Day37-14｜18.4.2 信息安全整体架构设计：从分层控制到业务可信运行

对应教材：第 18 章安全架构设计理论与实践——18.4.2 信息安全整体架构设计
学习定位：掌握信息安全整体架构的设计步骤和关键视图，将业务、治理、身份、网络、主机、应用、数据、密码、运营和恢复能力整合起来，能够完成企业级安全架构案例分析。

一、什么是信息安全整体架构

信息安全整体架构是面向组织和信息系统全局，以业务安全目标和风险约束为基础，对安全治理、组织责任、业务流程、数据、身份、网络、主机、应用、基础设施、安全运营和灾备恢复进行统一设计的体系结构。

它与单项安全设计的区别在于“整体”：

安全域不是孤立的网络拓扑，而要与业务和数据流对应；身份不是单点登录，而要贯穿员工、设备、服务和权限生命周期；日志不是一个存储平台，而要支撑检测、响应、审计和恢复；备份不是简单复制文件，而要与勒索防护、密钥、配置和业务恢复顺序结合。

整体架构的目标可以表达为：

在可接受的风险、成本和复杂度下，使正确的主体在正确的时间，以正确的权限访问正确的资源，并能够发现、阻断、追踪和恢复异常行为。

二、整体架构设计的输入

2.1 业务和组织输入

包括组织战略、关键业务、服务等级、业务影响分析、客户和供应商关系、地域分布、人员角色和责任。安全架构必须知道业务最不能承受什么：数据泄露、业务中断、错误交易、生产停机还是合规处罚。

2.2 信息和数据输入

包括数据分类、敏感程度、数据流、存储位置、共享关系、跨域传输、备份和保留期限。数据流决定安全边界、加密、脱敏、审计和导出控制的位置。

2.3 技术和运行输入

包括应用、网络、云、主机、容器、设备、数据库、接口、身份平台、日志、密码和灾备现状。整体架构不能脱离现有技术和迁移条件，需要识别遗留系统与新平台之间的边界。

2.4 威胁和合规输入

包括攻击面、历史事件、漏洞、供应链、法律法规、监管要求、行业标准、合同和内部安全基线。要区分强制要求、风险驱动要求和可选增强能力。

三、整体架构设计原则

3.1 业务安全与技术安全统一

安全目标要用业务可理解的结果描述，再映射成技术控制。例如“客户订单不可被篡改”需要落到身份、交易完整性、审计、数据库权限、备份和对账；“生产不能中断”需要落到网络冗余、边缘自治、故障切换、降级和恢复演练。

