zhaol's blog

下面的这个等式节选自美国总统IT顾问委员会PITAC ( President's Information Technology Advisory Committee) 报告 2005, 当时看到的时候脑海中就闪现出当前如火如荼的“安全域”项目。  

安全域划分和边界保护的意义就在于阻止这种无限互联，即使实在内网，这种“无限互联”使得漏洞、蠕虫、病毒、内部滥用和误用等威胁防不胜防。例如对于中国电信、中国移动和中国网通等电信运营商来说，其DCN网络（共享平台）遍布全集团，承载了几乎全部关键的支撑业务，换句话说，每个关键业务以及员工的终端都可以连接上来，这样DCN就变成了一个小规模的互联网，数千甚至上万员工、用户在一起，互联网上面发生的事情，在“内网”上面都会发生。

从媒体上报导的UTStarcom工程师入侵北京移动卡系统中心盗取卡号密码的过程来看，除去工程管理过程的安全、帐号口令管理之外，“安全域”就是给我们的一个很重要的提示。

隔离使得风险可控。

但是，隔离并不代表着“安全域”项目就是一个“造墙”工程，而是恰恰相反，它应该是一个拆墙工程－移墙工程。优化整合后的网络架构的标志就是边界清晰，互联关系明了，所以相对于优化前的状态更能节省和共享网络和安全设备。

另外，防火墙技术越来越多地被集成进网络设备中，如何充分地挖掘网络设备本身自带地安全特性，是个值得研究的内容。可以帮助安全管理在性能和安全性、投资之间取得一个更好的平衡点。

“重硬轻软”一直是很多企业IT管理人员的误区，这里的硬当然就是大量的机器、盒子，软是指其上的软件，在这里我想强调的是“硬”上面跑得安全策略。“双层异构”的重要性并不比几条“得体适用”的安全策略来得实惠。