網(wǎng)絡(luò)逐漸成為企業(yè)運(yùn)營(yíng)不可或缺的一部分，基于互聯(lián)網(wǎng)的應(yīng)用、遠(yuǎn)程培訓(xùn)、在線(xiàn)訂購(gòu)以及財(cái)務(wù)交易等，極大地提高企業(yè)的生產(chǎn)力和盈利能力，帶來(lái)很多的便利。
但在享受便利的同時(shí)，網(wǎng)絡(luò)系統(tǒng)同樣也成為安全威脅的首要目標(biāo)，網(wǎng)絡(luò)安全面臨著前所未有的威脅。威脅不僅來(lái)自人為的破壞，也來(lái)自自然環(huán)境。各種人員、機(jī)構(gòu)出于各種目的攻擊行為，系統(tǒng)自身的安全缺陷（脆弱性），以及自然災(zāi)難，都可能構(gòu)成對(duì)企業(yè)網(wǎng)絡(luò)系統(tǒng)的威脅。
威脅的發(fā)起因素是威脅的主體， 按威脅主體的性質(zhì)分類(lèi)， 安全威脅可以分為人為的安全威脅和非人為的安全威脅。按人為攻擊的方式分類(lèi)，可以分為被動(dòng)攻擊、主動(dòng)攻擊、鄰近攻擊和分發(fā)攻擊等。
1、安全威脅
非人為的安全威脅
非人為的安全威脅主要分為兩類(lèi)，一類(lèi)是自然災(zāi)難，另一類(lèi)是技術(shù)局限性。信息系統(tǒng)都是在一定的物理環(huán)境下運(yùn)行， 自然災(zāi)難對(duì)信息系統(tǒng)的威脅是非常嚴(yán)重的。典型的自然災(zāi)難包括：地震、水災(zāi)、火災(zāi)、風(fēng)災(zāi)等。自然災(zāi)難可能會(huì)對(duì)信息系統(tǒng)造成毀滅性的破壞。
同所有技術(shù)一樣，信息技術(shù)本身也存在局限性，有很多缺陷和漏洞。典型的缺陷包括：系統(tǒng)、硬件、軟件的設(shè)計(jì)缺陷、實(shí)現(xiàn)缺陷和配置缺陷。信息系統(tǒng)的高度復(fù)雜性以及信息技術(shù)的高速發(fā)展和變化，使得信息系統(tǒng)的技術(shù)局限性成為嚴(yán)重威脅信息系統(tǒng)安全的重大隱患。
人為安全威脅
網(wǎng)絡(luò)系統(tǒng)面臨的人為安全威脅可分為外部威脅和內(nèi)部威脅，人為安全威脅主要是人為攻擊，主要分為以下幾類(lèi)：被動(dòng)攻擊、主動(dòng)攻擊、鄰近攻擊、分發(fā)攻擊。
被動(dòng)攻擊
這類(lèi)攻擊主要包括被動(dòng)監(jiān)視通信信道上的信息傳送。被動(dòng)攻擊主要是了解所傳送的信息，一般不易被發(fā)現(xiàn)。典型攻擊行為有：
a) 監(jiān)聽(tīng)通信數(shù)據(jù)；
b) 解密加密不善的通信數(shù)據(jù)；
c) 口令截獲；
d) 通信流量分析。
主動(dòng)攻擊
主動(dòng)攻擊為攻擊者主動(dòng)對(duì)信息系統(tǒng)實(shí)施攻擊，包括企圖避開(kāi)安全保護(hù)，引入惡意代碼，以及破壞數(shù)據(jù)和系統(tǒng)的完整性。
a) 修改數(shù)據(jù)；
b) 重放所截獲的數(shù)據(jù)；
c) 插入數(shù)據(jù)；
d) 盜取合法建立的會(huì)話(huà)；
e) 偽裝；
f) 越權(quán)訪(fǎng)問(wèn)；
g) 利用緩沖區(qū)溢出（BOF）漏洞執(zhí)行代碼；
