股票 
板块 
用户 
资讯 在动手防御之前，先搞清楚自己脚下站的是什么。
面对一张复杂的网络，防御者往往习惯从具体问题入手：清点资产、扫描漏洞、检查端口、配置防火墙。这些工作当然重要，但它们未必能回答一个更根本的问题：这张网络究竟是怎样组织起来的，哪里才是真正需要守住的地方？两台配置相似的服务器，可能有着完全不同的攻防价值。一台只承载普通业务，另一台却承担着跨区域访问或关键业务支撑的任务。一旦后者失守，影响就可能超出设备本身，波及其他网络区域或重要业务。只看设备本身，很难发现这种差别。
这就需要换一种看网络的方式。不只是看有哪些设备、它们如何连接，还要看哪些节点扼守着关键通道，哪些连接跨越了信任边界，哪些位置能够观察到重要的网络活动。就像指挥员进入陌生战场，不能只知道哪里有道路、哪里有山川，还要判断哪些地方易守难攻、哪些路线可能被利用、哪些位置会影响整个战局。网络防御同样如此：拓扑告诉我们网络是怎样连接的，地形则帮助我们理解这些连接在攻防中意味着什么。
一个从战场走进机房的分析方法
美军做地形分析时，有一个常用口诀：OAKOC。它代表五件事：观察与射界（Observation and Fields of Fire）、接近路线（Avenues of Approach）、关键地形（Key Terrain）、障碍物（Obstacles）、掩护与隐蔽（Cover and Concealment）。无论一个排还是一个师，进入陌生地域后，都要先结合地图和实地情况，把这五项过一遍。
这套方法在陆地上好用，因为地形看得见、摸得着：山脊就是山脊，河流就是河流。连长站在高地上，能用望远镜看到远处的调动；营长能指着地图说，“这条公路是唯一能过坦克的路”。
当分析对象换成一片由路由器、服务器、协议和账号构成的网络，OAKOC 还能用吗？
能借鉴，但要重新理解。网络空间不透明、变化快，而且是人造的。这些差异没有让地形思维失效。它反而逼着防御者先回答“哪里最要紧”，再谈怎么守。
这个思路并不新。美军和学界讨论“网络空间关键地形”（key cyber terrain）已有多年，2014 年北约 CyCon 会议上就有专门的论文。本文想做的，是把它和国内近年的网络空间测绘研究、国家标准放在一起看。
下图把军事地形分析的要素和网络空间逐一对应起来。
图 1 军事地形分析与网络空间要素对照
网络空间的“地形”长什么样
用军事地形的框架看网络空间，能找到几组有意义的对应。
关键地形。按美军条令的定义，关键地形是“任何一处据点或区域，夺取或守住它，能给交战任何一方带来显著优势”。这个概念在网络空间同样成立，只是“地形”换了形态。一种常见的分层方式，把网络空间拆成几层：地理层和物理层（数据中心、光缆、服务器），逻辑层（操作系统、协议、防火墙规则），以及网络身份层（账号、凭证、数字身份）。关键地形可能出现在任何一层。
我们习惯用 IP 地址找设备，仿佛每个地址都对应地图上的一个地点。这个类比不完全成立。IP 地址是网络层的逻辑地址，不是设备永久的身份证，更不是经纬度。数值接近的地址，未必在地理上接近；两个看似无关的地址，也许只隔一跳。
在网络空间里，“位置”由连接关系定义。一座“高地”之所以是高地，是因为它连着重要的节点。
观察与射界。陆地上指从某个位置能看多远、打多远。网络空间里对应的是可见性和控制范围。部署在核心交换节点的流量传感器，就像架在山顶的观察哨，能看到经过这个节点的通信流向。流量加密后，它看到的主要是谁在和谁通信、通信量多大，看不到内容。这份观察也是局部的，没有哪个传感器能看清整张网络。
掩护与隐蔽。到了网络空间，这不再关乎山川树木的遮挡，而关乎匿名和欺骗。攻击者用跳板、代理和加密隧道藏住真实位置，防御者用蜜罐和伪装节点制造虚假的“地形特征”。
接近路线与障碍物。陆地上的接近路线是公路和桥梁，障碍物是河流和雷区。网络空间里，接近路线是协议通道和信任关系，障碍物是防火墙规则和访问控制。网络还有一个陆地没有的特点：接近路线会流动。今天畅通的通道，明天可能因为配置变更而关闭；今天不存在的路径，明天可能因为新系统上线而出现。
