網絡安全（一）：常見的網絡威脅及防範

10 月 12 日，2021 國家網絡安全宣傳周上，由工業和資訊化部人才交流中心和網絡安全産業發展中心牽頭，安恒資訊等企業參與編撰的《網絡安全産業人才發展報告》白皮書顯示，我國網絡安全産業人才需求高速增長，2021 年上半年人才需求總量較去年增長高達 39.87%，截止目前網絡安全行業人才缺口超 140 萬人。這一資料明确反映了網絡安全在各行業的滲透率，以及在人才需求結構中的重要性。

網絡安全措施也稱為資訊技術（IT）安全，旨在對抗針對網絡系統和應用程式的威脅，無論這些威脅來自組織内部還是外部。其核心功能是保護我們所使用的裝置（智能手機、筆記本電腦、平闆電腦和計算機等）以及通路的服務（生活和工作中）免遭盜竊或損壞，降低網絡攻擊的風險，并防止系統、網絡和技術遭到未經授權的利用。

網絡安全為何如此重要？

近年來，智能手機、電腦和網際網路已經成為了現代生活的基本組成部分。我們很難想象沒有它的工作和生活狀态。但是随着技術的快速發展和網際網路的大範圍普及，網絡攻擊變得越來越複雜，攻擊者使用的政策種類也越來越多。他們通常“神出鬼沒”，針對特定的漏洞進行攻擊，這讓被攻擊者遭受了巨大的經濟損失，有些甚至會名譽受損。

面對這種情況，如何采取有效的防禦措施，如何追蹤發現攻擊來源就顯得尤為重要，而這些就是網絡安全所負責的部分。

那麼面對随時可能危機到我們的網絡攻擊，網絡安全具體是如何處理的呢？在了解網絡安全前，我們也應該先了解我們的“敵人”網絡威脅。

目前網際網路中的網絡威脅主要有以下 6 種：

惡意軟體

惡意軟體是一個廣義術語，包括損害或破壞計算機的任何檔案或程式。例如：勒索軟體、僵屍網絡軟體、間諜軟體、木馬、病毒和蠕蟲等，它們會為黑客提供未經授權的通路對計算機造成損壞。比較常見的惡意軟體攻擊方式是惡意軟體将自己僞裝成合法檔案，進而繞過檢測。

分布式拒絕服務（DDoS）攻擊

DDoS 攻擊是通過大規模網際網路流量淹沒目标伺服器或其周邊基礎設施，進而破壞目标伺服器、服務或網絡正常流量的惡意行為。它利用多台受損計算機系統作為攻擊流量來源以達到攻擊效果。利用的機器可以包括計算機，也可以包括其他聯網資源（如 IoT 裝置）。

網絡釣魚/社會工程學

網絡釣魚是一種社會工程形式，它誘使使用者提供他們自己的 PII （Personal Identifiable Information，個人可識别資訊）或敏感資訊。比如我們肯定聽說過的網絡詐騙，很多就是将自己僞裝成正規合法公司的電子郵件或短信，并在其中要求使用者提供銀行卡、密碼等隐私資訊。電子郵件或短信看似來自正規合法公司，要求使用者提供敏感資訊，例如銀行卡資料或登入密碼，但是實際上隻要你完成輸入，你的個人資訊就會被盜走。這裡也提醒大家：對疑似詐騙的行為，不輕信、不透露、不轉賬。

進階持續威脅（APT）

APT 攻擊，也稱為定向威脅攻擊，指某組織對特定對象展開的持續有效的攻擊活動。這種攻擊具有極強的隐蔽性和針對性，通常會運用受感染的各種媒體、供應鍊和社會工程學等多種手段實施先進的、持久的且有效的威脅和攻擊。

中間人攻擊

中間人是一種竊聽攻擊，黑客通過攔截正常的網絡通信資料，并進行資料篡改和嗅探，而通信的雙方卻毫不知情。例如，在不安全的 Wi-Fi 網絡上，攻擊者可以攔截在訪客裝置和網絡之間傳遞的資料。

内部威脅

現任或前任員工、業務合作夥伴、外包服務商或曾通路過系統或網絡的任何人，如果濫用其通路權限，都可以被視為内部威脅。内部威脅對專注于外部威脅的傳統安全解決方案（如防火牆和入侵檢測系統）來說可能是隐形的，但也是最不容忽視的。

盡管我們無法從源頭上阻止攻擊，但是做好充足的準備和防範措施，還是可以讓損失盡量最小化。而這正是網絡安全要做到的事情。網絡安全可以大概分為 3 個部分：

裝置系統安全

資料内容安全

操作行為安全

裝置安全

裝置安全，是實體意義上的資料存儲、疊代等等的裝置，或者說伺服器、硬碟等等，它是網絡安全的物質基礎，也是網絡安全首先要考慮的問題。如果你的裝置有所損壞，那麼後續無論你進行何種操作都是白搭。

通常我們考慮裝置系統安全需要考慮以下方面：

可用性：裝置系統能否使用

可靠性：裝置能夠使用多長時間

穩定性：裝置使用時是否會出現突發問題

以個人電腦舉例，我們要保證系統版本最新，包括作業系統和所有應用程式。同時你也需要一個優秀的防毒程式和良好的防火牆。

一般而言我們所說的内容安全，是指資料内容符合國家的法律法規。但是除此外其實還有内容本身的加密和傳輸的安全性，目前我們主要使用的有兩種加密方式：

對稱加密（私人密鑰加密）

非對稱加密（公開密鑰加密）

在網絡中的操作行為其實也會威脅到網絡的安全。據統計，對于企業而言有超過 80% 以上的安全威脅是因為缺少有效的管理方法和嚴格的權限管理制度，導緻内部人員在使用網絡和裝置時通過移動裝置或網絡傳輸，主動或被動地洩露大量資料資訊資料。在社會工程學類型的威脅中，犯罪分子會通過掌握的企業資訊假裝内部員工來擷取信任，進而進一步擷取内部機密。

随着網際網路的不斷發展，網絡安全也會越來越重要，涉及到的方向肯定也會越來越全面。各位在職或在學的程式員們在思考自己還能做什麼時，不妨也考慮一下網絡安全的方向吧。

TypeScript 枚舉指南

使用 PyO3 來建構你的 Python 子產品