1、ICS 35.040 L 80 道昌和国国家标准11: /、中华人民GB/T 25068. 1-20 12/ISO/IEC 18028-1 : 2006 信息技术第1安全技术IT网络安全部分:网络安全管理Information technology-Security techniques-IT network security一Part 1 : Network security management CISO/IEC 18028-1: 2006 , IDT) 2012-06-29发布2012-10-01买施。币。臼!s:.飞84叫咱也亘古革白事Ii码防伪/ 中华人民共和国国家质量监督检验检茂总
2、局中国国家标准化管理委员会发布中华人民共和国国家标准信息技术安全技术IT网络安全第1部分:网络安全管理GB/T 25068. 1-2012/ISO/IEC 18028-1 :2006 ，晤中国标准出版社出版发行北京市朝阳区和平里西街甲2号(100013)北京市西城区三里河北街16号(100045)网址总编室:(010)64275323发行中心:(010)51780235读者服务部:(010)68523946中国标准出版社秦皇岛印刷厂印刷各地新华书店经销* 开本880X12301/16 印张3.5字数104千字2012年10月第一版2012年10月第一次印刷 书号:155066. 1-45562
3、定价48.00元如有印装差错由本社发行中心调换版权专有侵权必究举报电话:(010)68510107GB/T 25068. 1-20 12/ISO/IEC 18028-1 :2006 目次前言.皿引言.凹1 范围-2 规范性引用文件.3 术语和定义3. 1 其他标准中的术语和定义.3.2 术语和定义.2 4 缩略语.65 结构.6 目标.7 综述-7.1 背景7.2 识别过程.10 8 企业信息安全策略要求的考量. 12 9 网络体系结构与应用的评审.四9. 1 背景.12 9.2 网络类型.13 9.3 网络协议.13 9.4 网络应用. 13 9. 5 网络实现技术.14 9.5.1 局域网
4、.14 9.5.2 广域网.14 9.6 其他考量.15 10 网络连接类型的识别uu 网络特征与相关信任关系的评审. 17 11. 1 网络特征11. 2 信任关系12 信息安全风险的识别. 18 13 识别适当的潜在控制域.23 13.1 背景2313.2 网络安全体系结构.23 13.2.1 导言2313.2.2 局域网.24 13.2.3 广域网. 26 13.2.4 无线网络.27 GB/T 25068.1-2012月SO/IEC18028-1: 2006 。OQdnu-。，写UAIFHU勺，勺7。0000OQdQUQdQdQdnu-1i1inL9u?uq白qquqdA结FDFbFb
5、严。严Dnonb。onu。，qQuqunuququququqdququququququqdququA哇A哇A哇A哇A哇A哇A哇A立A哇A主A哇A哇A哇A哇A古AAA哇也已 A回口可为成问访的务口民uuHHHHHHHHUHHHUHHHUHHHH瘁，.供庭提才务。所uuuuf3uuuuHHUH服柳附仲MU四酬非非频部结档uuuuuulu且H密密整u丁击外系件做面机剧于保完h务u据织咐架略程查条户方估un份录载悔姗姗岳和U服网喋组扭框策规检全用.个任评理别身登的御施的的理管施审网关问用合对网理动全作规安务理理各责视全管鉴录强统点志抵设上上赖管性实评附加zrz监监岳阳时吉思黠黠在即由自由且宫附附翩翩乱
6、叫012全络术份络侵意、12345U制的56789111安1234567网IJJJJ技身JJJJJ网入恶习，队队队队队才控施22222222:3333333444446666JOJJJJJ1全实献u.UU口口uu口JUUU口口HUJU口口口口JJUUUUUJJJJUUUUUJ安对文UUUUUUUM考um参E GB/T 25068.1-2012月SO/IEC18028-1: 2006 剧昌GB/T 25068(信息技术安全技术IT网络安全分为以下5个部分:一一第1部分:网络安全管理;一一第2部分:网络安全体系结构;一一第3部分z使用安全网关的网间通信安全保护;一一第4部分:远程接人的安全保护;一