3.2 分层防御与边界控制

在治理、身份、网络、主机、应用、数据和运营层设置互补控制。任何一层失效时，其他层能够限制影响、发现异常或支持恢复。

3.3 统一策略与分域实施

企业需要统一身份、密码、日志、审计、数据分类和安全基线，但不同业务域要按风险和连续性要求实施差异化控制。生产区不能简单照搬办公区的扫描和阻断策略。

3.4 默认不信任与最小权限

主体、设备、服务和网络位置都不能自动获得全部信任。访问需要经过身份、设备、资源、操作和环境判断；权限应最小、临时、可复核和可回收。

3.5 安全可用与故障安全

安全平台和控制组件也可能故障。整体架构要为身份服务、策略中心、日志、密钥、网络安全设备和备份平台定义故障模式，按业务等级选择拒绝、有限运行或受控降级。

3.6 可观测、可审计、可恢复

架构设计必须让关键安全状态可见、关键操作可追溯、关键数据和配置可恢复。没有日志、指标、演练和证据的控制，无法证明整体架构真正有效。

四、整体架构的核心视图

4.1 业务安全视图

描述关键业务、用户、服务等级、业务流程、关键依赖和不可接受影响。该视图用于确定资产优先级、RTO、RPO、访问控制和安全投资。

4.2 组织与治理视图

描述安全委员会、业务负责人、数据负责人、系统负责人、平台团队、安全运营、审计和供应商的职责关系。包括制度、审批、例外、风险接受和审计机制。

4.3 身份与访问视图

描述人员、客户、设备、服务和自动化主体，认证、授权、权限、会话、MFA、PAM、动态访问、职责分离和生命周期。

4.4 数据与信息流视图

描述数据分类、生成、处理、传输、存储、共享、备份、归档和销毁，标出敏感数据、跨域流动和保护措施。

4.5 网络与安全域视图

描述互联网、DMZ、办公、生产、研发、数据、管理、云、边缘、物联网和备份区域，标出信任边界、访问路径、控制设备和故障域。

4.6 应用与平台视图

描述应用、服务、接口、消息、数据库、容器、云资源和第三方系统，标出身份、授权、加密、API、供应链和运行时控制。

4.7 运营与恢复视图

描述资产、漏洞、配置、日志、威胁、告警、响应、备份、恢复、演练和复盘流程。该视图要能说明一个事件发生后谁在什么时间执行什么动作。

五、身份与访问架构设计

5.1 身份统一

统一目录或身份联邦管理人员、客户、供应商、设备和服务身份。账号的创建、变更、转岗、离职、供应商项目结束和服务退役都应有自动或可审计流程。

5.2 认证分级

根据资源敏感度和操作风险采用密码、证书、多因素、生物特征、硬件令牌或设备可信证明。高权限、远程维护、批量导出和生产变更使用更强认证。

5.3 授权模型

组合 RBAC、ABAC、资源策略、Chinese Wall、职责分离和临时授权。权限决策要考虑主体、资源、动作、环境、设备、租户和风险，访问结果要可解释和可审计。

5.4 管理员和服务身份

管理员使用独立账号和跳板机，禁止共享；服务账号采用短期凭据、密钥托管和自动轮换；自动化任务使用最小权限和特定范围，不能复用人的超级账号。

六、网络与安全域架构设计

6.1 分区原则

按业务、数据、信任等级、访问模式和故障域划分区域。常见区域包括互联网接入、DMZ、办公、生产、应用、数据库、管理、备份、云和第三方接入。

6.2 边界控制

在区域之间使用防火墙、网关、代理、微隔离、服务网格或单向交换控制访问。策略以默认拒绝和最小权限为基础，记录主体、源、目的、应用、端口、时间和审批。

6.3 东西向控制

关键数据中心和云环境要限制内部横向移动。可以按照租户、应用、服务角色、标签和身份设置微隔离，监控异常扫描、凭据复用和批量访问。

6.4 管理面与控制面

管理网络、控制器、配置平台、时间同步、日志和密钥服务应与业务流量隔离并重点保护。管理面被攻陷可能导致全网策略和设备被控制。

七、应用、数据和密码架构设计

7.1 应用安全

在需求、设计、开发、测试、发布和运行全生命周期中实施威胁建模、代码审查、依赖扫描、接口鉴权、输入校验、限流、防重放和业务风控。核心业务服务应对关键操作执行二次授权和幂等控制。

7.2 数据安全

建立数据目录和分类分级，控制查询、导出、共享、复制、备份和销毁。敏感数据采用传输和存储加密，测试环境使用脱敏或合成数据，日志和缓存不能无意记录敏感信息。

7.3 密码和密钥

统一管理证书、密钥、签名和加密服务，覆盖生成、存储、使用、轮换、吊销、备份、恢复和销毁。密钥管理系统应跨故障域部署，关键密钥恢复需要职责分离和双人控制。

八、安全运营和恢复架构

8.1 统一监控

接入身份、网络、主机、终端、应用、数据库、云、容器和业务探针，统一时间、资产、主体和责任人。安全运营要同时观察技术事件和业务异常。

8.2 事件响应

建立告警分级、事件单、应急剧本、隔离、吊销、阻断、证据、沟通和复盘流程。自动化响应要有审批边界、范围、有效期和回滚。

8.3 备份与灾备

备份与生产隔离，采用不可变副本、加密、权限分离和恢复验证。灾备架构要明确不同业务的 RTO、RPO、切换方式、恢复顺序和演练频率。

8.4 安全降级

身份平台、策略中心、日志或安全设备故障时，不同业务采取不同策略：关键查询可以使用有限有效会话，高风险操作暂停，生产控制可以转入本地安全模式，所有应急访问加强审计。

