网络安全防护与病毒防治手册（执行版）.docxVIP

网络安全防护与病毒防治手册（执行版）

网络安全防护与病毒防治手册（执行版）

第1章网络基础架构与边界防护

1.1网络基础架构与边界防护

在构建企业网络时，必须首先规划清晰的逻辑架构，将用户网络、服务器网络及管理网络划分为不同VLAN（虚拟局域网），通过三层交换机作为核心汇聚设备，实现广播域隔离，防止内部攻击横向扩散。核心设备需部署高性能防火墙，配置基于策略的访问控制列表（ACL），严格遵循“最小权限原则”，仅允许业务必需的端口（如80/443用于Web，445用于SMB）在受信任区域与外部访问，关闭所有默认开放的端口。

对于内网关键服务器（如数据库、邮件服务器），必须启用网络隔离策略，将其置于DMZ（受控外网）区域，仅通过专用安全连接与外部互联网通信，切断其与其他内网资源的直接连通性。在边界网关处部署下一代防火墙（NGFW），不仅过滤基于IP和端口的流量，还需深度解析应用层协议，识别并阻断利用漏洞（如SQL注入、XSS）进行的横向移动攻击。必须配置入侵检测系统（IDS）与入侵防御系统（IPS），对异常流量进行实时扫描，一旦检测到未知攻击行为，系统应自动将可疑IP列入黑名单并阻断连接，同时记录详细的攻击日志供事后分析。

定期备份防火墙策略和访问控制列表，并设置自动恢复机制，确保在网络变更或故障发生时，能在几分钟内将网络恢复至预设的安