网络安全实用指南

当我们谈论真正的网络安全时，归根结底都在于三个核心理念，即行业内所知的 CIA 三要素（CIA Triad）：Confidentiality（机密性）、Integrity（完整性）和 Availability（可用性）。这不仅仅是理论，而是一个实用的框架，有助于平衡保护数据的关键需求与确保数据准确、可访问的同等关键的需求。如果其中任何一个支柱发生动摇，整个安全结构就会处于危险之中。

了解网络安全的基础

为了构建一个真正能够抵御攻击的防御体系，您首先必须掌握定义安全网络的基本原则。在深入研究复杂的工具和策略之前，从根本上理解 什么是网络安全 是至关重要的第一步。这些原则（即 CIA 三要素）是您将要实施的每一项安全措施的基石。

这就像是一个负责递送关键商业合同的安全快递服务。三要素中的每个部分都发挥着独特且至关重要的作用。任何一个部分出错，整个递送过程就会失去信任度。

机密性：保护秘密安全

机密性就是为了确保数据只能被应该看到它的人看到。在我们的快递比喻中，这就是密封且不透明的信封，它可以阻止除收件人以外的任何人阅读里面的合同。

在网络世界中，我们主要通过加密来实现这一点。当您的数据在网络中传输时，加密会将其混淆为完全无法阅读的格式。任何在没有正确解密密钥的情况下截获数据的人，看到的都只是毫无意义的乱码字符。这就是保护密码、信用卡号和个人数据等敏感信息免受窥探的原理。

完整性：确保数据未被篡改

完整性是指确保您收到的信息与发送的信息完全一致，中途没有被悄悄篡改。对于我们的快递员来说，这就是信封上的防篡改密封条。如果密封条破损，收件人会立即知道内容可能已被动过，从而无法信任。

这一原则对于维护数据的可靠性绝对至关重要。加密哈希和数字签名等网络安全措施充当了这种数字印章的角色，验证数据是否完全按照发送时的状态送达。这可以阻止攻击者执行更改付款金额或修改发送到关键系统的指令等操作。为了深入了解，我们自己的 数据与安全概述 更详细地探讨了这些过程。

CIA 三要素不仅是一个教科书模型；它还是评估风险的实用框架。每一个安全决策 - 从选择加密标准到设置防火墙规则 - 都应该根据其对机密性、完整性和可用性的影响进行权衡。

可用性：随时可用

最后，可用性是指授权用户在需要时能够随时访问网络及其资源的承诺。如果快递服务不能按时送达包裹，那它就毫无用处。如果它总是迟到或货车抛锚，这项服务就失败了。

在网络中，诸如拒绝服务（DoS）攻击之类的威胁旨在摧毁这一支柱。它们通过用大量的垃圾流量淹没系统来实现这一点，使系统不堪重负，无法响应合法用户。构建强大的网络安全意味着创建具有备份、冗余和主动监控的弹性系统，以确保即使在遭受攻击时，服务也能保持在线并正常工作。

每位 IT 管理员都应了解的常见网络威胁

理解安全理论是一回事，但在现实世界中了解您所面临的威胁又是另一回事。您的网络所面临的威胁并不仅仅是抽象的概念；它们是攻击者用来中断您的服务、窃取敏感数据并危及您整个组织的活跃且不断演变的策略。

对于酒店、零售或医疗保健行业的企业而言，这些风险被放大了。当您在运行面向公众的 WiFi 的同时，还要运行处理敏感内部数据的系统，一旦发生数据泄露，后果可能是灾难性的，会导致巨大的财务损失并摧毁客户的信任。

让我们来剖析一些您需要密切关注的最常见攻击形式。

中间人攻击

想象一下两个人正在私下传纸条。现在，想象有人坐在他们中间，暗中拦截每一张纸条。他们可以阅读、修改纸条，然后再传过去，而这两个人根本不知道有第三者的存在。这就是 中间人 (MITM) 攻击的本质。

在网络环境中，攻击者将自己置于用户与合法服务之间 - 例如连接到您酒店 WiFi 的访客。在这个位置上，他们可以窃听所有通信，获取从登录凭据到支付详情的所有信息。这在未加密或配置不当的公共 WiFi 网络上尤其危险，因为用户在这些网络中最容易受到攻击。

流氓接入点

流氓接入点（Rogue AP）是旨在模仿合法热点而设置的恶意无线热点。可以把它看作是一个假冒的店面，设计得与真实的、值得信赖的品牌一模一样。酒店客人可能会看到两个WiFi网络："GrandHotel_GuestWiFi" 和 "GrandHotel_Guest_WiFi"。一个是真实的；另一个则是攻击者设下的陷阱。

