一、内网安全管理中安全域的防护原则和防护类型

随着人们对信息安全的高度重视，信息安全技术也在不断的发展。近年来，信息泄露事件从信息泄露的根源来看是因为人们对内部员工的计算机操作行为管理不足引起的，或者是对内部员工的管理制度不完善导致的。由此可见，人们要保证信息安全，就首先要进行内网安全管理。今天就为大家浅析下安全域的防护原则和防护类型。

1、安全域的防护原则

安全域的设计之初，必须符合组织的自身特点。我们在此只列举安全域设计的一般性原则，具体设计还应该对组织的架构体系做更为具体的分析。

①可屏蔽性原则。对于来自外界的任何访问均不加区别的彻底屏蔽，使安全域不会受到任何来自外部的可能的非法访问和恶意入侵，作为一个整体来讲，除非发动物理级别的攻击，否则安全域不会受到任何影响。绝对重要的绝密信息资产依循本原则进行保护，例如国家机密，军事机密，核心产品配方等。

②可审计性原则。安全域与外界在网络上互相连接，两者之间的访问内容均经过实时或非实时的安全审计，所有的访问内容均应得到某种级别的认可，安全域管理机构可以对访问内容作任何需要的限制。对政府、企业、事业单位的机密信息资产按此原则进行保护，如未发布的软件产品、关于重要机关的往来邮件等。

③可识别性原则。安全域与外界在网络上互相连接，安全域对于访问者的身份或服务级别能进行识别，对于未经批准的访问者或对未经批准的服务进行访问，安全域拒绝服务。重要的信息资产按此原则进行保护，如Web服务器、数据库服务器、OA网络。

④可追查性原则。安全域与外界在网络上互相连接，安全域不对访问内容进行审计，也不对访问者的身份进行识别，但是当网络遭受恶意攻击的情况下，可以对攻击来源进行追查，找到攻击来源，做必要的安全处置。普通的信息资产按此原则进行管理，如家用PC机，酒店、网吧等处的公共PC机。

2、防护类型

首先应该考虑的防护类型为边界安全。对于在安全域边界的隔离、认证、监视、审计等技术手段属于安全域的边界安全，对于任何安全域的保护，边界安全是最低的保护措施，通过对边界的控制保护安全域不受到来自其他区域的安全威胁。

区域安全问题也尤为重要。在安全域内部设置的监视、测量、清理、审计等技术手段属于安全域的区域信息安全，安全域的区域信息安全以安全状况的网络监控为主，对于本安全域内部的信息安全事件及时响应和清除，是安全域的核心安全处置手段。

二、从内网安全防护来看安全服务域及安全防护要点

随着内网安全防护的重要性在人们日常生活和工作的普及，信息安全问题一定程度上得到了一部分解决。然而还存在一些问题，需要人们不断的改进，确保信息安全。在局域范围内存储、传输、处理同类数据，具有相同安全等级保护的单一计算机（主机/服务器）或多个计算机组成了安全服务域，不同数据在计算机上的分布情况，是确定安全服务域的基本依据。根据数据分布，可以划分为以下安全服务域：单一计算机单一安全级别服务域，多计算机单一安全级别服务域，单一计算机多安全级别综合服务域，多计算机多安全级别综合服务域。主要需要解决信息安全问题一般包括：

（1）服务器被入侵，完整性受到破坏；

（2）服务器被拒绝服务攻击；

（3）服务器成为恶意代码的传播载体；

（4）服务器成为垃圾信息的传播载体等等。

防护点可包括安全服务域内节点的加固，包括主机操作系统的补丁、主机和网络设备的安全配置等；全服务域内节点的访问控制，主要是主机和网络设备管理的访问控制等；访问控制机制要和安全接入域的鉴别机制之间相互结合；安全服务域内节点的防病毒，特别是基于Windows平台的服务器；安全服务域内节点的防入侵；安全服务域内重要链路的流量监控；安全服务域内业务的网络监控和审计；服务域内防数据泄密；安全服务域内一些可能产生或者传播垃圾信息的服务器的防护，如邮件服务器需要部署垃圾邮件过滤等。

安全服务域和其他域之间边界和连线的防护要点如下：安全服务域边界上的安全网关，主要考虑访问控制的要求；安全服务域边界上的网络监测，监测内容包括入侵、病毒、蠕虫、流量、应用等；安全服务域边界上的恶意代码防护；安全服务域中的服务器和其他域的服务器发生业务关联时，很可能需要考虑加密传输等等。