Day16-03｜4.1.3 网络安全：在连接、访问与流量中建立可信边界

本文对应《系统架构设计师教程（第2版）》第4章“信息安全技术基础知识”4.1.3“网络安全”。网络安全不是简单部署防火墙，而是对网络连接、通信主体、访问路径、流量行为和基础设施进行持续保护，保障信息在网络环境中的机密性、完整性、可用性和可控性。

一、学习目标

完成本节后，应能够：

1. 识别网络安全的保护对象、攻击面和常见威胁；
2. 说明边界防护、网络分区、访问控制和通信加密的作用；
3. 理解防火墙、入侵检测、入侵防御、VPN、堡垒机和零信任的定位；
4. 设计网络监测、事件响应、隔离、恢复和高可用方案；
5. 在案例和论文中把网络安全要求落实为可验证的架构措施。

二、网络安全的基本认识

网络是系统之间交换数据和调用服务的通道。网络安全关注终端、服务器、云资源、网络设备、应用接口、无线接入、远程访问和第三方连接，防止未经授权的访问、窃听、篡改、伪造、拒绝服务和横向扩散。

传统网络安全往往把网络分为“内网”和“外网”，认为进入内网后就可以信任。现代系统具有云化、移动化、服务化和多组织协同特征，用户、设备、服务和数据可能分布在不同网络位置，因此安全边界需要从物理网段扩展到身份、设备、应用和数据。

三、网络安全的核心属性

网络通信中的机密性要求第三方无法直接读取传输内容，通常通过TLS、VPN、链路加密和应用层加密实现；完整性要求消息在传输中没有被无授权修改，可以使用消息认证码、数字签名、序列号和重放保护；真实性要求通信双方能够确认对方身份，依赖证书、密钥、令牌和双向认证；可用性要求网络和服务在需要时可达，依赖冗余链路、负载均衡、限流、抗攻击和故障切换。

安全设计不能只关注“能不能连通”。一个接口即使能够访问，如果没有鉴权和加密，机密性与完整性无法保证；一个系统即使部署了防火墙，如果内部服务之间无限互信，攻击者获得一个低权限账号后仍可能横向移动。

四、网络分区与边界防护

网络分区是把不同安全等级、业务职责和访问关系的资源放在不同区域，并通过受控通道通信。常见区域包括互联网接入区、DMZ、应用区、数据区、管理区、办公区、开发测试区和灾备区。

DMZ通常放置对外提供服务的反向代理、网关和公共应用，避免外部请求直接进入内部核心网络；应用区放置业务服务；数据区放置数据库和存储；管理区放置跳板机、堡垒机和监控服务；开发测试区与生产区隔离；灾备区与主中心保持必要同步但不应完全暴露。

分区不能只靠IP地址。云环境、容器和微服务中，资源地址可能动态变化，需要结合安全组、网络策略、服务身份和标签实现微隔离。每条跨区访问都应明确来源、目标、端口、协议、调用主体、用途和日志记录，默认拒绝不必要连接。

边界防护包括防火墙、Web应用防火墙、API网关、反向代理、入侵防御、抗DDoS和安全接入服务。每种设备解决的问题不同，不能用防火墙代替应用鉴权，也不能用WAF保护所有非Web协议。

五、防火墙与访问控制

防火墙根据地址、端口、协议、状态和应用特征控制网络流量。传统包过滤关注IP和端口，状态检测跟踪连接状态，应用防火墙可以识别更高层协议和攻击特征。规则应遵循最小开放、明确来源和目标、默认拒绝以及定期复核原则。

规则管理要有申请、审批、实施、验证、到期和回收流程。临时开放的端口必须有失效时间，生产环境不能长期保留测试规则。规则变更要记录申请人、审批人、原因、影响和结果。大量无效或重复规则会增加误配和安全风险。

网络访问控制还要与身份和业务权限结合。IP地址只能说明网络位置，不能完整说明访问主体。对于管理操作、敏感接口和跨组织服务，应使用用户或服务身份鉴权、证书、令牌和细粒度授权。

