搜索

[15347] 2020-05-08_关于网络安全域隔离问题的研究与思考

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-05-08_关于网络安全域隔离问题的研究与思考 关 于 网 络 安 全 域 隔 离 问 题 的 研 究 与 思 考 s h e n g l 9 9   F r e e B u f   2 0 2 0 - 0 5 - 0 8 从 历 史 发 展 的 角 度 看 ， 安 全 域 隔 离 一 直 是 传 统 安 全 领 域 广 泛 采 用 的 防 御 手 段 ， 比 如 起 建 于 春 秋 战 国 期 间 的 边 塞 从 历 史 发 展 的 角 度 看 ， 安 全 域 隔 离 一 直 是 传 统 安 全 领 域 广 泛 采 用 的 防 御 手 段 ， 比 如 起 建 于 春 秋 战 国 期 间 的 边 塞 长 城 一 直 延 续 至 明 末 都 在 发 挥 巨 大 作 用 ， 坚 城 巨 塞 外 围 都 会 建 设 起 高 高 城 墙 、 宽 宽 的 护 城 河 等 等 ， 无 论 长 城 还 长 城 一 直 延 续 至 明 末 都 在 发 挥 巨 大 作 用 ， 坚 城 巨 塞 外 围 都 会 建 设 起 高 高 城 墙 、 宽 宽 的 护 城 河 等 等 ， 无 论 长 城 还 是 城 墙 ， 它 们 的 目 的 都 是 为 了 形 成 关 里 关 外 、 城 里 城 外 两 个 安 全 域 ， 以 便 于 实 施 统 一 的 防 护 策 略 ， 也 是 为 了 方 是 城 墙 ， 它 们 的 目 的 都 是 为 了 形 成 关 里 关 外 、 城 里 城 外 两 个 安 全 域 ， 以 便 于 实 施 统 一 的 防 护 策 略 ， 也 是 为 了 方 便 同 一 安 全 域 内 的 实 体 能 够 相 对 比 较 容 易 沟 通 及 联 系 。 便 同 一 安 全 域 内 的 实 体 能 够 相 对 比 较 容 易 沟 通 及 联 系 。 在 企 业 网 络 安 全 防 护 方 面 ， 网 络 安 全 域 隔 离 也 是 网 络 安 全 防 御 最 重 要 、 最 基 础 的 手 段 之 一 ， 也 是 企 业 数 据 中 心 、 信 息 系 统 建 设 最 先 需 要 考 虑 的 基 础 性 问 题 。 但 是 在 企 业 网 络 安 全 建 设 过 程 中 ， 网 络 安 全 域 隔 离 的 有 效 落 实 却 面 临 各 种 各 样 的 问 题 ， 本 文 就 是 笔 者 对 此 问 题 的 一 些 思 考 ， 记 录 下 来 以 供 各 位 读 者 参 考 。 一 、 什 么 是 网 络 安 全 域 一 、 什 么 是 网 络 安 全 域 网 络 安 全 域 就 是 一 组 安 全 等 级 相 同 、 业 务 类 型 / 功 能 相 似 的 计 算 机 、 服 务 器 、 数 据 库 、 业 务 系 统 等 构 成 的 系 统 ， 具 体 表 ， 具 体 表 现 在 网 络 中 可 能 是 一 个 现 在 网 络 中 可 能 是 一 个 I P 网 段 （ 一 个 网 段 （ 一 个 C 段 、 一 个 段 、 一 个 B 段 ） 或 几 个 网 段 段 ） 或 几 个 网 段 ， 或 者 是 一 个 V L A N 或 几 个 V L A N ， 或 者 是 连 ， 或 者 是 连 接 一 个 防 火 墙 接 口 下 的 整 个 网 络 区 域 ， 或 者 是 机 房 里 的 一 个 机 柜 或 几 个 机 柜 等 。 上 面 的 解 释 其 实 还 是 比 较 抽 接 一 个 防 火 墙 接 口 下 的 整 个 网 络 区 域 ， 或 者 是 机 房 里 的 一 个 机 柜 或 几 个 机 柜 等 。 