带的防火墙。企业网络中，下一代防火墙 (NGFW) 可检查到应用层，检测更高级的威胁。理解防火墙的工作原理有助于正确配置家庭网络的安全设置。家庭用户应确保路由器的防火墙功能已启用，并关闭不需要的端口和 UPnP 功能。定期检查防火墙日志可以发现潜在的入侵尝试。

使用一对密钥 (公钥和私钥) 进行加密和解密的方式。公钥加密的数据只能用对应的私钥解密。是 TLS 通信密钥交换、数字签名、通行密钥认证等现代互联网安全的基石。RSA 和椭圆曲线加密 (ECC) 是代表性算法，ECC 可用更短的密钥长度实现与 RSA 同等的安全性。量子计算机的发展可能破解现有公钥加密，向后量子密码 (PQC) 的迁移正在推进中。在日常使用中，SSH 密钥登录、HTTPS 证书验证和数字签名都依赖公钥加密。理解公钥和私钥的关系是掌握现代网络安全的基础。密钥长度直接影响安全性，RSA 建议至少使用 2048 位密钥。

证明网站或服务器身份的电子证明。由证书颁发机构 (CA) 签发，将公钥与域名所有者信息绑定。浏览器通过验证证书来确认 HTTPS 连接的可信度。Let's Encrypt 的普及使免费获取证书成为常态。证书分为 DV (域名验证)、OV (组织验证)、EV (扩展验证) 三个级别，认证程度各不相同。过期证书会触发浏览器警告，因此引入自动续期机制 (如 certbot) 在运维中非常重要。证书透明度 (Certificate Transparency) 日志允许任何人监控为特定域名签发的证书，有助于发现未授权的证书签发行为。

对邮件内容进行加密，防止第三方窃听的技术。Proton Mail 和 Tuta 提供标准的端到端加密，采用零访问加密，即使在服务器端也无法解密邮件内容。PGP/GPG 支持手动加密，但密钥管理的复杂性阻碍了普及。普通邮件服务 (Gmail、Outlook) 虽然支持传输加密 (TLS)，但邮件在服务器上以明文存储，服务提供商和执法机构可以访问，这一点需要注意。对于需要与不使用加密邮件服务的收件人通信的场景，Proton Mail 提供了密码保护邮件功能，收件人通过密码即可在浏览器中查看加密内容。S/MIME 证书可在 Outlook 等传统邮件客户端中实现加密。

Web 服务器发送的指示浏览器执行安全策略的 HTTP 响应头。Content-Security-Policy (CSP) 防止 XSS 攻击，Strict-Transport-Security (HSTS) 强制 HTTPS 连接，X-Frame-Options 防止点击劫持。正确设置可大幅缩小 Web 应用的攻击面。SecurityHeaders.com 等在线工具可免费诊断网站的头部设置。配置错误可能导致网站无法正常运行，因此建议分阶段引入。

将数据转换为第三方无法读取的格式的技术。分为对称密钥加密 (AES 等) 和公钥加密 (RSA 等) 两种。用于 HTTPS 通信、端到端加密消息和磁盘加密，是现代数字安全的基础技术。加密后的数据只有持有正确密钥的人才能解密还原。密钥长度 (位数) 越大，破解难度越高，AES-256 被广泛采用。加密技术保护的是数据的机密性，而数据完整性和身份验证则需要哈希算法和数字签名等技术来配合实现。

SSH (Secure Shell) 是一种用于安全远程连接网络计算机的加密协议。它对所有通信内容进行加密，防止密码和命令被窃听。公钥认证可以有效防止暴力破解攻击，端口转发功能可以通过 SSH 隧道安全传输其他协议的流量。SSH 广泛应用于服务器管理、Git 仓库访问、CI/CD 流水线以及通过 SCP/SFTP 进行的文件传输。默认端口号为 22。1995 年由芬兰研究员 Tatu Ylönen 开发，后来通过 OpenSSH 项目成为事实上的标准协议。

哈希函数是一种将任意长度的数据转换为固定长度哈希值的单向函数。相同的输入始终产生相同的输出，但从输出反推原始数据在计算上是不可行的，这一特性称为单向性。MD5 和 SHA-1 的碰撞抗性已被攻破，目前 SHA-256 是通用哈希的标准选择。密码存储需要使用 bcrypt 或 Argon2 等故意降低计算速度的算法，并添加盐值来防御彩虹表攻击。在区块链技术中，SHA-256 作为区块链接和工作量证明挖矿的基础技术发挥着核心作用。哈希函数与加密不同，加密是可逆的，而哈希是不可逆的，这正是密码存储和数据完整性验证选择哈希函数的原因。

证书颁发机构 (CA) 是负责签发和管理数字证书的组织。在网站的 HTTPS 通信中，CA 验证申请者是否为域名的合法管理者，并对绑定公钥与域名的证书进行数字签名。浏览器内置了受信任 CA 的列表 (根存储)，只有该列表中的 CA 签发的证书才会被判定为有效。证书按验证严格程度分为 DV (域名验证)、OV (组织验证) 和 EV (扩展验证) 三种类型。2015 年推出的 Let's Encrypt 通过免费自动签发 DV 证书，极大地推动了全球 HTTPS 的普及。2011 年的 DigiNotar 事件促使 Certificate Transparency (CT) 机制的诞生，建立了检测非法证书签发的透明化体系。

客户端与服务器在 HTTP 通信过程中，与正文 (Body) 分开传输的元数据信息。请求头部将浏览器类型、可接受的内容类型和认证令牌等信息传递给服务器，响应头部则向浏览器指定内容类型、缓存策略和安全指令。安全相关头部 (CSP、HSTS、X-Frame-Options、X-Content-Type-Options) 通过控制浏览器行为来缓解 XSS、点击劫持和 MIME 类型嗅探等攻击，是多层防御的基础。缓存控制头部 (Cache-Control、ETag) 同时影响性能和安全性，隐私相关头部 (Referrer-Policy、Permissions-Policy) 则防止用户追踪和设备功能的未授权访问。正确配置这些头部是 Web 安全防护的关键环节。

