5 大架构安全域
出自**《信息安全技术 信息系统安全架构规范》** ， 五大安全域：物理安全、网络安全、主机安全、应用安全、数据安全。
一、物理安全域
1. 核心含义
保护硬件设备、机房环境、基础设施，防止物理层面被盗、破坏、环境故障导致系统不可用、数据泄露。
安全最底层，如果物理失守，上层所有安全全部失效。
2. 典型安全需求
- 机房访问受控，无关人员不能进入
- 防火、防水、防潮、防雷、温湿度可控
- 设备防盗、防破坏
- 供电持续可靠，断电不宕机
- 设备销毁时硬盘数据不能残留泄露
3. 风险点
机房进水起火、服务器被盗、硬盘丢弃泄密、断电停机、人为恶意破坏设备。
4. 技术 / 管理实现手段
| 需求 | 实现技术方案 |
|---|---|
| 人员准入 | 门禁系统、指纹 / 人脸、视频监控、出入登记、保安值守 |
| 环境防护 | 消防系统、漏水检测、空调恒温恒湿、防雷接地 |
| 电力保障 | UPS 不间断电源、柴油发电机、双路市电 |
| 设备防盗防拆 | 机柜锁、机房监控报警、防拆标签 |
| 介质销毁 | 硬盘消磁、物理粉碎、低格、报废流程 |
二、网络安全域
1. 核心含义
保护网络传输链路、网络设备、网络边界，保障通信过程安全，隔离不同业务区域，拦截网络攻击。
2. 典型安全需求
- 内外网边界隔离，非法访问不能穿透
- 内网不同业务区之间互相隔离
- 传输数据防窃听、防篡改
- 抵御 DDoS、端口扫描、恶意流量攻击
- 远程接入安全可控
3. 风险点
外网黑客入侵、内网横向渗透、传输报文被窃听、DDoS 瘫痪业务。
4. 技术实现手段
- 边界防护：防火墙、下一代防火墙 NGFW、入侵防御系统 IPS、WAF（Web 应用防火墙）
- 网络分区隔离：VLAN 划分、安全域划分、网闸（物理隔离网闸，内外网完全隔离）
- 传输加密：VPN（IPsec‑VPN 站点到站点、SSL‑VPN 远程访问）、HTTPS/TLS
- 流量与攻击防护：抗 DDoS 设备、流量清洗、入侵检测 IDS
- 网络设备安全：交换机 / 路由器开启 ACL 访问控制列表、关闭无用端口、设备口令加固、日志审计
三、主机安全域
1. 核心含义
保护服务器操作系统、虚拟机、容器宿主、终端主机，加固操作系统层面安全，防止主机被攻陷。
注意：主机≠应用；主机是 OS、底层系统。
2. 典型安全需求
- 操作系统账号权限管控，弱口令禁止
- 漏洞及时修补，防病毒、恶意代码
- 登录行为审计，暴力破解拦截
- 最小服务原则，关闭无用端口和服务
- 虚拟机、宿主机之间隔离，防止逃逸
3. 风险点
系统漏洞被利用、暴力破解账号、木马病毒、虚拟机逃逸。
4. 技术实现手段
- 账号安全：强口令策略、账号最小权限、禁用默认管理员账号、双因素认证 2FA
- 补丁管理：漏洞扫描、补丁服务器、定期系统更新
- 恶意代码防护：服务器版杀毒软件、EDR 终端检测响应
- 访问控制：主机防火墙、白名单、SSH 密钥登录，禁用 root 远程登录
- 日志审计：主机安全审计系统，记录登录、操作日志
- 虚拟化安全：Hypervisor 加固、虚拟机隔离、快照备份
论文写法示例： 在主机安全域，所有服务器执行操作系统基线加固，关闭不必要端口与服务；部署 EDR 主机防护系统；运维账号启用密钥登录并开启操作审计，降低服务器被入侵风险。
四、应用安全域
1. 核心含义
保护业务应用软件、Web 系统、接口、小程序，在业务代码、中间件层面抵御应用层攻击。
安全重点：业务程序、Tomcat/Nginx、API 接口，不是操作系统。
2. 典型安全需求
- 用户身份认证，越权访问控制
- 抵御 Web 常见漏洞：SQL 注入、XSS 跨站脚本、CSRF、文件上传漏洞
- 接口调用安全，防止非法调用 API
- 会话安全，Session 劫持防护
- 业务逻辑安全（防重复提交、篡改订单金额）
- 中间件（Tomcat、Redis）安全加固
3. 风险点
代码漏洞攻击、越权、会话劫持、接口被刷、业务逻辑漏洞。
4. 技术实现手段
- 身份认证与授权：OAuth2、JWT、RBAC 基于角色权限控制、单点登录 SSO
- Web 攻击防护：代码层面输入校验、WAF、安全编码规范
- 会话安全：Session 超时、Cookie 加 HttpOnly、HTTPS
- 接口安全：接口签名校验、限流熔断、API 网关鉴权
- 安全测试：代码审计、渗透测试、SAST 静态代码扫描、DAST 动态扫描
- 中间件加固：删除默认页面、修改默认端口、禁用不必要 HTTP 方法
论文写法示例： 应用安全域从编码、部署多维度防护；系统采用 RBAC 权限模型实现访问控制；上线前开展代码审计与渗透测试；部署 WAF 防护 SQL 注入、XSS 等应用层攻击。
五、数据安全域
1. 核心含义
保护数据本身：数据采集、传输、存储、使用、共享、销毁全生命周期安全。
五大域的最终保护目标就是数据。
2. 典型安全需求（数据生命周期 6 阶段）
- 采集：数据采集合法，最小采集，不超范围收集
- 传输：传输过程加密防窃听篡改
- 存储：数据库内敏感数据加密存储
- 使用：访问敏感数据可控、脱敏展示
- 共享：对外导出数据安全，防泄露
- 销毁：数据删除彻底，无法恢复
3. 风险点
拖库泄露、明文存储密码、导出敏感数据、数据备份丢失。
4. 技术实现手段
- 传输加密：TLS/HTTPS、数据库加密连接 SSL
- 存储加密 ：
- 数据库透明加密 TDE
- 字段加密（手机号、身份证号 AES 加密）
- 用户密码单向哈希加密 bcrypt、SHA‑256 加密
- 数据脱敏：静态脱敏（导出报表脱敏）、动态脱敏（页面展示隐藏中间 4 位手机号）
- 访问控制：数据库审计系统、数据库防火墙、三权分立（管理员、安全员、审计员）
- 备份与恢复：定时备份、异地容灾备份，备份数据加密
- 数据销毁：覆盖删除、数据库碎片清理
五大安全域 对照表
| 安全域 | 防护对象 | 核心技术方案 |
|---|---|---|
| 物理安全 | 机房、硬件设备 | 门禁、监控、UPS、消防、硬盘销毁 |
| 网络安全 | 链路、边界、网络设备 | 防火墙、IPS、VLAN 隔离、SSL‑VPN、网闸 |
| 主机安全 | 操作系统、服务器、虚拟机 | 基线加固、EDR、补丁管理、密钥登录 |
| 应用安全 | 业务系统、Web、API 接口 | RBAC、WAF、代码审计、渗透测试、JWT 鉴权 |
| 数据安全 | 业务数据、敏感信息 | TDE、字段加密、脱敏、数据库审计、加密备份 |