网络安全技术与实训-第1章-第1节-安全三要素CIA

第1章 网络安全基础

说到网络安全，很多同学第一反应是“装杀毒软件”“买台防火墙”。但设备只是工具，真正要先想清楚的是：我们到底在保护什么？ 业界把这件“要保护的东西”归纳成三个词——机密性、完整性、可用性，合称 CIA 三要素。它是整门课的总纲，后面九章讲的攻与防，全都围绕这三样展开。

一、C 机密性（Confidentiality）：该看的人才能看

机密性说的是信息不被未授权的人看到。类比一下：你的日记本要上锁，只有你自己能翻开；如果放在教室讲台上任人翻阅，机密性就没了。

• 典型破坏场景：数据库被“拖库”——攻击者拿走整张用户表，几百万条账号密码外泄，这就是机密性被破坏。
• 常见手段：数据加密存储与传输、严格的访问控制（谁能读、谁能改，一条条写清楚）、敏感信息脱敏展示（手机号只显示中间四位）。
• 日常例子：网站用 HTTPS 而不是 HTTP，就是为了不让中间人看到你输入的口令。

二、I 完整性（Integrity）：东西没有被偷偷改过

完整性说的是数据保持原样、没有被篡改。类比：签合同要盖骑缝章，收快递要检查封条有没有破损——都是在确认“东西还是原来的样子”。

• 典型破坏场景：网页被挂马或篡改成赌博广告；转账金额在传输途中被改成另一个数字。
• 常见手段：散列校验（比对文件的“指纹”）、数字签名、重要数据做版本留痕。网站上线前用校验和比对系统文件，就是在保完整性。

三、A 可用性（Availability）：需要的时候必须能用

可用性说的是服务在需要时随时可用。类比：手机没电、电梯停运——东西还在，但用不上，等于没有。

• 典型破坏场景：DDoS 攻击把服务器打瘫，真实用户全部进不来；机房断电导致业务停摆。
• 常见手段：冗余部署（多台机器、多条线路）、定期备份、流量清洗与限速、UPS 与灾备演练。

四、三者为什么“一个都不能丢”

很多人以为安全就是“别被偷”。其实只保住一项是不够的：

• 只有机密性、没有完整性 → 数据没泄露，但被改坏了，业务照样出错。
• 只有完整性、没有可用性 → 数据完好无损，但网站打不开，用户全跑了。
• 只有可用性、没有机密性 → 服务一直在线，但用户的密码正在被围观。

更现实的是，这三者之间还存在权衡：加密强度调高、校验做得更严，往往会牺牲一部分性能与便利。安全的目标不是把某一项做到极致，而是让三者的组合恰好匹配业务的真实需要。

五、配套实训

本章为理论章节，不单独安排实训。但 CIA 是后面所有实训的判分尺子：做 SQL 注入实训时，你破坏的是机密性；做网页篡改演示时，破坏的是完整性；做流量攻击演示时，破坏的是可用性。每做完一个实训，回头问自己一句“我刚刚动的是 CIA 里的哪一项”，思路会清楚很多。