假设有一家名为GoodLife Bank的中型地方性银行，有12个实体分行，可提供在线银行服务，并有325 名员工。该行首席信息安全官Terry 想对银行员工进行行为监控，但首席执行官Pat 表示反对。Pat 说：“员工都是好人，他们以前从未窃取过银行的钱，而且我们以前也从未进行过这种监控。将来也不会出现问题，没有必要浪费钱。”
另外假设，有一个名为备份信息部门(DRID)的政府部门，隶属于宣传部(APB)。在员工会议上，新上任的首席信息官询问DRID主管Chris，部门内除了实施美国联邦信息安全管理法(FISMA)的最低标准外，还采取了哪些安全措施。Chris 回答说：“不需要，因为没有人想窃取我们的东西，而且我们也没有别人想要的东西”。
Pat和政府机构的Chris两人都陷入了网络安全的误区。本书中会使用这些虚构(但具有代表性)的机构和人员，因为他们代表了本书需要提及的常见观点和理念。
在网络空间安全专业和应用中，需要掌握许多知识才能有所成就。这些知识可以通过正式教育和实践学习等多种形式来获取。例如，若要保护计算机免受数字威胁，则需要了解硬件和软件的工作原理，应采取哪些防御措施来阻止特定威胁而不是其他威胁，以及如何识别出现错误的情形。但网络安全领域存在一种潜在危险，即在没有依据的情况下，将传统经验或看法作为真理传承。虽然网络安全是一门不断发展的学科，但当有人质疑某种方法时，仍会听到“一直都是这样做的”的说法。人类大脑天生抵制变化，因此需要努力摒弃陈旧的错误观念。
许多文化内容以谚语和故事的形式进行流传。历史和传统是人类故事的核心，但是这些告诉人们应如何做的处世名言不一定真实可靠。民俗和民间传说有时只是用来证明我们已经做了什么或相信了什么，而不是有依据的行动准则。例如为什么在寒冷的天气里出门时需要戴帽子？有人告诉你是因为90%的体温是从头部散发出去的，如果不想感冒，最好戴上帽子。这种说法听起来很有道理。但正确吗？不一定！1有些谬论比其他观点更具迷惑性，更为普及与持久，因此很难被改变。例如，第8 章将讨论用户是“最薄弱的环节”的观点。很多人都持这种观点，但这是带误导性的错误观点。
网络安全应是有效、公开和合理的。根据经验，人们经常受到偏见或误解的影响而做出错误或次优的选择。少数情况下，人们知道危险但继续前行。不知情和被误导之间有重要的区别。本书的主要目的不是讲授新技术概念(但附带这个效果)，而是聚焦于人们已知的知识领域。
1 身体任何未被遮盖的部分都会使你失去热量。全身赤裸但戴着帽子，会比全身穿戴整齐只光着头更快被冻僵。详细内容可参见[1]。
人们对什么是正确的安全实践存在疑惑，但对糟糕的安全实践(如重复使用密码)却经常意见一致。当然这些糟糕的做法可能并非一直很差，取决于具体参数和条件。
许多糟糕的做法听起来合乎逻辑，对网络安全领域的新手来说尤其如此；即使它们并非正确，但仍会被采纳并重复使用。例如，为什么用户不是最薄弱的环节？本书能帮助你更清楚地思考网络安全问题。
本书直面几十年来积累的民间传说误区，希望读者能够在现实的基础上做出更好的选择。无论网络安全民间传说误区是如何开始的，以及如何传播的，我们都认为人们有良好的意愿，并没有故意试图误导信息。误区不是谎言或故意的误导，误区是关于某些事实或现象的信仰的故事。本书的目标是在一直存有陷阱的地方纠正错误。
本书还想消除人们在面对复杂情况或新情况时产生的偏见。使用探索的方法来做决策，但经常对结果带有偏见。有许多方法适用于日常情况，但计算方法是复杂的，并且对手的行为经常不符合典型的心理模型。了解偏见可能导致的错误决策是很有价值的。
本书的目的不是指责人们的不当行为！并不是每个人都会掉进陷阱，因为有人只相信清单上的某个特定的误区。本书讨论的某些概念可能曾经是正确的，但安全领域在不断进步，环境也在变化。太多人认为网络安全只与技术有关，但事实并非如此。
举个例子，尽管人在网络安全方面发挥着重要作用，但许多计算机科学专业的课程都不包括心理学必修课。
如果你从未接触过本书中描述的逻辑谬论和认知偏见，当你在日常生活中听到错误观点时，不要贬低任何人。相反，请根据本书的建议，从另一个角度理解。我们以谦逊的态度为你呈现本书。我们以前犯过的错，以后还会再犯。1通过这本书我们都学到了新东西！
