宋金金 朱啟凡 顧國(guó)武

摘要：伴隨著信息化深入人們的日常生活，網(wǎng)絡(luò)安全變得尤為重要，網(wǎng)絡(luò)安全事件給政企單位帶來了巨大的壓力和損失，網(wǎng)絡(luò)安全對(duì)運(yùn)維人員的要求也越來越高，傳統(tǒng)的非體系化網(wǎng)絡(luò)安全防護(hù)已經(jīng)很難應(yīng)對(duì)日益變化的網(wǎng)絡(luò)攻擊方式。文章針對(duì)當(dāng)下嚴(yán)峻的網(wǎng)絡(luò)安全現(xiàn)狀及網(wǎng)絡(luò)安全工作存在的不足，構(gòu)建出基于物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用、數(shù)據(jù)、人員管理6個(gè)層面的縱深防御體系，提升政企網(wǎng)絡(luò)安全防護(hù)能力，為網(wǎng)絡(luò)安全建設(shè)提供參考。

關(guān)鍵詞：縱深防御；網(wǎng)絡(luò)安全；預(yù)警；防護(hù)

中圖分類號(hào)：TP399? 文獻(xiàn)標(biāo)志碼：A

1 基于縱深防御的網(wǎng)絡(luò)安全防護(hù)體系研究背景及目的

隨著日益嚴(yán)峻的網(wǎng)絡(luò)安全形勢(shì)的發(fā)展，《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》陸續(xù)出臺(tái)，保障網(wǎng)絡(luò)安全上升到了國(guó)家安全戰(zhàn)略。震網(wǎng)病毒破壞離心機(jī)、烏克蘭電網(wǎng)事件、2022年中國(guó)西北工業(yè)大學(xué)遭到網(wǎng)絡(luò)攻擊等事件的發(fā)生均給被攻擊當(dāng)事方帶來了巨大的損失。道高一丈，魔高一丈，傳統(tǒng)的以網(wǎng)絡(luò)安全邊界為重點(diǎn)的防御已經(jīng)顯得捉襟見肘，現(xiàn)有的防護(hù)體系已經(jīng)很難防御日益變化的攻擊手段，網(wǎng)絡(luò)安全變得越來越重要，這時(shí)基于縱深防御的網(wǎng)絡(luò)安全防護(hù)體系對(duì)網(wǎng)絡(luò)安全顯得尤為重要。

2 網(wǎng)絡(luò)安全防護(hù)問題及分析

2.1 物理層面安全問題及分析

物理安全是最基礎(chǔ)的安全，主要是做好防火、防水、供電、防雷、防盜等方面的安全，這是保證機(jī)房服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、電線、通信線纜等支撐信息化系統(tǒng)資產(chǎn)安全的基礎(chǔ)，在基于縱深防御的網(wǎng)絡(luò)安全防護(hù)體系中，只有做好物理安全，其他層面的安全才可以得到保障。當(dāng)前物理安全主要存在以下問題。

2.1.1 供電安全隱患

機(jī)房未配置UPS或未采用兩路市電，造成業(yè)務(wù)中斷或業(yè)務(wù)癱瘓；UPS質(zhì)量不合格導(dǎo)致火災(zāi)；未配置穩(wěn)壓器，電壓過高或過低、打雷導(dǎo)致斷電或電壓不穩(wěn)導(dǎo)致設(shè)備損壞。

2.1.2 消防安全問題

未部署消防系統(tǒng)，導(dǎo)致發(fā)生火災(zāi)無法滅火；氣體滅火器未定期檢測(cè)，以致產(chǎn)品過期導(dǎo)致滅火效果不佳；異物堆積、消防疏通管道占用等導(dǎo)致火災(zāi)，損失嚴(yán)重。

