信息系统架构

信息系统架构是指体现信息系统相关的组件、关系以及系统的设计和演化原则的基本概念或特性。
信息系统集成项目涉及的架构通常有系统架构、数据架构、技术架构、应用架构、网络架构、安全架构等类型，组织级的信息系统集成架构向上承载了组织的发展战略和业务架构，向下指导着信息系统具体方案的实现，发挥着承上启下的中坚作用。该层级架构需要根据组织的战略目标、运营模式和信息化程度来确定，并且紧密支持业务价值的实现。

4.1 架构基础

架构的本质是决策，是在权衡方向、结构、关系以及原则各方面因素后进行的决策。信息系统项目可基于项目建设的指导思想、设计原则和建设目标等展开各类架构的设计。

4.1.1 指导思想

指导思想是开展某项工作所必须遵循的总体原则、要求和方针等，站在宏观的角度、总体的高度指示引导工作的进行，通过指导思想的贯彻实施，推动项目多元参与者能保持集成关键价值的一致性理解，从而减少不必要的矛盾与冲突。

4.1.2 设计原则

设计原则为架构和规划决策、政策、程序和标准制定，以及矛盾局势的解决提供了坚实的基础。原则不需要多，要面向未来，并得到相关方高级管理人员的认可、拥护和坚持。太多的原则会降低架构的灵活性，许多组织倾向于只界定更高级别原则，并通常将数目限制在 4-10 项。

4.1.3 建设目标

建设目标是指集成建设的最终目的，达到什么样的效果，为什么而服务， 是一种概念性的方针，通常相关方高层领导提出的构想、愿景等便是建设目标。信息系统集成架构服务于各项建设目标的达成，各项业务目标都是为建 设目标而服务的。

4.1.4 总体框架

框架是一个用于规划、开发、实施、管理和维持架构的概念性结构，框架对架构设计是至关重要的。框架是将组织业务内容的关注度进行了合理的分离，以角色为出发点从不同视角展示组织业务的内容。框架为架构设计提供了一张路线图，引导和帮助架构设计达到建设起一个先进、高效且适用架构的目标。

