如何運用動態(tài)安全域保護企業(yè)網(wǎng)

?網(wǎng)絡(luò)安全域是指同一系統(tǒng)內(nèi)有相同的安全保護需求、相互信任，并具有相同的安全訪問控制和邊界控制策略的子網(wǎng)或網(wǎng)絡(luò)，相同的網(wǎng)絡(luò)安全域共享一樣的安全策略。網(wǎng)絡(luò)安全域從廣義上可理解為具有相同業(yè)務(wù)要求和安全要求的IT系統(tǒng)要素的集合。

　　網(wǎng)絡(luò)安全域從大的方面一般可劃分為四個部分：本地網(wǎng)絡(luò)、遠程網(wǎng)絡(luò)、公共網(wǎng)絡(luò)、伙伴訪問。傳統(tǒng)的安全域之間需要設(shè)置防火墻以進行安全保護。本地網(wǎng)絡(luò)域的安全內(nèi)容有：桌面管理、應(yīng)用程序管理、用戶賬號管理、登錄驗證管理、文件和打印資源管理、通信通道管理以及災(zāi)難恢復(fù)管理等與安全相關(guān)的內(nèi)容。遠程網(wǎng)絡(luò)域的安全內(nèi)容為：安全遠程用戶以及遠程辦公室對網(wǎng)絡(luò)的訪問。公共網(wǎng)絡(luò)域的安全內(nèi)容為：安全內(nèi)部用戶訪問互聯(lián)網(wǎng)以及互聯(lián)網(wǎng)用戶訪問內(nèi)網(wǎng)服務(wù)?；锇樵L問域的安全內(nèi)容為：保證企業(yè)合作伙伴對網(wǎng)絡(luò)的訪問安全，保證傳輸?shù)目煽啃砸约皵?shù)據(jù)的真實性和機密性。

　　一個大的安全域還可根據(jù)內(nèi)部不同部分的不同安全需求，再劃分為很多小的區(qū)域。一般在劃分安全域之前，還應(yīng)先把所有的計算機進行分組。分好組后，再把各個組放到相應(yīng)的區(qū)域中去，如邊界DNS和邊界Web，都可放到邊界防護區(qū)域(即所謂的DMZ區(qū)域)中去。為了更為細(xì)粒度地對網(wǎng)絡(luò)進行訪問控制，在劃分安全域后，可以繼續(xù)在安全域下劃分若干子安全域，子安全域不能單獨創(chuàng)建，必須屬于某個安全域，子安全域之間可以互相重疊。計算機分組并劃分到不同的安全區(qū)域中后，每個區(qū)域再根據(jù)分組劃分為幾個子網(wǎng)。每個組的安全性要求和設(shè)置是不一樣的。區(qū)域劃分后，就可設(shè)計不同區(qū)域間的通信機制，如允許和拒絕的通信流量、通信安全要求以及技術(shù)、端口開禁等。如公網(wǎng)到核心網(wǎng)通信，必須通過VPN，并且要通過雙因子驗證(需要智能卡、口令)進行身份驗證，身份合法后再采用IP Sec進行加密通信。歡迎轉(zhuǎn)載，本文來自電子發(fā)燒友網(wǎng)(wenjunhu.com)

　　傳統(tǒng)安全域的訪問管理

　　在基于傳統(tǒng)安全域的訪問控制體系模型中，有以下幾個主要模塊：

　　? ID管理模塊：用戶信息管理模塊，提供用戶信息的添加、刪除和修改等功能，集中管理企業(yè)網(wǎng)絡(luò)中的用戶，同時，可以將用戶按權(quán)限進行分組、分角色，進而利用組和角色對特定用戶集合進行管理;

　　?安全域管理模塊：管理用戶劃分的安全域和子安全域信息，用戶可以添加、刪除和修改安全域以及子安全域，可以配置安全域之間的訪問控制關(guān)系，比如在訪問安全域A的時候，不能同時訪問安全域B等;

　　?訪問策略管理模塊：管理用戶與安全域、子安全域之間的訪問控制關(guān)系，定義用戶在什么時間、什么地點可以訪問哪些安全域等;

　　?Web服務(wù)管理：為用戶提供Web服務(wù)，用戶通過Web服務(wù)進行身份認(rèn)證以及安全域的訪問和退出等;

