跳到页面内容
每日网安DAILY SECURITY TERMS
KNOWLEDGE MAP

知识关系图

从 8 个主题出发，把 100 个安全概念连起来。

点主题放大图解，或用文字目录查找术语。

总览可左右滑动；键盘聚焦画布后可用方向键滚动。

细线表示分类归属，彩色线表示下方图例中的概念关系；箭头从起点指向终点，容易混淆关系无方向。选择术语后，下方文字面板提供每条关系的类型、方向和解释。防护：账户锁定 → 缓解 → 暴力破解；账户锁定能限制针对同一账户的连续密码猜测，但需防范攻击者故意触发锁定造成拒绝服务。防护：速率限制 → 缓解 → 暴力破解；按账户、来源和行为联合限速可降低在线密码猜测速度，但不能阻止离线破解。容易混淆：暴力破解 ↔ 对比 ↔ 密码喷洒；暴力破解泛指大量猜测凭据，密码喷洒则把少量常见密码分散到许多账户上以规避单账户限制。容易混淆：撞库 ↔ 对比 ↔ 密码喷洒；撞库复用已泄露的账号密码组合，密码喷洒则对多个账户尝试常见密码。防护：密码管理器 → 缓解 → 撞库；密码管理器帮助为每个站点生成独立密码，从而减少一个站点泄露后被跨站撞库的风险。防护：MFA 多因素认证 → 缓解 → 撞库；MFA 增加独立认证因素，可降低仅凭泄露密码完成账户接管的风险，但部分认证方式仍可能被钓鱼绕过。防护：Passkey 通行密钥 → 缓解 → 网络钓鱼；通行密钥把认证绑定到站点身份，可抵抗仿冒登录页窃取可复用登录凭据，但不能阻止所有诈骗。容易混淆：MFA 多因素认证 ↔ 对比 ↔ Passkey 通行密钥；MFA 描述使用多类认证因素的要求，通行密钥是一种公钥认证方式，是否满足多因素要求取决于用户验证方式等条件。容易混淆：OAuth ↔ 对比 ↔ SSO 单点登录；OAuth 解决委托授权，SSO 解决一次登录访问多个系统，基于 OAuth 的登录通常还需要 OIDC 等身份层。配合使用：RBAC 基于角色的访问控制 → 支撑 → 最小权限；把角色权限限制在实际工作所需范围内，能用 RBAC 落实最小权限，但角色过宽仍会造成过度授权。学习前置：服务账户 → 帮助理解 → PAM 特权访问管理；理解服务账户的非人类身份和权限范围后，更容易识别哪些高权限机器凭据也需纳入 PAM 管理。学习前置：API 密钥 → 帮助理解 → 密钥与机密管理；先理解 API 密钥是可被冒用的机器凭据，再学习集中保管、按需分发和及时轮换的机密管理。容易混淆：API 密钥 ↔ 对比 ↔ 服务账户；服务账户是应用或任务使用的身份，API 密钥是调用接口的凭据，两者不能当成同一个概念。配合使用：密码管理器 → 支撑 → 密码安全；密码管理器通过生成和保存独立强密码帮助落实密码安全，仍需保护其主账户与恢复方式。学习前置：最小权限 → 帮助理解 → 零信任；先理解每次访问只授予所需权限，再学习零信任如何结合身份、设备与上下文持续做访问决策。配合使用：堡垒机 → 支撑 → PAM 特权访问管理；堡垒机通过集中运维入口和记录会话支撑特权访问管理，但不等于完整的 PAM 体系。学习前置：Cookie → 帮助理解 → CSRF；理解浏览器会按规则自动携带 Cookie，有助于理解 CSRF 如何借用受害者的登录状态发起请求。学习前置：Cookie → 帮助理解 → 会话劫持；先理解会话 Cookie 如何代表登录状态，就能理解其泄露后为什么可能被用于会话劫持。容易混淆：CORS ↔ 对比 ↔ CSRF；CORS 主要控制脚本能否读取跨源响应，CSRF 关注非自愿的带凭据请求，因此配置 CORS 不能替代完整的 CSRF 防护。容易混淆：XSS 跨站脚本 ↔ 对比 ↔ CSRF；XSS 让恶意脚本在受信任页面中执行，CSRF 则诱使浏览器发起非自愿请求，两者利用的边界不同。