上 面 的 解 释 其 实 还 是 比 较 抽 象 ， 举 几 个 例 子 ， 比 如 存 储 象 ， 举 几 个 例 子 ， 比 如 存 储 * * 的 数 据 库 服 务 器 与 供 客 户 访 问 的 W e b 服 务 器 显 然 就 不 是 一 个 安 全 等 级 ， 测 试 环 境 的 服 务 器 与 正 式 提 供 服 务 的 生 产 服 务 器 显 然 也 不 是 一 个 安 全 等 级 ， 因 此 ， 要 对 他 们 进 行 安 全 域 划 分 。 总 的 来 说 ， 一 个 安 全 域 其 实 就 是 一 个 信 任 域 ， 在 符 合 监 管 要 求 的 情 况 下 你 可 以 把 一 些 你 认 为 可 以 相 互 信 任 的 计 算 机 、 设 备 放 置 在 一 个 安 全 信 任 域 当 中 ， 在 信 任 域 内 部 实 施 较 松 的 安 全 策 略 ， 而 信 任 域 边 界 实 施 较 为 严 格 监 控 、 访 问 控 制 等 。 每 个 信 任 域 内 服 务 器 的 多 寡 取 决 于 单 位 信 息 系 统 建 设 、 信 息 安 全 意 识 等 多 方 面 因 素 的 制 约 。 从 网 络 攻 击 者 的 角 度 来 说 ， 有 一 种 典 型 的 攻 击 方 式 叫 横 向 渗 透 攻 击 ， 其 含 义 是 攻 击 者 拿 下 了 内 网 的 某 一 台 主 机 ， 为 了 扩 大 战 果 ， 往 往 会 对 该 主 机 所 在 的 C 类 地 址 段 进 行 扫 描 ， 因 为 在 企 业 内 部 一 般 同 一 个 C 类 地 址 段 不 会 有 进 一 步 的 网 络 隔 离 划 分 。 此 时 ， 这 是 一 个 C 类 段 处 于 风 险 之 中 ， 那 么 如 果 我 们 没 有 进 行 网 络 安 全 域 隔 离 ， 那 么 ， 整 个 数 据 中 心 都 有 可 能 处 于 攻 击 者 的 直 接 打 击 范 围 。 基 于 这 后 一 点 ， 我 们 明 白 了 ， 网 络 安 全 域 隔 离 其 实 就 是 将 整 个 网 络 划 分 为 一 个 一 个 比 较 小 的 安 全 信 任 域 ， 要 不 然 整 个 网 络 处 于 一 张 平 面 ， 攻 击 者 拿 下 一 个 地 址 之 后 ， 可 以 对 整 个 网 络 进 行 扫 描 探 测 发 现 。 二 、 网 络 安 全 域 隔 离 有 什 么 好 处 二 、 网 络 安 全 域 隔 离 有 什 么 好 处 据 笔 者 看 来 有 四 点 ： 一 是 可 以 将 坏 东 西 、 坏 人 隔 离 在 一 个 小 区 域 ， 以 减 小 破 坏 程 度 。 二 是 可 以 将 坏 东 西 、 坏 人 集 中 在 隔 离 边 界 对 其 进 行 集 中 清 除 消 灭 。 三 是 可 以 让 好 东 西 、 好 人 隔 离 在 一 个 相 对 安 全 的 区 域 ， 免 受 其 他 坏 东 西 、 坏 人 的 侵 害 。 四 是 可 以 在 隔 离 边 界 部 署 安 全 设 施 ， 以 对 好 东 西 、 好 人 加 强 保 护 ， 对 坏 东 西 、 坏 人 进 行 阻 断 拦 截 。 三 、 网 络 安 全 域 该 怎 么 规 划 设 计 三 、 网 络 安 全 域 该 怎 么 规 划 设 计 从 不 同 的 站 位 视 度 、 不 同 观 察 粒 度 来 看 ， 企 业 的 网 络 安 全 域 划 分 可 以 有 不 同 分 法 。 