安全架构核心目标：保障系统的 CIA 三要素（机密性、完整性、可用性），同时满足合规、抗攻击、可审计、可追溯、可快速恢复，采用纵深防御 + 零信任为核心思想。

---

一、核心安全基础

1. 核心安全原则（CIA 模型）

• 机密性：数据不被未授权访问、泄露
• 完整性：数据不被非法篡改、伪造
• 可用性：安全防护不阻断正常服务，抵御 DDoS 等攻击

2. 架构设计总原则

1. 纵深防御：多层防护，单点被突破不影响全局
2. 零信任：永不信任、始终验证（内网≠安全，默认拒绝所有访问）
3. 最小权限：仅授予完成工作必需的权限，定期回收
4. 安全左移：安全融入需求、开发、测试、上线全流程
5. 默认安全：默认关闭端口、拒绝访问、加密传输
6. 持续监控 & 应急响应：防护 + 检测 + 响应 + 恢复闭环
7. 数据分级分类：不同密级数据采用不同安全策略

---

二、分层安全架构（从外到内全链路覆盖）

1. 边界与流量安全（抵御外部攻击第一道防线）

• DDoS 防护：流量清洗、黑洞路由、高防 IP / 高防集群
• WAF（Web 应用防火墙）：防 SQL 注入、XSS、命令注入、文件上传、CC 攻击
• API 网关安全：请求鉴权、限流、签名验证、参数校验、API 版本管控
• 边界防火墙：南北向流量管控，仅开放必要端口（80/443）
• 动静隔离 & CDN 安全：静态资源边缘分发，隐藏源站，防源站暴露

2. 身份与访问安全（零信任核心层）

• 统一身份认证（IAM）：SSO 单点登录、多因素认证（MFA / 短信 / 令牌 / 生物）
• 权限模型：RBAC（角色）+ ABAC（属性）细粒度权限控制
• 访问控制：默认拒绝，仅允许白名单 IP / 账号 / 设备
• 生命周期管理：入职赋权、离职 / 调岗立即回收权限
• 运维安全：堡垒机、跳板机、操作录屏、命令审计、禁止直连服务器
• 零信任落地：身份为边界，微权限、持续校验、动态授权

3. 网络层安全（隔离东西向流量，防横向渗透）

• 网络分区：DMZ 区、公网服务区、私有应用区、数据区严格隔离
• VPC / 安全组 / ACL：最小化开放端口，禁止内网弱策略
• 微隔离：容器 / 虚拟机间访问控制，防止内网横向移动
• 加密传输：全链路 HTTPS/TLS1.3，禁用弱协议（SSLv3、TLS1.0/1.1）
• 流量审计：网络流量全采样、异常流量检测

4. 应用层安全（漏洞最多、攻击最密集）

• SDL 安全开发流程：需求安全评审→安全编码→代码审计→自动化扫描→上线验收
• 通用防护：防注入、XSS、CSRF、文件上传漏洞、越权访问
• API 安全：接口签名、时间戳防重放、限流、参数脱敏、权限校验
• 安全编码：禁用危险函数、输入校验、输出编码、避免硬编码密钥
• 容器 / 云原生安全：镜像扫描、最小镜像、K8s RBAC、Pod 安全基线、禁止特权容器

5. 数据安全（核心资产，最高优先级）

• 数据分级分类：公开→内部→秘密→机密，分级防护
• 传输加密：TLS1.3、敏感接口额外加密（AES/RSA）
• 存储加密：数据库透明加密、磁盘加密、密钥独立管理（KMS）
• 数据脱敏：静态脱敏（测试环境）、动态脱敏（生产查询）
• 防泄露（DLP）：水印、外发管控、日志追踪、敏感操作拦截
• 安全备份：加密备份、离线备份、异地备份、定期恢复演练
• 数据销毁：不可恢复擦除，符合等保 / 合规要求

6. 主机 / 基础设施安全

• 系统基线加固：关闭无用端口 / 服务、删除默认账号、密码复杂度策略
• 补丁管理：高危漏洞 72 小时内修复，定期漏洞扫描
• EDR/XDR：主机入侵检测、异常行为监控、防病毒、防挖矿
• 最小化部署：精简系统、禁止 root 直接登录、使用普通账号 + sudo
• 日志安全：日志集中存储、防篡改、留存≥6 个月（等保要求）

7. 安全运营 & 应急响应（安全的最后闭环）

• SIEM 集中审计：日志聚合、关联分析、异常告警（登录、越权、攻击）
• 威胁检测：暴力破解、异常流量、未授权访问、恶意文件
• 漏洞管理：扫描→定级→修复→复测闭环
• 渗透测试 & 红蓝对抗：定期模拟攻击，验证防护有效性
• 应急响应预案：分级处置（入侵、数据泄露、DDoS、勒索病毒）
• 流程：发现→遏制→根除→恢复→溯源→复盘

8. 合规与治理（满足监管要求）

• 等保 2.0、PCI-DSS（支付）、GDPR / 个人信息保护法（隐私）
• 安全管理制度、岗位职责、审计报表、备案与自查
• 隐私合规：用户授权、最小采集、数据跨境管控、用户权利（查询 / 删除）

---

三、核心安全技术体系

1. 加密体系
   • 对称加密（AES）：数据存储 / 传输
   • 非对称加密（RSA/ECC）：密钥交换、签名、身份认证
   • 哈希算法（SHA256）：密码存储（加盐哈希）、数据完整性校验
2. 认证与授权：OAuth2.0、OIDC、JWT、LDAP、SAML
3. 防护类：WAF、抗 D、堡垒机、防火墙、API 网关、EDR
4. 检测类：SIEM、漏洞扫描、代码审计、流量分析
5. 数据安全：KMS、脱敏、DLP、加密备份

---

四、落地实施步骤（可直接执行）

1. 安全评估：资产梳理→漏洞扫描→渗透测试→风险定级
2. 架构规划：分层防护、零信任设计、网络分区、权限模型
3. 基础建设：身份平台、WAF / 防火墙、堡垒机、日志中心、KMS
4. 应用加固：SDL 落地、代码审计、API 安全、漏洞修复
5. 数据安全：分级→加密→脱敏→备份→权限管控
6. 运营上线：监控告警、策略调优、应急演练、权限审计
7. 持续优化：定期渗透、红蓝对抗、漏洞闭环、合规自查

---

五、常见安全架构误区

1. 只防外不防内：信任内网，无东西向隔离，易被横向渗透
2. 重防护轻检测：有防火墙无监控，被入侵无法发现
3. 权限过大 / 长期不回收：越权、数据泄露高发
4. 密钥硬编码、明文存储密码：极易被拖库、破解
5. 安全后置：上线前才做安全，修复成本极高
6. 无应急、无演练：出事手忙脚乱，数据无法恢复
7. 忽视 API 安全：微服务 / 前后端分离下，API 是主要攻击面

---

六、极简总结

安全架构 = 纵深防御 + 零信任身份 + 全链路加密 + 最小权限 + 数据分级保护 + 监控应急 + 合规治理核心逻辑：边界挡、身份卡、网络隔、应用固、数据护、运营查、应急恢，安全与高性能、高可用并行不冲突。

---

安全 vs 高可用 vs 高性能（三者协同）

• 高性能：缓存、异步、扩容
• 高可用：冗余、自愈、灾备
• 安全：加密、鉴权、隔离、审计
• 生产架构必须三者融合设计，不能只做其一