基于纵深防御的网络安全防护体系

宋金金 朱啟凡 顾国武

摘要：伴随着信息化深入人们的日常生活，网络安全变得尤为重要，网络安全事件给政企单位带来了巨大的压力和损失，网络安全对运维人员的要求也越来越高，传统的非体系化网络安全防护已经很难应对日益变化的网络攻击方式。文章针对当下严峻的网络安全现状及网络安全工作存在的不足，构建出基于物理、网络、主机、应用、数据、人员管理6个层面的纵深防御体系，提升政企网络安全防护能力，为网络安全建设提供参考。

关键词：纵深防御；网络安全；预警；防护

中图分类号：TP399  文献标志码：A

1 基于纵深防御的网络安全防护体系研究背景及目的

随着日益严峻的网络安全形势的发展，《网络安全法》《数据安全法》《个人信息保护法》陆续出台，保障网络安全上升到了国家安全战略。震网病毒破坏离心机、乌克兰电网事件、2022年中国西北工业大学遭到网络攻击等事件的发生均给被攻击当事方带来了巨大的损失。道高一丈，魔高一丈，传统的以网络安全边界为重点的防御已经显得捉襟见肘，现有的防护体系已经很难防御日益变化的攻击手段，网络安全变得越来越重要，这时基于纵深防御的网络安全防护体系对网络安全显得尤为重要。

2 网络安全防护问题及分析

2.1 物理层面安全问题及分析

物理安全是最基础的安全，主要是做好防火、防水、供电、防雷、防盗等方面的安全，这是保证机房服务器、网络设备、安全设备、电线、通信线缆等支撑信息化系统资产安全的基础，在基于纵深防御的网络安全防护体系中，只有做好物理安全，其他层面的安全才可以得到保障。当前物理安全主要存在以下问题。

2.1.1 供电安全隐患

机房未配置UPS或未采用两路市电，造成业务中断或业务瘫痪；UPS质量不合格导致火灾；未配置稳压器，电压过高或过低、打雷导致断电或电压不稳导致设备损坏。

2.1.2 消防安全问题

未部署消防系统，导致发生火灾无法灭火；气体灭火器未定期检测，以致产品过期导致灭火效果不佳；异物堆积、消防疏通管道占用等导致火灾，损失严重。

2.1.3 被盗窃和破坏的安全问题

机房未设置电子门禁措施，任何人均可进入，导致机房设备被盗窃甚至被不法分子破坏。

2.1.4 防水、防潮、静电、温湿度安全问题

雨水通过机房窗户、屋顶和墙壁渗透，导致设备损坏；机房内水蒸气结露和地下积水的转移与渗透，导致设备损坏；未采取措施防止静电的产生，导致设备损坏；机房温湿度过高或过低，导致设备损坏。

2.1.5 物理访问控制安全问题

未做好机房进出管理、未设置专人值守，导致陌生人进入，产生安全隐患；未设置监控，发生安全事件时，无法溯源问题。

2.2 网络层面安全问题及分析

在基于纵深防御的网络安全防护体系中，网络层面是重中之重，网络安全从名字就可以看出网络的重要性，网络是信息化的高速公路，一旦网络高速公路出问题，信息化系统重则瘫痪，轻则网络阻塞，不管出现哪种问题，都是比较严重的事故。当前网络安全主要存在以下问题。

2.2.1 网络架构问题

网络架构不合理，导致网络收敛速度慢、可用性差；网络中的区域划分不合理，导致管理工作增加；内网中业务区域未做隔离，导致遭受网络攻击时影响范围增加。

2.2.2 网络边界问题

对于网络边界，通常认为只有一个互联网边界，这是错误的想法。网络边界不仅有互联网边界，也有内部的边界，比如常见的办公区域与各服务器区域之间的边界、其他区域与服务器区域之间的边界，这些边界在平时最容易被忽视；还存在关键信息系统直接部署在网络边界的问题，最终导致被攻击。

2.2.3 访问控制问题

互联网存在不必要开放服务导致系统被攻击；访问控制策略做得不合理导致不该访问区域网络人员能访问网络；内网服务器可以访问网络导致服务器风险增加。

2.2.4 入侵防护问题

缺乏应用层面防护或者均部署了WAF，IPS等防护设备，但策略却未开启，导致无法对应用系统进行安全防护；同一路径部署同等品牌设备，导致部分漏洞未被拦截；无法对用户访问互联网的行为进行审计，无法管控无线网络私接等行为。

