architecting-security

安全架构

设计并实施全面的安全架构，通过分层防御策略、零信任原则和基于风险的安全控制，保护系统、数据和用户。

目的

安全架构为构建具有韧性、合规且值得信赖的系统提供战略基础。本技能指导如何设计纵深防御层、实施零信任、采用威胁建模方法，以及映射到控制框架（NIST CSF、CIS Controls、ISO 27001）。

与战术性安全技能（配置防火墙、实施身份验证、扫描漏洞）不同，安全架构侧重于战略规划、全面防御策略和治理框架。

何时使用此技能

在以下情况下使用安全架构：

• 为从零开始构建的系统（新应用、云迁移）设计安全方案
• 对现有系统进行安全审计或风险评估
• 在企业环境中实施零信任架构
• 建立安全治理计划和合规框架
• 对应用、API 或微服务架构进行威胁建模
• 选择安全控制并将其映射到法规要求（SOC 2、HIPAA、PCI DSS）
• 设计云安全架构（AWS、GCP、Azure 多账户策略）
• 应对供应链安全问题（SLSA 框架、SBOM 实施）

安全架构核心原则

1. 纵深防御

实施多个相互独立的安全控制层，以便在某一层失效时，其他层仍能继续保护关键资产。

9 层防御（2025 年模型）：

1. 物理安全： 数据中心访问、环境控制、硬件安全模块（HSM）
2. 网络边界： 下一代防火墙（NGFW）、DDoS 防护、Web 应用防火墙（WAF）
3. 网络分段： VLAN、VPC、安全组、微分段
4. 终端防护： EDR、杀毒软件、设备加密、补丁管理
5. 应用层： 安全编码、WAF、API 安全、SAST/DAST 扫描
6. 数据层： 加密（静态、传输中、使用中）、DLP、备份与恢复
7. 身份与访问管理： MFA、SSO、RBAC/ABAC、特权访问管理（PAM）
8. 行为分析： UEBA、基于 ML 的异常检测、威胁情报
9. 安全运营： SIEM、SOAR、事件响应、持续监控

核心原则： 每一层都提供独立保护。某一层失效不会危及整个系统。

有关逐层实施模式的详细信息，请参阅 references/defense-in-depth.md。

2. 零信任架构

实施“永不信任，始终验证”原则，对每个访问请求进行身份验证、授权和持续校验。

零信任核心原则：

1. 持续验证： 对每个访问请求进行身份验证和授权（不隐式信任）
2. 最小权限访问： 仅授予所需的最低权限，并使用即时（JIT）访问
3. 假定已遭入侵： 设计系统时假定系统可能遭到入侵，并限制影响范围
4. 显式验证： 验证用户身份（MFA）、设备运行状况、应用完整性和上下文（位置、时间、行为）
5. 微分段： 将网络划分为小型隔离区域，并控制东西向流量

零信任架构组件：

• 策略引擎： 集中的授权决策点（允许/拒绝）
• 身份提供商（IdP）： 验证用户/机器身份（Azure AD、Okta）
• 设备状态服务： 设备运行状况检查（集成 MDM、EDR）
• 上下文/风险引擎： 行为分析、位置、时间、威胁情报
• 策略执行点： 执行决策的网关（ZTNA、API 网关）

有关零信任实施路线图和参考架构，请参阅 references/zero-trust-architecture.md。

3. 威胁建模

通过结构化方法系统地识别、确定优先级并缓解安全威胁。

主要方法：

方法	目的	复杂度	适用场景
STRIDE	威胁识别	低	开发团队、快速威胁分析
PASTA	以风险为中心的分析	高	企业风险管理
DREAD	风险评分	低	为现有威胁确定优先级
攻击树	可视化威胁分析	中	安全架构审查

