2024年4月19日发(作者：)

网络安全域概念及划分

一、 网络安全域的概念

网络安全域是指同一系统内有相同的安全保护需求，相互信任，并具

有相同的安全访问控制和边界控制策略的子网或网络，且相同的网络安全

域共享一样的安全策略。广义可理解为具有相同业务要求和安全要求的

IT系统要素的集合。

网络安全域从大的方面分一般可划分为四个部分：本地网络、远程网络、

公共网络、伙伴访问。而在不同的安全域之间需要设置防火墙以进行安全

保护。

二、为什么要对网络安全域划分

随着业务的不断发展，计算机网络变得越来越复杂，将网络划分为不

同的区域，对每个区域进行层次化地有重点的保护，是建立纵深防御安全

系统的自然而有效的手段。

网络安全域的定义和划分原则网络安全域是指同一系统内有相同的

安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的

子网或网络，且相同的网络安全域共享一样的安全策略。广义的安全域是

具有相同业务要求和安全要求的系统要素集合，这些要素包括网络区域、

主机和系统、人和组织、物理环境、策略和流程、业务和使命等诸多因素。

通过网络安全域的划分，可以把一个复杂的大型网络系统安全问题转

化为较小区域更为单纯的安全保护问题，从而更好地控制网络安全风险，

降低系统风险;利用网络安全域的划分，理顺网络架构，可以更好地指导

系统的安全规划和设计、人网和验收工作;通过网络安全域的划分，各区

域防护重点明确，可以将有限的安全设备投人到最需要保护的资产，提高

安全设备利用率;有了网络安全域的划分，相对简化了网络安全的运维工

作，并可有的放矢地部署网络审计设备，提供检查审核依据。

三、网络安全域的划分原则

（1）业务保障原则安全域方法的根本目标是能够更好地保障企业的生

产经营业务。在保证安全的同时，还要保障业务的正常运行和运行效率。

（2）结构简化原则简单的网络结构便于设计防护体系，安全域划分并

不是粒度越细越好，安全域数量过多过杂可能导致安全域的管理过于复杂

和困难。

（3）等级保护原则安全域的划分要做到每个安全域的信息资产价值相

近，具有相同或相近的安全等级、安全环境、安全策略等。

（4）立体协防原则安全域的主要对象是网络，但是围绕安全域的防护

需要考虑在各个层次上立体防守，包括在物理链路、网络、主机系统、应

用等层次;同时，在部署安全域防护体系时，要综合运用身份鉴别、访问

控制、检测审计、链路冗余、内容检测等各种安全功能实现协防。‘

（5）生命周期原则对于安全域的划分和布防不仅仅要考虑静态设计，

还要考虑不断的变化。

企业网络安全域的划分方法网络安全域划分的最佳时间是在企业业务

信息系统和网络建设的初期。但现实中网络安全域的划分大多是在现有网

络的基础上进行的，或多或少受到现有业务和系统的制约，这就要求网络

安全域划分应在遵循基本原则的基础上结合现有系统的业务特性、安全需

求、网络层次等实际因素来进行。

四、网络安全域划分的基本方法

（1）按照业务系统来划分。这种方法依据业务系统的分类来区分支持

不同业务系统的网络区域，从而把网络划分成不同的网络安全域。如承载

办公系统的办公网、生产系统的生产网、管理系统的管理网等等。这种划

分方法自然简单，对现有系统改动最小，最容易实施。但由于类似的业务

系统都面对相同的安全威胁，需要采用同样的防护手段，防护复杂而且技

术投人必然重复，增加了网络安全系统的建设成本。

（2）按照防护等级来划分。这种方法依据网络中信息资产的价值划分

不同的防护等级，相同等级构成相同的网络安全域。这种划分方法中每个

等级的安全域的安全防护要求是一致的，防护手段是统一的，不同等级的

安全域采用不同的安全手段，有效地减少了重复投资，同时也体现了安全

纵深防御的思想。但是由于按安全等级形成的网络区域与按业务特性形成

的网络区域有较大的差别，对已有系统重新调整整合的难度会很大，可能

会影响业务系统的正常运营和性能。因此这种方法比较适合新建业务系统

的网络安全区域规划和划分。.

（3）按照系统行为来划分。这种方法按照信息系统的不同行为和需求

来划分相应网络安全域，并根据信息系统的等级和特点选择相应的防护手

段。这种方法由于从业务系统现状出发，充分考虑了承载业务系统的信息

系统的行大和外部威胁，能够设计出比按业务系统划分方法更为细致的网

络安全域，同时又可以避免业务系统大规模调整，而且也兼顾到了防护等

级，是国际上常见的安全域划分方法。但由于要对每一个承载业务的信息

系统都要进行系统行为的分析，对于信息系统繁多的大型企业，划分工作

量较大，安全区域太细也影响了安全投人的经济性。尽管如此，按照系统

行为划分安全域的方法仍然是国际上常见的方法。例如美国国家安全局的

IATF(信息保障技术框架)就建议采用按系统行为的方法来划分网络安全

域。IATF据此将每个信息系统划分为4个安全域:边界接人域、计算环境

域、网络基础设施域、支撑设施域。IATF的方法论是基于同构性简化的

方法。同构性简化是将复杂的环境归结成一个或者几个简单单元的组合。

其基本思路是认为一个复杂的网络应当由一些相通的网络结构单元拼接、

递归所组成，而IATF是通过对网络系统所承载的信息系统的数据处理行

为分析出这些单元的。