引言：對于現(xiàn)代企業(yè)而言，企業(yè)更加依賴于面向全世界高度開放和互聯(lián)的信息網(wǎng)絡(luò)，而網(wǎng)絡(luò)的安全性就成了令人頭疼的首要問題。從某種意義上來說，邊界管理的效益將直接影響企業(yè)的發(fā)展水平。筆者將嘗試探討一下如何將企業(yè)管理與網(wǎng)絡(luò)邊界安全防護融合起來，以便在企業(yè)架構(gòu)的邊界更好地提升管控的效率、安全性與可靠性。

企業(yè)網(wǎng)絡(luò)與邊界安全

企業(yè)邊界（包括管理邊界與業(yè)務邊界）的發(fā)展使企業(yè)的結(jié)構(gòu)方式變得網(wǎng)絡(luò)化，企業(yè)的組織架構(gòu)可以看成是一種動態(tài)的、具有彈性的企業(yè)網(wǎng)絡(luò)。根據(jù)自身的狀況和發(fā)展的要求，企業(yè)可以構(gòu)建不同類型的企業(yè)網(wǎng)絡(luò)，比如管理網(wǎng)絡(luò)和物理網(wǎng)絡(luò)，而信息資產(chǎn)與計算機網(wǎng)絡(luò)就屬于物理網(wǎng)絡(luò)的范疇。由此可見，網(wǎng)絡(luò)邊界是由企業(yè)邊界來定義的，網(wǎng)絡(luò)邊界必定要架設(shè)在企業(yè)邊界上，它必須滿足企業(yè)邊界的管理目標，同時受制于企業(yè)邊界的現(xiàn)狀。

從信息安全的角度來看，網(wǎng)絡(luò)邊界的安全不可能脫離明確的管理需求而單純用技術(shù)去實現(xiàn)，其安全功能與擴展性能很大程度上取決于企業(yè)網(wǎng)絡(luò)的堅韌程度與成熟能力，畢竟最根本上來說，技術(shù)最終是服務于管理的。在以往的IT管理實踐當中發(fā)現(xiàn)，不少IT技術(shù)人員往往只是習慣用點對點的方式來對網(wǎng)絡(luò)邊界的安全（乃至整個企業(yè)信息資產(chǎn)的安全）進行外科式的、針對單個事件性的處理，卻容易忽略技術(shù)與管理之間的依存關(guān)系，這樣就難以避免陷入重技術(shù)而輕管理的思維模式，而這一點卻是筆者經(jīng)常強調(diào)需要去注意的環(huán)節(jié)。

下面筆者將以一個中型制造企業(yè)的信息環(huán)境與管理框架為例，簡單闡述位于邊界的信息資產(chǎn)安全管理，以及在管理邊界上進行信息網(wǎng)絡(luò)出入關(guān)口的安全防護，并介紹在網(wǎng)絡(luò)邊界安全管理中實現(xiàn)安全管理目標的簡要過程。

企業(yè)管理框架與基礎(chǔ)信息平臺概述

筆者僅以電子制造加工行業(yè)為范例背景。假設(shè)該企業(yè)名為“欣雨電子科技有限公司”（以下簡稱“欣雨電子”），其 核心業(yè)務是電子類產(chǎn)品的研發(fā)設(shè)計、加工生產(chǎn)、銷售與貿(mào)易等，產(chǎn)品以國內(nèi)市場為主，部分產(chǎn)品出口外銷。在產(chǎn)業(yè)鏈的上游和中游耕耘多年之后，欣雨電子已具備一定的經(jīng)營規(guī)模，業(yè)務外延的觸角已覆蓋了渠道、物流、下游銷售網(wǎng)絡(luò)與互聯(lián)網(wǎng)電子商務。該公司管理層希望在未來3年內(nèi)，企業(yè)的經(jīng)營規(guī)模和業(yè)務水平能達到一個新的層次，并實現(xiàn)IPO的戰(zhàn)略發(fā)展目標。

