网络安全技术与实训-第2章-第4节-分步防守清单

第2章 网络攻击与防范

学完了攻击五阶段、端口扫描和社会工程学，很容易产生一种“敌人太多，无从下手”的无力感。破解这种无力感的办法是把防守动作标准化成一份清单——不需要每次重新思考，照着做就行。下面这五步，是针对中小规模系统最有性价比的防守次序。

一、减少暴露面：先让别人看不见

防守的第一步不是加固，而是让攻击者少知道一点。暴露的信息越少，可供攻击的入口就越少。

• 关闭 whois 中的详细联系人信息，避免外人直接拿到管理员姓名和电话。
• 官网、招聘信息、技术博客中不要透露内部系统的版本号、架构图、内部域名。
• 测试环境、管理后台、备份目录不要挂在公网可访问的位置；管理入口加上来源限制或额外认证。
• 搜索引擎里能搜到的敏感文件（备份包、日志、数据库导出）要尽快清理并设置禁止索引。

二、关闭多余端口 + 及时打补丁

这是整个清单里投入产出比最高的一条。绝大多数被成功入侵的系统，走的都是“某个早就该关的端口 + 某个早就该打的补丁”。

• 盘一遍系统上到底开了哪些端口，逐个问“这个服务还需要吗”，不需要就关掉。
• 数据库、缓存、远程管理类端口绝不直接暴露公网；必须对外时用防火墙限定来源。
• 建立补丁管理节奏：操作系统、Web 中间件、CMS、插件都要跟。注意第三方插件往往是漏洞最集中的地方——不用的插件就删掉，别只是停用。

三、强口令 + 双因素认证

口令是攻击者最省力的突破口，也是防守方最容易改善的一环。

• 长度优先于复杂度：12 位以上、大小写字母加数字加符号的组合，才具备足够的爆破成本。
• 不同系统用不同口令。一个口令泄露导致“撞库”全线失守，是极常见的失陷路径。
• 管理后台、远程登录、邮箱这些关键入口必须开启双因素认证（MFA）。
• 给登录接口加失败次数限制与临时封禁，让爆破从“花几小时”变成“不可能”。

四、定期核查异常账号与服务

假设攻击者已经进来了，这一步就是找“他留下的钥匙”。建议固定周期（比如每周）核查一遍：

• 账号：有没有陌生账号、有没有被提升为管理员的老账号、离职人员的账号是否及时禁用。
• 登录记录：有没有异常时间、异常来源 IP 的登录成功记录。
• 计划任务与开机服务：有没有陌生的定时任务、开机启动项、系统服务——这是后门最常见的落脚点。
• 文件：网站目录、上传目录里有没有出现非预期的脚本文件；系统文件是否被改动（可用校验和比对）。
• 网络连接：有没有对外发起的陌生连接。

五、日志集中存储：本地删了也没用

这条单独列出来，因为它是最容易被忽略、却在事后最救命的一招。

攻击链的最后一步就是“擦痕迹”。如果日志只留在本机，攻击者拿到权限后第一件事往往就是删日志——等你发现问题时，证据已经没了。正确做法是：把关键日志实时同步到另一台独立的主机上，并设置只写权限。这样一来，本机日志被删也不影响溯源；同时日志本身也能成为入侵检测的数据来源。

六、配套实训

本章的清单会在后续实训中反复用到：

• 实训 2（Burp Suite 与网站爆破）——做完之后回来体会第 ③ 条为什么是重中之重。
• 实训 6（一句话木马测试，蚁剑）——演示木马落地后的样子，对应第 ④ 条“核查异常文件与服务”。
• 实训 14（雷池 WAF 安装与拦截）——Web 层防护的落地实现。

⚠️ 所有涉及攻击手段的实训仅在隔离实验环境中进行，目标为课程提供的专用靶机。