2.1.3 被盜竊和破壞的安全問題

機(jī)房未設(shè)置電子門禁措施，任何人均可進(jìn)入，導(dǎo)致機(jī)房設(shè)備被盜竊甚至被不法分子破壞。

2.1.4 防水、防潮、靜電、溫濕度安全問題

雨水通過機(jī)房窗戶、屋頂和墻壁滲透，導(dǎo)致設(shè)備損壞；機(jī)房?jī)?nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透，導(dǎo)致設(shè)備損壞；未采取措施防止靜電的產(chǎn)生，導(dǎo)致設(shè)備損壞；機(jī)房溫濕度過高或過低，導(dǎo)致設(shè)備損壞。

2.1.5 物理訪問控制安全問題

未做好機(jī)房進(jìn)出管理、未設(shè)置專人值守，導(dǎo)致陌生人進(jìn)入，產(chǎn)生安全隱患；未設(shè)置監(jiān)控，發(fā)生安全事件時(shí)，無法溯源問題。

2.2 網(wǎng)絡(luò)層面安全問題及分析

在基于縱深防御的網(wǎng)絡(luò)安全防護(hù)體系中，網(wǎng)絡(luò)層面是重中之重，網(wǎng)絡(luò)安全從名字就可以看出網(wǎng)絡(luò)的重要性，網(wǎng)絡(luò)是信息化的高速公路，一旦網(wǎng)絡(luò)高速公路出問題，信息化系統(tǒng)重則癱瘓，輕則網(wǎng)絡(luò)阻塞，不管出現(xiàn)哪種問題，都是比較嚴(yán)重的事故。當(dāng)前網(wǎng)絡(luò)安全主要存在以下問題。

2.2.1 網(wǎng)絡(luò)架構(gòu)問題

網(wǎng)絡(luò)架構(gòu)不合理，導(dǎo)致網(wǎng)絡(luò)收斂速度慢、可用性差；網(wǎng)絡(luò)中的區(qū)域劃分不合理，導(dǎo)致管理工作增加；內(nèi)網(wǎng)中業(yè)務(wù)區(qū)域未做隔離，導(dǎo)致遭受網(wǎng)絡(luò)攻擊時(shí)影響范圍增加。

2.2.2 網(wǎng)絡(luò)邊界問題

對(duì)于網(wǎng)絡(luò)邊界，通常認(rèn)為只有一個(gè)互聯(lián)網(wǎng)邊界，這是錯(cuò)誤的想法。網(wǎng)絡(luò)邊界不僅有互聯(lián)網(wǎng)邊界，也有內(nèi)部的邊界，比如常見的辦公區(qū)域與各服務(wù)器區(qū)域之間的邊界、其他區(qū)域與服務(wù)器區(qū)域之間的邊界，這些邊界在平時(shí)最容易被忽視；還存在關(guān)鍵信息系統(tǒng)直接部署在網(wǎng)絡(luò)邊界的問題，最終導(dǎo)致被攻擊。

2.2.3 訪問控制問題

互聯(lián)網(wǎng)存在不必要開放服務(wù)導(dǎo)致系統(tǒng)被攻擊；訪問控制策略做得不合理導(dǎo)致不該訪問區(qū)域網(wǎng)絡(luò)人員能訪問網(wǎng)絡(luò)；內(nèi)網(wǎng)服務(wù)器可以訪問網(wǎng)絡(luò)導(dǎo)致服務(wù)器風(fēng)險(xiǎn)增加。

2.2.4 入侵防護(hù)問題

缺乏應(yīng)用層面防護(hù)或者均部署了WAF，IPS等防護(hù)設(shè)備，但策略卻未開啟，導(dǎo)致無法對(duì)應(yīng)用系統(tǒng)進(jìn)行安全防護(hù)；同一路徑部署同等品牌設(shè)備，導(dǎo)致部分漏洞未被攔截；無法對(duì)用戶訪問互聯(lián)網(wǎng)的行為進(jìn)行審計(jì)，無法管控?zé)o線網(wǎng)絡(luò)私接等行為。

