攻防演练安全体系设计（二）：网络边界安全
原创
闲聊一号
闲聊一号
闲聊知识铺
2026年10月10日 13:39
河南
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
第一层解决的是：
攻击者能够看到什么？
第二层要解决的是：
攻击流量真正进入网络时，在哪里发现、限制和阻断？
在传统网络中，边界往往被简单理解为“互联网出口防火墙”。但在攻防演练场景中，边界远不止一个出口。企业内部通常同时存在：
- 互联网边界
- 办公网与生产网边界
- DMZ与内网边界
- 云与本地数据中心边界
- 分支机构与总部边界
- 运维网络与业务网络边界
- 不同安全区域之间的边界
因此，边界安全的核心不是“部署一台防火墙”，而是：
控制不同安全区域之间哪些流量可以通过，并对高风险流量进行检测和阻断。
一、边界安全的核心目标
网络边界主要解决四个问题：
- 谁可以访问？
- 可以访问什么？
- 通过什么协议访问？
- 访问行为是否正常？
最终形成三类能力：访问控制 + 攻击检测 + 异常流量阻断
二、先划边界，再谈设备
攻防演练中一个常见问题是：企业把大量安全能力集中在互联网出口。例如：
Internet │ ▼ Firewall │ ▼ WAF │ ▼ 内网
外部防御很强。但是一旦攻击者通过：
- VPN账号
- 终端钓鱼
- 第三方连接
- 内部人员
进入内网，网络内部可能几乎没有访问限制。这就形成：外紧、内松安全边界的基础不是设备，而是网络分区。因此网络边界还应该存在于：
办公网 ↔ 生产网 业务区 ↔ 数据库区 开发区 ↔ 生产区 第三方网络 ↔ 内部网络 运维区 ↔ 服务器区
同时还可能存在：
开发测试区 备份区 云资源区
网络分区的本质是：
即使某一区域被突破，也不能直接访问所有其他区域。
这也是限制攻击者横向移动的重要基础。也即所谓纵深防御
三、NGFW的真正作用
NGFW，即下一代防火墙。
在边界安全中，它承担的是最基础的访问控制。主要能力包括：
- 源IP控制
- 目的IP控制
- 端口控制
- 应用识别
- 用户识别
- 区域隔离
- NAT
- VPN
- 部分威胁检测
很多企业的问题不是没有防火墙，而是防火墙策略长期失控。例如：any → any → allow
或者：Internet → Server Zone → 大量端口开放
这种情况下，防火墙只是存在，并没有真正形成安全边界。
四、重保期间最重要的是策略收敛
攻防演练开始前，边界防护首先应该做减法。例如某服务器平时开放：
- 22
- 80
- 443
- 3389
- 8080
- 8443
真正业务只需要：
- 443
那么重保期间应该考虑：
关闭22 关闭3389 关闭8080 关闭8443
运维访问改为如下，而不是让SSH、RDP直接暴露在公网。
管理员 │ ▼ VPN │ ▼ 堡垒机 │ ▼ 服务器
边界安全最有效的原则之一就是：
默认拒绝，按需放行。
五、最小权限原则同样适用于网络
防火墙策略应该尽量从：整个网段 → 整个网段收敛到：指定源 → 指定目的 → 指定服务例如，不推荐：10.10.0.0/16 → 10.20.0.0/16 → ALL更合理的是：10.10.1.20 → 10.20.5.10 → TCP/443
这样即使攻击者控制了某台主机，也无法轻易利用现有网络策略继续扩展攻击范围。
六、IPS解决什么问题
NGFW主要解决：
谁能通过。
IPS主要解决：
通过的流量里有没有攻击。
IPS，即入侵防御系统。常见检测对象包括：
- 漏洞利用
- 扫描行为
- 协议异常
- 恶意Payload
- 已知攻击特征
- 异常协议行为
- 部分C2通信
例如：
Internet │ ▼ NGFW │ ▼ IPS │ ▼ 业务系统
攻击者访问443端口本身是合法的。但如果请求内容中包含：漏洞利用Payload。这时就需要IPS进一步判断。所以：
