技术要求→网络安全→结构安全

一、要求内容
a)应保证网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；
b)应保证网络各个部分的带宽满足业务高峰期需要；
c)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；
d)应绘制与当前运行情况相符的网络拓扑结构图；
e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；
f)应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；
g)应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。

二、实施建议
尽量满足网络设备和线路的冗余，利用负载均衡技术保证业务高峰期需要；通过路由器控制终端与服务器之间的访问；应当绘制完整的网络拓扑图，记录详细的网络基线文档，根据业务重要性合理分配IP地址，并控制各子网之间的访问；有能力的网络和业务重要的网络应在路由器或交换机上配置QOS策略，保证重要业务数据不受网络高峰是拥堵的影响。

三、常见问题
多数企业网络都建立了IP分配规则并绘制网络拓扑，但对于网络基线信息的记录工作做的不好或不够详细，而且通常不会及时更新；少数公司由于内部网络规模较小没有进行网段划分，也没有对重要网络采取必要的控制措施；一般的企业网络很少会配置QOS策略。

四、实施难点
基线文档要有良好的保存和更新规定，应适当增加对文档的检查工作；路由控制和QOS控制让网络管理人员感觉是增加了工作量，同时增加了日常对策略的检查和维护的工作，容易受到网络管理人员的抵制。

五、测评方法
形式
访谈，检查，测试。

对象
网络管理员，边界和网络设备，网络拓扑图，网络设计/验收文档。

实施
a)应访谈网络管理员，询问边界和网络设备的性能以及目前业务高峰流量情况；
b)应访谈网络管理员，询问网段划分情况以及划分原则；询问重要网段有哪些，其具体的部署位置，与其他网段的隔离措施有哪些；
c)应访谈网络管理员，询问网络的带宽情况；询问网络中带宽控制情况以及带宽分配的原则；
d)应访谈网络管理员，询问网络设备的路由控制策略措施有哪些，这些策略设计的目的是什么；
e)应检查网络拓扑图，查看其与当前运行情况是否一致；
f)应检查网络设计/验收文档，查看是否有边界和网络设备业务处理能力、网络接入及核心网络的带宽满足业务高峰期的需要以及不存在带宽瓶颈等方面的设计或描述；
g)应检查网络设计/验收文档，查看是否有根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网和网段分配地址段的设计或描述；
h)应检查边界和网络设备，查看是否配置路由控制策略（如使用静态路由等）建立安全的访问路径；
i)应检查边界和网络设备，查看重要网段是否采取了技术隔离手段与其他网段隔离；
j)应检查边界和网络设备，查看是否有对带宽进行控制的策略（如路由、交换设备上的QOS策略配置情况，专用的带宽管理设备的配置策略等），这些策略能否保证在网络发生拥堵的时候优先保护重要业务（如重要业务的主机的优先级要高于非重要业务的主机）。

六、参考资料
ISO17799中对网络安全控制有实施指导：
11.4.5
网络隔离
控制：
应隔离信息系统内的信息服务组、用户和信息系统
实施指南：
控制大型网络安全的一种方法是将该大型网络分成若干独立的逻辑网络域，例如，组织的内部网络域和外部网络域，每个域均受已定义的安全边界所保护。划分为不同等级的控制集能应用到不同的逻辑网络域，以进一步隔离网络安全环境，例如公共可访问系统、内部网络和关键资产。域应基于风险评估和每个域内的不同安全要求来定义。
这样的边界可以通过在被互连的两个网络之间安装一个安全网关来实现，以控制这两个域之间的访问和信息流。这种网关要配置成能过滤这些域之间的通信量（见11.4.6
和11.4.7），并且能按照组织的访问控制策略阻挡未授权访问（见11.1）。这种类型的网关例子是通常称作防火墙的东西。另外一个隔离逻辑域的隔离方法是通过为组织内的用户组使用虚拟专用网来限制网络访问。
网络也可以使用网络设备进行功能性隔离，例如IP 转换。隔离域能通过使用路由/转换能力（例如访问控制列表）控制网络数据流而实现。
将网络隔离成若干域的准则应基于访问控制策略和访问要求（见10.1），还要考虑到相关成本和加入适合的网络路由选择的性能影响或网关技术（见11.4.6
和11.4.7）。
另外，为减少服务破坏的总的影响，网络的隔离应基于网络中存储或处理信息的价值和分类、信任级别或业务线。
应考虑无线网络与内部和专用网络的隔离。因为无线网络的边界不好定义，在这种情况下，应执行风险评估识别控制措施（例如，强认证、密码手段和频率选择），以维持网络隔离。
11.4.6
网络连接控制
控制：
在公共网络中，尤其是那些延展到组织边界之外的网络，应限制用户联接的能力，并与业务应用系统的访问控制策略和要求一致（见11.1）
实施指南：
访问控制策略要求维护和更新用户的网络访问权力（见11.1.1）。
用户的连接能力可通过网关来限制，该网关借助预先定义的表或规则过滤通信量。施加限制的应用例子有：
a） 消息传递，例如电子邮件；
b） 文件传送；
c） 交互式访问；
d） 应用访问。
应考虑将网络访问权力限制到日或日期的确定时间。
11.4.7
网络路由控制
控制：
应对网络进行路由控制，以确保信息联接和信息流不违反业务应用系统的访问控制策略
实施指南：
路由选择控制应基于确定的源地址和目的地址检验机制。
如果使用了代理和/或网络地址转换技术，安全网关能在内部和外部网络控制点验证源地址和目的地址。实现者要了解所采用的机制的强度和缺点。网络路由控制的要求应基于访问控制策略

本文首发：信息安全等级保护之技术要求→网络安全→结构安全