2.2.5 监测预警问题

当网络发生攻击事件或者网页被挂马、网页被篡改时，大多数单位无法及时了解，只能被动地等待，最终造成系统不可用，经过被动排查才发现已被攻击，此时已经造成实质的网络安全损失；还有可能在溯源时，发现日志数据缺失无法溯源。

2.3 主机层面安全问题及分析

主机安全包含服务器安全和终端安全，在基于纵深防御的网络安全防护体系中，主机层面的安全对于应用安全、數据安全尤为重要。主机安全主要存在以下问题：漏洞未及时修复、主机存在高危端口，导致被攻击；主机被攻击时无法预警和及时处理。

2.4 应用层面安全问题及分析

在基于纵深防御的网络安全防护体系中，应用安全是网络安全需要重点关注的地方，大多数攻击来自应用层面的攻击。当今社会发展日新月异，各种应用层面攻击手段层出不穷，最新常见的如OWASP Top 10，除此之外，还有各种应用组件、应用开发框架漏洞也易受到攻击，往往这些漏洞会造成很严重的危害，最严重的就是造成数据泄露，这对于网络安全来说是致命的。当前应用安全主要存在以下问题。

2.4.1 应用系统防护、监测不足问题

应用系统需要Web层面防护，一般情况下很多单位仅有一个普通防火墙，直接将应用系统映射到互联网上，仅有网络层防护，却忽视了应用层面防护，导致受到Web层面攻击而无法防护；还存在应用系统发生攻击时却不知道，更有甚者发生严重问题，如网页被挂马、被篡改等恶性安全事件，却无法第一时间得知，最终造成严重损失。

2.4.2 应用系统漏洞未及时发现、修复问题

大多数单位上线应用系统，尤其是小单位，很容易忽视应用系统的安全测试，如渗透测试、代码审计等，最终导致漏洞未被及时发现并修复，造成严重损失。

2.4.3 应用系统开发层面问题

应用开发人员的技术水平、开发公司的管理水平均会影响到系统开发是否规范，开发不规范导致系统存在后门或漏洞，一旦被攻击将出现严重的安全事件。

2.5 数据层面安全问题及分析

在基于纵深防御的网络安全防护体系中，数据安全是核心，是最重要的。一切信息系统最后落地的就是数据，这好比一台计算机，硬盘（数据）没了，其他都是空谈，只要硬盘（数据）还在，哪怕其他设备都被破坏了，系统还是可以重建。随着《数据安全法》的出台，我国在网络与信息安全领域的法律法规体系得到了进一步完善。这也对数据管理人员的要求越来越高，当前数据安全主要存在以下问题。

2.5.1 数据存储介质安全问题

数据存储介质可能存在质量问题导致数据丢失，造成严重数据丢失事件；数据库存在安全漏洞，被不法分子攻击，造成数据被窃取。

2.5.2 数据传输、存储过程未加密

数据在处理和传输、存储的过程中，未进行加密或加密算法不满足保密要求造成数据在传输过程中被窃取。

2.5.3 数据管理不规范

大多数数据库使用者的权限均为超管账户，数据库权限过大会导致数据权限控制存在问题，将出现非授权人员访问、修改、篡改以及破坏系统资源，数据将遭到恶意破坏；数据管理人员有时会忽视数据备份，往往为了方便不备份数据，或者只进行本地备份，一但数据丢失，将导致系统数据无法恢复。

2.5.4 缺乏数据安全监测措施

当企业内部人员窃取数据、违规使用数据时，常常无法监测到数据泄露以及违规使用数据的行为。

2.6 人员管理层面问题及分析

在纵深防御体系中，人往往是最重要的环节，也是最薄弱的环节。在人这一环节，需要诸多网络安全管理制度来制约，按流程办事、按规则办事，通过制度、规则来制约人的行为，按照最小化、分权制衡的原则来分配权限，避免因为某个人的失误而造成网络安全事件。当前人员管理主要存在以下问题：用户或运维人员缺乏安全意识、不遵守网络安全管理制度、不规范使用系统设备、缺乏专业工作技能，最终导致网络安全工作失败，使不法分子有机可乘，发生安全事件。

3 做好安全防护措施

3.1 做好物理层面安全防护措施

3.1.1 针对供电安全问题

机房要配置UPS或未采用两路市电，以免造成业务中断或业务瘫痪；选择经过国家认证过的UPS产品，避免选择三无产品；机房供电配备稳压器，以免电压过高或过低、打雷造成断电或电压不稳导致设备损坏。