　　?通信平臺：主要是通過SSH、Telnet對防火墻進行配置，為用戶打開指定的ACL訪問;

　　?探測模塊：探測用戶PC是否在線，探測方式可以采用ARP、ICMP、SAMBA等協(xié)議。

　　在基于傳統(tǒng)安全域的訪問控制體系下，用戶接入網(wǎng)絡(luò)、訪問網(wǎng)絡(luò)資源的步驟如下：

　　?第0步：用戶接入網(wǎng)絡(luò)，直接訪問安全域失敗，因為防火墻ACL默認(rèn)禁止用戶訪問此安全域;

　　?第1步：用戶通過Web瀏覽器訪問安全域管理服務(wù)器IP或URL;

　　?第2步：用戶在身份認(rèn)證頁面輸入身份信息，安全域管理服務(wù)器對用戶進行認(rèn)證，認(rèn)證成功則繼續(xù)，認(rèn)證失敗需重新認(rèn)證;

　　?第3步：用戶認(rèn)證成功后，安全域管理服務(wù)器利用管理員配置的訪問策略將用戶可訪問域顯示給用戶;

　　?第4、5步：用戶選擇登錄其要訪問的安全域，安全域管理服務(wù)器通過網(wǎng)絡(luò)連接開啟用戶PC對安全域(或子安全域)的ACL;

　　?第6步：用戶成功訪問其登錄的安全域;

　　?第7步：當(dāng)用戶退出安全域后，安全域管理服務(wù)器將下發(fā)給防火墻的ACL撤銷。同時，如果在線探測模塊探測到用戶下線或者用戶IP-MAC發(fā)生改變的時候，也會撤銷其為此IP下發(fā)的ACL。歡迎轉(zhuǎn)載，本文來自電子發(fā)燒友網(wǎng)(wenjunhu.com)

　　動態(tài)安全域助力大型企業(yè)

　　基于傳統(tǒng)安全域的訪問控制體系模型是企業(yè)網(wǎng)在發(fā)展過程中形成的通用模式，在中小型企業(yè)、業(yè)務(wù)專業(yè)性較強和地域分布不廣的大中型企業(yè)中都有很好的實現(xiàn)。但在業(yè)務(wù)高度復(fù)雜、地域高度分散且地域及業(yè)務(wù)均呈交叉狀、人員眾多的大型或超大型企業(yè)集團中，信息系統(tǒng)廣泛采用分布式或集中分布式部署，傳統(tǒng)的安全域模型結(jié)構(gòu)也被大量復(fù)制，其總部結(jié)構(gòu)和分支機構(gòu)安全域模型交叉，隨著人員業(yè)務(wù)變化性的增強和企業(yè)重組或業(yè)務(wù)快速膨脹，承載網(wǎng)和業(yè)務(wù)網(wǎng)邊界日益模糊，訪問管理模型也隨之日益復(fù)雜，安全域或安全子域的變化頻繁，ACL控制或基礎(chǔ)安全策略日益膨脹，隨之帶來的管控復(fù)雜性使網(wǎng)絡(luò)管理員面臨巨大工作量和智力挑戰(zhàn)。某大型企業(yè)集團早在2005年就開始實施安全域，但隨著上述情況的出現(xiàn)，安全域邊界不斷變化，其安全域逐步變化成為30多個，子域多達上百個，其核心交換機上的ACL就達1000余條，矩陣分離表的邏輯性也逐漸完全不可讀，最終導(dǎo)致其安全域劃分的失敗。

　　安全域的核心就是通過一系列的規(guī)則控制，達到特定網(wǎng)絡(luò)群組按照指定規(guī)則訪問指定群組的關(guān)系，其組群需要具有相同的安全訪問控制和邊界控制策略的子網(wǎng)或網(wǎng)絡(luò)。傳統(tǒng)模型較為容易在集中部署的單一結(jié)構(gòu)中實現(xiàn)，其組群成員的權(quán)責(zé)變化一般也需要對相應(yīng)規(guī)則做調(diào)整。假定將組群成員動態(tài)的變化和子域調(diào)整與子網(wǎng)劃分動態(tài)結(jié)合，就可以實現(xiàn)基于傳統(tǒng)復(fù)雜安全域結(jié)構(gòu)上的動態(tài)調(diào)整，從而實現(xiàn)基于傳統(tǒng)安全域基礎(chǔ)上的動態(tài)安全域的模型結(jié)構(gòu)。