从 企 业 外 部 看 ， 安 全 域 可 以 分 为 内 网 和 外 网 ， 在 此 时 ， 企 业 内 部 的 所 有 办 公 计 算 机 、 服 务 器 、 路 由 器 、 交 换 机 等 都 属 于 我 们 要 保 护 的 信 息 资 产 。 因 此 ， 内 、 外 网 边 界 就 是 我 们 实 施 统 一 安 全 策 略 、 部 署 防 御 设 施 的 “ 主 阵 地 ” ， 比 如 部 署 边 界 防 火 墙 、 入 侵 检 测 、 上 网 行 为 管 理 等 。 下 面 我 们 移 步 进 入 企 业 内 部 ， 站 在 企 业 内 部 泛 泛 的 看 ， 一 般 会 将 企 业 划 分 为 办 公 网 P C 终 端 安 全 域 和 数 据 中 心 安 全 域 ， 在 此 时 ， 企 业 内 部 的 办 公 网 区 域 、 数 据 中 心 区 域 又 是 属 于 不 同 的 安 全 等 级 。 如 果 我 们 再 进 一 步 稍 微 细 致 的 审 视 一 下 ， 其 实 各 安 全 域 内 部 也 是 分 为 子 安 全 域 的 ， 内 部 的 安 全 域 划 分 就 是 八 仙 过 海 、 各 显 神 通 了 。 比 如 ， 在 《 G B / T   2 5 0 7 0 - 2 0 1 9   信 息 安 全 技 术   网 络 安 全 等 级 保 护 安 全 设 计 技 术 要 求 》 中 ， 将 企 业 内 部 网 络 按 照 不 同 的 等 级 保 护 级 别 进 行 安 全 域 划 分 ， 不 同 级 别 安 全 域 之 间 采 用 安 全 互 联 部 件 进 行 数 据 交 互 。
在 赵 彦 老 师 的 《 互 联 网 企 业 安 全 高 级 指 南 》 一 书 中 ， 作 者 着 重 讲 了 办 公 网 的 安 全 域 划 分 问 题 。 办 公 网 安 全 域 被 划 分 为 O A 服 务 器 域 、 事 业 部 A 桌 面 域 、 事 业 部 B 桌 面 域 等 ， 事 业 部 桌 面 域 又 划 分 为 高 度 P C 用 户 、 中 度 P C 用 户 、 轻 度 P C 用 户 等 。 这 副 设 计 图 应 该 属 于 赵 彦 老 师 早 期 的 设 计 图 ， 不 知 道 最 近 的 思 路 有 没 有 变 化 ？ 在 图 中 O A 服 务 器 域 ， 我 们 看 到 了 持 续 集 成 代 码 托 管 和 测 试 环 境 ， 依 笔 者 的 观 点 ， 此 类 服 务 器 应 该 归 属 于 数 据 中 心 安 全 域 。 其 实 最 早 笔 者 认 为 O A 服 务 器 域 应 该 划 归 数 据 中 心 内 的 安 全 域 ， 后 来 参 看 了 赵 彦 老 师 的 《 初 探 下 一 代 网 络 隔 离 与 访 问 控 制 》 （ 美 团 技 术 团 队 文 章 ） ， 好 几 副 图 的 划 分 方 法 都 是 把 O A 服 务 器 域 划 归 办 公 网 ， 如 下 图 。 在 这 篇 文 章 中 赵 彦 老 师 分 享 了 好 几 种 典 型 的 区 域 隔 离 划 分 方 案 ， 有 兴 趣 的 读 者 可 以 去 参 看 一 下 。
另 外 ， 刘 焱 老 师 的 《 基 于 开 源 软 件 打 造 企 业 网 络 安 全 》 一 书 中 ， O A 服 务 器 是 被 划 分 为 独 立 的 安 全 域 ， 但 此 时 应 该 属 于 数 据 中 心 安 全 域 内 。 数 据 中 心 安 全 域 又 划 分 为 生 产 网 、 开 发 测 试 网 等 不 同 的 网 络 安 全 域 ， 生 产 网 安 全 域 又 会 分 为 集 团 安 全 域 、 子 分 公 司 安 全 域 等 。 