2.2.5 監(jiān)測(cè)預(yù)警問題

當(dāng)網(wǎng)絡(luò)發(fā)生攻擊事件或者網(wǎng)頁被掛馬、網(wǎng)頁被篡改時(shí)，大多數(shù)單位無法及時(shí)了解，只能被動(dòng)地等待，最終造成系統(tǒng)不可用，經(jīng)過被動(dòng)排查才發(fā)現(xiàn)已被攻擊，此時(shí)已經(jīng)造成實(shí)質(zhì)的網(wǎng)絡(luò)安全損失；還有可能在溯源時(shí)，發(fā)現(xiàn)日志數(shù)據(jù)缺失無法溯源。

2.3 主機(jī)層面安全問題及分析

主機(jī)安全包含服務(wù)器安全和終端安全，在基于縱深防御的網(wǎng)絡(luò)安全防護(hù)體系中，主機(jī)層面的安全對(duì)于應(yīng)用安全、數(shù)據(jù)安全尤為重要。主機(jī)安全主要存在以下問題：漏洞未及時(shí)修復(fù)、主機(jī)存在高危端口，導(dǎo)致被攻擊；主機(jī)被攻擊時(shí)無法預(yù)警和及時(shí)處理。

2.4 應(yīng)用層面安全問題及分析

在基于縱深防御的網(wǎng)絡(luò)安全防護(hù)體系中，應(yīng)用安全是網(wǎng)絡(luò)安全需要重點(diǎn)關(guān)注的地方，大多數(shù)攻擊來自應(yīng)用層面的攻擊。當(dāng)今社會(huì)發(fā)展日新月異，各種應(yīng)用層面攻擊手段層出不窮，最新常見的如OWASP Top 10，除此之外，還有各種應(yīng)用組件、應(yīng)用開發(fā)框架漏洞也易受到攻擊，往往這些漏洞會(huì)造成很嚴(yán)重的危害，最嚴(yán)重的就是造成數(shù)據(jù)泄露，這對(duì)于網(wǎng)絡(luò)安全來說是致命的。當(dāng)前應(yīng)用安全主要存在以下問題。

2.4.1 應(yīng)用系統(tǒng)防護(hù)、監(jiān)測(cè)不足問題

應(yīng)用系統(tǒng)需要Web層面防護(hù)，一般情況下很多單位僅有一個(gè)普通防火墻，直接將應(yīng)用系統(tǒng)映射到互聯(lián)網(wǎng)上，僅有網(wǎng)絡(luò)層防護(hù)，卻忽視了應(yīng)用層面防護(hù)，導(dǎo)致受到Web層面攻擊而無法防護(hù)；還存在應(yīng)用系統(tǒng)發(fā)生攻擊時(shí)卻不知道，更有甚者發(fā)生嚴(yán)重問題，如網(wǎng)頁被掛馬、被篡改等惡性安全事件，卻無法第一時(shí)間得知，最終造成嚴(yán)重?fù)p失。

2.4.2 應(yīng)用系統(tǒng)漏洞未及時(shí)發(fā)現(xiàn)、修復(fù)問題

大多數(shù)單位上線應(yīng)用系統(tǒng)，尤其是小單位，很容易忽視應(yīng)用系統(tǒng)的安全測(cè)試，如滲透測(cè)試、代碼審計(jì)等，最終導(dǎo)致漏洞未被及時(shí)發(fā)現(xiàn)并修復(fù)，造成嚴(yán)重?fù)p失。

2.4.3 應(yīng)用系統(tǒng)開發(fā)層面問題

應(yīng)用開發(fā)人員的技術(shù)水平、開發(fā)公司的管理水平均會(huì)影響到系統(tǒng)開發(fā)是否規(guī)范，開發(fā)不規(guī)范導(dǎo)致系統(tǒng)存在后門或漏洞，一旦被攻擊將出現(xiàn)嚴(yán)重的安全事件。