可以明确的是，很久以前我们了解到的有关网络安全的一切并非都是错误的理念或想法。在20世纪90年代，SSL/TLS被认为是不必要和不重要的。这不是误区，对许多企业来说，这是当时的现状。但现在，它变得异常重要，不可或缺。
曾经的网络安全误区几十年前，一个常见的误区是，反病毒公司制造并发布恶意软件，这样用户就需要购买他们的产品。人们普遍认为反病毒公司人为地制造了需求及解决方案，但这不过是一种阴谋论(这也是David Gerrold 在1972 年创作的科幻小说When HARLIE Was One的情节之一)。
现在不再经常听到这个谬论了。为什么呢？它似乎已经自行消失。如今，大多数人都认识到反病毒软件对于保持良好的网络安全是必要的。有证据表明罪犯、破坏者制造了恶意软件，但没有证据表明反病毒公司正在这样做或者曾经这样做过。
1 好吧，本书的三个作者中至少有两个可能是。
20世纪90年代，这个误解进入鼎盛时期，那么这个误解是如何被解开的？
● 寻找支持这个误解的证据或深入调研是第一步。有人确实进行了调查，但没有发现任何证据。这些结果并没有让这个误解完全消失，但确实削弱了这一说法的真实性。寻找证据是本书建议的验证其他误解的常见手段。
● 考虑备选的解释和动机，应用奥卡姆剃刀原则：优先使用最直接和最简单的解释。反病毒软件公司要编写病毒，就必须让所有员工守口如瓶，因为如果真相泄露，将毁掉整个业务。同时，为了表明不知道内幕，还需要偶尔放过一些病毒(或在内部放松查杀它们)。此外，还需要雇用演员参加会议，并在网上发布关于“他们”编写病毒软件的帖子。这比与公司无关的无赖作者制造病毒更简单、更有可能吗？
本书将揭开误区的真相，但世界上不会没有谬论，因为人类倾向于创造谬论来解释经验。特别是在进化出快速处理信息的能力后，在无法立即解释某些事情时，我们会构思出一个答案。
未来，误区或谬论可能会变得更加普遍并且更具挑战性。人们可以获取越来越丰富的信息，包括错误信息。我们已经看到了荒谬甚至具有破坏性的错误观点在传播，包括一些关于高空飞行物痕迹、疫苗和太空生物渗透政府的谬论。对于许多人来说，确定什么是真实可信的越来越困难。这就是为什么无论是在网络安全领域还是在其他领域，所有人都需要具备发现谬论的技能，以及纠正它们的技巧。
读者对象
本书主要面向网络安全专业人员和业余爱好者，包括学生、架构师、开发人员、分析师和决策者。当误区被揭穿时，现有的信息安全专业人员可以通过改进网络安全来受益。通过阅读本书，那些刚踏入这个领域的人将更好地理解上下文中的民间传说并预防错误；对于有经验的从业人员，将为他们的技术和方法提供新的灵感，并告诉他们如何避免不经意间陷入破坏良好网络安全的陷阱。本书还指出更有经验的从业人员如何帮助指导其他人。
如果你不是网络安全领域从业人员，这本书仍然适合你。网络防护与每个人有关，肯定也包括你，特别是，决策者和商业领袖需要对网络安全有准确的了解：这些人通常负责接受风险或管理风险，这是整本书的关键内容。
本书并不假定读者在特定领域有特定的职务、经验或深厚的技术知识，只假定他们有鉴别能力、思想开放，并对本书的主题领域有一定的了解。书中提供了参考资料，并在末尾提供了参考资料的清单，我们相信，如果读者需要更多信息，这些资料会有网络空间安全真相：破除流传已久的行业谬误与偏见帮助。专业人士的两个特点是终身学习和在接收新信息后质疑当前的理念；与政治领域不同的是，当有人形成新的观点时，通常都具有积极意义！1
三位合著者——他们分别在学术领域、工程领域和政府机构工作——都研究并撰写了关于网络安全和计算机科学的文章。科学可以通过使用标准化的方法和产生有效的证据来更新、验证及消除网络安全的神话。工程学可以利用科学来创造更强大、更可靠的产品。作者们在科学和工程领域工作，在网络安全设计和研究、事件响应、取证以及其他方面的工作年限加起来接近一个世纪。在职业生涯中，他们看到网络安全领域的从业者因为神话和误解而屡屡犯下本可避免的错误。写这本书正是为了教育学生和从业人员；相信这是第一本将这些信息整合在一起的书。