STRIDE 威胁类别：

• Spoofing（欺骗）：攻击者冒充其他用户/系统（缓解措施：MFA、证书验证）
• Tampering（篡改）：未经授权修改数据（缓解措施：加密、数字签名）
• Repudiation（抵赖）：用户否认执行过某项操作，且无证据可证（缓解措施：审计日志、不可抵赖性）
• Information Disclosure（信息泄露）：机密数据暴露（缓解措施：加密、访问控制、DLP）
• Denial of Service（拒绝服务）：系统不可用（缓解措施：速率限制、DDoS 防护、冗余）
• Elevation of Privilege（权限提升）：获得更高权限（缓解措施：最小权限、输入验证、应用补丁）

STRIDE 应用流程：

1. 使用数据流图（DFD）为系统建模
2. 将 STRIDE 应用于每个组件/数据流，以识别威胁
3. 使用 STRIDE 类别记录威胁
4. 使用 DREAD 评分或业务影响为威胁确定优先级
5. 设计缓解控制措施

有关威胁建模方法、PASTA 流程、DREAD 评分和攻击树的详细信息，请参阅 references/threat-modeling.md。有关威胁建模示例，请参阅 examples/threat-models/。

安全控制框架

将安全控制映射到行业框架，以确保全面覆盖并满足合规要求。

NIST 网络安全框架（CSF）2.0

6 项核心职能：

1. GOVERN (GV)： 风险管理策略、政策、供应链风险管理
2. IDENTIFY (ID)： 资产清单、风险评估、持续改进
3. PROTECT (PR)： 访问控制、数据安全、平台安全、基础设施韧性
4. DETECT (DE)： 持续监控、异常检测、安全事件分析
5. RESPOND (RS)： 事件管理、分析、沟通、缓解
6. RECOVER (RC)： 恢复规划、执行、事件后改进

用法： 将安全控制映射到 NIST CSF 类别，确保涵盖所有安全职能。该框架灵活且以风险为基础，可用于安全计划。

有关 NIST CSF 类别映射和子类别的详细信息，请参阅 references/nist-csf-mapping.md。

CIS 关键安全控制措施 v8

18 项控制措施，分为 3 个实施组：

• IG1（基础）： 为小型组织提供 56 项保障措施（资产清单、访问控制、日志记录、备份）
• IG2（中级）： 为配备 IT 安全人员的中型组织额外提供 74 项保障措施
• IG3（高级）： 为拥有专职安全团队的大型企业额外提供 23 项保障措施

优先级最高的控制措施（IG1）：

1. 企业资产清单与控制
2. 软件资产清单与控制
3. 数据保护
4. 企业资产安全配置
5. 账户管理
6. 访问控制管理
7. 持续漏洞管理
8. 审计日志管理

用法： CIS 控制措施提供明确且可衡量的安全基线。可从 IG1 开始，随着安全成熟度提高，再逐步推进到 IG2/IG3。

有关 CIS 控制措施实施指南的详细信息，请参阅 references/cis-controls.md。

OWASP Top 10 风险缓解

将 OWASP Top 10 应用安全风险映射到架构控制措施：

OWASP 风险	主要控制措施	框架映射
注入	参数化查询、输入验证	NIST PR.DS、CIS 16
身份验证失效	MFA、安全会话管理	NIST PR.AC、CIS 5、6
敏感数据泄露	加密、密钥管理	NIST PR.DS、CIS 3
XXE	禁用外部实体、使用 JSON	NIST PR.DS、CIS 16
访问控制失效	授权检查、RBAC	NIST PR.AC、CIS 6
安全配置错误	加固、最小化配置	NIST PR.IP、CIS 4
XSS	输出编码、CSP	NIST PR.DS、CIS 16
不安全的反序列化	验证对象、使用安全格式	NIST PR.DS、CIS 16
已知漏洞	补丁管理、SBOM	NIST ID.RA、CIS 7
日志记录与监控	SIEM、集中式日志记录	NIST DE.CM、CIS 8

