企业官网建设流程全解析

• 文档
• 网络安全
• 教程

导读

这篇术语手册面向 Web 安全、内网渗透与安全运营从业者，系统梳理了 Learn-Web-Hacking 仓库中高频出现的安全、网络、协议与云原生术语。其原始底稿位于 source/misc/terminology.rst，按 Windows 协议、网络协议、路由系统、Kerberos、安全开发、攻击与防御、认证、云等类别组织。本文在完整继承该术语表全部词条的基础上，结合仓库内 Windows 认证、Kerberos、MSRPC、内网协议、ATT&CK、入侵检测、路由算法、Docker/K8s 等专题文档逐条补充释义与安全视角解读。读完本文，你将能够看懂仓库绝大多数章节中出现的缩写与专有名词，并能将术语对号入座地映射到对应的攻击面、协议流程与防御方案。

一、Windows 相关术语

Windows 生态是内网渗透与域渗透的核心战场，本组术语来自 source/misc/terminology.rst 中 "Windows" 一节，全部属于微软远程管理、审计与协议体系。它们在仓库的 内网/Windows 与 认证 章节中反复出现。

源码佐证：仓库 source/intranet/windows/msrpc.rst 明确指出 MSRPC 使用 UDP 135 与 TCP 139/445 端口，并可用于用户遍历、服务遍历、凭证导出、横向移动与权限提升。MS-SAMR、MS-SCMR、MS-DRSR、MS-TSCH 正是围绕 135 端口的 RPC 接口族，是红队工具（如 Impacket 系）操作远程 Windows 主机的主要协议入口。

延伸阅读：Windows 本地认证机制（winlogon.exe 传递、lsass.exe 比对 SAM 中的 NTLM Hash）可参考 source/auth/windows.rst；NTLM 挑战/应答认证全流程见 source/auth/ntlm.rst；域环境中的 RPC 攻击面见 source/intranet/windows/domain/attack.rst。

二、网络相关术语

2.1 网络协议

本组术语覆盖目录服务、文件共享、邮件、主机管理与认证协议，来自 source/misc/terminology.rst 的 "网络协议" 小节。

目录与身份类

• LDAP (Lightweight Directory Access Protocol, 轻型目录访问协议)：基于 X.500 标准的轻量级目录访问协议，Active Directory 域控通过 LDAP 对外提供目录查询与对象管理接口。在 source/intranet/windows/domain/domain.rst 描述的林、域树、OU 等对象均通过 LDAP 暴露。
• DN (Distinguished Name, 标识名)：LDAP 目录中对象的唯一标识路径，例如CN=Administrator,CN=Users,DC=example,DC=com，描述了对象在目录树中的完整位置。
• RDN (Relative Distinguished Name, 相对标识名)：DN 中相对于其父条目的名称部分，如上例中的CN=Administrator。
• SPN (Service Principal Names, 服务主体名称)：Kerberos 中唯一标识一个服务实例的名称（如HTTP/web.example.com）。在域渗透中，攻击者会查询 SPN 来寻找支持 Kerberos 认证的服务，从而实施 Kerberoasting 攻击提取服务账户凭据。
• SASL (Simple Authentication and Security Layer, 简单身份验证与安全层)：一种为网络协议增加认证机制的框架，可承载多种认证机制（如 GSSAPI、PLAIN 等），LDAP、SMTP、IMAP 等协议均支持。
• DCE/RPC (Distributed Computing Environment / Remote Procedure Calls)：由开放软件基金会（OSF）定义的分布式远程过程调用标准，MS-RPC 即其微软修改实现（见上文）。