3.1.2 针对消防安全问题

部署消防系统，以免导致发生火灾无法灭火；定期检测气体灭火器，以免产品过期导致灭火效果不佳；避免异物堆积、消防疏通管道占用等情况。

3.1.3 针对被盗窃和破坏的安全问题

机房需要设置电子门禁措施，访问鉴别人员，避免出现任何人均可进入的情况。

3.1.4 针对防水、防潮、静电、温湿度安全问题

做好机房窗户、屋顶和墙壁的防渗维护，以免导致设备损坏；做好机房内水蒸气结露和地下积水转移与渗透的防护措施，以免导致设备损坏；采取措施防止静电的产生，以免导致设备损坏；配备机房空调，以免机房温湿度过高或过低导致设备损坏。

3.1.5 针对物理访问控制安全隐患

做好机房进出管理、设置专人值守，以免陌生人进入，产生安全隐患；设置监控，发生安全事件时，可以溯源问题。

3.2 做好网络层面安全防护措施

3.2.1 针对网络架构问题

网络结构应该使用扁平化设计来提升网络的收敛性，满足业务的可用性就要求提升网络的收敛性，同时网络设备必须满足业务高峰期需要，资源在高峰期不得超过设备的70%，从而满足设备的可用性。除了满足可用性，还要使得网络中的设备或服务器便于管理，这就要求网络中划分若干个区域。在服务器网络划分方面，通过服务器主机的角色划分，并根据应用系统类别、用户访问特性、服务组件类型划分合理的区域；除了服务器、安全设备、网络设备划分区域外，安全支撑系统、网络管理系统、安全运维终端等，也需要独立划分一个区域，一般称为安全管理中心（安全运维区域）；一般政企单位还会遇到专线、VPN与其他单位连接的情况，也需要划分独立的区域用于这些特殊网络链路的接入；独立的办公区域也尤为重要，除了外部威胁，来自内部的威胁也同样要重视，为了便于管理，也需要將办公网络划分为独立的区域。最后，对于以上区域，为了便于管理，还需要分配不同的IP地址段。

3.2.2 针对网络边界问题

对于网络边界。网络中划分的安全区域应该采取相应的边界隔离措施；重要区域，如互联网边界，需要采取纵深防御的网络防护，应该避免将重要网络区域的服务直接映射到外部边界处。

3.2.3 针对访问控制问题

访问控制是网络安全防护的重中之重，网络安全的精髓就是网络安全访问控制，要遵循最小化访问原则来进行网络安全访问控制。需要做到以下几点：只开启必要服务的端口的访问控制策略，策略按就近部署原则作用在就近的服务侧边界处；应禁止服务器访问互联网，对于必须访问互联网的请求，应在区域边界处采用白名单方式明确目的地址、端口和源地址的访问控制规则；对于网络设备、安全设备等设备必须访问互联网的情况，应在网络边界处采用白名单方式明确目的地址、端口和源地址的访问控制规则；最重要的一点，采用最小授权访问原则设置访问控制规则，非业务所必须的访问一律应被禁止［1］。

3.2.4 针对入侵防护问题

针对入侵防护的具体措施，分为以下几点：在部署Web应用的网络区域边界部署应用防火墙，并设置合理的防护策略，确保目标系统http，https不同协议访问均得到有效防护；在外联区域边界部署防火墙、防入侵等措施，并设置合理的防护策略；在用户访问互联网的出口处部署上网行为审计系统，对用户的互联网访问进行审计；若存在通过无线接入的情况，应确保其通过受控的边界防护设备接入内部网络，并应明确限定其访问的目标范围；应确保各安全防御设备攻击特征库同步兼容相关权威组织的漏洞特征库，与其他安全设备及主机防护系统具有一定的差异性，并保证特征库能得到及时更新。

3.2.5 针对监测预警问题

监测预警是在网络发生攻击事件时能够及时预警，这尤为重要，监测预警就是网络安全的眼睛，需要做到以下几点：在网络中部署网络流量监测系统，并设置合理的预警策略，一旦发现异常及时预警；对于向互联网提供服务的应用或重要系统，应采取相应的技术措施对内容安全、网页篡改、网页挂马进行监测和防护；部署日志集中审计系统，对网络中各类运行日志进行集中留存及关联分析。