总体框架

  • 战略系统：其功能与战略管理层次的功能相似，一方面向业务系统提出创新、重构与再造的要求，另一方面向应用系统提出集成的要求。
    • 定义：是指组织中与战略制定、高层决策有关的管理活动和计算机辅助系统。
    • 组成部分：在信息系统架构 (ISA) 中战略系统由两个部分组成：其一是以信息技术为基础的高层决策支持系统，其二是组织的战略规划体系。
    • 相关描述：在 ISA 中设立战略系统有两重含义：一是它表示信息系统对组织高层管理者的决策支持能力；二是它表示组织战略规划对信息系统建设的影响和要求。通常组织战略规划分成长期规划和短期规划两种长期规划相对来说比较稳定，如调整产品结构等；短期规划一般是根据长期规划的目的而制订，相对来说，容易根据环境、组织运作情况而改变，如决定新产品的类型等。
  • 业务系统和应用系统：属于战术管理层，业务系统在业务处理流程的优化上对组织进行管理控制和业务控制，应用系统则为这种控制提供有效利用信息和数据实现的手段，并提高组织的运行效率。
    • 业务系统
      • 定义：是指组织中完成一定业务功能的各部分 (物质、能量、信息和人) 组成的系统。组织中有许多业务系统，如生产系统、销售系统、采购系统、人事系统、会计系统等。
      • 业务过程重组 (BPR)：是以业务流程为中心，打破组织的职能部门分工，对现有的业务过程进行改进或重新组织，以求在生产效率、成本、质量、交货期等方面取得明显改善，提高组织的竞争力。
      • 作用：对组织现有业务系统、业务过程和业务活动进行建模，并在组织战略的指导下，采用业务流程重组 (BPR) 的原理和方法进行业务过程优化重组，并对重组后的业务领域、业务过程和业务活动进行建模，从而确定出相对稳定的数据，以此相对稳定的数据为基础，进行组织应用系统的开发和信息基础设施的建设。
    • 应用系统
      • 定义：应用系统即应用软件系统，指信息系统中的应用软件部分。
      • 组成部分：一般按完成的功能可包含：事务处理系统 (TPS)、管理信息系统 (MIS)、决策支持系统 (DSS)、专家系统 (ES)、办公自动化系统 (OAS)、计算机辅助设计 / 计算机辅助工艺设计 / 计算机辅助制造、制造执行系统 (MES) 等
      • 相关描述：从架构的角度来看，都包含两个基本组成部分：内部功能实现部分和外部界面部分。这两个基本部分由更为具体的组成成分及组成成分之间的关系构成。界面部分是应用系统中相对变化较多的部分，主要由用户对界面形式要求的变化引起。在功能实现部分中，相对来说，处理的数据变化较小，而程序的算法和控制结构的变化较多，主要由用户对应用系统功能需求的变化和对界面形式要求的变化引起。
  • 信息基础设施：是组织实现信息化、数字化的基础部分，相当于运行管理层，它为应用系统和战略系统提供计算、传输、数据等支持。同时也为组织的业务系统实现重组提供一个有效的、灵活响应的技术与管理支持平台。
    • 定义：是指根据组织当前业务和可预见的发展趋势及对信息采集、处理、存储和流通的要求，构筑由信息设备、通信网络、数据库、系统软件和支持性软件等组成的环境。
    • 组成部分：分为三部分：技术基础设施、信息资源设施和管理基础设施。
      1. 技术基础设施：计算机设备、网络、系统软件、支持性软件、数据交换协议等。变化因素多
      2. 信息资源设施：数据与信息本身、数据交换的形式与标准、信息处理方法等。变化较小
      3. 管理基础设施：信息系统部门组织架构、人员分工、管理方法与规章制度等。
    • 相关描述：1. 技术基础设施：变化因素多，同一功能存在多种实现方式；2. 信息资源设施：变化较小，业务流程改变，数据处理基础不变；3. 管理基础设施：变化较多，适配市场竞争与外部环境。

4.2 系统架构

信息系统架构是一种体系结构，它反映了一个组织信息系统的各个组成部分之间的关系，以及信息系统与相关业务、信息系统与相关技术之间的关系。

4.2.1 架构定义

  • 三种常见定义
    1. 软件或计算机系统的信息系统架构是该系统的一个 (或多个) 结构，而结构由软件元素、元素的外部可见属性及它们之间的关系组成。
    2. 信息系统架构为软件系统提供了一个结构、行为和属性的高级抽象，由构成系统元素的描述、这些元素的相互作用、指导元素集成的模式及这些模式约束组成。
    3. 信息系统架构是指一个系统的基础组织，它具体体现在系统的构件、构件之间、构件与环境之间的关系，以及指导其设计和演化的原则上。
  • 六大理解要点
    1. 架构是对系统的抽象，只关注元素外部可见属性，内部实现细节不属于架构；
    2. 架构由多个结构组成，单一结构无法完整代表大型系统架构；
    3. 任何软件都存在架构，但不一定存在架构文档；文档过期则无法反映真实架构；
    4. 架构包含静态（分层、宏观结构）、动态（系统行为特征）两层抽象；
    5. 架构具备基础性：通用复用方案、重大决策修改成本极高；
    6. 架构是权衡决策结果，不同架构设计师设计的架构是不一样的，为了避免架构设计师考虑不周，重大决策要经过评审。
  • 信息系统架构与系统架构区分
    • 设计架构时需兼顾硬件特性、网络特性，二者区别不大；但软件层面设计自由度远高于硬件，信息系统架构重点偏向软件。
  • 架构的双向影响
    1. 影响架构的因素：干系人需求、团队人员能力、架构师经验、外部技术环境；通过功能/非功能需求、约束条件影响架构设计决策。
    2. 架构反向作用：拆分开发团队、创造业务商机、影响客户后续信息化建设标准。