如需详细了解 OWASP Top 10 缓解策略和代码示例，请参阅 references/owasp-top10-mitigation.md。

架构选择决策框架

根据系统特征选择合适的安全架构方案：

绿地（新系统）：

• 从第一天起实施零信任
• 以身份为先的架构（MFA、SSO、RBAC/ABAC）
• 默认采用微隔离
• 秉持假定已遭入侵的理念（限制影响范围）
• 持续验证和监控

棕地（现有系统）：

• 混合方案：保留深度防御，并叠加零信任
• 保留现有边界控制措施（防火墙、VPN）
• 逐步叠加零信任控制措施
• 优先隔离关键资产（数据、管理员访问权限）
• 现代化身份和访问管理

合规驱动：

• 根据要求映射到控制框架：
  • 通用安全： 使用 NIST CSF 实施基于风险的方法
  • 基线加固： 使用 CIS Controls 获取规范性指导
  • 全面的 ISMS： 使用 ISO 27001 进行认证
  • 行业专属： PCI DSS（支付）、HIPAA Security Rule（医疗保健）、FedRAMP（政府）

云原生：

• 使用云服务提供商的参考架构：
  • AWS： Well-Architected Framework（安全支柱）
  • GCP： 安全最佳实践、Security Command Center
  • Azure： Security Benchmark、Defender for Cloud
• 实施云原生安全服务（CSPM、CWPP）

混合云/多云：

• 使用云安全态势管理（CSPM）统一实施策略
• 跨云可视性和监控
• 与云无关的 IAM（Okta、Azure AD）

如需详细了解架构选择决策树，请参阅 references/defense-in-depth.md 和 references/zero-trust-architecture.md。

供应链安全

保护软件供应链，防止篡改、后门和依赖项受损。

SLSA 框架

软件制品供应链等级（共 4 级）：

1. SLSA Level 1 - 来源证明： 构建过程生成来源证明元数据（不可防篡改）
2. SLSA Level 2 - 托管构建： 在可信平台上构建（GitHub Actions、Cloud Build）
3. SLSA Level 3 - 加固构建： 构建平台可防止篡改，并提供审计日志
4. SLSA Level 4 - 纯净、可复现： 完全纯净的构建、可复现、双人审核

实施： 从生成 Level 1 来源证明开始，逐步提升到 Level 2（GitHub Actions），然后是 Level 3（具有审计日志的加固 CI/CD）。

SBOM（软件物料清单）

生成并维护软件组件和依赖项清单。

SBOM 标准：

• CycloneDX： OWASP 标准（JSON/XML 格式）
• SPDX： Linux Foundation 标准
• SWID： ISO/IEC 19770-2 标准

SBOM 用例：

• 漏洞管理：披露 CVE 时快速识别受影响的组件
• 许可证合规：跟踪开源许可证以符合法律要求
• 供应链风险：了解第三方代码和依赖项
• 事件响应：快速评估 Log4Shell 类事件

依赖项管理最佳实践：

1. 在 CI/CD 流水线中自动生成 SBOM
2. 使用工具持续扫描（Dependabot、Snyk、Trivy、Grype）
3. 自动更新安全补丁
4. 跟踪许可证合规性并采用审批工作流
5. 使用锁文件固定依赖项版本
6. 尽量减少依赖项以缩小攻击面

有关 SLSA 实施指南、SBOM 生成示例和依赖项扫描自动化，请参阅 references/supply-chain-security.md。

云安全架构模式

AWS 安全架构

Well-Architected Framework 安全支柱原则：

1. 建立坚实的身份基础： 集中管理 IAM，遵循最小权限原则，使用 IAM Identity Center（SSO）
2. 实现可追溯性： 使用 CloudTrail、GuardDuty、Security Hub 进行全面日志记录
3. 在所有层实施安全防护： 在 VPC、实例、应用程序和数据层实施纵深防御
4. 自动化安全最佳实践： 使用基础设施即代码（Terraform、CloudFormation）
5. 保护传输中和静态数据： 使用 TLS 1.3、AWS KMS，并对所有数据进行加密

