邊界安全與邊界管理

引言：對于現(xiàn)代企業(yè)而言，企業(yè)更加依賴于面向全世界高度開放和互聯(lián)的信息網(wǎng)絡(luò)，而網(wǎng)絡(luò)的安全性就成了令人頭疼的首要問題。從某種意義上來說，邊界管理的效益將直接影響企業(yè)的發(fā)展水平。筆者將嘗試探討一下如何將企業(yè)管理與網(wǎng)絡(luò)邊界安全防護融合起來，以便在企業(yè)架構(gòu)的邊界更好地提升管控的效率、安全性與可靠性。

企業(yè)網(wǎng)絡(luò)與邊界安全

企業(yè)邊界（包括管理邊界與業(yè)務(wù)邊界）的發(fā)展使企業(yè)的結(jié)構(gòu)方式變得網(wǎng)絡(luò)化，企業(yè)的組織架構(gòu)可以看成是一種動態(tài)的、具有彈性的企業(yè)網(wǎng)絡(luò)。根據(jù)自身的狀況和發(fā)展的要求，企業(yè)可以構(gòu)建不同類型的企業(yè)網(wǎng)絡(luò)，比如管理網(wǎng)絡(luò)和物理網(wǎng)絡(luò)，而信息資產(chǎn)與計算機網(wǎng)絡(luò)就屬于物理網(wǎng)絡(luò)的范疇。由此可見，網(wǎng)絡(luò)邊界是由企業(yè)邊界來定義的，網(wǎng)絡(luò)邊界必定要架設(shè)在企業(yè)邊界上，它必須滿足企業(yè)邊界的管理目標，同時受制于企業(yè)邊界的現(xiàn)狀。

從信息安全的角度來看，網(wǎng)絡(luò)邊界的安全不可能脫離明確的管理需求而單純用技術(shù)去實現(xiàn)，其安全功能與擴展性能很大程度上取決于企業(yè)網(wǎng)絡(luò)的堅韌程度與成熟能力，畢竟最根本上來說，技術(shù)最終是服務(wù)于管理的。在以往的IT管理實踐當中發(fā)現(xiàn)，不少IT技術(shù)人員往往只是習(xí)慣用點對點的方式來對網(wǎng)絡(luò)邊界的安全（乃至整個企業(yè)信息資產(chǎn)的安全）進行外科式的、針對單個事件性的處理，卻容易忽略技術(shù)與管理之間的依存關(guān)系，這樣就難以避免陷入重技術(shù)而輕管理的思維模式，而這一點卻是筆者經(jīng)常強調(diào)需要去注意的環(huán)節(jié)。

下面筆者將以一個中型制造企業(yè)的信息環(huán)境與管理框架為例，簡單闡述位于邊界的信息資產(chǎn)安全管理，以及在管理邊界上進行信息網(wǎng)絡(luò)出入關(guān)口的安全防護，并介紹在網(wǎng)絡(luò)邊界安全管理中實現(xiàn)安全管理目標的簡要過程。

企業(yè)管理框架與基礎(chǔ)信息平臺概述

筆者僅以電子制造加工行業(yè)為范例背景。假設(shè)該企業(yè)名為“欣雨電子科技有限公司”（以下簡稱“欣雨電子”），其 核心業(yè)務(wù)是電子類產(chǎn)品的研發(fā)設(shè)計、加工生產(chǎn)、銷售與貿(mào)易等，產(chǎn)品以國內(nèi)市場為主，部分產(chǎn)品出口外銷。在產(chǎn)業(yè)鏈的上游和中游耕耘多年之后，欣雨電子已具備一定的經(jīng)營規(guī)模，業(yè)務(wù)外延的觸角已覆蓋了渠道、物流、下游銷售網(wǎng)絡(luò)與互聯(lián)網(wǎng)電子商務(wù)。該公司管理層希望在未來3年內(nèi)，企業(yè)的經(jīng)營規(guī)模和業(yè)務(wù)水平能達到一個新的層次，并實現(xiàn)IPO的戰(zhàn)略發(fā)展目標。

