信息安全与网络攻防手册_1.docxVIP

信息安全与网络攻防手册

第1章基础架构与网络边界防护

1.1网络拓扑分析与安全模型

1.1.1网络拓扑分析与安全模型

网络拓扑是理解网络架构的基石，它决定了数据包的传输路径和故障隔离范围。在进行安全审计前，必须绘制出包含物理连接和逻辑路由的完整拓扑图。

首先识别核心交换机与接入层交换机的连接方式，确认是否存在单点故障风险，例如使用双链路冗余设计将核心节点与接入层连接，确保单条链路中断不影响业务。分析VLAN划分策略，验证是否已将不同业务部门（如财务、研发、办公区）的逻辑隔离，防止内部横向移动攻击。

检查网闸（Firewall）的位置，确认其是否位于核心网与互联网之间的关键位置，形成纵深防御的第一道物理屏障。梳理DNS解析路径，确保所有外部域名解析都经过受信任的DNS服务器，避免通过非法域名绕过防火墙策略。评估广播域范围，确认大型广播风暴不会导致全网瘫痪，并规划好广播风暴抑制（StormDomination）的端口配置。

建立“物理-逻辑”双视图模型，将实际布线与配置表一一对应，确保任何物理端口变更都能即时反映在安全策略中。

1.1.2物理安全与环境管控

物理环境是网络攻击的温床，必须实施严格的物理访问控制和环境监控措施。

部署智能门禁系统，仅允许持有特定安全密钥的运维人员携带工具进入机房，并记录所有进出人员的生物特征及时间戳。在关键