第 1 課 · 威脅模型入門：你到底在防誰

上架第一小時 · L2 · 第 1 / 6 節 · 約 3 分鍾

「安全」不是一個動作清單，而是一個匹配問題：你的防御強度要匹配你面對的威脅——防過頭是浪費，防不足是裸奔。這一課教你用三個問題建立自己服務器的威脅模型，然後按模型分配接下來五節課的投入。

先認清現實：你面對的不是黑客電影

個人與中小站點服務器面對的真實威脅，按發生頻率排序大致是：①自動化掃描與爆破（無差別、每分鍾都在發生——你上線第一小時就會在日志裏看到）；②已知漏洞的批量利用（漏洞公開後數小時到數天內出現批量掃描利用）；③配置錯誤暴露（數據庫對公網開放、面板默認口令、測試文件忘刪——不依賴任何「黑客技術」）；④資源濫用（被植入挖礦程序、被當代理跳板）；⑤針對性攻擊（有動機、有耐心的定向滲透——多數個人站長不在這一檔，但持有敏感數據者要計入）。前四類佔實際事故的絕大多數，而它們的共同點是：基線加固就能擋掉——這就是本課程存在的理由。

威脅模型三問

問題	想清楚什麼	對防御的影響
①我有什麼值得偷	用戶數據？支付信息？源碼？還是只有這臺機器本身的算力	數據敏感級決定備份與加密投入；純算力目標重點防濫用（挖礦/跳板）
②誰會來偷	無差別掃描器（多數）還是有針對性攻擊者（少數）	前者靠基線，後者還需要監控與響應能力
③丟了會怎樣	數據丟失/泄露的業務後果、恢復要多久	決定 RTO/RPO 目標與備份密度（第 5 課）

三問的答案寫下來（真的寫下來，三行字就夠）——它就是你的威脅模型文檔。沒有它，後面所有安全投入都是憑感覺；有它，每個決策都能回答「爲什麼做/爲什麼不做」。

按模型定投入：三檔配置

基礎檔（個人博客/學習機——只有算力與公開內容值得偷）：完成本課程 2–4 課（SSH/防火牆/更新）即可，備份用快照湊合；
標準檔（企業站/小電商/有用戶數據）：全六課完成 + 備份異地化 + 登入告警 + 季度演練；
強化檔（支付/敏感數據/合規要求）：標準檔之上加：合規基線對照（等保/GDPR 類）、日志集中留存、訪問審計、年度滲透測試——本課程給地基，強化檔需要專業流程。

兩個常見的模型錯誤

「我沒價值，沒人打我」——錯在把「針對性攻擊」當成唯一威脅：自動化掃描不挑目標，你的機器被打不是因爲你重要，而是因爲在公網。日志會教育你：

# 上線一小時後看一眼（Debian 系）：
grep "Failed password\|Invalid user" /var/log/auth.log 2>/dev/null | tail -5
journalctl -u sshd --since "-1 hour" 2>/dev/null | grep -ci "invalid\|failed"
# 這個數字幾乎不會是 0 —— 這就是「背景輻射」

「買了高防/裝了面板 = 安全了」——錯在把產品當體系：DDoS 防護產品防不了弱口令，面板本身還是新的攻擊面（它是個有 root 權限的 Web 應用）。產品是組件，體系是三問驅動的完整閉環。

本節小結

真實威脅的主力是自動化掃描、批量漏洞利用與配置錯誤——基線加固就能擋掉絕大多數；
威脅模型三問（有什麼/誰來/丟了怎樣）寫下來，按三檔配置分配安全投入；
「沒人打我」和「買了產品就安全」是兩個最貴的錯覺——日志與體系分別治它們。