4.2.2 架构分类

  • 一、物理架构
    • 1）集中式架构
      • 定义：物理资源空间集中配置，单机、多终端共享主机均属于集中式。软硬件、数据集中于一套计算机。
      • 优点：资源集中、统一管理、资源利用率高。
      • 缺点：规模扩大后运维困难；核心单点故障会导致整体瘫痪；难以调动用户参与建设积极性。
    • 2）分布式架构
      • 定义：通过网络互联异地软硬件、数据资源，各节点可联网协作，也可本地独立运行，是当前主流模式。
      • 优点：按需分配资源、扩展方便、单节点故障不整体宕机、安全性更好。
      • 缺点：资源分散，标准难以统一，跨系统协调、整体规划难度大。
  • 二、逻辑架构
    • 按管理职能划分采购、生产、销售、人事、财务等子系统，各子系统覆盖事务处理、操作管理、管控、战略规划多层业务。
  • 三、系统融合
    • 横向融合：同一层级职能整合，如人事 + 工资一体化，基层业务合并处理
    • 纵向融合：同一职能全业务层级打通，形成一体化处理流程
    • 纵横融合：统一信息模型、处理模型，数据集中共享，模块化开发，建立统一公用数据体系

4.2.3 一般原理

识别系统中稳定组件与易变组件，基于稳定部分支撑可变部分灵活重构，使系统具备柔性，适配业务环境变化。即具有一定的柔性，这就是信息系统架构的基本原理。

4.2.4 常用架构模型

  1. 单机应用模式：独立程序运行于单台物理设备，支持多进程 / 多线程，最简单软件结构。如 Photoshop
  2. 客户端/服务器模式 (C/S）
    • （1）两层C/S（胖客户端）：前台客户端集成界面 + 业务逻辑，后台仅数据库服务器；客户端臃肿，维护成本高。如 大型游戏，客户端 -> 数据库服务器
    • （2）三层C/S（B/S）：B/S 是三层C/S典型实现：浏览器（客户端）+Web 服务器 + 数据库；基于 HTTP/TCP/IP，通用浏览器降低客户端开发维护成本。如 浏览器，客户端 -> Web服务器 -> 数据库服务器
    • （3）多层C/S（四层主流）：前台界面→Web 服务器→中间件 / 应用服务器→数据库服务器中间件作用：提升并发伸缩、转发业务请求、隔离数据库访问、增强数据安全。客户端 -> Web服务器 -> 应用服务器 -> 数据库服务器
    • （4）MVC模型（多层 C/S 标准化实现）
  3. 面向服务架构模式（SOA）：两个多层C/S结构的应用系统之间需要相互进行通信，那么就产生了面向服务架构（Service Oriented Architecture），SOA。在SOA的概念中，将由多层服务组成的一个结点应用看作是一个单一的服务。服务是指向提供一组整体功能的独立应用系统。两个应用之间一般通过消息来进行通信，可以互相调用对方的内部服务、模块或数据交换和驱动交易等。
  4. 组织级数据交换总线：
    • 即不同的组织应用之间进行信息交换的公共通道。这种架构在大型组织不同应用系统进行信息交换时使用较普遍。
    • 关于数据总线本身，其实质应该是一个称之连接器的软件系统（Connector），它可以基于中间件构建，也可以基于CORBA/IIOP协议开发。
    • 主要功能是按照预定义的配置或消息头定义，进行数据、请求或回复的接收与分发。
    • 组织级数据交换总线可以同时具有实时交易与大数据量传输的功能，但在实践中，成熟的企业数据交换总线主要是为实时交易而设计的，而对可靠的大数据量级传输需求往往要单独设计。