黑客的误区与传说敏锐的读者会注意到，在这本关于网络安全的书中，使用“黑客”这个词时是很慎重的。尽管黑客最初用于标识熟练的技术爱好者，但不幸的是，现在它的负面含义已经使这个词面目全非。我们支持黑客的这个词的正面含义，所以使用“对手”或“攻击者”这些词来描述那些带有恶意的人，或者使用“恶意网络行为者”(malicious cyber actor)这一短语，这是2011年左右在美国政府出版物中出现的术语。我们也使用“坏人”(bad guy)一词来指一般的恶意网络行为者；这种用法不分性别，“好人”(good guy)也是如此。
黑客并不是唯一的在网络安全中被赋予负面含义的用语。正如在即将讨论的几个误区中看到的，“用户”这个词被不尊重和蔑视地使用。我们鼓励人们对这一问题保持警惕，在使用中进行澄清，或者使用其他替代用语。
误区的起源
在探讨并消除误区之前，应了解它们的起源以及它们为何如此顽固。一个原因是，技术和威胁在变化，但教育却迟迟不能跟上。除非人们认真对待持续教育，否则当旧的真理变成新的误区时，就很容易落伍。很多时候，当工作量很大，事情发展很快的时候，教育就被放在了较低的优先级。
所有群体中都不同程度地存在误区和错觉。任何个人或组织都不能幸免，即使是网络安全专家。这里有三个例子：
● 2017年Pew研究中心对美国成年人进行的关于网络安全主题的13个问题的调查中，大多数人只能正确回答其中两个问题。只有54%的人能够识别网络钓鱼攻击的例子。2
1 见[2]。
2 见[3]。
● 在对25 名至少选修过一门网络安全课程的学生的访谈中，研究人员发现了四个共同的主题：过度概括、混淆概念、偏见和不正确的假设。例如，许多学生过度概括并形成错觉，认为加密可以实现保密性之外的其他属性：防止操纵、防止盗窃和确保可用性。研究人员将这些错误观点归咎于在网络安全领域缺乏经验。1
● 对一所大学的20 名非专业人员和网络安全工作人员的研究显示，教职员工对网络安全都存在误解。例如，一些员工认为，链接比附件更危险，因为单击它们会自动损害计算机，而其他员工则认为，如果不安装附件，那么附件是无害的。2
误区与迷信的区别
这本关于误区和错觉的书可能会让你想知道它们与迷信的关系。
在有记载的历史中，迷信已经渗透到人类生存的每一个方面，从体育到天气，再到医学。也许你有一双幸运的袜子，或者避免使用数字13或666。也许你相信扫把星或诅咒。从形式上看，这些都是神奇思维的例子。
数字生活也不能幸免于神奇的思维。今天，我们有一个仪式，关闭我们手机上的所有后台应用程序，或重新启动计算机，以“优化它们的性能”3。
根据《魔幻思维的七大法则：如何通过非理性信仰保持快乐、健康和理智》一书的作者Matthew Hutson(马修·霍斯顿)的描述，神奇思维帮助人们理解非理性的世界，给人们带来舒适感、能动性和掌控感。第3章会再次讨论神奇思维这个话题。
误区和迷信是不同的。误区是不正确的事情或错误解释所观察到的现象，而迷信是基于超自然的信仰。金鱼有3秒钟的记忆是一个误区，敲击木头可以抵御厄运是一种迷信。举一个与计算机有关的例子，20世纪80年代的许多孩子相信，对着游戏卡吹气可以解决灰尘问题。取出游戏卡，对着它吹气，然后重新插入，往往能解决“启动时设备接触不良”问题。是灰尘导致了问题的解释是一个误区。
如果他们认为墨盒被鬼魂入侵，把它取出来并举办驱魔仪式，然后重新插入，那就是迷信了。无论哪种方式，取出和重新插入的行为都能解决这个接触不良的问题，并强化这种信念。
本书关注的是误区，而不是迷信。如果认为把水晶粘在笔记本电脑上，并根据星座部署防火墙规则，就能保证系统安全，那么本书不适合你。而是，我们建议你部署良好的备份系统并购买保险。
一些读者可能会想：“等一下，那宗教呢？”本书不打算以任何方式对宗教问题发表意见。迄今还没有看到任何经同行评审的、可复现的研究，能证实祈祷
1 见[4]。
2 见[5]。
3 关于更多奇特的技术行为，请参阅Nova、Nicholas、Miyake、Katherine、Chiu、Walton、Kwon、Nancy合著的“Curious Rituals: Gestural Interaction in the Digital Everyday (2012)”，网址为[6]。