防护：安全响应头 → 缓解 → XSS 跨站脚本；严格配置的 CSP 可限制恶意脚本执行，是输出编码与安全渲染之外的补充防线，不能代替漏洞修复。容易混淆：SQL 注入 ↔ 对比 ↔ 命令注入；SQL 注入把输入变成数据库指令，命令注入把输入变成系统命令，两者进入的是不同解释器。防护：WAF Web 应用防火墙 → 缓解 → SQL 注入；WAF 可拦截部分 SQL 注入请求作为临时或补充防护，根本修复仍需参数化查询等安全实现。防护：防火墙 → 缓解 → SSRF 服务端请求伪造；对服务器实施出站防火墙规则可限制 SSRF 访问部分内部或外部目标，仍需应用层目标校验和元数据服务防护。容易混淆：路径遍历 ↔ 对比 ↔ 任意文件上传；路径遍历绕过文件路径边界，任意文件上传绕过上传内容或存储约束，两者可组合但并不是同一种漏洞。容易混淆：不安全反序列化 ↔ 对比 ↔ 命令注入；不安全反序列化在还原不可信对象时触发危险行为，命令注入则让输入进入系统命令，两者可能造成相似后果但入口不同。容易混淆：IDOR 越权访问 ↔ 对比 ↔ CSRF；IDOR 利用服务端缺少对象级授权检查，CSRF 则借用受害者身份发起操作，防护时分别需要授权校验和请求来源验证。容易混淆：JWT ↔ 对比 ↔ Cookie；JWT 是承载声明的令牌格式，Cookie 是浏览器的存储与传递机制，JWT 可以放进 Cookie 但二者不能互换定义。攻击链：XSS 跨站脚本 → 可促成 → 会话劫持；当会话标识可被脚本读取时，XSS 可能窃取它并促成会话劫持，而 HttpOnly 也不能阻止所有 XSS 后果。学习前置：盐值 → 帮助理解 → 密码哈希；先理解每个密码使用独立随机盐如何避免相同哈希和预计算复用，再学习配合专用慢哈希算法保存密码。容易混淆：加密 ↔ 对比 ↔ 密码哈希；加密允许持有密钥者还原明文，密码哈希用于不可逆验证密码，因此密码存储通常不应以可逆加密替代专用哈希。容易混淆：加密 ↔ 对比 ↔ 数字签名；加密主要保护机密性，数字签名用于验证数据来源与完整性，签名本身不会隐藏内容。学习前置：数字签名 → 帮助理解 → PKI 公钥基础设施；理解私钥签名与公钥验证后，更容易理解 PKI 如何通过证书签名建立身份与公钥的信任链。学习前置：PKI 公钥基础设施 → 帮助理解 → TLS；先了解证书和信任链，有助于理解常见 HTTPS 场景中 TLS 如何校验服务器身份。学习前置：加密 → 帮助理解 → TLS；先理解密钥与加密，再学习 TLS 如何结合密钥协商、认证和完整性保护建立安全通道。学习前置：PII 个人身份信息 → 帮助理解 → 数据分类分级；先识别哪些数据能直接或间接识别个人，再结合敏感程度和业务影响制定分类分级规则。配合使用：数据分类分级 → 支撑 → 数据脱敏；数据分类分级帮助确定哪些字段需要脱敏以及采用何种方式，脱敏结果仍需评估重新识别风险。配合使用：数据分类分级 → 支撑 → DLP 数据防泄漏；分类分级结果为 DLP 提供敏感数据识别和外传处置策略的依据。容易混淆：SPF ↔ 对比 ↔ DKIM；SPF 检查发送服务器是否获域名授权，DKIM 验证邮件签名及签名覆盖内容的完整性，两者验证的对象不同。学习前置：SPF → 帮助理解 → DMARC；先理解 SPF 的发信服务器授权，再学习 DMARC 如何检查 SPF 域与可见发件人域的对齐。学习前置：DKIM → 帮助理解 → DMARC；先理解 DKIM 的签名域，再学习 DMARC 如何要求至少一项通过且对齐的 SPF 或 DKIM 结果。学习前置：数字签名 → 帮助理解 → DKIM；数字签名的原理有助于理解 DKIM 如何让收件方验证签名域及邮件中被签名的内容。