MENU

防御架构原则

October 10, 2017 • Security

互联网企业安全高级指南笔记

防守体系建设

信息对抗

数据化

企业自身安全风险数据建设与分析

  • 基线数据、拓扑数据、业务数据、攻击路径、攻击面
  • 针对性设防
  • 基础数据持续运营更新

社会化

  • 外部威胁情报

技术对抗

  • 防守体系
  • 高维度对维度检测防守
  • 工程能力:代码能力、海量数据运营、规则优化

运营对抗能力

  • 风险闭环:一个问题不能犯两次
  • 执行力:管理

大规模生产网络的纵深防御架构

互联网安全理念

  • 快速检测
  • 有限影响
  • 快速溯源
  • 快速恢复

攻击者视角

攻击路径:

Plan-A正面攻击

  • 应用权限
  • WebShell
  • 提权rootshell
  • 渗透全网

Plan-B曲折迂回

  • 信任域
  • 互联互通
  • 灾备镜像
  • 迂回正面

Plan-C社会工程学

  • 管理员
  • 办公网络

防御者模型

安全域划分

  • 业务视角划分安全等级
  • 抑制安全事件爆发范围

基于数据链路层隔离

  • L3 ACL
  • L4 Netfiilter
  • VPC/Vlan/VxLan隔离
  • 抑制受害源扩大

端口状态协议过滤

  • 防火墙
  • 访问控制策略

App安全

  • 纵深防御
  • WAF
  • 认证鉴权
  • 应用层漏洞
  • 信息资源统一入口

容器与运行环境

  • 容器加固
  • 危险函数
  • 底层指令

OS层防御和提权

  • 系统加固
  • 攻击免疫或攻击缓解机制

防止内核空间乱入

  • 内核强制访问控制
  • LVM
  • /dev/kmem

hypervisor

  • VMM保护方案
  • 防逃逸

互联网安全架构设计原则

纵深防御

  • 安全域
  • 安全机制

多维防御

  • WAF
  • Web日志分析
  • RASP
  • SQL审计
  • SDL

降维防御

  • 不可达、不可控、无感知底层检测拦截

实时入侵检测

  • 事中检测能力
  • 即时告警

伸缩性、可水平扩展

  • 随业务增长而扩展

支持分布式IDC

  • 支持去中心化
  • 多级部署

支持自动化运维

  • 可操作性
  • 可维护性
  • 自动化分发
  • 自动注册
  • 报告状态
  • 统一策略推送

低性能损耗

  • 架构设计

能旁路则不串联

  • 分光
  • 旁路

业务无感知

  • 安全方案落地对业务
  • 不断网
  • 不改变拓扑
  • 不改变业务逻辑
  • 无性能损耗
  • 无缝集成

去信息孤岛

  • 可联动、可关联
  • 兼容、共享、流通

TCO可控

  • 考虑持续成本
  • 放弃多余商业产品
  • 自研

受益匪浅!

Archives QR Code
QR Code for this page
Tipping QR Code