欣雨電子內(nèi)部采用三層職能管理體系，簡單來說是由決策管理層、各業(yè)務(wù)系統(tǒng)負責(zé)主管以及基層單位主管來共同承擔(dān)企業(yè)的管理工作。近年來該企業(yè)的信息基礎(chǔ)設(shè)施發(fā)展很快，目前已具備相對完備的IT基礎(chǔ)平臺，業(yè)務(wù)系統(tǒng)平臺涵蓋了公司業(yè)務(wù)的延伸領(lǐng)域，包括 OA、ERP、HR、CRM、PDM、E-MAIL、電子商務(wù)、渠道銷售、生產(chǎn)過程與工程設(shè)計等各種業(yè)務(wù)系統(tǒng)，所有平臺的運作最終產(chǎn)生并交換了企業(yè)的核心運營數(shù)據(jù)，這些數(shù)據(jù)是企業(yè)最為寶貴的信息資產(chǎn)。

然而也和很多企業(yè)一樣，欣雨電子同樣也存在自己的信息安全問題，例如管理細節(jié)上存在很多漏洞，某些IT管理流程執(zhí)行效果較差，網(wǎng)絡(luò)邊界安全沒有進行過清晰的設(shè)計，沒有專門的管理人員與明細的管理策略，凸顯安全管控上的缺失等，這些問題對安全管理成本、企業(yè)運營審計和業(yè)務(wù)發(fā)展的穩(wěn)定性都造成了不利的影響，亟需予以解決。

驅(qū)動型管理策略的規(guī)劃

IT管理人員（應(yīng)對管理的制度、流程與策略作出一些適當?shù)恼{(diào)整，使之更具備達成管理目標的驅(qū)動能力。在這里，筆者把這種管理方式稱為“驅(qū)動型”管理策略，其包含了三個方面的管理策略。

1.目標管理驅(qū)動

管理人員應(yīng)該根據(jù)企業(yè)各項實質(zhì)性的、可量化評估的工作目標，來設(shè)計具備可操作性的管理策略，同時根據(jù)需求目標的動態(tài)變化能及時、靈活地做出調(diào)整，以適應(yīng)不同的目標達成需要。比如欣雨電子的管理體系比較單一，缺乏靈活性。

因此，欣雨電子的IT管理部門還應(yīng)該引入項目管理、矩陣管理等管理模式，將信息平臺的安全管理分解成各種小型化的管理流程，以進一步提高信息安全管理的效率。對于網(wǎng)絡(luò)邊界的安全管理，實施項目管理流程能夠以小項目、小單位、小節(jié)點與小成本的小型化方式進行邊界安全的評估、防御與響應(yīng)處理。而矩陣化管理方式則能讓IT管理人員在可控的能力范圍之內(nèi)，跨職能部門將那些與信息安全具體項目相關(guān)的人和物的資源整合起來，有效地進行溝通、協(xié)調(diào)、實施部署以及后續(xù)的效益評估等過程，這樣就能以較低的成本代價來達成預(yù)期的安全管理目標。

2.安全風(fēng)險與損害成本驅(qū)動

包括網(wǎng)絡(luò)邊界在內(nèi)的信息安全風(fēng)險威脅經(jīng)常給企業(yè)造成很大的經(jīng)營損害。欣雨電子的IT管理人員需要對安全威脅給企業(yè)造成的成本支出有一個清晰地認識。這就要事先對信息安全的風(fēng)險威脅與惡意攻擊將可能導(dǎo)致的直接損害和潛在損失做一次詳細的評估，根據(jù)威脅攻擊的損害程度劃分好評估等級，并大略計算威脅可能造成的損失數(shù)值，且納入企業(yè)的運營成本之中，然后對損害數(shù)值較大的威脅采取嚴格的管控措施，并須給予優(yōu)先處理。

3.業(yè)務(wù)定向驅(qū)動

企業(yè)的各條業(yè)務(wù)線，包括核心業(yè)務(wù)、擴展業(yè)務(wù)和邊緣業(yè)務(wù)，為適應(yīng)市場和競爭的需要，總是在不斷地發(fā)生改變，筆者認為一方面這屬于業(yè)務(wù)對外部環(huán)境的變化所做出的適應(yīng)性調(diào)整，這是不可避免的。而另一方面，業(yè)務(wù)也可能忽略了企業(yè)內(nèi)部的整合能力，業(yè)務(wù)自身缺乏定型化的過程目標，內(nèi)適應(yīng)不佳而導(dǎo)致沖突不斷，其中也包括與信息安全管理上的相互沖突。