h) 插入和利用惡意代碼（如：特洛依木馬、后門(mén)、病毒等）；
i) 利用協(xié)議、軟件、系統(tǒng)故障和后門(mén)；
j) 拒絕服務(wù)攻擊。
鄰近攻擊
此類(lèi)攻擊的攻擊者試圖在地理上盡可能接近被攻擊的網(wǎng)絡(luò)、系統(tǒng)和設(shè)備，目的是修改、收集信息，或者破壞系統(tǒng)。這種接近可以是公開(kāi)的或秘密的，也可能是兩種都有，鄰近攻擊最容易發(fā)生在沒(méi)有良好保安措施的地方。典型的鄰近攻擊有：
a) 偷取磁盤(pán)后又還回；
b) 偷窺屏幕信息；
c) 收集作廢的打印紙；
d) 物理毀壞通信線(xiàn)路。
分發(fā)攻擊
分發(fā)攻擊是指在系統(tǒng)硬件和軟件的開(kāi)發(fā)、生產(chǎn)、運(yùn)輸、安裝和維護(hù)階段，攻擊者惡意修改設(shè)計(jì)、配置等行為。典型的分發(fā)攻擊方式有：
a) 利用制造商在設(shè)備上設(shè)置隱藏的攻擊途徑；
b) 在產(chǎn)品分發(fā)、安裝時(shí)修改軟硬件配置，設(shè)置隱藏的攻擊途徑；
c) 在設(shè)備和系統(tǒng)維護(hù)升級(jí)過(guò)程中修改軟硬件配置，設(shè)置隱藏的攻擊途徑。直接通過(guò)因特網(wǎng)進(jìn)行遠(yuǎn)程升級(jí)維護(hù)具有較大的安全風(fēng)險(xiǎn)。
內(nèi)部威脅
內(nèi)部威脅是由于內(nèi)部管理不善， 由內(nèi)部合法人員造成， 他們具有對(duì)系統(tǒng)的合法訪(fǎng)問(wèn)權(quán)限。內(nèi)部合法人員對(duì)系統(tǒng)的威脅， 除了具有上述人為安全威脅的攻擊方式， 還具有其特有的攻擊手段。內(nèi)部威脅分為惡意和非惡意兩種，即惡意攻擊和非惡意威脅。惡意攻擊是指出于各種目的而對(duì)所使用的信息系統(tǒng)實(shí)施的攻擊。非惡意威脅則是由于合法用戶(hù)的無(wú)意行為造成了對(duì)政務(wù)信息系統(tǒng)的攻擊，他們并非故意要破壞信息和系統(tǒng)，但由于誤操作、經(jīng)驗(yàn)不足、培訓(xùn)不足而導(dǎo)致一些特殊的行為，對(duì)系統(tǒng)造成了破壞。
典型的內(nèi)部威脅有：
a) 惡意修改數(shù)據(jù)和安全機(jī)制配置參數(shù)；
b) 惡意建立未授權(quán)的網(wǎng)絡(luò)連接，如：撥號(hào)連接；
c) 惡意的物理?yè)p壞和破壞；
d) 無(wú)意的數(shù)據(jù)損壞和破壞，如：誤刪除。
2、傳統(tǒng)安全防范技術(shù)
面對(duì)如此眾多的威脅威脅， 傳統(tǒng)安全防范技術(shù)強(qiáng)調(diào)單個(gè)安全產(chǎn)品的重要性， 如防火墻的性能和功能，IDS 入侵檢測(cè)系統(tǒng)的高效性等，而對(duì)全網(wǎng)的安全威脅沒(méi)有一個(gè)仔細(xì)的研究，對(duì)網(wǎng)絡(luò)安全的設(shè)計(jì)沒(méi)有明確的層次和區(qū)域，如下圖所示：