2.5 數(shù)據(jù)層面安全問題及分析

在基于縱深防御的網(wǎng)絡(luò)安全防護(hù)體系中，數(shù)據(jù)安全是核心，是最重要的。一切信息系統(tǒng)最后落地的就是數(shù)據(jù)，這好比一臺(tái)計(jì)算機(jī)，硬盤（數(shù)據(jù)）沒了，其他都是空談，只要硬盤（數(shù)據(jù)）還在，哪怕其他設(shè)備都被破壞了，系統(tǒng)還是可以重建。隨著《數(shù)據(jù)安全法》的出臺(tái)，我國(guó)在網(wǎng)絡(luò)與信息安全領(lǐng)域的法律法規(guī)體系得到了進(jìn)一步完善。這也對(duì)數(shù)據(jù)管理人員的要求越來越高，當(dāng)前數(shù)據(jù)安全主要存在以下問題。

2.5.1 數(shù)據(jù)存儲(chǔ)介質(zhì)安全問題

數(shù)據(jù)存儲(chǔ)介質(zhì)可能存在質(zhì)量問題導(dǎo)致數(shù)據(jù)丟失，造成嚴(yán)重?cái)?shù)據(jù)丟失事件；數(shù)據(jù)庫(kù)存在安全漏洞，被不法分子攻擊，造成數(shù)據(jù)被竊取。

2.5.2 數(shù)據(jù)傳輸、存儲(chǔ)過程未加密

數(shù)據(jù)在處理和傳輸、存儲(chǔ)的過程中，未進(jìn)行加密或加密算法不滿足保密要求造成數(shù)據(jù)在傳輸過程中被竊取。

2.5.3 數(shù)據(jù)管理不規(guī)范

大多數(shù)數(shù)據(jù)庫(kù)使用者的權(quán)限均為超管賬戶，數(shù)據(jù)庫(kù)權(quán)限過大會(huì)導(dǎo)致數(shù)據(jù)權(quán)限控制存在問題，將出現(xiàn)非授權(quán)人員訪問、修改、篡改以及破壞系統(tǒng)資源，數(shù)據(jù)將遭到惡意破壞；數(shù)據(jù)管理人員有時(shí)會(huì)忽視數(shù)據(jù)備份，往往為了方便不備份數(shù)據(jù)，或者只進(jìn)行本地備份，一但數(shù)據(jù)丟失，將導(dǎo)致系統(tǒng)數(shù)據(jù)無法恢復(fù)。

2.5.4 缺乏數(shù)據(jù)安全監(jiān)測(cè)措施

當(dāng)企業(yè)內(nèi)部人員竊取數(shù)據(jù)、違規(guī)使用數(shù)據(jù)時(shí)，常常無法監(jiān)測(cè)到數(shù)據(jù)泄露以及違規(guī)使用數(shù)據(jù)的行為。

2.6 人員管理層面問題及分析

在縱深防御體系中，人往往是最重要的環(huán)節(jié)，也是最薄弱的環(huán)節(jié)。在人這一環(huán)節(jié)，需要諸多網(wǎng)絡(luò)安全管理制度來制約，按流程辦事、按規(guī)則辦事，通過制度、規(guī)則來制約人的行為，按照最小化、分權(quán)制衡的原則來分配權(quán)限，避免因?yàn)槟硞€(gè)人的失誤而造成網(wǎng)絡(luò)安全事件。當(dāng)前人員管理主要存在以下問題：用戶或運(yùn)維人員缺乏安全意識(shí)、不遵守網(wǎng)絡(luò)安全管理制度、不規(guī)范使用系統(tǒng)設(shè)備、缺乏專業(yè)工作技能，最終導(dǎo)致網(wǎng)絡(luò)安全工作失敗，使不法分子有機(jī)可乘，發(fā)生安全事件。

3 做好安全防護(hù)措施

3.1 做好物理層面安全防護(hù)措施

3.1.1 針對(duì)供電安全問題

機(jī)房要配置UPS或未采用兩路市電，以免造成業(yè)務(wù)中斷或業(yè)務(wù)癱瘓；選擇經(jīng)過國(guó)家認(rèn)證過的UPS產(chǎn)品，避免選擇三無產(chǎn)品；機(jī)房供電配備穩(wěn)壓器，以免電壓過高或過低、打雷造成斷電或電壓不穩(wěn)導(dǎo)致設(shè)備損壞。