對此筆者認為，一個解決的辦法就是明確業(yè)務(wù)的定向性目標和流程，再施以針對性的安全管理策略。例如欣雨電子可以根據(jù)業(yè)務(wù)數(shù)據(jù)對外界人員訪問的敏感程度，在邊界路由器和邊界防火墻等安全節(jié)點設(shè)置數(shù)據(jù)包和用戶身份審核機制，并定向到DMZ區(qū)域或其他管制區(qū)域，只允許訪問特定授權(quán)的資源，這樣便能避免業(yè)務(wù)系統(tǒng)在對內(nèi)部與對外部的人員提供服務(wù)時容易發(fā)生的沖突問題。

網(wǎng)絡(luò)邊界安全防護方案規(guī)劃與部署

在簡單介紹了與信息安全緊密相關(guān)的管理類型之后，接下來筆者將著手在技術(shù)上闡述網(wǎng)絡(luò)邊界安全防護的規(guī)劃原則、管理策略、產(chǎn)品部署與實施過程，力求結(jié)合管理的思想與方法，盡可能完整地描述筆者對于網(wǎng)絡(luò)邊界安全管控上的一些個人看法。

網(wǎng)絡(luò)邊界屬于企業(yè)信息基礎(chǔ)架構(gòu)的一部分，信息資產(chǎn)的平臺是立體性的、多層次的結(jié)構(gòu)，那么網(wǎng)絡(luò)邊界安全管理就應(yīng)該從信息安全縱深防御的角度入手，體現(xiàn)出安全防護的層次化，并與其他部分的安全策略緊密結(jié)合，作為一個安全整體來進行規(guī)劃。

以欣雨電子為例，其網(wǎng)絡(luò)平臺具備三層網(wǎng)絡(luò)結(jié)構(gòu)，主要是核心層、匯聚層和接入層，為企業(yè)內(nèi)部的信息交互與數(shù)據(jù)傳輸提供高速、穩(wěn)固的基礎(chǔ)網(wǎng)絡(luò)支撐。但是其信息架構(gòu)的外接邊界則比較薄弱，既缺少管理上的清晰定義，也缺乏足夠的技術(shù)規(guī)劃和產(chǎn)品配置。因此，應(yīng)該在其基礎(chǔ)網(wǎng)絡(luò)架構(gòu)中劃分出第四層，即網(wǎng)絡(luò)邊界層，并參照信息安全縱深防御的思想進行具體的安全設(shè)計。下面筆者將分階段來說明欣雨電子網(wǎng)絡(luò)邊界安全防護方案的規(guī)劃和部署過程。

階段一：企業(yè)安全管理邊界與業(yè)務(wù)邊界的規(guī)劃

經(jīng)過IT部門協(xié)同相關(guān)業(yè)務(wù)管理人員進行詳細的現(xiàn)狀和需求分析，最終確定了在欣雨電子的管理體系中，與網(wǎng)絡(luò)邊界安全相關(guān)的管理邊界和業(yè)務(wù)邊界范疇。

其中，安全管理邊界范圍包括：

1.內(nèi)部安全管理制度的改進與細化；

2.明確相對應(yīng)的管控方針和策略；

3.人員管理制度（比如明確有關(guān)獎懲制度，員工信息安全意識與應(yīng)對能力的常規(guī)化培訓(xùn)制度等）；

4.IT安全預(yù)算、技術(shù)人力、技能培訓(xùn)等資源投入的規(guī)劃等方面。

安全業(yè)務(wù)邊界范圍包括：

1.安全業(yè)務(wù)體系的規(guī)劃，評估網(wǎng)絡(luò)邊界的攻擊威脅可能會損害到的業(yè)務(wù)類型和業(yè)務(wù)價值，并劃分價值等級。

2.企業(yè)信息資產(chǎn)評估，依照資產(chǎn)價值將之劃分為三類主要的信息資產(chǎn)類型：核心資產(chǎn)類、重要資產(chǎn)類和普通資產(chǎn)類。其中核心資產(chǎn)類是指企業(yè)具有最高價值的、關(guān)鍵性的信息資產(chǎn)，一旦受損將對企業(yè)的業(yè)務(wù)發(fā)展造成重大損失和負面影響；重要資產(chǎn)類是指對企業(yè)的業(yè)務(wù)運營負有重要作用的信息資產(chǎn)，如果受損將可能影響主要業(yè)務(wù)線的正常營運，但不會輕易造成業(yè)務(wù)停頓和崩潰的災(zāi)難后果。普通資產(chǎn)類則是指一般性的軟硬件資產(chǎn)，對企業(yè)只是產(chǎn)生局部的和小范圍的作用，即使遭受惡意攻擊也不會在企業(yè)內(nèi)部引發(fā)嚴重后果。

