企业互联网边界安全：暴露面、分区与访问治理

1、建立公网资产与责任台账

汇总公网IP、域名、子域名、证书、端口、云负载均衡、对象存储、CDN、API、VPN、邮件和第三方托管服务，关联业务用途、内部资产、环境、责任人、供应商、数据类型、开放依据和下线日期。扫描结果需要内部确认，避免把共享云地址误判为本企业资产，也避免已知资产因名称不一致无人认领。

将DNS、云平台、防火墙、证书、CMDB和采购记录交叉比对，发现未备案测试服务、过期域名、影子云资源和变更未同步。新入口上线前完成安全评审和日志接入，业务下线同时关闭端口、域名、证书、账号和第三方通道。台账应由变更触发更新，而不是每年临时盘点。

• 公网入口有业务和技术责任人
• 域名、证书、IP和云资源可关联
• 上线、变更与下线同步更新台账

2、按业务流量设计边界区域

区分办公上网、对外应用、远程接入、服务器管理、合作伙伴、分支、云和第三方接口，不让所有流量共用一组宽泛策略。对外服务放在受控区域，与内部数据库和管理网络保持必要隔离；跨区访问限定到明确源、目标、协议和应用，并记录业务负责人。

关键设备、链路和电源的冗余要结合单机承载与故障路径验证。双机在线不代表链路、路由、NAT、会话、VPN和上游均可切换。网络图同时标出正常、维护和故障状态下的流量与检查点，避免切换后绕过安全控制或出现非对称流量。

• 办公、应用、管理和合作伙伴边界分开
• 跨区策略对应具体业务
• 冗余路径不绕过检测并完成切换测试

3、治理入站访问与应用发布

每个入站规则说明域名、目标、端口或应用、来源、NAT、证书、负责人、日志、期限和验证方法。管理端口不直接暴露公网；运维通过受控入口、强认证和可信来源。临时测试入口设置自动到期。定期复核任意来源、全端口、长期未命中、重复和无人负责规则。

网络放行不能替代应用安全。对外Web、API和邮件服务仍需安全开发、身份、权限、补丁、配置、限速、输入验证和日志。反向代理、WAF或负载均衡策略要结合真实协议测试，确认客户端地址、加密、长连接、上传、回调和错误处理。业务负责人验证功能，安全团队验证未授权路径被拒绝。

• 入站规则有用途、责任与期限
• 管理入口不直接暴露公网
• 网络与应用控制完成联合测试

4、控制办公出口和数据出站

办公与服务器出站策略应按业务和风险区分。服务器通常只需访问更新、时间、备份、接口等有限目标，不应默认任意上网。通过DNS、代理、防火墙和终端日志监测恶意域名、异常端口、持续外连和大规模传输，同时避免把加密流量检测简单视为万能方案。

加密检测涉及性能、证书、隐私、应用兼容和例外管理，应明确适用范围并在代表性终端测试。不能解密的流量仍可结合目标、证书、DNS、连接行为和终端进程分析。出站白名单和例外设置责任人、用途与到期，不因一次兼容问题永久放宽整类流量。

• 服务器出站遵循最小必要
• 异常DNS与外连行为能够发现
• 解密例外有范围、理由和复核

5、加固远程办公和第三方接入

远程访问使用独立人员身份、多因素认证、最小应用范围和终端状态检查，禁止多人共享VPN账号。员工、管理员、供应商和临时人员使用不同策略；高权限运维通过跳板或受控管理入口，记录命令或关键操作。外部账号与合同、工单和到期日期关联。

定期检查异常地点、暴力尝试、因素重置、长期未登录、并发地点、非受管终端和异常下载。服务结束或人员变化时回收账号、证书、客户端配置、白名单和密钥。紧急入口平时关闭或严格封存，启用后告警、限定时间，并在使用后更换凭据和复核操作。

• 远程用户使用独立身份与强认证
• 访问限定到应用和任务
• 供应商、临时和紧急入口可以到期回收

6、管理云平台和混合网络边界

云安全组、网络ACL、负载均衡、API网关、对象存储、云防火墙和公网地址都属于边界。使用组织级策略和基线检查公开端口、任意来源、公共存储、跨账号共享和未记录IP。根账号、云管理员和访问密钥采用强认证、分权、轮换和操作审计。

专线、VPN或云互联建立的是网络通道，不等于两端可以互相信任。明确路由传播、网段冲突、NAT、DNS、管理面和跨云访问策略，限制云工作负载到本地核心系统的范围。变更云路由、安全组和网关时联合验证正向、回程、故障与日志，避免策略只在一侧生效。

• 云公网资源进入统一台账
• 云管理员和密钥有生命周期
• 混合网络通道使用最小路由和访问策略

7、保护DNS、域名、证书与邮件边界

域名注册商、DNS和证书平台使用独立管理员、强认证和变更通知，限制转移与解析修改。监测异常解析、新子域、证书签发、到期和域名续费。关键记录保留变更历史和恢复步骤，避免账号接管导致网站、邮件或远程入口被重定向。

