搞不清这些专业名词的区别，所以我来整理一下。
POC、EXP、Payload与Shellcode
这四个概念经常一起出现，但含义各不相同。用一个比喻来理解：你发现一扇窗户没锁（漏洞），你轻轻推了一下窗户，证明它能被推开——这就是 POC（Proof of Concept，概念验证），仅用于证明漏洞存在。接着你从窗户潜入房间，并安装了一个录音笔——潜入的过程是 EXP（Exploit，漏洞利用程序），录音笔本身是 Payload（攻击载荷），而录音笔里那段自动运行的录制代码就是 Shellcode。Payload 是攻击最终要执行的内容，Shellcode 则是其中最底层、直接与系统交互的那一段机器码。
在 Metasploit Framework 中，Payload 分为三种类型：
- Single：完全独立的 Payload，一段完整代码，一次执行完成所有功能，如
windows/shell_bind_tcp。 - Stager：非常小的程序，唯一目的是建立网络连接，然后下载后续更大的 Stages。
- Stages：由 Stager 下载的实际攻击模块，包含完整的功能，如键盘记录、文件操作等。
Top加更：暗网
暗网就像带密码的 QQ 空间。你公开的 QQ 动态就是明网（Surface Web），所有人都能看到；你的 QQ 空间设置了访问密码，只有知道密码的人才能进去，这就是暗网。不同的是，暗网的"密码"不是一串字符，而是特定的网络协议和匿名工具。
Tor 浏览器（The Onion Router，洋葱路由）是访问暗网最常用的工具。它的原理就像剥洋葱：你的数据包被层层加密，经过全球至少三个随机节点逐层解密转发，每个节点只知道"上一站"和"下一站"，不知道数据来源和最终目的地，从而实现匿名通信。
本文后半部分术语词典转载自教父博客，经整理补充。
一、攻击篇
1. 攻击工具
肉鸡：被黑客远程控制的计算机。攻击者可以在不惊动用户的情况下，远程操控肉鸡进行各种活动，如发送垃圾邮件、发动 DDoS 攻击、挖矿等。肉鸡通常是被植入木马后落入攻击者手中的。
僵尸网络：由大量肉鸡组成的受控网络。攻击者通过命令与控制（C2）服务器统一操控这些肉鸡，发动大规模的分布式攻击。僵尸网络的规模可以从几千到数百万台设备。
木马：全称"特洛伊木马"（Trojan Horse），指伪装成正常程序或文件的恶意软件。用户被诱导下载运行后，木马在后台悄悄地打开后门，窃取数据或下载其他恶意程序。木马不会自我复制，这是它与病毒、蠕虫的核心区别。
网页木马：植入在网页中的恶意脚本。用户访问被挂马的网页后，浏览器漏洞被触发，自动下载并执行木马程序。通常利用浏览器或插件的已知漏洞实现"驱动式下载"（Drive-by Download），用户甚至不需要点击任何东西。
Rootkit：一种用来隐藏自身或其它恶意程序踪迹的工具集。它能深入操作系统内核层，修改系统调用、拦截内核数据，使杀毒软件无法检测到恶意进程、文件和网络连接，是攻击者维持长期隐蔽访问的利器。
蠕虫病毒：能够自我复制并主动传播的恶意程序。与木马不同，蠕虫不需要用户交互就能通过网络、邮件、移动存储设备等自动传播，可以造成网络拥塞和系统瘫痪。代表作有震网（Stuxnet）、Conficker 等。
震网病毒（Stuxnet）：史上最早被公开报道的"武器级"蠕虫病毒。2010 年被发现，专门针对伊朗纳坦兹核设施的西门子工业控制系统（SCADA）。它通过 Windows 系统传播，最终篡改离心机转速，悄然破坏物理设备，开创了网络武器的先河。
勒索病毒：加密受害者文件，要求支付赎金（通常是加密货币）才能解密的恶意软件。典型如 WannaCry（利用MS17-010漏洞）、Petya、LockBit 等。即使支付赎金，攻击者也未必会真正提供解密密钥。
挖矿木马：利用受害者的计算资源（CPU/GPU）来挖掘加密货币的恶意程序。它会长期占用系统资源，导致设备发烫、运行缓慢、电费飙升，但通常不会删除或加密用户文件，因此比勒索病毒更隐蔽。
攻击载荷（Payload）：指攻击者在利用漏洞成功后，实际投放到目标系统中执行恶意操作的那部分代码。它不负责"如何进入系统"（那是 Exploit 的工作），而是负责"进来之后做什么"——比如建立反弹Shell、窃取数据、开启后门等。
嗅探器（Sniffer）：在网络中捕获并分析数据包的工具。正常用途是网络管理和排错（如实用的 Wireshark），但在攻击者手中则用于窃取未加密的账号密码、会话 Cookie 等敏感信息。ARP 欺骗能扩大嗅探范围。
恶意软件（Malware）：所有恶意程序的统称。包括病毒、蠕虫、木马、勒索软件、间谍软件、广告软件（达到恶意程度的）、Rootkit、Bot 等。它是"恶意"（Malicious）和"软件"（Software）的合成词。
间谍软件（Spyware）：秘密监视用户活动并收集数据的程序。它可以记录键盘输入（Keylogger）、截取屏幕、窃取浏览器历史、读取邮件等。与普通木马的区别在于，间谍软件的核心目标就是持续地窃取信息。
后门（Backdoor）：绕过正常的身份验证机制、秘密访问系统的途径。早期是开发者为了方便调试留下的，现在更多是被攻击者用木马植入的。Web 后门中最常见的就是 WebShell。
弱口令：极其简单或符合默认规律的密码，如 admin/admin、123456、password。弱口令是渗透测试中最常见、最容易被利用的突破口之一，甚至比某些技术漏洞更致命。
漏洞（Vulnerability）：系统中存在的安全缺陷或弱点。攻击者可以利用漏洞造成违反安全策略的后果——获取未授权访问、提升权限、执行任意代码、导致服务不可用等。漏洞按危险程度分为严重、高危、中危、低危。
远程命令执行漏洞（RCE，Remote Code Execution）：允许攻击者在目标服务器上远程执行任意系统命令或代码的漏洞。这是最危险的漏洞类型之一，因为一旦利用成功，攻击者就获得了服务器的控制权。Log4Shell、永恒之蓝等都是著名的 RCE 漏洞。
0day 漏洞：已被发现但官方尚未发布修复补丁的漏洞。“0day"意为从补丁发布算起，漏洞被公开的天数为零。这些漏洞在补丁发布前的灰色市场价值极高，常被国家级 APT 组织和网络武器交易商追逐。
1day 漏洞：官方已发布补丁但大多数用户尚未修补的漏洞。“1day"指补丁发布后经过了一天，漏洞利用价值依然很高，因为大部分用户不会在第一时间打补丁。
Nday 漏洞：已发布补丁较长时间，但仍有大量系统未修补的漏洞。N 表示从补丁发布后经过的天数，利用价值随时间递减，但在低频维护的系统（如工控、IoT）中仍有效。
2. 攻击方法
挂马：在网站页面中植入恶意代码（网页木马），使访问者自动感染病毒或木马。常见手段包括篡改正常页面、在第三方广告位/统计代码中植入恶意脚本等。
挖洞：行业黑话，指寻找系统漏洞的过程。安全研究人员"挖洞"是为了提交给厂商获取赏金或 CVE 编号，攻击者"挖洞"则是为了找到入侵的突破口。
