信息技术安全与防范手册.docxVIP

信息技术安全与防范手册

第1章网络基础架构与访问控制

1.1网络拓扑结构与物理隔离

在构建网络安全防线时，首要任务是确立清晰、稳定的网络物理架构。对于核心业务系统，必须采用“核心-汇聚-接入”的五层架构设计，其中核心层仅保留关键服务器和中间件，汇聚层负责汇聚流量，而接入层则直接连接终端设备。物理隔离是防止外部攻击者通过物理线路入侵网络的第一道也是最坚固的屏障。任何物理隔离区域（如DMZ区或独立机房）必须配备独立的电力供应系统和独立的空调系统，严禁与其他区域共用电源插座，以避免因电压波动或雷击导致设备损坏。

当部署物理隔离区时，必须严格遵循“零信任”原则，即在物理分隔线之外，没有任何设备或网络是可信的。这意味着所有进出物理隔离区的设备都必须经过独立的鉴权系统，且物理线路不得有任何裸露的网线直接穿过隔离墙。物理隔离的验证依赖于严格的物理访问控制，任何试图绕过物理隔离的行为都是绝对禁止的。例如，在部署时，应确保所有网络设备（如路由器、交换机）的电源接口与主供电回路物理断开，并加装独立的UPS不间断电源。针对关键基础设施，物理隔离不仅包括网络层的隔离，还涉及数据层的独立存储。所有核心数据库必须部署在独立的物理机房中，且该机房应配备专用的防磁屏蔽设施，以保护敏感数据不被电磁干扰窃取。

物理隔离的维护标准极为严苛，要求所有物理线路的端口必须加装物理隔离卡（如