欣雨電子內(nèi)部采用三層職能管理體系，簡單來說是由決策管理層、各業(yè)務系統(tǒng)負責主管以及基層單位主管來共同承擔企業(yè)的管理工作。近年來該企業(yè)的信息基礎(chǔ)設(shè)施發(fā)展很快，目前已具備相對完備的IT基礎(chǔ)平臺，業(yè)務系統(tǒng)平臺涵蓋了公司業(yè)務的延伸領(lǐng)域，包括 OA、ERP、HR、CRM、PDM、E-MAIL、電子商務、渠道銷售、生產(chǎn)過程與工程設(shè)計等各種業(yè)務系統(tǒng)，所有平臺的運作最終產(chǎn)生并交換了企業(yè)的核心運營數(shù)據(jù)，這些數(shù)據(jù)是企業(yè)最為寶貴的信息資產(chǎn)。

然而也和很多企業(yè)一樣，欣雨電子同樣也存在自己的信息安全問題，例如管理細節(jié)上存在很多漏洞，某些IT管理流程執(zhí)行效果較差，網(wǎng)絡(luò)邊界安全沒有進行過清晰的設(shè)計，沒有專門的管理人員與明細的管理策略，凸顯安全管控上的缺失等，這些問題對安全管理成本、企業(yè)運營審計和業(yè)務發(fā)展的穩(wěn)定性都造成了不利的影響，亟需予以解決。

驅(qū)動型管理策略的規(guī)劃

IT管理人員（應對管理的制度、流程與策略作出一些適當?shù)恼{(diào)整，使之更具備達成管理目標的驅(qū)動能力。在這里，筆者把這種管理方式稱為“驅(qū)動型”管理策略，其包含了三個方面的管理策略。

1.目標管理驅(qū)動

管理人員應該根據(jù)企業(yè)各項實質(zhì)性的、可量化評估的工作目標，來設(shè)計具備可操作性的管理策略，同時根據(jù)需求目標的動態(tài)變化能及時、靈活地做出調(diào)整，以適應不同的目標達成需要。比如欣雨電子的管理體系比較單一，缺乏靈活性。

因此，欣雨電子的IT管理部門還應該引入項目管理、矩陣管理等管理模式，將信息平臺的安全管理分解成各種小型化的管理流程，以進一步提高信息安全管理的效率。對于網(wǎng)絡(luò)邊界的安全管理，實施項目管理流程能夠以小項目、小單位、小節(jié)點與小成本的小型化方式進行邊界安全的評估、防御與響應處理。而矩陣化管理方式則能讓IT管理人員在可控的能力范圍之內(nèi)，跨職能部門將那些與信息安全具體項目相關(guān)的人和物的資源整合起來，有效地進行溝通、協(xié)調(diào)、實施部署以及后續(xù)的效益評估等過程，這樣就能以較低的成本代價來達成預期的安全管理目標。

2.安全風險與損害成本驅(qū)動

包括網(wǎng)絡(luò)邊界在內(nèi)的信息安全風險威脅經(jīng)常給企業(yè)造成很大的經(jīng)營損害。欣雨電子的IT管理人員需要對安全威脅給企業(yè)造成的成本支出有一個清晰地認識。這就要事先對信息安全的風險威脅與惡意攻擊將可能導致的直接損害和潛在損失做一次詳細的評估，根據(jù)威脅攻擊的損害程度劃分好評估等級，并大略計算威脅可能造成的損失數(shù)值，且納入企業(yè)的運營成本之中，然后對損害數(shù)值較大的威脅采取嚴格的管控措施，并須給予優(yōu)先處理。

3.業(yè)務定向驅(qū)動

企業(yè)的各條業(yè)務線，包括核心業(yè)務、擴展業(yè)務和邊緣業(yè)務，為適應市場和競爭的需要，總是在不斷地發(fā)生改變，筆者認為一方面這屬于業(yè)務對外部環(huán)境的變化所做出的適應性調(diào)整，這是不可避免的。而另一方面，業(yè)務也可能忽略了企業(yè)內(nèi)部的整合能力，業(yè)務自身缺乏定型化的過程目標，內(nèi)適應不佳而導致沖突不斷，其中也包括與信息安全管理上的相互沖突。