一般來說，核心資產(chǎn)類的損失往往是難以接受的，需要給予最高級別的安全風(fēng)險評估與策略防控，其運營可靠性應(yīng)當保持在99%以上；重要資產(chǎn)類可以進行及時有效的恢復(fù)，經(jīng)過安全評估可允許存在部分非嚴重性的潛在風(fēng)險；普通資產(chǎn)類可接受中等程度的損失，只需實施一般性的安全防護策略即可。

階段二：安全節(jié)點的設(shè)計

為更好地對網(wǎng)絡(luò)邊界相關(guān)的安全領(lǐng)域進行聚焦，以方便IT部門集中管控，我們可以把企業(yè)的每一個網(wǎng)絡(luò)邊界接口劃為一個網(wǎng)絡(luò)節(jié)點，在相應(yīng)的網(wǎng)絡(luò)節(jié)點上部署應(yīng)對性的安全管理措施，筆者把這樣的網(wǎng)絡(luò)節(jié)點稱為網(wǎng)絡(luò)安全節(jié)點。安全節(jié)點分為兩種類型：外部網(wǎng)絡(luò)安全節(jié)點與內(nèi)部網(wǎng)絡(luò)安全節(jié)點。外部網(wǎng)絡(luò)安全節(jié)點設(shè)置在企業(yè)網(wǎng)絡(luò)管理的邊界，是企業(yè)主干網(wǎng)絡(luò)與外部環(huán)境進行信息通訊的關(guān)口。內(nèi)部網(wǎng)絡(luò)安全節(jié)點一般是以業(yè)務(wù)部門或者核心的子網(wǎng)絡(luò)作為邊界，其節(jié)點往往分布在部門級交換設(shè)備和其他重要業(yè)務(wù)環(huán)境的網(wǎng)絡(luò)連接設(shè)備之上，作為企業(yè)內(nèi)部信息訪問和網(wǎng)絡(luò)安全防御的集中管控邊界。

圖1 外部網(wǎng)絡(luò)安全節(jié)點設(shè)置與訪問渠道

圖2 信息平臺外部威脅流和潛在損害

欣雨電子除了位于廣州的企業(yè)總部之外，在東莞與惠州還擁有兩家分支機構(gòu)（均為制造企業(yè)），而在企業(yè)的外界網(wǎng)絡(luò)環(huán)境，欣雨電子需要和多種類型的遠程用戶進行訪問交互，包括下屬分支機構(gòu)、外部客戶、供應(yīng)商、渠道合作伙伴和出差員工等遠程訪問點，因此需要在企業(yè)外部邊界設(shè)置多個不同的網(wǎng)絡(luò)安全節(jié)點，同時設(shè)計相應(yīng)的安全管理策略。

以下是欣雨電子網(wǎng)絡(luò)邊界外部安全節(jié)點說明（如圖1），IT管理人員可以針對下屬分支機構(gòu)和外部伙伴用戶這兩種不同方式的訪問渠道，分別設(shè)置兩個主要的外部網(wǎng)絡(luò)安全節(jié)點，這樣IT部門便能對各個網(wǎng)絡(luò)安全節(jié)點單獨進行規(guī)劃，并且更好地將企業(yè)安全管理制度及具體節(jié)點的IT安全防護策略結(jié)合起來投入實施。圖1展示了欣雨電子外部主要安全節(jié)點的一個簡單示例。

在欣雨電子信息資產(chǎn)整體安全架構(gòu)的規(guī)劃基礎(chǔ)上，IT管理人員可以進一步分析企業(yè)可能會遭受的潛在風(fēng)險與威脅流，以及各種威脅攻擊可能會導(dǎo)致的損害后果。此外，IT管理人員還需要在網(wǎng)絡(luò)邊界以及關(guān)聯(lián)區(qū)域邊界中標注對應(yīng)的安全節(jié)點，以便能直觀地規(guī)劃相關(guān)的安全管理策略。圖2展示了一個外部威脅攻擊流和潛在攻擊損害的簡化示例圖樣，其中已標注了欣雨電子外部及內(nèi)部網(wǎng)絡(luò)安全節(jié)點的關(guān)鍵管控位置。