看一个具体的例子。一台跳板机同时连着办公网和生产网。在普通拓扑图上，它只是两条连线交汇处的一个节点，和旁边同样连着两根线的服务器没什么区别。
换成地形的看法，情况就不同了：办公网的信任边界止于它，生产网的访问入口起于它，两条路径在它身上交汇。拿下这台机器，就同时拿到了进入两张网的立足点。它不再是“众多节点之一”，而是一片关键地形，也是两条接近路线的交汇处。
拓扑图看到的是“它连了什么”，地形分析要回答的是“它连的东西加在一起意味着什么”。OAKOC 映射在网络安全里的实际用处，就落在这个差别上。
网络地形为什么比陆地地形难“读”
地形分析的方法已经很成熟，网络安全领域却还是常常“看不清”自己的地盘。差异出在三个地方。
不透明。卫星能拍下地球上任何一座山，网络空间却没有这样一个全局视角。外部扫描只能看到暴露在互联网上的那一层：开了哪些端口，跑着什么服务。企业内网的结构藏在防火墙、访问控制列表和加密流量后面，很多信息只掌握在建设者和维护者手里。防御者对自己网络的了解，也常常不如自己以为的那么多。
变化快。山脉不会移动，建筑也不会一夜之间改变用途。网络的变化却按秒计。一个 IP 地址的分配可能只持续几个小时；云上的服务会自动扩缩容，几分钟内从一台机器变成一百台，又缩回一台。今天的拓扑图，明天可能就过时了。
人造。陆地是自然形成的，网络是人建的。物理世界的墙不认钥匙，挡住你的是砖石本身。网络里的“障碍物”和“通道”，都是人设定的规则，不是物理定律。一条防火墙规则可以在一秒内被修改，一个访问权限点一下就能授予。规则只认凭证，不认持有人，攻击者拿到合法凭证，就能“合法地”穿过本该挡住他的障碍。
把地形画出来
面对这些困难，一条可行的路径是：先把网络地形画出来，再谈怎么防。
普通的拓扑图告诉我们哪些设备连在一起，资产清单告诉我们网络里有哪些 IP、端口和服务。但更要紧的问题，它们回答不了：哪些节点对整个网络至关重要？哪些连接构成了关键通道？哪些区域集中了高价值资产或潜在风险？某个节点失效、某条连接中断，会波及哪些部分？
画网络地形，不只是把设备和连线搬到屏幕上，而是从这些基础信息里，认出有攻防意义的结构。回到前面的框架，这些结构就是 OAKOC 指向的五类东西。
这项工作离不开网络空间测绘。测绘回答“网络里有什么、在哪里、彼此什么关系”，地形分析再往前一步，回答“这些结构意味着什么，对防御有什么影响”。
下图展示的是网络空间中的关键地形，以及它与周边节点的关系。
图 2 网络空间中的关键地形
测：从发现资产到摸清网络关系
画地形图，先要知道自己面对的是什么。
最基础的一步，是发现网络里有哪些设备和服务。办法有两类：主动探测，比如扫描；被动分析，比如流量监测。
只知道某个 IP 开了哪些端口，还远远不够。还要弄清楚：设备跑什么操作系统、承载什么服务、属于哪个组织或网络、处在拓扑的什么位置、和哪些设备有通信往来。这些信息来源很杂，有的来自网络探测，有的来自流量记录和路由信息，有的来自公开的域名和证书数据，还有的来自组织自己的资产清单和地理信息。
每一类来源都只照亮网络的一角，要经过关联、校验和整合，才能拼出整体轮廓。所以测绘的目标不是收集尽可能多的 IP，而是尽可能准确地还原网络里真实存在的要素和它们之间的关系。
绘：从网络拓扑到网络地形
设备、服务和连接关系逐渐清楚之后，才轮到真正意义上的“绘”。
拓扑图描述的是网络要素之间的连接：哪些节点相连，数据可能走哪些路径。它是认识网络结构的基础。但一张图上如果只有密密麻麻的节点和连线，数据再完整，也未必能看出关键在哪。
地形图要在这些连接关系之上，再认出关键地形、接近路线、障碍物这些结构。一个节点的地形价值，不只看它连了多少条边，还要看它连着谁、承载什么业务、处在什么位置，以及和其他关键要素之间有什么依赖。漏洞多的区域，也不一定就是风险最高的区域，要结合具体任务和评价标准来判断。到这一步，画出来的才不只是一张连接图，而是一张能帮人理解攻防意义的地形图。
这些信息该怎么组织和表达？国防科技大学朱先强等人 2022 年的研究提出，网络空间地图建模要从三方面入手：网络空间模型（网络空间由什么构成，要素之间什么关系）、制图基准（用什么坐标系给要素定位）、网络空间地形（怎样从地图里识别出有攻防意义的地形特征）。传统的欧氏空间制图理论不能直接套用，因为网络空间既有地理属性，又有信息空间和社会空间的特点。
