什么是安全架构？

安全架构是对系统、政策和技术的战略设计，以保护 IT 和业务资产免受网络威胁。精心设计的安全架构可使网络安全与组织独特的业务目标和风险管理配置文件保持一致。

安全小组和黑客经常陷入军备竞赛--争相超越对方。但是，组织要想出人头地，就必须将风险管理方法从被动应对转变为主动出击。这意味着要从一开始就建立安全机制，而不是在出现漏洞时才去补救。

强大的安全架构可确保组织拥有适当预防、检测和应对攻击的 IT 基础设施。它还有助于确定何时以及实施哪些技术，使安全决策者有能力随着威胁形势的发展而增加新的功能。

安全架构的主要目标

网络安全架构的主要目标是降低安全漏洞的风险，保护组织免受威胁参与者的攻击。将安全纳入业务运营是这一目标的核心要素。

由于多云安全、混合工作、数字化转型、 物联网（IoT） 和其他关键业务趋势，当今的 CISO 及其小组要努力应对分布式和无边界的安全环境。当然，伴随着这些重大转变，攻击面也在成倍增长，对手找到了利用弱点的新方法：

• 各组织不断受到攻击威胁，包括拒绝服务、数据盗窃、勒索软件和敲诈勒索。
• 通过使用自动化、 机器学习 和人工智能（AI），攻击者变得更加复杂。
• 攻击者可以获得更大的资金来源，有时是通过政府赞助者或有组织犯罪获得。
  • 他们还可以使用 勒索软件即服务（RaaS）等工具。
• 分布式员工增加了内部人员恶意和/或员工疏忽或无知造成内部漏洞的风险。

安全架构师会仔细检查现有流程、技术和模型，以了解存在的差距。然后，他们建立一个框架，以减轻网络威胁可能造成的潜在破坏。

随着当今威胁环境的日益复杂，拥有一个精心设计的安全架构是每个组织的当务之急。它不仅是抵御现代网络攻击的保障，也是实现数字化转型、创新、客户信任和业务增长的关键因素。

安全架构的优势

1.减少安全漏洞

拥有强大网络安全架构的组织不会简单地在出现漏洞时做出反应，而是会大幅降低威胁的数量和严重性，甚至完全预防威胁的发生。

同时，将安全植入组织的基因（如 零信任）可确保安全成为每个开发周期的重要组成部分。这就消除了差距，为 DevOps 构建和创新实现了无风险环境。

2.加快响应时间

熟练的黑客可以轻松识别并利用基础设施中的断点。这就是为什么当今的许多漏洞都是安全流程崩溃造成的。

强大的安全架构可以弥补这些漏洞，并在发生安全事件时提供相应的协议。安全小组有能力在威胁演变成更大问题之前立即做出反应，并消除威胁--通常是通过网络安全自动化来消除威胁。

3.提高运行效率

企业平均使用 31.5 种网络安全工具 ，并根据需要添加更多产品。但是，IT 基础设施的复杂性不断增加，往往会导致风险态势出现漏洞--此外，管理架构还需要耗费时间、金钱和人才。

一个高效的安全架构--如建立在 网络安全合并 基础上的架构--在设计时会减少产品和供应商。对工具进行整合，对关键更新、威胁响应和用户体验进行密切管理。这就创建了一个高度可扩展的网络基础设施，最大限度地提高了运行效率。

4.遵守行业法规

世界各地的组织都遵守各自地区和行业制定的规定。例如，美国的医疗保健提供商必须遵守 HIPAA 法规，而欧盟的企业则必须满足 GDPR 要求。

创建一个强大的安全架构，并将安全纳入组织的每个部分，不仅有助于防止网络攻击，还能确保符合相关部门和法规的合规性。

网络安全架构的框架和标准

安全架构师通常使用标准框架来构建基础架构。安全架构框架是一套用于实施企业安全架构不同层面的一致准则和原则。各组织通常会结合上述每个标准框架的要素来构建网络安全架构设计。

许多安全架构师使用的三个标准框架是

1.TOGAF

开放组架构框架 有助于确定企业的安全基础设施需要解决哪些问题。其主要重点是组织的目标和范围，以及安全架构的初步阶段。TOGAF 并未就解决安全问题的方法提供具体指导。

2.SABSA

舍伍德应用业务安全架构 是一个政策驱动的框架。它有助于定义安全架构只能回答的关键问题：是什么、为什么、何时和谁。

SABSA 的目标是确保在设计安全服务后，将其作为企业 IT 管理不可分割的一部分进行交付和支持。不过，虽然 SABSA 通常被描述为一种 "安全架构方法"，但它并没有在技术上具体实施。

3.OSA

开放式安全架构（OSA 是一个与技术和功能安全控制有关的框架。OSA 全面概述了设计有效安全架构所涉及的架构决策所依据的关键安全组件、原则、问题和概念。

通常情况下，只有在已经设计好安全架构的情况下，才会使用 OSA。

美国国家标准与技术研究院（NIST）也提供了指导。 NIST 改进网络安全基础设施框架 》为各组织提供了一个共同框架，以便：

• 描述其当前的基础设施
• 描述网络安全的目标状态
• 在持续和可重复的流程范围内确定改进机会并排定优先次序
• 评估实现目标状态的进展情况
• 在内部和外部利益相关者之间就网络安全风险进行沟通

NIST 提供了一个框架核心，描述了一系列网络安全活动、预期成果和适用的参考资料，这些都是各关键基础设施部门通用的。核心活动包括识别、保护、检测、响应和恢复。

如何建立有效的安全架构？

了解安全架构在组织整体业务策略中扮演的角色非常重要。稳健的安全架构在降低网络风险的同时，还能促进业务发展。

NIST Framework 是一个有用的入门工具。前三个步骤至关重要：绘制现有状态图，描述目标状态（并与组织的风险状况保持一致），优先考虑改进机会。

如前所述，网络安全架构需要对系统、政策和技术进行战略设计。设计模式应能实现整个网络生态系统的协调、可视性、网络安全合并、策略执行、自动化和合规性管理。

在混合工作和数字化转型的世界里，零信任 是另一个 "必备品"。您还需要一个统一的控制台，以整合网络安全架构所有关键组件的管理和协调，包括

• 网络安全
• 云安全（本地部署、边缘位置和跨多个公共云）。
• 端点安全（包括 IoT）
• 身份和访问管理（IAM）
• 数据保护
• 安全监控和事件响应
• 安全治理、合规性和风险管理

安全架构最佳实践

1.制定策略

摸清当前环境，确立目标，确定方法，制定框架。征求主要利益相关者的意见，包括执行部门、业务线、DevOps、IT 等。让首席信息安全官和网络团队带头开展这项工作。

2.确立关键目标和里程碑

评估实现关键目标的计划。这可能包括网络安全合并；更多地使用自动化、人工智能和机器学习；零信任；合规性；端点防护；以及实时预防已知和未知的零日威胁。

3.培训组织

在整个组织内传达该计划，建立教育和培训计划，并将架构作为在企业内建立网络安全文化的工具。持续开展合作和信息共享。

4.运行测试和审计

定期进行安全评估和审计，并将其与定期事件响应计划和测试相结合、

5.了解最新威胁

紧跟不断发展的网络威胁和技术，在威胁情报平台检测到新型威胁时，尤其要实时做出反应。

网络安全架构常见问题