運(yùn)用動(dòng)態(tài)安全域保護(hù)企業(yè)網(wǎng)的方法

網(wǎng)絡(luò)安全域是指同一系統(tǒng)內(nèi)有相同的安全保護(hù)需求、相互信任，并具有相同的安全訪問(wèn)控制和邊界控制策略的子網(wǎng)或網(wǎng)絡(luò)，相同的網(wǎng)絡(luò)安全域共享一樣的安全策略。網(wǎng)絡(luò)安全域從廣義上可理解為具有相同業(yè)務(wù)要求和安全要求的IT系統(tǒng)要素的集合。

　　網(wǎng)絡(luò)安全域從大的方面一般可劃分為四個(gè)部分：本地網(wǎng)絡(luò)、遠(yuǎn)程網(wǎng)絡(luò)、公共網(wǎng)絡(luò)、伙伴訪問(wèn)。傳統(tǒng)的安全域之間需要設(shè)置防火墻以進(jìn)行安全保護(hù)。本地網(wǎng)絡(luò)域的安全內(nèi)容有：桌面管理、應(yīng)用程序管理、用戶賬號(hào)管理、登錄驗(yàn)證管理、文件和打印資源管理、通信通道管理以及災(zāi)難恢復(fù)管理等與安全相關(guān)的內(nèi)容。遠(yuǎn)程網(wǎng)絡(luò)域的安全內(nèi)容為：安全遠(yuǎn)程用戶以及遠(yuǎn)程辦公室對(duì)網(wǎng)絡(luò)的訪問(wèn)。公共網(wǎng)絡(luò)域的安全內(nèi)容為：安全內(nèi)部用戶訪問(wèn)互聯(lián)網(wǎng)以及互聯(lián)網(wǎng)用戶訪問(wèn)內(nèi)網(wǎng)服務(wù)?；锇樵L問(wèn)域的安全內(nèi)容為：保證企業(yè)合作伙伴對(duì)網(wǎng)絡(luò)的訪問(wèn)安全，保證傳輸?shù)目煽啃砸约皵?shù)據(jù)的真實(shí)性和機(jī)密性。

　　一個(gè)大的安全域還可根據(jù)內(nèi)部不同部分的不同安全需求，再劃分為很多小的區(qū)域。一般在劃分安全域之前，還應(yīng)先把所有的計(jì)算機(jī)進(jìn)行分組。分好組后，再把各個(gè)組放到相應(yīng)的區(qū)域中去，如邊界DNS和邊界Web，都可放到邊界防護(hù)區(qū)域(即所謂的DMZ區(qū)域)中去。為了更為細(xì)粒度地對(duì)網(wǎng)絡(luò)進(jìn)行訪問(wèn)控制，在劃分安全域后，可以繼續(xù)在安全域下劃分若干子安全域，子安全域不能單獨(dú)創(chuàng)建，必須屬于某個(gè)安全域，子安全域之間可以互相重疊。計(jì)算機(jī)分組并劃分到不同的安全區(qū)域中后，每個(gè)區(qū)域再根據(jù)分組劃分為幾個(gè)子網(wǎng)。每個(gè)組的安全性要求和設(shè)置是不一樣的。區(qū)域劃分后，就可設(shè)計(jì)不同區(qū)域間的通信機(jī)制，如允許和拒絕的通信流量、通信安全要求以及技術(shù)、端口開(kāi)禁等。如公網(wǎng)到核心網(wǎng)通信，必須通過(guò)VPN，并且要通過(guò)雙因子驗(yàn)證(需要智能卡、口令)進(jìn)行身份驗(yàn)證，身份合法后再采用IP Sec進(jìn)行加密通信。歡迎轉(zhuǎn)載，本文來(lái)自電子發(fā)燒友網(wǎng)(www.elecfans.com)

　　傳統(tǒng)安全域的訪問(wèn)管理

　　在基于傳統(tǒng)安全域的訪問(wèn)控制體系模型中，有以下幾個(gè)主要模塊：

　　• ID管理模塊：用戶信息管理模塊，提供用戶信息的添加、刪除和修改等功能，集中管理企業(yè)網(wǎng)絡(luò)中的用戶，同時(shí)，可以將用戶按權(quán)限進(jìn)行分組、分角色，進(jìn)而利用組和角色對(duì)特定用戶集合進(jìn)行管理;

　　•安全域管理模塊：管理用戶劃分的安全域和子安全域信息，用戶可以添加、刪除和修改安全域以及子安全域，可以配置安全域之間的訪問(wèn)控制關(guān)系，比如在訪問(wèn)安全域A的時(shí)候，不能同時(shí)訪問(wèn)安全域B等;

　　•訪問(wèn)策略管理模塊：管理用戶與安全域、子安全域之間的訪問(wèn)控制關(guān)系，定義用戶在什么時(shí)間、什么地點(diǎn)可以訪問(wèn)哪些安全域等;