　　在基于動態(tài)安全域的訪問控制體系下，用戶接入網(wǎng)絡(luò)、訪問網(wǎng)絡(luò)資源的步驟如下：

　　?第0步：用戶接入網(wǎng)絡(luò)，直接訪問安全域失敗，因為強制器沒有通知接入交換機打開網(wǎng)絡(luò)端口，默認(rèn)用戶訪問隔離域A，做身份申請;

　　?第1步：用戶身份認(rèn)證成功，強制器打開接入端口，做安全合規(guī)性檢測，默認(rèn)訪問隔離域B，做安全合規(guī)性完善;

　　?第2步：合規(guī)性檢查通過，用戶從隔離域B中劃出到公共訪問域;

　　?第3步：用戶身份信息傳送給安全域管理服務(wù)器，安全域管理服務(wù)器訪問服務(wù)域控制器，服務(wù)域控制器從人力資源數(shù)據(jù)庫權(quán)責(zé)矩陣同步列表中生成用戶安全域列表，并通知用戶;

　　?第4步：用戶選擇登錄其要訪問的服務(wù)，安全域控制器根據(jù)安全域列表，通知網(wǎng)管控制域服務(wù)器，網(wǎng)管控制器通知網(wǎng)絡(luò)交換域;

　　?第5步：網(wǎng)絡(luò)交換域生成控制列表，生成VLAN及VCL組合，通知交換設(shè)備，生成訪問域控制隔離通道;

　　?第6步：服務(wù)控制服務(wù)器通過交換域，通知相應(yīng)安全域做對應(yīng)權(quán)責(zé)匹配;

　　?第7步：用戶訪問所需安全域的服務(wù);

　　?第8步：當(dāng)用戶退出安全域后，安全域管理服務(wù)器將下發(fā)給交換用戶的VLAN及ACL撤銷。同時，如果在線探測模塊探測到用戶下線或者用戶進行危險性違規(guī)性操作或IP-MAC發(fā)生改變的時候，也會通知交換域撤銷其為此身份下發(fā)的IP、VLAN及ACL，進行隔離;如果在線探測模塊探測到用戶進行攻擊性或高危破壞性操作，通知交換域撤銷其為此身份下發(fā)的IP、VLAN及ACL，并同時關(guān)閉端口避免入侵破壞。

　　安全域是基于網(wǎng)絡(luò)和系統(tǒng)進行安全檢查和評估的基礎(chǔ)，安全域的劃分是企業(yè)網(wǎng)絡(luò)抗?jié)B透的有效防護方式，安全域邊界是災(zāi)難發(fā)生時的抑制點，同時安全域也是基于網(wǎng)絡(luò)和系統(tǒng)進行安全建設(shè)的部署依據(jù)。動態(tài)安全域在傳統(tǒng)安全域常規(guī)手段的基礎(chǔ)上，將網(wǎng)絡(luò)成員權(quán)責(zé)與安全子域和子網(wǎng)劃分動態(tài)結(jié)合，同時將網(wǎng)絡(luò)動態(tài)接入和用戶權(quán)責(zé)矩陣有機結(jié)合，成為大型或超大型企業(yè)網(wǎng)絡(luò)的有效管控手段。當(dāng)然，上述安全域管理系統(tǒng)也有需要改進的部分，如網(wǎng)絡(luò)設(shè)備的動態(tài)管控。由于網(wǎng)絡(luò)設(shè)備廠商的多樣化導(dǎo)致命令處理十分復(fù)雜，此模型對網(wǎng)絡(luò)設(shè)備具有較高要求，并需要網(wǎng)絡(luò)設(shè)備一致性或大量針對性網(wǎng)絡(luò)控制的二次開發(fā)，同時面臨構(gòu)架復(fù)雜、實施周期長、成本較高等難題，主要原因是現(xiàn)如今還沒有這方面的業(yè)界或企業(yè)標(biāo)準(zhǔn)。不過隨著網(wǎng)絡(luò)安全的進一步發(fā)展，這方面問題有望得到改善。