7、一第5部分:使用虚拟专用网的跨网通信安全保护。本部分为GB/T25068的第1部分。本部分按照GB/T1. 1-2009给出的规则起草。本部分使用翻译法等同采用国际标准ISO/IEC18028-1: 2006(信息技术安全技术IT网络安全第1部分z网络安全管理。本部分作了以下纠正:在第4章的缩略语中纠正一个缩略语的英文原文。纠正的缩略语的英文原文在所在页的边空白处用单竖线1标出。13.3.1中原文有误，已纠正，在页边用单竖线1指示。与本部分中规范性引用的国际文件有一致性对应关系的我国文件如下:GB/Z 20985一2007信息技术安全技术信息安全事件管理指南(lSO/IECTR 18044:
8、2004，MOD)。一-GB/T28454-2012信息技术安全技术入侵检测系统的选择、部署和操作(lSO/IEC18043: 2006 ,MOD) 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本部分由全国信息安全标准化技术委员会(TC260)提出并归口。本部分起草单位z黑龙江省电子信息产品监督检验院、中国电子技术标准化研究所。本部分主要起草人:王希忠、姜波、黄俊强、马遥、方舟、王大萌、树彬、张清江、宋超臣、段志鸣、上官晓丽、许玉娜、王运福、吴梅艳。E GB/T 25068.1-2012月SO/IEC18028-1: 2006 51 通信和信息技术业界一直在寻
9、找经济有效的全面安全解决方案。安全的网络应受到保护，免遭恶意和元意的攻击，并且应满足业务对信息和服务的保密性、完整性、可用性、抗抵赖、可核查性、真实性和可靠性的要求。保护网络安全对于适当维护计费或使用信息的准确性也是必要的。产品的安全保护能力对于全网的安全(包括应用和服务)是至关重要的。然而，当更多的产品被组合起来以提供整体解决方案时，互操作性的优劣将决定这种解决方案的成功与否。安全不仅是对每种产品或服务的关注，还必须以促进全面的端到端安全解决方案中各种安全能力交舍的方式来开发。因此，GB/T25068的目的是为IT网络的管理、操作和使用及其互连等安全方面提供详细指南。组织中负责一般IT安全和
10、特定IT网络安全的人员应能够调整GB/T25068中的材料以满足他们的特定要求。GB/T25068的主要目标如下:一-GB/T25068. 1定义和描述网络安全的相关概念，并提供网络安全管理指南一一包括考虑如何识别和分析与通信相关的因素以确立网络安全要求，还介绍可能的控制领域和特定的技术领域(相关内容在GB/T25068的后续部分中涉及); 一-GB/T25068. 2定义一个标准的安全体系结构，它描述一个支持规划、设计和实施网络安全的一致框架z一-GB/T25068. 3定义使用安全网关保护网络间信息流安全的技术;GB/T 25068.4定义保护远程接人安全的技术;GB/T 25068. 5
11、定义对使用虚拟专用网(VPN)建立的网络间连接进行安全保护的技术。GB/T 25068. 1与涉及拥有、操作或使用网络的所有人员相关。除了对信息安全CIS)和/或网络安全及网络操作负有特定责任的、或对组织的全面安全规划和安全策略开发负有责任的管理者和管理员外，还包括高级管理者和其他非技术性管理者或用户。GB/T 25068.2与涉及规划、设计和实施网络安全体系结构方面的所有人员例如lT网络管理者、管理员、工程师和IT网络安全主管)相关。GB/T 25068. 3与涉及详细规划、设计和实施安全网关的所有人员(例如IT网络管理者、管理员、工程师和IT网络安全主管)相关。GB/T 25068. 4与
12、涉及详细规划、设计和实施远程接人安全的所有人员(例如IT网络管理者、管理员、工程师和IT网络安全主管)相关。GB/T 25068. 5与涉及详细规划、设计和实施VPN安全的所有人员(例如IT网络管理者、管理员、工程师和IT网络安全主管)相关。11 G/T 25068. 1-20 12/ISO/IEC 18028-1 :2006 1 范围信息技术安全技术IT网络安全第1部分:网络安全管理GB/T 25068的本部分规定了网络和通信安全方面的指导，包括信息系统网络自身的互连以及将远程用户连接到网络。本部分适用于那些负责信息安全管理，尤其是网络安全管理的相关人员。本部分支持识别和分析与通信相关的因素
13、，这些因素宜在建立网络安全要求时考虑到;针对与通信网络连接相关的安全，介绍如何识别适当的控制域;综述可能的控制域，包括在GB/T25068. 2至GB/T25068.5中详细论述的那些技术设计和实施主题。2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。GB/T 22081-2008信息技术安全技术信息安全管理实用规则(lSO/IEC27002: 2005 , IDT) GB/T 25068. 2一2012信息技术安全技术IT网络安全第2部分:网络安全体系结构(lSO/I
14、EC 18028-2: 2005 , IDT) GB/T 25068.3-2010信息技术安全技术IT网络安全第3部分:使用安全网关的网间通信安全保护(lSO/IEC18028-3: 2005 , IDT) GB/T 25068. 42010信息技术安全技术IT网络安全第4部分z远程接人的安全保护(lSO/IEC 18028-4: 2005 , IDT) GB/T 25068.5-2010信息技术安全技术IT网络安全第5部分z使用虚拟专用网的跨网通信安全保护(lSO/IEC18028-5: 2006 , IDT) ISO/IEC 18043: 2006 信息技术安全技术入侵检测系统的选择、部署
15、和操作(Information technology-Security techniques-Selection, deployment and operations of intrusion detection sys tems) ISO/IEC TR 18044: 2004 信息技术安全技术信息安全事件管理指南(Information technology-Security techniques-Information security incident management) ISO/IEC 13335-1 :2004信息技术安全技术信息和通信技术安全管理第1部分:信息和通信技术安全管理
16、概念和模型(Informationtechnology-Security techniques-Management of information and communications technology security-Part 1: Concepts and models for information and communications technology security management) 3 术语和定义3. 1 其他标准中的术语和定义GB/T 9387(所有部分)和GB/T22081中界定的术语和定义适用于本文件。1 GB/T 25068.1-20 12/ISO/IEC
17、 18028-1: 2006 3.2 术语和定义下列术语和定义适用于本文件。3.2. 1 报曹alert 即时指示信息系统和网络可能受到攻击或因意外事件、故障或人为错误而处于危险之中。3.2.2 攻击者aUacker 故意利用技术性和非技术性安全控制措施的脆弱性，以窃取或损害信息系统和网络，或者损害合法用户对信息系统和网络资源可用性的任何人。3.2.3 审计audit 依照期望对事实进行的正规调查、正规检验或验证，以确认它们之间的符合性和一致性。3.2.4 审计日志audit logging 为了评审和分析以及持续监控而收集的有关信息安全事态的数据。3.2.5 审计工具audit tools
18、一种辅助分析审计日志内容的自动化工具。3.2.6 业务持续性管理business continuity management 当有任何意外或有害事件发生，且能够对基本业务功能和支持要素的持续性造成负面影响时，确保运行的恢复得到保障。注:该过程还宜确保恢复工作按所要求的优先级、在规定的时间期限内完成，且随后将所有业务功能及支撑要素恢复到正常状态。这一过程的关键要素必须确保具有必要的规划和设施，且经过测试，它们包含信息、业务过程、信息系统和服务、语音和数据通信、人员和物理设施。3.2.7 Comp128-1 早期被SIM卡默认使用的一种专有算法。3.2.8 非军事区demilitarized zo
19、ne 插在网络之间作为中立区的边界网络(也称作屏蔽子网)。注:它形成一个安全缓冲区。3.2.9 拒绝服务denial of service 阻止对系统资源的授权访问或延迟系统的运行和功能。3.2. 10 外联网extranet 组织的内联网的扩展，特别是在公共网络基础设施上的扩展，通过提供对其内联网的有限访问，使得组织和与它有往来的其他组织和个人共享资源。3.2. 11 过滤filtering 根据指定的准则，接受或拒绝数据流通过网络的过程。2 GB/T 25068.1-2012/ISO/IEC 18028-1 :2006 3.2. 12 防火墙firewall 设置在网络环境之间的一种安全屏
20、障。它由一台专用设备或若干组件和技术的组合组成。网络环境之间两个方向的所有通信流均通过此安全屏障，并且只有按照本地安全策略定义的、已授权的通信流才允许通过。3.2.13 集结器hub 一种在OSI参考模型(GB/T9387. 1)中第1层工作的网络设备。注:网络集线器中没有真正的智能，它只为联网系统或资源提供物理连接点。3.2.14 信息安全事态information security event 被识别的一种系统、服务或网络状态的发生，表明一次可能的信息安全策略违规或某些控制措施失效，或者一种可能与安全相关但以前不为人知的情况。注z见ISO/IEC18044 0 3.2. 15 信息安全事件
21、information security incident 由单个或一系列有害或意外的信息安全事态所组成，极有可能危害业务运行和威胁信息安全。注:见ISO/IEC180440 3.2. 16 信息安全事件管理information security incident management 响应和处理信息安全事态和事件的正规过程。注:见ISO/IEC180440 3.2. 17 互联网internet 公共域内互连网络的全球系统。3.2. 18 肉联网intranet 在组织内部建立的专用网络。3.2. 19 入侵intrusion 对网络或连接到网络的系统的未授权访问，即对信息系统进行有意或无
22、意的未授权访问，包括针对信息系统的恶意活动或对信息系统内资掠的未授权使用。3.2.20 入侵检测intrusion detection 检测入侵的正规过程，其一般特征为采集如下知识z异常使用模式以及已被利用的脆弱性的类型和利用方式(包括何时发生及如何发生)。注:见ISO/IEC180430 3.2.21 入僵检测系统intrusion detection system 用于识别某一人侵已被尝试、正在发生或已经发生，并可能对信息系统和网络中的入侵做出响应的技术系统。3 GBjT 25068. 1-20 12jISOjIEC 18028-1 :2006 3.2.22 入侵防护系统intrusion
23、 prevention system 入侵检测系统的一种变体，专门设计来提供主动的响应能力。注:见ISO/IEC180430 3.2.23 抖动jitter 因被传输的信号偏离其参考值而造成的一种线路失真形式。3.2.24 恶意软件malware 被专门设计用来损害或破坏系统的恶意的软件，诸如病毒或特洛伊木马。3.2.25 多协议标签交换multi protocol label switching 一种为了在内部网络路由选择中使用而开发的技术，由此标签被分配给单个的数据路径或数据流，并用于切换连接，处于下层且是一般路由选择机制的附加。注z标签交换能用作一种创建隧道的方法。3.2.26 网络行政
24、管理network administration 日常运营和网络过程及用户的管理。3.2.27 网络分析仪network analyzer 用于截取网络中信息流并对其解码的设备。3.2.28 网络元素network element 与网络相连的信息系统。注:安全元素的详细描述见GB/T25068. 2。3.2.29 网络管理network management 对网络进行规划、设计、实施、运行、监视和维护的过程。3.2.30 网络监视network monitoring 连续观察和评审在网络活动和运行中所记录数据(包括审计日志和报警)的过程以及相关分析。3.2.31 网络安全策略network
25、 security policy 组织为使用网络资源所制定的一组说明、规则和实践，并指出如何通过以上策略保护网络基础设施和服务。3.2.32 4 端口port 连接的端点。注:在互联网协议的环境中，端口是TCP或UDP连接的逻辑信道端点。基于TCP或UDP的应用协议通常已分配默认端口号，如为HTTP协议分配端口80。GB/T 25068.1-2012/ISO/IEC 18028-1 :2006 3.2.33 隐私privacy 每个人都享有的不公开处理的私人和家庭生活、居所和通信的权利。注:隐私不得受到当局干涉，而在依照法律，且对于国家安全、公共安全或国家经济与社会稳定，或者对于防止动乱或犯罪
26、、保护健康或道德，或者对于保护他人的权利和自由有必要时除外。3.2.34 远程访问remote access 从另一网络或从一个正在访问但未在物理上或是逻辑上永久连接到网络的终端设备来访问网络资源的过程。3.2.35 远程用户remote user 所在位置与正被使用的网络资源位置不同的用户。3.2.36 路由器router 通过基于路由协议机制和算法选择路径或路由，来建立和控制不同网络之间数据流的网络设备。其自身能基于不同的网络协议。路由信息保存在路由表内。3.2.37 安全维security dimension 为处理特定网络安全方面而设计的安全控制措施集。注2安全维的详细描述见GB/T2
27、5068. 2。3.2.38 安全域security domain 遵从于共同安全策略的资产和资源的集合。3.2.39 安全网关security gateway 网络之间或网络内子部分之间或不同安全域内的软件应用之间的连接点，旨在按照给定的安全策略保护网络。注2安全网关的详细描述见GB/T25068. 3 Q 3.2.40 安全层security layers 表示一种由安全维保护的网络设备和设施分类的层次结构。注:安全层的详细描述见GB/T25068. 2 Q 3.2.41 安全面security plane 表示由安全维保护的某种类型的网络活动。注:安全面的详细描述见GB/T25068.
28、2。3.2.42 滥发spamming 发送大量未经请求的消息，从而对接收方信息系统资源的可用性造成不利影响。3.2.43 欺骗spoofing 假冒成合法的资源或用户。5 GB/T 25068.1-2012月SO/IEC18028-1 : 2006 3.2.44 交换机switch 利用内部交换机制来提供联网设备之间连通性的设备。注:交换机不同于其他局域网互联设备(例如集线器)，其原因是交换机中使用的技术是在点对点的基础上建立连接。这就确保网络通信流只对有地址的网络设备可见，并使几个连接能够并存。交换技术能在OSI参考模型CGB/T 9387.1)的第2层或第3层实现。3.2.45 隧道tu
29、nnel 通过使用协议封装、标签交换或虚电路等技术，在现有的网络基础设施上建立的联网设备之间的数据路径。3.2.46 虚拟专用网virtual private network 利用物理网络的系统资源而构建的限制性使用的逻辑计算机网络。例如，使用加密技术和/或虚拟网络的隧道链接来跨越真实网络。4 缩略语6 3G AAA ACL ADSL AES ATM CDPD CDMA CLID CLNP CoS CRM DEL DES DMZ DNS DoS DSL EDGE EDI EGPRS EIS FTP GPRS GSM HIDS 第三代移动电话系统CThirdGeneration mobile t
30、elephone system) 鉴别、授权和计费CAuthentication，Authorization and Accounting) 访问控制列表CAccessControl List) 非对称数字用户线CAsymmetricDigital Subscriber Line) 高级加密标准CAdvancedEncryption Standard) 异步传输模式CAsynchronousTransfer Mode) 蜂窝数字分组数据CCellularDigital Packet Data) 码分多址CCodeDivision Multiple Access) 呼叫线路识别CCallingL
31、ine Identifier) 无连接网络协议CConnectionlessNetwork Protocol) 服务类别CClass of Service) 客户关系管理CCustomerRelationship Management) 直接交换线路CDirectExchange Line) 数据加密标准CDataEncryption Standard) 非军事区CDemilitarizedZone) 域名服务CDomainName Service) 拒绝服务CDenialof Service) 数字用户线CDigitalSubscriber Line) 增强型数据速率GSM演进技术CEnha
32、ncedData-Rates for GSM Evolution) 电子数据交换CElectronicData Interchange) 增强型通用分组无线业务CEnhancedGeneral Packet Radio Service) 企业信息系统CEnterpriseInformation System) 文件传输协议CFileTransfer Protocol) 通用分组元线业务CGeneral Packet Radio Service) 全球移动通信系统CGlobalSystem for Mobile communications) 基于主机入侵检测系统CHost based Intr
33、usion Detection System) HTTP IDS IP ISP IT LAN MPLS MRP NAT NIDS NTP OOB PC PDA PIN PKI PSTN QoS RAID RAS RTP SDSL SecOPs SI肌4SN岛1PSSH TCP TDMA Telnet TETRA TKIP UDP UMTS UPS USB VHF VoIP VPN WAN WAP WEP WLAN WORM GB/T 25068.1-2012/ISO/IEC 18028-1 :2006 超文本传输协议CHypertextTransfer Protocol) 入侵检测系统CInt
34、rusionDetection System) 互联网协议CInternetProtocol) 互联网服务提供商CInternetService Provider) 信息技术CInformationTechnology) 局域网CLocalArea Network) 多协议标签交换CMulti-ProtocolLabel Switching) 制造资源计划CManufacturingResource Planning) 网络地址转换CNetworkAddress Translation) 网络入侵检测系统CNetworkIntrusion Detection System) 网络时间协议CNe
35、tworkTime Protocol) 带外数据(Outof Band) 个人计算机CPersonalComputer) 个人数字助理CPersonalData Assistant) 个人识别码CPersonalIdentification Number) 公钥基础设施CPublicKey Infrastructure) 公用电话交换网CPublicSwitched Telephone Network) 服务质量CQualityof Service) 独立冗余磁盘阵列CRedundantArray of Inexpensive Disks) 远程接入服务CRemoteAccess Servic
36、e) 实时传输协议CReal-Time Transport Protocol) 对称数字用户线CSymmetricDigital Subscriber Line) 安全操作规程CSecurityOperating Procedures) 用户识别模块CSubscriberIdentity Module) 简单网络管理协议CSimpleNetwork Management Protocol) 安全外壳协议CSecure Shell) 传输控制协议CTransmissionControl Protocol) 时分多址CTimeDivision Multiple Access) 在远程计算机上在线工
37、作的终端仿真程序CTerminalemulation program to work on-line on a remote computer) 地面集群元线电CTErrestialTrunked RAdio) 临时密钥整体性协议CTemporalKey Integrity Protocol) 用户数据报协议CUserDatagram Protocol) 通用移动电信系统CUniversalMobile Telecommunications System) 不间断电源CUninterruptiblePower Supply) 通用串行总线CUniversalSerial Bus) 甚高频CVe
38、ryHigh Frequency) IP语音CVoiceover IP) 虚拟专用网CVirtualPrivate Network) 广域网CWideArea Network) 元线应用协议CWirelessApplication Protocol) 有线等效隐私CWiredEquivalent Privacy) 元线局域网CWirelessLocal Area Network) 一写多读CWriteOnce Read Many) 7 GB/T 25068. 1-20 12/ISO/IEC 18028-1 :2006 5 结构本部分采用的编排方法是:一一首先总结、识别和分析与通信相关因素的整个
39、过程，这些因素在确立网络安全要求时宜予以考虑;一一然后针对与连接相关的安全提供潜在控制域的指示，这些连接是与外部通信网络的连接和通信网络之间的连接。在此过程中，对ISO/IEC13335和GB/T22081一2008可能使用的相关内容提供指示符，并且在GB/T25068. 2-GB/T 25068. 5中详细研究的技术设计和实施的主题也被引人。描述3个简单标准以帮助负责信息安全的人员识别潜在控制域。这些标准识别以下内容:一一不同网络连接类型;一一不同网络特征和相关信任关系;与网络连接(和经由这些连接所提供服务的使用)有关的潜在安全风险类型。然后将这些标准组合起来的结果用于指示潜在控制域。随后，
40、提供潜在控制域的概要描述，并指出更详细的来源。8 研究的领域是:网络安全体系结构，包括以下范围: 局域网; 广域网; 元线网络; 无线电网络; 宽带网络;安全网关(见GB/T25068.3) ; 远程接入服务(见GB/T25068.4) ; 虚拟专用网(见GB/T25068.5); IP融合(数据、音频和视频); 保持对(组织外部网络所提供服务的访问成为可能; 万维网代管体系结构;(更多网络安全体系结构的细节见GB/T25068.2)。一一安全服务管理框架;一一网络安全管理;一一技术脆弱性管理;一一识别和鉴别;一一网络审计日志和监视;一一入侵检测;一一抵御恶意代码F一一公用基础设施的密码服务;
41、一一业务持续性管理1)。然后研究安全控制措施的实施和运行，以及该实施的监视和评审。1) 这包括IT灾难恢复计划。GB/T 25068.1-2012月SO/IEC18028-1: 2006 6 目标本部分的目标是提供:一一-识别和分析与通信相关因素的指导，这些因素在确立网络安全要求时宜予以考虑;一一潜在控制域的指示，包括在GB/T25068. 2GB/T 25068. 5中详细研究的那些潜在控制域。7 综述7. 1 背景随着电子商务行为在全球的不断增加，大多数政府和商业组织的信息系统通过网络连接在一起。网络连接可以是组织内部的互联、组织间的互联或组织与公众的互联。公开可用网络技术特别是互联网和相
42、关的万维网的迅速发展，使得商务和在线公共服务的提供得以发展。其范围从仅将互联网用作全球化连接手段来提供成本较低的数据通信，到提供更复杂的ISP服务。这意味着从使用在电路每一端的成本相对低的本地连接点，直到使用基于万维网的应用和服务，全面的在线电子交易和服务交付系统。此外，新技术(包括数据和语音的集成)，使得远程上下班风格的业务模型有更大的发展空间。这使得员工能够在大部分时间内远离总部办公，通过使用拨号接人或逐渐增多的元线局域网连接等远程设施以建立与企业网络联系和访问业务支持信息和服务，来保持与总部的联系。因此，在这种环境带来商业利益的同时，也带来新的需要管理的安全风险。由于组织严重依赖信息的使
43、用来进行业务活动，信息和服务的保密性、完整性、可用性、抗抵赖、可核查性、真实性和可靠性的损失能够对业务运行造成不利影响。因此，保护信息、对组织内部信息系统进行安全管理是非常重要的需求。一个典型的联网场景的实例如图1所示，该场景能够在今天的很多组织机构中观察到。二/ 无线、飞局域网E飞川) 飞F内部网关外联网内联网互联网圄1典型联网环境9 GB/T 25068.1-2012/ISO/IEC 18028-1 :2006 内联网规范组织内部依赖和维护的网络。通常情况下，只有组织的工作人员才有该网络的直接物理接入点，并且该网络在处于该组织拥有的前提下，某种级别的物理保护可以容易地实现。在大多数情况下，
44、对于所使用的技术和安全要求而言，内联网不是同构的;可能有些基础设施需要的保护级别比内联网自身给出的要高。此类基础设施，例如公开密钥基础设施环境的基本部分，可在内联网的专用部分中运行。另一方面，某些技术可能需要某种隔离，因为它们引人额外风险，例如元线局域网基础设施。对于这两种情况，内部安全网关可用于实施这种分割。如今大多数组织的业务需求都需要与外部伙伴和其他组织进行通信和数据交换。与最重要的业务伙伴的连接方式是直接将内联网扩展到伙伴组织的网络;外联网这个术语被普遍用于这种扩展。由于被连接伙伴组织的信任在大多的情况下要低于组织内部的信任，所以外联网安全网关被用于应对由这些连接引人的风险。如今，公共网络，主要是互联网，被进一步用于为合作伙伴和客户包括公众)提供成本最优化的通信和数据交换设施，并且提供各种形式的内联网扩展。由于公共网络特别是互联网中的低信任等级，需要高级的安全网关来帮助管理相关的风险。这些安全网关包括特定的组件来处理各种形式的内联网扩展以及合作伙伴和客户连接的要求。远程用户可通过虚拟专用网技术来连接，他们可能进一步使用如公共无线局域网热点之类的无线连接设施来接人互联网。或者，远程用户可使用电话网络来