冒充合法组织或个人，骗取密码和信用卡信息等敏感信息的攻击手法。使用邮件、短信 (Smishing)、假冒网站等多种手段。确认 URL、验证发送方、启用双因素认证是主要对策。也存在用生成式 AI 制作的精巧钓鱼邮件，因此仅凭文本的不自然之处无法识别。养成将鼠标悬停在链接上确认目标 URL、通过官方应用直接访问等习惯可有效防止受害。企业中定期进行钓鱼演练对提升员工安全意识效果显著。

加密受感染设备的文件，要求支付赎金 (多为比特币等加密货币) 以换取解密的恶意软件。通过邮件附件和漏洞利用传播。定期备份、更新操作系统和软件、避免执行可疑文件是重要的预防措施。即使支付赎金也不保证能获得解密密钥，且支付行为会成为犯罪组织的资金来源，因此不建议支付。双重勒索型勒索软件不仅加密数据，还以公开窃取的数据作为威胁。保持离线备份是最后的防线。勒索软件即服务 (RaaS) 模式使得技术门槛大幅降低，犯罪团伙将勒索软件工具包出租给其他攻击者并分成。网络保险可以在一定程度上缓解勒索软件造成的经济损失。

不使用技术手段，而是利用人类的心理弱点骗取信息的攻击手法。攻击者会运用服从权威、制造紧迫感、利用好意等各种心理技巧。仅靠技术对策无法防范，因此提高安全意识不可或缺。「冒充上司的紧急转账请求」和「自称 IT 部门的密码确认」是典型手口。攻击会通过电话、邮件、面对面、社交媒体等各种渠道实施。在组织层面，把定期的安全培训与模拟攻击演练结合起来，一边测量员工的应对能力一边持续改进，是对策的支柱。

在软件漏洞的修复补丁尚未提供的阶段，利用该漏洞发起的攻击。开发方没有时间准备修复，这一状态即被称为零日。打补丁这一基本防御手段无法成立，因此多层防御以及以被入侵为前提的检测与响应构成防备的核心。零日漏洞会经由正规的漏洞奖励计划到非公开交易市场等多条途径流转，在有国家参与的攻击和高级持续性威胁 (APT) 中出现得尤为集中。端点检测与响应 (EDR) 可以从漏洞被利用后出现的异常行为中捕捉入侵迹象。补丁公开之后，分析修复内容而发起的攻击仍会继续，因此从公开到完成部署需要多少时间，也应纳入对策一并考虑。

利用深度学习精密合成或篡改人物面部与声音的技术。它可以制作虚假的视频和音频，被滥用于冒充他人和传播虚假信息。据 2019 年的报道，一家英国子公司在接到模仿其德国母公司 CEO 声音的电话后，汇出约 24 万美元 (22 万欧元)。眨眼不自然、轮廓模糊等特征在早期的合成影像中曾是线索，但随着生成质量提高，靠肉眼判断已越来越不可靠。检测工具也不能断定真伪，只能给出置信度，因此汇款和身份核实不应仅依据通话内容，而应以通过另一条渠道确认为前提来运作。这是一种可能影响视频通话身份验证的威胁。

不直接攻击目标组织，而是介入软件的开发与分发过程，向正规的更新或依赖库中混入恶意软件的攻击手法。由于经由受信任的软件传播，检测困难，受害范围广泛。在 2020 年 12 月披露的 SolarWinds 事件中，据该公司自己的发布，最多有 18,000 家客户组织下载了被篡改的更新。向 npm、PyPI 等包注册中心发布恶意包的手法也已被确认。自动扫描开源依赖关系的 Dependabot、Snyk 等工具是有效的对策。软件的签名验证与构建的可重现性 (Reproducible Builds) 也是防御手段。

从大量计算机同时向目标服务器或网络发送请求，使服务无法使用的攻击。实施时多会使用被感染设备的集群，即僵尸网络。CDN、速率限制、通过流量分析进行的异常检测是主要的防御手段。美国 CISA 的注意通报 TA16-288A 记录了 2016 年 9 月由物联网设备僵尸网络 Mirai 发起的超过 620 Gbps 的攻击。另外还存在自称 booter 或 stresser、按委托实施 DDoS 攻击的服务，没有技术知识也能下单这一点被视为问题。把云端的缓解服务与自己一侧的速率限制结合起来，是现实的防御方式。

攻击者插入到通信双方之间，窃听或篡改通信内容的攻击手法。ARP 欺骗、DNS 伪装、伪造的接入点 (Evil Twin) 等夺取通信中继点的手段是入口。在 HTTPS 成为默认的环境中，读取通信内容本身已经很困难，攻击的重点转向了降级到未加密的 HTTP (SSL 剥离)、引导至仿冒域名，以及观测连接目标等元数据。防御的核心是加密与对通信对象的认证，基本做法是用 HSTS 阻止降级、不用例外设置绕过证书警告的运用，以及在公共 Wi-Fi 上使用 VPN。

组织持有的个人信息或机密数据因未授权访问、内部人员的不当行为、配置错误等原因流向外部的事件。泄露的认证凭证会在暗网上被买卖，并被用于凭证填充等二次攻击。迅速更改密码并确定影响范围是初期响应的关键。建议定期在 Have I Been Pwned 上确认自己的邮箱地址是否出现在泄露列表中。日本个人信息保护法 (2020 年修订、2022 年 4 月施行) 规定，泄露涉及敏感个人信息，或当事人数量超过 1,000 人等符合法定要件的情形，须向个人信息保护委员会报告并通知当事人。

非法获取他人个人信息、冒充本人以骗取金钱或滥用服务的犯罪行为。网络钓鱼、数据泄露和社会工程学是主要手法。要及早发现受害，向征信机构申请查询本人信用记录、留意账户的异常检测都很有效。一旦受害，最初的应对是立即更改相关密码、联系金融机构并向警方报案。泄露的信息会与姓名、住址等组合后在暗网上被交易，有时相隔一段时间后才被滥用。

