```html

网络安全包括哪些维度

去年一家做跨境电商的朋友半夜给我打电话，说后台订单数据被拖库了，安全攻击者还留了勒索信。包括他以为装个防火墙、网络维度定期改密码就叫“搞安全”。安全实际上，包括他漏掉的网络维度恰恰是应用层的注入漏洞和数据层的加密缺失——两个完全不同的维度。网络安全从来不是安全一根铁链，而是包括一张网，破一个洞，网络维度整张网就兜不住东西。安全

物理维度是包括最容易被忽略的。你服务器放在机房，网络维度门禁、安全监控、包括防尾随通道，甚至机柜的锁，都算。2019年某云厂商的机房因为施工队误操作拔了电源，导致大范围服务中断——这跟黑客技术没半点关系，纯粹是物理安全没管住。再强的加密算法，也扛不住硬盘被直接抱走。

网络层管的是“路”和“门”。防火墙、VPN、VLAN划分、DDoS清洗，都属于这个维度。我见过不少小公司把所有服务器扔一个子网里，数据库端口直接对公网开放，3306 就那么大剌剌地露着。一旦某台Web服务器被拿下，攻击者在内网横着走，连密码都不用猜。网络层做隔离，本质是给攻击者制造迷宫，而不是敞开大门铺红毯。

系统层涉及操作系统、中间件、容器这些“地基”。打补丁、最小权限、内核加固、镜像扫描——听着枯燥，但一个没打补丁的 Log4j 就能让整条业务线停摆。我自己的习惯是：任何新服务器上线，先跑一遍基线检查，把没用的服务全关掉，SSH 禁掉密码登录。这些动作不酷，但能挡住八成自动化扫描。

应用层是离用户最近、也最容易被蹂躏的一层。SQL注入、XSS、CSRF、越权、文件上传漏洞……每年OWASP Top 10 换汤不换药。很多开发觉得“我用了ORM就安全了”，结果写出 where(user_id = ${ req.query.id}) 这种拼接，照样被拖库。应用层安全得嵌到开发流程里，代码审计、IAST、RASP，不是上线前扫一次就完事。

数据层管的是“东西本身”。加密、脱敏、备份、防泄漏。有个做医疗SaaS的团队，数据库备份文件没加密就扔在对象存储里，结果因为存储桶权限配错，几百万份病历直接可下载。数据层安全的核心就一句话：假设存储介质随时会丢，假设传输链路随时被监听。全盘加密、TLS 1.3、字段级脱敏，一个都不能少。

还有两个维度经常被踢出讨论圈：人员和管理。钓鱼邮件能绕过所有技术防护，直接骗到HR的账号。我做过一次内部演练，发了一封“年终奖调整通知”的钓鱼邮件，三分之一的人点了链接。管理维度则包括策略、流程、合规、审计。没有事件响应预案，出了事只能现场抓瞎；没有日志留存，连攻击者怎么进来的都查不到。

最后提一嘴供应链。你用的开源组件、第三方SDK、云服务商，任何一个环节被污染，你的安全边界就形同虚设。SolarWinds 事件就是活生生的例子——攻击者没直接打你，而是打了你信任的更新服务器。供应链安全没法靠单点防御，得靠SBOM（软件物料清单）和持续监控。

这些维度不是并列的清单，而是互相咬合的齿轮。物理机房被闯入，网络层再严也白搭；应用层有漏洞，数据层加密也只能拖延时间。安全做的其实就是一件事：让攻击者每走一步都得付出不成比例的代价。至于代价够不够高，那就看你在每个维度上堆了多少真功夫，而不是买了多少盒“安全产品”。

—— 写于又一次帮朋友应急响应之后，凌晨三点。