2．  网络安全：(安全域划分，远程接入等)

2．1  网络设备自身的安全。

     要求设备供应商必须提供针对自己设备的安全建议和安全加固手册，否则不予采购设备。（尤其注意设备对外开放的服务，端口和协议和安全配置）

2．2  严格做好网络层面上的访问控制。

     严格的ACL能消除绝大多数隐患。（访问控制是否合理，尤其是各VLAN之间的访问控制是否够严格）

2．3 流量分析和监控。

    要清楚知道网络中目前正常的和异常的流量，从流量中分析出攻击的前兆，以便及时采取措施。

2．4 深度防御。

    深度防御的含义就是在一层防御的基础上提供更深一层的保护，增加网络的安全性。使攻击者想深入系统必须经过多层屏障。深度防御的典型代表是IPS设备。

3．  系统安全：

3．1  系统安装最小化原则：只安装需要的软件包。

3．2  系统服务最小化原则：只使用需要的服务。

     3．3   利用安全弱点管理系统去发现系统已知的安全隐患（95％的攻击是针对已知漏洞）

3．4  系统更新原则：始终保持系统的OS在系统商提供的最安全稳定的版本上，同时保持系统软件补丁的最新更新
3．5   系统操作透明化原则：保证所有人的操作行为都必须透明化,出了问题一定要能追查到人

4．  应用安全：

4．1  对每一个应用软件要很清楚是否够安全：

    如果不够了解软件，不如不使用。比如你使用了apache，那么你目前的版本是否是最稳定和安全的，你必须要仔细阅读ChangeLog,判断新版本和老版本的区别是在功能修复还是安全修复，强烈建议阅读每一个应用软件开发者写的针对此软件的安全建议和加固方法。

4．2  其次严格控制好每一个入口:

    任何一个试图接近你的应用的点都是要严格控制的，尤其要关注登陆和后台管理。

5．  解决好人的问题：

5．1  在公司内部要广泛开展安全知识普及培训，让所有人对安全都有一个比较清晰和深刻的认识

5．2  规范，清晰的制度，明确定义什么可以做，什么不可以做 

5．3  保持和安全设备厂商和安全评估公司密切联系，可以用买产品送服务和培训的方式来解决。因为技术的改变是日新月异的，让一个人去跟随变化非常困难，你不可能知道所有事情。必须借助安全厂商的专家资源来跟踪目前业内的发展趋势。
     5．4   保持和黑客的密切联系，黑客的世界和我们不太一样，你无法和他们共享信息。组织里面一定要有这样一个人，他和地下的黑客组织有很好的沟通，保证随时掌握那些没有公开的和新的攻击手段。

6．  监控和审计：

6．1  网络层面上的流量，协议监控和网络管理

6．2  系统层面的集中管理，单点登陆,权限控制和用户行为审计

6．3  应用层面的日志分析

7．  有效管理：

你不可能100％的知道所有的安全技术，同时也没有一种方法能使你做到100％的安全，因为我们都是在已知的系统，网络，应用平台之上搭建我们的应用服务，更多时间里面我们做的是限制，其中有效的限制什么人能在哪里做什么事情又占据了安全管理的大部分的时间。

个人的理解：

安全是平衡的艺术：平衡是因为要取舍，艺术是因为无规律可寻,一切取决于当下的环境. 预算,风险,客户体验,有效......

安全是为业务和相关应用服务的：如果没有业务应用，根本就没有所谓的安全，因为应用所以产生了安全需求，同时也带来了不安全的因素，安全是和应用矛盾的，必须明白安全是为应用服务的，不满足应用的安全没有任何意义.

安全是管理和技术的完美结合：业内流行的说法是三分技术，七分管理。虽然管理和技术各自解决各自的问题，但是管理的意义大于技术。管理解决的是面的问题，技术解决的是点的问题，管理者会站在一定的高度，综合考虑整体的情况，然后制定相应的策略，然后落实到技术实现上。当然在技术实现上有简单有复杂，但是无论如何实现都是在安全管理的大策略框架之下完成。但是缺少技术保证的管理有点空中楼阁的味道。有技术不是万能的,没有技术是万万不能的.

   安全问题的层次和渐进：不要试图把整个海洋煮沸。在解决安全问题上，首先要列出目前安全的整体情况和重要性，然后确定优先级，先解决最严重的问题，再去解决其他问题；先解决已知问题，再去探讨未知问题的解决。

安全是一个整体的解决方案：很多人一提到安全就是想到防火墙，VPN，IPS之类的，上面提到的都是安全的技术点，但是安全绝对不是单一技术的简单拼凑，安全从来都是去解决实际问题的。买了防火墙, VPN, IPS就是安全的么？任何一个产品都只能解决某些问题，而不是全部。重要的是如何将这些产品很好的结合起来，充分利用各自的特点去形成一套完整的问题解决方案。

安全是一个动态和循环提升的过程：业务的发展导致了需求不断变化并带来网络结构和设备不断的变化和调整，同时黑客的攻击手法不断变化，也许今天这样的防护是安全的，但是明天就很难说了。安全是一个长期的、变化的过程，不是通过一个项目和一个方法就能够解决的。在安全这个行业是永远没有永远这个概念的。

   人总是最大的问题：最终我们还是要面对人，任何威胁都来自那些心怀恶意的人。路不拾遗，夜不闭户在目前的大环境下只能是一个理想. 每一个组织里接触核心系统的人才是最大的安全威胁，管理的终极目标就是人.

水：代表了客户的绵绵不断的需求
大鱼: 大客户

小鱼和小虾：中小客户
鸭：安全公司
理论上应该是水温一旦有任何变化肯定是鸭先感觉到，而不是鱼。因为鸭不仅仅可以从水里面得到信息，还可以通过天气的变化去感知水温即将的变化。但是实际上往往不是这样，我想造成这种问题的主要原因是：鸭都不在水里了，远远的在岸上望着水里的鱼和虾。