邮件边界检查发件域认证、异常转发、旧协议、管理员变化、恶意附件和可疑登录。策略必须在真实业务中验证，防止只配置记录却未生效。外部邮件、共享链接和第三方应用授权与身份治理联动，高风险账号使用强认证，异常规则和授权及时撤销。

• 域名、DNS和证书管理员受控
• 解析与证书异常可告警
• 邮件认证、转发和第三方授权定期检查

8、建立日志、检测和响应能力

集中记录边界设备管理员、策略、流量、VPN、DNS、代理、WAF、云控制面和身份事件，统一时间并限制删除。日志字段要能关联公网资产、内部目标、账号、规则和动作。持续监测采集中断、事件量突降、字段变化和存储容量，定期使用受控操作验证链路完整。

检测场景包括新增公网服务、管理入口暴露、暴力认证、异常地点、短时大量扫描、持续出站、DNS异常、策略关闭、管理员变化和日志中断。每类告警有资产责任人、调查步骤、升级、隔离和关闭标准。处置后复核入口、身份、漏洞、配置和业务恢复，不能只封禁一个地址就关闭事件。

• 日志可关联资产、身份和策略
• 关键检测使用受控样本验证
• 边界事件形成根因整改与复测

9、实施变更、备份和审计

边界变更申请写明源、目标、应用、用途、负责人、期限、风险、测试和回退。实施前检查策略顺序、对象、路由、NAT和已有规则，实施后由业务与安全分别验证。紧急变更也要保存配置、身份和理由，恢复后补齐记录并清理临时规则。

重大变更前后备份设备和云配置，存放在独立受控位置并验证恢复。定期审查管理员、宽规则、未命中规则、临时对象、证书许可和供应商访问。审计证据以工单、配置差异、日志和测试结果为主，截图仅作为补充；发现问题设置责任人、期限和复测。

• 变更包含网络、安全和业务验证
• 配置备份可以真实恢复
• 临时规则与审计问题按期关闭

10、验证容量、故障和持续运营

跟踪高峰吞吐、会话、新建连接、VPN用户、日志速率、CPU、内存、证书和许可证，关联链路扩容、新业务和安全功能变化。容量评估使用真实业务和安全功能开启后的数据，并满足高可用单机承载要求；不能只引用设备标称吞吐。

演练设备、链路、DNS、证书、VPN、云网关和日志故障，验证切换、告警、管理、业务和回退。日常关注高风险告警与健康状态，每周复核暴露变化和临时规则，每月复核管理员、宽策略、配置恢复和容量趋势。重复故障与超期风险进入管理决策。

• 容量数据来自真实启用场景
• 故障切换包含业务和安全验证
• 运营复盘推动配置、流程和架构改进

实施检查表

• 公网IP、域名、证书、云资源、API和远程入口是否完整盘点
• 每个对外服务是否有业务负责人、开放依据和下线条件
• 办公、应用、管理、合作伙伴和云网络是否合理分区
• 入站规则是否限定来源、目标、应用、期限并记录日志
• 服务器出站、DNS、代理和异常外连是否受到监测
• 员工、管理员和供应商远程访问是否使用独立强认证
• 云安全组、公开存储、管理员和访问密钥是否定期复核
• 域名、DNS、证书、邮件转发和第三方授权是否可审计
• 边界日志中断、异常认证、新暴露和策略变化是否告警
• 变更是否包含配置备份、业务测试、安全测试和回退
• 设备、链路、VPN、DNS和云网关故障是否完成演练
• 临时规则、未知资产和审计整改是否按期复测关闭

常见问题

部署下一代防火墙是否完成边界安全？

没有。还需要治理公网资产、身份、应用、云配置、DNS邮件、远程访问、日志、变更和事件响应。

长期未命中的入站规则能否直接删除？

需结合灾备、结算和低频业务确认。删除应作为受控变更，保留配置、测试和回退，不能只按命中次数机械处理。

专线或VPN连接是否可以默认互信？

不应。通道只解决连接与加密，仍需限制路由、身份、目标应用和管理权限，并监测跨环境访问。

设备标称吞吐能否直接用于选型？

不能。要结合实际报文、会话、安全功能、日志、VPN和单机故障承载测试，并预留业务增长。

参考资料

• NIST SP 800-41 Rev.1：Guidelines on Firewalls and Firewall Policy
• CISA：Cross-Sector Cybersecurity Performance Goals

相关推荐

• 企业防火墙选型：按业务流量核算性能
• 企业交换机怎么选？250人办公网络组网方案详解
• 零信任安全架构是什么？企业远程办公安全方案解析
• 等保三级测评流程详解：从定级备案到测评通过全指南