集 团 安 全 域 又 划 分 为 生 产 网 内 网 区 和 生 产 网 D M Z 区 ， 生 产 内 网 安 全 域 又 会 根 据 业 务 类 型 不 同 分 为 普 通 业 务 安 全 、 核 心 业 务 安 全 域 、 数 据 仓 库 安 全 域 、 K M S 安 全 域 等 。 以 上 一 般 都 是 按 照 功 能 进 行 的 安 全 域 划 分 ， 在 实 际 场 景 中 ， 还 会 存 在 其 他 方 式 的 安 全 域 划 分 方 法 ， 比 如 ， 从 纵 深 防 御 的 角 度 看 ， 一 般 系 统 分 为 D M Z 区 （ W e b 服 务 区 ） 、 外 联 区 、 A P P 区 ， D B 区 等 。 如 下 图 所 示 。 这 里 面 的 D M Z 区 、 外 联 区 、 A P P 区 、 D B 区 就 是 一 个 一 个 的 网 络 安 全 域 。 对 于 集 团 化 的 公 司 ， 各 子 公 司 都 会 逐 渐 明 确 自 己 的 业 务 边 界 和 战 略 中 心 ， 假 如 由 集 团 统 一 提 供 I T 基 础 设 施 服 务 ， 但 是 各 子 公 司 的 业 务 可 能 面 临 的 监 管 要 求 完 全 不 同 ， 比 如 按 照 金 融 监 管 的 要 求 去 管 理 社 区 服 务 系 统 ， 或 者 按 照 社 区 服 务 系
统 的 要 求 去 管 金 融 业 务 ， 都 会 面 临 或 严 、 或 松 的 压 力 。 因 此 ， 集 团 化 的 数 据 中 心 要 对 子 公 司 进 行 隔 离 划 分 ， 明 确 划 分 各 子 公 司 在 数 据 中 心 中 的 访 问 边 界 。 按 子 公 司 职 能 、 业 务 特 点 等 ， 划 分 安 全 信 任 域 ， 建 立 清 晰 责 任 边 界 、 安 全 边 界 、 信 任 边 界 。 四 、 传 统 网 络 安 全 域 隔 离 方 式 四 、 传 统 网 络 安 全 域 隔 离 方 式 说 了 这 么 多 网 络 安 全 域 隔 离 的 问 题 ， 那 么 具 体 怎 么 实 现 呢 ？ 有 什 么 方 式 呢 ？ 以 笔 者 的 经 验 主 要 有 物 理 隔 离 、 逻 辑 隔 离 （ 防 火 墙 隔 离 、 V L A N 隔 离 等 ） 。 （ 一 ） 物 理 隔 离 。 这 里 面 又 分 为 几 种 ： 1 、 强 物 理 隔 离 。 从 字 面 上 看 ， 这 是 一 种 非 常 容 易 理 解 的 网 络 隔 离 方 式 ， 两 个 网 络 安 全 域 从 网 络 线 路 、 网 络 设 备 、 系 统 主 机 等 硬 件 系 统 层 面 都 是 单 独 部 署 一 套 ， 两 者 之 间 严 禁 各 种 网 络 连 接 。 这 个 在 当 前 大 环 境 下 ， 估 计 只 有 J D 、 G A 、 Z F 等 核 心 敏 感 部 门 或 核 心 工 业 控 制 系 统 才 会 这 么 做 ， 此 种 隔 离 方 式 不 光 建 设 成 本 比 较 高 ， 后 续 的 运 维 、 信 息 共 享 都 会 存 在 较 大 的 人 力 成 本 和 时 间 成 本 。 所 以 ， 一 般 企 业 都 不 可 能 采 用 这 种 方 式 了 ， 特 别 是 在 互 联 网 、 移 动 互 联 的 大 背 景 下 ， 凡 是 需 要 为 客 户 提 供 在 线 服 务 的 就 更 难 实 现 完 全 的 强 物 理 隔 离 了 。 2 、 弱 物 理 隔 离 。 绝 大 部 分 传 统 金 融 企 业 应 该 都 是 属 于 这 种 模 式 。 