一、前言
网络安全不是买几个防火墙、装几套杀毒软件就能搞定的事情。一个真正有效的安全防护体系，需要从网络架构设计开始，贯穿边界防护、主机安全、应用安全、数据安全四个层面，再配合持续的漏洞扫描和安全运营才能形成闭环。
本文从实战角度出发，系统梳理企业网络安全体系建设的核心要点。
二、组网架构与安全分区
2.1 安全域划分
企业网络应采用分区治理思路，至少划分三个安全域：
| 安全域 | 典型系统 | 安全等级 | 访问控制策略 |
|---|---|---|---|
| 外网区（DMZ） | Web服务器、邮件网关、VPN入口 | 中等 | 允许外部访问，严格控制入站规则 |
| 内网区（Trust） | 办公终端、文件服务器、ERP/OA | 较高 | 禁止外部直接访问，仅开放业务端口 |
| 核心区（Core） | 数据库、财务系统、HR系统 | 最高 | 仅允许内网特定子网访问，零信任策略 |
2.2 VLAN 隔离
- 业务 VLAN：研发、财务、人事等不同部门分配独立 VLAN
- 访客 VLAN：与内网完全隔离，仅提供互联网出口
- 管理 VLAN：网络设备、服务器的管理端口专用
审核要点：检查交换机配置中 VLAN 间的 ACL 规则是否生效，是否存在跨 VLAN 未授权访问。
2.3 VPN 远程接入
- IPsec VPN：适用于站点到站点（Site-to-Site），如分支办公室接入总部
- SSL VPN：适用于移动办公人员，基于浏览器/客户端连接
- 安全要求：强制使用证书认证 + 双因素认证（2FA），禁止纯密码登录
三、网络边界安全防护
3.1 防火墙策略
分层防火墙部署模型：
互联网 → 边界防火墙（NGFW） → DMZ → 内部防火墙 → 内网 → 主机防火墙
关键原则：
– 默认拒绝：白名单模式，只放行明确需要的流量
– 最小权限：每个规则仅开放必要的源IP、目的IP、端口
– 定期审计：每季度清理无效规则，防止规则膨胀造成的风险
3.2 IPS/IDS 入侵检测与防御
| 类型 | 工作方式 | 部署位置 | 适用场景 |
|---|---|---|---|
| IDS（入侵检测） | 旁路监听，告警不阻断 | 核心交换机镜像端口 | 合规审计、安全态势感知 |
| IPS（入侵防御） | 串联部署，实时阻断 | 防火墙之后、核心交换之前 | 实时攻击拦截 |
3.3 WAF 应用防火墙
- 部署于 Web 服务器前端，防御 SQL 注入、XSS、CSRF 等 OWASP Top 10 攻击
- 云端 WAF（如 Cloudflare、阿里云WAF）：适合中小企业，免运维
- 硬件/软件 WAF：适合对延迟敏感或有合规要求的企业
四、主机安全与端点防护
4.1 服务器加固检查清单
- [ ] 关闭不必要的端口和服务（netstat 检查）
- [ ] 操作系统及中间件已更新到最新安全补丁
- [ ] 禁用默认账户，管理员账户使用强密码策略（12位以上，含大小写+数字+特殊字符）
- [ ] SSH 仅允许密钥登录，禁止 root 远程登录
- [ ] 安装并配置 HIDS（主机入侵检测系统）
4.2 终端安全（EDR）
相比传统杀毒软件，EDR（端点检测与响应） 提供了持续的终端行为监控能力：
| 能力 | 传统杀软 | EDR |
|---|---|---|
| 检测方式 | 特征码匹配 | 行为分析 + 威胁情报 |
| 响应能力 | 隔离文件 | 进程阻断、网络隔离、溯源调查 |
| 可视化 | 无 | 攻击链可视化、威胁图谱 |
五、应用安全
5.1 安全开发生命周期（SDL）
应用安全要从开发阶段抓起，而非上线后再”打补丁”：
需求阶段 → 识别安全需求，进行威胁建模
设计阶段 → 安全架构评审，数据流分析
