浅议网络架构中的安全问题

王希忠 段志鸣 黄俊强

（黑龙江省电子信息产品监督检验院 黑龙江 150090）

0 引言

目前，很多单位和领导都认为网络建设中的安全问题关键是资金的问题，只要资金到位，所有的安全问题都会迎刃而解，只要设备到位，就万事大吉，其实这是对网络安全存在的一个误区。应该承认，网络安全的建设水平确实需要相应的资金投入来支撑，但是应该认识到网络建设中安全问题不仅仅需要硬件设施来完善，更多时候是我们在考虑和设计的网络架构中忽略了关键的安全要素，本文面将结合四种常见的网络架构进行研究和分析，并提出安全的网络架构应该具备的基本要素。

1 常见的网络架构及存在的安全问题分析

笔者通过长期的信息安全评估和测评实践，总结了以下常见的四种网络架构，作为研究的重点，分析其设计上的优势和可取之处，指出其存在的不足之处和安全问题，与之类似的网络系统也可参照以下模型进行分析和研究。

（1）缺乏健壮性的网络架构

图1 缺乏健壮性的网络架构

图1是现在网络安全建设中比较常见的一种网络架构，采用防火墙实现内外网的逻辑隔离，网络边界处部署了防毒墙、入侵防御系统；在终端接入区域和核心交换机之间、服务接入区域和核心交换机之间都部署了防火墙，网络核心处部署了网络安全审计系统和入侵检测系统，在管理区域部署了漏洞扫描系统、防病毒系统、桌面安全管理系统和网络管理系统，应该说整个网络架构不论在面对外部攻击或是内部破坏方面都具备相当强的抵御能力，而且也考虑到内部恶意代码防范，网络综合管理，系统漏洞检测修复等方面。现在研究分析该网络架构存在的安全问题：网络中主核心交换机只有一台，主核心交换机与各区域汇聚交换机都是单链路连接，如果主核心交换机发生故障，整个网络基本上就陷于瘫痪状态，因为各个区域的数据交换完全依靠主核心的路由转发来实现，整个单位的业务数据传输就陷于停滞状态，因此结论是该网络架构不满足网络健壮性方面的要求，存在较大的安全隐患。另一方面，从网络系统中部署的安全设备和各类支持管理系统判断，该网络运营支持单位应该并不缺乏建设资金支持，只是在当初进行网络架构设计时，对网络的冗余性考虑不足，形成现在的基础运行架构。

（2）缺乏防护能力的网络架构

图2 缺乏防护能力的网络架构

图2中的网络架构主要特点是，主核心交换机双冗余部署，所有与核心的连接线路都是双链路考虑，内部网络通过路由器作为边界与互联网连接，整个网络的健壮性良好，同时内部部署了网络管理系统和桌面安全终端管理系统，对整个网络和终端有统一管理。但是整个网络缺乏对安全防护方面的考虑，首先是边界缺少访问控制设备或是入侵防范设备，内部没有恶意代码防范措施，没有事件回溯考虑，也没有网络安全扫描手段，应该说整个网络系统缺少基本的安全保障，即使是面对一般的网络攻击，也可能导致整个系统的被破坏和被瘫痪。因此结论是该网络架构存在极大的安全问题，如果不及时完善，一旦出现安全事件，后果将不堪设想。

（3）缺乏统一管理的网络架构

图3 缺乏统一管理的网络架构

图3所示网络架构的基本特点是，网络边界通过防火墙与互联网做逻辑隔离和访问控制，内部通过部署各种安全及检测设备降低安全风险系数，健壮性方面采取双核心双链路冗余部署进行保障，整个网络架构在抗攻击和预防故障方面都有良好的表现。但是结论仍然是存在比较明显的安全问题：业务系统服务器和各类安全检测设备都直接与核心交换机相连，没有划分区域进行单独管理或者是占用了核心交换机宝贵的连接端口，很可能造成当主核心交换个别端口故障时没有可替代端口；因为内部没有部署网络综合管理系统，系统管理人员对整个网络的运行维护缺少监测和管理手段，交换、路由和安全设备陷入各自为战的局面；缺少桌面终端安全管理，将使网络管理中心失去对内部网络用户的安全监管，非法外联者和非法内联者就有可能乘虚而入。