加壳：在可执行文件外面加一层压缩或加密的"外壳”，变相改变文件结构，用来躲避杀毒软件的特征码检测。脱壳是逆向分析的基础步骤。
溢出：程序试图将超过分配空间大小的数据写入内存，导致数据越界覆盖。这会引发程序崩溃，还可能被精心构造来实现代码执行。
缓冲区溢出（Buffer Overflow）：溢出攻击中最经典的一类。攻击者向程序缓冲区写入超长数据，溢出部分覆盖了返回地址，使程序跳转到攻击者指定的 Shellcode 处执行。开发时未检查输入长度是这类漏洞的根本原因。
注入（Injection）：将恶意数据当作代码或命令插入到解释器中执行。本质上是数据和代码没有严格区分造成的，是常年位居 OWASP Top 10 前列的攻击类型。
SQL 注入（SQL Injection）：在 Web 表单或 URL 参数中插入恶意 SQL 语句片段，欺骗数据库执行非预期的查询。轻则可绕过登录验证、窃取数据；重则能增删改表，甚至通过数据库提权拿下整个服务器。防御的核心是参数化查询，而非单纯过滤关键字。
注入点：能够实施注入攻击的具体输入位置。比如一个搜索框对输入未做安全过滤，就可能成为 SQL 注入点、XSS 注入点或命令注入点。找注入点是渗透测试的基本功。
软件脱壳：逆向分析前将有壳程序的保护壳去掉，还原出原始可执行文件。攻防双方都会用到：攻击者脱壳后分析挖掘漏洞，免杀作者也研究脱壳技术来分析杀软的行为。
免杀：使恶意代码不被杀毒软件检测出来的技术。方法多样：修改代码特征、加壳混淆、采用无文件落地 Living-off-the-Land 技术等。免杀和查杀是持续的军备竞赛。
暴力破解（Brute Force）：逐一尝试所有可能的密码组合直到猜中。纯暴力破解耗时长，实践中常用字典攻击，利用弱口令列表来提高效率。防御手段：强密码策略、多因子认证、登录失败锁定及验证码。
洪水攻击（Flooding）：向目标发送海量数据包，耗尽网络带宽或服务器资源，使其无法正常提供服务。SYN Flood、UDP Flood、HTTP Flood 都是常见变种，属于 DoS/DDoS 攻击的技术层面。
SYN 攻击：利用 TCP 三次握手机制的拒绝服务攻击。攻击者发送大量 SYN 包但不完成第三次握手，导致服务器积累大量半开连接，最终耗尽连接表资源。即使服务器带宽未满，也无法接受新连接，是"协议层面"的 DoS 攻击。
DoS 攻击（Denial of Service，拒绝服务攻击）：通过一台或少量的机器让目标服务不可用。手段可以是流量洪水，也可以是协议缺陷利用（如 Ping of Death），核心目标是"让你瘫痪”。
DDoS（Distributed Denial of Service，分布式拒绝服务攻击）：DoS 的升级版，通过僵尸网络从成百上千个不同来源同时发起攻击，使防御方很难通过封禁 IP 来应对。DDoS 常作为勒索或商业打压的工具。
抓鸡：获取肉鸡的过程。攻击者扫描互联网上存在漏洞的机器，利用公开 EXP 或自研工具拿下控制权，将目标变成受控的"鸡"。
端口扫描：探测目标主机开放了哪些 TCP/UDP 端口，并进一步识别端口背后的服务及版本。Nmap 是最知名的端口扫描工具。端口扫描是攻击链的第一步——你没有敞开的门，攻击者也进不来。
花指令：在代码中插入不被执行但对反汇编器产生干扰的垃圾指令，阻碍逆向分析人员理解程序逻辑。是免杀和软件保护中的常用混淆手段。
反弹端口（Reverse Shell）：让目标主机主动"回连"攻击者的机器以建立 Shell 会话。由于防火墙通常放行出站流量，反弹 Shell 能绕过 NAT 和入站防火墙限制，是渗透测试中最常用的 Shell 获取方式。
网络钓鱼（Phishing）：伪造看似正规的邮件、网站或即时消息，诱骗用户主动泄露账号密码、银行卡号、身份证等敏感信息。最基本有效的社会工程攻击手段。
鱼叉攻击（Spear Phishing）：针对特定个人或组织的定制化钓鱼攻击。攻击者事先研究目标的兴趣爱好、社交关系、工作内容，精心定制欺诈信息，极具迷惑性。成功率远高于常规钓鱼。
钓鲸攻击（Whaling）：专门针对高管级别目标（CEO、CFO、CTO 等）的鱼叉攻击。常假扮为商务合作伙伴或监管机构，以法务、金融合规等高压话术增加紧迫感，骗取大额转账授权或核心商业机密。
水坑攻击（Watering Hole）：攻击者入侵目标群体常访问的合法网站，在页面上植入恶意代码，守株待兔等待目标访问时自动感染。就像在猎物常喝水的池塘下毒，故称"水坑"。
嗅探：使用 Sniffer 窃听网络流量的行为。在局域网中，通过 ARP 欺骗等攻击可以嗅探到整个网段的明文通信。防御：使用加密协议（HTTPS、SSH、VPN），避免明文传输。
APT 攻击（Advanced Persistent Threat，高级持续性威胁）：通常由国家背景支持的专业黑客团队发起，针对特定目标进行长期、隐蔽、持续渗透。一旦成功进入，会持续潜伏数月至数年，旨在窃取核心数据或实施破坏，不追求短期经济利益。代表组织如 APT28、APT29、Lazarus、方程式组织等。
C2（Command and Control，命令与控制）：攻击者用来远程控制肉鸡或木马的基础设施。C2 服务器下发指令并接收窃取的数据。现代 C2 常利用社交媒体、DNS 隧道、云服务等隐蔽信道通信来逃避检测。
供应链攻击：不直接攻击终极目标，而是通过感染其上游供应商（软件供应商、硬件厂商、服务外包商等）达到目的。典型案例：某软件供应商的更新服务器被黑，所有客户在下一次升级安装时同时中了木马。
社会工程学（Social Engineering）：不靠技术漏洞，而是通过研究并针对人的心理弱点（好奇、贪便宜、害怕权威、信任）来获取敏感信息或诱导执行操作。一封精心编排的邮件往往比一个精心构造的 Exploit 有效得多。
拿站：获取网站服务器控制权的全过程。狭义上是拿到 WebShell，广义上还包括后续的提权、内网渗透、拖库等完整入侵过程。
提权（Privilege Escalation）：从低权限提升到高权限的操作。横向提权：从普通用户 A 切换到普通用户 B；纵向提权：从普通用户提升到管理员/root/System。
渗透：利用漏洞或配置缺陷突破系统安全边界，逐步深入获取更多权限和目标数据的过程。渗透测试是模拟真实攻击来评估安全防御能力的合法行为。
横移（Lateral Movement）：攻击者从一台已控制的机器向内网其他机器扩散的活动，目的是寻找更高价值数据和更核心的系统。在拿下边界服务器后，它往往是下一步关键操作。
跳板：攻击者为隐藏自己的真实 IP、规避溯源而使用的中转服务器或多级代理。可以是一台肉鸡，也可以是多层 VPN/Socks 代理。
网马：网页木马的简称，已在本节"网页木马"中介绍。
黑页：黑客成功入侵网站后留下的炫耀或挑衅性质的篡改页面。通常是全黑背景加上攻击者自称的花名或团队 Logo。