4.2.5 规划与设计

  • 1.集成架构演进：采用不同的主线架构，本质上取决于企业业务发展的程度，表现为企业数字化转型的成熟度。
    • 1）以应用功能为主线架构：企业往往采用“拿来主义”来构建其信息系统，即直接采购成套目成熟的应用软件，并基于应用软件的运行需求，建设相关的基础设施。核心关注点是信息系统的软件功能，如财务管理、设备管理、资产管理等2）
    • 2）以平台能力为主线架构：以平台能力为主线的系统集成架构起源于云计算技术的发展和云服务的逐步成熟。其核心理念是将“竖井式”信息系统各个组成部分，转化为“平层化”建设方法，包括数据采集平层化、网络传输平层化、应用中间件平层化、应用开发平层化等，并通过标准化接口和新型信息技术，实现信息系统的弹性、敏捷等能力建设。
    • 3）以互联网为主线架构：以互联网为主线的系统集成架构，强调将各信息系统功能最大限度地APP化（微服务），通过App的编排与组合，生成可以适用各类成熟度的企业应用。以互联网为主线的系统集成架构，整合应用了更多的新一代信息技术及基应用创新。达到对不同成熟度组织的适配以及组织各项能力的敏捷组合与弹性变革。
  • 2.TOGAF架构开发方法：TOGAF （The Open Group Architecture Framework）是一种开放式企业架构框架标准，它为标准、方法论和企业架构专业人员之间的沟通提供一致性保障。
    • 1） TOGAF 基础
      • TOGAF是基于一个迭代的过程模型，支持最佳实践和一套可重用的现有架构资产。它可用于设计、评估并建立适合的企业架构。在国际上，TOGAF已经被验证，可以灵活、高效地构建企业IT架构。
    • 2） ADM方法
      • 架构开发方法（ADM）为开发企业架构所需要执行的各个步骤以及它们之间的关系进行了详细的定义，同时它也是TOGAF规范中最为核心的内容。
      • ADM方法是由一组按照架构领域的架构开发顺序排列成一个环的多个阶段构成。通过这些开发阶段的工作，设计师可以确认是否已经对复杂的业务需求进行了足够全面的讨论。
      • TOGAF 中最为著名的一个ADM架构开发的全生命周期模型。此模型将ADM全生命周期划分为预备阶段、需求管理、架构愿景、业务架构、信息系统架构（应用和数据）、技术架构、机会和解决方案、迁移规划、实施治理、架构变更治理等十个阶段，这十个阶段是反复迭代的过程。

4.2.6 价值驱动的体系结构

  • 价值驱动因素
    • 价值期望值：用户对功能、质量、使用效果的预期
    • 反作用力：实现预期目标的客观难度，预期越高实现难度越大
    • 变革催化剂：改变价值预期的外部事件、环境约束。反作用力和变革催化剂称为限制因素

4.3 应用架构

应用架构的主要内容是规划出目标应用分层分域架构，根据业务架构规划目标应用域、应用组和目标应用组件，形成目标应用架构逻辑视图和系统视图。从功能视角出发，阐述应用组件各自及应用架构整体上，如何实现组织的高阶IT需求，并描述主要目标应用组件之间的交互关系。

4.3.1 基本原则

  • 业务适配性：支撑组织战略，具备扩展灵活性，适配业务长期发展
  • 应用聚合化：整合分散部门系统，消除重复、边界模糊问题，建设组织级统一应用
  • 功能专业化：按业务领域拆分组件，各系统垂直专业化发展
  • 风险最小化：降低系统耦合、提高独立性，松耦合规避单点故障
  • 资产复用化：沉淀标准化共享服务，复用组件快速开发，弹性满足差异化业务

业务应用功能 有 资产风险

4.3.2 分层分组

  1. 分层：对应用架构进行分层的目的是要实现业务与技术分离，降低各层级之间的耦合性，提高各层的灵活性，有利于进行故障隔离，实现架构松耦合；
  2. 分组：对应用分组的目的是要体现业务功能的分类和聚合，把具有紧密关联的应用或功能内聚为一个组，可以指导应用系统建设，实现系统内高内聚，系统间低耦合，减少重复建设。

4.4 数据架构

数据架构描述了组织的逻辑和物理数据资产以及相关数据管理资源的结构。
数据架构的主要内容涉及数据全生命周期之下的架构规划，包括数据的产生、流转、整合、应用、归档和消亡。数据架构关注数据所处的生命周期环节中数据被操作的特征和数据类型、数据量、数据技术处理的发展、数据的管控策略等数据领域的概念相关。

