7.5 安全防御
本篇定位：安全防御是"攻击的对手戏"——9 年直接命中 10+ 题（2019 单30、2020 单69/70、2022 单67、2023 单65/多91/多93/多97、2025 单64、2026 单28），2027 预测继续点名（防火墙、IDS/IPS、蜜罐、WAF）。考点：防火墙（位置/局限）、IDS vs IPS、蜜罐、WAF、渗透测试 vs 漏洞扫描、安全部署原则。核心能力：每个设备"干什么 + 防不了什么"一句话——防火墙防边界、IDS 只报不拦、IPS 拦、蜜罐是诱饵。 数据依据：
01-真题/真题文本/+01-真题/考点汇总/+05-笔记/信息安全-高频考点清单.md；答案以专业判断为准。 阅读提示：防火墙与 5.9 网络安全基础（网络视角）互补——本章是"纵深防御"视角；安全部署与 6.9 补丁管理衔接。
一、考点定位（本章真题统计）
| 考点 | 真题锚点 | 频次 | 考法 |
|---|---|---|---|
| 防火墙 | 2019 单30、2023 单65/多93、2026 单28 | 4 年 4 题 | 边界位置；局限（防不了内部/不经过/配置不当） |
| 蜜罐 | 2020 单69、2022 单67、2023 多97 | 3 年 3 题 | 诱饵检测主动攻击 |
| 渗透测试 vs 漏洞扫描 | 2020 单70 | 1 年 | 渗透=人工利用漏洞；扫描=自动化检测 |
| 安全部署 | 2025 单64、2023 多91 | 2 年 | 只用一个分区不利；关闭多余服务 |
| IDS/IPS | 2024 单67 | 1 年 | IDS=监视设备日志检测 |
命题规律：防御题考"设备作用 + 局限辨析"——**防火墙局限（2023 多93）与蜜罐（3 年 3 题）**是两大稳定考点。2027 预测 1–2 题：防火墙/IDS/蜜罐辨析。核心能力：防御设备全家桶"作用一句话 + 防不了什么"。
二、知识框架（先搭骨架）
安全防御设备（纵深防御）
├── 防火墙（Firewall）
│ ├── 位置：内外网交叉点（边界）——2019 单30、2026 单28
│ ├── 作用：按策略过滤/隔离内外网
│ ├── 无安全策略则形同虚设（2023 单65）
│ └── 局限（2023 多93）：
│ ├── 防不了内部人员攻击
│ ├── 防不了不经过它的攻击（绕过）
│ └── 防不了配置不当的漏洞
├── IDS（入侵检测系统）
│ ├── 旁路部署、监视（设备日志/流量）→ 发现攻击【报警】（2024 单67）
│ └── 只检测不拦截
├── IPS（入侵防御系统）
│ └── 串联部署 → 检测并【阻断】攻击（IDS+拦截）
├── 蜜罐（Honeypot）
│ ├── 故意布置【诱饵】系统（含漏洞假目标）——2020 单69、2022 单67
│ ├── 引诱攻击者攻击 → 捕获分析攻击行为
│ └── 主动防御技术；不能直接提高安全等级、不可替代真实防御（2023 多97）
├── WAF（Web 应用防火墙）
│ └── 专门防护 Web 应用（SQL 注入/XSS/CC）
├── 渗透测试 vs 漏洞扫描（2020 单70）
│ ├── 渗透测试：人工模拟攻击、利用漏洞深入分析破坏
│ └── 漏洞扫描：自动化工具检测漏洞（不深入利用）
└── 安全部署原则（2025 单64、2023 多91）
├── ❌ 只用一个分区存放系统和数据 = 不利安全（2025 单64）
├── ✅ 关闭没必要的服务、不装多余组件、安装最新补丁（2023 多91）
└── 最小化攻击面（衔接 7.3 最小权限思想）
一句话记忆：防火墙守边界、IDS 看门只报警、IPS 看门直接拦、蜜罐是假目标钓鱼、WAF 护 Web、渗透人工扫自动、分区分开服务关掉补丁打上。
三、考点详解