暗链：在已入侵的网站页面中隐蔽地插入的超链接。从表面看不出任何异常，但查看源码或特定位置上存在指向赌博、色情、博彩等非法网站的链接。黑帽 SEO 的常用手段，通过劫持高权重网站的链接传递来提升目标网站的排名。
拖库：从数据库中完整导出全部数据的操作。一般指盗取整个用户数据库的行为——下载所有表结构和数据。
撞库：利用从 A 网站泄露的账号密码组合，去试探 B 网站是否能登录。由于大量用户在多个网站使用相同密码，撞库利用率很高。这提醒我们每个平台必须用不同密码，也应开启多因子认证。
暴库：攻击者利用漏洞直接获取到数据库文件（如 .mdb 文件被 HTTP 直接访问下载）或数据库备份文件。技术上比 SQL 注入简单粗暴，依赖运维配置不当。
CC 攻击（Challenge Collapsar）：其名称来自著名抗 DDoS 设备"Collapsar（黑洞）"。区别于 SYN Flood 这种消耗带宽的攻击，CC 攻击模拟正常用户请求动态页面，导致服务器 CPU 持续高负载。带宽没满，但服务器已经瘫了。
WebShell：以网页文件（ASP、PHP、JSP、ASPX 等）形式存在的后门脚本。上传到 Web 服务器后，攻击者通过浏览器访问该文件即可执行系统命令、管理文件、数据库操作等，相当于一个 Web 版的文件管理器。
跨站攻击（XSS，Cross-Site Scripting）：在目标网站的页面中注入恶意 JavaScript，当其他用户访问该页面时脚本在其浏览器中执行，可盗取 Cookie 登录态、重定向到钓鱼页面。按原理细分为反射型、存储型、DOM 型三种。
中间人攻击（MITM，Man-in-the-Middle）：攻击者秘密介入通信双方之间，可以窃听、拦截甚至篡改双向通信数据。常见实施方法包括：ARP 欺骗、伪造 WiFi 热点、DNS 投毒、SSL 剥离等。
薅羊毛：利用平台优惠规则漏洞批量获取利益的行为。有技术含量的"薅羊毛"往往要绕过设备指纹、IP限制、风控策略等，黑色产业链分工明确，有专门的接码平台、IP代理池和自动化工具。
商业电子邮件攻击（BEC，Business Email Compromise）：冒充公司高管或商务合作伙伴，通过伪造邮件要求财务人员紧急汇款。不需要任何恶意附件，只用社工话术和域名伪造制造紧迫感，是造成经济损失最大的网络犯罪之一。
电信诈骗：通过电话、短信、即时通讯工具实施的非接触式欺诈。常见话术包括冒充公检法、冒充购物客服退款、虚假办理大额信用卡等。虽与"渗透测试"技术无关，但大量利用社工和隐私泄露数据进行规模化犯罪。
杀猪盘：一种长期经营的社交诈骗手法，常见于婚恋交友、投资理财、假博彩等场景。攻击者花数周发展感情获取信任，待时机成熟后将受害者引入虚假投资平台骗取巨额资金，用"养猪"比喻建立信任的过程。
ARP 攻击：利用地址解析协议（ARP）缺陷的实施局域网攻击。攻击者发送伪造的 ARP 响应，使网关或目标计算机将 IP 和 MAC 地址映射到攻击者的机器。后继可实现中间人、断网和会话劫持。防御：在交换机上开启 DHCP Snooping 和 DAI（动态 ARP 检测）。
欺骗攻击（Spoofing）：泛指所有伪装身份来获取信任或绕过安全机制的手段。具体包括：IP 欺骗（地址伪造）、DNS 欺骗、ARP 欺骗、邮件来源仿冒、GPS 欺骗等。防御靠认证，而非信任来源标识。
Shellcode：以机器码形式存在的、完成特定攻击功能的代码段。通常用于漏洞利用中获得 Shell 权限的终极载荷，由此而得名。见本文开头"POC、EXP、Payload与Shellcode"一节。
物理攻击：攻击者直接接触物理设备进行攻击。包括偷窃设备、插 USB Rubber Ducky 模拟键盘输入恶意命令、冷启动攻击（Cold Boot）、拆卸硬盘绕过操作系统直接读取数据等。只要是物理接触，几乎所有软件安全措施都无效。
3. 攻击者
黑产：以非法手段规模化从事网络犯罪获取经济利益的产业链。包括但不限于：木马编写、免杀服务、肉鸡贩卖、DDoS 勒索、数据倒卖、洗钱通道、接码平台等。其运作模式已高度企业化，分工精细。
暗网：需要特定软件或授权才能访问的匿名网络空间，见本文"Top加更：暗网"一节。
黑帽黑客（Black Hat）：利用技术进行非法破坏或牟利的攻击者。他们寻找漏洞、编写恶意代码、入侵系统，动机包括经济利益、政治目的、恶意报复或纯粹炫耀。
白帽黑客（White Hat）：合法授权的安全研究人员。受雇于企业或通过漏洞赏金平台，在授权范围内渗透测试，发现并报告漏洞，帮助厂商修补。有职业道德和底线，不会利用找到的漏洞进行非法活动。
红帽黑客（Red Hat）：介于黑白之间，带有"义警"色彩的黑客。他们的策略是进攻为主——主动追查黑帽黑客、摧毁其 C2 服务器、反制攻击者。手段激进，不排斥以"非法"的方式制裁非法行为。部分定义中"红帽"指专注于进攻本身的安全人员（类似红队），而非道德立场。
红队（Red Team）：在安全演练中扮演攻击方的团队。红队模拟真实 APT 的攻击思路，使用各种技术和社工手段试图突破目标防线，检验蓝队的检测响应能力。他们的目标是"证明防御体系还能被突破"。
蓝队（Blue Team）：在安全演练中扮演防守方的团队。蓝队负责监控、检测、响应红队的入侵行为，他们的目标是"阻止红队或在被突破之前发现他们"。
紫队（Purple Team）：红队和蓝队之间的协调者。紫队不是直接参与攻防的第三方，而是促进红蓝协作的机制。红队展示攻击技术、蓝队反馈检测盲点、紫队协调工作流使每次演练经验转化为实际防御能力提升而非相互指责。
二、防守篇
1. 软硬件
加密机（HSM，Hardware Security Module，硬件安全模块）：专门用来生成、管理和存储加密密钥的防篡改硬件设备。密钥永不出硬件，即使服务器被 root 获取也无法导出私钥。用于金融支付、CA 证书签发等高安全场景。
CA 证书（Certificate Authority，数字证书认证中心签发的证书）：由权威的认证中心（CA）签发的数字证书，内含公钥和身份信息，用来验证网站（或其他实体）的身份，同时传递公钥供客户端进行安全通信。浏览器中看到的绿色小锁就来自有效 CA 证书。
SSL 证书（Secure Sockets Layer Certificate）：用于实现网站 HTTPS 加密通信的数字证书。包含域名归属信息、公钥和 CA 签名。从 DV（仅域名验证）、OV（组织验证）到最高级别的 EV（扩展验证），安全验证级别递增。
防火墙（Firewall）：按照既定安全策略，对进出网络的数据包进行检查和过滤的网络安全设备。它可以限制哪些 IP 可以访问哪些端口和服务。防火墙是基础网络安全的"守门人"，但不能防御所有攻击。
IDS（Intrusion Detection System，入侵检测系统）：监控网络或系统活动的安全设备，发现可疑行为时触发告警。IDS 只是"发现并报告"，不会主动阻断攻击。NIDS 用于网络层面检测，HIDS 安装在主机上。
