本文介紹了安全域設計方法、設計步驟、安全域模型、安全域互訪原則、安全域邊界整合及整合原則及邊界防護技術。
安全區域(以下簡稱為安全域)是指同一系統內有相同的安全保護需求，相互信任，並具有相同的安全訪問控制和邊界控制策略的子網或網路。安全域劃分是保證網路及基礎設施穩定正常的基礎，也是保障業務資訊保安的基礎。

## 一、安全域設計方法
安全域模型設計採用"同構性簡化"方法，基本思路是認為一個複雜的網路應當是由一些相通的網路結構元所組成，這些網路結構元以拼接、遞迴等方式構造出一個大的網路。

一般來講，對資訊系統安全域(保護物件)的設計應主要考慮如下方面因素：
###1.    業務和功能特性

1)    業務系統邏輯和應用關聯性。
2)    業務系統對外連線。對外業務、支撐、內部管理。

###2.    安全特性的要求

1)    安全要求相似性。可用性、保密性和完整性的要求。
2)    威脅相似性。威脅來源、威脅方式和強度。
3)    資產價值相近性。重要與非重要資產分離。

###3.    參照現有狀況

1)    現有網路結構的狀況。現有網路結構、地域和機房等。
2)    參照現有的管理部門職權劃分。

## 二、安全域設計步驟
一個資料中心內部安全域的劃分主要有如下步驟：
###1.    檢視業務系統訪問關係

檢視網路上承載的業務系統的訪問終端與業務主機的訪問關係及業務主機之間的訪問關係，若業務主機之間沒有任何訪問關係，則單獨考慮各業務系統安全域的劃分，若業務主機之間有訪問關係，則幾個業務系統一起考慮安全域的劃分。

###2.    劃分安全計算域

根據業務系統的業務功能實現機制、保護等級程度進行安全計算域的劃分，一般分為核心處理域和訪問域，其中資料庫伺服器等後臺處理裝置歸入核心處理域，前臺直接面對使用者的應用伺服器歸入訪問域；區域網訪問域可以有多種型別，包括開發區、測試區、資料共享區、資料交換區、第三方維護管理區、VPN接入區等；區域網的內部核心處理域包括資料庫、安全控制管理、後臺維護區(網管工作)等，核心處理域應具有隔離裝置對該區域進行安全隔離，如防火牆、路由器(使用ACL)、交換機(使用VLAN)等。

###3.    劃分安全使用者域

根據業務系統的訪問使用者分類進行安全使用者域的劃分，訪問同類資料的使用者終端、需要進行相同級別保護劃為一類安全使用者域，一般分為管理使用者域、內部使用者域、外部使用者域。

###4.    劃分安全網路域

安全網路域是由連線具有相同安全等級的計算域和(或)使用者域組成的網路域。網路域的安全等級的確定與網路所連線的安全使用者域和(或)安全計算域的安全等級有關。一般同一網路內分為三種安全域：外部域、接入域、內部域。

## 三、安全域模型
該模型包含安全服務域、有線接入域、無線接入域、安全支撐域和安全互聯域等五個安全區域。同一安全區域內的資產實施統一的保護，如進出資訊保護機制、訪問控制、物理安全特性等。
###1.    安全服務域
安全服務域是指由各資訊系統的主機/伺服器經區域網連線組成的儲存和處理資料資訊的區域。安全服務域細分為關鍵業務、綜合業務、公共服務和開發測試等4個子域。
劃分規則
1)    等保三級的業務系統伺服器劃入關鍵業務子域，例如，財務管理系統。
2)    SAN集中儲存系統劃入關鍵業務子域，並在SAN儲存裝置上單獨劃分出物理/邏輯儲存區域，分別對應關鍵業務子域、綜合業務子域、公共服務子域、開發測試子域中的儲存的空間。
3)    等保末達到三級的業務系統伺服器劃入綜合業務子域，例如，人力資源、網站系統、郵件系統等業務系統伺服器。
4)    提供網路基礎服務的非業務系統伺服器劃入公共服務子域，例如，DNS伺服器、Windows域伺服器等。
5)    用於開發和測試的伺服器劃分入開發測試子域。