階段三：網(wǎng)絡(luò)邊界安全防護拓撲模型的構(gòu)建

大多數(shù)企業(yè)內(nèi)部的IT基礎(chǔ)設(shè)施都包含有多種不同的信息資產(chǎn)類型，這些信息資產(chǎn)是由業(yè)務(wù)與數(shù)據(jù)的敏感程度來定義的，需要對其加以區(qū)分管理。在本文中，筆者引入“安全區(qū)域”的概念，將安全級別和安全策略相似或相同的信息資產(chǎn)類型，劃分為一個安全區(qū)域，并進一步分解為較小的安全管理區(qū)域。

根據(jù)這一設(shè)計思想，欣雨電子的信息基礎(chǔ)平臺可劃分為以下幾個主要的安全管理區(qū)域：邊界連接區(qū)（主要針對互聯(lián)網(wǎng)與廣域網(wǎng)鏈接）、DMZ隔離區(qū)、數(shù)據(jù)中心管理區(qū)、生產(chǎn)管制區(qū)、內(nèi)網(wǎng)辦公區(qū)（可按業(yè)務(wù)部門的環(huán)境進一步分解）以及測試管控區(qū)等幾個安全區(qū)域，每個安全域?qū)?yīng)一個或多個安全節(jié)點，以便進行安全策略的細化部署。

在完成了上述的準備步驟之后，IT部門需要結(jié)合欣雨電子信息平臺的整體架構(gòu)來設(shè)計網(wǎng)絡(luò)邊界安全的拓撲模型。為了能直觀地展現(xiàn)網(wǎng)絡(luò)架構(gòu)模型，這里僅畫出一個比較簡單的拓撲模型，其中網(wǎng)絡(luò)邊界安全體系采用了縱深防御的設(shè)計結(jié)構(gòu)，如圖3所示。

圖3 縱深邊界防護信息基礎(chǔ)架構(gòu)拓撲模型

階段四：邊界安全縱深防護體系的部署

從上圖3可以看出，欣雨電子的信息基礎(chǔ)平臺同樣具有多層次、多領(lǐng)域的結(jié)構(gòu)。因此，欣雨電子需要部署一套深層次的邊界防護解決方案，而其中重點是要覆蓋網(wǎng)絡(luò)通信、傳輸狀態(tài)、數(shù)據(jù)保護以及應(yīng)用層安全等在內(nèi)的多個層級目標，它應(yīng)該工作在第2層（數(shù)據(jù)鏈路層）到第6層（表示層）乃至第7層（應(yīng)用層）的OSI網(wǎng)絡(luò)架構(gòu)區(qū)間，這樣才能更好地保障信息資產(chǎn)立體防御的運作效果。

部署縱深安全防護體系需要多種類型的安全設(shè)備與系統(tǒng)作為基礎(chǔ)支撐。欣雨電子IT部門通過綜合考量各種因素后認為，在網(wǎng)絡(luò)邊界上應(yīng)該側(cè)重部署由邊界路由器、邊界防火墻、邊界交換機、VPN與應(yīng)用層防御系統(tǒng)等多重設(shè)施組成的邊界縱深防護方案，這樣既可達到較為有效的防護效果，又能使方案的成本投入容易為企業(yè)管理層和預(yù)算決策主管所接受。

網(wǎng)絡(luò)邊界安全防護方案的總結(jié)

本文所述之內(nèi)容是將企業(yè)邊界管理的思想應(yīng)用于網(wǎng)絡(luò)邊界安全防護的一個綜合性方案，并且在一家模擬的制造企業(yè)中加以實施。這個方案從縱深防御的角度入手，將網(wǎng)絡(luò)邊界進行分解管理，能夠有效地提高網(wǎng)絡(luò)邊界乃至企業(yè)信息資產(chǎn)平臺的安全防御水平。但每一家企業(yè)的信息環(huán)境和所面對的安全問題各不相同，因此本文的最終目的是希望能給企業(yè)管理人員和IT管理人員一個簡單的參考，向廣大同行們學(xué)習(xí)交流更多的成熟經(jīng)驗，并且也歡迎同行們的批評指正。