Firewall 解决“能不能访问” IPS 解决“访问内容是不是攻击”
七、IPS真正的难点不是检测，而是阻断
很多企业部署了IPS，但只开启告警模式。原因很简单：怕误杀业务。因此经常出现：IPS检测到攻击 → 产生告警 → 攻击流量继续通过
这实际上更接近IDS，而不是IPS。重保之前应该提前完成：
历史流量分析 ↓ 攻击规则调优 ↓ 业务白名单 ↓ 误报确认 ↓ 高置信度规则开启阻断
不能等演练当天突然把所有规则切换成阻断模式。否则很容易出现：
攻击没有阻断多少，正常业务先被阻断。
八、IPS策略应该分级
并不是所有告警都适合直接阻断。可以按照置信度划分：
- 高置信度攻击
如下，高置信度的，可以考虑自动阻断
明确漏洞利用 已知恶意Payload 已确认扫描器 严重协议异常
- 中等置信度
如下事件，可以告警 + 关联分析
异常HTTP行为 可疑扫描 异常协议访问
- 低置信度
则更多用于：观察、威胁狩猎、辅助分析
重保期间的关键不是：
规则开得越多越好。
而是：
阻断高置信度攻击，同时尽量减少业务误伤。
九、Anti-DDoS解决的是另一类问题
Anti-DDoS主要解决：流量型攻击例如：
SYN Flood UDP Flood ICMP Flood DNS Flood HTTP Flood
这些攻击的目标不一定是入侵服务器，而可能只是：让业务无法访问。因此网络边界既要考虑：入侵，也要考虑：可用性
典型路径可能如下，不同设备解决的是不同问题。
Internet │ ▼ Anti-DDoS │ ▼ NGFW │ ▼ IPS │ ▼ WAF │ ▼ 业务系统
十、为什么不能用防火墙替代所有边界设备
很多项目容易出现一种思路：
下一代防火墙什么都有，所以其他设备都可以不要。
技术上，NGFW确实可能集成：
Firewall IPS VPN 应用识别 URL过滤 恶意代码检测
但是否适合全部集成，需要考虑：
业务流量规模 攻击压力 性能要求 检测深度 高可用要求 运维复杂度
例如在大型互联网出口，如果所有功能都开启：
Firewall + IPS + SSL解密 + 应用识别 + 恶意文件检测
设备实际性能可能明显下降。因此设计时不能只看厂商标称吞吐量。
十一、设备性能要看真实场景指标
选型时经常看到：吞吐量：100Gbps，但这个数字并不代表开启全部安全功能后仍然可以达到100Gbps。真正应该关注：
- 防火墙吞吐量
- 威胁防御吞吐量
- IPS 吞吐量
- SSL 检测吞吐量
- 并发会话数
- 每秒新建会话数
尤其是：新建连接数，在大型Web业务、API业务中非常重要。设备性能设计必须基于如下，预留足够余量。
正常峰值流量 + 业务增长 + 攻击流量 + 安全功能开启后的性能下降
十二、串联还是旁路
网络安全设备主要存在两种部署方式。
串联
流量 │ ▼ 安全设备 │ ▼ 服务
优点：可以直接阻断缺点：
- 设备故障可能影响业务
- 性能要求高
- 部署风险高
典型场景：
NGFW IDS WAF
旁路
核心交换机 │ SPAN │ ▼ 检测设备
优点：
- 不影响业务路径
- 部署风险低
- 适合检测分析
缺点：
- 天然更偏检测
- 实时阻断能力较弱
典型场景：
NDR IDS 流量分析
重保架构中通常两种方式同时存在：
关键边界串联阻断 核心网络旁路监测
十三、高可用必须纳入设计
边界设备本身不能成为单点故障。例如，如果防火墙故障导致业务中断
Internet │ ▼ Firewall │ ▼ 核心业务
因此生产环境通常考虑HA，例如：
Active / Standby Active / Active
同样需要考虑：
链路冗余 双电源 双交换机 设备故障切换 状态同步
因为重保的目标不仅是防攻击，也包括：
保证关键业务持续可用。
十四、不要忽略加密流量