###2.    有線接入域
有線接入域是指由有線使用者終端及有線網路接入基礎設施組成的區域。終端安全是資訊保安防護的瓶頸和重點。
劃分規則
所有有線使用者終端及有線網路接入基礎設施劃入有線接入域。

###3.    無線接入域
無線接入域是指由無線使用者終端、無線集線器、無線訪問節點、無線網橋和無線網路卡等無線接入基礎設施組成的區域。
劃分規則
所有無線使用者終端和無線集線器、無線訪問節點、無線網橋、無線網路卡等無線接入基礎設施劃入無線接入域。

###4.    安全支撐域
安全支撐域是指由各類安全產品的管理平臺、監控中心、維護終端和伺服器等組成的區域，實現的功能包括安全域內的身份認證、許可權控制、病毒防護、補丁升級，各類安全事件的收集、整理、關聯分析，安全審計，入侵檢測，漏洞掃描等。
劃分規則
各類安全產品的管理平臺、監控中心、維護終端和伺服器劃入安全支撐域。

###5.    安全互聯域
安全互聯域是指由連線安全服務域、有線接入域、無線接入域、安全支撐域和外聯網(Extranet)的互聯基礎設施構成的區域。安全互聯域細分為區域網互聯、廣域網互聯、外部網互聯、因特網互聯4個子域。
劃分規則
1)    區域網核心層、匯聚層互聯裝置和鏈路劃入區域網互聯子域。
2)    自主管理的綜合數字網接入鏈路和接入裝置，包含網路裝置、安全裝置和前端伺服器劃入廣域網互聯子域。
3)    自主管理的第三方合作伙伴網路接入鏈路和接入裝置，包含網路裝置、安全裝置和前端伺服器劃入外部網互聯子域。
4)    自主管理的因特網接入鏈路和接入裝置，包含網路裝置、安全裝置和前端伺服器劃入因特網互聯子域。

## 四、安全域互訪原則
1、    安全服務域、安全支撐域、有線接入域、無線接入域之間的互訪

必須經過安全互聯域，不允許直接連線。

2、   關鍵業務子域、綜合業務子域、公共服務子域、開發測試子與之間的互訪

必須經過安全互聯域，不允許百接連線。

3、    廣域網互聯子域、外部網互聯子域、因特網互聯子域和其他安全域或子域之間的互訪

必須經過安全互聯域，不允許直接連線。

4、    廣域網互聯子域、外部網互聯子域、因特網互聯子域之間的互訪

必須經過安全互聯域，不允許直接連線。

5、    同一安全子域之間的互訪

如關鍵業務子域、綜合業務子域、基礎業務子域、公共服務子域、開發測試子域內部的不同系統之間應採用VLAN進行隔離，VLAN間的路由應設定在核心或匯聚層裝置上，不允許透過接入層交換機進行路由。

## 五、安全域邊界整合及整合原則
安全域之間互聯介面數量越多，安全性越難以控制，因此，必須在保證各種互聯需求的前提下對安全域邊界進行合理整合，透過對系統介面的有效整理和歸併，減少介面數量，提高介面規範性。邊界整合最終要實現不同類別邊界鏈路層物理隔離，邊界裝置(如交換機、路由器或防火牆等)實現硬體獨立，杜絕混用現象。同時邊界裝置要滿足冗餘要求。

