4、一般企業(yè)網(wǎng)絡(luò)安全區(qū)域設(shè)計模型
企業(yè)網(wǎng)絡(luò)情況和業(yè)務(wù)系統(tǒng)千差萬別， 所以不同企業(yè)對安全區(qū)域的劃分， 可以有完全不同的表述方法和模式。但一般而言，大多數(shù)企業(yè)均有相同的網(wǎng)絡(luò)部分和安全分區(qū)。
安全區(qū)域相關(guān)定義
在劃分安全區(qū)域時，需要明確幾個安全區(qū)域相關(guān)的定義，以免模糊他們之間的概念，造成區(qū)域劃分完之后， 依然邏輯不清晰， 安全策略無法明確， 立體的縱深防御體系也無法建立。一般在安全區(qū)域劃分時，需要明確如下常用的定義：
? 物理網(wǎng)絡(luò)區(qū)域
物理網(wǎng)絡(luò)區(qū)域是指數(shù)據(jù)網(wǎng)中，依照在相同的物理位置定義的網(wǎng)絡(luò)區(qū)域，通常如辦公區(qū)域，遠程辦公室區(qū)域，樓層交換區(qū)域等
? 網(wǎng)絡(luò)功能區(qū)域
功能區(qū)域是指以功能為標準，劃分的邏輯網(wǎng)絡(luò)功能區(qū)域，如互聯(lián)網(wǎng)區(qū)域，生產(chǎn)網(wǎng)區(qū)域，辦公網(wǎng)區(qū)域等
? 網(wǎng)絡(luò)安全區(qū)域
網(wǎng)絡(luò)安全區(qū)域是指網(wǎng)絡(luò)系統(tǒng)內(nèi)具有相同安全要求、達到相同安全防護等級的區(qū)域。同一安全區(qū)域一般要求有統(tǒng)一的安全管理組織和安全防護體系及策略，不同的安全區(qū)域的互訪需要有相應(yīng)的邊界安全策略。
? 網(wǎng)絡(luò)安全層次
根據(jù)層次分析方法，將網(wǎng)絡(luò)安全區(qū)域劃分成幾個不同安全等級的層次，同一層次包含若干個安全等級相同的區(qū)域，同層安全區(qū)域之間相互邏輯或物理隔離。
? 物理網(wǎng)絡(luò)區(qū)域和安全區(qū)域的關(guān)系
一個物理網(wǎng)絡(luò)區(qū)域可以對應(yīng)多個安全區(qū)域，一個安全區(qū)域只能對應(yīng)一個物理網(wǎng)絡(luò)區(qū)域
? 網(wǎng)絡(luò)功能區(qū)域和物理網(wǎng)絡(luò)區(qū)域的關(guān)系
一個網(wǎng)絡(luò)功能區(qū)域可以對應(yīng)多個物理網(wǎng)絡(luò)區(qū)域，一個物理網(wǎng)絡(luò)區(qū)域只能對應(yīng)一個網(wǎng)絡(luò)功能區(qū)域，如辦公網(wǎng)功能區(qū)域，可以包含總部辦公網(wǎng)物理區(qū)域，遠程辦公室辦公網(wǎng)物理區(qū)域，移動辦公物理區(qū)域等。
? 網(wǎng)絡(luò)功能區(qū)域和安全區(qū)域的關(guān)系
一個網(wǎng)絡(luò)功能區(qū)域可以對應(yīng)多個網(wǎng)絡(luò)安全區(qū)域，一個網(wǎng)絡(luò)安全區(qū)域只能對應(yīng)一個網(wǎng)絡(luò)功能區(qū)域。
安全區(qū)域設(shè)計一般原則
盡管不同企業(yè)對安全區(qū)域的設(shè)計可能理解不盡相同， 但還是有一般的安全區(qū)域設(shè)計原則可供參考如下：
? 一 體化設(shè)計原則
綜合考慮整體網(wǎng)絡(luò)系統(tǒng)的需求，一個整體的網(wǎng)絡(luò)安全區(qū)域設(shè)計規(guī)范以規(guī)范我
? 多重保護原則
不能把整個系統(tǒng)的安全寄托在單一的安全措施或安全產(chǎn)品上，要建立一套多重保護系統(tǒng)，各重保護相互補充，當一層保護被攻破時，其它層的保護仍可確保信息系統(tǒng)的安全
? 定義清楚的安全區(qū)域邊界
設(shè)定清楚的安全區(qū)域邊界，可以明確安全區(qū)域策略，從而確定需要部署何種安全技術(shù)和設(shè)備
? 在安全域之間執(zhí)行完整的策略