恶意软件 (Malware) 是 Malicious 和 Software 的合成词，泛指所有旨在损害计算机系统、网络或用户的软件的总称。常见类型包括病毒、蠕虫、木马、勒索软件、间谍软件和广告软件等。恶意软件通过电子邮件附件、被篡改的网站、伪装的安装程序和 USB 驱动器等途径传播，可能导致数据被窃取、文件被破坏，以及通过加密文件索要赎金。防护的重点仍在于基本措施的叠加：定期更新操作系统和应用、不打开可疑的链接和文件、安装安全软件。不过，仅在内存中运行、不在磁盘上留下可执行文件的无文件型恶意软件，能够绕过以扫描文件为前提的检测，因此不能认为装了安全软件就一定安全。

由大量感染恶意软件的计算机和物联网设备组成的网络，通过攻击者的 C&C 服务器进行远程操控。僵尸网络被用于 DDoS 攻击、垃圾邮件群发、凭证填充和加密货币挖矿等恶意活动。2016 年的 Mirai 僵尸网络利用物联网设备的默认密码将感染扩散到数十万台规模，同年 10 月 21 日 DNS 服务商 Dyn 遭到攻击，Twitter、Netflix 等众多服务无法访问。有效的防御措施包括更新固件、更改默认密码、关闭不必要的端口以及网络流量监控。

未经收件人同意而大量发送的骚扰信息的统称。除电子邮件外，短信、社交媒体、论坛和评论区等各种数字通信渠道也会出现垃圾信息。卡巴斯基 2025 年垃圾邮件与钓鱼报告显示，垃圾邮件在全球电子邮件流量中的平均占比为 44.99%，它不仅浪费带宽和存储资源、降低员工生产力，还是钓鱼攻击和恶意软件的传播渠道。SPF、DKIM 和 DMARC 邮件认证、贝叶斯过滤器以及实时黑名单是主要的技术对策。2024 年 2 月起，Google 要求每天向 Gmail 地址发送超过 5000 封邮件的大量发送者进行邮件认证，Yahoo 也在 2024 年第一季度引入了同样的要求。

无需人工操作即可自动执行任务的软件程序的统称，源自「Robot」的缩写。根据 Imperva 的年度报告 (2025 年版)，自动化访问占 Web 流量的 51%，已超过人类访问。良性机器人包括搜索引擎爬虫 (Googlebot)、聊天机器人和监控机器人等，是互联网基础设施的重要组成部分。恶性机器人则被用于数据抓取、凭证填充攻击、垃圾信息发布和 DDoS 攻击等恶意活动。在接受良性机器人的同时排除恶性机器人，是网站运营在安全和用户体验两方面的重要课题。检测技术包括 CAPTCHA、行为分析 (鼠标移动轨迹和按键节奏)、速率限制、JavaScript 挑战和设备指纹识别，组合多种技术的多层防御行之有效。许多恶性机器人作为僵尸网络的一部分大规模运作。

利用 Web 应用漏洞在用户浏览器中执行恶意脚本的攻击。分为反射型 (通过 URL 参数)、存储型 (保存在数据库中)、DOM 型 (在客户端发生) 三种。根据输出上下文进行的转义处理是主要防御措施，Content-Security-Policy 头则作为减轻危害的辅助层配合使用。在 OWASP Top 10 中，XSS 自 2021 年版起作为 CWE-79 归入 Injection 类别，被用于窃取 Cookie 和会话劫持。React 和 Vue.js 等框架默认进行输出转义，但在使用直接嵌入 HTML 的 API 之处，这层保护会失效。

利用已认证用户的浏览器，在用户不知情的情况下向 Web 应用发送恶意请求的攻击。仅浏览攻击者准备的陷阱页面，就可能执行密码更改或转账等操作。CSRF 令牌验证和 SameSite Cookie 属性设置是有效对策。自 Chrome 80 (2020 年 2 月) 起，未指定 SameSite 属性的 Cookie 被视为 Lax，因此简单的攻击会被浏览器阻止。但 SameSite 只是多层防御中的一层，无法防止通过 GET 请求变更状态的设计，也无法防止来自同一可注册域名下的攻击。重要操作必须同时使用 POST 方法和 CSRF 令牌。

向 Web 应用的输入字段插入恶意 SQL 语句、从而非法操作数据库的攻击。攻击者可以绕过身份验证，窃取、篡改或删除数据。第一道防线是用预处理语句 (参数化查询) 把 SQL 语句的结构与数据分离，OWASP Top 10 的 Injection 项目 (2021 年版为 A03:2021，2025 年版为 A05:2025) 同样把使用参数化接口列为首选。即使采用了 ORM (Object-Relational Mapping)，只要还有直接拼接原始 SQL 的地方，漏洞就会出现。用 WAF 检测输入模式作为辅助防御也很有效。

服务器通过 HTTP 头告知浏览器，是否允许 JavaScript 读取从不同源 (协议、主机名、端口号的组合) 获取的响应的机制。默认禁止读取的是同源策略，CORS 处于仅在必要范围内放宽该限制的一侧。它并不阻止请求到达服务器，也不阻止服务器端的处理，因此收紧 CORS 也不能成为 CSRF 或服务器直接访问的对策。Access-Control-Allow-Origin 中的通配符 (*) 在携带凭据的请求中会失效，因此除公开 API 以外应逐一列举允许的源。如果不掌握预检请求 (OPTIONS) 的触发条件，API 开发时就无法追查 CORS 错误的原因。

通过 HTTP 响应头限制 Web 页面可加载资源 (脚本、样式表、图像等) 来源的安全策略。可以控制内联脚本的执行和数据的外发，即使 XSS 漏洞仍然存在，也能作为不让攻击者的脚本执行的一层发挥作用。但它不能替代输出转义，应作为抑制危害的辅助层一并使用。分阶段引入时 report-only 模式很有用，可事先了解对现有网站的影响。基于 nonce 或 hash 的策略可实现仅允许授权脚本执行的精确控制。设置过严可能导致第三方组件和广告无法运行，因此建议逐步应用。CSP 违规报告功能可以帮助网站运营者了解哪些资源加载被阻止，从而逐步完善策略。strict-dynamic 关键字简化了对动态加载脚本的管理。

