7. 安全架构基础

工欲善其事，必先利其器[1]。 ——《论语》

本章通过介绍安全架构以便达到能够对企业架构目标进行拆分或组合，并使其具备安全特性的能力。

定义

提供一种供企业实现架构安全特性的一系列原则、流程等组合方式。

目标

关注价值与威胁[2]

包含价值所在以及来自内外部的威胁[3]

• 确定当前价值[4]

• 确定风险与差距[5]

• 确定优先级[6]

关注基础能力建设

包含技术、运营、管理三个基本面的能力建设[7]

• 用于技术支撑的安全基础架构[8]

• 梳理资产及资产属性[9]

• 基本策略和过程控制[10]

关注生命周期治理

包含安全治理中各方面生命周期的运营管理[11]

• 引用业界参考模型[12]以及确定适用的管理阶段[13]

• 追踪不同阶段的治理效果[14]

• 采用平台或者自动化工具[15]

安全模式[16]

为系统[17]架构附加安全特性的设计模式

· 代理模式：Inbound/Outbound Proxy

· 分层模式：Data Access Layer, Traffic Access Layer, ORM.

· 聚合模式：API Gateway

· 分离模式：Sanbox

安全服务[18]

引入并对外提供安全服务

可以是提供产品[19]出去，亦或是产品提供的服务，亦或人工服务，例如技术支持，客户咨询等。针对安全服务需要另从雇佣关系上需要注意外包人员的管理，尤其是“外包的外包”，例如x公司作为许多企业的外包服务提供者，其自身还会雇佣外包为雇主企业提供服务。

• 基础运维[20]：Logging & Monitoring, Auditing, Administration, Alerting, Telemetry, NTP, Password Management, User Role, Port(eg. baseline 443, 2222) ACL etc;

• 技术支持：Application Support, IT Support, Technical Support, Architecture Review, Code Review, Penetration testing etc；

• 意识培训：Awareness Training, Anti-Corruption Training, Security Development etc;

• 定制开发：Service Integration, Self Service[21], Security SDK etc;

• 客户咨询： Customer Service, Security Solution;

针对提供的服务应通过确定衡量指标[22]、收集服务反馈以达到对服务质量[23]管理以及优化用户体验。

---

[1] 凡有形有象者即器也，所以为器者所以为器之理者即道也——朱熹。

[2] 持续关注，持续优化。

[3] 思考已知的威胁还是未知的威胁？

[4] 现在业务要做什么？安全要做什么？业务能带来什么价值？安全能为业务带来什么什么样的价值？

[5] 面临的风险和现实的差距

[6] 思考是应该先处理重要且紧急的呢还是重要不紧急的呢？

[7] 组织架构应当能够支撑基础能力建设。

[8] 各种工具、系统、软硬件等，用于帮助其他系统减缓入侵。

[9] 硬件资产、应用资产、数据类别、重要程度、用途、所属等。

[10] 各个领域（对用户、应用、权限、数据等）的security control以及对应的标准操作流程等。

[11] 可与第六章中运营部分生命周期管理部分互相参考

[12] 引用参考框架或模型帮助识别资产种类以及管理周期。例如IPDRR（防御流程）, DSMM（数据管理）, CVSS（漏洞识别）, ATT&CK（攻击识别）, STRIDE（威胁识别）等。

[13] 假设某些存证要求5-10年保留的话，短期内是不需要投入到数据销毁上的。不同实体对应的生命周期也不相同，并非所有管理阶段都需要覆盖。例如仅需要从收集、传输、存储、处理、共享、销毁当中根据实际情况选择固定的阶段进行处置即可。

[14] 确保落地效果，以及互相监督。例如密钥的流转及销毁。

[15] 用技术去实现过程控制和流程管理，可以减少人工失误并且易于审计。

[16] 原英文为Security Patterns.这里仅仅列举几条。有的工具可以支持多种模式。详细可参考Security Patterns In Practice - Designing Secure Architectures Using Software Patterns 以及OSA文档库。

[17] 亦有为安全开发提供的安全模式。

[18] 包含工具，服务，产品等。可以通过采购、自研、开源社区等引入并以手动或自动的形式对内外部提供。具体类别可参考第六章中的技术范畴、运营范畴、管理范畴三部分。

[19] 借助vendor技术优势往往存在新的问题。例如乙方的自我假设，以及特定的场景问题，通常还需要访问外网进行数据同步（系统升级，特征库更新等）。

[20] 安全工具的管理平台一般是B/S架构，端上组件是C/S结构。基础运维需要对相关系统的日志、审计，访问控制、权限控制、监控、告警等一系列选项进行配置维护。另注意在此过程中引入了信任的第三方。例：引入snmp的话，意味着对snmp server的信任。Hids Agent对Server亦类似。

[21] 自一般情况下，自助服务属于L0 Support. 客户咨询属于L1 Support.

[22] 确定采用哪些metric衡量服务质量。例如SLA衡量服务可用性；

[23] 提高服务质量可参考PDCA循环。