4.4.1 发展演进

  1. 单体应用架构时代：（80 年代）仅基础数据库、数据模型，满足单一业务使用；
  2. 数据仓库时代：面向主题、集成化，OLAP 分析，支撑决策；关注数据模型、数据分布、数据流；
  3. 大数据时代：批流一体、分布式实时处理，深度挖掘数据价值。

4.4.2 基本原则

  • 数据分层：合理划分数据层级，明确各层定位
  • 处理效率：控制存储、迁移成本，减少明细数据冗余与大规模搬迁
  • 一致性：减少重复加工、冗余存储，统一数据标准
  • 可扩展性：分层合理，存储模型、底层技术可平滑扩展
  • 服务于业务：数据模型、存储策略最终服务业务发展

分层处理一致 易 扩展服务

4.5 技术架构

技术架构是承载组织应用架构和数据架构的基础，它是一个由多个功能 模块组成的整体，描述组织业务应用实现所采用的技术体系或组合，以及支持应用系统部署所需的基础设施和环境等。

4.5.1 基本原则

  • 成熟度控制：优先选用成熟、仍持续迭代的主流技术
  • 技术一致性：减少技术异构，统一技术栈、版本（如云平台统一）
  • 局部可替换：技术可独立替换，单一技术退役不影响整体系统
  • 人才技能覆盖：匹配企业内部 / 合作方人员技术能力
  • 创新驱动：选用能引领业务、管理升级的新技术

成熟一致 可替换 人才创新

4.6 网络架构

网络是信息技术架构中的基础，不仅是用户请求和获取IT信息资源服务的通道，同时也是信息系统架构中各类资源融合和调度的枢纽。特别是云计算、大数据和移动互联网技术飞速发展的今天，网络更加成为实现这些技术跨越的重要环节。因此网络架构的设计在信息系统架构中有着举足轻重的地位。

4.6.1 基本原则

  • 高可靠性。网络作为底层资源调度和服务传输的枢纽和通道，其对高可靠性的要求自然不言而喻。
  • 高安全性。信息系统的安全性不能仅靠应用级的安全保障，网络也必须能够提供基础的安全防护，底层的身份鉴别、访问控制、入侵检测能力等需要能够为应用提供重要的安全保障。
  • 高性能。随着云计算和虚拟化技术等的发展，网络不仅仅是服务传递的通道，更是提供服务所需资源调度的枢纽，因此网络性能和效率是提供更优服务质量的保证。
  • 可管理性。随着互联网思维深入到各个IT发展领域，能够提供良好用户体验的敏捷开 发方式逐渐在各行业系统占据主流，这对底层基础架构的快速部署、辅助业务上线提出了挑战，因此网络的可管理性不仅是指网络自身管理，更指基于业务部署策略的网络快速调整和管控。
  • 平台化和架构化。作为底层基础资源的网络需要以开阔的视野，适应未来应用架构的变化，网络自身能够更加弹性，做到按需扩展，以适应未来不同业务规模的变化和发展。

4.6.2 局域网架构

局域网 LAN (Local Area Network）：范围小（通常几百米内），覆盖 1 座大楼、校园，如 WLAN（无线局域网），传输速率高。

  • 单核心局域网 单核心局域网
    • 组成：一台核心交换机 + 多台接入交换机；
    • 优点：结构简单、成本低；
    • 缺点：核心单点故障、扩展受限。
  • 双核心局域网
    • 双核心局域网
    • 两台三层核心交换机互为冗余，负载均衡 / 热切换；
    • 优点：多路径、高可靠；缺点：设备投入更高。
  • 环形局域网 (RPR)
    • 环形局域网
    • 双光纤环网，50ms 自愈，带宽复用；缺点：设备成本高，易环路。
  • 层次局域网（三层：核心层、汇聚层、接入层）
    • 层次局域网
    • 分层转发，故障分级排查，扩展能力强，主流企业局域网方案。