（4）缺乏安全规划的网络架构

图4 缺乏安全规划的网络架构

图4中的网络架构，采用中转服务器进行内外网逻辑隔离，外部网络因为没有安全需要所以省略了安全方面的考虑，内部网络双核心双链路冗余设计，同时部署了相应的安全检测、扫描、审计设备和管理系统，并且为了保证应用系统的安全访问，在服务器的前端又增设了两台防火墙，如果忽略中转服务器的因素，整个网络架构设计应该说是比较安全和充分可行的，但是问题出在中转服务器的部署位置上。该中转服务器两块网卡同时连接内外网，通过一个软件将内部数据定时导出发布到外部网站上，考虑到如果中转服务器失去控制权变成攻击者的跳板，那么数据库服务器2和应用服务器2将面对来自外网的直接攻击，因此该网络架构存在较大安全隐患。中转服务器本应接在应用服务区域边界的防火墙上，而不是接在接入交换机上，通过防火墙来控制中转服务器对应用服务区的访问，会大大提高该网络架构的安全系数。考虑到该网络架构里中转服务器所在的外网区域缺少必要的安全防护措施，中转服务器被攻击者控制的风险还是客观存在的。

2 安全网络架构的几个基本要素分析

本文上面举例说明了几种常见的网络架构中存在的安全隐患和问题，现在笔者按照一般应用条件下，安全网络架构应该具有基本要素进行讲解，并解释这些要素的具体作用。

（1）健壮性：网络中的核心处理设备在性能和业务处理能力要能满足当前系统业务高峰期的需要，并且有冗余考虑，双机双链路配置，避免骨干网络存在单点故障安全的情况。

（2）安全域、安全路径：根据系统使用单位管理需要和所涉及信息的重要程度等因素，划分子网或网段，按照方便管理和控制的原则为各子网、网段分配地址段，建立相应的安全区域；将重要网段部署在系统核心区域，在重要网段与其他网段之间部署防火墙、IPS、网闸等防护手段进行逻辑隔离。在业务终端与业务服务器之间进行路由控制建立安全的访问路径，严格控制业务终端的访问区域。

（3）访问控制：在网络边界部署防火墙，启用访问控制功能。限制网络最大流量数及网络连接数，部署流控设备对流量进行管理和控制；采用IP+MAC地址绑定或其他手段防止地址欺骗攻击；采取访问控制措施控制主机对受控系统资源的访问；限制具有拨号访问权限的用户数量。[1]

（4）事件的回溯：通过部署主机日志集中审计系统和网络集中审计系统，能根据记录数据进行分析并生成审计报表，以便对事件的追溯和回放。

（5）非法连接管控：通过部署桌面安全管控系统或是内网安全管理系统，控制非法接入或不授权的外联。

（6）入侵防范：在网络中部署入侵防御系统（IPS）、入侵检测系统（IDS），或者是具备此类功能的安全设备来防止恶意攻击和入侵。

（7）恶意代码防范：在网络边界部署防毒墙系统或者在网管区部署网络防病毒系统，或者具备此类功能的安全设备，防止病毒感染泛滥。

（8）安全扫描：在网络中部署漏洞扫描系统或者具备此类功能的安全设备，能及时掌握网络中的存在的安全漏洞和系统的安全状况。

（9）网络管理：在网络中部署网络综合管理系统对网络的整体运行情况进行监控，实现网络设备、安全设备、重要服务器等的统一管理。[2]

3 结束语

随着计算机技术的迅速发展，基于网络连接的安全问题也日益突出，由于网络架构是为设计、构建和管理一个通信网络提供一个构架和技术基础的蓝图。同时也决定了系统使用单位在面对外部网络威胁时的安全性，这就要求对网络架构的设计思路也要及时跟上网络安全形势发展的需要，不管是网络的建设单位还是网络的承建单位，都要充分考虑网络架构设计过程中的安全要素问题，避免工程建设期间和完成后才发现网络存在重要安全隐患，还需要进行二次建设或者整改工作，造成不必要的资金和资源的浪费。

[1]中国国家标准化管理委员会、中华人民共和国国家质量监督检验检疫总局[S].《GB/T22239-2008 信息安全技术 信息系统安全等级保护基本要求》.

[2]曹子建，赵宇峰，容晓峰.网络入侵检测与防护墙联动平台设计[J].信息网络安全，2012，（09）：12-14.