NIDS（Network Intrusion Detection System，网络入侵检测系统）：部署在网络关键节点上，被动监听并分析网络流量的 IDS。从镜像端口接收流量副本进行特征匹配和行为分析。
IPS（Intrusion Prevention System，入侵防御系统）：具备实时阻断功能的 IDS。当检测到恶意流量时，IPS 可以直接丢弃数据包、重置连接，是通过串联部署实现的主动防御。但误报带来的阻断同样严重，实际部署中需要精细调校。
杀毒软件（Antivirus）：检测和清除已知病毒的终端安全软件。传统杀毒主要依靠特征码库匹配文件，现代杀毒已演进为融合行为分析、机器学习、云端查杀的综合能力检测。与 EDR 相比，杀毒软件的检测面较窄，更偏向"阻止"，事后溯源调查能力有限。
反病毒引擎：杀毒软件的核心检测模块。它是可以独立授权给其他安全厂商使用的纯检测能力组件，负责判定文件是否恶意。一个杀毒软件可能内置多个反病毒引擎，VirusTotal 就聚合了数十个引擎的结果。
防毒墙：部署在网络边界的病毒过滤设备。与杀毒软件保护终端的角色不同，防毒墙在流量层面拦截恶意代码的传输，通常以硬件形式部署在网关位置，对 HTTP、SMTP、FTP 等协议应用层进行过文件扫描。
老三样：国内安全圈对"防火墙 + IDS + 杀毒软件"这一传统安全三件套的懒称。体现出它们在历史上长期充当安全标配，同时也暗讽"以为有了老三样就高枕无忧"的落后思路。
告警（Alert）：安全设备或系统检测到可疑事件后产生的通知。告警有真有假：真实告警是应被及时处理的威胁；误报让安全运营人员精疲力尽，是安全运营最头疼的问题之一。
误报（False Positive）：安全设备将正常行为判定为攻击。过多误报会导致"狼来了"效应，引起告警疲劳，运营人员可能忽略大量告警中真正有威胁的那一条。
漏报（False Negative）：攻击行为实际发生，但安全设备没有检测到。漏报意味着攻击者正在自由行动而你没有察觉，是安全运营中最可怕的情况。
NAC（Network Access Control，网络准入控制）：确保只有符合安全策略的设备才能接入网络的机制。未安装补丁、杀毒软件过期、未经授权的设备会被隔离在修复区或被完全拒绝访问。类似"量体温、核验身份才能进门"。
漏扫（漏洞扫描器）：自动检测系统、应用或网络中存在的已知漏洞的工具。原理是对特定版本的服务发送特定探测包，根据响应判断漏洞是否存在。它只能找到已知漏洞，无法发现 0day。代表：Nessus、OpenVAS、AWVS。
UTM（Unified Threat Management，统一威胁管理）：将多种安全功能整合在一台设备中的一体化安全网关。通常包括防火墙、VPN、IPS、防病毒、反垃圾邮件、内容过滤等，优势是管理统一、综合防御，劣势是每项功能不如专业设备强大。
网闸（Air Gap / Gap Technology）：在物理层面隔断内外网络的安全设备，通过专用摆渡机制（非 TCP/IP 协议）在隔离的两端之间传输数据。即使外部网络全被攻陷，也无法通过网闸传输攻击数据到内网，为最高等级隔离。
堡垒机（Bastion Host / Jump Server）：对运维人员的访问进行统一授权、审计和控制的安全设备。所有运维连接必须经过堡垒机中转，它记录每一条操作命令的录像，实现了"单点登录 + 权限控制 + 行为审计"。
数据库审计（Database Audit）：监控和记录数据库操作行为的系统。记录谁在何时对哪张表执行了哪种 SQL 语句。对于数据泄露事后的溯源和取证是不可或缺的。
DLP（Data Loss Prevention，数据防泄漏）：通过内容识别技术（关键词、正则、指纹、机器学习），监控并阻止敏感数据通过邮件、USB、即时通信等途径外泄。策略可设置为仅审计或直接阻断。
VPN（Virtual Private Network，虚拟专用网络）：在公共网络上建立加密隧道，使远程用户能够安全地访问内部网络资源。数据在客户端与 VPN 网关之间全程加密，防止中间人窃听。同时用于个人翻墙与网络隐私保护。
SD-WAN（Software-Defined Wide Area Network，软件定义广域网）：将软件定义网络（SDN）技术应用于企业广域网连接。能够根据实时链路质量动态选择最佳路径，并集成了安全功能。正逐渐取代传统 MPLS 专线在企业互联中的地位。
路由器（Router）：连接不同网络并根据目标 IP 地址转发数据包的设备。家用路由器在网络边界同时具备 NAT 和基础防火墙功能。路由器是每一所企业内部网络和互联网连接的第一道关口，安全配置如禁用 WPS、关闭默认远程管理端口至关重要。
网关（Gateway）：连接两个不同协议网络的翻译设备。通常是网络的出入口，所有进出流量都经过网关，因此也是部署安全策略的最佳位置。
WAF（Web Application Firewall，Web 应用防火墙）：专门针对 Web 层 HTTP/HTTPS 流量的应用层防火墙。能检测和阻断 SQL 注入、XSS、文件包含、CSRF 等 Web 攻击。部署模式有反向代理、透明桥接模式或基于云服务的 SaaS 模式。
SOC（Security Operations Center，安全运营中心）：以人员、流程、技术的组合方式实时监控、分析和响应安全事件的组织或部门。7x24 小时值班，承担了组织网络安全的"守夜人"角色，是安全检测和响应的核心枢纽。
LAS（Log Audit System，日志审计系统）：集中采集、存储和分析各设备日志的平台。通过日志关联分析发现异常行为，同时满足等保合规对日志留存期的要求。
NOC（Network Operations Center，网络运营中心）：负责监控和管理网络基础设施的部门，关注网络连通性、设备 CPU 内存、链路负载等。与 SOC 不同，SOC 关注安全事件，NOC 关注可用性和性能。
SIEM（Security Information and Event Management，安全信息和事件管理）：集中收集并关联来自各种安全设备、网络设备、服务器和应用的日志，通过规则匹配和统计模型产生告警。是大数据安全分析的重要前提。代表产品：Splunk、ELK（用于日志平台）、QRadar、ArcSight。
上网行为管理：对内网用户上网行为进行监控管理和控制的软硬件设备。可限制时间段、过滤网站类别（禁止游戏/视频/成人内容等）、限制带宽、审计论坛发帖等。企事业单位内网标配。
蜜罐（Honeypot）：故意设置的有漏洞的仿真系统诱饵，诱导攻击者攻击。蜜罐没有生产价值，任何对蜜罐的访问几乎都可以定性为恶意行为，因此告警准确性极高。攻击者在蜜罐中花费的时间越长，防守方获取的攻击情报越多，也起到了拖延时间的作用。
