移動網路安全體系架構與防護技術

A. 網路及信息系統需要構建什麼樣的網路安全防護體系

網路安全保障體系的構建

網路安全保障體系如圖1所示。其保障功能主要體現在對整個網路系統的風險及隱患進行及時的評估、識別、控制和應急處理等，便於有效地預防、保護、響應和恢復，確保系統安全運行。

圖4 網路安全保障體系框架

網路安全管理的本質是對網路信息安全風險進行動態及有效管理和控制。網路安全風險管理是網路運營管理的核心，其中的風險分為信用風險、市場風險和操作風險，包括網路信息安全風險。實際上，在網路信息安全保障體系框架中，充分體現了風險管理的理念。網路安全保障體系架構包括五個部分：

1) 網路安全策略。屬於整個體系架構的頂層設計，起到總體宏觀上的戰略性和方向性指導作用。以風險管理為核心理念，從長遠發展規劃和戰略角度整體策劃網路安全建設。

2) 網路安全政策和標准。是對網路安全策略的逐層細化和落實，包括管理、運作和技術三個層面，各層面都有相應的安全政策和標准，通過落實標准政策規范管理、運作和技術，保證其統一性和規范性。當三者發生變化時，相應的安全政策和標准也需要調整並相互適應，反之，安全政策和標准也會影響管理、運作和技術。

3) 網路安全運作。基於日常運作模式及其概念性流程（風險評估、安全控制規劃和實施、安全監控及響應恢復）。是網路安全保障體系的核心，貫穿網路安全始終；也是網路安全管理機制和技術機制在日常運作中的實現，涉及運作流程和運作管理。

4) 網路安全管理。對網路安全運作至關重要，從人員、意識、職責等方面保證網路安全運作的順利進行。網路安全通過運作體系實現，而網路安全管理體系是從人員組織的角度保證正常運作，網路安全技術體系是從技術角度保證運作。

5) 網路安全技術。網路安全運作需要的網路安全基礎服務和基礎設施的及時支持。先進完善的網路安全技術可極大提高網路安全運作的有效性，從而達到網路安全保障體系的目標，實現整個生命周期（預防、保護、檢測、響應與恢復）的風險防範和控制。

摘自-拓展：網路安全技術及應用（第3版）賈鐵軍主編，機械工業出版社，2017

B. 網路安全的防護技術有哪些

從信息系統安全防護技術來講主要有以下幾種: 1) 內聯網信息系統的一些重要信息交互, 可以採用專用的通信線路(特別是採用沒有電磁泄漏問題的光纜)來防止信息在傳輸的過程中被非法截獲。一些重要信息應進行加密後傳輸, 可以進一步防止被截獲信息的有效識別。這些技術主要為了保證信息的機密性。 2) 網路和系統隔離(防火牆等) 防火牆可以隔離內部網路和外部網路, 使得所有內外網之間的通信都經過特殊的檢查以確保安全。 對一些特別主特別服務可以採用包裝代理技術(如Wrapper等), 隔離用戶對系統的直接訪問, 加強系統的安全性。 3) 網路和系統安全掃描 網路安全掃描和系統掃描產品可以對內部網路、操作系統、系統服務、以及防火牆等系統的安全漏洞進行檢測, 即時發現漏洞給予修補, 使入侵者無機可乘。 4) 安全實時監控與入侵發現技術 信息系統的安全狀況是動態變化的, 安全實時監控系統可以發現入侵行為並可以調整系統進行及時的保護反應。 5) 操作系統安全加固 採用B級系統替代傳統的C級系統是解決系統安全問題的比較根本性的措施。考慮到可用性和經濟性的原則, 可以首先考慮在最敏感的伺服器和網路隔離設備上採用B級系統。 6) 資料庫系統和應用系統安全加固 在要害信息系統的伺服器中採用B級操作系統, 並配備B級資料庫管理系統, 將應用、服務都建設在B級的基礎上。這樣整個信息系統惡性循環才有比較根本性的保障。 7) 可生存技術 可生存性是指在遭受攻擊, 發生失效或事故時, 仍能及時完成服務使命的能力。主要是指健康性、適應性、多樣性、進化性和恢復性。 8) 加強安全管理技術 信息系統安全問題中最核心的問題是管理問題。"人"是實現信息系統安全的關鍵因素。因此需要大力加強人員安全培訓, 制訂安全管理規范。同時, 要充分利用各種技術手段進行自動化管理。

C. 什麼是網路安全架構

網路架構（Network Architecture）是為設計、構建和管理一個通信網路提供一個構架和技術基礎的藍圖。網路構架定義了數據網路通信系統的每個方面，包括但不限於用戶使用的介面類型、使用的網路協議和可能使用的網路布線的類型。網路架構典型地有一個分層結構。分層是一種現代的網路設計原理，它將通信任務劃分成很多更小的部分，每個部分完成一個特定的子任務和用小數量良好定義的方式與其它部分相結合。