防护：DNSSEC → 缓解 → DNS 缓存投毒；在域名已签名且解析器正确验证的条件下，DNSSEC 可拒绝伪造 DNS 数据，但不加密查询也不证明网站内容安全。容易混淆：BGP 劫持 ↔ 对比 ↔ DNS 缓存投毒；BGP 劫持篡改路由公告，DNS 缓存投毒篡改域名解析，两者都可能引流但发生在不同层面，网络分段不能直接修复路由劫持。学习前置：数字签名 → 帮助理解 → DNSSEC；理解签名与验证后，更容易理解 DNSSEC 如何沿信任链验证 DNS 记录的来源和完整性。配合使用：防火墙 → 支撑 → 网络分段；防火墙规则可在网络分区之间实施访问控制，让网络分段真正限制跨区连接。防护：网络分段 → 缓解 → 勒索软件；有效的网络分段可限制勒索软件的横向移动与受影响范围，但不能防止已失陷分区内的数据被加密。容易混淆：VPN 虚拟专用网络 ↔ 对比 ↔ TLS；VPN 通常建立设备或网络之间的隧道，TLS 保护应用通信连接，部分 VPN 使用 TLS 但两者保护范围不同。攻击链：僵尸网络 → 可促成 → DDoS 分布式拒绝服务；攻击者可指挥僵尸网络中的大量设备同时发送流量以实施 DDoS，但 DDoS 也可能来自反射放大等其他来源。防护：速率限制 → 缓解 → DDoS 分布式拒绝服务；速率限制可缓解部分应用层请求洪泛，但链路已被大流量耗尽时还需上游清洗或分布式抗 DDoS 能力。概念归属：网络钓鱼 → 属于 → 社会工程；网络钓鱼是社会工程的一种，常借助伪造消息或页面诱导目标泄露信息或执行操作。概念归属：诱饵攻击 → 属于 → 社会工程；诱饵攻击属于社会工程，利用奖品、免费资源或遗落设备引发好奇心并诱导危险操作。概念归属：借口式社会工程 → 属于 → 社会工程；借口式社会工程通过编造身份与情境取得信任，是社会工程的一种具体手法。概念归属：尾随进入 → 属于 → 社会工程；尾随进入利用人员信任或疏忽绕过实体门禁，是发生在物理访问场景中的社会工程。攻击链：网络钓鱼 → 可促成 → 商业邮件诈骗；钓鱼可用于窃取邮箱凭据，再利用真实邮箱实施商业邮件诈骗，但商业邮件诈骗并不一定先攻陷邮箱。攻击链：深度伪造诈骗 → 可促成 → 商业邮件诈骗；伪造高管或供应商的语音和视频可能为商业邮件诈骗中的转账请求增加可信度。攻击链：水坑攻击 → 可促成 → 路过式下载；水坑攻击可在目标常访问的网站植入恶意内容，使访问者遭遇路过式下载或浏览器漏洞利用。攻击链：诱饵攻击 → 可促成 → 木马；诱饵攻击可把木马包装成免费工具或资源，诱导用户主动运行。概念归属：勒索软件 → 属于 → 恶意软件；勒索软件是以加密或窃取数据进行勒索的恶意软件类型。概念归属：木马 → 属于 → 恶意软件；木马是伪装成正常软件或文件以诱导执行的恶意软件类型。概念归属：蠕虫 → 属于 → 恶意软件；蠕虫是能自动向其他主机传播的恶意软件类型。概念归属：间谍软件 → 属于 → 恶意软件；间谍软件是以秘密收集用户或设备信息为主要目的的恶意软件类型。概念归属：无文件恶意软件 → 属于 → 恶意软件；无文件恶意软件属于恶意软件，主要依赖内存或系统自带工具运行，不意味着完全没有文件或可调查痕迹。容易混淆：Rootkit ↔ 对比 ↔ 间谍软件；Rootkit 侧重隐藏与维持控制，间谍软件侧重秘密收集信息，二者可能协同但不等同。容易混淆：键盘记录器 ↔ 对比 ↔ 间谍软件；键盘记录器描述记录按键的工具或能力，也可能用于合法场景，间谍软件则以秘密收集信息为目的且不限于键盘输入。容易混淆：挖矿劫持 ↔ 对比 ↔ 恶意软件；挖矿劫持描述未授权占用算力的行为，恶意软件描述有害程序，挖矿劫持也可能通过盗用云账户部署普通矿工程序实现。