制图基准上，一种常见思路是用自治系统、网络前缀和 IP 地址这类层级化标识，给网络资源定位和聚合，让它们可以被计算、索引和可视化。
国家层面也有了对应的规范。GB/T 45394—2025《信息技术 网络空间测绘通用规范》规定了基础测量、数据、地图绘制和地图应用等通用要求；GB/T 45407—2025《信息技术 网络空间地图》确定了网络空间坐标系和网络空间地图的基本框架，采用自治系统编号等编号体系作为坐标维度的标识依据。两项标准均于 2025 年 3 月 28 日发布、10 月 1 日实施。
要注意的是，这套坐标解决的是“定位”和“归属”，坐标之差不等于网络距离。这和前面说的“数值接近的地址未必接近”是一回事。两个资产之间的“距离”要在拓扑上算，由 AS 路径长度、路由跳数、链路时延或策略代价这类度量决定。
图 3 网络空间地图示意
从一张静态地图到持续更新的网络地形
画出一张网络地形图，不等于掌握了网络的全部情况。
地图可能漏掉还没发现的资产，也可能留着已经失效的连接。一个曾经重要的节点，可能随着业务迁移失去作用；一条原本受限的访问路径，也可能因为配置变化重新打开。所以网络地形不仅要画，还要持续更新。
标准规范的是怎么做，并不能保证地图完整、准确、实时。真正的动态更新，要持续获取新的观测数据，识别资产和连接的变化，再重新评估已有的地形特征。
而且要更新的不只是图上的节点和连线，地形判断本身也可能跟着变。新增一台设备，未必改变整体结构；但如果它成了两张网之间的连接点，或者某条关键链路断了，原来的枢纽、通道和区域就得重新评估。
网络地形因此更像一个持续演进的认知模型，而不是一张定期生成的静态图片：不断吸收新的观测，修正对结构的理解，帮人判断哪些变化值得关注。
结语
军事上的地形分析积累了很长时间，形成了一套成熟的思路：先观察，再判断，后行动。它的价值不在于关于山川河流的具体知识，而在于一种从地形出发思考攻防的方法。
网络地形研究做的，就是把这种方法迁移到网络空间。迁移不是照搬：陆地上的高地是天然的，地图画一次能用很久；网络里的高地由连接关系造出来，地图要不断重绘。
它不承诺一张永远正确的地图，但提供了一种习惯：在动手防御之前，先搞清楚自己脚下站的是什么。
参考资料：
- 1. 朱先强，朱承，丁兆云，刘斌，刘毅. 网络空间地图建模及地形智能分析方法[J]. 指挥与控制学报，2022，8（3）：294–302.
- 2. 蒋秉川, 司东雨, 刘靖旭, 任琰, 游雄, 曹喆, 李佳薇. 地球信息科学学报. 网络空间“测”与“绘”[J]，2024（4）.
- 3. 中关村实验室，清华大学，国防科技大学，远江盛邦安全科技集团股份有限公司. 网络空间测绘技术白皮书[R]. 2025-07-31.
- 4. 清华大学、四川大学、国防科技大学、中国华电集团有限公司、北京市海淀区互联网应急中心、山东港口科技集团青岛有限公司、中国指挥与控制学会网络空间测绘专业委员会和盛邦安全. 网络空间资产测绘与反测绘年度报告[R]. 2025.
- 5. GB/T 45394—2025，信息技术 网络空间测绘通用规范[S]. 2025-03-28 发布，2025-10-01 实施.
- 6. GB/T 45407—2025，信息技术 网络空间地图[S]. 2025-03-28 发布，2025-10-01 实施.
- 7. U.S. Army. ATP 2-01.3, Intelligence Preparation of the Battlefield[S]. 2019.
- 8. Raymond D, Cross T, Conti G, Nowatkowski M. Key Terrain in Cyberspace: Seeking the High Ground[C]//6th International Conference on Cyber Conflict (CyCon). Tallinn: NATO CCD COE, 2014.
评论 (0)