沙箱（Sandbox）：一个与宿主机操作系统隔离的安全环境，用于安全地运行和分析可疑文件或程序而不影响真实系统。文件在沙箱内的行为（自启动、注册表修改、网络连接）都会被记录，通过这些行为特征判定威胁。
沙箱逃逸：恶意代码检测到自己在沙箱中运行后，故意隐藏恶意行为以逃避检测；更高级的逃逸是指利用沙箱软件本身的漏洞突破隔离边界，攻击真实主机。
网络靶场（Cyber Range）：用于安全训练、攻防演练和技术测试的模拟环境。它仿照真实业务网络构建，可在其中进行红蓝对抗、产品测试、人才选拔不影响到生产环境。
2. 技术与服务
加密技术（Cryptography）：将可读明文转换为无法直接阅读的密文的数学方法，是信息安全最底层的基石。分为对称加密（加解同一密钥，如 AES）、非对称加密（公私钥配对，如 RSA）和散列（单向不可逆，如 SHA-256）。涵盖加密、解密、签名、验证和密钥管理完整技术体系。
黑名单：明确拒绝列表。凡是匹配黑名单特征的 IP、域名、文件哈希、进程名等，一律阻止。实现简单误报低，但无法防御未知的威胁。
白名单：明确放行列表。只有名单中的程序、脚本或 IP 允许运行/访问，其他一概拒绝。理论上防御能力最强，但业务环境复杂多变时维护困难，可能误阻断正常业务。
内网（Intranet / Internal Network）：企业组织内部的私有网络，不与互联网直接连接。通常使用私有 IP（10.x.x.x、172.16.x.x-172.31.x.x、192.168.x.x），需要通过 NAT 和防火墙访问外网。
外网（Internet / External Network）：互联网的俗称。相对于内网而言。
边界防御（Perimeter Defense）：在内外网边界部署防火墙、IPS、WAF 等安全设备，将攻击挡在门外。传统安全的主流思路，但随着 BYOD、云化、移动办公兴起，边界越来越模糊，“你已无处安放边界"倒逼零信任等新理念。
南北向流量：进出数据中心的流量。“南"是用户到服务器的请求方向，“北"是服务器到外部的反馈或服务调用方向。
东西向流量：数据中心内部服务器之间互相通信的流量。虚拟化和微服务时代，东西向流量远大于南北向流量，而传统边界防火墙管不了内部流量的威胁，由此诞生了微隔离技术。
规则库：安全设备用于检测攻击的匹配规则集合。每条规则描述了一种已知攻击的流量特征或文件特征，流量经过规则逐一比对，命中即触发告警/阻断。规则库需要持续更新以应对新威胁。
下一代（Next-Gen）：安全产品宣传话术中的高频词。“下一代防火墙（NGFW）“相对传统防火墙增加了应用识别和 IPS 一体化的能力。核心是不断叠加新的检测维度。
大数据安全分析：通过汇集海量日志与流量数据，利用机器学习、关联分析和行为分析发现传统单点规则无法发现的隐蔽攻击。解决了从"信号"中分离出"噪声"的难题。
EPP（Endpoint Protection Platform，端点保护平台）：集成了防病毒、个人防火墙、主机入侵防御、设备控制等终端防护能力的整合平台。与 EDR 侧重检测与调查不同，EPP 的核心在预防（Prevention），在攻击之初就直接拦截。
EDR（Endpoint Detection and Response，端点检测与响应）：专注于终端的持续监控、威胁检测、调查溯源和响应处置。它不只看单个事件，而是记录端点上发生的所有进程、文件、网络、注册表等轨迹数据，支持按时间线回溯整个攻击过程。EDR 补齐了传统杀毒只做拦截而缺乏可见性的短板。
NDR（Network Detection and Response，网络检测与响应）：对网络流量进行深度分析以发现可疑行为的解决方案。抓取全量或关键节点流量作为分析数据源，结合 AI 建模识别 APT 攻击、C2 通信、数据窃取等。它是 EDR 在流量维度的补充，二者结合构建更完善的检测体系。
安全可视化：将海量安全数据通过图表、拓扑图、时间线等方式直观呈现。安全运营人员面对每天百万条的日志或告警，通过可视化快速定位核心问题，支撑决策。
NTA（Network Traffic Analysis，网络流量分析）：对网络流量进行持续性监控和深度分析来发现异常和恶意行为。侧重基于行为（而非特征）发现未知威胁。与 NDR 概念高度重叠，常被混用。
MDR（Managed Detection and Response，托管检测与响应）：将安全检测与响应能力作为外包服务交付。MDR 服务商远程接入用户环境，7x24 进行威胁狩猎、告警研判与事件响应，弥补甲方安全人力短缺的缺口。
应急响应（IR，Incident Response）：安全事件已发生后，为控制事态、清除威胁、恢复系统、调查复盘而采取的一系列果断行动。应急响应的黄金时期是攻击者进入后的前几个小时。
XDR（Extended Detection and Response，扩展检测与响应）：将 EDR（终端）、NDR（网络）、云工作负载和身份日志等多维度数据统一汇聚进行关联分析的平台。XDR 的目标是打破单点检测各自为战的局面，提供跨域的攻击全链路视图，最终实现一体化的检测、调查和响应。
安全运营（SecOps）：将人员、流程、技术融合在一起，通过对安全事件的持续监测、评估和响应来维护日常安全状态的一整套体系。安全运营中心（SOC）是安全运营的落地点。
威胁情报（TI，Threat Intelligence）：关于已知或正在发生的网络威胁的知识。具体内容包括恶意 IP/域名/Hash/URL、攻击者画像、TTP、攻击工具信息等。高质量威胁情报可以提前预警，使防御从被动变主动。
TTP（Tactics, Techniques and Procedures，战术、技术与过程）：描述攻击者行为模式的三个层次。战术（Tactics）是攻击者的宏观目标（如"初始访问”）；技术（Techniques）是实现目标的通用方法（如"鱼叉攻击”）；过程（Procedures）是具体的操作细节和工具组合。TTP 是威胁情报中最高维度的指标，因为它反映的是攻击者的行为模式而非易变的基础设施。
IOC（Indicator of Compromise，失陷指标）：表明系统可能已被入侵的取证线索。例如：特定恶意 IP 的出网连接、异常注册表项、新增的恶意进程、奇怪的计划任务等。IOC 是威胁情报的主要输出形式之一。
上下文（Context）：围绕安全事件的环境信息，将孤立的告警还原成完整故事。告警"某进程在写注册表"本身没有意义，加上"该进程是新下载的未知文件”、“当前是企业上下班外的凌晨2点”、“该注册表项是系统的自启动项"这些上下文后，才构成可信威胁判断。
STIX（Structured Threat Information eXpression，结构化威胁信息表达）：用于描述网络安全威胁的标准化语言，采用 JSON 格式。定义了一组标准化对象及其关系（如 Threat Actor、Campaign、TTP、Indicator 等），让不同威胁情报平台之间能够交流情报而无需人工翻译。STIX 数据在平台间通过 TAXII 协议（情报传输标准）进行自动交换。
