安全入门：等保、防火墙/WAF/IDS、加密与零信任

📌 一句话结论

售前聊安全不是做渗透测试，而是要听懂客户/招标里的安全词并给到对应方案点：等保（合规底线）、防火墙/WAF/IDS（各管一段的防护）、加密与证书（机密与身份）、零信任（新范式）——四块凑齐就能接住大多数安全对话。

🧠 知识要点

等保（等级保护，政企/金融必谈）

• 全称"网络安全等级保护"，分五个级别，级别越高要求越严；政企常见三级、金融核心常四级。
• 售前要会讲："你们这个系统定了几级，方案要按对应等级做安全防护、留审计日志、定期测评。"
• 注意：等保是合规底线，不是安全全部——满足等保≠绝对安全。

防火墙 / WAF / IDS 的区别（别混为一谈）

设备	在哪一层	管什么
防火墙	网络/传输层	放行/阻断 IP、端口
WAF（Web 应用防火墙）	应用层（HTTP）	拦 SQL 注入、XSS 等 Web 攻击
IDS（入侵检测）	旁路监听	发现可疑行为告警（只看，不一定拦）

一句话："防火墙守城门管谁进出，WAF 守 Web 入口防应用攻击，IDS 是摄像头发现异常——三个不同位置不同用途，方案里常组合部署。"

加密与证书（HTTPS 的底子）

• 对称加密：加解密同一把钥匙，快，但钥匙怎么传是问题。
• 非对称加密：公钥加密/私钥解密（或反过来），慢但解决密钥分发，HTTPS 握手用它换对称密钥。
• 证书：由可信 CA 签发，证明"这把公钥确实是你的"，防冒充。
• 国密：政企项目常要求国密算法（SM2/SM3/SM4），方案里能提一句是加分项。

零信任（新范式，常被客户提）

• 传统："内网即可信，边界守好就行。"
• 零信任："永不信任，持续验证"——不管在内网外网，每次访问都要验身份、验权限、最小授权。
• 落地常配：多因素认证、细粒度权限、动态策略、设备合规检查。

💼 面试怎么问

• "等保是什么，几级常见？" → 合规要求，政企常见三级、金融核心四级；
• "防火墙和 WAF 有什么区别？" → 一个管网络层 IP/端口，一个管应用层 Web 攻击；
• "HTTPS 为什么安全？" → TLS 加密 + CA 证书验身份，防窃听篡改冒充；
• "零信任是什么？" → 不再默认内网可信，每次访问都验证、最小授权。

✅ 自检清单

• 能说出等保常见级别（三级/四级）及其含义
• 能区分防火墙 / WAF / IDS 各自的位置和作用
• 能用一句话讲清对称 vs 非对称加密，以及证书的作用
• 能向客户解释"零信任"与传统边界安全的差别