网络安全防护部署所需要注意的几点

顶层设计概念
考虑项目各层次和各要素，追根溯源，统揽全局，在最高层次上寻求问题的解决之道
顶层设计”不是自下而上的“摸着石头过河”，而是自上而下的“系统谋划”

网络安全分为

物理、网络、主机、应用、管理制度

边界最强接入层最薄弱

安全特性总纲

一、有效的访问控制
二、有效识别合法的和非法的用户
三、有效的防伪手段，重要的数据重点保护
四、内部网络的隐蔽性
五、外网攻击的防护
六、内外网病毒防范
七、行之有效的安全管理手段（三分技术，七分管理）
真正的安全是产品安全协议安全
截获(interception)——中断(interruption)——篡改(modification)——伪造(fabrication)

安全防护控制点:
访问控制、安全审计、结构安全、网络设备防护、通信机密性（数据被拦截）、通信完整性(数据不被篡改)、数据备份与恢复

一、访问控制
1、基于数据流的访问控制（路由器、交换机、防火墙ACL）
2、根据数据包信息进行数据分类（QoS）
3、不同的数据流采用不同的策略*（扩展ACL）
4、基于用户的访问控制（telnet、密码复杂、密文形式、登录次数、SNMP、堡垒主机）
5、对于接入服务用户，设定特定的过滤属性（划分区域、防止中间人攻击）
二、用户识别
1、对接入用户的认证（NTP、802.1X、portal、MAC认证、AAA）
2、内网接入用户的认证和授权（AAA、MAC认证）
3、远程接入用户的认证和授权（AAA、本地认证）

三、保护数据安全
1、网络设备本身的认证（console、系统补丁、关闭服务CDP）
2、访问设备时的身份认证授权（堡垒主机、审计系统）
3、路由信息的认证（协议认证、VRRP认证、IP绑定、端口绑定）
4、数据加密和防伪（×××）
5、数据加密（对称式加密）
6、利用公网传输数据不可避免地面临数据窃听的问题（MD5、SHA认证）
7、传输之前进行数据加密，保证只有与之通信的对端能够解密（非对称式加密）
8、数据防伪
9、报文在传输过程中，有可能被攻击者截获、篡改
10、接收端需要进行数据完整性鉴别
四、内部网络的隐蔽性
1、隐藏私网内部地址，有效的保护内部主机（NAT）
2、允许内网用户向外发起连接，禁止外网用户对内网发起连接（关闭不必要的服务端口）

五、攻击防护
1、对外网各类攻击的有效防护（FW、IPS拦截、WAF、设备冗余、协议冗余、链路冗余，75%的攻击是针对web应用）

六、病毒防范
1、对于外网病毒传入的防范（防毒墙、周期更新病毒库）
2、对于内网病毒发作的抑止（IDS、EAD、周期更新病毒库）

七、完善制度
1、保证重要的网络设备处于安全的运行环境，防止人为破坏
2、保护好访问口令、密码等重要的安全信息
3、在网络上实现报文审计和过滤，提供网络运行的必要信息
4、制定完善的管理制度，并确保制度得到良好的执行