六、网络攻击与威胁

常见网络攻击包括端口扫描、漏洞利用、口令攻击、中间人攻击、会话劫持、拒绝服务、DNS劫持、路由欺骗、恶意软件传播和横向移动。攻击者可能从互联网入口、远程办公、供应商连接、终端或云配置错误进入系统。

攻击通常具有阶段性：侦察、初始访问、执行、持久化、提权、横向移动、数据收集和外传。防御架构要在多个阶段设置检测和阻断点。单点设备拦截失败后，应通过身份异常、流量异常、主机行为、敏感数据访问和日志关联发现攻击。

供应链风险也属于网络安全。第三方组件、远程运维、外包账号、软件更新和云服务都可能成为入口。与供应商互联要限制网络范围、账号权限、访问时间和操作对象，必要时使用专用通道、堡垒机和全程审计。

七、通信加密与安全协议

通信加密可以发生在链路层、网络层、传输层和应用层。VPN常用于构建受保护的远程或站点间通道；TLS通常保护应用通信；应用层签名可以保证消息来源和内容完整性。加密协议的选择要结合性能、兼容性、证书管理和密钥轮换。

证书体系需要管理申请、签发、部署、更新、吊销和过期。服务之间可以采用双向TLS确认双方身份，外部接口要验证证书链和域名，不能为了方便关闭证书校验。证书和私钥不能写入镜像或代码仓库，应使用安全密钥存储。

通信安全还要防止重放、降级和会话劫持。消息可以使用时间戳、随机数、序列号和签名；重要操作需要短期令牌和二次认证；旧协议和弱密码套件要逐步禁用。错误信息不能暴露内部拓扑和敏感配置。

八、VPN、远程访问与堡垒机

VPN为远程用户或分支机构提供加密通信，但VPN连入并不代表用户可以访问整个内网。远程访问应结合多因素认证、终端安全检查、设备可信、网络分区和最小权限。

堡垒机或跳板机集中管理管理员和运维人员访问生产资源。它可以实现账号托管、命令审计、会话录像、审批授权、时间限制和高风险操作拦截。堡垒机本身不是万能的，应用和数据库仍要进行独立鉴权，服务账号也要纳入密钥和权限管理。

远程办公终端可能处于不可信网络，访问敏感系统时应采用短期授权、受控终端、虚拟桌面或禁止本地复制。供应商远程维护要设置工单、时间窗、目标设备和责任人，结束后立即回收权限。

九、入侵检测与入侵防御

入侵检测系统（IDS）侧重发现和告警，可以分析网络流量、主机行为和攻击特征；入侵防御系统（IPS）能够在检测后主动阻断或丢弃流量。检测可以采用特征匹配、异常行为、规则关联和威胁情报。

检测系统需要处理误报和漏报。只追求告警数量会让运维人员疲劳，必须按照资产重要性、攻击阶段、行为关联和风险等级进行聚合和排序。核心数据库被异常查询、管理员账号在异常时间登录、服务间流量突然增加，往往需要结合多个信号分析。

安全信息与事件管理平台可以集中采集防火墙、WAF、主机、数据库、身份、应用和云平台日志，进行关联、告警、调查和审计。日志传输要加密，时间要同步，重要日志要防篡改，并设置合理的保留期限。

十、零信任与服务间安全

零信任的核心思想是默认不信任、持续验证和最小授权。它不以网络位置作为唯一信任依据，而是综合用户身份、设备状态、应用、资源、行为、时间和风险进行访问判断。

在微服务和云环境中，服务之间也不能因为位于同一集群就互相信任。每次调用要进行服务身份认证和授权，使用服务网格、双向TLS、API网关或统一鉴权服务实现；敏感操作要记录调用链和主体；服务账号要有独立身份和短期凭证。

零信任不是购买一个产品，而是身份、设备、网络、应用和数据控制方式的组合。引入零信任时要考虑遗留系统兼容、性能、可用性和应急绕行，不能让认证中心故障导致所有业务不可用。