AWS 主要安全服务：

• IAM： AWS IAM、IAM Identity Center（SSO）、Cognito（客户身份）
• 检测： GuardDuty（威胁检测）、Security Hub（集中管理调查结果）、Detective（调查）
• 网络： AWS WAF、Shield（DDoS）、Network Firewall
• 数据： KMS（密钥管理）、Secrets Manager、Macie（数据分类）
• 计算： Systems Manager（补丁管理）、Inspector（漏洞扫描）

多账户策略： 使用 AWS Organizations，并设置 Security OU（Security Account、Logging Account、Audit Account）和 Workload OU（Production、Non-Production）。应用服务控制策略（SCP）以设置防护措施。

有关 AWS 参考架构和多账户安全设置，请参阅 references/aws-security-architecture.md 和 examples/architectures/aws-multi-account-security.md。

GCP 安全架构

GCP 主要安全服务：

• IAM： Cloud IAM、Identity Platform（客户身份）、Cloud Identity（员工身份）
• 检测： Security Command Center（统一仪表板）、Chronicle（SIEM）、Event Threat Detection
• 网络： Cloud Armor（DDoS/WAF）、VPC Service Controls（防止数据外泄）、Cloud Firewall
• 数据： Cloud KMS、Secret Manager、Cloud DLP（数据丢失防护）
• 计算： Binary Authorization（镜像签名）、Confidential Computing（使用中加密）

组织层级： 按照 Organization → Folders（Production、Non-Production、Security）→ Projects 进行组织。在文件夹级别应用 IAM 策略以实现继承。

有关 GCP 安全架构模式和组织设置，请参阅 references/gcp-security-architecture.md 和 examples/architectures/gcp-security-hierarchy.md。

Azure 安全架构

Azure 主要安全服务：

• IAM： Azure AD (Entra ID)、特权身份管理（JIT 访问）、条件访问
• 检测： Microsoft Defender for Cloud (CSPM/CWPP)、Sentinel (SIEM/SOAR)、Azure Monitor
• 网络： Azure Firewall、Front Door + WAF、DDoS Protection
• 数据： Key Vault（机密、密钥、证书）、Information Protection (DLP)、存储加密
• 计算： 虚拟机即时访问、Azure Policy（合规性强制）

中心辐射式 Landing Zone： 实施中心 VNet（共享服务：防火墙、VPN、Azure Bastion）和辐射 VNet（工作负载）。使用 Management Groups 构建策略层级。

有关 Azure 安全架构和中心辐射式设计，请参阅 references/azure-security-architecture.md 和 examples/architectures/azure-landing-zone.md。

身份与访问管理模式

身份验证控制

多重身份验证 (MFA)：

• 类型： TOTP（基于时间的一次性密码）、推送通知、生物识别、硬件令牌（YubiKey、FIDO2）
• 强制实施： 要求所有用户（员工和客户）使用 MFA，尤其是特权账户
• 无密码： 迁移到 WebAuthn、FIDO2 和通行密钥，以消除基于密码的攻击

单点登录 (SSO)：

• 协议： SAML 2.0、OAuth 2.0、OpenID Connect (OIDC)
• 优势： 集中式身份验证、减少密码疲劳、改善安全态势
• 实现： Azure AD、Okta、Auth0、Ping Identity

授权控制

基于角色的访问控制 (RBAC)：

• 将用户分配到角色，角色具有相应权限
• 粗粒度，易于实现
• 最适合：角色结构稳定的组织

基于属性的访问控制 (ABAC)：

• 根据属性（用户部门、资源分类、时间、位置）进行细粒度访问控制
• 比 RBAC 更灵活
• 最适合：复杂、动态的访问需求

基于策略的访问控制 (PBAC)：

• 集中式策略引擎（Open Policy Agent - OPA、AWS Cedar）
• 以声明方式定义策略并进行版本管理
• 最适合：微服务、API 网关、云原生架构

特权访问管理 (PAM)