在安全域之間執(zhí)行完整的安全策略，幫助建立完整的縱深防御體系，方便安全技術(shù)實施部署
? 通常安全域越多越好
? 較多的安全區(qū)域劃分可以提供更精確的訪問控制策略，提高網(wǎng)絡(luò)的可控性
? 太多的安全區(qū)域，會增加管理復(fù)雜性
? 需要在較多的安全區(qū)域劃分和管理的復(fù)雜性之間做出平衡選擇
? 風險、代價平衡分析的原則
通過分析網(wǎng)絡(luò)系統(tǒng)面臨的各種安全問題挑戰(zhàn)， 確保實施網(wǎng)絡(luò)系統(tǒng)安全策略的成本與被保護資源的價值相匹配；確保安全防護的效果與網(wǎng)絡(luò)系統(tǒng)的高效、健壯相匹配。
? 適應(yīng)性、靈活性原則
在進行網(wǎng)絡(luò)安全區(qū)域設(shè)計時，不能只強調(diào)安全方面的要求，要避免對網(wǎng)絡(luò)、應(yīng)用系統(tǒng)的發(fā)展造成太多的阻礙；另外，在網(wǎng)絡(luò)安全區(qū)域模型保持相對穩(wěn)定的前提下，要求整體安全區(qū)域架構(gòu)可以根據(jù)實際安全需求變化進行微調(diào)，使具體網(wǎng)絡(luò)安全部署的策略易于修改，隨時做出調(diào)整。
網(wǎng)絡(luò)安全區(qū)域劃分方法
傳統(tǒng)的劃分方法
傳統(tǒng)安全區(qū)域劃分方法基本是以安全功能區(qū)域和物理區(qū)域相結(jié)合，做出安全區(qū)域的劃分。在一般規(guī)模較小的企業(yè)網(wǎng)絡(luò)環(huán)境中，這種方式簡明，方便，邏輯清楚 便于實施。但在先對比較復(fù)雜的企業(yè)網(wǎng)絡(luò)系統(tǒng)中，應(yīng)用系統(tǒng)相對復(fù)雜， 傳統(tǒng)方式主要考慮不同應(yīng)用系統(tǒng)之間安全防護等級的不同，較少考慮同一應(yīng)用系統(tǒng)對外提供服務(wù)時內(nèi)部不同層次之間存在的安全等級差異，一般而言，存在以下4個方面缺點：
? 在應(yīng)用系統(tǒng)較為復(fù)雜的網(wǎng)絡(luò)系統(tǒng)中，不同應(yīng)用系統(tǒng)的用戶層、表示層功能相互整合，各應(yīng)用系統(tǒng)不同層次間的聯(lián)系日趨復(fù)雜，從而很難設(shè)定明確的界限對應(yīng)用系統(tǒng)進行歸類，造成安全區(qū)域邊界模糊。
? 設(shè)置在安全區(qū)域邊界的防火墻實施的安全策略級別不清， 存在著應(yīng)用劃分層次(用戶、表示、應(yīng)用、數(shù)據(jù)) 4 層功能兩兩之間各種級差的訪問控制策略，防火墻安全等級定位不清，不利于安全管理和維護。
? 所有區(qū)域定義的安全級別過于復(fù)雜，多達 10+級安全等級，等級高低沒有嚴格的劃分標準，造成實施邊界防護時難以進行對應(yīng)操作。
? 邏輯網(wǎng)絡(luò)安全區(qū)域和物理網(wǎng)絡(luò)區(qū)域的概念不清，相互混用，無法明確指出兩者之間的相互關(guān)系。
改進的安全區(qū)域劃分方法- 層次型安全區(qū)域劃分方法
借鑒 B/S 結(jié)構(gòu)應(yīng)用系統(tǒng)對外提供服務(wù)的層次關(guān)系，采用層次分析的方法，將數(shù)據(jù)網(wǎng)絡(luò)劃分成核心數(shù)據(jù)層、應(yīng)用表述層、網(wǎng)絡(luò)控制層、用戶接入層 4 個不同的安全等級，從核心數(shù)據(jù)層到用戶接入層安全等級遞減。不同安全層次等級之間由于存在較大安全級差，需要通過防火墻實施物理隔離和高級別防護；同一安全等級層次內(nèi)的資源，根據(jù)對企業(yè)的重要性不同，以及面臨的外來攻擊威脅、內(nèi)在運維風險不同， 進一步劃分成多個安全區(qū)域， 每個區(qū)域之間利用防火墻、 IOS ACL、VLAN 實施邏輯、物理的隔離，形成一個垂直分層，水平分區(qū)的網(wǎng)絡(luò)安全區(qū)域模型。