如果访客连接到流氓 AP，攻击者将完全控制他们的流量。他们可以发起 MITM 攻击，将用户重定向到钓鱼网站以窃取凭据，甚至在他们的设备上植入恶意软件。这是一种简单但极其有效的策略，专门利用毫无防备的用户。

对于用户而言，安全网络绝不应该是一个凭运气猜测的游戏。自动实现安全连接的技术（例如 OpenRoaming）消除了用户误选恶意网络的风险，因为设备会自动、安全地连接，无需用户进行任何操作。

这些漏洞的影响规模是巨大的。英国网络犯罪统计数据突显了其经济影响，报告显示网络犯罪导致的经济损失达 16.3 亿英镑。在信息和通信等行业的企业中，43% 经历过数据泄露。这些业务中断包括 7% 的企业暂时失去网络接入权限，以及 6% 的企业面临网站停机。这些不仅仅是数字，它们代表了拒绝服务等攻击所带来的现实后果。您可以 阅读更多关于最新英国网络犯罪趋势的信息，了解这些威胁目前如何影响企业。

横向移动及其危害

一旦攻击者在您的网络中站稳了脚跟 - 比如通过流氓 AP 诱骗了一个用户 - 他们的工作才刚刚开始。最初的入侵很少是终极目标。相反，他们会启动一个名为横向移动的过程。

这在数字世界中相当于盗贼穿过一扇未锁的窗户，然后悄悄地在各个房间移动，寻找保险箱。攻击者在网络内部进行探测，寻找更有价值的目标，如存有客户数据的服务器、支付系统或管理账户。这种隐蔽的导航正是导致一次轻微入侵升级为全面灾难的原因。

拒绝服务攻击

拒绝服务 (DoS) 攻击具有更直接、更具破坏性的目标：使您的网络或服务完全不可用。想象一下，一家热闹商店的唯一入口被人群完全堵死，导致任何真正的顾客都无法进入。这就是 DoS 攻击。

在 WiFi 领域中，最常见的变体之一是去身份验证攻击（deauthentication attack）。攻击者用伪造的指令淹没网络，强行断开所有人的 WiFi 连接，从而实际上使网络陷入瘫痪。对于酒店、商店或活动场所而言，这可能会使运营陷入停滞，中断 POS 机交易、宾客服务以及内部沟通。这直接损害了可用性 - CIA 三要素的第三个支柱 - 并造成即时的财务和运营损失。

为了帮助您更好地理解这些概念，以下是常见威胁及其对企业（尤其是提供面向公众的 WiFi 的企业）可能产生的影响的简要概述。

常见网络威胁及其影响

如您所见，攻击方法各有不同，但最终目标都是为了攻击者的利益而利用漏洞。了解需要防范什么，是构建具有韧性且安全网络的第一步。

现代网络防御的架构方法

了解威胁是一回事；构建一个能够主动阻止威胁的网络则完全是另一回事。多年来，网络安全遵循着一个简单的“城堡与护城河”模型：在周边筑起一道坚固的围墙，并假设里面的一切都是安全的。在当今无论内外都可能发起复杂攻击的世界中，这种观念已经危险地过时了。

现代防御完全依赖于更智能、更具动态性的策略。这些不仅是您购买的工具，更是创建兼具弹性和智能网络的蓝图。我们不建一堵大围墙，而是建立一系列内部防御，质疑每一次连接，并使用最新的标准从一开始就把安全融入其中。

利用网络分段构建数字防火墙

现代网络的核心策略是网络分段。把您的企业想象成一栋拥有不同部门的大楼。您不会给前台接待员服务器房的钥匙，对吧？分段将同样的常识性逻辑应用于您的网络，为不同的用户和设备创建隔离的区域。

这是通过将较大的网络分割成较小的、独立的子网络来实现的。每个分段都有自己的一套访问规则，从而在它们之间有效地建立起数字墙。对于酒店来说，这是不可妥协的：访客 WiFi 网络必须与运行支付终端或员工系统的网络完全隔离。

为什么这如此至关重要？因为它能控制攻击的波及范围。如果访客网络上的某个设备受到损害，网络分段可以阻止攻击者进行横向移动以窃取关键的企业数据。安全漏洞被隔离在自己的微小区域内，从而大幅减少潜在的损失。

Zero Trust 是一种战略思维，而不是单一的产品。这是对旧有“信任但验证”模式的根本性转变。新规则很简单：“永不信任，始终验证。”每一次访问请求，每一次，都必须进行身份验证和授权。

