网络安全和系统安全的正确姿势——运维安全塔
嘉宾介绍
朱磊，（James Wharton），现任北京沃顿在线执行总裁，复旦大学外聘主讲（安全软件架构课程）。前京东、完美世界高级安全经理、负责运维安全、业务安全方向，主导运维流程建设、安全系统设计、信息安全体系落地。
主要内容
将运维进行层次划分，从网络到前端防护逐级分解各层次中安全的风险，以及在安全方向应该重心的地方。
本次分享主要集中在 网络安全 、 系统安全 和 权限管理 这三个层次。
引子
如上图，这是比较常见的互联网公司内部网络划分的方式：
-
简单点的会有办公网和生产环境;
-
稍微好一些的，会为研发团队单独划出一个物理隔离的开发环境。
其中，针对办公网的划分比较讲究的是按部门进行VLAN的划分，不同部门之间的VLAN无特别需求是不能相互访问的。
这点针对黑客或内网病毒、ARP攻击的抵御是比较有效的。然而，公司内网只是在心理上让员工觉得大家是在一个独立的网络里，外面接触不到，但正是这种心理以及非技术人员安全意识不够，让公司内网成为了攻击者的首选目标。
试想，市场部门打开一个要求市场合作的邮件是多么正常的行为，HR打开应聘者的简历同样是多么正常的行为。
但市场人员和HR的员工是不具备分辨邮件附件是否是病毒的能力，而攻击者在渗透的初期通常会做信息收集。
通过百度、GOOGLE、Bing这类搜索引擎公司暴露在外的邮件地址，然后对这些邮件地址按照部门进行简单分类，再针对不同岗位职责为病毒文件编辑不同的文件名称，如发给市场的文档，就叫XXX市场合作方案.docx；给HR的就叫XXX简历.docx等。
当病毒在内网中被执行，黑客就有了一个攻击内网的跳板，此时如果内部的办公网络没有按部门进行划分和ACL的限制，那么攻击者就会借助跳板在内网中进行弱口令扫描，发起ARP欺骗。
再有一类风险是，员工电脑偶尔会收到“X.X.X.X地址正在扫描你的主机”此类主机防御软件的报警提示，当然，只要被防御软件提示出来的，我们都应该比较放心，因为攻击被拦截了，但非技术人员不一定这么想。
而针对内部的防御系统部署，其实是个大工程，防御不是一个系统去解决的事情。好比国家安全的防御部署需要涵盖海陆空，企业也一样，防御包括从网络边界到区域访问、从系统安全到应用系统策略等。
为了方便理解，我将整体的防御做了一个归类分层，这就是我所说的运维安全塔叻。本次分享着重在网络安全和系统安全。
运维塔第一层：网络安全
运维小塔有7层，我们从底层往上解读，首先是第一层网络安全。网络是基础，这就是为什么开始的时候先以内网区域划分以及举例不严格VLAN+ACL的例子开场。
网络层，除了刚才提到的办公区域的划分，同时还要重点针对运维环境、开发测试环境和生产环境通道进行明确。
这里的明确不只是简单地把区域给界定出来，而是要初步定义ACL的主框架。默认的安全策略采用白名单机制，没有特别需求的网络区域之间是不能访问的，有需求单独提出，同时配合流程及制度，然而策略也并非一直留存，而是要定义一个策略的有效周期。不然通行策略开的多了，白名单的区域限制策略就失去意义了。
正文到此结束
热门推荐
相关文章
近期评论
-
文章和留言都翻到11页了 没有OOM
-
-
朋友，翻页到11页，及以后，会出现OOM，无法访问
-
-
搞个gitee的项目
-
-
版本号是多少，你可以下载哪个代码仓库，jdk选1.8 直接跑就行
-
-
-
Loading...
![[HBLOG]公众号](https://www.liuhaihua.cn/img/qrcode_gzh.jpg)
