网路架构检视 - 网路分段/分区与 IP 发放

打 D2R ，连梗图都懒得找...

在资安法中，有些应办事项即使在技术面定义也很广，不会有明确的实作项目。这时候可以参考 ISMS ，例如此次的网路分区即参考 ISO 27001 其中的13.1.3 网路之区隔。

网路分区的概念是将业务或性质不同的资通系统分开，对彼此不同的区域采取不同的防护措施。最重要的是能够将资安事件发生时的范围限定在比较小的区域，除了降低风险外(X)，另一个好处大概就是容易归责了吧(O)。

以下列举网路分段/分区时的重点

• 依照业务分区: 例如行政区、一般个人区、访客区、主机伺服区。
• 依照性质的可将无线设备分隔、系统管理介面(主机或储存的网路管理介面)、IoT 等
• 搭配私有 IP 的运用，不需要对外公开服务的设备不使用公开 IP。实作时通常对以上的分区搭配私有 IP。公开主机搭配公用 IP并放置在 DMZ区
• 分区的实作可用实体网路设备或是 VLAN等

网路分区是网路架构中最基础，也是最重要且花费最多事前准备的时间，尤其对於现况实施私有 IP 转换时要特别小心，以免怨声载道...