开发阶段 → 代码安全规范（SAST 静态扫描集成到 CI/CD）
测试阶段 → DAST 动态扫描 + 渗透测试 + 安全回归测试
发布阶段 → 云配置检查，容器镜像漏洞扫描
运维阶段 → WAF 策略更新，持续安全监控
5.2 常见应用漏洞与修复
| 漏洞类型 | 成因 | 修复建议 |
|---|---|---|
| SQL 注入 | 未使用参数化查询 | 采用预编译 SQL（PreparedStatement） |
| XSS 跨站脚本 | 输出未转义 | 输出编码 + CSP 策略 |
| CSRF | 无请求来源验证 | 增加 CSRF Token + SameSite Cookie |
| 越权访问 | 仅前端校验权限 | 后端强制鉴权，接口级权限控制 |
| 文件上传漏洞 | 未校验文件类型 | 白名单限制类型 + 服务器端检测文件内容 |
六、漏洞扫描与评估
6.1 漏洞扫描工具选型
| 工具 | 类型 | 优势 | 适用场景 |
|---|---|---|---|
| Nessus | 商业漏洞扫描器 | 漏洞库全面，报表专业 | 企业级漏洞管理 |
| OpenVAS | 开源扫描器 | 免费，持续更新 | 中小企业或预算有限 |
| Nuclei | 开源模板扫描 | 速度快，模板丰富 | DevSecOps 自动化集成 |
| AWVS | Web 应用扫描 | 爬虫能力强 | Web 应用专项扫描 |
| Goby | 红队扫描 | 资产发现 + 漏洞利用 | 渗透测试、红蓝对抗 |
6.2 漏洞扫描流程
资产发现 → 端口扫描 → 服务识别 → 漏洞匹配 → 风险评估 → 出具报告 → 跟踪修复
最佳实践：
– 频率：核心系统每月至少扫描一次，互联网暴露面每周扫描
– 扫描窗口：选择业务低峰期，避免影响生产环境
– 白盒+黑盒结合：SAST（白盒源代码扫描） + DAST（黑盒应用扫描）
– 漏洞管理闭环：发现 → 评估 → 分配 → 修复 → 验证 → 关闭
6.3 漏洞定级标准（CVSS v3.1）
| 等级 | CVSS 分数 | 响应要求 |
|---|---|---|
| 紧急 | 9.0 – 10.0 | 24小时内修复 |
| 高危 | 7.0 – 8.9 | 72小时内修复 |
| 中危 | 4.0 – 6.9 | 30天内修复 |
| 低危 | 0.1 – 3.9 | 下一版本修复或接受风险 |
七、日志审计与安全运营
7.1 日志采集范围
- 网络设备：防火墙、交换机、负载均衡器日志
- 安全设备：IPS/IDS、WAF 告警日志
- 服务器：操作系统 syslog、登录审计（auditd）
- 应用：Web 服务器 access/error log、数据库审计日志
- 云：云平台操作审计日志（如 AWS CloudTrail、阿里云 ActionTrail）
7.2 SIEM 安全信息与事件管理
将上述日志统一接入 SIEM 平台（如 Splunk、ELK、Graylog），实现：
– 集中存储：日志集中管理，防篡改
– 关联分析：多源日志关联，发现攻击链
– 自动告警：基于规则触发通知（企业微信、邮件、短信）
– 合规报表：满足等保、ISO 27001 审计要求
八、总结
企业网络安全体系建设不是一蹴而就的，建议按以下优先级逐步推进：
第一阶段（1-3月）：防火墙策略梳理 + 资产发现 + 漏洞扫描基线
第二阶段（3-6月）：WAF 部署 + EDR 推广 + SIEM 日志集中
第三阶段（6-12月）：安全编排自动化（SOAR） + 红蓝对抗演练
安全是一个持续改进的过程，需要组织从管理制度、技术手段、人员意识三个维度协同推进。
本文首发于 土人老周，转载请注明出处。