在透明的 iframe 中加载目标网站，诱导用户在不知情的情况下点击的攻击。社交媒体的「点赞」按钮和设置更改按钮常成为目标。通过 X-Frame-Options 头或 CSP 的 frame-ancestors 指令来防范。攻击者在自己准备的陷阱页面上用透明的 iframe 覆盖目标网站，因此受害者以为在操作陷阱页面，实际按下的是隐藏在透明层中的目标网站的按钮。将其他内容覆盖在可见 UI 之上、使用户产生错觉的攻击统称为「UI 重定向」(UI 伪装)，点击劫持是其中的代表。在摄像头或麦克风的权限对话框上覆盖其他元素以骗取同意的手法也属于同一大类。

指示浏览器仅通过 HTTPS 连接到网站的安全机制。由 RFC 6797 (2012 年 11 月) 定义，浏览器会在发送前将 HTTP 的 URL 改写为 HTTPS，若出现证书错误则中断连接。依赖 HTTP 到 HTTPS 重定向的配置会让最初的一次往返以明文传输，针对该环节的 SSL 剥离攻击因此得以成立，而在 HSTS 生效的域名上，这次明文往返本身不会发生。max-age 指令指定策略的有效期，includeSubDomains 可将适用范围扩展到子域名。不过策略只有在浏览器接收到响应头之后才生效，因此对该域名的首次访问不在保护范围内。

监控并过滤发往 Web 应用的 HTTP/HTTPS 流量、拦截恶意请求的安全组件。它检测并拦截 SQL 注入、XSS 这类在请求语法本身留下痕迹的已知攻击模式。传统网络防火墙依据 IP 地址和端口号控制通信，而 WAF 检查 HTTP 请求的内容 (标头、正文、URL 参数)。AWS WAF、Cloudflare 的 WAF 等云端型无需准备专用设备即可启用，但误报 (拦截正常请求) 的调优是运维上的主要课题。

HTTP (超文本传输协议) 是 Web 浏览器与服务器之间交换数据的基础通信协议。它采用请求-响应模型，客户端通过指定方法 (GET、POST、PUT、DELETE) 发送请求，服务器返回包含状态码 (200、404、500) 和数据的响应。HTTP 是无状态协议，每个请求独立处理，不保留之前交互的记忆，会话管理依赖 Cookie 或认证令牌。协议从 HTTP/1.1 (单个连接同一时间只能处理一个请求) 发展到 HTTP/2 (2015 年，单 TCP 连接上的多路复用)，再到 HTTP/3 (2022 年，基于 QUIC 的传输，消除了 TCP 队头阻塞)。HTTPS 在 HTTP 基础上添加 TLS 加密层，截至 2026 年 8 月已是网站提供服务的事实标准。状态码体系是 Web 开发和 API 设计的基础知识。

CAPTCHA (全自动区分计算机和人类的图灵测试) 是一种用于判断访问者是人类还是自动化机器人的验证机制。常见方式包括扭曲文字输入、图片选择挑战以及行为分析等。Google 的 reCAPTCHA v3 无需用户进行任何操作，而是根据用户在网站上的操作情况返回评分。CAPTCHA 被广泛用于防止垃圾信息提交、暴力破解攻击和自动抢票机器人，但单靠 CAPTCHA 无法完全阻止它们，必须与 WAF、速率限制等其他防御措施配合使用。视觉障碍用户无法完成图片选择挑战，这使得无障碍访问成为 CAPTCHA 设计中的重要课题。

控制智能手机应用可以访问的信息和功能的机制。包括位置信息、相机、麦克风、通讯录等权限。仅授予必要的最小权限，定期审查权限设置对保护隐私很重要。许多应用请求超出其功能所需的权限，例如手电筒应用请求通讯录访问权限就明显不合理。iOS 和 Android 都提供了按应用查看和管理权限的功能。建议每月检查一次应用权限，撤销不再需要的权限授予。Android 12 引入了大致位置权限选项，允许用户仅共享大致位置而非精确坐标。iOS 的隐私报告功能可以显示应用在过去 7 天内访问敏感数据的频率，帮助用户识别过度收集数据的应用。

保护连接互联网的设备 (智能家居、可穿戴设备等) 免受网络攻击的措施。许多 IoT 设备安全功能有限，使用默认密码且缺乏更新机制，容易成为僵尸网络的一部分。Mirai 僵尸网络事件中，数十万台 IoT 设备被利用发起大规模 DDoS 攻击。固件更新、更改默认密码和网络隔离 (将 IoT 设备放在独立的网络段) 是基本对策。购买设备时应确认制造商的安全更新支持政策，并优先选择支持自动固件更新和加密通信协议的产品。将 IoT 设备连接到独立的访客网络可以防止被入侵的设备访问主网络中的敏感数据。

智能音箱、安防摄像头、智能家电等智能家居设备收集的数据相关的隐私问题。语音数据和行为模式可能被发送到云端并长期保存。智能音箱在检测到唤醒词之后才会把语音送往云端处理，但误唤醒会让非预期的对话也被送出并留在历史记录中。设备选择时应确认数据处理政策，定期审查隐私设置。关闭不需要的数据共享功能、定期删除语音历史记录是保护隐私的实用措施。选择支持本地处理 (而非云端处理) 的智能家居设备可以减少数据外传的风险。Home Assistant 等开源智能家居平台允许用户完全控制数据的存储和处理位置。定期检查设备的固件更新和安全公告，及时修补已知漏洞。使用强密码和双因素认证保护智能家居管理账户也是基本的安全措施。

Apple 在 iOS 14.5 中引入的功能，要求应用在追踪用户前获得明确许可。用户可以选择允许或拒绝每个应用的追踪请求。未获得许可时，广告标识符 IDFA 只会返回全零值，跨应用的广告衡量因此不得不从前提重新构建。Meta 在 2021 年 10 至 12 月期的财报电话会议 (2022 年 2 月) 上表示，预计 iOS 的隐私变更给其 2022 年业务带来的逆风约为 100 亿美元规模。Google 也曾在 Android 上推进不依赖广告 ID 的机制 (隐私沙盒)，但已于 2025 年 10 月宣布废弃其主要 API。这一变化标志着移动广告生态系统向更注重隐私的方向转变。开发者需要适应后 ATT 时代的广告生态，转向基于聚合数据和隐私保护技术的广告测量方案。