十一、网络高可用与抗攻击

网络可用性需要消除单点，包括双链路、双设备、负载均衡、DNS冗余、跨可用区部署、故障探测和自动切换。关键网络设备配置要备份，切换要演练，路由和防火墙变更要可回退。

抗DDoS可以采用流量清洗、运营商协同、边缘分发、限流、黑白名单和服务降级。应用层攻击需要WAF、API限流、验证码、业务风控和资源配额。高峰期应优先保护登录、下单、支付和应急等核心服务，关闭或降级非核心功能。

高可用与安全要联合设计。过度开放备用链路可能扩大攻击面，故障切换后规则和证书可能不一致，灾备环境可能缺少最新安全补丁。灾备切换检查项必须包含网络策略、身份、密钥、日志和监控。

十二、网络安全运营与事件响应

网络安全不是上线一次性完成。安全运营包括资产发现、漏洞管理、配置基线、补丁、账号审查、流量监测、告警处置、威胁分析和演练。资产不清楚，就无法知道哪些端口、服务和设备需要保护。

事件响应流程通常包括发现、确认、分级、遏制、根除、恢复、取证和复盘。遏制可以隔离主机、阻断账号、封禁地址或暂停接口；根除需要修复漏洞、清理恶意程序、轮换密钥和重建可信环境；恢复要验证数据、配置、权限和业务功能；复盘要改进检测规则和架构控制。

十三、案例分析：工业互联网平台网络安全

某工业互联网平台连接工厂设备、边缘网关、云端应用、供应商运维网络和企业办公网。近期出现供应商账号被盗、设备异常通信和云端接口被扫描的问题。

建议将生产控制网、设备接入区、边缘区、平台应用区、数据区、办公区和供应商远程接入区分区隔离；设备和网关使用独立身份，禁止默认密码和任意出站；供应商通过多因素认证、堡垒机、工单和时间窗访问指定设备；云端API通过网关鉴权、限流、WAF和业务权限控制；服务之间采用双向认证和最小权限；关键数据传输加密并记录设备、用户和服务主体；部署网络检测和主机监控，关联账号、流量和设备异常；发生异常时能够隔离设备、吊销供应商账号、轮换凭证和保留取证；生产网络提供冗余链路和应急控制，安全设备故障时不能导致关键生产完全中断。

十四、综合知识练习

选择题1

网络分区的主要目的不是（ ）。

A. 限制访问范围 B. 降低横向移动风险 C. 让所有区域互相完全开放 D. 隔离不同安全等级资源

答案：C。解析：网络分区要求受控通信和最小开放，而不是完全开放。

选择题2

零信任架构的基本思想是（ ）。

A. 内网天然可信 B. 只验证一次身份 C. 默认不信任、持续验证、最小授权 D. 取消所有访问控制

答案：C。解析：零信任不以网络位置作为唯一依据，强调持续验证和动态授权。

简答题

请说明IDS与IPS的主要区别，以及二者在网络安全体系中的作用。

参考答案：IDS主要通过流量、主机行为和攻击特征发现异常并告警，偏重检测和分析；IPS在检测基础上能够主动阻断、丢弃或隔离风险流量，偏重实时防御。二者都不能代替身份认证、应用鉴权、数据保护和安全运营，应与防火墙、WAF、日志平台、终端防护和事件响应协同使用。

十五、论文素材与今日复盘

论文可写：“在网络安全架构中，我按照业务边界和风险等级划分互联网接入、DMZ、应用、数据、管理、办公和灾备区域，采用默认拒绝、最小开放和定期复核的访问策略。对远程运维实施多因素认证、堡垒机、工单授权和全程审计，对服务间调用采用独立身份、双向认证和最小权限；通过加密通信、入侵检测、日志关联、流量分析和应急隔离形成纵深防御，并通过冗余链路、故障切换和灾备演练保障安全与可用性的平衡。”

今日复盘：网络安全保护的是连接、访问和流量；分区隔离、通信加密、身份控制和持续监测要共同工作；零信任强调持续验证，安全运营强调发现、响应、恢复和复盘。4.1 信息安全基础知识 完成，下一篇进入 4.2 信息安全体系架构。