4.6.3 广域网架构

广域网 WAN (Wide Area Network）：远距离连接，跨城市 / 国家，互连不同的 LAN 和 MAN。广域网由通信子网与资源子网组成

  1. 单核心广域网：一台核心路由，结构简单，单点故障风险；
    • 单核心广域网
  2. 双核心广域网：双路由冗余，多访问路径；
    • 双核心广域网
  3. 环形广域网：三台以上路由成环，高可靠；
    • 环形广域网
  4. 半冗余广域网：由多台核心路由设备连接各局域网而形成的。其中，任意核心路由设备至少存在两条以上连接至其他路由设备的链路，灵活扩展，排障复杂；
    • 半冗余广域网
  5. 对等子域广域网：划分两大独立区域，每个子域都采用半冗余方式连接，两个子域通过一条或多条链路互连，域间互通；
    • 对等子域广域网
  6. 层次子域广域网：多层级子域，多个子域之间存在层次关系，高层次子域连接多个低层次子域。扩展性强。
    • 层次子域广域网

4.6.4 5G移动通信网架构

5G常用业务应用方式包括：5GS（5G System）与 DN （Data Network，数据网络）互联、5G 网络边缘计算等。

  • 5GS与DN互联
    • 5GS与DN互联
    • 在5GS和DN基于IPv4/IPv6互连时，从DN来看，UPF可看作是普通路由器。相反从5GS来看，与UPF通过N6接口互连的设备，通常也是路由器。换言之，5GS和DN之间是一种路由关系。UE访问DN的业务流在它们之间通过双向路由配置实现转发。
    • 就5G网络而言，把从UE流向DN的业务流称之为上行（UL,UpLink）业务流；把从DN流向UE的业务流称为下行（DL, DownLink）业务流。UL业务流通过UPF上配置的路由转发至DN；DL业务流通过与UPF邻近的路由器上配置的路由转发至UPF。
    • 此外，从UE通过5G5接入DN的方式来说，存在两种模式：透明模式和非透明模式。
      • 透明模式：UE在向5GS发起会话建立请求时，通常5GS不触发向外部DN-AAA（认证、授权和计费）服务器发起认证过程。UE访问某个Intranet网络时，UE级别的配置仅在UE和Intranet网络之间独立完成，这对5GS而言是透明的。
      • 非透明模式：作为UE会话建立的一部分，5GS中SMF通常通过向外部DN-AAA服务器（如Radius, Diameter服务器）发起对UE进行认证。在对UE认证成功后，方可完成UE会话的建立，之后UE才可访问Intemet/ISP的服务。
  • 5G网络边缘计算
    • 5G网络的边缘计算（Mobile Edge Computing, MEC）架构，支持在靠近终端用户UE的移动网络边缘部署5GUPF网元，结合在移动网络边缘部署边缘计算平台（Mobile Edge Platform, MEP），为垂直行业提供诸如以时间敏感、高带宽为特征的业务就近分流服务。于是，一来为用户提供极佳服务体验，二来降低了移动网络后端处理的压力。自动驾驶数据在车上完成就是典型的5G网络边缘计算
    • 从业务连续性来说，5G网络可提供：
      • SSC模式1（在用户移动过程中用户会话的IP接入点始终保持不变）
      • SSC模式2（用户移动过程中网络触发用户现有会话释放并立即触发新会话建立）
      • SSC模式3（用户移动过程中在释放用户现有会话之前先建立一个新的会话）供业务提供者ASP（Application Service Provider）或运营商选择。