容易混淆：木马 ↔ 对比 ↔ 蠕虫；木马强调伪装和诱导执行，蠕虫强调自动传播，同一个恶意程序也可能同时具备两类特征。容易混淆：漏洞利用 ↔ 对比 ↔ 零日漏洞；漏洞利用是触发缺陷的手段或代码，零日漏洞描述漏洞的发现与修复状态，因此并非所有漏洞利用都针对零日漏洞。防护：EDR 终端检测与响应 → 缓解 → 无文件恶意软件；EDR 的进程、内存和行为检测可帮助发现并遏制无文件恶意活动，但覆盖范围和检测效果取决于产品与配置。容易混淆：IDS 入侵检测系统 ↔ 对比 ↔ IPS 入侵防御系统；IDS 通常侧重检测与告警，IPS 通常部署在流量路径上并能阻断，实际能力仍取决于部署模式。配合使用：EDR 终端检测与响应 → 支撑 → SIEM 安全信息与事件管理；EDR 的终端告警与遥测可送入 SIEM，与其他日志关联以补充调查上下文。配合使用：审计日志 → 支撑 → SIEM 安全信息与事件管理；审计日志为 SIEM 的跨系统关联分析提供谁在何时做了什么的证据。配合使用：SIEM 安全信息与事件管理 → 支撑 → SOAR 安全编排自动化与响应；SIEM 的关联告警可触发 SOAR 调查与处置流程，高影响动作仍应按策略审批。配合使用：SOAR 安全编排自动化与响应 → 支撑 → 事件响应；SOAR 把重复的调查与处置步骤编排成流程，协助事件响应而不能替代人员判断。配合使用：IOC 入侵指标 → 支撑 → 事件响应；IOC 可帮助事件响应团队寻找可疑活动和关联证据，但单个指标命中不能自动证明入侵。配合使用：蜜罐 → 支撑 → IOC 入侵指标；蜜罐观察到的恶意地址、文件哈希等线索可形成候选 IOC，仍需验证并结合上下文使用。容易混淆：TTP 战术技术与程序 ↔ 对比 ↔ IOC 入侵指标；TTP 描述攻击者的行为模式，IOC 描述域名、哈希等具体入侵线索，两者的抽象层次不同。配合使用：MITRE ATT&CK → 支撑 → TTP 战术技术与程序；MITRE ATT&CK 用战术、技术和实例帮助组织与交流攻击者 TTP，而不等同于事件严重性评分。配合使用：CVE → 支撑 → 补丁管理；CVE 编号帮助补丁管理团队对应同一已知漏洞，但补丁优先级还需结合可利用性、资产暴露和业务影响。防护：补丁管理 → 缓解 → 漏洞利用；经验证的安全补丁可移除其覆盖的漏洞利用条件，但不能保证系统不存在其他可利用缺陷。容易混淆：SAST 静态应用安全测试 ↔ 对比 ↔ DAST 动态应用安全测试；SAST 分析源码或编译产物，DAST 从运行中的应用外部测试行为，两者覆盖面互补且都可能漏报。配合使用：SAST 静态应用安全测试 → 支撑 → 安全开发生命周期；SAST 可作为安全开发生命周期中的自动检查环节，发现问题后还需人工确认与修复。配合使用：DAST 动态应用安全测试 → 支撑 → 安全开发生命周期；DAST 在可运行环境中验证部分应用风险，为安全开发生命周期提供动态测试反馈。配合使用：威胁建模 → 支撑 → 安全开发生命周期；威胁建模把设计阶段发现的攻击路径转化为安全需求、控制措施和测试重点。学习前置：攻击面 → 帮助理解 → 威胁建模；先盘点可接触的入口和接口，再在威胁建模中分析资产、信任边界与可能攻击路径。配合使用：威胁建模 → 支撑 → 风险评估；威胁建模提供潜在攻击路径与缓解措施，帮助风险评估判断可能性、影响和处置优先级。防护：SBOM 软件物料清单 → 缓解 → 供应链攻击；SBOM 帮助识别受影响组件并缩小供应链事件排查范围，但清单本身不会阻止恶意依赖或证明软件可信。配合使用：SBOM 软件物料清单 → 支撑 → 漏洞扫描；SBOM 的组件和版本信息可辅助漏洞扫描匹配已知问题，但仍需核实运行环境和实际可利用性。