文件共享与网络服务类

• SMB (Server Message Block, 服务器消息块)：应用层的文件共享协议，也是 Windows 域内最常用的协议之一，广泛用于文件共享、打印机共享与命名管道。在仓库的 横向移动 章节中，SMB 弱口令被列为常见入口之一。
• CIFS (Common Internet File System, 网络文件共享系统)：SMB 的公共互联网扩展版本，二者在语境中经常混用。
• NFS (Network File System, 网络文件系统)：广泛用于 UNIX/Linux 环境的分布式文件系统协议，Windows 也提供 NFS 客户端支持。
• SMTP (Simple Mail Transfer Protocol)：互联网电子邮件发送的基础协议。
• POP3 (Post Office Protocol 3)：用于客户端从邮件服务器收取邮件的协议，通常监听 110 端口。
• IMAP (Internet Mail Access Protocol)：更现代的邮件访问协议，允许客户端在服务器上维护多文件夹邮件，通常监听 143 端口。上述三个邮件协议与 SPF、DKIM、DMARC 的关系可参考 source/misc/email.rst。
• SNMP (Simple Network Management Protocol, 简单网络管理协议)：网络设备（交换机、路由器、防火墙等）的标准化管理协议，默认端口 161/162。弱口令与团体名（community string）暴露是网络设备安全审计的重点。
• HTTP / HTTPS：超文本传输协议及其 TLS 加密版本，Web 安全的基础，详见 source/network/http/index.rst。
• DHCP (Dynamic Host Configuration Protocol, 动态主机配置协议)：自动分配 IP 地址、子网掩码、网关与 DNS 等网络参数的协议，可参考 source/network/dhcp.rst。
• RPC (Remote Procedure Call, 远程过程调用)：使程序能像调用本地函数一样调用远程主机上的过程，是 SMB、MSRPC 等协议的底层机制。
• JDWP (Java Debug Wire Protocol, Java 调试线协议)：Java 调试器与 JVM 之间的通信协议。若 Java 应用错误地将 JDWP 暴露到公网且未设置认证，攻击者可远程附加调试器并执行任意代码，相关攻击面见 source/language/java/index.rst。
• LLMNR (Link-Local Multicast Name Resolution, 链路本地多播名称解析)：基于 DNS 数据包格式、用于同一本地链路内主机名解析的协议，Windows Vista 后引入。仓库 source/intranet/windows/domain/proto.rst 指出其监听 UDP 5355 端口，通过多播地址224.0.0.252（IPv6 为FF02:0:0:0:0:0:1:3）访问；由于 LLMNR 响应不校验来源，攻击者可响应伪造解析结果实施中间人攻击（Responder 类工具的核心利用点）。

2.2 路由系统

本组术语来自术语表的 "路由系统" 小节，基础理论见 source/network/route.rst 与 source/network/basic.rst。

自治系统与网关协议

• AS (Autonomous System, 自治系统)：由一个组织管理的一整套路由器和网络，对外表现为单一且一致的路由策略。AS 之间使用外部网关协议交换路由信息，每个 AS 拥有唯一的 AS 号（ASN）。
• IGP (Interior Gateway Protocol, 内部网关协议)：在一个 AS 内部使用的路由选择协议，典型如 RIP 与 OSPF。注意 source/network/route.rst 原文中将 IGP 场景称为"域内路由选择（interdomain routing）"。
• EGP (External Gateway Protocol, 外部网关协议)：源主机与目的主机分属不同 AS、数据报到达 AS 边界时用于跨 AS 传递路由信息的协议，典型代表是 BGP-4；原文将其场景称为"域间路由选择（intradomain routing）"。
• RIP (Routing Information Protocol, 路由信息协议)：基于距离向量的路由协议，每个路由器需维护到 AS 内其他目的网络的距离与下一跳路由器地址。
• OSPF (Open Shortest Path First, 开放最短路径优先)：基于链路状态的路由协议，其名称源于使用了 Dijkstra 最短路径算法（SPF），但"最短路径优先"只是协议命名，不代表其他路由协议不是最短路径优先。