拥抱零信任模型

基于分段的思想，Zero Trust 安全模型将这一原则推向了其逻辑终点。它的工作基于一个强有力的假设：威胁可能存在于任何地方 - 网络外部和内部。因此，无论用户或设备从哪里进行连接，都没有免检通行证。

每一次访问资源的尝试都必须经过严格验证。想象一下，这就像一个高安全级别的设施，即使您已经在内部，每次通过每一扇门时都必须出示有效的凭证。这种持续的验证过程意味着，即使攻击者成功入侵了一个账户或设备，他们移动的能力也会受到严格限制。他们无法随意游荡到下一台服务器，因为每一步都需要他们根本没有的新身份验证。

此图表重点介绍了一些关键的网络威胁，而这些现代架构方法正是为了应对这些威胁而设计的。

它展示了中间人攻击、流氓接入点和拒绝服务等威胁如何直接破坏网络的完整性和可用性，进一步印证了我们为何需要实施主动的纵深防御策略。

使用 WPA3 和 OpenRoaming 升级无线安全

对于任何提供 WiFi 的企业来说，您所使用的特定安全标准至关重要。WPA2 等较旧的协议多年来一直是主力军，但它们存在着攻击者正在积极利用的已知漏洞。最新的标准 WPA3 带来了巨大的安全升级。

WPA3 加强了加密，使其更难被破解，并能防御黑客试图猜测密码的常见离线“字典”攻击。至关重要的是，它还确保在开放的公共网络上，每个用户的流量都经过单独加密。这可以防止坐在隔壁桌的人窥探他们的活动。

这种无缝、安全连接的概念通过 Passpoint 等技术和 OpenRoaming 等计划得以完善。它们使整个连接过程自动化，利用个人的现有身份（例如他们的移动运营商或公司登录信息）让他们安全上网，而无需他们做任何事情。

这为网络安全带来了三重共赢：

• 消除流氓 AP 风险：用户无需从列表中选择网络名称，因此不会被诱骗连接到恶意的“邪恶双胞胎”热点。
• 从一开始就加密：连接从第一个数据包开始就是安全的，从而消除了传统开放网络中存在的一个主要漏洞。
• 无摩擦体验：它告别了繁琐的登录页面和共享密码，这些不仅是安全噩梦，而且用户体验极差。

通过将网络分段、Zero Trust 理念以及现代无线标准相结合，任何组织都可以构建多层防御体系，从而更有效地阻止当今的威胁。这创造了一个不仅在设计上安全，而且智能且能够满足现代业务需求的网络。

实施基于身份的访问以实现极致安全

真正的网络安全始于颠覆一个旧问题。几十年来，IT 管理员一直在问：“这个设备被允许做什么？”但现代的 Zero Trust 思考方式提出了一个更聪明的问题：“这个用户是谁，他们被授权访问什么？”

这一简单转变是基于身份的访问控制的基础。它彻底告别了多年来作为安全弱点的共享密码和预共享密钥（PSKs）。共享密码就像把一把钥匙留在整个办公室的门垫下 - 一旦被发现，您就完全失去了安全保障。基于身份的访问彻底抛弃了这种模式。

相反，每个用户和设备都会获得自己独特的、不可伪造的数字护照。这不仅仅是一个密码；这是一个可验证的身份，可以证明他们是谁，并根据其角色授予他们精确且受限的访问权限。

利用身份提供商自动执行员工访问

对于您的员工来说，将这种现代的 网络安全 (security in networking) 方法引入到工作中其实非常简单，这得益于与成熟身份提供商 (IdP) 的集成。这些服务很可能已经是您的组织每天都在依赖的服务。

• Microsoft Entra ID（前身为 Azure AD）
• Google Workspace
• Okta

当您将网络访问平台连接到这些目录时，保障员工连接安全的整个过程几乎变得全自动。不再需要手动创建帐户或分发共享的 WiFi 密码。系统只需向每位员工的设备颁发唯一的数字证书。

此证书就像是他们的安全护照。当员工靠近办公网络时，他们的设备会出示此凭据，通过目录进行即时验证并获得访问权限。无需记住、输入或担心密码被盗。如果有人离职？撤销其访问权限非常简单，只需在身份提供商（IdP）中更新其状态即可，这将立即作废其数字护照。

为了更好地了解其工作原理，您可以阅读我们关于 基于身份的 WiFi 安全 的深度指南。

实现无密码的安全访客访问

这种身份优先的理念不仅适用于员工。对于酒店、商店或场所的访客来说，要求他们处理各种密码既不安全，体验也极差。让我们面对现实吧：人们的安全习惯通常很差，这在他们连接到企业网络时会带来巨大的风险。