對此筆者認為，一個解決的辦法就是明確業(yè)務的定向性目標和流程，再施以針對性的安全管理策略。例如欣雨電子可以根據(jù)業(yè)務數(shù)據(jù)對外界人員訪問的敏感程度，在邊界路由器和邊界防火墻等安全節(jié)點設(shè)置數(shù)據(jù)包和用戶身份審核機制，并定向到DMZ區(qū)域或其他管制區(qū)域，只允許訪問特定授權(quán)的資源，這樣便能避免業(yè)務系統(tǒng)在對內(nèi)部與對外部的人員提供服務時容易發(fā)生的沖突問題。

網(wǎng)絡(luò)邊界安全防護方案規(guī)劃與部署

在簡單介紹了與信息安全緊密相關(guān)的管理類型之后，接下來筆者將著手在技術(shù)上闡述網(wǎng)絡(luò)邊界安全防護的規(guī)劃原則、管理策略、產(chǎn)品部署與實施過程，力求結(jié)合管理的思想與方法，盡可能完整地描述筆者對于網(wǎng)絡(luò)邊界安全管控上的一些個人看法。

網(wǎng)絡(luò)邊界屬于企業(yè)信息基礎(chǔ)架構(gòu)的一部分，信息資產(chǎn)的平臺是立體性的、多層次的結(jié)構(gòu)，那么網(wǎng)絡(luò)邊界安全管理就應該從信息安全縱深防御的角度入手，體現(xiàn)出安全防護的層次化，并與其他部分的安全策略緊密結(jié)合，作為一個安全整體來進行規(guī)劃。

以欣雨電子為例，其網(wǎng)絡(luò)平臺具備三層網(wǎng)絡(luò)結(jié)構(gòu)，主要是核心層、匯聚層和接入層，為企業(yè)內(nèi)部的信息交互與數(shù)據(jù)傳輸提供高速、穩(wěn)固的基礎(chǔ)網(wǎng)絡(luò)支撐。但是其信息架構(gòu)的外接邊界則比較薄弱，既缺少管理上的清晰定義，也缺乏足夠的技術(shù)規(guī)劃和產(chǎn)品配置。因此，應該在其基礎(chǔ)網(wǎng)絡(luò)架構(gòu)中劃分出第四層，即網(wǎng)絡(luò)邊界層，并參照信息安全縱深防御的思想進行具體的安全設(shè)計。下面筆者將分階段來說明欣雨電子網(wǎng)絡(luò)邊界安全防護方案的規(guī)劃和部署過程。

階段一：企業(yè)安全管理邊界與業(yè)務邊界的規(guī)劃

經(jīng)過IT部門協(xié)同相關(guān)業(yè)務管理人員進行詳細的現(xiàn)狀和需求分析，最終確定了在欣雨電子的管理體系中，與網(wǎng)絡(luò)邊界安全相關(guān)的管理邊界和業(yè)務邊界范疇。

其中，安全管理邊界范圍包括：

1.內(nèi)部安全管理制度的改進與細化；

2.明確相對應的管控方針和策略；

3.人員管理制度（比如明確有關(guān)獎懲制度，員工信息安全意識與應對能力的常規(guī)化培訓制度等）；

4.IT安全預算、技術(shù)人力、技能培訓等資源投入的規(guī)劃等方面。

安全業(yè)務邊界范圍包括：

1.安全業(yè)務體系的規(guī)劃，評估網(wǎng)絡(luò)邊界的攻擊威脅可能會損害到的業(yè)務類型和業(yè)務價值，并劃分價值等級。

2.企業(yè)信息資產(chǎn)評估，依照資產(chǎn)價值將之劃分為三類主要的信息資產(chǎn)類型：核心資產(chǎn)類、重要資產(chǎn)類和普通資產(chǎn)類。其中核心資產(chǎn)類是指企業(yè)具有最高價值的、關(guān)鍵性的信息資產(chǎn)，一旦受損將對企業(yè)的業(yè)務發(fā)展造成重大損失和負面影響；重要資產(chǎn)類是指對企業(yè)的業(yè)務運營負有重要作用的信息資產(chǎn)，如果受損將可能影響主要業(yè)務線的正常營運，但不會輕易造成業(yè)務停頓和崩潰的災難后果。普通資產(chǎn)類則是指一般性的軟硬件資產(chǎn)，對企業(yè)只是產(chǎn)生局部的和小范圍的作用，即使遭受惡意攻擊也不會在企業(yè)內(nèi)部引發(fā)嚴重后果。