对智能手机或电脑存储的数据进行加密，在设备丢失或被盗时保护数据的功能。iOS 默认启用加密，Android 自 10 起也已强制要求加密，没有解锁凭证就无法访问数据。Windows 提供 BitLocker，macOS 提供 FileVault 作为全盘加密方案。加密不仅保护个人隐私，在企业环境中也是合规要求。需要注意的是，加密只在设备锁定状态下有效，解锁后数据可被正常访问。设置强密码或生物认证是加密发挥作用的前提。全盘加密对设备性能的影响在现代硬件上已经微乎其微，因此没有理由不启用。企业应将设备加密作为安全基线要求纳入设备管理策略。

在智能手机或平板电脑上使用的 VPN。在公共 Wi-Fi 环境中保护通信，隐藏 IP 地址。IKEv2 协议特别适合移动环境，其 MOBIKE 扩展 (RFC 4555) 让通信中 IP 地址发生变化时也能沿用已建立的连接，因此在 Wi-Fi 和移动数据之间切换时不必重新建立隧道。选择移动 VPN 时应关注电池消耗、数据使用量和连接稳定性。部分 VPN 应用可能请求过多权限或包含追踪代码，应选择信誉良好的提供商。Android 可以在系统内置的 VPN 设置中开启始终连接，iOS 的 Always On VPN 则面向通过 MDM 管理的受监管设备提供。

通过社会工程学手段说服运营商将受害者的电话号码转移到攻击者的 SIM 卡上的攻击。攻击者可以接收短信验证码，突破基于短信的双因素认证，进而访问银行账户和社交媒体。美国联邦调查局的互联网犯罪投诉中心 (IC3) 在 2021 年收到 1,611 起 SIM 卡交换投诉，调整后损失超过 6,800 万美元，持有加密货币的用户尤其容易被盯上。由于被夺走的是电话号码本身，短信验证码不再构成防线，因此对策的核心是改用在设备内完成认证的方式，例如认证应用 (TOTP) 或硬件安全密钥。向运营商申请 SIM 卡锁定或设置额外的安全 PIN 也能提供保护。部分运营商提供 SIM 卡锁定服务，要求本人携带身份证件到营业厅才能办理 SIM 卡变更。eSIM 技术在一定程度上降低了物理 SIM 卡被交换的风险，但远程 eSIM 配置仍可能被社会工程学攻击利用。

集中管理和保护组织内移动设备的系统。可以远程擦除丢失设备的数据、强制加密、限制应用安装、配置 VPN 和 Wi-Fi 设置等。在 BYOD (自带设备) 环境中，如何平衡企业安全需求和员工个人隐私是主要课题。容器化技术可将工作数据和个人数据隔离，在同一设备上实现两者的共存。Microsoft Intune 和 Omnissa Workspace ONE (原 VMware Workspace ONE) 是企业中广泛使用的 MDM 解决方案。零接触部署 (Zero-Touch Enrollment) 允许公司所有的新设备开箱即自动注册到 MDM 系统，简化了大规模设备部署流程。

近距离无线通信的规范。用于把手机与耳机、键盘、音箱等设备连接起来。可达距离由设备的发射功率等级和周围环境决定，随身携带的小型设备大致在几米到 10 米左右。连接需要配对（把两台设备相互绑定），但没有屏幕的设备会在缺少确认对方这一步骤的情况下交换密钥，因此不批准来源不明的连接请求就成了要点。低功耗蓝牙（Bluetooth Low Energy，BLE）是降低了耗电量的规范，在可穿戴设备和 IoT 设备中被广泛采用。版本 5 在 BLE 一侧增加了提速和增程的选项，但两者都只有在设备支持时才会用到。

利用卫星信号确定当前位置的定位系统。智能手机的地图应用、导航和基于位置的游戏都依赖它。卫星定位系统的统称是 GNSS，GPS 是美国运营的其中一套。同时使用俄罗斯的 GLONASS、欧盟的 Galileo、中国的北斗以及日本的准天顶卫星系统（QZSS）的信号，可接收的卫星数量增加，定位也更稳定。精度很大程度上取决于上方天空是否开阔，在室内或高楼密集区域卫星信号会被遮挡，因此需要 Wi-Fi 定位和基站定位来补充。位置信息是敏感的个人数据，逐个管理应用的位置权限很重要。

在数据链路层标识网络设备的 48 位地址。用于在同一网络内确定通信对象。IP 地址负责网络之间的路由，而 MAC 地址指向同一网段内的设备，不会被路由器转发出去。出厂时分配的地址中，靠前的比特是 IEEE 分配给组织的标识符 (如 OUI)，可据此追溯制造商，其余比特是每台设备各自的编号。不过 iOS 14 以后和 Android 10 以后在连接 Wi-Fi 时默认使用随机化的地址，因此设备对外宣告的 MAC 地址不一定是固定的标识符，店铺和场馆想长期追踪同一台设备已经变得困难。

网络连接在单位时间内能够传输的最大数据量，通常以 Mbps（兆比特每秒）或 Gbps（吉比特每秒）为单位。带宽相当于水管的粗细，管越粗一次能流过的水量越大；而延迟相当于水管的长度，决定水从一端到达另一端所需的时间。ISP 合同中标注的「最高 1 Gbps」是理论上限值（尽力而为），实际吞吐量会低于标称值，低多少取决于网络拥塞、路由器性能和 Wi-Fi 信号质量等哪一处成为瓶颈。ISP 还可能在特定条件下（如超出月度流量上限或高峰时段）对用户带宽进行限速（throttling），这也是实际速度低于合同标称值的常见原因之一。理解带宽与延迟的区别，是正确评估网络性能的基础。