3.3 做好主机层面安全防护措施

针对漏洞未及时修复、主机存在高危端口，需要定期对主机安全进行漏洞評估并及时修补漏洞，及时做好主机安全基线关闭高危端口以减轻被攻击的风险；针对主机被攻击时无法预计和及时处理，需要部署终端监测系统，在发生安全攻击时能够及时预警并处置。

3.4 做好应用层面安全防护措施

3.4.1 针对应用系统防护、监测不足问题

应用系统访问路径需要部署Web应用防火墙或IPS，并设置合理的应用防护策略对Web层面攻击进行有效防护；针对监测不足，需要部署防网页篡改、防网页挂马、态势感知设备进行监测预警。

3.4.2 针对应用系统漏洞未及时发现、修复问题

应用系统上线前必须做安全测试，如模拟黑客攻击渗透测试，做代码审计，发现代码层面安全漏洞。通过渗透测试发现应用系统漏洞以及代码层面漏洞，应及时修复系统漏洞。最后，需要做验证测试，确认系统没有安全漏洞方可上线，且需要定期对系统做安全漏洞检测，保证系统的长期安全性。

3.4.3 针对应用系统开发层面问题

应用开发人员的技术水平、开发公司的管理水平均会影响到系统开发是否规范，所以，需要定期对开发人员进行相关开发规范知识培训，开发公司需要不断提升管理水平，严格按照相关开发标准开发系统，单位还要通过相关开发能力验证。

3.5 做好数据层面安全防护措施

3.5.1 针对数据存储介质安全问题

选择通过相关认证的数据存储介质产品，保证数据存储介质安全；对于数据库漏洞需要及时评估，并及时修补。

3.5.2 针对数据传输、存储过程未加密

数据在传输和存储过程中需要采用密码算法、加密算法处理，方可保证数据在传输和存储过程中不被窃取。加密技术可以有效确保网络传输中的数据流处于非明文状态，纵使被黑客拦截，也可以有效保障数据安全，防止非授权用户的搭线窃听和入网，以及数据传输过程中被窃取和篡改［2］。

3.5.3 针对数据管理不规范问题

针对数据管理不规范问题，需要建立好数据库账号权限，避免超级管理权限的存在；并制定合理的数据备份策略，保证数据管理的安全。

3.5.4 针对缺乏数据安全监测措施

数据安全监测需要部署上网行为管理，对访问者进行记录和准入，对于运维人员需要部署数据安全堡垒机进行运维操作监测，对于数据泄露的风险，需要在边界部署数据泄露防护设备DLP进行监测。

3.6 做好人员管理措施

人员要及时接受网络安全意识培训、专业技能培训，单位及时制定合理的安全管理制度，并且要求工作人员时刻保持网络安全意识、不断学习专业技能、严格遵守网络安全制度，规范使用系统设备，让不法分子无机可乘。

4 结语

以上物理、网络、主机、应用、数据、人员管理6个层次构建了基于纵深防御的网络安全体系，每一个层面缺一不可，一道道防线共同构建了坚实可靠的政企网络安全防护，实现了网络安全的纵深防御；每一道防线都要让攻击者付出巨大的代价。当然，网络安全工作是常态化的，纵深防御的措施还是要依靠日常扎实的安全运营工作［3］，方可保证网络安全纵深防御体系的稳定且有效落实。

参考文献

［1］ 张敬，李江涛，张振峰.企业网络安全建设最佳实践［M］.北京： 电子工业出版社，2021.

［2］ 工业和信息化部网络安全产业发展中心编写组.数据传输安全白皮书［M］.北京：清华大学出版社，2021.

［3］ 杨东晓，张锋，玛涛，等.网络安全运营［M］.北京：清华大学出版社，2020.

（编辑 沈 强）

Network security protection system based on defense in depth

Song  Jinjin， Zhu  Qifan， Gu  Guowu

（Jiangsu Golden Shield detection Technology Co.， Ltd.， Nanjing 210042， China）

Abstract： With the deepening of information technology in our daily life， network security has become particularly important. Network security threats have brought huge pressure and losses to government and enterprise units. Network security has become increasingly demanding for operation and maintenance personnel. The traditional non-systematic network security protection has been difficult to meet the ever-changing network attack methods. This paper aims at the current severe network security situation and the shortcomings of network security work， Build a defense-in-depth system based on six levels of physics， network， host， application， data and personnel management， improve the network security protection ability of government and enterprises， and provide reference for network security construction.

Key words： defense in depth; network security; early warning; protection