九、整体架构与 WPDRRC 的关系

整体架构可以用 WPDRRC 检查完整性：

预警：威胁情报、资产暴露、漏洞和风险评分；

保护：身份、网络、主机、应用、数据、密码和备份；

检测：日志、流量、终端、行为和业务探针；

响应：告警分级、编排、隔离、吊销、阻断和沟通；

恢复：备份、重建、灾备、配置、密钥和业务降级；

反制：取证、修复、封堵、追责、规则更新和架构改进。

如果整体架构图只有防护组件，没有检测、响应和恢复路径，说明架构不完整；如果有运营平台但没有身份、资产和责任数据，说明闭环无法运行。

十、整体架构中的接口与数据流

安全架构最容易被忽略的是平台之间的接口。至少要明确：

IAM 向网络、应用、数据和运营平台提供哪些主体和权限信息。
CMDB 向漏洞、告警和响应平台提供哪些资产和责任信息。
日志平台如何关联账号、设备、应用、数据和事件。
SOAR 如何调用终端隔离、账号吊销、策略更新和工单系统。
备份、密钥和灾备平台如何在恢复时进行身份和完整性校验。
云、第三方和工业平台的责任边界、数据范围和接口权限是什么。

接口要定义认证、授权、格式、时效、失败、重试、幂等、审计和隐私保护，不能只在架构图上画一条箭头。

十一、整体架构评估

11.1 安全性

检查关键资产、边界、主体、数据流和攻击路径是否有控制；是否存在绕过路径；策略是否符合最小权限；日志和证据是否足够。

11.2 可用性

检查身份、网络、密码、日志、安全设备和灾备的单点；故障时的运行模式；切换和恢复时间；安全控制是否会导致关键业务不可用。

11.3 性能

评估加密、检测、代理、审计、策略决策和数据脱敏对时延、吞吐、连接数和存储的影响。

11.4 可扩展性

评估新增用户、租户、设备、区域、云资源、接口和数据后，身份、策略、日志和运营平台是否能扩展。

11.5 可运维性

检查规则、证书、权限、漏洞、日志、备份和事件是否有责任人、自动化、审计、复核和回滚。

11.6 可恢复性

检查攻击或故障后是否可以恢复可信状态，是否有干净环境、不可变备份、密钥和配置恢复，以及业务降级和人工替代流程。

十二、案例分析：混合云制造企业整体安全架构

某制造集团在本地数据中心运行 ERP、MES 和数据库，在公有云部署供应链门户和数据分析平台，工厂使用工业控制、摄像头和物联网设备。员工和供应商需要远程访问，集团要求生产连续、客户数据保护和统一审计。

第一，业务和数据分级。ERP、MES 和工业控制按业务等级划分，客户、订单、生产和设备数据分类；生产控制、供应商访问、办公和云分析形成不同信任域。

第二，身份统一。员工、供应商、设备和服务接入统一身份，远程维护使用 MFA、跳板和临时授权；工业设备使用证书或设备身份，服务账号采用短期凭据和密钥托管。

第三，网络分区。本地划分互联网、DMZ、办公、应用、数据库、生产、管理和备份区；云侧划分公网、应用、数据和运维子网；本地与云通过加密互联和安全网关通信；办公不能直接访问生产控制。

第四，应用和数据保护。供应链门户使用 API 网关、WAF、身份和限流；MES 与工业设备之间采用协议代理和白名单；客户与订单数据加密、脱敏和导出审计；生产数据到云分析采用最小化和异步同步。

第五，安全运营。集中采集本地、云、工业网关、身份、数据库和应用日志；工业区采用被动检测和受控扫描；建立账号失陷、勒索、生产异常、供应商越权和云配置错误剧本。

第六，恢复和降级。ERP、MES 和生产控制分别定义 RTO/RPO；备份跨故障域保存并不可变；云或本地互联中断时，工厂边缘保持本地控制，云分析延迟；身份平台故障时暂停高风险远程维护，生产本地按有限策略运行。