冗余与地址转换类

• FHRP (First Hop Redundancy Protocols, 首跳冗余性协议)：为一组路由器提供默认网关冗余的协议族统称。
• HSRP (Hot Standby Router Protocol, 热备份路由器协议)：Cisco 私有协议，允许多台路由器组成一个虚拟路由器，实现网关故障自动切换。
• VRRP (Virtual Router Redundancy Protocol, 虚拟路由冗余协议)：IEEE 标准化的网关冗余协议，与 HSRP 功能类似但为开放标准。
• GLBP (Gateway Load Balancing Protocol, 网关负载均衡协议)：Cisco 协议，既提供冗余又能在多台网关间负载均衡。
• NAT (Network Address Translation, 网络地址转换)：将内网私有地址映射为公网地址的技术，也是边界防御与隐蔽内网拓扑的常见手段。
• PPP (Point-to-Point Protocol, 点对点协议)：在点对点链路上承载网络层协议的数据链路层协议，常用于拨号与隧道场景。
• STP (Spanning Tree Protocol, 生成树协议)：用于交换网络消除环路、防止广播风暴的数据链路层协议。
• QUIC (Quick UDP Internet Connections)：基于 UDP 的传输层协议，由 Google 提出并演进为 HTTP/3 的底层协议，提供类似 TCP 的可靠性与更低的连接建立延迟。

2.3 网络应用

• CT (Certificate Transparency, 证书透明度)：公开审计日志机制，所有公开信任的 TLS 证书都会被记录在可公开查询的日志中，用于检测伪造/误发证书。在 source/info/domain.rst 等子域名/证书信息收集场景中，证书透明度日志是常用数据源。
• CAA (DNS Certification Authority Authorization)：DNS 记录类型，用于声明该域名允许哪些证书颁发机构（CA）签发证书，防止 CA 被滥用。
• ALG (Application Level Gateway, 应用级网关)：能解析并处理特定应用层协议（如 FTP、SIP）的 NAT/防火墙设备，用于修正载荷中的地址信息以保证协议穿越 NAT 正常工作。

2.4 Kerberos 核心角色

• KDC (Key Distribution Center, 密钥分发中心)：Kerberos 中提供票据与临时会话密钥的网络服务，实际部署中常与域控同机。
• AS (Authentication Server, 认证服务器)：验证用户身份的服务器，通过 long-term key 认证用户，并在成功后签发票据授权票据（TGT）与短期会话密钥。
• TGS (Ticket Granting Server, 票据授权服务器)：验证用户持有的 TGT，并为其签发访问具体服务的会话票据（ST），承担授权与访问控制职能。

完整的 Kerberos 认证流程（AS 交换、TGS 交换、服务访问与重放防护）见 source/auth/kerberos.rst，域环境中的应用见 source/intranet/windows/domain/winkerberos.rst。

三、开发相关

• REST (Representational State Transfer, 表征状态转移)：一种基于资源与 HTTP 方法的架构风格，使用 URL 定位资源、GET/POST/PUT/DELETE 等动词表达操作。仓库中 Docker 引擎 章节提到 Docker daemon 通过 REST API 对外提供镜像管理与容器编排能力（默认非 TLS 端口 2375），因此 REST 也是容器安全审计中关注的管理面。

四、安全相关术语

4.1 缺陷、漏洞的概念层级

术语表对漏洞概念体系给出了精确的四层定义，这是理解 威胁情报 中"脆弱性/漏洞"定义的基础：

• 缺点 (defect / mistake)：软件在实现上和设计上的弱点的统称，是缺陷和瑕疵的总概念。
• 缺陷 (bug)：实现层面的软件缺点，容易被发现和修复，典型如缓冲区溢出。
• 瑕疵 (flaw)：设计层面的缺点，难以察觉，往往需要人工分析才能发现；例如软件系统中错误处理或恢复模块的设计问题导致程序不安全或失效。
• 漏洞 (vulnerability)：可以用于违反安全策略的缺陷或瑕疵——即能被实际利用以突破安全边界的弱点。

4.2 应用安全测试方法

• SAST (Static Application Security Testing, 静态应用程序安全测试)：在不运行程序的情况下对源码、字节码做静态分析以发现安全缺陷，属于白盒测试。仓库 source/defense/sdl.rst 在 SDL 的"实现"阶段提到用静态分析工具辅助代码审计，其结果需与人工分析相结合。
• DAST (Dynamic Application Security Testing, 动态应用程序安全测试)：在程序运行状态下发送测试载荷进行黑盒检测，对应 SDL"验证"阶段的动态程序分析。
• IAST (Interactive Application Security Testing, 交互式应用程序安全测试)：结合静态与动态方法，在应用运行时（通常通过 Agent 或代理）观测代码路径与实际请求，兼顾覆盖度与准确度。

