第 1 课 · 威胁模型入门：你到底在防谁

上架第一小时 · L2 · 第 1 / 6 节 · 约 3 分钟

「安全」不是一个动作清单，而是一个匹配问题：你的防御强度要匹配你面对的威胁——防过头是浪费，防不足是裸奔。这一课教你用三个问题建立自己服务器的威胁模型，然后按模型分配接下来五节课的投入。

先认清现实：你面对的不是黑客电影

个人与中小站点服务器面对的真实威胁，按发生频率排序大致是：①自动化扫描与爆破（无差别、每分钟都在发生——你上线第一小时就会在日志里看到）；②已知漏洞的批量利用（漏洞公开后数小时到数天内出现批量扫描利用）；③配置错误暴露（数据库对公网开放、面板默认口令、测试文件忘删——不依赖任何「黑客技术」）；④资源滥用（被植入挖矿程序、被当代理跳板）；⑤针对性攻击（有动机、有耐心的定向渗透——多数个人站长不在这一档，但持有敏感数据者要计入）。前四类占实际事故的绝大多数，而它们的共同点是：基线加固就能挡掉——这就是本课程存在的理由。

威胁模型三问

问题	想清楚什么	对防御的影响
①我有什么值得偷	用户数据？支付信息？源码？还是只有这台机器本身的算力	数据敏感级决定备份与加密投入；纯算力目标重点防滥用（挖矿/跳板）
②谁会来偷	无差别扫描器（多数）还是有针对性攻击者（少数）	前者靠基线，后者还需要监控与响应能力
③丢了会怎样	数据丢失/泄露的业务后果、恢复要多久	决定 RTO/RPO 目标与备份密度（第 5 课）

三问的答案写下来（真的写下来，三行字就够）——它就是你的威胁模型文档。没有它，后面所有安全投入都是凭感觉；有它，每个决策都能回答「为什么做/为什么不做」。

按模型定投入：三档配置

基础档（个人博客/学习机——只有算力与公开内容值得偷）：完成本课程 2–4 课（SSH/防火墙/更新）即可，备份用快照凑合；
标准档（企业站/小电商/有用户数据）：全六课完成 + 备份异地化 + 登录告警 + 季度演练；
强化档（支付/敏感数据/合规要求）：标准档之上加：合规基线对照（等保/GDPR 类）、日志集中留存、访问审计、年度渗透测试——本课程给地基，强化档需要专业流程。

两个常见的模型错误

「我没价值，没人打我」——错在把「针对性攻击」当成唯一威胁：自动化扫描不挑目标，你的机器被打不是因为你重要，而是因为在公网。日志会教育你：

# 上线一小时后看一眼（Debian 系）：
grep "Failed password\|Invalid user" /var/log/auth.log 2>/dev/null | tail -5
journalctl -u sshd --since "-1 hour" 2>/dev/null | grep -ci "invalid\|failed"
# 这个数字几乎不会是 0 —— 这就是「背景辐射」

「买了高防/装了面板 = 安全了」——错在把产品当体系：DDoS 防护产品防不了弱口令，面板本身还是新的攻击面（它是个有 root 权限的 Web 应用）。产品是组件，体系是三问驱动的完整闭环。

本节小结

真实威胁的主力是自动化扫描、批量漏洞利用与配置错误——基线加固就能挡掉绝大多数；
威胁模型三问（有什么/谁来/丢了怎样）写下来，按三档配置分配安全投入；
「没人打我」和「买了产品就安全」是两个最贵的错觉——日志与体系分别治它们。