可以影响安全事件导致的宕机时间。此外，如果认为计算机中心受到恶魔攻击，本书也不会帮助你——烧鼠尾草和雇用驱魔人，请不要感到惊讶，这两者都没有任何用处。
基本观点
作者根据自己的经验、研究成果和同行的意见撰写本书。有些基本观点是所有内容的基础，希望能将它们作为在安全领域组织工作的原则。
首先，网络安全不只是保护计算机和网络。网络安全用于保护支撑社会的技术和数据。计算机不是一个独立的学术研究领域，而是一个支持和促成现代生活的技术领域。计算机用于银行、公用事业系统、商业、学校、执法机构、医疗、娱乐等。生活依赖于计算机系统的正确运行。如果计算机停止工作，公民在社会中互动的能力就会消失，而且往往是以突然和意外的方式消失。因此，当提及击退计算机攻击或保护计算机时，不仅针对计算机和网络，从根本意义上说，是指保护社会和文明生活。
其次，网络安全涵盖了计算机，但主要涉及人。人为计算机编程，设计和制造计算机，购买计算机并部署它们。是的，人也会滥用计算机。不应该忽视这样一个事实：计算机是人使用的工具，是为人准备的，是由人制造的。解决网络安全问题需要关注人及人的行为。
最后，有时计算机会出现故障。事实也是如此，人也会犯错。通常情况下，计算机出现故障是因为设计或运行计算机的人出现了错误或疏忽；计算机硬件已经变得越来越可靠。不应该试图通过指责计算机来为计算机系统的不良行为开脱，如 “计算机决定的”或“计算机犯的错”。这些问题通常是编写软件、输入数据或操作系统的人的错误。使用人工智能(AI)和机器学习(ML)的系统也是如此——问题在于这些系统是如何训练的，以及谁决定采用它们的输出。在每种情况下，都是人承担责任。当一辆汽车闯红灯时，常规做法是把责任归咎于司机，而不是车辆或灯光。
本书的路线图
本书分为四部分——普遍性问题、人的问题、背景问题和数据问题——提出了175个以上的谬论、偏见和误解。章节按主题组织，将类似的误区组合在一起。这些章节可以独立阅读或连续阅读。各章中的标题确定了具体的误区或主题。每一节解释一个误区或错误概念，给出实践中的例子，并讨论如何避免。有些章节是技术性的，如关于漏洞、恶意软件和取证的章节。其他章节则描述了网络安全是如何被思维和决策所影响的，比如关于逻辑谬误和沟通的章节。书中材料包含具体的技术安全建议——大部分项目都是关于人们的看法、决定和行动。这是因为，正如我们所指出的，大多数网络安全问题是由人造成的。1
许多书都讨论了如何构建技术解决方案，通常是对根本问题打补丁(往往是不完美的)。而本书的目的是帮助你解决根本问题。
附录A 提供了文中使用的概念和术语的简短解释。例如，如果对防火墙或log4j漏洞不熟悉，可在附录A中阅读简短的解释。要提醒的是，这些解释并不是作为教程！
附录A只是为了帮助读者理解材料，并掌握基本思想。因此，如果遇到一个不认识的术语，请在附录A中寻找。可能会有，但不一定。
网络安全，以及一般的计算机领域，充斥着各种首字母缩写词。本书努力将每一个首字母缩写词在第一次使用时展开；然而，也可能存在一个陌生的首字母缩写词，读者在读过几章后就不再记得了。因此，附录B提供了一个缩写词表，如果遇到一个不熟悉的缩写词，可从中找到该术语的全称。如果这仍然是一个谜，建议使用你最喜欢的搜索引擎来获得一些额外的背景信息。
附录C提供了一些参考资料供进一步探讨：书籍、学术论文、报告和标准文件。
这些资料按章节进行编排，与本书各章对应。本书的目的是提供可以进一步探索的起点，正如第1章中所指出的，网络安全是一个奇妙的旅程，而不仅仅是一个目的地!
附录D是Links文件。在阅读正文的过程中，不时会看到网址编号，形式是[*]，即放在方括号中编号。这些链接统一放在Links文件(可扫描封底二维码下载)中。例如，在第1章中遇到[1]时，可访问Links文件中标题“第1章”下的第1个链接。
各章中穿插了原创的手绘插图，为各种误区提供了轻松的视角。这些图片展示了谬论的精髓，也会给人们带来欢乐，它们是对文字的异想天开的补充。
1 见[7]。
![《网络空间安全真相：破除流传已久的行业谬误与偏见》[90M]百度网盘|亲测有效|pdf下载](/upload/2024-12-29/77406cbd58209718.jpg.avif)