网 络 设 备 、 主 机 系 统 根 据 需 要 一 般 是 每 个 网 络 安 全 域 一 套 ， 但 是 ， 安 全 域 之 间 一 般 可 以 通 过 网 闸 、 单 向 数 据 传 输 设 备 建 立 了 特 定 的 安 全 传 输 通 道 。 （ 二 ） 逻 辑 隔 离 。 逻 辑 隔 离 相 对 于 物 理 隔 离 ， 主 要 区 别 是 各 个 网 络 安 全 域 之 间 是 有 链 路 连 接 的 ， 只 是 在 协 议 上 、 路 由 上 进 行 逻 辑 阻 断 ， 让 两 者 不 能 直 接 相 通 。 但 是 ， 如 果 两 者 之 间 想 互 通 ， 直 接 在 交 换 节 点 、 路 由 节 点 、 网 关 节 点 等 上 进 行 配 置 即 可 ， 不 用 再 单 独 拉 物 理 线 路 或 者 部 署 网 闸 等 设 备 。 细 细 想 来 ， 常 用 的 逻 辑 隔 离 方 式 只 有 防 火 墙 隔 离 和 V L A N 隔 离 两 种 ， V X L A N 是 V L A N 划 分 在 云 环 境 下 的 一 个 变 种 实 现 。 五 、 网 络 安 全 域 之 间 如 何 进 行 访 问 控 制 五 、 网 络 安 全 域 之 间 如 何 进 行 访 问 控 制 网 络 隔 离 形 成 安 全 域 只 是 为 了 提 高 企 业 的 安 全 等 级 ， 但 是 ， 不 管 管 理 需 要 还 是 业 务 需 要 ， 最 终 安 全 域 之 间 还 是 需 要 或 多 或 少 的 进 行 通 信 ， 否 则 整 个 企 业 信 息 系 统 就 没 有 存 在 的 必 要 了 。 那 么 ， 安 全 域 之 间 通 信 应 该 通 过 什 么 方 式 进 行 隔 离 呢 ？ 以 笔 者 的 经 验 ， 目 前 ， 网 络 隔 离 后 的 通 信 方 式 主 要 网 络 访 问 控 制 策 略 （ A C L ） 、 接 入 网 关 、 正 反 向 代 理 、 堡 垒 机 等 。 其 中 ： A C L 是 防 火 墙 或 三 层 交 换 机 上 实 现 的 ， 是 一 种 基 于 I P 地 址 的 控 制 策 略 ， 在 企 业 内 部 ， 网 管 人 员 可 能 为 了 方 便 进 行 管 理 ， 往 往 还 会 采 用 I P 地 址 段 的 形 式 开 通 访 问 控 制 列 表 ， 因 此 ， 这 种 控 制 粒 度 较 粗 ， 而 且 对 于 应 用 层 的 访 问 缺 乏 控 制 。 接 入 网 关 、 正 反 向 代 理 是 可 以 实 现 应 用 层 一 级 访 问 控 制 ， 还 可 以 在 其 上 增 加 更 多 的 访 问 控 制 策 略 等 模 块 。 堡 垒 机 是 为 远 程 运 维 提 供 的 一 种 访 问 控 制 办 法 ， 可 以 登 录 控 制 、 操 作 拦 截 、 操 作 审 计 等 功 能 。 六 、 虚 拟 化 六 、 虚 拟 化 / 云 计 算 环 境 下 的 网 络 安 全 域 隔 离 云 计 算 环 境 下 的 网 络 安 全 域 隔 离 一 个 服 务 或 应 用 占 用 一 台 物 理 机 的 时 代 已 经 逐 渐 成 为 历 史 ， 虚 拟 化 / 云 计 算 已 经 是 目 前 广 泛 应 用 的 数 据 中 心 交 付 模 式 。 然 而 ， 在 虚 拟 化 / 云 计 算 环 境 下 ， 有 没 有 必 要 进 行 网 络 安 全 域 隔 离 ？ 如 何 进 行 网 络 安 全 域 隔 离 呢 ？ 笔 者 翻 阅 了 阿 里 云 、 华 为 云 等 云 计 算 公 司 发 布 的 白 皮 书 ， 网 络 安 全 域 隔 离 仍 然 是 其 网 络 安 全 架 构 的 基 本 实 现 方 式 之 一 。 以 阿 里 云 的 白 皮 书 为 例 ：
