为了保障人们在生活中的生命安全，我们建立了很多的基础设施以及相应的法律法规。

同样的为了保障人们和企业在网络中的数据安全，我们也可以建立一些安全设施：

• 通用的基础设施 ：基础的网络架构、DNS、资产及配置管理数据库（CMDB）等。
• 安全组件与支持系统：SSO（Single Sign On，单点登录系统）、KMS（Key Management Service，密钥管理系统）、权限管理系统、统一日志平台、数据服务等；
• 安全防御基础设施：抗DDoS、HIDS（Host-based Intrusion Detection System，基于主机的入侵检测系统）、WAF及CC防御等；
• 安全运维基础设施：跳板机、自动化运维平台、数据传输系统等。

我们可以从网络层、主机层、应用层、数据层来搭建安全技术体系，从而进一步保证产品的安全。

统一接入网关

不要有太多的安全域划分以及尽可能少的防火墙使用，比如可以将生产网络分成两个区域，一个是普通区一个是敏感区，将数据放在敏感区，业务服务器想要访问敏感数据，则需要经过防火墙进行访问，这样可以记录对应的访问日志。

大部分服务器上都不配置外网网卡，业务服务器只使用内网IP地址，而是通过统一接入应用网关反向代理进行访问。

反向代理：是相对于正向代理而言的。打个比方：张三想找李四借个扳手，走到李四家门口敲门并说明来意，如果李四说：“扳手在储物柜下面第三个抽屉里，你自己进来拿吧”，张三进入并径直走向储物柜并从下面第三个抽屉里取出扳手然后跟李四告辞，这就是正向代理。如果李四说：“好，请稍等，我去拿给你”，然后取来扳手递给门口的张三，张三不用进入，这就是反向代理。由此可见，通过正向代理需要知道目标所在地址并“路由”过去，而反向代理不需要知道目标地址，可用于隐藏目标并提升安全性。

• 统一接入网关充当了所有业务的前置反向代理，只有配置之后才能对外开放，而所有的高危服务默认都不会在网关上配置，保障了高危服务仅在内网开放，极大地降低了攻击面.

• 统一接入网关可以跟安全防御基础设施（如WAF）集成，拦截入侵动作。
• 统一接入网关解密的HTTPS流量也可以作为安全防御以及流量审计的输入。

内部开源组件

高危服务所使用的开源组件漏洞，也是黑客进入企业内网的重要方式。为了解决这个问题，需要使用来源可信、版本安全、经过评估的开源组件。而要达到这个目标，就需要建设企业内部的组件源，且内部源的组件经过过滤（排除高风险组件或相应的版本），这样业务在使用时，就不会下载到已知的高风险组件或恶意组件。在提高效率的同时，也可以统一执行安全加固。

HIDS

为了最大限度地降低主机层所面临的入侵风险，部署HIDS（基于主机的入侵检测系统），检测恶意文件、暴力破解等恶意行为，还可以基于彩虹表机制预先检测弱口令（即预先计算常见弱口令的散列值，并与系统中存储的散列值进行比对，以发现风险）

SSO 单点登录

接入网关与 SSO 集成取代各个业务和 SSO 集成。

权限管理系统

对于内部员工除了接入统一应用网关之外，访问应用也要经过权限管理系统进行访问控制

Nginx 系统

对于用户上传的文件，在应用上除了限定类型之外，还可以通过 WAF 文件检验，限制用户上传的目录仅限静态解析，不能直接就上传到 PHP 或者 JAVA 服务器上。

审计日志系统

将业务系统的审计日志上报到日志管理平台上，且无法从业务自身删除，可以做到严格上的审计人员和操作人员职责分离。

数据服务

• 数据获取：将敏感数据封装成数据服务，业务服务器不能直接访问数据，而是通过接口获取对应的数据。
• 数据传输：使用 HTTPS 通道交互数据
• 数据展示：不将敏感数据直接提供给第三方，脱敏展示数据
• 数据存储：数据加密存储
• 数据销毁：定期自动销毁数据

总结

总之就是构造无边界网络（零信任网络）

无边界网络：传统的网络安全模型通常依赖于边界防御，即在内部网络和外部网络之间设置边界，通过防火墙、访问控制列表（ACL）等措施来保护内部网络。然而，随着云计算、移动设备和分布式应用的兴起，传统边界模型变得不再适用。

无边界网络模型通过提出“永不信任，始终验证”的原则，强调在每个网络组件、用户和数据流上都要应用安全性。