杀伤链（Kill Chain）：将网络攻击按阶段划分的模型。最经典的是洛克希德·马丁提出的"网络杀伤链”：侦察 -> 武器化 -> 投送 -> 利用 -> 安装 -> C2 -> 达成目标。思路是在攻击链的任何一个环节做出阻断，攻击就失败。
ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）：MITRE 公司维护的攻击行为知识库。以矩阵形式对攻击者的行为在不同阶段（初始访问、执行、持久化、提权、防御规避等）所使用的技术进行分类编号（T 编号）。在全球安全行业范围内已经成为描述攻击行为的通用标准语言，使红蓝队基于同一框架对话。
钻石模型（Diamond Model）：分析入侵事件的四维模型——四个顶点分别是：受害者（Victim）、攻击者（Adversary）、所用能力（Capability）及基础设施（Infrastructure）。通过对顶点之间关系的分析推断攻击者的关联与动机。
关联分析（Correlation）：将来自不同数据源的分散事件按逻辑关系串联来识别攻击全貌。例如，不能只看"防火墙拦了一个扫描包"这一个点，而是结合主机日志发现扫描后出现了暴力登录失败，从而判定正在进行组合攻击而非误报。
态势感知（SA，Situational Awareness）：对全局网络安全状态实时理解并预测未来趋势的能力。它不仅仅关注单个告警，而是把内外网络资产、漏洞、威胁情报整合到一个可视化大屏，给出当前总体安全评分和未来需要关注的风险点。
探针（Probe/Sensor）：部署在网络的各个关键位置的流量采集设备。它负责抓包并将数据（全量或过滤后）发送回后端分析平台。本身不做深度分析，只是"千里眼"的采集器。在黑客语言中，Probe 也有"探测扫描"的意思。
网络空间测绘（Cyberspace Mapping）：对互联网上的资产（IP、域名、设备指纹、开放端口服务等）大规模探测、分析和绘图的技术。搜索引擎化的网络空间：Shodan、ZoomEye、FOFA，可以用于攻击者寻找暴露目标，也可以用于防守者发现未知资产暴露面。
SOAR（Security Orchestration, Automation and Response，安全编排自动化与响应）：通过 Playbook 自动化执行重复性应急操作（如封禁IP、隔离主机、发起扫描）的平台。将告警响应推向自动化，提升效率并解放 SOC 分析师双手。SOAR 的核心要素是三合一：编排所依赖的多种安全工具集成（Orchestration）、自动化执行的策略操作（Automation），以及最终实现事件闭环的响应（Response）。
UEBA（User and Entity Behavior Analytics，用户与实体行为分析）：利用机器学习为用户、主机、服务器建立行为基线，发现偏离正常基线的异常——例如"半夜大批量下载敏感文件"对于白天不放数据的岗位来说就是显著异常。UEBA 的目标是找出传统规则发现不了的内部威胁和已绕过边界的攻击者。
内存保护（Memory Protection）：在内存层面监控和防护漏洞利用的技术。包括 DEP（数据执行保护，禁止栈内存可执行）、ASLR（地址空间布局随机化，让攻击者无法硬编码 Shellcode 在内存中的地址）、CFG（控制流保护，限制应用程序能跳转到的代码内存范围）等。
RASP（Runtime Application Self-Protection，运行时应用自我保护）：将防护逻辑注入应用程序运行时环境内部的安全技术。WAF 工作在 HTTP 层且部署在网络边界；RASP 直接寄生在应用程序进程内，可以监测到函数调用、SQL 查询、文件操作等最终执行结果，对攻击的判断以应用的真实上下文为依据，误报大幅降低。
包检测：对网络数据包的检查技术统称。状态包检测（SPI）检查包头，深度包检测（DPI）更深入检查载荷，以区分不同应用协议或识别恶意代码特征。
深度包检测（DPI，Deep Packet Inspection）：穿透数据包的包头，对应用层载荷的完整内容进行深度扫描的技术。能区分 HTTP 和 BitTorrent 协议，也能检测出在数据包内容中携带的恶意特征代码——这些对常规包过滤完全看不到。
全流量检测：对网络中所有流量进行完整数据包的捕获存储与回溯分析。能够还原原始 TCP 会话和文件、邮件附件等传输内容。相比仅记录 NetFlow 摘要，全流量方案可以事后"回到过去"复盘攻击细节，但存储成本极高。
元数据（Metadata）：描述网络会话基本信息的摘要数据。如五元组（源IP、目的IP、源端口、目的端口、协议）、时间戳、字节数、包数量。出于全流量的存储成本，很多系统折中使用 NetFlow 等只取元数据。
欺骗检测（Deception Technology）：在网络中部署大量伪装的诱饵资产（假数据库、假文件共享目录、假凭证），引诱攻击者踩中伪装目标。一旦有对诱饵的访问，即可准确判定攻击者正在内网活动，告警几乎 100% 准确且难以规避。
微隔离（Micro-Segmentation）：在数据中心内部对单个工作负载实现精细访问控制的技术。传统防火墙控制南北向流量，微隔离面向东西向流量——即使同一台宿主机上相邻的两台虚拟机，也可以要求互相完全不能通信，攻破一台无法横向蔓延。
逆向（Reverse Engineering）：对程序或硬件的反编译分析过程。安全分析师逆向恶意样本来理解其工作原理并提取 IOC，攻击者逆向（脱壳分析）安全软件寻找免杀方法。常用工具：IDA Pro、Ghidra、x64dbg、JEB。
无代理安全：在虚拟化平台管理程序（Hypervisor）层面直接部署的安全方案。不需要在每个虚拟机或主机中安装驱动程序，管理程序从内存层面直接监控虚拟机内部行为。优势是性能开销低、无客户端维护负担和防篡改能力强。
CWPP（Cloud Workload Protection Platform，云工作负载保护平台）：专门保护云环境中的各类工作负载（虚拟机、容器、Serverless）的安全平台。覆盖工作负载的可视化、配置合规、漏洞管理、运行时威胁检测、微隔离等功能。与 CSPM 偏向控制面配置不同，CWPP 偏向数据面保护和运行态安全。
CSPM（Cloud Security Posture Management，云安全态势管理）：自动化检查云基础设施平台配置是否满足安全合规最佳实践的平台。持续扫描云账户下的配置，找出诸如公开的 S3 存储桶、过宽的 IAM 权限、未开启 API 日志等配置错误，输出修复指导。
CASB（Cloud Access Security Broker，云访问安全代理）：对企业和云服务之间的访问做安全管理的平台。部署于用户与云服务商之间，对访问过程实时监控和策略执行。管控范围涵盖影子 IT 发现、数据防泄漏、访问行为监控、云安全合规审查、高级威胁保护五个维度。
