网络安全加固：从边界控制到行为追溯

安全建设要回答三个问题：谁能访问什么、访问了什么、发生异常后能否追溯。三者对应访问控制、行为审计与集中管控，需要分别落地设备与策略。

部署顺序：先边界，后内部，最后可回溯

改造若从采购设备开始，结果通常是设备闲置、告警淹没、边界依然敞开。正确顺序是先建立边界控制点，再补内部防护，最后建立审计与追溯能力。

• 边界：防火墙、Web 应用防火墙、内外网安全隔离交换、上网行为管理
• 内部：核心交换安全能力、终端防病毒、服务器安全、行为管控
• 可回溯：日志审计、数据库审计、运维审计（堡垒机）
• 统一管理：安全管理平台，将分散设备的日志与告警集中

顺序不可颠倒。边界未建立时，后续任何内部设备都无法有效约束横向访问。

前提：网络必须先具备可追溯能力

全二层扁平架构是安全整改的主要障碍。业务网与互联网混用、各系统之间不做隔离，意味着任何一次异常访问都无法界定影响范围。

整改通常从二层改三层开始：各业务系统与部门划入独立网段、核心汇聚接入分层部署、地址统一规划至规范的私有网段。这一步完成后，后续增加的任何安全设备才具备实际意义。

业务连续性优先于架构一致性

生产网络无法停机重构。承载上下级平台对接或业务主干的关键区域，通常保留原有地址体系不变，改造限定在设备层——通过双机堆叠实现热备与静默倒换，使切换对业务无感知。

代价是该网段不符合新的全网地址规划规范。这是一次刻意保留的例外：业务连续性的优先级高于架构规范性。

合规相关

政务与事业单位项目常涉及等级保护要求。我负责的技术侧落地与验收材料包括：方案论证、设备选型与配置、现场实施记录、竣工验收文档，以及运维期的问题处置。