3.1 防火墙（2023 多93，必考）
精确定义：防火墙 = 部署在内网与外网交叉点的安全设备，按安全策略过滤数据包、隔离内外网（2019 单30、2026 单28）。
三个前提/局限（2023 多93，选错误项）：
- 防不了内部人员攻击（内鬼在防火墙内）；
- 防不了不经过它的攻击（拨号绕过、无线接入等旁路）；
- 防不了配置不当的漏洞（策略配错=形同虚设——2023 单65）。
口诀：防火墙只守大门——内鬼、绕道、配错都防不了。
3.2 IDS vs IPS（2024 单67）
精确定义：
- IDS（入侵检测系统）：旁路部署，监视网络流量/主机日志，发现攻击只报警不拦截（2024 单67：IDS 靠监视设备日志实现检测）；
- IPS（入侵防御系统）：串联部署在流量路径上，检测到攻击直接阻断——IDS + 拦截能力。
口诀：IDS 只喊"抓贼"、IPS 直接"动手"；IDS 旁路、IPS 串联。
3.3 蜜罐（2020 单69、2022 单67、2023 多97，必考）
精确定义：蜜罐 = 故意布置的诱饵系统（看起来有价值、含漏洞的假目标），引诱攻击者攻击，从而捕获、分析攻击行为——主动防御技术。
2020 单69：蜜罐用于检测主动式网络攻击（诱捕）。 2022 单67：蜜罐是一个含漏洞的诱骗系统。 2023 多97（选错误项）：蜜罐不能直接提高系统安全等级、不能替代真实防御——它只是观察工具。
口诀：蜜罐=钓鱼执法——骗攻击者上钩、观察他的招数。
3.4 WAF（Web 应用防火墙）
精确定义：WAF = 专门保护 Web 应用的防火墙——过滤 HTTP/HTTPS 流量，防护 SQL 注入、XSS、CC 攻击（与 7.4 攻击类型一一对应）。
辨析：传统防火墙防网络层、WAF 防应用层（Web 专门）。
3.5 渗透测试 vs 漏洞扫描（2020 单70）
2020 单70：
- 渗透测试：人工模拟攻击者，利用漏洞深入分析、尝试破坏——更深入、发现利用链；
- 漏洞扫描：自动化工具批量检测漏洞——快但浅（只报漏洞不利用）。
口诀：渗透=真人模拟攻击、扫描=机器自动体检。
3.6 安全部署原则（2025 单64、2023 多91）
2025 单64（选不利项）：只用一个分区存放系统和数据 = 不利于安全——应分区隔离（系统/数据/日志分开），防止一个故障全盘皆输。
2023 多91（选正确做法）：关闭没必要的服务、不安装多余组件、安装最新补丁——最小化攻击面。
口诀：分区分开、服务精简、补丁及时——攻击面越小越安全。
3.7 漏洞管理与补丁（补强；2019 单57、2021 多100、2023 单77）
漏洞：信息系统在设计、实现、配置或管理中存在的缺陷，被利用后可绕过安全策略、获取未授权访问或破坏系统。
| 来源层 | 典型例子 |
|---|---|
| 设计缺陷 | 协议设计漏洞、逻辑设计错误 |
| 编码缺陷 | 缓冲区溢出、SQL 注入、XSS |
| 配置错误 | 默认口令、开放多余端口、权限过大 |
| 管理缺陷 | 未打补丁、离职账号未注销 |
- 坑：装了防火墙 ≠ 漏洞不可利用（2021 多100）——防火墙管边界，管不了已放行端口上的应用漏洞。
- 漏洞攻击最有效的处置＝打补丁/升级到修复版本（2019 单57），不是"加强口令"或"再买一台设备"。
漏洞库与评分（必背对照）：
| 体系 | 作用 |
|---|---|
| CVE | 通用漏洞编号（国际唯一标识） |
| CNVD / CNNVD | 中国国家漏洞库编号 |
| CWE | 漏洞类型分类（如 CWE-79 对应 XSS） |
| CVSS | 严重性评分：0.1–3.9 低／4.0–6.10 中／7.0–8.9 高／9.0–10.0 严重 |
补丁管理七步：资产清单 → 漏洞评估与优先级 → 测试环境验证 → 审批 → 部署 → 验证生效 → 记录归档。