防爬（Anti-Scraping）：防止其他程序（爬虫）自动化抓取网站数据的技术手段。从简单的 robots.txt、验证码、IP限流到复杂的用户行为模型分析、JavaScript 挑战等。
安全资源池：将各类安全能力（防火墙、WAF、漏扫、堡垒机）虚拟化后形成统一可调度的资源池。在云环境中通过服务链编排，按需选用的安全服务连接模型，流量按需串行经过顺序配置的安全设备，弹性伸缩并在故障时支持旁路。
IAM（Identity and Access Management，身份与访问管理）：管理用户身份来源并控制用户可以访问哪些资源的一套框架。核心业务包括账号管理（开户/销户）、认证（你是谁）、授权（你能做什么）和审计（你做了什么）——即 4A。
4A：认证（Authentication）、授权（Authorization）、账号（Account）和审计（Audit）的合称。IAM 的核心四要素。
ACL（Access Control List，访问控制列表）：规定哪些用户或进程有权访问特定对象（文件、网络端口）的权限控制列表。每一表项由"主体（用户/进程） + 权限（读取/写入/执行/拒绝）“组成。是最基础层面的访问控制实现。
多因子认证（MFA，Multi-Factor Authentication）：要求用户使用两种或以上不同类别的方式进行身份验证——你所知道的（密码）、你所拥有的（手机/Token）、你与生俱来的（指纹/面部）。MFA 可有效防止因密码泄露导致的撞库攻击和暴力破解。
特权账户管理（PAM，Privileged Access Management）：对系统中的高权限账号（Root、Administrator、数据库 DBA）进行专门的安全管理。核心策略：最小权限（Least Privilege）、密码自动轮换（一次一密，避免静密泄露）、会话审计录像、临时权限授权与自动回收。
零信任（Zero Trust）：一种安全框架理念，核心是"永不信任，始终验证”。不信任内网的固有安全性，对所有访问请求一律进行身份认证、授权和加密，哪怕是内网流量。原则：微隔离、最小权限、持续验证，为去边界化的云时代而生。
SDP（Software Defined Perimeter，软件定义边界）：实现零信任理念的一种网络架构技术。在应用被授权会面之前先在网络层隐身——默认全部端口对任何人都拒绝连接。只有通过身份和设备认证的合法用户才一对一地建立加密隧道，使关键基础设施从外部完全不可见。
Security as a Service（安全即服务）：以 SaaS 方式交付安全能力。客户不需要部署硬件或运维后端，安全功能以云端订阅服务方式使用。如邮件安全、Web 安全网关、身份认证等。优势是快速上线、零运维和安全厂商持续更新规则。
同态加密（Homomorphic Encryption）：一种允许直接对密文进行计算而无需解密的密码技术。对加密后的数据执行操作的结果，解密后与对明文执行相同操作的结果一致。全同态加密（FHE）在理论上可保护数据全程不暴露明文，但目前计算开销巨大、离大规模生产使用还有距离。
量子计算（Quantum Computing）：利用量子比特（Qubit）叠加态和纠缠原理进行的全新计算模式。对安全的冲击在于：Shor 算法能在多项式时间内破解 RSA/ECC，目前所有公钥加密体系面临被量子计算瓦解的风险。后量子密码（PQC，Post-Quantum Cryptography）的研究和标准化正在由 NIST 推进，以寻求抵抗量子攻击的新加密算法。
可信计算（Trusted Computing）：通过硬件根信任构建从芯片启动到应用加载的完整可信链（Chain of Trust）。以 TPM 安全芯片为信任锚点，先度量 BIOS 完整性，再依次向上验证 BootLoader、OS 内核和关键应用的完整性。如果任何一个度量值与预期不一致，系统拒绝启动或进入补救流程，防止系统级恶意篡改。
拟态防御（Mimicry Defense）：中国独创的主动防御理论。系统运行多套功能等价但实现存在差异的冗余执行体同时处理同一输入，表决器实时比较各输出结果。攻击者攻击时需要对所有异构执行体同时成功才能不触发告警，难度急剧攀升。本质上是通过系统的内生动态、异构冗余构造不确定的攻击面。
区块链（Blockchain）：一种去中心化的分布式账本技术。数据以区块形式存储，各区块以链式密码学连接保证不可篡改。通过共识算法（PoW、PoS、PBFT 等）代替中心化机构实现信任。安全应用包括去中心化身份（DID）、证书透明度（Certificate Transparency）、安全日志防篡改等。
远程浏览器（Remote Browser Isolation，远程浏览器隔离）：将用户浏览器会话完全运行在云端的隔离环境中，只将渲染的像素推送回终端，网页的恶意代码完全被限制在远端容器中，无法接触用户本地设备。用于高风险防钓鱼、浏览未知网站场景。
云手机：运行在云端服务器的虚拟 Android 实例，用户通过视频流远程操作。安全用途：将微信、移动 App 的攻击面隔离在不含企业数据的云实例中，防止恶意 App 偷本地内网数据。同时黑产也利用云手机批量操作薅羊毛。
风控（Risk Control，风险控制）：通过数据分析和技术手段，识别并阻断欺诈、盗用、黄牛等异常行为的系统。主要用于金融、电商等领域。一方面防御薅羊毛、虚假注册等自动化攻击，另一方面防范账户接管、盗刷等业务欺诈。
渗透测试（Penetration Testing）：由获授权的人员模拟黑客攻击行为，对目标系统的安全强度进行测试和评估。通过实际漏洞利用证明问题的严重性，区别于仅输出漏洞列表的漏洞扫描。结束交付渗透测试报告及修复建议。
安全众测（Bug Bounty / Crowdsourced Security Testing）：把安全测试通过众包模式开放给全社会或特定平台上的安全研究人员。发现漏洞者获得对应赏金。帮助企业以较低成本获得多元测试视角，利用"墙外所有人的智慧"发现内部团队难以触达的盲点。
内生安全（Intrinsic Security）：网络安全的原生属性，安全能力不是事后添加的外部组件，而是在系统设计时便内生于架构之中的安全设计。核心思想：安全是天然的、内建的，而非后天打补丁。靠架构自身的特性抵抗攻击，而非依赖持续更新的外部规则。
内生安全框架：将内生安全从理念变为可工程化实现的方法论体系。进行顶层设计后通过安全与信息化建设的同步规划、同步建设、同步运行，把安全基因植入信息化每个层面，“三同步"确保安全不再是最后打上的补丁。
PPDR（Predict, Prevent, Detect, Respond）：从传统 PDR（防护-检测-响应）模型升级而来，增加了"预测（Predict）“前置环节的安全防护模型。强调通过威胁情报和态势感知能力提前预测攻击方向，先发制人。代表了安全从"被动防御"向"主动防御"的演进理念。