4.3 攻击建模与评估

• ATT&CK™ (Adversarial Tactics, Techniques, and Common Knowledge)：MITRE 于 2013 年推出的、站在攻击者视角描述攻击各阶段技术的知识库与模型，将已知攻击者行为汇总为战术（Tactics）与技术（Techniques），并以矩阵、STIX/TAXII 形式表达。仓库 source/defense/att8ck.rst 详细介绍了其三大组成部分（PRE-ATT&CK、ATT&CK for Enterprise、ATT&CK for Mobile）以及 Groups/Software/Techniques/Tactics 四类关键对象，可用于模拟攻击、评估防御能力、威胁情报建模。
• 横向移动 (Lateral Movement)：攻击者获得初始立足点后，在内网中从一台主机扩展到其他主机、扩大控制范围的过程。仓库 source/intranet/windows/lateral.rst 给出了常见入口（如 SMB 弱口令、SqlServer 弱口令）与 LOLBAS 白利用手段。
• BAS (Breach and Attack Simulation, 入侵和攻击模拟)：通过自动化工具持续模拟真实攻击行为，验证安全控制措施的有效性，属于攻击者视角的安全验证体系。

4.4 安全开发与运营

• SIEM (Security Information and Event Management, 安全信息和事件管理)：集中采集主机、网络、应用日志并做关联分析的安全运营平台。仓库 source/defense/intrusiondetection.rst 的"日志分析"小节描述了将各类日志集中到统一后台综合分析的做法，正是 SIEM 的核心思想。
• SOAR (Security Orchestration, Automation and Response, 安全编排自动化与响应)：将安全运营流程编排自动化，实现告警分级、剧本化响应与闭环处置，解决 SIEM 告警疲劳问题。
• SDL (Security Development Lifecycle, 安全开发生命周期)：微软提出的、从安全角度指导软件开发全流程的管理模式，包括培训、确定安全需求、设计（威胁建模）、实现（禁用危险函数、静态分析）、验证（模糊测试、渗透测试）、发布（事件响应）六个阶段，详见 source/defense/sdl.rst。

4.5 安全策略机制

• CORS (Cross-Origin Resource Sharing, 跨域资源共享策略)：浏览器同源策略的补充机制，通过响应头允许特定源跨域读取资源；配置过宽（如反射任意 Origin）是常见的 Web 配置漏洞，相关概念见 source/vuln/xss/sop.rst。
• SPF (Sender Policy Framework, 发件人策略框架)：一种特殊的 DNS 记录（TXT），声明合法发送该域名邮件的服务器 IP，用于反伪造邮件。
• DKIM (DomainKeys Identified Mail, 域名密钥识别邮件)：在邮件头部附加数字签名，使接收方可以校验邮件内容在传输中未被篡改，密钥通过_domainkey子域的 TXT 记录发布。
• DMARC (Domain-based Message Authentication, Reporting and Conformance, 基于域名的消息认证报告与一致性协议)：基于 SPF 与 DKIM 的对齐结果定义域名邮件的处置策略（拒绝/隔离/放行）并生成报告。
• DNSSEC (The Domain Name System Security Extensions, DNS 安全扩展)：为 DNS 数据提供来源认证与完整性校验的数字签名机制，防止 DNS 欺骗与缓存投毒。
• DANE (DNS-based Authentication of Named Entities, 基于 DNS 的命名实体身份验证)：利用 DNSSEC 在 DNS 中发布证书绑定信息，为 TLS 提供除 CA 之外的信任锚点。

上述邮件安全机制在 source/misc/email.rst 有进一步说明。

4.6 安全模型

• BSIMM (Building Security In Maturity Model, 构建安全成熟度模型)：一套描述组织软件安全实践成熟度的评估框架，通过对照真实企业的安全活动来度量并改进软件安全计划。