即时 (JIT) 访问：

• 为特定任务临时授予更高权限
• 授权访问具有时限（例如，4 小时）
• 减少长期保留的特权访问

凭据保管：

• 集中存储特权凭据（CyberArk、HashiCorp Vault、Azure Key Vault）
• 自动轮换密码
• 会话录制与审计

有关 IAM 实现模式、MFA 配置和 PAM 设置的详细信息，请参阅 references/iam-patterns.md。

安全监控与运营

SIEM（安全信息与事件管理）

集中汇总、关联和告警安全事件日志。

主流 SIEM 平台：

• Splunk、Elastic Security、Microsoft Sentinel、Chronicle

SIEM 架构：

1. 日志收集： 从所有层（网络、终端、应用程序、云）摄取日志
2. 标准化： 统一日志格式，以便进行关联分析
3. 关联分析： 应用规则检测模式（登录失败 → 暴力破解攻击）
4. 告警： 通知 SOC 团队处理高优先级事件
5. 调查： 提供搜索与可视化功能，用于事件分析

SOAR（安全编排、自动化与响应）

自动化事件响应工作流，以缩短平均响应时间 (MTTR)。

SOAR 功能：

• 剧本： 自动化响应工作流（封锁 IP、隔离终端、撤销凭据）
• 编排： 与安全工具集成（SIEM、EDR、防火墙、IAM）
• 案例管理： 跟踪事件、分配给分析人员、记录解决过程

主流 SOAR 平台：

• Splunk SOAR、Palo Alto Cortex XSOAR、IBM Resilient

检测策略

UEBA（用户与实体行为分析）：

• 基于机器学习的异常检测
• 检测：账户失陷、内部威胁、数据外泄
• 建立正常行为基线，并对偏差发出警报

威胁情报：

• 集成威胁情报源（MISP、ThreatConnect、ISAC）
• 使用威胁上下文丰富警报（已知恶意 IP、IOC）
• 使用 TTP 主动搜寻威胁（MITRE ATT&CK 框架）

有关 SIEM 架构、SOAR playbook 示例和检测策略，请参阅 references/security-operations.md。

快速参考：控制框架映射

使用此表将风险映射到适当的控制框架：

风险/要求	框架	关键控制
通用安全计划	NIST CSF 2.0	全部 6 项职能（GV、ID、PR、DE、RS、RC）
合规基线	CIS Controls v8	IG1：控制措施 1-18（56 项保障措施）
ISO 认证	ISO 27001/27002	14 个领域中的 114 项控制措施
应用安全	OWASP ASVS	286 项安全要求（3 个级别）
云安全（AWS）	AWS Well-Architected	安全支柱：10 项设计原则
云安全（GCP）	GCP Security Best Practices	Security Command Center 架构
云安全（Azure）	Azure Security Benchmark	Defender for Cloud 控制措施
供应链安全	SLSA + SBOM	2 级以上 SLSA、CycloneDX SBOM
零信任架构	NIST SP 800-207	ZTA 原则、部署模型
隐私/GDPR	NIST Privacy Framework	隐私工程目标

与相关技能集成

安全架构为战术性安全实施提供战略基础：

• infrastructure-as-code： 将安全架构落实为代码（安全默认配置、加固）
• kubernetes-operations： 应用 K8s 安全架构（RBAC、Pod 安全、网络策略）
• secret-management： 设计密钥管理架构（KMS、Vault、轮换策略）
• building-ci-pipelines： 设计安全的 CI/CD 架构（集成 SAST/DAST、制品签名）
• configuring-firewalls： 实现纵深防御中的网络边界层
• vulnerability-management： 将漏洞扫描集成到安全架构中
• auth-security： 实现 IAM 层细节（MFA、RBAC/ABAC、会话管理）
• siem-logging： 实现安全监控架构（SIEM、日志聚合）
• compliance-frameworks： 将安全架构映射到合规要求