最近的一项调查发现，令人吃惊的是，47%的英国宽带家庭从未更改过其默认的路由器设置。更糟糕的是，69%的人承认他们从未更改过其WiFi密码。当人们离开家时，这些习惯并不会神奇地改善，这突显了为什么不依赖用户管理密码的系统是如此重要。

这就是 OpenRoaming 等技术彻底改变访客访问游戏规则的地方。它为公众提供了类似的免密码、基于身份的连接。

OpenRoaming 利用访客现有的信任身份 - 例如其移动电话提供商或社交登录 - 自动且安全地将他们连接到 WiFi 网络。整个过程是无缝的，从第一个数据包开始就进行了加密，并将用户完全从安全考量中解放出来。

通过可信的第三方对用户进行身份验证，您的网络可以授予安全访问权限，而无需共享密码或繁琐的 Captive Portal。这证明了坚如磐石的安全性和完全无缝的用户旅程绝对可以携手并进。这就是公共网络访问的未来 - 安全、简单，且围绕身份构建。

实用的部署与监控策略

将安全理论转化为真正起作用的现实防御需要一个清晰、可执行的计划。强大的安全态势并不是通过仅安装一个新产品就能实现的；它是通过周密的部署而构建的，并通过勤勉、持续的监控来维护。这就是我们讨论过的架构蓝图在您的网络上成为切实可行现实的地方。

第一步是进行战略性部署，快速且高效地堵塞安全漏洞。这完全归结于围绕几个关键运营支柱进行的周密规划。

规划您的部署

有效的部署总是从规划您现有的环境开始。将新的安全解决方案与您已有的基础设施相整合至关重要，而不是与之冲突。现代平台正是为此而建，旨在兼容 Meraki、Aruba 和 UniFi 等领先的硬件厂商，以确保更顺畅的部署过程。

从一开始就需要解决的几个关键问题：

• 网络隔离计划：确定您将如何隔离不同类型的流量。您需要明确界定客用 WiFi、员工接入、POS系统和关键后端服务器之间的界限。
• 身份目录集成：将您的接入控制平台连接到现有的身份提供商，如 Entra ID 或 Google Workspace。这可以在员工入职或离职时，自动执行授予和撤销接入权限的整个流程。
• 硬件兼容性检查：仔细检查您选择的解决方案是否与当前的交换机、接入点和防火墙完美兼容。这有助于您在安装过程中避免任何棘手的意外或兼容性问题。

扎实的网络管理是良好安全的基石。掌握基本知识，例如 重置 Cisco 交换机 的步骤，对于在出现问题时维护网络完整性至关重要。

持续监控与事件响应

一旦您的安全网络投入运行，工作重点就会从实施转移到警惕。网络安全绝不是一项 "一劳永逸" 的任务。 持续监控就是密切关注您的网络是否有故障迹象，并制定清晰的计划，在发现问题的瞬间立即采取行动。

这一过程将安全从理论层面的演练转变为实时的、主动的防御姿态。它包括收集和分析网络数据，以发现可能是攻击先兆的异常情况。

没有计划的监控只是在收集数据。正式的事件响应计划可以将这些数据转化为果断的行动，明确列出您的团队从发现威胁到最终解决威胁将采取的确切步骤。

有效的监控策略需要密切关注特定的红旗警示。这些指标通常是安全漏洞的最早迹象，让您有机会在造成实际损害之前做出响应。例如，主动式 DNS 过滤在这里是一个极其强大的防御层。您可以在我们的指南中了解更多关于其工作原理的信息，该指南解释了为什么 主动式 DNS 过滤是您防御现代威胁的最佳防线。

您的团队应该主动寻找：

• 异常流量模式：流向或流自特定设备或外部位置的数据突然出现无法解释的激增，这可能是数据泄露或恶意软件活动的重要迹象。
• 登录失败次数激增：针对单个账户或系统的大量失败身份验证尝试，通常意味着正遭受暴力破解攻击。
• 连接到可疑目的地：向已知恶意 IP 地址或域名的出站流量是一个强烈的信号，表明您网络中的某台设备已经失陷。
• 检测到未经授权的设备：任何在安全网络段上出现的新未知设备都必须立即进行调查，绝无例外。

通过将周密的部署计划与规范的监控和响应策略相结合，您将创建一个具有生命力的安全框架 - 一个能够适应并应对瞬息万变的安全威胁的框架。

将您的安全网络转化为企业资产

将顶级网络安全仅仅视为另一项支出是一个很容易犯的错误。我们经常将其视为一种防御性成本 - 预防灾难的必要之恶。但这种看法错失了一个巨大的机遇。当您以正确的方式构建网络时，特别是使用基于身份的平台，它就不再是成本中心，而是开始成为真正推动增长的战略资产。

