信息安全专家
提供面向网络安全、事件响应与安全架构的综合安全框架。
安全架构
零信任架构
零信任原则：永不信任、始终验证；假设已被入侵；显式验证；最小权限访问；微隔离。
零信任组件：
- 身份：强认证（MFA）、身份治理、特权访问管理、持续验证
- 设备：设备健康验证、端点检测与响应、移动设备管理、资产清单
- 网络：微隔离、软件定义边界、加密通信、网络访问控制
- 应用：应用级认证、API 安全、Web 应用防火墙、安全编码实践
- 数据：数据分类、静态与传输中加密、数据丢失防护、访问控制
纵深防御
安全层级包括：物理（数据中心安全、门禁、监控、环境控制）、边界（防火墙、IDS/IPS、DMZ、VPN）、网络（分段、加密、网络监控、NAC）、主机（端点保护、基于主机的防火墙、加固、补丁管理）、应用（WAF、安全编码、输入验证、认证）、数据（加密、DLP、访问控制、备份/恢复）。
云安全
| 领域 | 控制措施 |
|---|---|
| 身份 | SSO、MFA、PAM、IAM 策略 |
| 计算 | 加固镜像、容器安全 |
| 网络 | VPC、安全组、WAF |
| 存储 | 加密、访问策略、备份 |
| 日志 | CloudTrail、SIEM 集成 |
| 合规 | Config 规则、自动化修复 |
详细安全框架（NIST、ISO 27001、CIS Controls、MITRE ATT&CK）参见安全框架参考文档。
漏洞管理
漏洞管理流程
生命周期：1. 发现（资产清单、漏洞扫描、渗透测试、代码分析）；2. 优先级排序（CVSS 评分、资产关键性、漏洞利用可用性、业务上下文）；3. 修复（补丁管理、配置变更、补偿控制、风险接受）；4. 验证（重新扫描、验证测试、文档记录、报告）；5. 报告（高管仪表盘、趋势分析、合规报告、SLA 跟踪）。
CVSS 评分
| 分数 | 严重性 | SLA 目标 |
|---|---|---|
| 9.0-10.0 | 严重 | 7 天 |
| 7.0-8.9 | 高 | 30 天 |
| 4.0-6.9 | 中 | 90 天 |
| 0.1-3.9 | 低 | 尽力而为 |
补丁管理
流程：1. 识别（厂商公告、漏洞情报、安全公告）；2. 评估（适用性、风险评估、测试要求）；3. 测试（实验室验证、兼容性测试、回滚计划）；4. 部署（试点组、分阶段推出、监控）；5. 验证（确认安装、功能测试、文档记录）。
身份与访问管理
IAM 框架
IAM 组件包括：身份生命周期（开通、修改、注销、认证）、认证（密码策略、多因素认证、单点登录、无密码）、授权（基于角色的访问 RBAC、基于属性的访问 ABAC、最小权限、职责分离）、治理（访问审查、策略执行、审计日志、合规报告）。
特权访问管理
PAM 控制包括：保险库（凭据存储、密码轮换、密钥管理）、会话（会话记录、即时访问、限时凭据）、监控（活动日志、行为分析、异常告警）、治理（访问认证、策略执行、合规报告）。
安全意识
安全培训计划
| 主题 | 频率 | 受众 |
|---|---|---|
| 新员工安全 | 入职时 | 所有员工 |
| 年度更新 | 每年 | 所有员工 |
| 钓鱼意识 | 每季度 | 所有员工 |
| 开发人员安全 | 每年 | 开发团队 |
| 高管简报 | 每季度 | 领导层 |
| 基于角色 | 按需 | 特定角色 |
钓鱼模拟
模拟程序：频率为每月。难度等级包括简单（通用、明显错误）、中等（品牌化、部分个性化）、困难（定向、精心构造）。指标包括点击率、报告率、培训完成率、随时间趋势。响应方式：点击→立即培训；报告→正向强化；重复违规者→额外培训。
安全指标
关键安全指标
| 类别 | 指标 | 目标 |
|---|---|---|
| 漏洞 | 超过 30 天的严重漏洞 | 0 |
| 补丁 | SLA 内完成补丁的系统 | 95%+ |
| 事件 | 平均检测时间 | <24 小时 |
| 访问 | 孤立账户 | 0 |
| 培训 | 完成率 | 95%+ |
| 钓鱼 | 点击率 | <5% |
安全仪表盘
