1. 网络和通信层1.1. 通用基础设施1.1.1. 网络安全域或网络分区。1.1.2. 防火墙及配套的防火墙策略管理系统1.1.3. 四层网关可选​用于受控的任意协议的NAT转发等用途1.2. 防御基础设施1.2.1. 抗DDoS系统用于缓解DDoS攻击1.2.2. 网络准入控制NAC​确保只有符合安全政策的设备在员工身份认证通过的情况下才能接入网络1.3. 其他1.3.1. 运维通道1.3.2. 网络流量审计1.4. 网络层IPS入侵检测系统​主要是由于HTTPS或加密传输的普及那些基于明文协议工作的产品使用范围已大大受限2. 网络安全域2.1. 安全域是具有相同安全边界的网络分区是由路由、交换机ACL访问控制列表​、防火墙等封闭起来的一个逻辑上的区域可以跨地域存在这个区域内所有主机具有相同的安全等级内部网络自由可达2.2. 各安全域之间的访问控制即网络访问控制策略由于路由、交换机ACL不会经常变更所以网络访问控制策略管理的日常工作重点是防火墙策略管理2.3. 简单的安全域2.3.1. 只包含两个分区且无防火墙设备2.3.1.1. 本地的办公网络用于办公电脑、打印机等2.3.1.2. 远程的业务网络使用外网IP地址同时向办公网络和外部网络提供服务2.3.2. 仅适用于小型创业企业起步使用业务网络可以通过购买公有云虚拟服务器一般提供内网IP地址和外网IP地址各一个来快速解决2.4. 最简单的网络安全域改进2.4.1. 使用统一的接入网关工作于反向代理模式使用内网IP地址访问各业务各业务不再直接对外提供服务2.4.2. 业务网络可以仅保留内网IP地址不再使用外网IP地址2.5. 推荐的网络安全域2.5.1. 接入网关用于统一接入反向代理到后端真实的Web业务避免直接路由到生产环境2.5.2. 反向代理即转发用户请求到内部真实服务器使用内部地址并将结果返回给用户对用户隐藏内部地址2.5.3. 在网关上配置内部业务地址之后只需要将业务域名指向网关即可访问内部业务2.5.4. 在安全成熟度比较高的情况下还可以将外部接入网关和内部接入网关合二为一构建基于身份信任的网络架构2.6. 从有边界网络到无边界网络2.6.1. 过去安全体系以网络为中心是有边界的网络人们认为外网是不可信的而内网是可以信任的DMZ也是这种理念下的产物2.6.2. DMZDemilitarized Zone非军事区*​是传统IT网络中安全等级介于内部网络与互联网之间的一个安全域用于部署直接对外提供服务的服务器2.6.3. IDC模式的外网网卡模式可视为虚拟化的DMZ2.6.4. IDC中的服务器如果只有一张内网网卡则可视为内部网络2.6.4.1. 如果除了内网网卡之外还有一张外网网卡这张外网网卡就可以视为位于虚拟化的传统IT网络的DMZ2.6.5. 本应只监听内网网卡的高危服务经常会因服务默认配置而监听全部网卡导致高危服务对外网开放再加上通用口令、弱口令的使用成为入侵内网的通道2.6.6. 只有当业务和基础设施都按照最佳实践进行开发和设计的理想的情况下边界才变得无关紧要2.6.7. 当存在大量不符合最佳安全要求的存量业务的情况下多个安全域的分层网络还是有必要继续存在的2.6.8. 不能假设“内网是安全的”​而要假设“黑客已经进入了内网”​2.7. 一个简单、逻辑清晰的网络架构对于公司的安全治理至关重要它们是网络访问控制策略防火墙策略等赖以落地的基础设施3. 网络接入身份认证3.1. 是否启用网络层身份认证对于不同规模的企业往往选择是不同的3.1.1. 创业企业可以先跳过这一部分等条件成熟时再来考虑3.1.2. 中等规模的企业无线网络接入部分对人的身份认证是必备的需识别出员工和访客3.1.3. 大型企业无论是有线接入还是无线接入除了具备对人的身份认证还具备办公网的设备认证机制检查接入设备是公司资产还是个人设备3.1.4. 领先企业除了具备上述对人的认证和对办公设备的认证机制外对服务器也实施了设备身份认证3.2. 在设备认证方面会配合NACNetwork Admission Control网络准入控制机制共同使用3.3. 对人员工、访客、合作伙伴的身份认证如果是员工且采用有线接入可直接借助Windows操作系统的域认证或者通过安全客户端配合内部统一的SSO系统进行认证3.4. 无线接入可采用WebAuth认证方式在访问网站时引导到认证网页​员工使用SSO进行身份认证访问使用临时随机口令等方式3.5. 对设备的认证如果目标是仅校验是否为公司已授权的设备最简单的实现方式是在资产库登记设备ID、MAC地址只要是已登记的设备且MAC一致即认证通过3.6. 在具有更加严格要求的网络环境可以通过颁发设备数字证书来执行设备认证