上 面 这 一 段 话 ， 我 们 看 到 了 阿 里 云 基 础 平 台 怎 么 实 现 网 络 安 全 域 隔 离 的 ， 首 先 ， 阿 里 云 分 为 生 产 网 和 非 生 产 网 ， 其 次 ， 阿 里 云 分 为 对 外 提 供 服 务 的 云 服 务 网 络 和 支 撑 云 服 务 的 物 理 网 络 ， 最 后 ， 我 们 还 看 到 了 阿 里 云 办 公 网 与 生 产 网 络 的 隔 离 。 以 上 说 的 ， 以 笔 者 的 理 解 ， 应 该 是 云 平 台 提 供 者 所 做 的 网 络 区 域 隔 离 。 那 么 对 于 云 租 户 之 间 是 怎 么 实 现 安 全 域 隔 离 呢 ？ 目 前 云 厂 商 普 遍 提 供 的 方 式 是 V P C 的 方 式 实 现 。 V P C 即 v i r t u a l   p r i v a t e c l o u d ， 也 就 常 说 的 虚 拟 局 域 网 ， V P C 实 现 了 不 同 租 户 间 网 络 隔 离 ， 由 于 V P C   使 用 了 隧 道 封 装 技 术 ， 保 证 了 不 同   V P C 间 ， 网 络 流 量 完 全 不 可 见 ， 而   V P C   内 部 网 络 流 量 则 直 接 到 达 目 的 机 器 ， 从 而 确 保 了 无 论   V P C   内 ， 还 是   V P C   间 ， 用 户 流 量 都 能 够 得 到 安 全 性 保 障 。 其 实 根 据 企 业 的 I T 规 划 ， 如 果 数 据 中 心 云 平 台 只 是 为 了 提 供 自 己 企 业 内 部 服 务 ， V P C 也 可 以 实 现 企 业 内 部 各 种 网 络 安 全 域 的 划 分 ， 比 如 我 们 可 以 把 D M Z 划 为 一 个 V P C ， 把 数 据 库 划 为 一 个 安 全 域 ， 把 办 公 服 务 器 划 为 一 个 V P C 。 一 般 情 况 下 ， 每 个 V P C 都 需 要 指 定   1   个 网 段 ， 网 段 范 围 如 下 ： 1 0 . 0 . 0 . 0 / 8   （ 1 0 . 0 . 0 . 0   -   1 0 . 2 5 5 . 2 5 5 . 2 5 5 ） 1 7 2 . 1 6 . 0 . 0 / 1 2   （ 1 7 2 . 1 6 . 0 . 0   -   1 7 2 . 3 1 . 2 5 5 . 2 5 5 ） 1 9 2 . 1 6 8 . 0 . 0 / 1 6   （ 1 9 2 . 1 6 8 . 0 . 0   - 1 9 2 . 1 6 8 . 2 5 5 . 2 5 5   ） V P C   可 以 通 过   E I P   或 者   N A T   服 务 ， 让   V P C   内 虚 拟 机 连 接 公 网 ， 或 者 通 过   V P C   对 等 连 接 两 个   V P C ， 还 可 以 通 过 V P N   或 者 专 线 连 接 用 户 自 建 数 据 中 心 ， 构 建 混 合 云 。 最 后 ， 对 于 云 租 户 内 部 又 有 什 么 方 法 实 现 网 络 安 全 域 隔 离 呢 ？ 这 里 也 可 以 灵 活 考 虑 ， 比 如 ， 云 租 户 可 以 多 租 用 几 个 V P C 实 现 隔 离 。 另 外 ， 在 V P C 内 部 还 可 以 采 用 安 全 组 进 行 安 全 域 划 分 。 