52、企业网络安全：分段策略与关键术语解析

企业网络安全：分段策略与关键术语解析

1. 传统网络安全的误区

企业常常将复杂的安全措施误认为是“深度防御”。例如，在网络外部设置防火墙、入侵检测系统、代理和数据包捕获设备，但实际上这些只是单层安全防护的四个组成部分。一旦企业内部计算机被攻破，内部缺乏额外的保护措施来阻止攻击者。

在企业的非军事区（DMZ），虽然有一层防御保护后端服务器免受面向互联网的服务器的攻击，但连接两者的通道允许大量数据和流量通过，攻击者往往只需攻破 DMZ 中的一台机器，就可以获取企业所需的一切。

真正的深度防御意味着防御者在攻击者开始攻击到实现目标之间有多次阻止他们的机会。它可以减缓攻击者的速度，引导他们的行动，并增加企业检测和阻止他们的机会。

2. 传统网络架构的问题

传统网络通常只有两个区域：DMZ 和“可信区域”。其中，DMZ 包含面向互联网的服务器，而“可信区域”包含内部用户和服务器。具有讽刺意味的是，企业将用户置于包含最珍贵企业数据的服务器旁边，而实际上企业用户是大多数攻击的目标，也是整体安全架构中最薄弱的环节。

在传统架构中，系统管理、认证和监控功能、电子邮件、应用服务器、数据库服务器和虚拟桌面等众多功能都位于可信网络中，各功能之间缺乏保护，一旦攻击进入内部，就难以提供额外保护。

3. 保护安全基础设施

有针对性的攻击者通常具备一定能力，他们会寻求最快、最便宜的方式来攻破企业并窃取数据。在企业中，如果所有方面的保护水平相同（或都很差），攻击者最容易的做法是控制系统管理通道，然后获取访问网络上所有内容的权限。

为了阻止这些攻击者，企业网络防御者首先要做的是保护安全基础