一般來說，核心資產(chǎn)類的損失往往是難以接受的，需要給予最高級別的安全風險評估與策略防控，其運營可靠性應當保持在99%以上；重要資產(chǎn)類可以進行及時有效的恢復，經(jīng)過安全評估可允許存在部分非嚴重性的潛在風險；普通資產(chǎn)類可接受中等程度的損失，只需實施一般性的安全防護策略即可。

階段二：安全節(jié)點的設(shè)計

為更好地對網(wǎng)絡(luò)邊界相關(guān)的安全領(lǐng)域進行聚焦，以方便IT部門集中管控，我們可以把企業(yè)的每一個網(wǎng)絡(luò)邊界接口劃為一個網(wǎng)絡(luò)節(jié)點，在相應的網(wǎng)絡(luò)節(jié)點上部署應對性的安全管理措施，筆者把這樣的網(wǎng)絡(luò)節(jié)點稱為網(wǎng)絡(luò)安全節(jié)點。安全節(jié)點分為兩種類型：外部網(wǎng)絡(luò)安全節(jié)點與內(nèi)部網(wǎng)絡(luò)安全節(jié)點。外部網(wǎng)絡(luò)安全節(jié)點設(shè)置在企業(yè)網(wǎng)絡(luò)管理的邊界，是企業(yè)主干網(wǎng)絡(luò)與外部環(huán)境進行信息通訊的關(guān)口。內(nèi)部網(wǎng)絡(luò)安全節(jié)點一般是以業(yè)務部門或者核心的子網(wǎng)絡(luò)作為邊界，其節(jié)點往往分布在部門級交換設(shè)備和其他重要業(yè)務環(huán)境的網(wǎng)絡(luò)連接設(shè)備之上，作為企業(yè)內(nèi)部信息訪問和網(wǎng)絡(luò)安全防御的集中管控邊界。

圖1 外部網(wǎng)絡(luò)安全節(jié)點設(shè)置與訪問渠道

圖2 信息平臺外部威脅流和潛在損害

欣雨電子除了位于廣州的企業(yè)總部之外，在東莞與惠州還擁有兩家分支機構(gòu)（均為制造企業(yè)），而在企業(yè)的外界網(wǎng)絡(luò)環(huán)境，欣雨電子需要和多種類型的遠程用戶進行訪問交互，包括下屬分支機構(gòu)、外部客戶、供應商、渠道合作伙伴和出差員工等遠程訪問點，因此需要在企業(yè)外部邊界設(shè)置多個不同的網(wǎng)絡(luò)安全節(jié)點，同時設(shè)計相應的安全管理策略。

以下是欣雨電子網(wǎng)絡(luò)邊界外部安全節(jié)點說明（如圖1），IT管理人員可以針對下屬分支機構(gòu)和外部伙伴用戶這兩種不同方式的訪問渠道，分別設(shè)置兩個主要的外部網(wǎng)絡(luò)安全節(jié)點，這樣IT部門便能對各個網(wǎng)絡(luò)安全節(jié)點單獨進行規(guī)劃，并且更好地將企業(yè)安全管理制度及具體節(jié)點的IT安全防護策略結(jié)合起來投入實施。圖1展示了欣雨電子外部主要安全節(jié)點的一個簡單示例。

在欣雨電子信息資產(chǎn)整體安全架構(gòu)的規(guī)劃基礎(chǔ)上，IT管理人員可以進一步分析企業(yè)可能會遭受的潛在風險與威脅流，以及各種威脅攻擊可能會導致的損害后果。此外，IT管理人員還需要在網(wǎng)絡(luò)邊界以及關(guān)聯(lián)區(qū)域邊界中標注對應的安全節(jié)點，以便能直觀地規(guī)劃相關(guān)的安全管理策略。圖2展示了一個外部威脅攻擊流和潛在攻擊損害的簡化示例圖樣，其中已標注了欣雨電子外部及內(nèi)部網(wǎng)絡(luò)安全節(jié)點的關(guān)鍵管控位置。