容易混淆：漏洞扫描 ↔ 对比 ↔ 渗透测试；漏洞扫描主要自动发现已知问题线索，渗透测试在授权范围内进一步验证可利用性和攻击影响。配合使用：漏洞扫描 → 支撑 → 补丁管理；漏洞扫描的发现与复测结果可帮助补丁管理确定修复对象并验证处置情况。配合使用：风险评估 → 支撑 → 补丁管理；风险评估结合资产重要性、暴露面和利用情况，为补丁测试与部署确定优先级。防护：最小权限 → 缓解 → 内部威胁；最小权限可缩小内部人员误用或滥用账户时的影响范围，但不能完全消除合法权限被滥用的风险。配合使用：补丁管理 → 支撑 → 网络安全卫生；持续盘点、测试并安装必要更新，是网络安全卫生中减少已知漏洞暴露的日常实践。Account LockoutAPI KeyBrute ForceCredential StuffingLeast PrivilegeMFAOAuthPAMPasskeysPassword ManagerPassword SecurityPassword SprayingRBACSecrets ManagementService AccountSSO身份访问Attack SurfaceCVECyber HygieneDASTInsider ThreatMITRE ATT&CKPatch ManagementPenetration TestingRisk AssessmentSASTSBOMSecure SdlcThreat ModelingZero Trust安全工程治理Audit LogDLPEDRHoneypotIDSIncident ResponseIOCIPSSIEMSOARTTPVulnerability Scanning安全运营BaitingBusiness Email CompromiseDeepfake FraudPhishingPretextingSocial EngineeringTailgatingWatering Hole社会工程Bastion HostBGP HijackingDDoSDKIMDMARCDNS Cache PoisoningDNSSECFirewallNetwork SegmentationSPFTLSVPN网络基础设施BotnetCryptojackingDrive By DownloadExploitFileless MalwareKeyloggerMalwareRansomwareRootkitSpywareSupply Chain AttackTrojanWormZero Day恶意软件攻击Command InjectionCookiesCORSCSRFIDORInsecure DeserializationJWTPath TraversalRate LimitingSecurity HeadersSession HijackingSQL InjectionSSRFUnrestricted File UploadWAFXSSWeb应用Data ClassificationData MaskingDigital SignatureEncryptionPassword HashingPIIPKISalt数据密码
未完成术语已学会细线：分类归属
  • 防护防护措施 → 风险；表示降低风险，不保证完全阻止
  • 学习前置基础概念 → 后续概念；是建议学习顺序，不是必需技术依赖
  • 容易混淆两个概念的区别；无方向，不代表互相防护
  • 配合使用工具或信息 → 所支撑的实践
  • 攻击链攻击手段 → 可能的后续攻击；不代表必然发生
  • 概念归属具体类型 → 上位概念

全部术语

100 个匹配 · 点击查看概念和关联