五、攻击相关术语

5.1 漏洞类型

• XSS (Cross Site Scripting, 跨站脚本攻击)：在渲染过程中发生预期之外的 JavaScript 执行，常被用于窃取 Cookie、以受害者身份操作。仓库 source/vuln/xss/index.rst 下细分了反射型、存储型、DOM 型与 Blind XSS（见 classify.rst）。
• CSRF (Cross-Site Request Forgery, 跨站请求伪造)：诱导受害者在已登录状态下向目标站点发出伪造请求，从而以受害者身份执行敏感操作，详见 source/vuln/csrf.rst。
• MITM (Man-in-the-middle, 中间人攻击)：攻击者插入通信双方之间、可窃听或篡改流量的攻击方式。LLMNR 欺骗、ARP 欺骗、Wi-Fi 伪接入点等均属此类，网络层威胁描述见 source/defense/framework.rst。
• SSRF (Server Side Request Forgery, 服务端请求伪造)：利用服务器漏洞以服务器身份向内网/本地发起构造的请求，可进行内网端口扫描、攻击内网应用或经 file 协议读取本地文件，详见 source/vuln/ssrf.rst。
• APT (Advanced Persistent Threat, 高级持续威胁)：2006 年被正式提出的概念，描述针对特定目标、由组织发起的隐蔽且持续的网络攻击，具备高级性（Advanced）、持续性（Persistent）与威胁性（Threat）特征，常结合供应链攻击、水坑攻击、零日漏洞与僵尸网络，详见 source/misc/apt.rst。
• RCE (Remote Command/Code Execute, 远程命令/代码执行)：在远程目标上执行命令或代码的漏洞类别。命令注入见 source/vuln/cmdinjection.rst，反序列化等代码执行场景见 source/language/java/unserialize.rst。
• OOB (Out-Of-Band, 带外数据)：攻击载荷触发后通过独立的网络通道（如 DNS 查询、HTTP 回连）将数据外带，常用于无法直接回显的注入场景（如盲注、无回显 XXE）。

5.2 攻击方式

• 鱼叉攻击 (Spear Phishing)：针对特定个人或组织定制的高针对性钓鱼攻击，是 APT 与社工攻击的重要入口。
• 水坑攻击 (Water Holing)：攻击者先入侵目标经常访问的第三方网站并植入恶意代码，再等待目标访问该网站而感染，成功率通常高于直接钓鱼，详细描述见 source/misc/apt.rst。
• DDoS (Distributed Denial of Service, 分布式拒绝服务)：利用大量受控主机（僵尸网络）向目标发起海量请求，耗尽带宽、连接或计算资源导致服务不可用，相关防御见 source/defense/emergency.rst。

六、防御相关术语

6.1 检测指标

• IoC (Indicators of Compromise)：折中指示器，指可用于识别系统是否被入侵的客观证据，如恶意文件哈希、C2 域名/IP、注册表项等。
• IoA (Indicators of Activity)：活动指示器，关注攻击者的行为模式与意图（如异常登录时间、横向移动动作），而非单一痕迹，比 IoC 更难以被简单绕过。

6.2 检测与响应技术

• NDR (Network-based Detection and Response, 网络检测响应)：基于网络流量的异常检测与响应技术，通过分析元数据与流量行为发现南北向/东西向恶意活动。
• EDR (Endpoint Detection and Response, 终端检测响应)：部署在终端（PC、服务器）上的实时检测响应产品，采集进程、网络、文件等行为并支持远程处置。
• MDR (Managed Detection and Response, 托管检测响应)：由安全服务商代运营的检测响应服务，提供人机结合的 7×24 监测、分析与处置。
• XDR (Extended Detection and Response, 扩展检测响应)：将终端、网络、云、身份等多源遥测统一关联分析、闭环响应的扩展检测体系。
• ASA (Adaptive Security Architecture, 自适应安全架构)：Gartner 提出的持续自适应防护模型，强调预测（Predict）、防御（Prevent）、检测（Detect）、响应（Respond）的闭环。
• ZTNA (Zero Trust Network Access, 零信任网络访问)：零信任理念下的网络访问方案，默认不信任任何内网位置，按身份与设备状态逐请求授权。零信任整体思路见 source/defense/zt.rst。
• CSPM (Cloud Security Posture Management, 云安全配置管理)：持续评估云平台与云资源的安全配置、合规性并修复配置漂移的安全工具。