安全域邊界整合的原則
1、    安全支撐域與安全互聯域之間所有的互訪介面整合為一個邊界

2、    有線接入域與安全互聯域之間所有的互訪介面整合為一個邊界

3、    安全互聯域與外部網路之間所有的互訪介面整合為三個邊界

1)    廣域網互連子域與廣域網之間所有的互訪介面整合為一個邊界。

2)    因特網互聯子域與因特網之間所有的互訪介面整合為一個邊界。

3)    外部網互聯子域與第三方網路之間所有的互訪介面整合為一個邊界。

4、    安全服務域與安全互聯域之間所有的互訪介面整合為四個邊界

關鍵業務子域邊界、綜合業務子域邊界、公共服務子域邊界、開發測試子域邊界。

1)    關鍵業務子域與區域網互聯子域之間所有的互訪介面整合為一個邊界。

2)    綜合業務子域與區域網互聯子域之間所有的互訪介面整合為一個邊界。

3)    公共服務子域與區域網互聯子域之間所有的互訪介面整合為一個邊界。

4)    開發測試子域與區域網互聯子域之間所有的互訪介面整合為一個邊界。

## 六、邊界防護技術

目前常用的邊界保護技術主要包括防火牆、介面伺服器、病毒過濾、入侵防護、單向物理隔離、拒絕服務防護等。
###1.    防火牆
防火牆可以根據互聯絡統的安全策略對進出網路的資訊流進行控制(允許、拒絕、監測)。防火牆作為不同網路或網路安全區域之間資訊的出入口，能根據系統的安全策略控制出入網路的資訊流，且具有較強的抗攻擊能力，它是提供資訊保安服務，實現網路和資訊保安的基礎設施。在邏輯上，防火牆是一個分離器，一個限制器，也是一個分析器，有效地監控了內部網和外部網之間的活動，保證內部網路的安全。
透過防火牆可以防止非系統內使用者的非法入侵、過濾不安全服務及規劃網路資訊的流向。防火牆的重要作用是網路隔離和對使用者進行訪問控制，目的是防止對網路資訊資源的非授權訪問和操作，包括各個子網對上級網路，各個同級子網之間的非法訪問和操作。這些訪問控制，在物理鏈路一級的加密裝置中很難實現，而防火牆則具有很強的安全網路訪問控制能力，主要體現在它完善的訪問控制策略上。
###2.    介面伺服器
介面伺服器的目的在於實現威脅等級高的系統訪問威脅等級低的系統時，Server-Server間的通訊。透過介面伺服器，使防護等級高的系統中後臺的核心伺服器對威脅等級高的系統遮蔽，在向威脅等級高的系統訪問時，看到的僅僅是應用介面伺服器，這樣對系統的防護更加有效，而且也更容易實現二者之間的訪問控制，因此適用於威脅等級高的系統訪問防護等級高的系統。這種保護方式需要與單層或雙重異構防火牆結合進行部署。類似裝置，如堡壘主機、資料交換伺服器等。
###3.    病毒過濾
病毒過濾一般採用全面的協議保護和內嵌的內容過濾功能，能夠對SMTP、PUP3、IMAP、HTTP、FTP等應用協議進行病毒過濾以及採用關鍵字、URL過濾等方式來阻止非法資料的進入。由於資料流經歷了完全的過濾檢查，必然會使得其效率有所降低。
###4.    入侵防護
入侵防護是一種主動式的安全防禦技術，它不僅能實時監控到各種惡意與非法的網路流量，同時還可以直接將有害的流量阻擋於所保護的網路之外，從而對其網路效能進行最佳的最佳化。入侵防護主要用來防護三種型別的攻擊：異常流量類防護、攻擊特徵類防護、漏洞攻擊類防護。
###5.    單向物理隔離
物理隔離技術通常採用高速電子開關隔離硬體和專有協議，確保網路間在任意時刻物理鏈路完全斷開。同時可以在兩個相互物理隔離的網路間安全、高速、可靠地進行資料交換。
###6.    拒絕服務防護
拒絕服務防護一般包含兩個方面：一是針對不斷髮展的攻擊形式，能夠有效地進行檢測；二是降低對業務系統或者是網路的影響，保證業務系統的連續性和可用性。通常拒絕服務防護應能夠從背景流量申精確的區分攻擊流量、降低攻擊對服務的影響、具備很強的擴充套件性和良好的可靠性。
###7.    認證和授權
基於數字證書，實現網路訪問身份的高強度認證，保障網路邊界的安全；只有透過數字證書校驗的合法的、被授權的使用者才可以接入網路，才可以訪問後臺的業務系統。

資料中心安全域的設計和劃分

相關文章