网络安全防你的网络安全吗？浅论御之矛与盾

近日头条邀请回答关于网络安全防御的问题，虽已进行了回复，但回复比较仓促，壹云小壹从网络边界安全、网络内部安全、网络数据安全、网络情报感知四个技术维度和一个安全管理维度进行了梳理，希望对大家有所帮助，如有不妥或遗漏之处还望指教，并期望进一步补充。         

首先在讨论如何规划网络安全防御的“盾“之前，建议先了解一下“矛”是从何处入侵，一般有以下情形：

一是互联网接入边界，黑客突破层层防护，打入内部。

二是有线网络内部边界，堡垒从内部攻破。

三是无线网络内部边界，网络安全最薄弱的环节，最易攻击且不易察觉。

四是数据传输途中，黑客防不胜防…

五是未知威胁入侵，天外有天，人外有人，只有想不到，没有做不到。

….

基于以上情况，本文也重点介绍一下“盾“的分类和作用：

第一部分是网络边界安全防御

      1.1   网络的接入外网边界，这是大家最常见也是最先防御的环节，比较常见的代表设备或系统如边界防火墙、防毒墙、入侵防御系统等，主要是防御来自外部的入侵、渗透或攻击等。

1.2   网络的有线内网边界，也就是有线网络的用户接入端，对于用户的有线接入设备进行管控和授权，比较常见的代表设备或系统如准入控制系统、身份认证系统、终端管理系统等。主要防御针对从内部有线接入设备的管控。

1.3   网络的无线内网边界，也就是WiFi无线网络的用户接入端，对于用户的无线接入设备进行管控和授权，比较常见的代表设备或系统如无线身份认证系统及准入控制系统、终端管理系统以及无线入侵防御系统等。主要防御针对从内部无线接入设备的管控，以及周界非法无线设备和终端的入侵。

第二部分是网络内部安全防御

2.1 网络内部各子网之间，或者两个物理内网之间的安全隔离或防御，比较常见的代表设备或系统如内部防火墙，网闸，核心交换机上的ACL，VLAN及路由控制策略等。主要从内部网络相互访问、传输以及管控等方面进行防御。

2.2 网络行为及流量控制，实现对上网的行为应用以及流量特征进行管控，比较常见的代表设备或系统如上网行为管理系统，流量控制系统，以及负载均衡设备等。主要从行为管理，应用操作，流量带宽等方面进行防御。

2.3网络安全运维及审计，实现对网络设备及资源运维的管控和日志审计，实现对网络的安全运维管理，以及事前预警，事后追溯的目的。比较常见的系统如运维堡垒机、日志审计系统等。

第三部分是网络数据安全防御：

3.1 互联网远端接入内网，可以通过VPN/GRE隧道、点到点专线等方式接入，比较常见的代表设备或系统就要以MPLS / IPSEC /SSL /L2TP VPN和GRE隧道等方式为代表。主要从数据传输安全方面进行防御。

3.2 数据的有线传输加密，一是在有线传输通道进行加密，二是在两端进行加密。主要针对有线网络传输过程中针对隧道或数据的加密，实现数据的有线传输通道安全防御和数据本身的安全防御。

3.3 数据的无线传输加密，一是在无线传输通道进行加密，二是在两端进行加密。主要针对无线网络传输过程中针对隧道或数据的加密，实现数据的无线传输通道安全防御和数据本身的安全防御。

第四部分是网络安全情报感知

此防御措施主要借助大数据甚至人工智能从威胁情报、态势感知等方面进行防御，适用于较大规模且安全等级较高的网络。

第五部分是安全防御机制及制度

      5.1 建立健全网络安全预警及应急处理机制。

      5.2 建立健全网络安全风险评估及深度测试机制。

      5.3 建立健全网络安全人员管理及审计制度。

      5.4 建立健全IT人员网络安全培训及管理制度。

      5.5 建立健全单位全体人员的网络安全培训及管理制度。

      5.6 建立健全网络安全人员的巡检巡查制度。

      5.7 建立健全网络设施/机房设施的运维管理制度。

      ……