6.3 防护设施

• IDS (Intrusion Detection System, 入侵检测系统)：从网络系统中收集并分析信息，监控违反安全策略的行为或入侵行为，通常由信息来源、分析引擎、响应组件三部分组成，详见 source/defense/intrusiondetection.rst。
• HIDS (Host-based Intrusion Detection System, 主机型入侵检测系统)：部署在被保护主机上的入侵检测系统，基于主机审计数据与系统日志发现可疑事件，特点是信息详细、误报率低、部署灵活。
• HIPS (Host Intrusion Prevent System, 主机入侵防御系统)：在主机层面具备主动阻断能力的防御系统，相较 HIDS 多了实时拦截动作。
• RASP (Runtime Application Self-protection, 运行时应用自保护)：Gartner 于 2014 年提出的应用层安全保护技术，内嵌于应用运行环境（如 JVM、PHP 引擎），在请求到达业务代码前进行防护，详见 source/defense/rasp.rst。
• UEM (Unified Endpoint Management, 统一端点管理)：对 PC、移动设备、IoT 等各类端点进行统一配置、安全与合规管理的平台。

七、运维相关术语

• AIOps (Artificial Intelligence for IT Operations, 智能运维)：将机器学习与大数据分析引入 IT 运维，实现告警降噪、根因分析与自动化处置。
• RVA (Risk and Vulnerability Assessments, 风险和脆弱性评估)：系统性识别、量化组织资产面临的风险与脆弱性并给出修复建议的评估活动。
• CERT (Computer Emergency Response Team, 计算机安全应急响应组)：负责网络安全事件监测、预警、处置与协调的专门组织。仓库 source/defense/emergency.rst 涉及的应急响应流程即围绕 CERT 职能展开。

八、认证相关术语

• SSO (Single Sign-On, 单点登录)：用户使用单一 ID 与凭证即可访问多个相互独立但相关系统的机制。常见流程为 User → Service Provider → Identity Provider 登录 → 返回凭证 → 访问受保护资源，凭证需具备签发者签名、身份信息、生效/过期时间等属性，详见 source/auth/sso.rst。Kerberos 本身就是典型的单点登录实现（见 source/auth/kerberos.rst）。
• 2FA (Two-Factor Authentication, 双因素认证)：要求两种不同类别的认证因素，如密码 + 硬件令牌。
• MFA (Multi-Factor Authentication, 多因素认证)：在单因子认证不足时引入多种验证方式，可基于知识（密码）、物品（硬件密钥）、特征（指纹、人脸、虹膜、静脉、声纹、体态等生物特征）进行验证，详见 source/auth/mfa.rst。
• OTP (One-Time Password, 一次性密码)：仅单次有效、通常带时间或计数器同步的密码，是 2FA/MFA 的常见因子。

Kerberos 专项术语

术语表还单列出 Kerberos 全流程涉及的五个角色（source/auth/kerberos.rst 有完整认证流程）：

• AS (Authentication Server, 认证服务器)：通过长期密钥（long-term key）认证用户，并签发 TGT 与短期会话密钥。
• KDC (Key Distribution Center, 密钥分发中心)：提供票据与临时会话密钥的核心服务，AS 与 TGS 在逻辑上隶属于 KDC。
• TGT (Ticket Granting Ticket, 票据授权票据)："票据的票据"，用户凭它向 TGS 申请访问各服务的会话票据。
• TGS (Ticket Granting Server, 票据授权服务器)：验证 TGT 与短期密钥后，为访问其他服务器发放会话票据（ST）。
• SS (Service Server, 特定服务提供端)：接受客户端会话票据、提供具体业务服务的服务器，完成最终的服务访问与可选的双向认证。

九、可信计算

• TPM (Trusted Platform Module, 可信平台模块)：一种专用安全芯片（或固件/软件实现），提供密钥生成、安全存储、平台完整性度量（PCR）等能力，是 Secure Boot、BitLocker、远程证明等可信计算机制的基础。

