# 整体安全架构
1. **传统数据中心网络安全防护往往会面临如下困境：**
   - 1、业务场景复杂，受攻击面大
   
   - 2、过渡依赖网络边界防护，加密让入侵检测失效
   
   - 3、安全工程能力不足，应用安全先天不足
   
   - 4、漏洞层出不穷，无法及时修复
   
   - 5、内网一马平川，无险可守
    
2. **IT安全团队面临的挑战：**
   - 网络肯定会被攻破，一旦网络边界防护被突破，黑客在内网将畅通无阻，难以保障关键信息资产的安全和业务系统的稳定运行。
   
   - 传统IT安全严重依赖网络边界安全防护，想要完全据敌于国境之外是不太现实的。因此在安全设计上，要考虑局部业务被入侵后，不要造成全局性的安全影响。同时基于规则的静态防护措施，在面对动态的攻击时，迟早会被绕过。
    
3. **因此安全设计上建议如下：**
   - 建立纵深的防御体系，避免单层防线失效后攻击者畅通无阻，增加攻击者的成本，给安全监控响应团队赢得更多的响应时间；
   
   - 要加强安全态势感知能力，及时发现入侵风险，及时响应处置；
   
   - 建立分层分级的安全防护，识别核心数据、核心业务，针对性加强安全防护；
   
   - 假设内网是不安全的，对业务实施网络微分段隔离，当网络边界防护被突破时，可以有效将入侵的影响控制在局部，控制爆炸半径；
   
   - 对重要业务系统、核心数据要做好容灾备份，在遭受极端情况时，能够快速恢复业务；
     - 在所有的安全防护措施中，网络的隔离和访问控制是最基础最有效的，建议业务上云过程中，利用云上虚拟网络技术，进行合理的网络安全域划分，对业务实施网络微分段隔离。
     
     - 下面以两个具体的例子，介绍业务上云后网络安全域的规划设计，供参考。
       图1XX客户业务上云网络安全架构设计   
       ![](https://support.huaweicloud.com/landingzone-sag/zh-cn_image_0000001866949824.png) 
      
    
#### 安全设计目标
1. 防入侵：业务间隔离，防横向移动，防风险扩散
2. 防泄密：降低内部人员网络泄密风险，数据泄密可审计可追溯
3. 安全设计原则：
   - 区域治理：隔离不同业务属性的环境(如消费者、企业、开发者等)，支撑数据转移控制
   
   - 服务隔离：最小化攻击面，限制黑客横向移动范围，在最小范围遏制攻击者
   
   - 安全集成：互相隔离的服务间通过API、消息方式安全集成
   
   - 隐私遵从：云服务作为数据处理者和云服务作为数据控制者遵从隐私合规要求
   
   - 数据保护：降低内部人员泄密风险
    
4. **高价值服务区：**资产价值大（账号类、支付类、密钥类、批量用户数据存储）、或具备获取批量数据能力高权限（运营、运维）的服务，需要被重点保护。
5. **通用服务区：** 对外部用户或者内部其他服务提供服务、且不涉及存储批量用户数据、资金处理、账号数据管理、密钥管理等的服务。
   表1安全设计目标 
   | **安全域**     | **定义**                                                      |
   |:---|:---|
   | **2C业务安全域** | 面向internet用户提供服务，与2C、2D业务安全域默认网络隔离，可以从互联网访问                 |
   | **2B业务安全域** | 与合作伙伴、企业客户集成，与2C、2D业务安全域默认网络隔离，与伙伴、企业客户间通过专线、VPN等建立点对点的集成关系 |
   | **2D业务安全域** | 为开发者提供服务，与2C、2B业务安全域网络隔离，可以从互联网访问                           |
   | **数据分析安全域** | 部署数据湖、数仓、大数据分析平台等业务，是数据的聚集地，与其它各安全域默认内网隔离，只能从企业内网访问         |
   | **管理平台安全域** | 为各安全域提供运维、运营平台，供研发、运营、运维人员开展运营运维活动的服务，只能从企业内网访问。            |
      
   
 
#### 网络安全架构设计
图2网络安全架构设计   
![](https://support.huaweicloud.com/landingzone-sag/zh-cn_image_0000001868045670.png)