- 虚拟补丁：暂无法打补丁时，用 WAF/IPS 规则临时拦截利用路径——治标不治本，不能替代真补丁。
- 补丁已发布 ≠ 已修复（2023 单77 WannaCry）：微软早已发布补丁仍大面积感染 ⇒ 问题在维护阶段的补丁管理缺失（运维责任），不是开发责任。
- 行业惯例"90 天披露"窗口：给厂商 90 天修复期，到期公开。
3.8 部署架构、物理安全与网络隔离（补强；2018 多93、2021 单68/单72、2025 单72）
防火墙部署七步（第一步即考点）：① 识别外部可以访问的内部网络应用；② 确定安全区域与边界；③ 制定访问控制策略；④ 部署设备；⑤ 配置规则并测试；⑥ 上线监控；⑦ 定期评审更新。
防火墙运行巡检四指标（2021 多93，答案 ABCD）：CPU 利用率、并发连接表（conn 表）大小、吞吐率、故障切换活动——四项都要定期监控。
⚠️ 坑：以为"CPU 利用率"只是服务器的指标——防火墙自身也是设备，资源指标同样要巡检。
为什么防火墙要盯 CPU：它不是纯转发设备——DPI/应用识别、NAT、VPN 加解密、会话表维护都吃 CPU；CPU 打满 ⇒ 新连接建不上、VPN 掉线、延迟抖动。两个层面都要监控：①设备资源层（CPU／内存／连接表／吞吐／双机切换）②安全策略层（规则命中、拦截数、日志）。 实务还会看：内存利用率、新建连接速率（CPS）、时延/丢包率。 2021 单72：防火墙策略配置的第一步＝识别外部访问的网络应用（不是"先买设备""先定规则"）。
四类安全区域与 DMZ：
| 区域 | 放什么 | 策略 |
|---|---|---|
| 内网（可信） | 核心数据库、办公终端 | 最严保护 |
| 外网（不可信） | 互联网 | 默认拒绝 |
| DMZ（隔离区） | 对外提供服务的 Web/邮件/反向代理 | 可被外网访问，但禁止主动访问内网 |
| 管理区 | 网管/日志/堡垒机 | 仅管理员可达 |
- 2018 多93：对外发布的 Web 服务器应部署在 DMZ（不是内网、不是纯外网）。
- 四种部署架构：包过滤路由器 → 双宿主主机 → 屏蔽主机（screened host）→ 屏蔽子网（screened subnet，加 DMZ 网段，最安全）。
物理与环境安全（"九防"）：防盗、防破坏、防火、防水、防雷、防静电、防尘、防电磁泄漏、温湿度控制。
- 机房选址：避开洪涝、地震断裂带、强电磁干扰、易燃易爆；2025 单72 服务器密集堆叠 ⇒ 用冷热通道交替布置（冷风进、热风出）。
- 灭火：用七氟丙烷/全氟己酮等气体灭火剂，不能用水/泡沫（导电、毁设备）；CO₂ 对人体有窒息风险，有人机房慎用。
- 介质销毁：软销毁（多次覆写）、硬销毁（消磁/物理粉碎）；涉密介质不得转售。
网络隔离与数据交换（按强度递增）： 物理断开（最彻底）→ 协议隔离（专用协议转换）→ 网闸 GAP（单向、无反馈）→ 信息摆渡（人工拷贝）→ 防火墙逻辑隔离（最弱）。
- 2021 单68：跨网转移少量文件，正确做法＝刻录光盘；严禁用 U 盘/移动硬盘/手机数据线跨网（会引入病毒与摆渡攻击）。
- 2026 单49"运维人员恶意改配置"＝分发攻击的典型行为（借运维通道投放）。
四、易错坑汇总（命题人惯用陷阱）
- 防火墙局限三连（2023 多93）——"防火墙能防内部攻击/能防不经过它的攻击"都错误；防不了内鬼、绕道、配错。
- IDS 只报不拦（2024 单67）——"IDS 能阻断攻击"错误（IDS 检测报警、IPS 才阻断）。
- 蜜罐不能替代真实防御（2023 多97）——"蜜罐可直接提高安全等级"错误（诱饵观察工具）。
- 渗透 vs 扫描（2020 单70）——"漏洞扫描会利用漏洞"错误（扫描只检测）；"渗透测试是自动化"错误（渗透=人工）。