第七，持续改进。通过资产覆盖、MFA、日志接入、漏洞修复、告警响应、生产可用性、恢复演练和供应商审计指标评估整体架构，重大业务和技术变化时重新评审。

十三、常见失分点

只画网络拓扑，不画身份、数据、运营和恢复。
只写安全设备，不写策略、责任、接口和证据。
只写事前防护，不写检测、响应、恢复和反制。
忽略云、工业、供应商、服务身份和数据副本。
没有说明安全平台故障和业务降级策略。
不评估性能、可用性、扩展性、运维和成本。

十四、今日必背清单

信息安全整体架构是业务、治理、身份、网络、主机、应用、数据、密码、运营和恢复的统一设计。
设计输入包括业务、数据、技术、威胁、合规、人员和供应商。
核心视图包括业务、组织、身份、数据、网络、应用、技术、运营和恢复。
架构要采用分层防御、最小权限、统一策略、分域实施、可观测和可恢复原则。
需要明确接口、数据流、责任、故障模式、回滚和审计。
WPDRRC 可用于检查整体架构是否覆盖预警到恢复的闭环。
整体架构评估应覆盖安全性、可用性、性能、扩展性、可运维性和可恢复性。
案例答题要将具体业务、区域、身份、数据、控制、运营和恢复串成一个体系。

十五、课后练习

练习一：单项选择

信息安全整体架构设计中，最合理的做法是（）。

A. 只设计互联网边界防火墙
B. 只对数据库加密，不考虑身份和网络
C. 将业务、数据、身份、网络、应用、运营和恢复能力统一设计
D. 先采购设备，再决定业务如何适配

练习二：判断题

安全平台自身故障属于运维问题，不需要在整体安全架构中设计故障模式。（）

练习三：简答题

请说明信息安全整体架构为什么需要同时设计数据流和责任流。

练习四：案例题

某企业已经部署防火墙、WAF、EDR、SIEM 和备份系统，但发生账号被盗后仍无法快速定位和恢复。请分析整体架构可能存在的问题，并提出改进方案。

十六、参考答案

练习一答案

答案：C。

解析：整体架构需要将业务、数据、主体、边界、技术、运营和恢复统一设计，不能由某一类设备替代。

练习二答案

答案：错误。

解析：身份、策略、日志、密钥和安全设备故障可能导致业务中断或安全控制失效，必须设计高可用、故障关闭、有限运行、应急访问、回滚和恢复。

练习三答案

参考答案：数据流说明数据从谁产生、经过哪些系统、进入哪里、如何共享和备份，决定安全域、加密、脱敏、访问、审计和恢复控制；责任流说明谁拥有资产、谁审批、谁实施、谁监控、谁响应和谁接受风险，决定策略能否执行和事件能否闭环。只有两者都清晰，架构才能既保护数据又保证有人负责。

练习四答案

参考答案：可能问题包括资产、账号、设备和日志没有统一关联；SIEM 只收集日志但缺少身份、资产和业务上下文；EDR、IAM、网络和工单未打通，无法自动吊销账号和隔离终端；备份存在但没有不可变保护、恢复顺序、密钥和配置验证；事件响应无分级、剧本和责任人；账号生命周期、MFA、PAM 和权限复核不足。

改进上应建立统一资产和身份底座，将账号、终端、业务、网络、漏洞和责任人关联；统一日志格式和时间，接入身份、云、应用、数据库和业务探针；为账号盗用建立检测和响应剧本，联动会话撤销、账号吊销、终端隔离和网络阻断；备份采用隔离与不可变副本，定期在干净环境恢复并核对配置、密钥和数据完整性；明确事件责任、时限、证据、沟通和复盘；通过 MFA、PAM、最小权限、临时授权和定期复核减少账号风险。

十七、今日复盘

请画一张完整安全架构图，至少包含：业务系统、用户与设备、身份平台、安全域、应用和数据库、日志与运营、备份与灾备、供应商，以及一条从“异常登录”到“检测—隔离—恢复—复盘”的闭环。画完后逐项检查是否存在没有责任人、没有日志或没有回退路径的控制。

下一篇继续 Day37-15：18.5.1 OSI 的安全体系架构概述。