SSID（Service Set Identifier，服务集标识符）是用于识别 Wi-Fi 网络的名称。接入点通过信标帧定期广播 SSID，设备接收后在 Wi-Fi 列表中显示可用网络。SSID 最长 32 字节，一台路由器可配置多个 SSID。SSID 只是用于识别的名称，与加密是两套不同的机制；即使设置为隐藏 SSID（关闭广播），也能从连接设备发出的帧中读取到 SSID，因此隐藏本身并不构成防御。Evil Twin 攻击会架设与正规接入点相同 SSID 的伪造接入点，拦截已连接用户的通信。保护通信的不是 SSID 的设置，而是 WPA3 或 WPA2 加密以及不易猜测的密码。

保护存储在云服务中的数据的措施。包括传输加密、静态加密、访问控制、多因素认证等。了解服务提供商的安全认证 (SOC 2、ISO 27001) 和数据存储位置也很重要。零知识加密的服务即使提供商也无法访问用户数据，提供最高级别的隐私保护。共享链接的权限设置不当是常见的数据泄露原因，应定期审查共享设置。企业使用时需确认数据主权和合规要求。多云环境中的数据安全管理更加复杂，需要统一的安全策略和跨平台的访问控制。定期审计云存储的访问日志和共享设置，可以发现潜在的安全风险和未授权的数据访问。

在不透露信息本身的情况下证明拥有该信息的密码学技术。应用于隐私保护认证和区块链领域。零知识加密的云存储服务即使提供商也无法访问用户数据，从根本上消除了服务端数据泄露的风险。Tresorit 和 SpiderOak 等服务采用此技术。缺点是忘记密码将永久无法恢复数据，因为提供商也没有解密能力。在隐私法规日益严格的背景下，零知识架构的重要性正在提升。在区块链领域，零知识证明被用于实现隐私交易，如 Zcash 使用 zk-SNARKs 技术。随着计算效率的提升，零知识证明在身份验证和数据共享等更广泛的场景中的应用前景日益广阔。

将数据保存 3 份副本，使用 2 种不同存储介质，其中 1 份保存在异地的备份最佳实践。是勒索软件对策的基础，即使本地数据被加密，异地备份仍可用于恢复。定期测试恢复过程也很重要，未经验证的备份在紧急时刻可能无法使用。云备份和本地 NAS 的组合是个人用户的实用方案。企业环境中还应考虑备份数据的加密和访问控制，防止备份本身成为攻击目标。进阶版的 3-2-1-1-0 规则增加了一份不可变备份和零错误验证的要求。不可变备份 (Immutable Backup) 无法被修改或删除，即使攻击者获得管理员权限也无法破坏，是对抗勒索软件的最后防线。

将数据转换为没有密钥就无法读取的形式的技术。分为传输中加密 (如 TLS) 和静态加密 (如全盘加密、数据库加密) 两种。全盘加密保护设备丢失时的数据，文件级加密保护特定文件。AES (尤其是 256 位密钥的 AES-256) 是标准的对称加密算法，也被美国政府认可用于机密信息保护。加密密钥的安全管理与加密本身同样重要，密钥泄露等同于加密失效。在云环境中，客户端加密 (上传前加密) 提供比服务端加密更强的保护。全同态加密 (FHE) 允许在加密数据上直接进行计算而无需先解密，是隐私计算领域的研究方向之一，但截至 2026 年性能开销仍较大。

不信任网络内外任何访问，始终验证的安全模型。「永不信任，始终验证」是基本原则。对每次访问进行认证和授权，实现最小权限原则。传统的边界防御模型假设内部网络是安全的，但远程办公和云服务的普及使这一假设不再成立。零信任架构要求持续验证用户身份、设备状态和访问上下文。Google 的 BeyondCorp 是零信任实践的先驱案例。个人层面也可通过启用多因素认证和最小权限原则来实践零信任思维。实施零信任需要身份验证、设备健康检查、网络微分段和持续监控等多个组件的协同工作。

安全地与他人共享文件的方法和工具。端到端加密、访问权限设置、链接过期、密码保护等功能很重要。避免使用不加密的邮件附件共享敏感文件，因为邮件在传输和存储过程中可能被截获。企业级文件共享平台提供审计日志和数据丢失防护 (DLP) 功能。个人用户可使用支持零知识加密的云存储服务。共享链接设置为「任何人可访问」是常见的安全疏忽，应始终限制为特定收件人。对于一次性文件传输，Firefox Send (已停止) 的替代品如 OnionShare 和 Wormhole 提供了简单安全的端到端加密文件传输。设置文件下载次数限制和自动过期时间可以减少敏感文件长期暴露的风险。

监控暗网 (通过 Tor 等访问的匿名网络) 上是否有自己的个人信息被泄露的服务。检测邮箱地址、密码、信用卡信息等的泄露。Have I Been Pwned 是代表性的免费工具，可检查邮箱是否出现在已知的数据泄露中。许多密码管理器和安全软件也内置了暗网监控功能。发现泄露后应立即更改相关密码并启用双因素认证。企业可使用专业的威胁情报服务进行更全面的暗网监控。暗网上的数据交易通常使用加密货币进行，增加了追踪难度。企业级暗网监控服务可以监控品牌名称、域名和高管个人信息的泄露情况，提供更全面的威胁预警。

使已删除数据无法恢复的技术。普通删除只是移除文件系统的引用，数据本身仍然存在于存储介质上，可通过数据恢复工具找回。多次覆写、加密擦除和物理销毁是主要方法。SSD 由于磨损均衡机制，传统覆写方法可能不完全有效，应使用制造商提供的安全擦除命令。处置旧设备 (出售、捐赠、回收) 前必须执行安全删除。企业环境中，数据清除应遵循 NIST SP 800-88 等标准。云存储中的数据删除更加复杂，因为数据可能分布在多个物理位置的多个副本中。确认云服务提供商的数据删除政策和流程是保护敏感数据的重要步骤。