階段三：網(wǎng)絡(luò)邊界安全防護拓撲模型的構(gòu)建

大多數(shù)企業(yè)內(nèi)部的IT基礎(chǔ)設(shè)施都包含有多種不同的信息資產(chǎn)類型，這些信息資產(chǎn)是由業(yè)務與數(shù)據(jù)的敏感程度來定義的，需要對其加以區(qū)分管理。在本文中，筆者引入“安全區(qū)域”的概念，將安全級別和安全策略相似或相同的信息資產(chǎn)類型，劃分為一個安全區(qū)域，并進一步分解為較小的安全管理區(qū)域。

根據(jù)這一設(shè)計思想，欣雨電子的信息基礎(chǔ)平臺可劃分為以下幾個主要的安全管理區(qū)域：邊界連接區(qū)（主要針對互聯(lián)網(wǎng)與廣域網(wǎng)鏈接）、DMZ隔離區(qū)、數(shù)據(jù)中心管理區(qū)、生產(chǎn)管制區(qū)、內(nèi)網(wǎng)辦公區(qū)（可按業(yè)務部門的環(huán)境進一步分解）以及測試管控區(qū)等幾個安全區(qū)域，每個安全域?qū)粋€或多個安全節(jié)點，以便進行安全策略的細化部署。

在完成了上述的準備步驟之后，IT部門需要結(jié)合欣雨電子信息平臺的整體架構(gòu)來設(shè)計網(wǎng)絡(luò)邊界安全的拓撲模型。為了能直觀地展現(xiàn)網(wǎng)絡(luò)架構(gòu)模型，這里僅畫出一個比較簡單的拓撲模型，其中網(wǎng)絡(luò)邊界安全體系采用了縱深防御的設(shè)計結(jié)構(gòu)，如圖3所示。

圖3 縱深邊界防護信息基礎(chǔ)架構(gòu)拓撲模型

階段四：邊界安全縱深防護體系的部署

從上圖3可以看出，欣雨電子的信息基礎(chǔ)平臺同樣具有多層次、多領(lǐng)域的結(jié)構(gòu)。因此，欣雨電子需要部署一套深層次的邊界防護解決方案，而其中重點是要覆蓋網(wǎng)絡(luò)通信、傳輸狀態(tài)、數(shù)據(jù)保護以及應用層安全等在內(nèi)的多個層級目標，它應該工作在第2層（數(shù)據(jù)鏈路層）到第6層（表示層）乃至第7層（應用層）的OSI網(wǎng)絡(luò)架構(gòu)區(qū)間，這樣才能更好地保障信息資產(chǎn)立體防御的運作效果。

部署縱深安全防護體系需要多種類型的安全設(shè)備與系統(tǒng)作為基礎(chǔ)支撐。欣雨電子IT部門通過綜合考量各種因素后認為，在網(wǎng)絡(luò)邊界上應該側(cè)重部署由邊界路由器、邊界防火墻、邊界交換機、VPN與應用層防御系統(tǒng)等多重設(shè)施組成的邊界縱深防護方案，這樣既可達到較為有效的防護效果，又能使方案的成本投入容易為企業(yè)管理層和預算決策主管所接受。

網(wǎng)絡(luò)邊界安全防護方案的總結(jié)

本文所述之內(nèi)容是將企業(yè)邊界管理的思想應用于網(wǎng)絡(luò)邊界安全防護的一個綜合性方案，并且在一家模擬的制造企業(yè)中加以實施。這個方案從縱深防御的角度入手，將網(wǎng)絡(luò)邊界進行分解管理，能夠有效地提高網(wǎng)絡(luò)邊界乃至企業(yè)信息資產(chǎn)平臺的安全防御水平。但每一家企業(yè)的信息環(huán)境和所面對的安全問題各不相同，因此本文的最終目的是希望能給企業(yè)管理人員和IT管理人員一個簡單的參考，向廣大同行們學習交流更多的成熟經(jīng)驗，并且也歡迎同行們的批評指正。