　　•Web服務(wù)管理：為用戶提供Web服務(wù)，用戶通過(guò)Web服務(wù)進(jìn)行身份認(rèn)證以及安全域的訪問(wèn)和退出等;

　　•通信平臺(tái)：主要是通過(guò)SSH、Telnet對(duì)防火墻進(jìn)行配置，為用戶打開(kāi)指定的ACL訪問(wèn);

　　•探測(cè)模塊：探測(cè)用戶PC是否在線，探測(cè)方式可以采用ARP、ICMP、SAMBA等協(xié)議。

　　在基于傳統(tǒng)安全域的訪問(wèn)控制體系下，用戶接入網(wǎng)絡(luò)、訪問(wèn)網(wǎng)絡(luò)資源的步驟如下：

　　•第0步：用戶接入網(wǎng)絡(luò)，直接訪問(wèn)安全域失敗，因?yàn)榉阑饓CL默認(rèn)禁止用戶訪問(wèn)此安全域;

　　•第1步：用戶通過(guò)Web瀏覽器訪問(wèn)安全域管理服務(wù)器IP或URL;

　　•第2步：用戶在身份認(rèn)證頁(yè)面輸入身份信息，安全域管理服務(wù)器對(duì)用戶進(jìn)行認(rèn)證，認(rèn)證成功則繼續(xù)，認(rèn)證失敗需重新認(rèn)證;

　　•第3步：用戶認(rèn)證成功后，安全域管理服務(wù)器利用管理員配置的訪問(wèn)策略將用戶可訪問(wèn)域顯示給用戶;

　　•第4、5步：用戶選擇登錄其要訪問(wèn)的安全域，安全域管理服務(wù)器通過(guò)網(wǎng)絡(luò)連接開(kāi)啟用戶PC對(duì)安全域(或子安全域)的ACL;

　　•第6步：用戶成功訪問(wèn)其登錄的安全域;

　　•第7步：當(dāng)用戶退出安全域后，安全域管理服務(wù)器將下發(fā)給防火墻的ACL撤銷。同時(shí)，如果在線探測(cè)模塊探測(cè)到用戶下線或者用戶IP-MAC發(fā)生改變的時(shí)候，也會(huì)撤銷其為此IP下發(fā)的ACL。

　　動(dòng)態(tài)安全域助力大型企業(yè)

　　基于傳統(tǒng)安全域的訪問(wèn)控制體系模型是企業(yè)網(wǎng)在發(fā)展過(guò)程中形成的通用模式，在中小型企業(yè)、業(yè)務(wù)專業(yè)性較強(qiáng)和地域分布不廣的大中型企業(yè)中都有很好的實(shí)現(xiàn)。但在業(yè)務(wù)高度復(fù)雜、地域高度分散且地域及業(yè)務(wù)均呈交叉狀、人員眾多的大型或超大型企業(yè)集團(tuán)中，信息系統(tǒng)廣泛采用分布式或集中分布式部署，傳統(tǒng)的安全域模型結(jié)構(gòu)也被大量復(fù)制，其總部結(jié)構(gòu)和分支機(jī)構(gòu)安全域模型交叉，隨著人員業(yè)務(wù)變化性的增強(qiáng)和企業(yè)重組或業(yè)務(wù)快速膨脹，承載網(wǎng)和業(yè)務(wù)網(wǎng)邊界日益模糊，訪問(wèn)管理模型也隨之日益復(fù)雜，安全域或安全子域的變化頻繁，ACL控制或基礎(chǔ)安全策略日益膨脹，隨之帶來(lái)的管控復(fù)雜性使網(wǎng)絡(luò)管理員面臨巨大工作量和智力挑戰(zhàn)。某大型企業(yè)集團(tuán)早在2005年就開(kāi)始實(shí)施安全域，但隨著上述情況的出現(xiàn)，安全域邊界不斷變化，其安全域逐步變化成為30多個(gè)，子域多達(dá)上百個(gè)，其核心交換機(jī)上的ACL就達(dá)1000余條，矩陣分離表的邏輯性也逐漸完全不可讀，最終導(dǎo)致其安全域劃分的失敗。

　　安全域的核心就是通過(guò)一系列的規(guī)則控制，達(dá)到特定網(wǎng)絡(luò)群組按照指定規(guī)則訪問(wèn)指定群組的關(guān)系，其組群需要具有相同的安全訪問(wèn)控制和邊界控制策略的子網(wǎng)或網(wǎng)絡(luò)。傳統(tǒng)模型較為容易在集中部署的單一結(jié)構(gòu)中實(shí)現(xiàn)，其組群成員的權(quán)責(zé)變化一般也需要對(duì)相應(yīng)規(guī)則做調(diào)整。假定將組群成員動(dòng)態(tài)的變化和子域調(diào)整與子網(wǎng)劃分動(dòng)態(tài)結(jié)合，就可以實(shí)現(xiàn)基于傳統(tǒng)復(fù)雜安全域結(jié)構(gòu)上的動(dòng)態(tài)調(diào)整，從而實(shí)現(xiàn)基于傳統(tǒng)安全域基礎(chǔ)上的動(dòng)態(tài)安全域的模型結(jié)構(gòu)。