一种在下载数据的同时实时播放的技术。用于视频 (Netflix、YouTube)、音乐 (Spotify、Apple Music) 和直播。由于数据不保存到设备而是实时播放，因此需要稳定的网络连接。自适应比特率技术可根据网络速度自动调整画质，最大限度减少缓冲中断。使用 VPN 观看流媒体时通信会被加密，但可能导致速度下降。流媒体服务通常采用 DRM 数字版权管理技术来防止内容被非法复制和分发，不同平台的 DRM 方案各有差异。

检测、分析安全事件并将损害降至最低的系统化过程。按照准备、检测、遏制、根除、恢复、总结的流程进行。事先制定事件响应计划对迅速应对至关重要。没有预案的组织在遭受攻击时往往陷入混乱，导致损害扩大。响应时间会影响损失规模。定期进行桌面演练和模拟攻击可以检验计划的有效性。自动化事件响应 (SOAR) 平台可以将常见的响应流程自动化，缩短响应时间并减少人为错误。事件响应计划应包括与法律顾问、公关团队和监管机构的沟通流程。

收集、保全和分析数字证据的技术领域。用于网络犯罪调查和事件原因分析。保持证据链的完整性是核心要求，任何对原始证据的修改都可能使其在法律程序中失效。取证工具如 EnCase 和 FTK 可以恢复已删除的文件、分析日志和重建事件时间线。内存取证可以捕获运行中的恶意软件和加密密钥等易失性数据。企业应在事件发生前就建立取证准备机制，包括日志保留策略和取证工具的预部署。云环境中的取证面临独特挑战，因为传统的磁盘镜像方法不适用于虚拟化环境。云取证需要利用云服务提供商的 API 和日志服务来收集证据。

负责组织内安全事件应对的专门团队。进行事件检测、分析、应对和与外部协调。JPCERT/CC 是日本的代表性 CSIRT，CERT/CC 是美国的对应机构。CSIRT 不仅在事件发生时响应，还负责日常的威胁监控、漏洞管理和安全意识培训。建立有效的 CSIRT 需要明确的职责分工、升级流程和与管理层的沟通渠道。中小企业可以通过外包 SOC (安全运营中心) 服务来获得类似的能力。FIRST (Forum of Incident Response and Security Teams) 是全球 CSIRT 社区的协调组织，促进成员间的信息共享和协作。

关于网络威胁的信息收集和分析活动。包括攻击者的手法 (TTP)、使用的恶意软件、攻击指标 (IoC) 等。利用威胁情报可以实现主动防御，在攻击发生前采取预防措施。MITRE ATT&CK 框架提供了系统化的攻击技术分类。威胁情报分为战略级 (面向管理层的趋势分析)、战术级 (面向安全团队的技术细节) 和运营级 (面向自动化系统的 IoC) 三个层次。开源情报 (OSINT) 和商业情报服务的结合使用可以构建全面的威胁视图。

模拟攻击者的手法，验证系统和网络安全性的测试。发现漏洞并在被恶意利用之前修复。分为黑盒 (无信息)、白盒 (有完整信息) 和灰盒测试三种类型。与自动化漏洞扫描不同，渗透测试由专业人员手动执行，可以发现复杂的逻辑漏洞和业务流程缺陷。测试范围和规则应事先明确约定，避免对生产环境造成意外影响。PCI DSS 等合规标准要求定期进行渗透测试。红队演练 (Red Team Exercise) 比传统渗透测试更全面，模拟真实攻击者的完整攻击链，包括社会工程学和物理安全测试。紫队演练则让攻击团队和防御团队协作，共同提升组织的安全能力。

集中收集和分析来自多个安全设备和系统的日志，实时检测威胁的平台。通过关联分析发现单个日志无法检测的攻击模式。Splunk 和 Elastic SIEM 是代表性产品。SIEM 的价值在于将分散的安全数据整合为统一视图，使安全团队能够快速识别和响应威胁。机器学习增强的 SIEM 可以检测异常行为模式，减少误报。部署 SIEM 的挑战包括日志量的管理、规则调优和专业人员的需求。云原生 SIEM 解决方案 (如 Microsoft Sentinel 和 Google Chronicle) 提供弹性扩展能力，适合处理大规模日志数据。

系统地发现、评估和修复系统漏洞的过程。使用 CVE (通用漏洞披露) 识别漏洞，通过 CVSS 评分评估严重性。定期扫描和及时打补丁是基本措施。自动化补丁管理工具可以减轻运维负担，但关键系统的补丁应先在测试环境验证。漏洞披露到被利用的时间窗口可能很短，因此快速响应能力愈发重要。漏洞优先级技术 (VPT) 结合漏洞严重性、资产重要性和威胁情报来确定修复优先级，比单纯依赖 CVSS 评分更加有效。

在灾害或网络攻击等紧急情况下维持或迅速恢复业务的计划。包括系统冗余、数据备份、替代办公场所、通信手段确保等。定期演练和更新不可或缺。RTO (恢复时间目标) 和 RPO (恢复点目标) 是 BCP 的核心指标，决定了可接受的停机时间和数据丢失量。勒索软件攻击使 BCP 的重要性更加突出，因为传统的灾难恢复计划可能不足以应对有针对性的网络攻击。云服务的多区域部署和自动故障转移是现代 BCP 的重要组成部分。

故意设置的看似有漏洞的系统或服务器，用于引诱攻击者并观察其行为的安全工具。收集攻击手法和恶意软件样本，用于威胁情报分析。需要与生产环境严格隔离运行，防止攻击者以蜜罐为跳板入侵真实系统。蜜罐分为低交互型 (模拟有限服务) 和高交互型 (运行真实系统) 两种，后者能收集更详细的攻击信息但风险也更高。蜜网 (Honeynet) 是由多个蜜罐组成的网络，可以模拟更真实的企业环境。现代欺骗技术 (Deception Technology) 将蜜罐的概念扩展到整个网络，在生产环境中部署虚假资产和凭证来检测横向移动。

