# 安全参考框架
基于上述安全设计原则，华为云推荐采用"一个中心 + 七层防线"的安全参考框架和华为云提供的云原生安全服务来构筑企业的云上安全防护体系，如下图所示。该安全框架完全遵守了纵深防御原则，将各种安全防护措施有机组合起来，针对保护对象（企业的关键业务系统和核心数据），因地制宜的部署合适的安全措施，形成多层安全防线，各层安全防线能够相互支持和补救，避免攻击者突破单层防线后畅通无阻，层层阻击，为防御方检测响应赢得时间。
图1一个中心和七层防线   
![](https://support.huaweicloud.com/usermanual-caf/zh-cn_image_0000002177520661.png "点击放大")
- **物理安全防线**
  华为云建设和运营的数据中心都严格实施了五层安全防护，包括机房容灾、人员管理、运维审计、数据销毁和物理隔离、CCTV和门禁等防护措施，华为云的租户无需关注数据中心的物理安全。但对于部署在企业自建机房的专属云，企业需要自己做好物理安全防护。
  

- **身份认证防线**
  需要基于零信任理念做好身份认证和权限管理，授权要遵从最小授权的原则，用户认证默认要启用多因素认证，管理好特权账号，对用户在云平台上的任何操作进行记录和审计。
  建议参考官网提供的[IAM最佳实践](https://support.huaweicloud.com/bestpractice-iam/iam_0426.html)。
  

- **网络防线**
  核心是要做好网络边界防护和内网东西向的访问控制。
  - **网络边界防护：**网络边界主要指的是企业内部网络与外部网络的边界，典型的场景如互联网接入、VPN、专线接入。客户可以基于华为云提供的云防火墙（Cloud Firewall，CFW）、VPC的安全组和ACL实施网络边界访问控制。CFW内置了网络入侵检测、入侵防御的功能。网络边界的策略应该严格按照白名单开通，应该禁止对外开放高危端口和协议。
  
  - **东西向网络防护：**应该对不同的业务按密级实施分层分级管理，如将不同密级的业务部署在不同的VPC中，通过VPC实施大的网络安全域隔离，通过CFW实施东西向VPC网络之间访问控制，并通过VPC的安全组和ACL在VPC内进一步实施网络微分段隔离。
   

- **应用防线**
  面向互联网发布的应用应该默认部署WAF防护。应用的安全是设计出来的，要重视在软件安全工程上的投入，提高应用的内生安全能力。从安全风险的角度，应优先关注面向外部网络暴露的应用，同时要识别内部核心关键应用，对这些应用优先实施针对性的安全加固。
  

- **主机防线**
  在主机层面进行入侵检测往往是最有效地，主机上要全面覆盖主机安全产品，主机安全产品可以帮助做好主机的漏洞管理，安全配置管理等基础性工作。
  

- **数据防线**
  要做好数据资产的主动发现和分类分级，围绕数据全生命周期开展数据安全治理工作，对重要数据使用过程中考虑脱敏、加密、审计等措施，对重要数据做好备份。基于身份控制策略、网络控制策略和资源控制策略构筑坚固的数据安全边界，保障敏感数据不泄露。
  

- **运维防线**
  要限制只能从安全的网络环境发起运维活动，并为运维人员建立专门的运维访问通道，如让运维人员使用专门的运维服务、堡垒机接入运维，尽量减少黑屏运维操作，降低运维活动过程中的不确定性，确保运维的活动可审计可追溯。
  

- **一个中心**
  安全防护三分在于技术，七分在于运营，只有各层防线的安全产品得到正确的配置和良好的维护，才能有效地发挥出安全防护的效果。通过一个统一的安全运营平台，将各种安全产品能力有机的整合起来，将安全防护的效果最大化。
  
纵深防御体系的建设往往需要经历一个漫长的过程，很难一蹴而就，在建设的过程中需要考虑安全、效率、成本和体验方面的平衡。企业应该例行开展安全风险评估，针对TOP安全风险实施针对性的安全加固，持续提升安全防护的能力，并通过红蓝对抗等机制来检验安全防护体系的有效性。