高管仪表盘包括：风险态势（总体风险评分、风险趋势、主要风险）、合规（框架覆盖、审计发现、整改状态）、运营（事件摘要、漏洞状态、补丁合规）、投资（预算使用、工具有效性、人员编制）。
威胁情报
威胁情报来源
| 类型 | 来源 | 用途 |
|---|---|---|
| 战略 | 行业报告、地缘政治 | 高管简报 |
| 战术 | TTP、恶意软件分析 | 检测规则 |
| 运营 | IOC、攻击活动 | 主动响应 |
| 技术 | 签名、哈希 | 自动化阻断 |
详细事件响应流程与 SOC 运营参见事件响应参考文档。
参考
- 安全框架参考：NIST、ISO 27001、CIS Controls、MITRE ATT&CK
- 事件响应参考：IR 流程、严重性级别、SOC 运营
OWASP Top 10（含代码示例）
1. 失效的访问控制
错误做法：未检查授权，任何用户可访问任意数据。正确做法：验证所有权，非本人且非管理员时返回 403。
2. 加密失败
错误做法：使用弱哈希（如 MD5）。正确做法：使用 bcrypt 或 argon2。
3. 注入
错误做法：通过字符串格式化构造 SQL 查询。正确做法：使用参数化查询。命令注入方面，永远不要将用户输入直接传给 shell 命令，应使用带列表参数的 subprocess。
4. 不安全设计
错误做法：密码重置无速率限制。正确做法：速率限制加 CAPTCHA。
5. 安全配置错误
错误做法：生产环境开启调试模式暴露堆栈跟踪。正确做法：按环境配置，异常处理器记录日志并返回通用错误信息。
6. 易受攻击的组件
定期审计依赖：npm audit、pip audit、cargo audit；固定版本，使用锁文件。
7. 认证失败
错误做法：JWT 无过期时间、弱密钥。正确做法：短过期时间、强密钥、刷新令牌，使用 RS256 算法。
8. 软件和数据完整性失败
在 GitHub Actions 中固定 action 版本（不要用 @main）。
9. 安全日志与监控失败
使用结构化数据记录安全相关事件，如登录成功、失败、暴力破解检测。
10. 服务器端请求伪造（SSRF）
错误做法：用户控制 URL 且无验证。正确做法：使用域名允许列表，阻断内部 IP。
静态应用安全测试（SAST）
| 工具 | 语言 | 集成方式 |
|---|---|---|
| Semgrep | 30+ 种语言 | CI/CD、IDE、CLI |
| CodeQL | C/C++、Java、JS、Python、Go | GitHub Actions |
| SonarQube | 30+ 种语言 | 自托管、CI/CD |
| Bandit | 仅 Python | CLI、CI/CD |
Semgrep 命令示例：semgrep scan --config auto .；semgrep scan --config p/owasp-top-ten .；semgrep scan --config p/secrets .
动态应用安全测试（DAST）
OWASP ZAP 基线扫描（被动、快速）：docker run -t ghcr.io/zaproxy/zaproxy:stable zap-baseline.py -t https://your-app.com；完整扫描（主动、彻底）：zap-full-scan.py；API 扫描：zap-api-scan.py。
供应链安全
Sigstore（代码签名）
使用 cosign 签名容器镜像并验证签名。
SLSA（软件工件供应链级别）
| 级别 | 要求 |
|---|---|
| SLSA 1 | 构建过程有文档 |
| SLSA 2 | 托管构建服务、签名来源 |
| SLSA 3 | 加固构建平台、不可伪造来源 |
依赖管理
锁定依赖并定期审计：npm ci（仅从锁文件安装）、npm audit --audit-level=high、pip-audit、cargo audit；使用 Dependabot 或 Renovate 自动更新。
另见
- 风险管理
- 法律/合规
- 运营