企业官网建设流程全解析

1. 网络和通信层

1.1. 通用基础设施

• 1.1.1. 网络安全域（或网络分区）。

• 1.1.2. 防火墙及配套的防火墙策略管理系统

• 1.1.3. 四层网关（可选）​，用于受控的任意协议的NAT转发等用途

1.2. 防御基础设施

• 1.2.1. 抗DDoS系统，用于缓解DDoS攻击

• 1.2.2. 网络准入控制（NAC）​，确保只有符合安全政策的设备在员工身份认证通过的情况下才能接入网络

1.3. 其他

• 1.3.1. 运维通道

• 1.3.2. 网络流量审计

1.4. 网络层IPS（入侵检测系统）​，主要是由于HTTPS或加密传输的普及，那些基于明文协议工作的产品，使用范围已大大受限

2. 网络安全域

2.1. 安全域是具有相同安全边界的网络分区，是由路由、交换机ACL（访问控制列表）​、防火墙等封闭起来的一个逻辑上的区域，可以跨地域存在，这个区域内所有主机具有相同的安全等级，内部网络自由可达

2.2. 各安全域之间的访问控制，即网络访问控制策略，由于路由、交换机ACL不会经常变更，所以网络访问控制策略管理的日常工作重点是防火墙策略管理

2.3. 简单的安全域

• 2.3.1. 只包含两个分区且无防火墙设备

• 2.3.1.1. 本地的办公网络，用于办公电脑、打印机等

• 2.3.1.2. 远程的业务网络，使用外网IP地址同时向办公网络和外部网络提供服务

• 2.3.2. 仅适用于小型创业企业起步使用，业务网络可以通过购买公有云虚拟服务器（一般提供内网IP地址和外网IP地址各一个）来快速解决

2.4. 最简单的网络安全域改进

• 2.4.1. 使用统一的接入网关，工作于反向代理模式，使用内网IP地址访问各业务，各业务不再直接对外提供服务

• 2.4.2. 业务网络可以仅保留内网IP地址，不再使用外网IP地址

2.5. 推荐的网络安全域

• 2.5.1. 接入网关用于统一接入，反向代理到后端真实的Web业务，避免直接路由到生产环境

• 2.5.2. 反向代理即转发用户请求到内部真实服务器（使用内部地址）并将结果返回给用户，对用户隐藏内部地址

• 2.5.3. 在网关上配置内部业务地址之后，只需要将业务域名指向网关即可访问内部业务

• 2.5.4. 在安全成熟度比较高的情况下，还可以将外部接入网关和内部接入网关合二为一，构建基于身份信任的网络架构

2.6. 从有边界网络到无边界网络

• 2.6.1. 过去安全体系以网络为中心，是有边界的网络，人们认为外网是不可信的，而内网是可以信任的，DMZ也是这种理念下的产物

• 2.6.2. DMZ（Demilitarized Zone，非军事区）*​是传统IT网络中安全等级介于内部网络与互联网之间的一个安全域，用于部署直接对外提供服务的服务器

• 2.6.3. IDC模式的外网网卡模式，可视为虚拟化的DMZ

• 2.6.4. IDC中的服务器，如果只有一张内网网卡，则可视为内部网络

• 2.6.4.1. 如果除了内网网卡之外，还有一张外网网卡，这张外网网卡就可以视为位于虚拟化的传统IT网络的DMZ

• 2.6.5. 本应只监听内网网卡的高危服务，经常会因服务默认配置而监听全部网卡，导致高危服务对外网开放，再加上通用口令、弱口令的使用，成为入侵内网的通道

• 2.6.6. 只有当业务和基础设施都按照最佳实践进行开发和设计的理想的情况下，边界才变得无关紧要

• 2.6.7. 当存在大量不符合最佳安全要求的存量业务的情况下，多个安全域的分层网络还是有必要继续存在的

• 2.6.8. 不能假设“内网是安全的”​，而要假设“黑客已经进入了内网”​

2.7. 一个简单、逻辑清晰的网络架构，对于公司的安全治理至关重要，它们是网络访问控制策略（防火墙策略等）赖以落地的基础设施

3. 网络接入身份认证

3.1. 是否启用网络层身份认证，对于不同规模的企业，往往选择是不同的

• 3.1.1. 创业企业可以先跳过这一部分，等条件成熟时再来考虑

• 3.1.2. 中等规模的企业，无线网络接入部分，对人的身份认证是必备的，需识别出员工和访客

• 3.1.3. 大型企业，无论是有线接入还是无线接入，除了具备对人的身份认证，还具备办公网的设备认证机制，检查接入设备是公司资产还是个人设备

• 3.1.4. 领先企业，除了具备上述对人的认证和对办公设备的认证机制外，对服务器也实施了设备身份认证

3.2. 在设备认证方面，会配合NAC（Network Admission Control，网络准入控制）机制共同使用

3.3. 对人（员工、访客、合作伙伴）的身份认证，如果是员工且采用有线接入，可直接借助Windows操作系统的域认证，或者通过安全客户端配合内部统一的SSO系统进行认证

3.4. 无线接入可采用WebAuth认证方式（在访问网站时引导到认证网页）​，员工使用SSO进行身份认证，访问使用临时随机口令等方式

3.5. 对设备的认证，如果目标是仅校验是否为公司已授权的设备，最简单的实现方式是在资产库登记设备ID、MAC地址，只要是已登记的设备且MAC一致，即认证通过

3.6. 在具有更加严格要求的网络环境，可以通过颁发设备数字证书，来执行设备认证