安全产品总览 L1-L7

安全视角下的 L1 遵循一条铁律：能物理接触设备的人，几乎可以绕过所有上层防护。这一层的产品要么在「挡住人」（门禁、屏蔽、带外隔离），要么干脆假设「线路已被搭接」（链路加密），要么在处理「设备退役后数据还在盘上」（介质销毁）。

二层安全回答两个问题：谁能接入这张网，以及接入之后能不能冒充别人。园区网靠 NAC 与交换机内建特性解决，公有云则直接把大部分二层攻击面消灭掉（禁广播泛洪、禁 MAC 欺骗、禁混杂模式），所以这一层的产品几乎都在园区与 IDC 侧。

安全视角的 L3 有三条主线：边界上用防火墙与 IPS 做南北向管控、内部用微隔离切断横向移动、以及最容易被忽略的地址与路由层面攻击面（BGP 劫持、DDoS、源地址伪造）。前两条大家都在做，第三条往往整个公司没人负责。

四层安全的主题是「暴露了什么端口」和「连接资源会不会被打满」。攻击者的第一步永远是扫端口，所以这一层最有效的投入不是买防护设备，而是先把不该暴露的端口关掉——现实中被入侵的数据库、Redis、Kubernetes API 绝大多数都是直接开在公网上的。

会话层安全的核心是「身份与会话的绑定」：认证只发生一次，但会话可能持续数小时甚至数天，所以攻击者的主要手法早已从破解密码转向窃取会话令牌与 Cookie。这一层同时承载特权会话管理——运维一次登录能碰到的东西，往往比任何漏洞都多。

表示层安全就是密码学的工程落地：证书会不会过期、密钥放在哪里、算法是否还安全、数据在存储与传输中是否真的加密。这一层的事故通常不是被攻破，而是自己搞错——证书忘续导致全站瘫痪的次数，远多于加密被破解。

应用层是攻击真正落地的地方：所有严重数据泄露、勒索入口与业务欺诈几乎都发生在 HTTP、API、DNS 与邮件这四条通道上。这一层产品最多、单价最高，但真正决定效果的不是买了什么，而是误报调优与规则运营有没有人负责。

这一层决定前面七层的投入能不能被看见与响应。现实中最大的落差不是缺产品而是缺人与流程：买了 SIEM 没人看告警、装了 EDR 没有响应预案、日志留了但时间不同步导致无法关联。安全的成熟度基本等于这一层的成熟度。