3.1.2 針對(duì)消防安全問題

部署消防系統(tǒng)，以免導(dǎo)致發(fā)生火災(zāi)無法滅火；定期檢測(cè)氣體滅火器，以免產(chǎn)品過期導(dǎo)致滅火效果不佳；避免異物堆積、消防疏通管道占用等情況。

3.1.3 針對(duì)被盜竊和破壞的安全問題

機(jī)房需要設(shè)置電子門禁措施，訪問鑒別人員，避免出現(xiàn)任何人均可進(jìn)入的情況。

3.1.4 針對(duì)防水、防潮、靜電、溫濕度安全問題

做好機(jī)房窗戶、屋頂和墻壁的防滲維護(hù)，以免導(dǎo)致設(shè)備損壞；做好機(jī)房?jī)?nèi)水蒸氣結(jié)露和地下積水轉(zhuǎn)移與滲透的防護(hù)措施，以免導(dǎo)致設(shè)備損壞；采取措施防止靜電的產(chǎn)生，以免導(dǎo)致設(shè)備損壞；配備機(jī)房空調(diào)，以免機(jī)房溫濕度過高或過低導(dǎo)致設(shè)備損壞。

3.1.5 針對(duì)物理訪問控制安全隱患

做好機(jī)房進(jìn)出管理、設(shè)置專人值守，以免陌生人進(jìn)入，產(chǎn)生安全隱患；設(shè)置監(jiān)控，發(fā)生安全事件時(shí)，可以溯源問題。

3.2 做好網(wǎng)絡(luò)層面安全防護(hù)措施

3.2.1 針對(duì)網(wǎng)絡(luò)架構(gòu)問題

網(wǎng)絡(luò)結(jié)構(gòu)應(yīng)該使用扁平化設(shè)計(jì)來提升網(wǎng)絡(luò)的收斂性，滿足業(yè)務(wù)的可用性就要求提升網(wǎng)絡(luò)的收斂性，同時(shí)網(wǎng)絡(luò)設(shè)備必須滿足業(yè)務(wù)高峰期需要，資源在高峰期不得超過設(shè)備的70%，從而滿足設(shè)備的可用性。除了滿足可用性，還要使得網(wǎng)絡(luò)中的設(shè)備或服務(wù)器便于管理，這就要求網(wǎng)絡(luò)中劃分若干個(gè)區(qū)域。在服務(wù)器網(wǎng)絡(luò)劃分方面，通過服務(wù)器主機(jī)的角色劃分，并根據(jù)應(yīng)用系統(tǒng)類別、用戶訪問特性、服務(wù)組件類型劃分合理的區(qū)域；除了服務(wù)器、安全設(shè)備、網(wǎng)絡(luò)設(shè)備劃分區(qū)域外，安全支撐系統(tǒng)、網(wǎng)絡(luò)管理系統(tǒng)、安全運(yùn)維終端等，也需要獨(dú)立劃分一個(gè)區(qū)域，一般稱為安全管理中心（安全運(yùn)維區(qū)域）；一般政企單位還會(huì)遇到專線、VPN與其他單位連接的情況，也需要?jiǎng)澐知?dú)立的區(qū)域用于這些特殊網(wǎng)絡(luò)鏈路的接入；獨(dú)立的辦公區(qū)域也尤為重要，除了外部威脅，來自內(nèi)部的威脅也同樣要重視，為了便于管理，也需要將辦公網(wǎng)絡(luò)劃分為獨(dú)立的區(qū)域。最后，對(duì)于以上區(qū)域，為了便于管理，還需要分配不同的IP地址段。

3.2.2 針對(duì)網(wǎng)絡(luò)邊界問題

對(duì)于網(wǎng)絡(luò)邊界。網(wǎng)絡(luò)中劃分的安全區(qū)域應(yīng)該采取相應(yīng)的邊界隔離措施；重要區(qū)域，如互聯(lián)網(wǎng)邊界，需要采取縱深防御的網(wǎng)絡(luò)防護(hù)，應(yīng)該避免將重要網(wǎng)絡(luò)區(qū)域的服務(wù)直接映射到外部邊界處。