D. 網路安全技術的內容簡介

《網路安全技術》內容共9章，包含網路安全理論基礎、網路攻擊與防護、網路安全應用及網路安全實驗4個部分。網路安全理論基礎部分講解了網路安全的基礎知識、網路安全體系結構、網路協議的安全性以及網路系統平台安全，、使讀者初步了解網路安全並掌握網路安全技術的架構。網路攻擊與防護部分從攻與防兩個角度講解網路安全技術，包括網路攻擊原理及技術、網路安全防護技術。網路安全應用部分講解了密碼技術在網路安全中的應用、網路安全應用。網路安全實驗部分從搭建網路安全實驗環境開始，分11個項目比較全面地講解了攻與防等實驗：使課程理論與實踐緊密地結合起來。
《網路安全技術》內容豐富，技術性強，實現了網路安全理論與應用完美的結合，給讀者以實用和最新的網路安全技術。
《網路安全技術》適用范圍廣，既可以作為高等院校網路安全課程的教材和教學參考書，又可作為網路安全培訓教材或自學參考書；對於具有一定網路管理、網路安全基礎，並希望進一步提高網路安全技術水平的讀者，也是一本理想的技術參考書。

E. 簡要概述網路安全保障體系的總體框架

網路安全保障體系的總體框架

1．網路安全整體保障體系

計算機網路安全的整體保障作用，主要體現在整個系統生命周期對風險進行整體的管理、應對和控制。網路安全整體保障體系如圖1所示。

圖4 網路安全保障體系框架結構

【拓展閱讀】：風險管理是指在對風險的可能性和不確定性等因素進行收集、分析、評估、預測的基礎上，制定的識別、衡量、積極應對、有效處置風險及妥善處理風險等一整套系統而科學的管理方法，以避免和減少風險損失。網路安全管理的本質是對信息安全風險的動態有效管理和控制。風險管理是企業運營管理的核心，風險分為信用風險、市場風險和操作風險，其中包括信息安全風險。

實際上，在網路信息安全保障體系框架中，充分體現了風險管理的理念。網路安全保障體系架構包括五個部分：

(1)網路安全策略。以風險管理為核心理念，從長遠發展規劃和戰略角度通盤考慮網路建設安全。此項處於整個體系架構的上層，起到總體的戰略性和方向性指導的作用。

(2)網路安全政策和標准。網路安全政策和標準是對網路安全策略的逐層細化和落實，包括管理、運作和技術三個不同層面，在每一層面都有相應的安全政策和標准，通過落實標准政策規范管理、運作和技術，以保證其統一性和規范性。當三者發生變化時，相應的安全政策和標准也需要調整相互適應，反之，安全政策和標准也會影響管理、運作和技術。

(3)網路安全運作。網路安全運作基於風險管理理念的日常運作模式及其概念性流程（風險評估、安全控制規劃和實施、安全監控及響應恢復）。是網路安全保障體系的核心，貫穿網路安全始終；也是網路安全管理機制和技術機制在日常運作中的實現，涉及運作流程和運作管理。

(4)網路安全管理。網路安全管理是體系框架的上層基礎，對網路安全運作至關重要，從人員、意識、職責等方面保證網路安全運作的順利進行。網路安全通過運作體系實現，而網路安全管理體系是從人員組織的角度保證正常運作，網路安全技術體系是從技術角度保證運作。

(5)網路安全技術。網路安全運作需要的網路安全基礎服務和基礎設施的及時支持。先進完善的網路安全技術可以極大提高網路安全運作的有效性，從而達到網路安全保障體系的目標，實現整個生命周期（預防、保護、檢測、響應與恢復）的風險防範和控制。

引自高等教育出版社網路安全技術與實踐賈鐵軍主編2014.9

F. 網路安全工程師要學些什麼

網路工程師的學習方向有很多，就華為認證來說，它就包括數通路由交換、無線區域網、無線、傳送網、安全、統一通信、視訊、雲計算、伺服器、存儲以及ICT融合設計等多個技術領域。
隨著互聯網發展和IT技術的普及，網路和IT已經日漸深入到日常生活和工作當中，一些網路安全問題也層出不窮，網路安全工程師此時就能很好的體現自己的價值，因此，在網路工程師不同技術領域中，安全方向也是很多人想要學習的方向。

那麼網路安全工程師要學什麼呢？
以我們華為系列認證中的安全方向為例。

華為網路安全工程師hcia-Security認證

HCIA-Security認證定位於中小型企業信息安全解決方案的基本配置和維護。主要包括：信息安全概述、信息安全標准與規范簡介、常見攻擊手段、操作系統安全簡介、防火牆安全策略、防火牆NAT技術、防火牆雙機熱備技術、入侵防禦技術簡介、密碼學基礎、PKI機制、IPSec/SSL VPN技術、數據監控與分析、電子取證技術以及應急響應技術簡介。
通過HCIA-Security認證，將證明你對中小型網路信息安全基礎知識、華為防火牆技術、加解密技術、信息安全系統運維有初步的了解，並具備協助設計中小型企業安全網路架構以及部署和維護相應解決方案的能力。