现在大量网络流量已经是：HTTPS、TLS，这会带来一个现实问题：攻击流量被加密。如果设备只能看到：
源IP 目的IP 端口443 TLS连接
而看不到实际请求内容，检测能力会受到限制。因此部分场景会考虑：SSL 检查
当然，它又会带来：
性能损耗 证书管理 隐私问题 兼容性问题
所以并不是所有环境都适合进行全流量解密。更合理的方法是：
对关键区域、关键业务和高风险流量进行针对性设计。
十五、第三方接入必须单独控制
很多企业存在第三方，需要远程访问内部系统。
- 供应商
- 外包人员
- 软件厂商
- 设备运维厂商
- 合作单位
如果直接允许：第三方网络 → 内部服务器，风险非常高。更合理的方式是：
第三方人员 │ ▼ VPN │ ▼ MFA │ ▼ 堡垒机 │ ▼ 指定服务器
并限制：
- 访问时间
- 来源地址
- 目标资产
- 访问协议
- 账号权限
第三方连接应该被视为独立攻击面和独立安全边界。
十六、重保期间边界策略应该临时强化
重保期间通常不是保持日常策略不变。可以根据业务实际情况进行临时收缩。例如：
关闭非必要公网服务 限制高风险国家和地区来源 关闭长期未使用VPN账号 限制运维来源IP 禁止公网RDP 禁止公网SSH 禁止代理软件、远程管理工具 关闭测试环境 提高扫描行为检测等级 高危IPS规则切换阻断 增加攻击IP临时封禁
其核心目标是：减少入口 + 缩小权限 + 提高检测强度
十七、安全策略不是简单的“封IP”
重保中常见做法是：
发现攻击IP ↓ 封禁IP
这种方法有效，但不能作为主要防御思路。因为攻击者可以快速切换：
- 代理IP
- 云服务器
- Botnet
- CDN
- 住宅代理
所以真正要关注的是：攻击行为 + 攻击特征 + 攻击路径，而不仅仅是：某一个IP封IP是响应措施，不是完整的安全策略。
十八、边界日志必须进入SOC
如果NGFW、IPS只是独立运行，那么很多攻击信息无法形成完整上下文。因此至少应该将如下流量接入SIEM。
- 防火墙日志
- IPS 警报
- VPN 日志
- 网络流量
例如：
攻击IP ↓ IPS发现漏洞利用 ↓ Firewall显示随后建立连接 ↓ EDR发现服务器启动异常进程
这时SOC才能判断：
这次攻击可能已经成功。
所以：
边界设备 负责检测和阻断 SOC 负责关联和判断
十九、网络边界层的核心检查项
重保前可以重点检查：
网络区域
是否完成业务分区 是否存在扁平网络 关键区域是否独立
防火墙策略
是否存在any-any 是否存在长期无用规则 是否开放高风险端口 是否执行最小权限
IPS
规则库是否更新 高危规则是否开启 是否只是告警不阻断 是否完成误报调优
VPN
是否存在共享账号 是否启用MFA 是否存在离职人员账号 是否限制访问资源
高可用
设备是否HA 链路是否冗余 故障切换是否测试
日志
是否统一接入SIEM 时间是否同步 日志字段是否完整
二十、第二层真正要解决的问题
网络边界层最终需要回答这些问题：
哪些流量应该进入？ 哪些流量应该被拒绝？ 流量中是否存在攻击？ 某个区域失陷后能否继续向内扩散？
因此边界安全不是简单的：Internet → Firewall，而应该是一套体系。
网络分区 + 访问控制 + 攻击检测 + 流量阻断 + 日志关联
如果第一层攻击面解决的是：
减少攻击者可以选择的入口。
那么第二层边界安全解决的是：
即使攻击者找到入口，也不能轻易通过边界。
下一层则进入更加接近业务本身的位置：Web、API与应用安全。
因为当攻击流量已经被允许访问443端口后，传统网络边界已经完成了自己的任务。
接下来真正需要判断的是：
这个看起来合法的HTTP请求，到底是正常业务请求，还是一次漏洞利用？
这就是第三层需要解决的问题。
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论