網(wǎng)絡(luò)中部署了相關(guān)的安全產(chǎn)品，防火墻，VPN，IDS，安全管理等，但由于組網(wǎng)方式很隨意，沒(méi)有統(tǒng)一規(guī)劃，不清楚網(wǎng)絡(luò)的威脅，層次，區(qū)域策略，安全防護(hù)手段部署原則不明確，當(dāng)網(wǎng)絡(luò)某一局部出現(xiàn)安全隱患被侵入后，由于網(wǎng)絡(luò)之間邊界不清楚，無(wú)清楚的邊界控制，攻擊很容易擴(kuò)散，從而局部侵入馬上成為全網(wǎng)侵入，造成對(duì)全網(wǎng)的威脅。當(dāng)局部的蠕蟲(chóng)泛濫，造成全網(wǎng)的快速泛濫，企業(yè)用戶(hù)缺乏足夠的緩沖處理時(shí)間，可能很快造成全網(wǎng)癱瘓，而部署的安全設(shè)備也不能充分的發(fā)揮作用，成為資源的浪費(fèi)。
3、縱深防御和安全區(qū)域劃分
因此，在多種多樣的安全威脅前，企業(yè)需要建立縱深防御體系，防止因某個(gè)部分的侵入而導(dǎo)致整個(gè)系統(tǒng)的崩潰；基于網(wǎng)絡(luò)系統(tǒng)之間邏輯關(guān)聯(lián)性和物理位置，功能特性，劃分清楚的安全層次和安全區(qū)域，在部署安全產(chǎn)品和策略時(shí)，才可以定義清楚安全策略和部署模式。
特別是對(duì)復(fù)雜的大系統(tǒng)，安全保障包括網(wǎng)絡(luò)基礎(chǔ)設(shè)施、業(yè)務(wù)網(wǎng)，辦公網(wǎng)，本地交換網(wǎng)，電子商務(wù)網(wǎng)，信息安全基礎(chǔ)設(shè)施等多個(gè)保護(hù)區(qū)域。這些區(qū)域是一個(gè)緊密聯(lián)系的整體，相互間既有縱向的縱深關(guān)系,又有橫向的協(xié)作關(guān)系，每個(gè)范圍都有各自的安全目標(biāo)和安全保障職責(zé)。積極防御、綜合防范的方針為各個(gè)保護(hù)范圍提供安全保障，有效地協(xié)調(diào)縱向和橫向的關(guān)系，提高網(wǎng)絡(luò)整體防御能力。
安全區(qū)域劃分對(duì)企業(yè)網(wǎng)絡(luò)的建設(shè)有著以下重要意義：
縱深防御依賴(lài)于安全區(qū)域的清除定義
安全區(qū)域間邊界清晰，明確邊界安全策略
加強(qiáng)安全區(qū)域策略控制力，控制攻擊擴(kuò)散，增加應(yīng)對(duì)安全突發(fā)事件的緩沖處理時(shí)間
依據(jù)安全策略，可以明確需要部署的安全設(shè)備
使相應(yīng)的安全設(shè)備充分運(yùn)用，發(fā)揮應(yīng)有的作用
安全域隔離技術(shù)
安全域隔離技術(shù)主要分為物理隔離技術(shù)和邏輯隔離技術(shù)兩類(lèi)
物理隔離
? 物理級(jí)（電磁輻射）-- 屏蔽、干擾
? 終端級(jí)（雙網(wǎng)機(jī)）-- 雙盤(pán)型、雙區(qū)型
? 傳輸信道級(jí) -- 非加密信道、加密信道
? 網(wǎng)絡(luò)級(jí)（網(wǎng)閘）
--信息交換型
--信息共享型
--系統(tǒng)互操作型
邏輯隔離
? 防火墻控制
? VLAN虛擬網(wǎng)技術(shù)
? FR, ATM技術(shù)
? L2TP V3,ATOM
? IPsec VPN, MPLS VPN, SSL VPN, GRE技術(shù)
? 病毒網(wǎng)關(guān)過(guò)濾技術(shù)
? 應(yīng)用層安全控制技術(shù)