華為網路安全工程師HCIP-Security認證

HCIP-Security認證定位於大中型企業網路安全解決方案的實施和維護。它包括但不限於：防火牆高可靠性、VPN高級應用、網路QoS管理、應用安全防護技術、雲安全技術、終端安全系統部署、BYOD移動辦公系統、無線網路安全技術等。通過HCIP-Security認證，將證明您對華為網路邊界安全、應用安全、終端安全技術有深入的了解，具備大中型企業網路安全解決方案實施和維護的能力。

華為網路安全工程師HCIE-Security認證

HCIE-Security認證定位網路安全解決方案設計、部署、管理和優化，旨在推動業界網路安全行業的專家型人才培養。它主要分為四個方面： 一、防火牆基礎技術,防火牆安全策略,防火牆用戶管理，VPN，UTM，攻擊防範，虛擬化和限流策略；二、終端安全體系規劃、部署、維護與優化；三、安全解決方案和規劃設計方案；四、安全體系架構和安全標準的最佳實踐。

通過HCIE- Security認證，將證明您對網路安全技術有全面深入的理解，具備網路安全復雜應用的專家能力，掌握大中型復雜網路安全方案的設計、部署、維護和優化，以及使用華為安全產品構建企業網路安全方案的綜合能力。
不同級別的網路安全工程師要學習的內容以及深度都是逐級遞增的，要學好網路工程師，一個靠譜的學習機構很重要哦！

G. 什麼是網路信息系統安全體系結構

隨著信息化進程的深入和互聯網的快速發展，網路化已經成為企業信息化的發展大趨勢，信息資源也得到最大程度的共享。但是，緊隨信息化發展而來的網路安全問題日漸凸出，網路安全問題已成為信息時代人類共同面臨的挑戰，網路信息安全問題成為當務之急，如果不很好地解決這個問題，必將阻礙信息化發展的進程。

1、安全攻擊、安全機制和安全服務

ITU-T X.800標准將我們常說的「網路安全（networksecurity）」進行邏輯上的分別定義，即安全攻擊(security attack)是指損害機構所擁有信息的安全的任何行為；安全機制（security mechanism）是指設計用於檢測、預防安全攻擊或者恢復系統的機制；安全服務（security service）是指採用一種或多種安全機制以抵禦安全攻擊、提高機構的數據處理系統安全和信息傳輸安全的服務。三者之間的關系如表1所示。

2、網路安全防範體系框架結構

為了能夠有效了解用戶的安全需求，選擇各種安全產品和策略，有必要建立一些系統的方法來進行網路安全防範。網路安全防範體系的科學性、可行性是其可順利實施的保障。基於DISSP擴展的一個三維安全防範技術體系框架結構，第一維是安全服務，給出了八種安全屬性（ITU-T REC-X.800-199103-I）。第二維是系統單元，給出了信息網路系統的組成。第三維是結構層次，給出並擴展了國際標准化組織ISO的開放系統互聯（OSI）模型。

框架結構中的每一個系統單元都對應於某一個協議層次，需要採取若干種安全服務才能保證該系統單元的安全。網路平台需要有網路節點之間的認證、訪問控制，應用平台需要有針對用戶的認證、訪問控制，需要保證數據傳輸的完整性、保密性，需要有抗抵賴和審計的功能，需要保證應用系統的可用性和可靠性。針對一個信息網路系統，如果在各個系統單元都有相應的安全措施來滿足其安全需求，則我們認為該信息網路是安全的。

3、網路安全防範體系層次

作為全方位的、整體的網路安全防範體系也是分層次的，不同層次反映了不同的安全問題，根據網路的應用現狀情況和網路的結構，我們將安全防範體系的層次劃分為物理層安全、系統層安全、網路層安全、應用層安全和安全管理。

1．物理環境的安全性（物理層安全）

該層次的安全包括通信線路的安全，物理設備的安全，機房的安全等。物理層的安全主要體現在通信線路的可靠性（線路備份、網管軟體、傳輸介質），軟硬體設備安全性（替換設備、拆卸設備、增加設備），設備的備份，防災害能力、防干擾能力，設備的運行環境（溫度、濕度、煙塵），不間斷電源保障，等等。

2．操作系統的安全性（系統層安全）

該層次的安全問題來自網路內使用的操作系統的安全，如Windows NT，Windows 2000等。主要表現在三方面，一是操作系統本身的缺陷帶來的不安全因素，主要包括身份認證、訪問控制、系統漏洞等。二是對操作系統的安全配置問題。三是病毒對操作系統的威脅。

3．網路的安全性（網路層安全）

該層次的安全問題主要體現在網路方面的安全性，包括網路層身份認證，網路資源的訪問控制，數據傳輸的保密與完整性，遠程接入的安全，域名系統的安全，路由系統的安全，入侵檢測的手段，網路設施防病毒等。

4．應用的安全性（應用層安全）

該層次的安全問題主要由提供服務所採用的應用軟體和數據的安全性產生，包括Web服務、電子郵件系統、DNS等。此外，還包括病毒對系統的威脅。

5．管理的安全性（管理層安全）

安全管理包括安全技術和設備的管理、安全管理制度、部門與人員的組織規則等。管理的制度化極大程度地影響著整個網路的安全，嚴格的安全管理制度、明確的部門安全職責劃分、合理的人員角色配置都可以在很大程度上降低其它層次的安全漏洞。