以 下 是 阿 里 云 对 安 全 组 应 用 场 景 的 表 述 ： （ 1 ） 安 全 组 用 于 设 置 单 台 或 多 台 云 服 务 器 的 网 络 访 问 控 制 ， 它 是 重 要 的 网 络 安 全 隔 离 手 段 ， 用 于 在 云 端 划 分 安 全 域 。 （ 2 ） 安 全 组 是 一 个 逻 辑 上 的 划 分 ， 这 个 分 组 由 同 一 个 地 域 内 具 有 相 同 安 全 保 护 需 求 并 相 互 信 任 的 实 例 组 成 。 这 种 安 全 组 在 不 同 的 云 厂 商 实 现 中 ， 叫 法 和 实 现 方 式 可 能 也 有 差 异 ， 比 如 下 图 中 就 将 V P C 内 的 隔 离 成 为 S u b n e t （ 子 网 ） ， 意 思 应 该 与 安 全 组 一 样 。
七 、 结 语 七 、 结 语 随 着 虚 拟 化 以 及 云 计 算 技 术 的 不 断 演 进 ， 在 网 络 安 全 域 隔 离 方 法 又 出 现 了 一 些 新 的 研 究 方 向 和 实 践 探 讨 ， 比 如 微 分 段 或 微 隔 离 。 国 际 权 威 技 术 分 析 与 咨 询 研 究 公 司 G a r t n e r 公 司 在 2 0 1 6 年 、 2 0 1 7 年 、 2 0 1 8 年 连 续 三 次 将 “ 微 分 段 或 微 隔 离 ” 纳 入 年 度 十 大 安 全 技 术 （ 项 目 ） ， 但 是 在 最 新 的 2 0 1 9 年 已 经 没 有 纳 入 ， 不 知 道 G a r t n e r 是 怎 么 考 虑 的 ， 但 是 从 笔 者 了 解 的 企 业 实 践 来 看 ， 目 前 大 面 积 实 施 “ 微 分 段 或 微 隔 离 ” 的 企 业 还 不 多 ， 甚 至 是 没 见 过 ， 也 有 可 能 是 笔 者 视 野 狭 窄 ， 希 望 将 来 能 够 与 各 位 读 者 一 起 探 讨 关 于 “ 微 分 段 或 微 隔 离 ” 方 面 的 实 践 。 近 期 ， 在 读 郑 云 文 老 师 的 《 数 据 安 全 架 构 设 计 与 实 战 》 时 ， 郑 老 师 提 出 了 一 个 观 点 ： 安 全 域 过 多 ， 会 导 致 防 火 墙 运 维 难 度 加 大 。 在 满 足 合 规 要 求 下 ， 安 全 域 的 数 量 越 少 越 好 。 这 也 许 也 代 表 企 业 网 络 安 全 域 划 分 的 一 个 新 方 向 ， 有 兴 趣 的 读 者 也 可 以 好 好 研 究 一 下 。 参 考 资 料 参 考 资 料 1 、 G B / T   2 5 0 7 0 - 2 0 1 9   信 息 安 全 技 术   网 络 安 全 等 级 保 护 安 全 设 计 技 术 要 求 2 、 互 联 网 企 业 安 全 高 级 指 南     赵 彦 、 江 虎 、 胡 乾 威 3 、 企 业 安 全 建 设 入 门 基 于 开 源 软 件 打 造 企 业 网 络 安 全   刘 炎 4 、 初 探 下 一 代 网 络 隔 离 与 访 问 控 制       赵 彦 5 、 阿 里 云 安 全 白 皮 书 6 、 数 据 安 全 架 构 设 计 与 实 战     郑 云 文   （ 本 文 是 作 者 在 企 业 安 全 实 践 中 一 些 分 析 和 思 考 ， 也 是 作 者 的 一 家 之 言 ， 供 大 家 参 考 。 因 个 人 能 力 、 视 野 及 技 术 水 平 限 制 ， 未 免 有 些 错 误 、 偏 颇 以 及 疏 漏 ， 敬 请 读 者 谅 解 。 ） * 本 文 作 者 ： 本 文 作 者 ： s h e n g l 9 9 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理