网络安全研究与创新发展手册_1.docxVIP

网络安全研究与创新发展手册

第1章网络安全基础理论

1.1网络架构与安全模型

网络架构是网络安全设计的物理与逻辑基石，现代企业普遍采用“零信任”架构，即不默认用户或设备是可信的，必须对每一次访问请求进行持续验证。以金融核心交易系统为例，其架构设计将数据分为敏感区与非敏感区，通过微隔离技术确保即使某台服务器被入侵，攻击者也无法横向移动至数据库层。安全模型通常基于鲍尔-莫里斯模型（B-M模型），该模型定义了三个关键要素：攻击者、受保护对象和攻击路径。在构建模型时，工程师需明确界定“攻击者”的权限范围，例如在政务网中，攻击者仅拥有读取本地文件的能力，而无权限访问核心业务逻辑代码。

纵深防御策略要求构建多层防御体系，而非依赖单一防火墙。例如在银行转账系统中，除了部署下一代防火墙（NGFW）阻断外部IP外，还需在应用层部署Web应用防火墙（WAF）识别SQL注入，再在数据库层部署应用防火墙（AppFW）拦截异常流量，形成立体防护网。安全模型中的“受保护对象”需具备明确的边界划分，如采用虚拟私有云（VPC）将内部网络与互联网完全隔离。在实施过程中，需配置防火墙规则，仅允许源IP为特定业务系统的IP段访问内部服务，严禁跨网段通信。攻击路径分析是模型构建的核心，需识别从外部入口到内部目标的所有可能路线。以勒索软件攻击为例，攻击者通常通过钓鱼邮件获取凭证，