3.2.3 針對(duì)訪問控制問題

訪問控制是網(wǎng)絡(luò)安全防護(hù)的重中之重，網(wǎng)絡(luò)安全的精髓就是網(wǎng)絡(luò)安全訪問控制，要遵循最小化訪問原則來進(jìn)行網(wǎng)絡(luò)安全訪問控制。需要做到以下幾點(diǎn)：只開啟必要服務(wù)的端口的訪問控制策略，策略按就近部署原則作用在就近的服務(wù)側(cè)邊界處；應(yīng)禁止服務(wù)器訪問互聯(lián)網(wǎng)，對(duì)于必須訪問互聯(lián)網(wǎng)的請(qǐng)求，應(yīng)在區(qū)域邊界處采用白名單方式明確目的地址、端口和源地址的訪問控制規(guī)則；對(duì)于網(wǎng)絡(luò)設(shè)備、安全設(shè)備等設(shè)備必須訪問互聯(lián)網(wǎng)的情況，應(yīng)在網(wǎng)絡(luò)邊界處采用白名單方式明確目的地址、端口和源地址的訪問控制規(guī)則；最重要的一點(diǎn)，采用最小授權(quán)訪問原則設(shè)置訪問控制規(guī)則，非業(yè)務(wù)所必須的訪問一律應(yīng)被禁止［1］。

3.2.4 針對(duì)入侵防護(hù)問題

針對(duì)入侵防護(hù)的具體措施，分為以下幾點(diǎn)：在部署Web應(yīng)用的網(wǎng)絡(luò)區(qū)域邊界部署應(yīng)用防火墻，并設(shè)置合理的防護(hù)策略，確保目標(biāo)系統(tǒng)http，https不同協(xié)議訪問均得到有效防護(hù)；在外聯(lián)區(qū)域邊界部署防火墻、防入侵等措施，并設(shè)置合理的防護(hù)策略；在用戶訪問互聯(lián)網(wǎng)的出口處部署上網(wǎng)行為審計(jì)系統(tǒng)，對(duì)用戶的互聯(lián)網(wǎng)訪問進(jìn)行審計(jì)；若存在通過無線接入的情況，應(yīng)確保其通過受控的邊界防護(hù)設(shè)備接入內(nèi)部網(wǎng)絡(luò)，并應(yīng)明確限定其訪問的目標(biāo)范圍；應(yīng)確保各安全防御設(shè)備攻擊特征庫(kù)同步兼容相關(guān)權(quán)威組織的漏洞特征庫(kù)，與其他安全設(shè)備及主機(jī)防護(hù)系統(tǒng)具有一定的差異性，并保證特征庫(kù)能得到及時(shí)更新。

3.2.5 針對(duì)監(jiān)測(cè)預(yù)警問題

監(jiān)測(cè)預(yù)警是在網(wǎng)絡(luò)發(fā)生攻擊事件時(shí)能夠及時(shí)預(yù)警，這尤為重要，監(jiān)測(cè)預(yù)警就是網(wǎng)絡(luò)安全的眼睛，需要做到以下幾點(diǎn)：在網(wǎng)絡(luò)中部署網(wǎng)絡(luò)流量監(jiān)測(cè)系統(tǒng)，并設(shè)置合理的預(yù)警策略，一旦發(fā)現(xiàn)異常及時(shí)預(yù)警；對(duì)于向互聯(lián)網(wǎng)提供服務(wù)的應(yīng)用或重要系統(tǒng)，應(yīng)采取相應(yīng)的技術(shù)措施對(duì)內(nèi)容安全、網(wǎng)頁篡改、網(wǎng)頁掛馬進(jìn)行監(jiān)測(cè)和防護(hù)；部署日志集中審計(jì)系統(tǒng)，對(duì)網(wǎng)絡(luò)中各類運(yùn)行日志進(jìn)行集中留存及關(guān)聯(lián)分析。

