网络安全技术与实训-第1章-第2节-PDR动态安全模型与等级保护
第1章 网络安全基础
“我们买了防火墙和杀毒软件，是不是就安全了？”这是新手最常问的问题。答案是否定的——因为攻击手法每天在变，而设备买回来那天就已经开始过时。安全不是一件产品，而是一个持续运转的过程。把这句话讲清楚的理论，就是 PDR 模型。
一、PDR：防护 → 检测 → 响应，循环着干
PDR 由三个英文单词的首字母组成，理解方式非常生活化：
- P（Protection）防护——修围墙：防火墙、访问控制、补丁管理、加密。目标是尽量不让攻击者进来，或者进来后走不远。
- D（Detection）检测——装监控：入侵检测系统、日志审计、流量分析。围墙再高也可能被翻进来，所以要有人盯着。
- R（Response）响应——快处置：发现异常后隔离主机、封禁 IP、恢复数据、溯源复盘。发现得早不如处置得快。
关键在于：这三步不是“做完就结束”的流水线，而是首尾相接的循环。每一次响应都会产生新的经验，反过来改进防护规则，然后进入下一轮检测。这就是为什么安全行业常说“没有绝对的安全，只有持续的风险管理”。
二、从 PDR 到 P2DR：加上策略这条贯穿线
后来的实践在 PDR 之外补上了一个更重要的东西——Policy（策略）。因为“防护到什么程度、检测什么行为、响应要多快”，这些都不能拍脑袋决定，必须由一套明确的策略来统管。加上策略之后，模型写成 P2DR（也常写作 PPDR）。
策略回答的是这类问题：哪些数据是核心资产？谁有权访问？出了事谁负责、多长时间内必须响应？没有策略的 PDR，就像没有图纸就开工的工地——看起来很忙，但不知道在盖什么。
三、等保 2.0：国家给信息系统出的“安全考卷”
在国内做安全，一定会遇到“等保”这个词。它的全称是网络安全等级保护制度，技术标准是 GB/T 22239，现行版本通常称为“等保 2.0”。
可以把它理解成国家给信息系统组织的一场分级考试：系统越重要，考的科目越多、要求越严。共分五级，一般单位会接触到的是第一级到第四级：
| 级别 | 定级对象（举例） | 备案与测评要求 |
|---|---|---|
| 第一级 | 一般内部小系统，受损只影响本单位 | 自主定级、自主保护，不强制测评 |
| 第二级 | 普通企业官网、内部办公系统 | 需到公安机关备案，建议定期测评 |
| 第三级 | 涉及大量个人信息、行业关键业务系统 | 强制备案并每年测评一次 |
| 第四级 | 关系国计民生的核心系统 | 强制备案，每半年测评一次，要求更严 |
完整的等保流程可以概括为五步：定级 → 备案 → 建设整改 → 等级测评 → 监督检查。注意其中“建设整改”这一步——测评不是为了发证，而是为了把不合规的地方一条条改掉，改完再测。
常见误区：把等保当成“买一堆设备应付检查”。真正落地的等保，考的是制度、流程和记录——有没有人负责、有没有定期做、有没有留下可追溯的日志。光有设备没有管理，测评一样过不了。
四、配套实训
本章不单独安排实训。但第 6 章的 实训 8（Snort 入侵检测规则与告警） 和 实训 7（Wireshark 数据包分析） 正是 PDR 中“检测（D）”环节的动手落地：先能从流量里发现问题，才谈得上响应。