- 只用一个分区不利（2025 单64）——"系统和数据放一个分区很安全"错误（应分区隔离）。
- 关闭多余服务（2023 多91）——"开放更多服务方便使用"错误（攻击面更大）。
- WAF 是应用层——"WAF 是网络层防火墙"错误（WAF 专门护 Web 应用层）。
- 防火墙无策略=形同虚设（2023 单65）——"装了防火墙就安全"错误（要配置策略）。
五、横向扩展（防漏网：本章边界内、真题尚未考但可能补考的点）
说明：横向扩展覆盖"大纲范围内但 9 年真题未考过"的知识，标注【新增概率】供取舍。
- 防火墙类型【中】：包过滤（网络层）/状态检测/应用代理（应用层）——与 5.9 衔接。
- DMZ 非军事区【低】：放对外服务（Web/邮件）的区域——名词题。
- IDS 检测方式【低】：误用检测（特征库）vs 异常检测（基线）——名词题。
- 沙箱【中】：隔离运行可疑文件——与 7.6 恶意代码衔接。
- 端点检测与响应（EDR）【低】：终端安全——名词题。
- 安全信息和事件管理（SIEM）【低】：集中收集分析日志——名词题。
- 零信任架构【中】：默认不信任任何设备（持续验证）——与 7.10 前沿衔接。
- 攻防演练（红蓝队）【低】：渗透测试的组织形式——名词题。
六、真题演练（代表性真题 + 解析）
例 1（2023 多93） 关于防火墙，错误的说法有（口径已核）。 A. 防火墙可以防止内部人员的攻击 B. 防火墙建在内网与外网交叉点 C. 防火墙可以防止不经过它的攻击 D. 防火墙配置不当则形同虚设
答案：AC。防火墙防不了内部攻击（A 错）、防不了不经过它的攻击（C 错）；B/D 正确。口诀：内鬼、绕道、配错——防火墙三不管。
例 2（2022 单67） 蜜罐是指（口径已核）。 A. 一种含漏洞的诱骗系统 B. 一种加密设备 C. 一种备份系统 D. 一种杀毒软件
答案：A。蜜罐=含漏洞的诱饵系统（引诱攻击者、捕获分析）。口诀：蜜罐=钓鱼执法。
例 3（2020 单70） 通过人工方式模拟攻击者利用漏洞进行破坏性测试的是（口径已核）。 A. 漏洞扫描 B. 渗透测试 C. 端口扫描 D. 网络审计
答案：B。渗透测试=人工利用漏洞深入分析；漏洞扫描=自动化检测。口诀：渗透人工干、扫描机器干。
例 4（2024 单67） IDS 入侵检测系统实现检测的主要手段是（口径已核）。 A. 修改防火墙规则 B. 监视设备日志 C. 阻断攻击流量 D. 加密通信
答案：B。IDS=监视设备日志/流量发现攻击（只检测不阻断——阻断是 IPS）。口诀：IDS 看日志、IPS 才动手。
例 5（2025 单64） 下列不利于操作系统安全部署的是（口径已核）。 A. 关闭不必要的服务 B. 系统与数据分区隔离 C. 只用一个分区存放系统和数据 D. 及时安装安全补丁
答案：C。只用一个分区=不利（故障全盘皆输）；分区隔离/关服务/打补丁都利。口诀：分区要分开、服务要精简。
例 6（2023 多97） 关于蜜罐，错误的说法有（口径已核）。 A. 蜜罐可以诱捕攻击者 B. 蜜罐能直接提高系统安全等级 C. 蜜罐用于观察分析攻击行为 D. 蜜罐可替代其他安全措施
答案：BD。蜜罐不能直接提高安全等级（B 错）、不能替代真实防御（D 错）；A/C 正确（诱捕+观察）。口诀：蜜罐只观察、不挡子弹。
七、本章小结
- 一条主线：防火墙（边界/三防不了）→ IDS（只报）→ IPS（拦截）→ 蜜罐（诱饵）→ WAF（护 Web）→ 渗透 vs 扫描 → 安全部署（分区/精简/补丁）。
- 必背判定：防火墙三防不了（2023 多93）；蜜罐=诱饵不替代（2023 多97、2022 单67）；IDS 只检测（2024 单67）；渗透人工（2020 单70）；分区隔离（2025 单64）。
- 衔接预告：防火墙→5.9 网络视角；恶意代码→7.6；零信任→7.10。