1.网络安全威胁的概念
网络安全威胁指网络中对存在缺陷的潜在利用，这些缺陷可能导致信息泄露、系统资源耗尽、非法访问、资源被盗、系统或数据被破坏等。
2.网络安全威胁的类型
- 物理威胁
- 系统漏洞威胁
- 身份鉴别威胁
- 线缆连接威胁
- 有害程序危险
（1）物理威胁
- 窃取：包括窃取设备、信息和服务等。
- 废物搜寻：是指从已报废的设备(如废弃的硬盘、光盘、U盘等介质)中搜寻可利用的信息。
- 间谍行为：是指采取不道德的手段来获取有价值的信息的行为。例如，直接打开别人的计算机复制
所需要的数据，或利用间谍软件入侵他人的计算机来窃取信息等。 - 假冒：指一个实体假扮成另一个实体后，在网络中从事非法操作的行为。这种行为对网络数据构成了巨大的威胁。另外，像电磁辐射或线路干扰也属于物理威胁
（2）系统漏洞危险
系统在方法、管理或技术中存在的缺点(通常称为bug )， 而这个缺点可以使系统的安全性降低。
目前，系统漏洞主要包括提供商造成的漏洞、开发者造成的漏洞、错误的配置、策略的违背所引发的漏
洞等。
由系统漏洞所造成的威胁主要表现在以下两个方面
- 不安全服务
指绕过设备的安全系统所提供的服务。由于这种服务不在系统的安全管理范围内，所以会对系统的安全造成威胁,主要有网络蠕虫等。 - 配置和初始化错误
指在系统启动时,其安全策略没有正确初始化，从而留下了安全漏洞。
例如，在木马程序修改了系统的安全配置文件时就会发生此威胁。
（3）身份鉴别威胁
定义：对网络访问者的身份(主要有用户名和对应的密码等)真伪进行鉴别。
身份鉴别威胁主要包括以下几个方面
- 口令圈套
常用的口令圈套是通过一个编译代码模块实现的。
该模块是专门针对某一些系统的登录界面和过程而设计的,运行后与系统的真正的登录界面完全相同。
例如： - 口令破解
这是最常用的一种通过非法手段获得合法用户名和密码的方法。 - 算法考虑不周
密码输入过程必须在满足一定的条件下才能正常工作,这个过程通过某些算法来实现。 - 编辑口令
编辑口令需要依靠操作系统的漏洞,如为部门内部的人员建立一个虚设的账户,或修改-个隐含账户的密码,这样任何知道这个账户(指用户名和对应的密码)的人员便可以访问该系统。
（4）线缆连接威胁主要包括以下几个方面
- 窃听
是使用专用的工具或设备,直接或间接截获网络上的特定数据包并进行分析,进而获取所需的信息的过程。窃听一般要将窃听设备连接到通信线缆上通过检测从线缆.上发射出来的电磁波来获得所需要的信号。解决该数据被窃听的有效手段是对数据进行加密。 - 拨号进入
指利用调制解调器等设备,通过拨号方式远程登录并访问网络。当攻击者已经拥有目标网络的用户账户时,就会对网络造成很大的威胁。 - 冒名顶替
指通过使用别人的用户账户和密码获得对网络及其数据、程序的使用能力。
（5）有害程序威胁
- 病毒
计算机病毒是一一个程序，是一段可执行的代码。 - 逻辑炸弹
逻辑炸弹是嵌入在某个合法程序里面的一段代码，被设置成当满足某个特定条件时就会发作。逻辑炸弹具有病毒的潜伏性。
例如： - 特洛伊木马
特洛伊木马是一个包含在一个合法程序中的非法程序。 - 间谍软件
是一种新的安全威胁。它可能在浏览网页或者安装软件时，在不知情的情况下被安装到计算机上。
例如;
3.安全策略
物理安全策略
为了保护硬件实体和通信链路，以免受自然灾害、人为破坏和搭线攻击;
验证用户的身份和使用权限，防止用户越权操作;
确保计算机系统有一个良好的电磁兼容工作环境;
建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。
访问控制策略
(1)入网访问控制
(2)目录级安全控制
(3)属性安全控制
(4 )网络服务器安全控制
(5 )网络监测和锁定控制
(6)网络端口和节点的安全控制
(7)加密策略
(8)防火墙控制策略
安全性指标
- 数据完整性
在传输过程时，数据是否保持完整。 - 数据可用性
在系统发生故障时，数据是否会丢失。 - 数据保密性
在任何时候，数据是否有被非法窃取的可能。
安全等级
1985年12月由美国国防部公布的美国可信计算机安全评价标准( TCSEC )是计算机系统安全评估的第一个正式标准，该标准将计算机系统的安全划分为4个等级7个级别。
从低到高依次为D、C1、C2、B1、B2、B3和A级。
物理安全技术
物理安全
是保护计算机网络设备、设施以及其他介质免遭地震、水灾、火灾等环境事故以及人为操作失误及各种
计算机犯罪行为导致破坏的过程，它主要包括环境安全、设备安全和介质安全3个方面。
网络安全学习路线
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。
同时每个成长路线对应的板块都有配套的视频提供：
需要网络安全学习路线和视频教程的可以在评论区留言哦~
最后
- 如果你确实想自学的话，我可以把我自己整理收藏的这些教程分享给你，里面不仅有web安全，还有渗透测试等等内容，包含电子书、面试题、pdf文档、视频以及相关的课件笔记，我都已经学过了，都可以免费分享给大家！
给小伙伴们的意见是想清楚，自学网络安全没有捷径，相比而言系统的网络安全是最节省成本的方式，因为能够帮你节省大量的时间和精力成本。坚持住，既然已经走到这条路上，虽然前途看似困难重重，只要咬牙坚持，最终会收到你想要的效果。
黑客工具&SRC技术文档&PDF书籍&web安全等（可分享）
结语
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。
特别声明：
此教程为纯技术分享！本教程的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本教程的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失