通过代码定义和管理服务器、网络等基础设施的方法。Terraform、CloudFormation、Pulumi 等工具实现基础设施的版本管理和自动化部署，消除手动配置错误，确保环境一致性。基础设施变更可以像应用代码一样进行代码审查和测试。GitOps 工作流将 Git 仓库作为基础设施状态的唯一真实来源。安全方面，IaC 模板的静态分析可以在部署前发现配置错误和安全漏洞，如 Checkov 和 tfsec 等工具。

保护 Docker 和 Kubernetes 等容器环境的安全措施。包括镜像漏洞扫描、运行时保护、网络策略、密钥管理等。容器的不可变性有助于安全，但配置不当会带来风险。以 root 用户运行容器、使用未经验证的基础镜像、暴露 Docker socket 是常见的安全隐患。Trivy 和 Snyk Container 等工具可在 CI/CD 流水线中自动扫描镜像漏洞。Kubernetes 的 RBAC、网络策略和 Pod 安全标准是集群安全的三大支柱。

管理用户身份并控制对系统和数据的访问权限的框架。实现最小权限原则，仅授予执行工作所需的最小权限。AWS IAM 和 Azure AD 是代表性的云 IAM 服务。过度授权是云安全事件的首要原因之一，定期审查和清理未使用的权限至关重要。基于角色的访问控制 (RBAC) 和基于属性的访问控制 (ABAC) 是两种主要的权限管理模型。IAM 策略的错误配置可能导致整个云环境暴露，因此应使用自动化工具持续监控。

安全地管理 API 密钥、数据库密码、证书等敏感信息的实践。避免在源代码中硬编码，使用 AWS Secrets Manager 和 HashiCorp Vault 等专用工具。自动轮换降低泄露风险。GitHub 上公开仓库中意外提交的 API 密钥在数分钟内就会被自动化扫描器发现并滥用。git-secrets 等工具可以在提交前检测敏感信息。密钥的生命周期管理 (创建、分发、轮换、撤销) 应有明确的流程和自动化支持。

将网络划分为多个段，限制段间通信的安全手法。即使一个段被入侵，也能防止攻击扩散到其他段，实现「爆炸半径」的最小化。微分段在云环境中实现更细粒度的控制，可以在工作负载级别定义安全策略。传统的 VLAN 分段在物理网络中仍然有效，但云原生环境更适合使用安全组和网络策略。零信任架构将网络分段的理念推向极致，对每个访问请求都进行独立验证。软件定义网络 (SDN) 使网络分段的实施和管理更加灵活，可以根据安全策略动态调整网络拓扑。在混合云环境中，一致的分段策略需要跨越本地数据中心和多个云平台，这对网络架构设计提出了更高的要求。

在全球分布的服务器上缓存内容，从离用户最近的服务器提供服务的网络。提高网站显示速度，同时具有 DDoS 攻击缓解和 WAF 功能等安全优势。Amazon CloudFront 和 Cloudflare 是代表性服务。CDN 不仅加速静态内容，还可以通过边缘计算处理动态请求。SSL/TLS 终端在 CDN 边缘节点完成，减轻源站负担。配置不当可能导致缓存投毒攻击，敏感数据被缓存等安全问题，因此缓存策略的正确设置至关重要。

云服务提供商和用户之间关于安全责任分担的框架。提供商负责基础设施安全 (物理安全、网络、虚拟化层)，用户负责数据和访问管理。IaaS、PaaS、SaaS 各层的责任范围不同，SaaS 中用户的责任最小，IaaS 中最大。常见误解是认为「上云就安全了」，实际上云中的安全事件大多源于用户侧的配置错误。理解共享责任模型是云安全的第一步，有助于明确哪些安全措施需要自己实施。AWS、Azure 和 GCP 各自发布了详细的共享责任模型文档，明确了每一层的安全责任划分。定期审查和理解这些文档是云安全管理的基础工作。

AWS Lambda 等无服务器环境特有的安全考虑。函数权限的最小化、依赖项漏洞管理、输入验证等是重点。虽然无需管理服务器补丁和操作系统安全，但应用层安全仍是用户的责任。每个函数应遵循最小权限原则，仅授予执行所需的 IAM 权限。冷启动时的依赖注入攻击和事件数据注入是无服务器特有的威胁。函数超时设置和并发限制可以防止资源滥用和拒绝服务攻击。无服务器环境中的日志和监控需要特别关注，因为传统的服务器级监控工具不适用。AWS X-Ray 和 CloudWatch Logs Insights 等工具可以帮助追踪函数执行和识别异常行为。依赖项的定期更新和漏洞扫描在无服务器环境中同样重要。

防止敏感数据从组织外部泄露的技术和策略。监控和控制邮件、云存储、USB 设备等数据传输渠道。通过内容检查检测信用卡号、身份证号和个人信息等敏感数据。DLP 策略应根据数据分类级别 (公开、内部、机密、绝密) 设定不同的保护措施。端点 DLP 监控用户设备上的数据操作，网络 DLP 检查传输中的数据，云 DLP 保护云服务中的数据。误报率的管理是 DLP 部署的主要挑战，过严的策略会影响工作效率。机器学习增强的 DLP 可以识别非结构化数据中的敏感信息，如图片中的身份证号或手写文档中的个人信息。

API 是允许软件应用程序之间进行通信和数据交换的一组规则和协议。现代 Web 服务通过组合数十到数百个 API 构建而成。常见的 API 风格包括 REST、GraphQL、WebSocket 和 gRPC。身份验证 (API 密钥、OAuth 2.0、JWT) 和速率限制对于保护 API 至关重要。基于 OWASP API Security Top 10 的安全实践是推荐的防护标准。API 安全已成为网络安全领域的重要议题。

通过网络向其他计算机 (客户端) 提供服务和数据的计算机或软件。按用途分为 Web 服务器、邮件服务器、DNS 服务器、数据库服务器等多种类型。部署方式从本地物理服务器到云实例 (IaaS/PaaS) 再到无服务器架构，选择取决于流量规模、可用性要求、数据驻留法规和运维能力。无论采用哪种部署模式，补丁管理、访问控制和日志监控等基本安全措施都不可或缺。「无服务器」并非没有服务器，而是将服务器管理责任转移给云服务商的运维模式。