3.3 做好主機(jī)層面安全防護(hù)措施

針對(duì)漏洞未及時(shí)修復(fù)、主機(jī)存在高危端口，需要定期對(duì)主機(jī)安全進(jìn)行漏洞評(píng)估并及時(shí)修補(bǔ)漏洞，及時(shí)做好主機(jī)安全基線關(guān)閉高危端口以減輕被攻擊的風(fēng)險(xiǎn)；針對(duì)主機(jī)被攻擊時(shí)無法預(yù)計(jì)和及時(shí)處理，需要部署終端監(jiān)測(cè)系統(tǒng)，在發(fā)生安全攻擊時(shí)能夠及時(shí)預(yù)警并處置。

3.4 做好應(yīng)用層面安全防護(hù)措施

3.4.1 針對(duì)應(yīng)用系統(tǒng)防護(hù)、監(jiān)測(cè)不足問題

應(yīng)用系統(tǒng)訪問路徑需要部署Web應(yīng)用防火墻或IPS，并設(shè)置合理的應(yīng)用防護(hù)策略對(duì)Web層面攻擊進(jìn)行有效防護(hù)；針對(duì)監(jiān)測(cè)不足，需要部署防網(wǎng)頁篡改、防網(wǎng)頁掛馬、態(tài)勢(shì)感知設(shè)備進(jìn)行監(jiān)測(cè)預(yù)警。

3.4.2 針對(duì)應(yīng)用系統(tǒng)漏洞未及時(shí)發(fā)現(xiàn)、修復(fù)問題

應(yīng)用系統(tǒng)上線前必須做安全測(cè)試，如模擬黑客攻擊滲透測(cè)試，做代碼審計(jì)，發(fā)現(xiàn)代碼層面安全漏洞。通過滲透測(cè)試發(fā)現(xiàn)應(yīng)用系統(tǒng)漏洞以及代碼層面漏洞，應(yīng)及時(shí)修復(fù)系統(tǒng)漏洞。最后，需要做驗(yàn)證測(cè)試，確認(rèn)系統(tǒng)沒有安全漏洞方可上線，且需要定期對(duì)系統(tǒng)做安全漏洞檢測(cè)，保證系統(tǒng)的長(zhǎng)期安全性。

3.4.3 針對(duì)應(yīng)用系統(tǒng)開發(fā)層面問題

應(yīng)用開發(fā)人員的技術(shù)水平、開發(fā)公司的管理水平均會(huì)影響到系統(tǒng)開發(fā)是否規(guī)范，所以，需要定期對(duì)開發(fā)人員進(jìn)行相關(guān)開發(fā)規(guī)范知識(shí)培訓(xùn)，開發(fā)公司需要不斷提升管理水平，嚴(yán)格按照相關(guān)開發(fā)標(biāo)準(zhǔn)開發(fā)系統(tǒng)，單位還要通過相關(guān)開發(fā)能力驗(yàn)證。

3.5 做好數(shù)據(jù)層面安全防護(hù)措施

3.5.1 針對(duì)數(shù)據(jù)存儲(chǔ)介質(zhì)安全問題

選擇通過相關(guān)認(rèn)證的數(shù)據(jù)存儲(chǔ)介質(zhì)產(chǎn)品，保證數(shù)據(jù)存儲(chǔ)介質(zhì)安全；對(duì)于數(shù)據(jù)庫(kù)漏洞需要及時(shí)評(píng)估，并及時(shí)修補(bǔ)。

3.5.2 針對(duì)數(shù)據(jù)傳輸、存儲(chǔ)過程未加密

數(shù)據(jù)在傳輸和存儲(chǔ)過程中需要采用密碼算法、加密算法處理，方可保證數(shù)據(jù)在傳輸和存儲(chǔ)過程中不被竊取。加密技術(shù)可以有效確保網(wǎng)絡(luò)傳輸中的數(shù)據(jù)流處于非明文狀態(tài)，縱使被黑客攔截，也可以有效保障數(shù)據(jù)安全，防止非授權(quán)用戶的搭線竊聽和入網(wǎng)，以及數(shù)據(jù)傳輸過程中被竊取和篡改［2］。