　　在基于動(dòng)態(tài)安全域的訪問(wèn)控制體系下，用戶接入網(wǎng)絡(luò)、訪問(wèn)網(wǎng)絡(luò)資源的步驟如下：

　　•第0步：用戶接入網(wǎng)絡(luò)，直接訪問(wèn)安全域失敗，因?yàn)閺?qiáng)制器沒(méi)有通知接入交換機(jī)打開(kāi)網(wǎng)絡(luò)端口，默認(rèn)用戶訪問(wèn)隔離域A，做身份申請(qǐng);

　　•第1步：用戶身份認(rèn)證成功，強(qiáng)制器打開(kāi)接入端口，做安全合規(guī)性檢測(cè)，默認(rèn)訪問(wèn)隔離域B，做安全合規(guī)性完善;

　　•第2步：合規(guī)性檢查通過(guò)，用戶從隔離域B中劃出到公共訪問(wèn)域;

　　•第3步：用戶身份信息傳送給安全域管理服務(wù)器，安全域管理服務(wù)器訪問(wèn)服務(wù)域控制器，服務(wù)域控制器從人力資源數(shù)據(jù)庫(kù)權(quán)責(zé)矩陣同步列表中生成用戶安全域列表，并通知用戶;

　　•第4步：用戶選擇登錄其要訪問(wèn)的服務(wù)，安全域控制器根據(jù)安全域列表，通知網(wǎng)管控制域服務(wù)器，網(wǎng)管控制器通知網(wǎng)絡(luò)交換域;

　　•第5步：網(wǎng)絡(luò)交換域生成控制列表，生成VLAN及VCL組合，通知交換設(shè)備，生成訪問(wèn)域控制隔離通道;

　　•第6步：服務(wù)控制服務(wù)器通過(guò)交換域，通知相應(yīng)安全域做對(duì)應(yīng)權(quán)責(zé)匹配;

　　•第7步：用戶訪問(wèn)所需安全域的服務(wù);

　　•第8步：當(dāng)用戶退出安全域后，安全域管理服務(wù)器將下發(fā)給交換用戶的VLAN及ACL撤銷。同時(shí)，如果在線探測(cè)模塊探測(cè)到用戶下線或者用戶進(jìn)行危險(xiǎn)性違規(guī)性操作或IP-MAC發(fā)生改變的時(shí)候，也會(huì)通知交換域撤銷其為此身份下發(fā)的IP、VLAN及ACL，進(jìn)行隔離;如果在線探測(cè)模塊探測(cè)到用戶進(jìn)行攻擊性或高危破壞性操作，通知交換域撤銷其為此身份下發(fā)的IP、VLAN及ACL，并同時(shí)關(guān)閉端口避免入侵破壞。

　　安全域是基于網(wǎng)絡(luò)和系統(tǒng)進(jìn)行安全檢查和評(píng)估的基礎(chǔ)，安全域的劃分是企業(yè)網(wǎng)絡(luò)抗?jié)B透的有效防護(hù)方式，安全域邊界是災(zāi)難發(fā)生時(shí)的抑制點(diǎn)，同時(shí)安全域也是基于網(wǎng)絡(luò)和系統(tǒng)進(jìn)行安全建設(shè)的部署依據(jù)。動(dòng)態(tài)安全域在傳統(tǒng)安全域常規(guī)手段的基礎(chǔ)上，將網(wǎng)絡(luò)成員權(quán)責(zé)與安全子域和子網(wǎng)劃分動(dòng)態(tài)結(jié)合，同時(shí)將網(wǎng)絡(luò)動(dòng)態(tài)接入和用戶權(quán)責(zé)矩陣有機(jī)結(jié)合，成為大型或超大型企業(yè)網(wǎng)絡(luò)的有效管控手段。當(dāng)然，上述安全域管理系統(tǒng)也有需要改進(jìn)的部分，如網(wǎng)絡(luò)設(shè)備的動(dòng)態(tài)管控。由于網(wǎng)絡(luò)設(shè)備廠商的多樣化導(dǎo)致命令處理十分復(fù)雜，此模型對(duì)網(wǎng)絡(luò)設(shè)備具有較高要求，并需要網(wǎng)絡(luò)設(shè)備一致性或大量針對(duì)性網(wǎng)絡(luò)控制的二次開(kāi)發(fā)，同時(shí)面臨構(gòu)架復(fù)雜、實(shí)施周期長(zhǎng)、成本較高等難題，主要原因是現(xiàn)如今還沒(méi)有這方面的業(yè)界或企業(yè)標(biāo)準(zhǔn)。不過(guò)隨著網(wǎng)絡(luò)安全的進(jìn)一步發(fā)展，這方面問(wèn)題有望得到改善。