其奥妙在于您在安全登录过程中收集的第一手数据。每当客户或访客连接到您的 WiFi 时，您就与他们建立了一种直接的、基于同意的关系。这远不止是提供一个互联网连接；这是对话的开始。

从成本中心到增长引擎

这就是真正有趣的地方。当您将丰富的身份和行为数据与您的客户关系管理（CRM）和营销平台相连时，您就可以开始以以前完全不可能的方式个性化客户旅程。对于酒店、零售和大型场馆等行业的企业来说，这改变了游戏规则。

• 个性化优惠：酒店可以在回访宾客办理入住时，向其发送欢迎信息并提供其最喜爱酒吧饮品的优惠。
• 更深度的洞察：零售中心可以分析客流量模式，了解哪些入口和商铺在不同时段最繁忙，从而帮助他们优化从店铺布局到员工排班的一切工作。
• 提高忠诚度：咖啡馆可以在顾客每次登录 WiFi 时自动将忠诚度积分添加到其账户中，为他们提供一个具有吸引力的回头理由。

投资一个现代的、基于身份的网络平台不仅仅是一项安全措施。在充满威胁和激烈竞争的世界中，这是一项能带来明确回报的战略性商业决策。

证明投资回报率

这种方法将网络安全从费用表上的一个项目转变为对您底线可衡量的贡献。这不仅仅是理论，数字支持了这一点。例如，英国的网络安全部门创造了 132 亿英镑 的总增加值，随着更多企业对广泛的泄露做出反应，未来的增长空间巨大。您可以 了解有关英国网络安全行业分析的更多信息，以了解市场的完整规模。这不仅与 IT 有关，它是一项核心业务功能。

这里有一个真实的例子：一家大型购物中心利用其 WiFi 分析发现，连接到网络的访客停留时间延长了 20%，并且每次访问的花费更多。这是一个强有力的洞察。通过利用这些数据进行定向推广，他们直接提升了营业收入。这证明了在网络安全方面的正确投资会带来数倍的回报，在初始安装完成后很久，仍能构建一个更智能、更具盈利能力的业务。

您的网络安全问题，已解答

当您开始加强网络安全时，难免会遇到一些实际问题。以下是 IT 管理员和经理在开始时最常遇到的一些问题，这些问题进一步印证了我们之前提到的一些核心观点。

提高我们访客 WiFi 安全性的第一步是什么？

摆脱开放的、免密码的网络以及不安全的共享密码。说真的。您能采取的最关键的第一步就是转向基于身份的系统。这一个改变就能立即堵住一些最大的安全漏洞。

它能立即将您的网络从一个匿名且混乱的环境转变为一个每个连接都与唯一标识符绑定的环境。这为所有其他现代安全措施奠定了基础，从监控和控制到正确的网络分段。您实际上是在用户首次连接时，就与他们建立起安全的数字化关系。

我们的目标是消除匿名。无论是通过收集电子邮件的安全门户，还是通过 OpenRoaming 这样无缝的技术，将每一次连接与可验证的身份相绑定，都是您能做出的最具影响力的单一改变。

零信任在真实的 WiFi 环境中是如何工作的？

在 WiFi 环境中，零信任很简单：默认情况下不信任任何人或任何事物，无论他们处于网络的什么位置。每一个连接请求都必须在每次连接时进行验证。这为任何企图获取未经授权访问的人创造了一个严苛得多的环境。

对于您的员工，这可能意味着使用身份提供商（如 Entra ID）向每台设备颁发唯一的证书，仅授予其执行工作绝对所需的特定资源的访问权限。对于访客，像 OpenRoaming 这样的系统从一开始就对连接进行加密，而网络隔离则将他们与您的企业资源完全隔离开来。

过渡到安全的基于身份的平台会很困难吗？

这比您想象的要简单得多。现代云端平台专为快速部署而构建，旨在与您已有的主流品牌网络硬件（如 Cisco Meraki、Aruba 和 Ruckus）无缝集成。

该过程通常包括配置平台以与您当前的 WiFi 基础设施和身份提供商进行同步。过去需要耗时数月的复杂项目，现在只需几周即可启动并运行。这为您提供了获得企业级安全的捷径，免去了传统本地部署方案的烦恼，使强大的安全性成为任何规模组织触手可及的目标。

准备好用安全、基于身份的网络平台来替代过时的共享密码了吗？了解 Purple 如何在提供零信任安全的同时，带来无缝的用户体验。探索 Purple 平台。