Sine安全-网络安全背后的巨人,提供服务器安全_服务器维护_网站安全解决方案

基础网络安全架构 访问模式与接线方式讨论

访问模式(这一部分需要考虑的很多,结果是如何将安全产品-硬件和软件以入侵或非入侵的形式配置在你的基础设施是技术性的,依赖于经验。HA怎么办?Active/Active或者是Active/StandTX?认证怎么办,用密码或者是证书,MFA?DMZ的机器和系统是什么?管理RGMT,数据库是HRZ或者是HRZ-DB?应用程序会影响session的传输吗?复试会有几次?安全域划分参考业务设计?技术使用哪种虚拟技术?物理机有DLP吗?操作系统使用什么版本,加固做什么,加固哪个package?RootCA进去吗?扫描系统的位置需要全网段或者是stage?license和预算怎么样?日志收集系统是如何建设的,考虑到数据量的增加,es/splunk有哪些查询优化方法?数据查询时的审计怎么办?


接线方式(旁路、串联、单独购买TXpasswitch设备或者是自身的switch、设备INTernalxvlp和ExTrialxvlp?你打算使用光口或者是网口?设备的网口可以断电通信,光口还好吗?机器和交换机都需要Bound吗?开关的部署模式,Active-Active对其他设备的依赖和影响,流量是透明通过网桥或者是mirrortraffic。存储器会怎样呢?就是这样。中上述情况,对设计概念中的量体体积开展深入分析

灾害战略(多组网络链接或者是多组冷却机器?监视怎样才能实现自动切断?新的灾害准备中心?紧急启动程序,如何执行?业务持续保障的战略是什么?中上述情况,对设计概念中的量体体积开展深入分析

运营战略(敏感数据有审计程序吗?遵循权限分离原则了吗?密码机LMK如何存放?保险柜本身的安全设计呢?确保可靠链节点的可靠性的手段是什么?多少人力资源在设备维护上,根据业务或者是设备来划分?


检查测试(网络链路冗馀测试,安全考虑HA以外的链路冗馀需要安全参加吗?安全设备相应的功能定期开展攻击性验证吗?检查测试如何确保基础设施安全,留下后门?各种设备账户清除、物理机、虚拟机、交换机。


除此之外,还点考虑连通性和访问控制相关问题,访问控制一般在网上开展,此外还有主机端口控制、登录控制。物理上有多级门禁卡、钥匙+密码等。但是,不影响使用各种概念,威胁建模、3A、SecurommanyByDafault等。可以设计securitymscalerule,计划各stage对应role的访问rule。此外,还需要考虑连通性的验证、人(设备-应用-数据)之间的连通、正常情况和逃生通道。下面简单列举几个需要思考的问题。


路由器的链接、冗馀测试是否具有断电通信功能,是否需要冗长单独的线路?采用ilo,带外通网口或者是光口?安全域是如何划分的,网络段是如何划分的,大段或者是小段,与你的安全域设计理念冲突,综合业务?互联网是如何连接的?dc之间是怎么连接的?corp是如何连接的?你需要拉几条专线?DMZ是否需要Firewall(一般来说,金融业和银行在检查时可能会有这个要求)。


分享: