简介
漏洞扫描是网络安全中最关键的活动之一。它有助于识别系统或网络中的潜在漏洞，这些漏洞可能会被攻击者利用。多维度漏洞扫描是一种全面的扫描方法，可覆盖网络、主机和应用层上的漏洞。
漏洞扫描的类型
有三种主要类型的漏洞扫描：
- 网络漏洞扫描：识别网络级漏洞，例如未修补的端口、开放的服务和弱口令。
- 主机漏洞扫描：扫描单个主机，寻找操作系统、软件和配置中的漏洞。
- 应用漏洞扫描：针对特定应用程序或代码库进行扫描，发现安全问题和漏洞。
多维度的优势
多维度漏洞扫描结合了这三种类型的扫描，提供了全面的漏洞覆盖范围。以下是它的主要优势：
- 更全面的漏洞覆盖：扫描所有层，包括网络、主机和应用，可以发现更多类型的漏洞。
- 更准确的优先级：通过对不同类型的漏洞进行相关性评分，可以帮助安全团队优先处理最关键的漏洞。
- 更有效的补救：识别漏洞的根本原因，并提供针对性的补救措施。
如何实施多维度漏洞扫描
实施多维度漏洞扫描通常涉及以下步骤：
- 范围确定：确定要扫描的网络、主机和应用程序。
- 工具选择：选择一个支持多维度扫描的漏洞扫描工具。
- 扫描配置：根据扫描范围和目标定制扫描配置。
- 扫描执行：启动扫描并监视进度。
- 结果分析：分析扫描结果，识别漏洞并对其进行优先级排序。
- 漏洞修复：实施适当的补救措施以解决漏洞。
多维度漏洞扫描工具
有许多漏洞扫描工具支持多维度扫描，例如：
- Nessus
- Qualys VM
- Rapid7 Nexpose
- Acunetix
- Burp Suite
结论
多维度漏洞扫描对于识别和修复网络、主机和应用层上的漏洞至关重要。它提供了全面的漏洞覆盖，帮助安全团队更有效地保护他们的环境。通过实施多维度漏洞扫描解决方案，组织可以提高其安全性态势，降低数据泄露和网络攻击的风险。
网络安全的关键技术有哪些？
一.虚拟网技术虚拟网技术主要基于近年发展的局域网交换技术(ATM和以太网交换）。
交换技术将传统的基于广播的局域网技术发展为面向连接的技术。
因此，网管系统有能力限制局域网通讯的范围而无需通过开销很大的路由器。
由以上运行机制带来的网络安全的好处是显而易见的：信息只到达应该到达的地点。
因此、防止了大部分基于网络监听的入侵手段。
通过虚拟网设置的访问控制，使在虚拟网外的网络节点不能直接访问虚拟网内节点。
但是，虚拟网技术也带来了新的安全问题：执行虚拟网交换的设备越来越复杂，从而成为被攻击的对象。
基于网络广播原理的入侵监控技术在高速交换网络内需要特殊的设置。
基于MAC的VLAN不能防止MAC欺骗攻击。
以太网从本质上基于广播机制，但应用了交换器和VLAN技术后，实际上转变为点到点通讯，除非设置了监听口，信息交换也不会存在监听和插入（改变）问题。
但是，采用基于MAC的VLAN划分将面临假冒MAC地址的攻击。
因此，VLAN的划分最好基于交换机端口。
但这要求整个网络桌面使用交换端口或每个交换端口所在的网段机器均属于相同的VLAN。
网络层通讯可以跨越路由器，因此攻击可以从远方发起。
IP协议族各厂家实现的不完善，因此，在网络层发现的安全漏洞相对更多，如IP sweep, teardrop, sync-flood, IP spoofing攻击等。
二.防火墙枝术网络防火墙技术是一种用来加强网络之间访问控制,防止外部网络用户以非法手段通过外部网络进入内部网络,访问内部网络资源,保护内部网络操作环境的特殊网络互联设备.它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查,以决定网络之间的通信是否被允许,并监视网络运行状态.防火墙产品主要有堡垒主机,包过滤路由器,应用层网关(代理服务器)以及电路层网关,屏蔽主机防火墙,双宿主机等类型.虽然防火墙是保护网络免遭黑客袭击的有效手段,但也有明显不足:无法防范通过防火墙以外的其它途径的攻击,不能防止来自内部变节者和不经心的用户们带来的威胁,也不能完全防止传送已感染病毒的软件或文件,以及无法防范数据驱动型的攻击.自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统,提出了防火墙概念后,防火墙技术得到了飞速的发展.国内外已有数十家公司推出了功能各不相同的防火墙产品系列.防火墙处于5层网络安全体系中的最底层,属于网络层安全技术范畴.在这一层上,企业对安全系统提出的问题是:所有的IP是否都能访问到企业的内部网络系统如果答案是是,则说明企业内部网还没有在网络层采取相应的防范措施.作为内部网络与外部公共网络之间的第一道屏障,防火墙是最先受到人们重视的网络安全产品之一.虽然从理论上看,防火墙处于网络安全的最底层,负责网络间的安全认证与传输,但随着网络安全技术的整体发展和网络应用的不断变化,现代防火墙技术已经逐步走向网络层之外的其他安全层次,不仅要完成传统防火墙的过滤任务,同时还能为各种网络应用提供相应的安全服务.另外还有多种防火墙产品正朝着数据安全与用户认证,防止病毒与黑客侵入等方向发展.1、使用Firewall的益处保护脆弱的服务通过过滤不安全的服务，Firewall可以极大地提高网络安全和减少子网中主机的风险。
例如，Firewall可以禁止NIS、NFS服务通过，Firewall同时可以拒绝源路由和ICMP重定向封包。
控制对系统的访问Firewall可以提供对系统的访问控制。
如允许从外部访问某些主机，同时禁止访问另外的主机。
例如，Firewall允许外部访问特定的Mail Server和Web Server。
集中的安全管理Firewall对企业内部网实现集中的安全管理，在Firewall定义的安全规则可以运用于整个内部网络系统，而无须在内部网每台机器上分别设立安全策略。
如在Firewall可以定义不同的认证方法，而不需在每台机器上分别安装特定的认证软件。
外部用户也只需要经过—次认证即可访问内部网。
增强的保密性使用Firewall可以阻止攻击者获取攻击网络系统的有用信息，如Finger和DNS。
记录和统计网络利用数据以及非法使用数据Firewall可以记录和统计通过Firewall的网络通讯，提供关于网络使用的统计数据，并且，Firewall可以提供统计数据，来判断可能的攻击和探测。
策略执行Firewall提供了制定和执行网络安全策略的手段。
未设置Firewall时，网络安全取决于每台主机的用户。
2、 设置Firewall的要素网络策略影响Firewall系统设计、安装和使用的网络策略可分为两级，高级的网络策略定义允许和禁止的服务以及如何使用服务，低级的网络策略描述Firewall如何限制和过滤在高级策略中定义的服务。
服务访问策略服务访问策略集中在Internet访问服务以及外部网络访问（如拨入策略、SLIP/PPP连接等）。
服务访问策略必须是可行的和合理的。
可行的策略必须在阻止己知的网络风险和提供用户服务之间获得平衡。
典型的服务访问策略是：允许通过增强认证的用户在必要的情况下从Internet访问某些内部主机和服务；允许内部用户访问指定的Internet主机和服务。
Firewall设计策略Firewall设计策略基于特定的firewall，定义完成服务访问策略的规则。
通常有两种基本的设计策略：允许任何服务除非被明确禁止；禁止任何服务除非被明确允许。
通常采用第二种类型的设计策略。
3、 Firewall的基本分类包过滤型包过滤型产品是防火墙的初级产品,其技术依据是网络中的分包传输技术.网络上的数据都是以包为单位进行传输的,数据被分割成为一定大小的数据包,每一个数据包中都会包含一些特定信息,如数据的源地址,目标地址,TCP/UDP源端口和目标端口等.防火墙通过读取数据包中的地址信息来判断这些包是否来自可信任的安全站点 ,一旦发现来自危险站点的数据包,防火墙便会将这些数据拒之门外.系统管理员也可以根据实际情况灵活制订判断规则.包过滤技术的优点是简单实用,实现成本较低,在应用环境比较简单的情况下,能够以较小的代价在一定程度上保证系统的安全.但包过滤技术的缺陷也是明显的.包过滤技术是一种完全基于网络层的安全技术,只能根据数据包的来源,目标和端口等网络信息进行判断,无法识别基于应用层的恶意侵入,如恶意的Java小程序以及电子邮件中附带的病毒.有经验的黑客很容易伪造IP地址,骗过包过滤型防火墙.网络地址转换(NAT)是一种用于把IP地址转换成临时的,外部的,注册的IP地址标准.它允许具有私有IP地址的内部网络访问因特网.它还意味着用户不许要为其网络中每一台机器取得注册的IP地址.在内部网络通过安全网卡访问外部网络时,将产生一个映射记录.系统将外出的源地址和源端口映射为一个伪装的地址和端口,让这个伪装的地址和端口通过非安全网卡与外部网络连接,这样对外就隐藏了真实的内部网络地址.在外部网络通过非安全网卡访问内部网络时,它并不知道内部网络的连接情况,而只是通过一个开放的IP地址和端口来请求访问防火墙根据预先定义好的映射规则来判断这个访问是否安全.当符合规则时,防火墙认为访问是安全的,可以接受访问请求,也可以将连接请求映射到不同的内部计算机中.当不符合规则时,防火墙认为该访问是不安全的,不能被接受,防火墙将屏蔽外部的连接请求.网络地址转换的过程对于用户来说是透明的,不需要用户进行设置,用户只要进行常规操作即可.代理型代理型防火墙也可以被称为代理服务器,它的安全性要高于包过滤型产品,并已经开始向应用层发展.代理服务器位于客户机与服务器之间,完全阻挡了二者间的数据交流.从客户机来看,代理服务器相当于一台真正的服务器;而从服务器来看,代理服务器又是一台真正的客户机.当客户机需要使用服务器上的数据时,首先将数据请求发给代理服务器,代理服务器再根据这一请求向服务器索取数据,然后再由代理服务器将数据传输给客户机.由于外部系统与内部服务器之间没有直接的数据通道,外部的恶意侵害也就很难伤害到企业内部网络系统.代理型防火墙的优点是安全性较高,可以针对应用层进行侦测和扫描,对付基于应用层的侵入和病毒都十分有效.其缺点是对系统的整体性能有较大的影响,而且代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置,大大增加了系统管理的复杂性。
监测型监测型防火墙是新一代的产品,这一技术实际已经超越了最初的防火墙定义.监测型防火墙能够对各层的数据进行主动的,实时的监测,在对这些数据加以分析的基础上,监测型防火墙能够有效地判断出各层中的非法侵入.同时,这种检测型防火墙产品一般还带有分布式探测器,这些探测器安置在各种应用服务器和其他网络的节点之中,不仅能够检测来自网络外部的攻击,同时对来自内部的恶意破坏也有极强的防范作用.据权威机构统计,在针对网络系统的攻击中,有相当比例的攻击来自网络内部.因此,监测型防火墙不仅超越了传统防火墙的定义,而且在安全性上也超越了前两代产品虽然监测型防火墙安全性上已超越了包过滤型和代理服务器型防火墙,但由于监测型防火墙技术的实现成本较高,也不易管理,所以在实用中的防火墙产品仍然以第二代代理型产品为主,但在某些方面也已经开始使用监测型防火墙.基于对系统成本与安全技术成本的综合考虑,用户可以选择性地使用某些监测型技术.这样既能够保证网络系统的安全性需求,同时也能有效地控制安全系统的总拥有成本.实际上,作为当前防火墙产品的主流趋势,大多数代理服务器(也称应用网关)也集成了包过滤技术,这两种技术的混合应用显然比单独使用具有更大的优势.由于这种产品是基于应用的,应用网关能提供对协议的过滤.例如,它可以过滤掉FTP连接中的PUT命令,而且通过代理应用,应用网关能够有效地避免内部网络的信息外泄.正是由于应用网关的这些特点,使得应用过程中的矛盾主要集中在对多种网络应用协议的有效支持和对网络整体性能的影响上。
4、 建设Firewall的原则分析安全和服务需求以下问题有助于分析安全和服务需求：√ 计划使用哪些Internet服务(如http，ftp，gopher)，从何处使用Internet服务(本地网，拨号，远程办公室)。
√ 增加的需要，如加密或拔号接入支持。
√ 提供以上服务和访问的风险。
√ 提供网络安全控制的同时，对系统应用服务牺牲的代价。
策略的灵活性Internet相关的网络安全策略总的来说，应该保持一定的灵活性，主要有以下原因：√ Internet自身发展非常快，机构可能需要不断使用Internet提供的新服务开展业务。
新的协议和服务大量涌现带来新的安全问题，安全策略必须能反应和处理这些问题。
√ 机构面临的风险并非是静态的，机构职能转变、网络设置改变都有可能改变风险。
远程用户认证策略√ 远程用户不能通过放置于Firewall后的未经认证的Modem访问系统。
√ PPP/SLIP连接必须通过Firewall认证。
√ 对远程用户进行认证方法培训。
拨入/拨出策略√ 拨入/拨出能力必须在设计Firewall时进行考虑和集成。
√ 外部拨入用户必须通过Firewall的认证。
Information Server策略√ 公共信息服务器的安全必须集成到Firewall中。
√ 必须对公共信息服务器进行严格的安全控制，否则将成为系统安全的缺口。
√ 为Information server定义折中的安全策略允许提供公共服务。
√ 对公共信息服务和商业信息(如email)讲行安全策略区分。
Firewall系统的基本特征√ Firewall必须支持．“禁止任何服务除非被明确允许”的设计策略。
√ Firewall必须支持实际的安全政策，而非改变安全策略适应Firewall。
√ Firewall必须是灵活的，以适应新的服务和机构智能改变带来的安全策略的改变。
√ Firewall必须支持增强的认证机制。
√ Firewall应该使用过滤技术以允许或拒绝对特定主机的访问。
√ IP过滤描述语言应该灵活，界面友好，并支持源IP和目的IP，协议类型，源和目的TCP/UDP口，以及到达和离开界面。
√ Firewall应该为FTP、TELNET提供代理服务，以提供增强和集中的认证管理机制。
如果提供其它的服务(如NNTP，http等)也必须通过代理服务器。
√ Firewall应该支持集中的SMTP处理，减少内部网和远程系统的直接连接。
√ Firewall应该支持对公共Information server的访问，支持对公共Information server的保护，并且将Information server同内部网隔离。
√ Firewall可支持对拨号接入的集中管理和过滤。
√ Firewall应支持对交通、可疑活动的日志记录。
√ 如果Firewall需要通用的操作系统，必须保证使用的操作系统安装了所有己知的安全漏洞Patch。
√ Firewall的设计应该是可理解和管理的。
√ Firewall依赖的操作系统应及时地升级以弥补安全漏洞。
5、选择防火墙的要点(1) 安全性：即是否通过了严格的入侵测试。
(2) 抗攻击能力：对典型攻击的防御能力(3) 性能：是否能够提供足够的网络吞吐能力(4) 自我完备能力：自身的安全性，Fail-close(5) 可管理能力：是否支持SNMP网管(6) VPN支持(7) 认证和加密特性(8) 服务的类型和原理(9)网络地址转换能力三.病毒防护技术病毒历来是信息系统安全的主要问题之一。
由于网络的广泛互联，病毒的传播途径和速度大大加快。
我们将病毒的途径分为：(1 ) 通过FTP，电子邮件传播。
(2) 通过软盘、光盘、磁带传播。
(3) 通过Web游览传播，主要是恶意的Java控件网站。
(4) 通过群件系统传播。
病毒防护的主要技术如下：(1) 阻止病毒的传播。
在防火墙、代理服务器、SMTP服务器、网络服务器、群件服务器上安装病毒过滤软件。
在桌面PC安装病毒监控软件。
(2) 检查和清除病毒。
使用防病毒软件检查和清除病毒。
(3) 病毒数据库的升级。
病毒数据库应不断更新，并下发到桌面系统。
(4) 在防火墙、代理服务器及PC上安装Java及ActiveX控制扫描软件，禁止未经许可的控件下载和安装。
四.入侵检测技术利用防火墙技术，经过仔细的配置，通常能够在内外网之间提供安全的网络保护，降低了网络安全风险。
但是，仅仅使用防火墙、网络安全还远远不够：(1) 入侵者可寻找防火墙背后可能敞开的后门。
(2) 入侵者可能就在防火墙内。
(3) 由于性能的限制，防火焰通常不能提供实时的入侵检测能力。
入侵检测系统是近年出现的新型网络安全技术，目的是提供实时的入侵检测及采取相应的防护手段，如记录证据用于跟踪和恢复、断开网络连接等。
实时入侵检测能力之所以重要首先它能够对付来自内部网络的攻击，其次它能够缩短hacker入侵的时间。
入侵检测系统可分为两类：√ 基于主机√ 基于网络基于主机的入侵检测系统用于保护关键应用的服务器，实时监视可疑的连接、系统日志检查，非法访问的闯入等，并且提供对典型应用的监视如Web服务器应用。
基于网络的入侵检测系统用于实时监控网络关键路径的信息，其基本模型如右图示：上述模型由四个部分组成：(1) Passive protocol Analyzer网络数据包的协议分析器、将结果送给模式匹配部分并根据需要保存。
(2) Pattern-Matching Signature Analysis根据协议分析器的结果匹配入侵特征，结果传送给Countermeasure部分。
(3) countermeasure执行规定的动作。
(4) Storage保存分析结果及相关数据。
基于主机的安全监控系统具备如下特点：(1) 精确，可以精确地判断入侵事件。
(2) 高级，可以判断应用层的入侵事件。
(3) 对入侵时间立即进行反应。
(4) 针对不同操作系统特点。
(5) 占用主机宝贵资源。
基于网络的安全监控系统具备如下特点：(1) 能够监视经过本网段的任何活动。
(2) 实时网络监视。
(3) 监视粒度更细致。
(4) 精确度较差。
(5) 防入侵欺骗的能力较差。
(6) 交换网络环境难于配置。
基于主机及网络的入侵监控系统通常均可配置为分布式模式：(1) 在需要监视的服务器上安装监视模块(agent)，分别向管理服务器报告及上传证据，提供跨平台的入侵监视解决方案。
(2) 在需要监视的网络路径上，放置监视模块(sensor),分别向管理服务器报告及上传证据，提供跨网络的入侵监视解决方案。
选择入侵监视系统的要点是：(1) 协议分析及检测能力。
(2) 解码效率(速度)。
(3) 自身安全的完备性。
(4) 精确度及完整度，防欺骗能力。
(5) 模式更新速度。
五.安全扫描技术网络安全技术中，另一类重要技术为安全扫描技术。
安全扫描技术与防火墙、安全监控系统互相配合能够提供很高安全性的网络。
安全扫描工具源于Hacker在入侵网络系统时采用的工具。
商品化的安全扫描工具为网络安全漏洞的发现提供了强大的支持。
安全扫描工具通常也分为基于服务器和基于网络的扫描器。
基于服务器的扫描器主要扫描服务器相关的安全漏洞，如password文件，目录和文件权限，共享文件系统，敏感服务，软件，系统漏洞等，并给出相应的解决办法建议。
通常与相应的服务器操作系统紧密相关。
基于网络的安全扫描主要扫描设定网络内的服务器、路由器、网桥、变换机、访问服务器、防火墙等设备的安全漏洞，并可设定模拟攻击，以测试系统的防御能力。
通常该类扫描器限制使用范围(IP地址或路由器跳数)。
网络安全扫描的主要性能应该考虑以下方面：(1) 速度。
在网络内进行安全扫描非常耗时。
(2) 网络拓扑。
通过GUI的图形界面，可迭择一步或某些区域的设备。
(3) 能够发现的漏洞数量。
(4) 是否支持可定制的攻击方法。
通常提供强大的工具构造特定的攻击方法。
因为网络内服务器及其它设备对相同协议的实现存在差别，所以预制的扫描方法肯定不能满足客户的需求。
(5) 报告，扫描器应该能够给出清楚的安全漏洞报告。
(6) 更新周期。
提供该项产品的厂商应尽快给出新发现的安生漏洞扫描特性升级，并给出相应的改进建议。
安全扫描器不能实时监视网络上的入侵，但是能够测试和评价系统的安全性，并及时发现安全漏洞。
六. 认证和数宇签名技术认证技术主要解决网络通讯过程中通讯双方的身份认可，数字签名作为身份认证技术中的一种具体技术，同时数字签名还可用于通信过程中的不可抵赖要求的实现。
认证技术将应用到企业网络中的以下方面：(1) 路由器认证，路由器和交换机之间的认证。
(2) 操作系统认证。
操作系统对用户的认证。
(3) 网管系统对网管设备之间的认证。
(4) VPN网关设备之间的认证。
(5) 拨号访问服务器与客户间的认证。
(6) 应用服务器(如Web Server)与客户的认证。
(7) 电子邮件通讯双方的认证。
数字签名技术主要用于：(1) 基于PKI认证体系的认证过程。
(2) 基于PKI的电子邮件及交易(通过Web进行的交易)的不可抵赖记录。
认证过程通常涉及到加密和密钥交换。
通常，加密可使用对称加密、不对称加密及两种加密方法的混合。
UserName/Password认证该种认证方式是最常用的一种认证方式，用于操作系统登录、telnet、rlogin等，但由于此种认证方式过程不加密，即password容易被监听和解密。
使用摘要算法的认证Radius(拨号认证协议)、路由协议(OSPF)、SNMP Security Protocol等均使用共享的Security Key，加上摘要算法(MD5)进行认证，由于摘要算法是一个不可逆的过程，因此，在认证过程中，由摘要信息不能计算出共享的security key，敏感信息不在网络上传输。
市场上主要采用的摘要算法有MD5和SHA-1。
基于PKI的认证使用公开密钥体系进行认证和加密。
该种方法安全程度较高，综合采用了摘要算法、不对称加密、对称加密、数字签名等技术，很好地将安全性和高效率结合起来。
后面描述了基于PKI认证的基本原理。
这种认证方法目前应用在电子邮件、应用服务器访问、客户认证、防火墙验证等领域。
该种认证方法安全程度很高，但是涉及到比较繁重的证书管理任务。
信息安全管理实践
信息安全管理平台的设计和实现离不开整体的信息安全规划和建设思路，而信息安全的实践根据不同行业、不同组织的自身特点也有着相应的建设思路。
针对归纳提炼的信息安全三大属性即机密性、可用性和完整性，不同实践思路也有着不同侧重点。
7.3.1 金融行业安全管理实践
改革开放30多年来，中国的金融信息化建设是从无到有、从单一业务向综合业务发展，取得了一定的成绩。
如今已从根本上改变了传统金融业务的处理模式，建立了以计算机和互联网为基础的电子清算系统和金融管理系统。
随着金融行业信息化的发展，业务系统对信息系统的依赖程度也越来越高，信息安全的问题也越来越突出。
为了有效防范和化解风险，保证金融组织信息系统平稳运行和业务持续开展，需要建立金融组织信息安全保障体系，以增强金融组织的信息安全风险防范能力。
7.3.1.1 需求分析
随着世界经济全球化和网络化的发展，国外的金融变革对我国的影响越来越大。
由于利益的驱使，针对金融业的安全威胁越来越多，金融业必须加强自身的信息安全保护工作，建立完善的安全机制来抵御外来和内在的信息安全威胁。
随着银行业务的不断发展，其网络系统也经历了多年的不断建设，多数商业银行进行了数据的大集中。
在业务水平、网络规模不断提升的同时，银行的网络也变得越来越复杂，而这种复杂也使其安全问题越来越严峻。
目前各金融体系的建设标准很难统一，阻碍了金融信息化的进一步发展。
在国有商业银行全面实施国家金融信息化标准前，许多银行都已经建立了自己的体系，由于机型、系统平台、计算机接口以及数据标准的不统一，使得各地的差距比较大，系统的整合比较困难，标准化改造需要一段时间。
金融组织充分认识到安全保证对于业务系统的重要性，采取了相应的安全措施，部署了一些安全设备。
公众对信息安全的防范意识也有所提高，但信息犯罪的增加、安全防护能力差、信息基础严重依赖国外、设备缺乏安全检测等信息安全方面由来已久的问题并未得到解决。
加强对计算机系统、网络技术的安全研究，完善内控管理机制，确保业务数据和客户信息的安全，全面提高计算机的安全防范水平已是国内各大银行面临的共同问题。
但是安全的动态性、系统性的属性决定了安全是一个逐步完善、整体性的系统工程，需要管理、组织和技术各方面的合力。
7.3.1.2 安全体系建设
安全体系建设的目标是通过建立完善的信息安全管理制度和智能、深度的安全防御技术手段，构建一个管理手段与技术手段相结合的全方位、多层次、可动态发展的纵深安全防范体系，来实现信息系统的可靠性、保密性、完整性、有效性、不可否认性，为金融业务的发展提供一个坚实的信息系统基础保证。
信息安全防范体系的覆盖范围是整个信息系统。
安全体系建设的主要工作内容有：
（1）建立和完善银行信息安全管理组织架构，专门负责信息系统的安全管理和监督。
（2）设计并实施技术手段，技术手段要包括外网边界防护、内网区域划分与访问控制、端点准入、内网监控与管理、移动办公接入、拨号安全控制、病毒防范、安全审计、漏洞扫描与补丁管理等诸多方面安全措施。
通过划分安全域的方法，将网络系统按照业务流程的不同层面划分为不同的安全域，各个安全域内部又可以根据业务元素对象划分为不同的安全子域；针对每个安全域或安全子域来标识其中的关键资产，分析所存在的安全隐患和面临的安全风险，然后给出相应的保护措施；不同的安全子域之间和不同的安全域之间存在着数据流，这时候就需要考虑安全域边界的访问控制、身份验证和审计等安全策略的实施。
（3）制订金融安全策略和安全管理制度。
安全管理部门结合银行信息系统的实际情况，制订合理的安全策略，对信息资源进行安全分级，划分不同安全等级的安全域，进行不同等级的保护。
如加强系统口令管理；进行权限分离，明确责任人；加强内审机制；注意授权的最小化和时效性，除非真正需要，一般只授最小权限，到一定时间后就收回授权，并且形成制度和流程；对所有服务器进行漏洞扫描，形成资产脆弱性报告；建立数据的异地容灾备份中心；物理和环境的安全。
制订并执行各种安全制度和应急恢复方案，保证信息系统的安全运行。
这些包括密码管理制度、数据加密规范、身份认证规范、区域划分原则及访问控制策略、病毒防范制度、安全监控制度、安全审计制度、应急反应机制、安全系统升级制度等。
（4）建立安全运维管理中心，集中监控安全系统的运行情况，集中处理各种安全事件。
针对金融应用系统、数据库的黑客攻击越来越多，仅仅通过设立边界防火墙，建立、改善、分析服务器日记文件等被动的方式是不够的，监测黑客入侵行为最好的方法是能够当时就能监测出恶意的网络入侵行为，并且马上采取防范反击措施加以纠正，因此IDS的部署也就必不可少。
（5）统一制定安全系统升级策略，并及时对安全系统进行升级，以保证提高安全体系防护能力。
（6）容灾、备份系统。
金融组织关键数据丢失会中断正常业务运行，损失不可估量。
要保护数据，保证数据的高可用性和不间断性，需要建立备份、容灾系统。
备份和容灾两个系统相辅相成，两者都是金融组织数据安全的重要保障，而且两者的目标是不同的。
容灾系统的目的在于保证系统数据和服务的“在线性”，即当系统发生故障时，仍然能够正常地向网络系统提供数据和服务，以使系统不致停顿。
备份是“将在线数据转移成离线数据的过程”，其目的在于应付系统数据中的逻辑错误和历史数据保存。
7.3.2 电子政务安全管理实践
政府组织作为国家的职能机关，其信息系统安全跟国家安全紧密结合在一起。
信息的可用性尤为重要，在某些领域信息的机密性也是政府组织信息安全建设的重中之重。
电子政务涉及对国家机密和敏感度高的核心政务信息的保护，涉及维护社会公共秩序和行政监管的准确实施，涉及为企业和公民提供公共服务的质量保证。
在电子政务系统中，政府机关的公文往来、资料存储、服务提供都以电子化的形式来实现。
然而，电子政务一方面的确可以提高办公效率、精简机构人员、扩大服务内容、提升政府形象，另一方面也为某些居心不良者提供了通过技术手段窃取重要信息的可能。
而且考虑到网络本身所固有的开放性、国际性和无组织性，政府网络在增加应用自由度的同时，政府网络对安全提出了更高的要求。
7.3.2.1 需求分析
电子政务是一个由政务内网、政务外网和互联网三级网络构成。
政务内网为政府部门内部的关键业务管理系统和核心数据应用系统，政务外网为政府部门内部以及部门之间的各类非公开应用系统，所涉及的信息应在政务外网上传输，与互联网相连的网络，面向社会提供的一般应用服务及信息发布，包括各类公开信息和非敏感的社会服务。
由于我国大部分政府官员和公务员对信息技术、网络技术和计算机技术还未接触或接触不多，防范方法和技术欠缺，整体素质与电子政务安全防范的要求还有很大的距离。
电子政务最常见的安全问题，包括网站被黑、数据被篡改和盗用、秘密泄露、越权浏览等。
因此，政府网络常见的信息安全需求如下：
（1）统一的安全管理平台。
目前政府信息系统较常见的安全威胁主要来自很多无意的人为因素而造成的风险，如由于用户安全意识不强导致的病毒泛滥、账户口令安全薄弱等。
对集中统一的安全管理软件，如病毒软件管理系统、身份认证管理系统以及网络安全设备管理软件等要求较高。
因此，通过安全管理平台可有效地实现全网的安全管理，同时还可以针对人员进行安全管理和培训，增强人员的安全防范意识。
这就对安全管理平台和专业的网络安全服务提出了较高的要求。
（2）信息的保密性和完整性。
由于政府网络上存有重要信息，对信息的保密性和完整性要求非常高。
信息可能面临多层次的安全威胁，如通过电磁辐射或线路干扰等物理威胁、泄漏或者存放机密信息的系统被攻击等威胁。
同时针对网上报税等电子政务应用还要求严格保障信息的完整性，这都需要从网络安全角度整体考虑，配合统一的网络安全策略并选择相应的安全产品，保障网络的信息安全。
7.3.2.2 建设思路
（1）内外网物理隔离。
一般来讲，政府组织内部网络可以根据功能划分为电子政务网与办公网两部分。
安全域是以信息涉密程度划分的网络空间。
涉密域就是涉及国家秘密的网络空间。
非涉密域就是不涉及国家的秘密，但是涉及本单位、本部门或者本系统的工作秘密的网络空间。
公共服务域是指不涉及国家秘密也不涉及工作秘密，是一个向互联网络完全开放的公共信息交换空间。
国家相关文件严格规定，政务的内网和政务的外网要实行严格的物理隔离。
政务的外网和互联网络要实行逻辑隔离。
按照安全域的划分，政府的内网就是涉密域，政府的外网就是非涉密域，互联网就是公共服务域。
（2）建立严格的防范机制。
政府组织外部网络面临最大的威胁是来自互联网的恶意攻击行为，重在“防范”，通过部署防垃圾邮件系统、防病毒系统、入侵检测系统、防拒绝服务攻击系统，保证政府门户网站对外宣传。
建立政府上网信息保密审查制度，坚持“谁上网谁负责”的原则，信息上网必须经过信息提供单位的严格审查和批准。
各级保密工作部门和机构负责本地区本部门网上信息的保密检查，发现问题，及时处理。
（3）遵循信息安全管理国际标准。
改变我国的信息安全管理依靠传统的管理方法和手段的模式，实现现代的系统管理技术手段。
国际标准BS7799和ISO/IEC是流行的信息安全管理体系标准。
其中的管理目标为数据的保密性、完整性和可用性，具有自组织、自学习、自适应、自修复、自生长的能力和功能，保证持续有效性。
通过计划、实施、检查、措施四个阶段周而复始的循环，应用于其整体过程、其他过程及其子过程，例如信息安全风险评估或者商务持续性计划的安排等，为信息安全管理体系与质量管理体系、环境管理体系等的整合运行提供了方便。
在模式和方法上都兼容，成为统一的内部综合管理体系，包括按照可信网络架构方法，编制信息安全解决方案、多层防范多级防护、等级保护、风险评估、重点保护；针对可能发生的事故或灾害，制定信息安全应急预案，建立新机制、规避风险、减少损失；根据相应的政策法规在网络工程数据设计、建设和验收等阶段实行同步审查，建立完善的数据备份、灾难恢复等应用，确保实时、安全、高效、可靠的运行效果。
（4）建立健全网络信息安全基础设施。
我国的网络安全基础设施建设还处于初级阶段，应该尽快建立网络监控中心、安全产品评测中心、计算机病毒防治中心、关键网络系统灾难恢复中心、网络安全应急响应中心、电子交易安全证书授权中心、密钥监管中心等国家网络安全基础设施。
目前，国际出入口监控中心和安全产品评测认证中心已经初步建成。
安全产品评测认证中心由安全标准研究、产品安全测试、系统安全评估、认证注册部门和网络安全专家委员会组成。
积极推动电子政务公钥基础设施建设，建立政府网络安全防护与通报机制以及网络身份认证制度，加速政府部门之间的信息交流和共享，增强网络活动的安全保障，确保信息的有效性和安全性。
建立中国的电子政务公钥基础设施/认证中心（PKI/CA）体系事关全局，各级地方和部门应在国家级CA的体系下，严格按照国家有关主管部门的统一部署，有序建设。
7.3.3 军队军工安全管理实践
军队军工行业网络经过多年信息化建设已经初具规模，随着内网资源共享程度增加，网络安全保密的威胁和风险也同时增大，参照涉密网保密资质的要求，目前的网络现状存在很大泄密的威胁和风险。
而且军队军工行业网络中有大量的涉密文件和信息，对保密性的要求特别严格。
军队军工信息系统的计算机网络规模庞大，终端、网络设备众多，应用环境复杂，信息系统中对数据安全和网络安全方面要求保证绝对机密，同时要求系统持续可靠运行。
7.3.3.1 安全需求分析
目前，我军应用的信息技术，大部分是引进西方发达国家，没有形成具有自主知识产权的核心技术。
网络系统使用的芯片、操作系统、协议、标准、先进密码技术和安全产品几乎被国外垄断。
由于受技术水平等限制，对从外国引进的关键信息设备可能预做手脚的情况无从检测和排除，客观上造成了军队关键信息基础建设防护水平不高，存在安全隐患。
英国Omega基金会在一次报告中明确指出，在欧洲，全部电子邮件、电话和传真等通讯都处于美国国家安全局的日常监听之下。
当前我国的信息安全研究处于忙于封堵现有信息安全漏洞阶段。
要彻底解决这些问题，归根结底取决于信息安全保障体系的建设。
主要有以下需求：
进一步完善军队军工行业的网络安全管理制度和执行力度，以确保整个网络系统的安全管理处于较高的水平；配备相应的物理安全防护设施，确保网中重要机房的安全，确保关键主机及涉密终端的物理安全；建立军队军工CA证书服务中心，从而构建起基于证书的安全基础支撑平台；建立统一的身份认证和访问控制平台，为管理系统提供统一的身份认证和访问控制服务，给予相应人员对应的权限，阻断越权操作等非法行为；通过防火墙技术在自己与互联网之间建立一道信息安全屏障，一方面将军网与互联网物理隔离，防止黑客进入军网，另一方面又能安全地进行网间数据交换。
确保网络关键主机和涉密终端的安全，确保存储在军工网关键主机和涉密终端中机密信息的安全，在保证信息畅通的基础上，有效阻止非法信息获取或数据篡改，避免对系统的恶意破坏导致系统瘫痪；健全数据备份/恢复和应急处理机制，确保网络信息系统的各种数据实时备份，当数据资源在受到侵害破坏损失时，及时地启动备份恢复机制，可以保证系统的快速恢复，而不影响整个网络信息系统的正常运转。
对于服务器和工作站端来说，必须建立一个整体、全面的反病毒体系结构，解决网络中的病毒传播和防病毒集中监控问题；使用安全评估和性能检测工具，准确而全面地报告网络存在的脆弱性和漏洞，为用户和管理者了解主机与网络设备的服务开启情况、系统漏洞情况，为调整安全策略、确保网络安全提供决策依据。
7.3.3.2 安全解决思路
（1）安全域访问控制。
在军队广域网中将若干个区域网络实体利用隧道技术连接成虚拟的独立网络，网络中的数据利用加（解）密算法进行加密封装后，通过虚拟的公网隧道在各网络实体间传输，从而防止未授权用户窃取、篡改信息。
军队军工网络不同安全级别之间严格遵循高密级信息禁止流向低密级信息系统。
不同密级之间数据传输只能是“高密级读低密级，低密级写高密级”；对不同密级的边界进行细颗粒或基于证书的访问控制、审计、检测策略；相同密级的不同科研单位之间，原则上不开放相互访问权限。
通过在路由器主板上增加安全加密模件来实现路由器信息和IP包的加密、身份鉴别和数据完整性验证、分布式密钥管理等功能。
使用安全路由器可以实现军队各单位内部网络与外部网络的互联、隔离、流量控制、网络和信息安全维护，也可以阻塞广播信息和小知名地址的传输，达到保护内部信息化与网络建设安全的目的。
军队军工项目管理系统建立基于证书的身份认证和权限管理，不同密级的用户或用户组划分不同的权限。
根据密级要求和用户实际的安全需求，对终端的硬件、软件资源使用建立访问控制策略，并通过技术手段实施、监控和管理。
（2）保密措施纲要。
设立专门的信息安全管理机构，人员应包括领导和专业人员。
按照不同任务进行分类，以确立各自的职责。
一类人员负责确定安全措施，包括方针、政策、策略的制定，并协调、监督、检查安全措施的实施；另一类人员负责具体管理系统的安全工作，包括信息安全管理员、信息保密员和系统管理员等。
在分类的基础上，应有具体的负责人负责整个网络系统的安全。
采取强制访问控制策略，从安全域划分、边界访问控制、入侵检测、远程网络加密、主机管理、系统安全性能检测、数字签名抗抵赖、审计等多方面，在物理层、网络层、系统层、应用层采取相应手段进行防护、检测、稽核、管理、控制。
针对物理层、网络层、系统层、应用层和管理层对涉密信息可用性、有效性带来的威胁，从恢复与备份、病毒与恶意代码防护、应急响应体系、系统配置管理几个方面，以确保涉密系统的运行安全。
（3）互联网管理与监控。
在涉密网网络建设规划中，严格按照“物理隔离”的要求进行网络建设，但根据以往的安全保密管理经验，存在一些安全意识淡薄或故意有泄密行为的人员，通过本地可外连的网络，把涉密信息通过外网传输出去，造成严重泄密，故在军队军工领域由于科研需要，存在一定范围的互联网的情况下，必须对互联网上的网络行为进行实时的监控和审计，并针对互联网网络进行严格的管理。
主要的安全措施是在各个互联网出口部署互联网审计系统，通过专用的互联网信息安全审计管理中心系统统一管理。
为管理用户提供一个统一的对互联网上多种事件的安全处置管理平台，提供全方位的网络控制、远程查询和详尽的报表统计功能，采用统一的数据库和统一的管理界面进行管理，全方位协助管理部门对互联网进行审计管理。
可以集中完成分布在不同网络内的互联网用户的安全、审计管理，实现在一个平台下，有效地进行信息共享、综合分析、统一管理的目的。
（4）采用安全性较高的系统和使用数据加密技术。
美国国防部技术标准把操作系统安全等级分为D1、C1、C2、B1、B2、B3、A1级，安全等级由低到高。
目前主要的操作系统等级为C2级，在使用C2级系统时，应尽量使用C2级的安全措施及功能，对操作系统进行安全配置。
在极端重要的系统中，应采用B级操作系统。
对军事涉密信息在网络中的存储和传输可以使用传统的信息加密技术和新兴的信息隐藏技术来提供安全保证。
在传发保存军事涉密信息的过程中，不但要用加密技术隐藏信息内容，还要用信息隐藏技术来隐藏信息的发送者、接收者甚至信息本身。
通过隐藏术、数字水印、数据隐藏和数据嵌入、指纹和标杆等技术手段可以将秘密资料先隐藏到一般的文件中，然后再通过网络来传递，提高信息保密的可靠性。
（5）备份与恢复。
涉密网备份与恢复，主要考虑到涉密数据、应用数据的备份，电源安全与设备的备份，同时备份环境基于一定的环境安全上。
对各个研究组织的应用数据和涉密数据，建立专门的备份服务器，并建立数据备份号恢复策略和相关管理制度，以协助完善应急响应体系，关键数据和涉密数据在24小时内恢复和重建。
（6）应急响应体系。
军工网络应急响应体系建设，主要依托基于物理安全、运行安全、信息保密安全建立的相应检测、监控、审计等技术手段，对系统运行事件和涉密事件实施不同的应急响应策略和管理制度。
制订相应的处理预案和安全演练培训。
涉密事件处理通过安全检查工具和审计工具，有针对性地发现和检测泄密事件；采取果断措施切断泄密源头，控制泄密范围；评估涉密事件风险，上报、记录。
安全事件处理通过入侵检测、病毒防护、防火墙、主机审计、网络审计等技术手段，发现运行安全事件；制订相应事件的处理预案和培训；评估事件对系统的影响，并修补漏洞、记录。
“云管边端”协同的边缘计算安全防护解决方案
摘 要 边缘计算是 5G 重要新技术能力，通过低延时、大流量、高性能服务促进新应用创新。
边缘计算能力的实施面临物理、网络、协议、应用、管理等多层面的威胁，急需新安全防护能力支撑。
该解决方案利用机器学习、诱骗防御、UEBA 等技术，针对边缘计算的业务和信令特点设计，结合“云管边端”多层面的资源协同和防护处理，实现立体化的边缘计算安全防护处理。
关键词： 多接入移动边缘计算；边缘云；安全防护；机器学习；诱骗防御；用户及实体行为分析内容目录 ： 0 引 言 1 5G 及边缘计算 2 边缘计算面临的风险 2.1 基础设施层安全风险 2.2 电信服务层安全风险 2.3 终端应用层安全风险 2.4 管理面安全风险 2.5 租户服务面安全风险 2.6 MEC 安全威胁总结 3 “云管边端”安全防护技术 3.1 功能架构 3.2 主要功能 4 “云管边端”安全防护实践 4.1 应用场景 5 结语 “云管边端”协同的边缘计算安全防护解决方案是恒安嘉新针对边缘计算发展提出的全面安全解决方案。
方案综合考虑边缘计算产业中用户、租户、运营者多方面的要求，通过多级代理、边缘自治、编排能力，提供高安全性和轻量级的便捷服务。
整体方案提供边缘计算场景的专业防护；提供多种部署方式；在提供高性价比服务的同时为边缘云计算输送安全服务价值。
5G 是驱动创新互联网发展的关键技术之一。
5G 边 缘 计 算（Multi-access Edge Computing， MEC）提供了强大的云网一体化基础设施，促使应用服务向网络边缘迁移。
MEC 的一大特点是同时连通企业内网和运营商核心网，其安全性直接影响企业内网安全以及运营商基础设施安全。
随着边缘计算在各行各业商用，MEC 和生产管理流程逐渐融合，安全问题将日益突出， 对于 MEC 的安全防护需求日益强烈 。
采用标准 X.805 模型，MEC 安全防护由 3 个逻辑层和 2 个平面组成。
3 个逻辑层是基础设施层（分为物理基础设施子层、虚拟基础设施子层）、电信服务层和终端应用层。
2 个平面为租户服务面和管理面。
基于此分层划分识别得到如下 MEC 安全风险。
2.1 基础设施层安全风险 与云计算基础设施的安全威胁类似，攻击者可通过近距离接触硬件基础设施，对其进行物理攻击。
攻击者可非法访问服务器的 I/O 接口， 获得运营商用户的敏感信息。
攻击者可篡改镜像， 利用虚拟化软件漏洞攻击边缘计算平台（Multi- access Edge Computing Platform，MEP） 或者边缘应用（APPlication，APP） 所在的虚拟机或容器， 从而实现对 MEP 平台或者 APP 的攻击。
2.2 电信服务层安全风险 存在病毒、木马、蠕虫攻击。
MEP 平台和APP 等通信时，传输数据被拦截、篡改。
攻击者可通过恶意APP 对MEP 平台发起非授权访问， 导致用户敏感数据泄露。
当 MEC 以虚拟化的虚拟网络功能（Virtual Network Function，VNF）或者容器方式部署时，VNF 及容器的安全威胁也会影响 APP。
2.3 终端应用层安全风险 APP 存在病毒、木马、蠕虫、钓鱼攻击。
APP 和 MEP 平台等通信时，传输数据被拦截、篡改。
恶意用户或恶意 APP 可非法访问用户APP，导致敏感数据泄露等。
另外，在 APP 的生命周期中，它可能随时被非法创建、删除等。
2.4 管理面安全风险 MEC 的编排和管理网元（如 MAO/MEAO） 存在被木马、病毒攻击的可能性。
MEAO 的相关接口上传输的数据被拦截和篡改等。
攻击者可通过大量恶意终端上的 APP，不断地向用户APP 生命周期管理节点发送请求，实现 MEP 上的属于该用户终端 APP 的加载和终止，对 MEC 编排网元造成攻击。
2.5 租户服务面安全风险 对于存在的病毒、木马、蠕虫、钓鱼攻击， 攻击者近距离接触数据网关，获取敏感数据或篡改数据网管配置，进一步攻击核心网；用户面网关与 MEP 平台之间传输的数据被篡改、拦截等。
2.6 MEC 安全威胁总结 基于对上述风险的认识，可以看出：MEC跨越企业内网、运营商服务域、运营商管理域等多个安全区域，应用了基于服务化接口的多类 5G 专用接口和通信协议，网络中存在面向应用、通信网、数据网的多维度认证授权处理， 传统的简单 IDS、IPS、防火墙等防护方式很难满足 MEC 安全防护的要求，需要新的具备纵深防御能力的专业性的解决方案处理。
3.1 功能架构 “云管边端”安全防护解决方案总体功能架构如图1 所示。
解决方案利用机器学习、诱骗防御、UEBA 等技术，针对边缘计算的业务和信令特点设计，结合“云管边端”多层面的资源协同和防护处理，实现立体化的边缘计算安全防护处理。
解决方案由五个层面的功能组件实现，分别为可视化层、中心安全云业务层、边缘安全编排层、安全能力系统层、数据采集层。
图 1 MEC 安全防护解决方案功能架构 在可视化层，产品通过 MEC 安全防护统一管理平台提供安全资源管理、安全运维管理、安全运营管理、统一门户、租户门户、安全态势感知服务。
在中心安全云业务层，产品通过MEC 安全云实现基础数据资源统管、安全运算资源统管、安全能力编排。
边缘安全能力层部署适应虚拟化基础环境的虚拟机安全等服务能力，这些能力由 DDoS 攻击防护系统、威胁感知检测系统、威胁防护处理系统、虚拟防火墙系统、用户监控及审计系统、蜜网溯源服务系统、虚拟安全补丁服务系统、病毒僵木蠕钓鱼查杀系统以及边缘侧 5G 核心安全防护系统。
边缘安全编排层由安全微服务和引擎管理微服务构成。
数据采集层主要提供信令面和数据面的流量采集，并对采集到的信令面流量进行分发，对用户面流量进行筛选和过滤。
3.2 主要功能 “云管边端”安全防护解决方案提供如下八个方面的特色安全功能。
（1）基本安全 提供基础的安全防护功能，包括防欺骗、ACL 访问控制、账号口令核验、异常告警、日志安全处理等能力。
（2）通信安全 提供针对 MEC 网络的通信安全防护能力， 包括防 MEC 信令风暴、防 DDoS、策略防篡改、流量镜像处理、恶意报文检测等能力。
（3）认证审计 提供针对 MEC 网络的认证审计和用户追溯安全防护能力，可以处理 5GC 核心网认证交互、边缘应用和服务的认证交互、以及 5G 终端的认证交互，并可以进行必要的关联性管理和分析。
（4）基础设施安全 提供对 MEC 基础设施的安全防护能力， 包括关键基础设施识别，基础设施完整性证实，边缘节点身份标识与鉴别等。
并可以提供Hypervisor 虚拟化基础设施的安全防护处理，保障操作系统安全，保障网络接入安全。
（5）应用安全 提供完善的 MEC 应用安全防护能力，包括APP 静态行为扫描、广谱特征扫描和沙箱动态扫描，保护 APP 和应用镜像安全。
（6）数据安全 提供多个层面的 MEC 数据安全防护能力。
在应用服务中提供桌面虚拟镜像数据安全能力， 避免应用数据安全风险。
在身份认证过程中， 结合 PKI 技术实施双因子身份认证，保护认证信息安全。
通过安全域管理和数据动态边界加密处理，防范跨域数据安全风险。
（7）管理安全 提供完善的管理安全防护能力。
包括安全策略下发安全防护，封堵反弹 Shell、可疑操作、系统漏洞、安全后门等常规管理安全处理，以及针对 MEC 管理的 N6 及 N9 接口分析及审计。
实现对于管理风险的预警和风险提示。
（8）安全态势感知 通过对资产、安全事件、威胁情报、流量进行全方位的分析和监测，实现针对 MEC 网络的安全态势感知。
4.1 应用场景 “云管边端”安全防护解决方案不仅为基础电信企业提供 5G 场景下 MEC 基础设施的安全保护能力和监测 MEC 持续运营安全风险的工具，而且赋能基础电信企业向 MEC 租用方提供安全保护增值服务，推动 5G 安全产业链上下游协同发展。
整体解决方案支持私有边缘云定制部署，边缘云合作运营，安全服务租用等多种商业模式。
企业通过部署“云管边端”安全防护解决方案，能够有效实现将网络安全能力从中心延伸到边缘，实现业务快速网络安全防护和处理，为 5G 多样化的应用场景提供网络安全防护。
因此，企业更有信心利用 5G 部署安全的智能化生产、管理、调度系统，从而丰富工业互联网应用，促进工业互联网智能化发展 。
4.2 主要优势 “云管边端”安全防护解决方案具备如下优势： （1）专为边缘计算环境打造，整体方案在分级架构、安全编排、安全性能、协议分析等多方向优化，提供 MEC 最佳防护方案。
（2）多种模式适应各类应用场景需求，企业可根据自身需求和特点灵活选择。
可以选择租用模式，无需专业技术人员即获得最新 MEC 安全技术服务。
也可以选择定制模式，深度研发适配企业特性的安全防护处理。
（3）高效融合 MEC 各个层面的安全保护能力，降低综合安全防护成本，支持多种收费模式，降低入门门槛，让MEC 安全保护不留死角。
（4）创造安全服务价值，安全策略自动化以及与网络和云服务能力的联动，深度优化MEC 安全运维管理，创造边缘云服务安全价值。
本解决方案当前已在多个实际网络中部署，实现对于智慧港口、智慧工厂、智慧医疗、工业互联网等重要信息化应用资产的安全防护。
例如，随着 5G 网络的发展，可以实施对于工业大型工程设备的 5G 远程控制改造，实现远程实时控制，完成高清视频回传，从而提升生产效率。
但远控过程中的各类网络安全风险可能威胁到生产稳定性，造成重大损失。
通过本解决方案的实施，可以保障 5G 远程控制改造实施，保护生产运行的高效运转。
引用文本：张宝山,庞韶敏“. 云管边端”协同的边缘计算安全防护解决方案[J].信息安全与通信保密,2020(增刊1):44-48. 张宝山，硕士，高工，主要研究方向为核心网、边缘计算、网络功能虚拟化、物联网、网络安全等； 庞韶敏 ，硕士，高工，主要研究方向为核心网、边缘计算、物联网、网络安全、主机安全等。
选自《信息安全与通信保密》2020年增刊1期（为便于排版，已省去原文参考文献）