十、云相关术语

云安全是仓库 source/cloud/index.rst 的主题，本组术语来自术语表"云"一节。

10.1 容器

• CRI (Container Runtime Interface, 容器运行时接口)：Kubernetes 定义的容器与镜像管理接口抽象，官方支持的运行时包括 Docker、containerd、CRI-O 与 frakti，详见 source/cloud/k8s/conception.rst 与 source/cloud/docker/index.rst。
• OCI (Open Container Initiative, 开放容器标准)：Linux 基金会下规范容器格式与运行时的行业标准组织，发布的规范包括 Runtime Specification、Image Format、Distribution Specification，详见 source/cloud/docker/ref.rst。
• OCF (Open Container Format, 开放容器格式标准)：容器镜像的开放格式标准，runc 等运行时按此标准实现容器的启动、停止与资源隔离（见 source/cloud/docker/basic.rst）。

10.2 计算

• EC2 (Elastic Compute Cloud)：AWS 的弹性云服务器服务。
• ECS (Elastic Compute Service)：阿里云的弹性云服务器服务。
• CVM (Cloud Virtual Machine, 云服务器)：腾讯云对云虚拟机产品的命名。

10.3 存储

• S3 (Simple Storage Service)：AWS 的对象存储服务，也是对象存储的事实标准接口。
• COS (Cloud Object Storage, 对象存储)：腾讯云对象存储服务。对象存储桶的权限配置错误（公开读写）是云安全审计的高频检查项。

10.4 XaaS 服务模型

• IaaS (Infrastructure as a Service, 基础设施即服务)：提供虚拟机、网络、存储等基础设施资源。
• PaaS (Platform as a Service, 平台即服务)：提供运行时、数据库、中间件等应用平台能力。
• SaaS (Software as a Service, 软件即服务)：直接提供可用的应用软件服务。
• CaaS (Container as a Service, 容器即服务)：以容器为交付单元的云服务模型，容器云通过跨主机集群资源调度提供资源共享与隔离、容器编排与部署能力（见 source/cloud/docker/basic.rst）。
• FaaS (Function as a Service, 函数即服务)：以无服务器函数为粒度的执行模型，按调用计费，是 Serverless 的核心形态。

10.5 特定平台与其他服务

• OCI (Oracle Cloud Infrastructure)：甲骨文的云计算平台，注意与容器标准 OCI（Open Container Initiative）区分——二者缩写相同、含义完全不同。
• IMDS (Instance Metadata Service, 实例元数据服务)：云主机内置的、通过169.254.169.254地址访问的元数据接口，暴露实例 ID、角色凭据、网络配置等信息。SSRF 攻击常借 IMDS 窃取云凭据，是 source/vuln/ssrf.rst 描述的高危利用场景之一。
• CI (Continuous Integration, 持续集成)：将代码变更频繁地自动构建、测试并合并的开发实践。
• CD (Continuous Deployment, 持续交付/部署)：在 CI 基础上自动将通过验证的产物部署到目标环境。
• ECM (Edge Computing Machine, 边缘计算机器)：部署在网络边缘侧的计算设备，用于就近处理数据、降低时延。

十一、速查与学习路径

本术语表是仓库 source/misc/terminology.rst 提供的"词汇索引"，建议结合以下路径阅读，让术语落到具体攻击与防御场景中：

1. Web 基础：先读 source/basic/index.rst 建立攻击面认知，遇到 HTTP/HTTPS、CORS、XSS、CSRF、SSRF 等词时对照 source/network/http/index.rst 与 source/vuln/index.rst。
2. 内网与域：Windows 协议族（WMI、MS-RPC、MS-SAMR 等）与 Kerberos 全套术语，配合 source/intranet/windows/index.rst 和 source/auth/index.rst 阅读；SPN、LLMNR、DCOM 等词在内网协议与攻击章节中有完整利用链。
3. 防御与运营：SAST/DAST/IAST、SIEM/SOAR、EDR/XDR、IDS/HIDS/RASP 等词对照 source/defense/index.rst 下的 SDL、入侵检测、威胁情报、零信任等章节。
4. 云安全：容器与云服务术语对照 source/cloud/docker/index.rst 与 source/cloud/k8s/index.rst，重点关注 CRI/OCI 接口、IMDS 与对象存储的配置风险。

遇到不熟悉的缩写时，先在本手册定位其类别与安全含义，再进入对应专题章节查看协议流程、攻击手法与防御建议，即可快速建立完整的知识地图。

• 文档
• 网络安全
• 教程