常见安全架构模式

模式 1：零信任网络访问（ZTNA）

用基于身份的应用访问取代 VPN。

架构：

1. 用户向身份提供商进行身份验证（Azure AD、Okta）
2. 设备态势检查验证设备健康状况
3. 策略引擎评估访问请求（用户、设备、上下文）
4. 通过安全连接器授予访问权限（不提供网络访问）

优势： 消除横向移动，缩小攻击面，改善用户体验

模式 2：Web 应用的纵深防御

通过多层安全控制保护 Web 应用。

层级：

1. DDoS 防护（Cloudflare、AWS Shield）
2. WAF（应用防火墙、OWASP Top 10 规则）
3. API 网关（身份验证、速率限制）
4. 应用安全（SAST/DAST、安全编码）
5. 数据库安全（加密、最小权限）
6. 日志记录与监控（SIEM、异常检测）

模式 3：云安全态势管理（CSPM）

持续监控并强制执行云环境中的安全配置。

架构：

1. 资产发现：盘点所有云资源
2. 配置评估：与安全基线（CIS Benchmarks）进行比较
3. 合规性监控：跟踪法规合规情况（SOC 2、ISO 27001）
4. 修复：自动修复或提供指导式工作流
5. 漂移检测：针对配置变更发出警报

**领先的 CSPM 工具：**Wiz、Orca Security、Prisma Cloud、Microsoft Defender for Cloud

资源和参考资料

纵深防御：

• references/defense-in-depth.md - 9 层防御模型、实施模式、故障影响分析

零信任架构：

• references/zero-trust-architecture.md - ZTA 原则、参考架构、实施路线图

威胁建模：

• references/threat-modeling.md - STRIDE、PASTA、DREAD、攻击树方法
• examples/threat-models/web-app-stride.md - Web 应用 STRIDE 分析示例
• examples/threat-models/api-threat-model.md - REST API 威胁模型示例
• examples/threat-models/microservices-threat-model.md - 微服务威胁模型示例

控制框架：

• references/nist-csf-mapping.md - NIST CSF 2.0 功能、类别、子类别
• references/cis-controls.md - CIS Controls v8、实施组、安全措施
• references/owasp-top10-mitigation.md - OWASP Top 10 风险和缓解策略

供应链安全：

• references/supply-chain-security.md - SLSA 框架、SBOM 生成、依赖项扫描

云安全：

• references/aws-security-architecture.md - AWS Well-Architected 安全支柱、服务、模式
• references/gcp-security-architecture.md - GCP 安全最佳实践、服务、组织设计
• references/azure-security-architecture.md - Azure 安全基准、Defender for Cloud、landing zone

IAM 和运维：

• references/iam-patterns.md - 身份验证、授权、MFA、RBAC/ABAC、PAM
• references/security-operations.md - SIEM、SOAR、UEBA、威胁情报、事件响应

架构示例：

• examples/architectures/aws-multi-account-security.md - AWS Organizations 安全设置
• examples/architectures/gcp-security-hierarchy.md - GCP 文件夹/项目安全层级
• examples/architectures/azure-landing-zone.md - Azure hub-spoke landing zone
• examples/architectures/zero-trust-network.md - 零信任网络设计

脚本：

• scripts/threat-model-template.py - 生成 STRIDE 威胁模型模板
• scripts/control-gap-analysis.sh - 将当前控制措施与框架进行比较
• scripts/sbom-generate.sh - 生成 CycloneDX 格式的 SBOM
• scripts/security-checklist.sh - 自动化安全架构检查清单

总结

安全架构需要跨多个层面进行战略规划，从物理安全到安全运维。实施纵深防御以实现全面保护，在现代云环境中采用零信任原则，使用威胁建模主动识别风险，并将控制措施映射到框架，以确保合规性和完整性。

从风险评估入手，了解威胁；选择合适的架构方法（绿地环境采用零信任，棕地环境采用混合方案）；实施分层控制措施；并持续监控和改进安全态势。