3.5.3 針對(duì)數(shù)據(jù)管理不規(guī)范問題

針對(duì)數(shù)據(jù)管理不規(guī)范問題，需要建立好數(shù)據(jù)庫(kù)賬號(hào)權(quán)限，避免超級(jí)管理權(quán)限的存在；并制定合理的數(shù)據(jù)備份策略，保證數(shù)據(jù)管理的安全。

3.5.4 針對(duì)缺乏數(shù)據(jù)安全監(jiān)測(cè)措施

數(shù)據(jù)安全監(jiān)測(cè)需要部署上網(wǎng)行為管理，對(duì)訪問者進(jìn)行記錄和準(zhǔn)入，對(duì)于運(yùn)維人員需要部署數(shù)據(jù)安全堡壘機(jī)進(jìn)行運(yùn)維操作監(jiān)測(cè)，對(duì)于數(shù)據(jù)泄露的風(fēng)險(xiǎn)，需要在邊界部署數(shù)據(jù)泄露防護(hù)設(shè)備DLP進(jìn)行監(jiān)測(cè)。

3.6 做好人員管理措施

人員要及時(shí)接受網(wǎng)絡(luò)安全意識(shí)培訓(xùn)、專業(yè)技能培訓(xùn)，單位及時(shí)制定合理的安全管理制度，并且要求工作人員時(shí)刻保持網(wǎng)絡(luò)安全意識(shí)、不斷學(xué)習(xí)專業(yè)技能、嚴(yán)格遵守網(wǎng)絡(luò)安全制度，規(guī)范使用系統(tǒng)設(shè)備，讓不法分子無機(jī)可乘。

4 結(jié)語

以上物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用、數(shù)據(jù)、人員管理6個(gè)層次構(gòu)建了基于縱深防御的網(wǎng)絡(luò)安全體系，每一個(gè)層面缺一不可，一道道防線共同構(gòu)建了堅(jiān)實(shí)可靠的政企網(wǎng)絡(luò)安全防護(hù)，實(shí)現(xiàn)了網(wǎng)絡(luò)安全的縱深防御；每一道防線都要讓攻擊者付出巨大的代價(jià)。當(dāng)然，網(wǎng)絡(luò)安全工作是常態(tài)化的，縱深防御的措施還是要依靠日常扎實(shí)的安全運(yùn)營(yíng)工作［3］，方可保證網(wǎng)絡(luò)安全縱深防御體系的穩(wěn)定且有效落實(shí)。

參考文獻(xiàn)

［1］ 張敬，李江濤，張振峰.企業(yè)網(wǎng)絡(luò)安全建設(shè)最佳實(shí)踐［M］.北京： 電子工業(yè)出版社，2021.

［2］ 工業(yè)和信息化部網(wǎng)絡(luò)安全產(chǎn)業(yè)發(fā)展中心編寫組.數(shù)據(jù)傳輸安全白皮書［M］.北京：清華大學(xué)出版社，2021.

［3］ 楊東曉，張鋒，瑪濤，等.網(wǎng)絡(luò)安全運(yùn)營(yíng)［M］.北京：清華大學(xué)出版社，2020.

（編輯 沈 強(qiáng)）

Network security protection system based on defense in depth

Song? Jinjin， Zhu? Qifan， Gu? Guowu

（Jiangsu Golden Shield detection Technology Co.， Ltd.， Nanjing 210042， China）

Abstract： With the deepening of information technology in our daily life， network security has become particularly important. Network security threats have brought huge pressure and losses to government and enterprise units. Network security has become increasingly demanding for operation and maintenance personnel. The traditional non-systematic network security protection has been difficult to meet the ever-changing network attack methods. This paper aims at the current severe network security situation and the shortcomings of network security work， Build a defense-in-depth system based on six levels of physics， network， host， application， data and personnel management， improve the network security protection ability of government and enterprises， and provide reference for network security construction.

Key words： defense in depth; network security; early warning; protection