CARTA（Continuous Adaptive Risk and Trust Assessment，持续自适应风险与信任评估）：Gartner 提出的安全战略方法论。核心是放弃一次性认证放行的静态做法，而是在整个交互会话期间，持续根据设备状态、位置、行为、时间等实时数据动态调整访问权限和信任级别。是零信任架构实现的核心决策引擎。
SASE（Secure Access Service Edge，安全访问服务边缘）：Gartner 提出的将网络安全（CASB、SWG、FWaaS）与广域网（SD-WAN）能力统一在云交付平台下的融合架构。无论用户在哪里访问哪个公有云或私有数据中心，都通过就近的边缘节点拨入受控访问。SASE 是云化时代网络安全的新一代边界模型。
SDL（Security Development Lifecycle，安全开发生命周期）：将安全实践融入软件开发的每个阶段（需求、设计、开发、测试、发布），从源头减少漏洞。核心实践包括：威胁建模、安全编码规范、静态代码分析（SAST）、软件组成分析（SCA）、渗透测试、培训开发者。推行 SDL 在开发早期修复一个漏洞的成本远低于生产发布后。
DevSecOps：将安全左移（Shift-Left）嵌入到 DevOps 流程中的实践。把 SAST、SCA、DAST、IaC 安全扫描做成 CI/CD 流水线中的自动化门控步骤，不安全代码无法进入发布环节。秉承"安全即代码（Security as Code）“理念，以自动化安全工具实现 DevOps 节奏下安全团队不成为瓶颈。
代码审计（Code Review / Code Audit）：人工或自动化工具逐行审查源代码以寻找安全漏洞的活动。白盒审计（有源码）能发现黑盒扫描永远发现不了的逻辑漏洞（如水平权限绕过、业务逻辑缺陷、加密误用）。
NTLM 验证（NT LAN Manager）：Microsoft Windows 网络中使用的挑战-响应认证协议。NTLM 使用用户密码的哈希值进行挑战应答验证，但容易遭受哈希传递（Pass-the-Hash）攻击——攻击者拿到哈希值后无需找回明文密码即可直接冒充合法用户进行横向移动。Kerberos 是微软推荐替换 NTLM 的新认证协议。
MTTD（Mean Time to Detect，平均检测时间）：从安全事件发生到被检测发现的平均时间。MTTD 越短越好，反映安全监测体系的灵敏度。行业目标从数周/数月压缩到小时级别。
MTTR（Mean Time to Respond / Mean Time to Remediate，平均响应/修复时间）：从检测到安全事件到完成处置和恢复到正常状态的平均时间。MTTR 越短反映应急响应能力越强，业界追求自动化编排降低 MTTR 到分钟级。
CVE（Common Vulnerabilities and Exposures，通用漏洞与暴露）：MITRE 管理的全球通用漏洞编号体系。格式为 CVE-年份-数字（如 CVE-2021-44228 即 Log4Shell）。CVE 是全球公认的漏洞标识标准，每个 CVE 条目含漏洞简述与参考链接，不包含评分和修复方案。
软件加壳：见攻击工具中的"加壳”。
CNVD（China National Vulnerability Database，国家信息安全漏洞共享平台）：中国的国家级公开漏洞库。收录并发布国内各行业、各厂商的安全漏洞信息，同时协调漏洞通报与修复。是中国网络安全漏洞标准统一编号渠道之一，常与国际 CVE 互引。
数据脱敏（Data Masking / Anonymization）：通过替换、遮盖、扭曲、泛化敏感数据的方式，生成在开发测试环境中不致泄露但依然高度接近真实的假数据。保护身份证号、银行卡号、手机号、姓名等隐私字段。
GDPR（General Data Protection Regulation，通用数据保护条例）：欧盟 2018 年正式施行的隐私与数据保护法规。适用于全球所有处理欧盟公民数据的组织。违法罚款可高达全球年收入的 4%。GDPR 在全球范围内将"数据隐私是基本人权"推向了法律强制执行的地位。
CCPA（California Consumer Privacy Act，加州消费者隐私法案）：加州 2020 年生效的隐私法案，全美最严格的数据隐私法。核心赋予消费者对个人数据应有的"知情权、删除权、退出（不出售数据）权”，使美国的数据隐私法规从原本落后于 GDPR 的状态开始追赶。
SRC（Security Response Center，安全应急响应中心）：企业对外公开收集安全漏洞和威胁情报的官方窗口。白帽可以在 SRC 平台提交漏洞报告，获得对应赏金和荣誉排名。典型案例：ASRC（蚂蚁安全响应中心）、TSRC（腾讯安全应急响应中心）、MSRC（微软安全响应中心）。
CISO（Chief Information Security Officer，首席信息安全官）：企业中负责信息安全战略制定与执行最高级别管理者。CISO 直接向 CEO 或董事会汇报，承担信息安全的最终责任，不完全只做技术决策——企业安全需要平衡风险、合规和业务连续性三大维度。
IPC 管道（Inter-Process Communication，进程间通信）：操作系统为进程互相交换数据而提供的通道机制。安全重点在：本地 IPC 基于面向特定对象的安全描述符进行权限控制，配置不当可能导致低权限进程向高权限进程注入代码或窃取数据。在 Windows 环境中管理员经常使用 IPC$ 空会话枚举远程主机的共享资源。
SYN 包：TCP 三次握手中的第一次握手包，SYN 标志位设为 1，用于请求建立连接。正常一次 SYN 包便发起一个连接；攻击时可用来制造大量半开连接，即 SYN Flood 攻击。参见本节前文"SYN 攻击"条目。
IPC$（Inter-Process Communication Share，进程间通信共享）：Windows 系统的默认隐藏管理共享，用于进程间通信。在局域网渗透中，攻击者使用 net use 命令建立 IPC$ 空会话，进一步枚举远程主机的用户列表、计划任务、共享资源等，是 Windows 内网横向移动的基础设施。
Shell：操作系统的命令行接口（CLI），为用户和系统内核之间提供交互界面。安全领域中的广义 Shell 不限于本地：反弹 Shell 允许远程攻击者通过命令管道控制目标主机，WebShell 则是基于 Web 应用的网页形态命令行环境。
ARP（Address Resolution Protocol，地址解析协议）：局域网中将 IP 地址解析为 MAC 地址的协议。ARP 协议设计之初没有任何安全机制，不验证响应来源——这是 ARP 欺骗攻击（ARP Spoofing）的根本原因。见攻击篇"ARP 攻击”。