随着越来越多的业务流程走向数字化，拥有能够处理不断增加的日常流量的强大网络对于保持生产力和服务至关重要。同时，网络攻击者永远不会停滞不前，每个组织都是潜在的目标。

　　如何设计一种能够提供可靠服务并防止未经授权的访问的网络架构。下面是一些创建和维护高效安全网络的一些关键策略，这些策略是当今数字工作场所的基本知识。

　　1. 清点并绘制所有网络资产图表

　　技术人员在设计网络时很少有绿地。取而代之的是，他们看到的是必须现代化的现有基础设施。首先，开发所有网络资产的最新清单，以及概述网络当前和期望的未来状态的映射图。创建这些配置后，请在进行任何更改之前备份所有当前配置。

　　2. 征求决策者的意见

　　安全高效的网络架构需要业务决策者的投入，包括需要完成的任务以及任何给定段中哪些资源是必需的。一旦在整个组织中建立了目标，网络分段就应该由软件定义。使用硬件和代理实现整个架构的成本太高且太复杂，无法扩展。

　　3. 实施最小权限

　　实施最小权限原则对于设计安全高效的网络架构至关重要。这涉及将用户和系统的访问权限限制在执行其任务所需的最低级别，从而减少跨网段的安全漏洞和未经授权的访问的潜在影响。

　　4. 采用零信任模型

　　在设计安全网络架构时采用零信任模型。这意味着在授予对网段的访问权限之前，无论其位置如何，都要验证每个用户和设备。基于需要知道的标准进行严格的访问控制的分段确保了严格的安全性和高效的流量管理，从而最大限度地降低了风险并优化了性能。

　　5. 遵循“纵深防御”原则

　　一个关键原则被称为“纵深防御”。这意味着不依赖单一技术、策略或流程来保护网络的任何部分。使用这种方法，您可以假设保护部分网络的任何一个单独的层（防火墙、密码或 IP 白名单）都可能受到威胁。然后，设计将多种不相关的方法组合在一起的保护措施来缓解威胁。

　　6. 对网络进行细分

　　设计安全、高效的网络架构的一个关键原则是实现强大的网络分段。这会将网络划分为多个单独的区域，每个区域都有独特的访问控制，从而减少了攻击面并遏制了潜在的漏洞。

　　7. 结合BFT原则

　　将拜占庭容错原则纳入您的网络设计中。BFT 是关于在存在故障或恶意组件的情况下确保系统可靠性和安全性。例如，如果引入冗余并将网络分段为不同的节点，每个节点都有独立的验证机制，则网络可以承受和隔离入侵或故障事件。

　　8. 自动加密数据

　　使加密保护尽可能接近敏感数据和内容，无论它位于哪个容器中。这可以通过自动加密所有敏感数据、内容和文档并以数字方式分配给适当的组、角色和/或个人来实现，从创建或摄取此类内容开始，并贯穿其整个生命周期。

　　9. 创建 VLAN

　　创建虚拟局域网是设计安全高效的网络基础设施的最佳实践。例如，安全摄像头、VoIP 手机、测试环境、公共会议室和 Wi-Fi 都应隔离在 VLAN 上。如果操作正确，则可以隔离和修复对特定内部网络的恶意尝试和攻击。

　　10. 限制人为错误的影响

　　软件是脆弱的，人类会犯错误，因此单个系统和用户的妥协是不可避免的。安全网络设计应旨在设计事物，以便恶意软件和人为错误的影响在时间和空间上受到限制。

　　11. 建立访客网络

　　创建与主网络隔离的访客网络。任何不属于公司的设备（例如，如果您有自带设备策略）只能连接到访客网络。您无法控制非贵公司拥有的设备访问的网站或设备上的内容，并且您永远不知道此类设备上存在哪些威胁。拥有访客网络将隔离任何威胁与 BYOD 策略。

　　12. 寻求隔离流量

　　网络设计人员需要掌握预期的流量、其业务目的和威胁。他们应该设计网络来隔离流量，允许监控和控制点发现和管理非典型流量。尽管微分段和入侵检测等技术模糊了分隔线，但维护控制点仍然是安全网络设计的关键原则。

　　13.尽量减少“跃点”数

　　尽量减少数据包需要采取的“跃点”数非常重要，因为每个跃点都会增加数据丢失的可能性。除了防御性方法（如外部密钥管理）和主动方法（如加密敏捷性）外，预防风险的最佳方法是部署多个安全层，以防止攻击者在关键数据在整个网络中移动时访问和提取关键数据。

　　14. 了解连接资产的行为

　　您需要了解互联资产的行为及其行为的上下文。他们连接到什么，何时连接？所需功能的基本通信是什么？自动化和人工智能可以帮助建立设备活动的基线，这对于定义仅允许批准的通信并阻止其他所有内容的分段策略至关重要。

　　15. 独立的生产和非生产网络

　　正确网络隔离的最关键设计原则之一是将生产网络与非生产（即办公室）网络完全分离。这是防止勒索软件攻击从非生产网络传播到关键生产网络的关键防御措施，这些类型的攻击通常以非生产网络为目标（通过电子邮件）。

　　16. 采取多步骤方法进行防火墙设置

　　设计防火墙规则，并仅使用日志记录（无阻止）将其落实到位。在进入完全阻塞之前根据需要进行调整。确保考虑到在月末、季度末或年末运行的非典型流程，这些流程在工作周的正常时段可能无法发现

　　17. 隔离单个 IIoT 流程

　　在制造环境中，建议将生产流程及其相关的工业物联网设备托管在被严格屏蔽和气隙的模糊网络上。确保将每个进程及其关联的 IIoT 设备隔离在不同的网络上。当需要访问流程或其IIoT设备时，请部署安全的单点入口平台，例如IXON的云平台。

免责声明：市场有风险，选择需谨慎！此文仅供参考，不作买卖依据。