4.6.5 软件定义网络 SDN

参考教材第二章内容。

4.7 安全架构

安全保障以风险和策略为基础，在信息系统的整个生命周期中，安全保障应包括技术、管理、人员和工程过程的整体安全，以及相关组织机构的健全等。

4.7.1 安全威胁分类

  • 一、按攻击载体划分
    1. 物理安全威胁：设备损毁、自然灾害、设备失窃；
    2. 通信链路威胁：线路窃听、信号干扰；
    3. 网络安全威胁：互联网窃取、网络攻击；
    4. 操作系统威胁：木马、后门、万能密码；
    5. 应用系统威胁：业务系统漏洞、恶意程序；
    6. 管理系统威胁：人员泄密、拍照拷贝窃取信息。
  • 二、常见安全威胁
  • 1）信息泄露。信息被泄露或透露给某个非授权的实体。
  • 2）破坏信息的完整性。数据被非授权地进行增删、修改或破坏而受到损失。
  • 3）拒绝服务。对信息或其他资源的合法访问被无条件地阻止。
  • 4）非法访问（非授权访问）。某一资源被某个非授权的人或非授权的方式使用。
  • 5）窃听。用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。例如对通信线路中传输的信号进行搭线监听，或者利用通信设备在工作过程中产生的电磁泄漏截取有用信息等。
  • 6）业务流分析。通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信的信息流向、通信总量的变化等态势进行研究，从而发现有价值的信息和规律。
  • 7）假冒。通过欺骗通信系统（或用户）达到非法用户冒充成为合法用户，或者特权小的用户冒充成为特权大的用户的目的。黑客大多是采用假冒进行攻击。盗用他人身份登录系统
  • 8）旁路控制。攻击者利用系统的安全缺陷或安全性上的脆弱之处获得非授权的权利或特权。例如，攻击者通过各种攻击手段，发现原本应保密但是却又暴露出来的一些系统“特性”。利用这些“特性”，攻击者可以绕过防线守卫者侵入系统的内部。
  • 9）授权侵犯。被授权以某一目的使用某一系统或资源的某个人，却将此权限用于其他非授权的目的，也称作“内部攻击”。普通员工查看核心数据
  • 10）特洛伊木马。软件中含有一个察觉不出的或者无害的程序段，当它被执行时，会破坏用户的安全。这种应用程序称为特洛伊木马（Trojan Horse）。伪装成壁纸软件，偷偷开启远程
  • 11）陷阱门。在某个系统或某个部件中设置了“机关”，使得当提供特定的输入数据时，允许违反安全策略。后门
  • 12）抵赖。这是一种来自用户的攻击，例如，否认自己曾经发布过的某条消息或伪造一份对方来信等。
  • 13）重放。所截的某次合法的通信数据备份，出于非法的目的而被重新发送。同一个数据重复使用
  • 14）计算机病毒。所谓计算机病毒，是一种在计算机系统运行过程中能够实现传染和侵害的功能程序。一种病毒通常含有两个功能：一种功能是对其他程序产生“感染”；另外一种是引发损坏功能或者是一种植入攻击的能力。
  • 15）人员渎职。一个授权人为了钱或利益、或由于粗心而将信息泄露给一个非授权的人。
  • 16）媒体废弃。信息被从废弃的磁盘或打印过的存储介质中获得。
  • 17）物理侵入。侵入者通过绕过物理控制而获得对系统的访问。直接去机房插拔硬盘
  • 18）窃取。重要的安全物品，如令牌或身份卡被盗。
  • 19）业务欺骗。某一伪系统或系统部件欺骗合法用户或系统自愿地放弃敏感信息。假页面骗真密码

4.7.2 安全防线

  1. 系统安全架构：系统内生安全，不依赖外部防护；
  2. 安全技术体系架构：统一安全基础设施、工具、组件；
  3. 审计架构：独立审计，覆盖全维度风险识别。

4.7.3 整体架构设计

1. WPDRRC 安全模型（国内标准）

  • 6个环节：预警 Waring、保护 Protect、检测 Detect、响应 React、恢复 Restore、反击 Counterattack；我陪大人入场
    • 预警 W：漏洞扫描、风险评估，提前识别隐患
    • 防护 P：加密、签名、访问控制、防火墙、身份认证
    • 检测 D：入侵检测、漏洞扫描、完整性校验
    • 响应 R：事件报警、隔离封堵、应急处置
    • 恢复 R：备份、冗余、故障修复、业务恢复
    • 反击 C：取证溯源、打击网络犯罪
  • 三个要素：人员（核心）、策略（桥梁）、技术（保障）。

2. 架构设计

信息系统安全设计重点考虑两个方面：一是系统安全保障体系，二是信息安全体系架构。

  • 1)系统安全保障体系：是由安全服务、协议层次和系统单元三个层面组成，且每层都涵盖了安全管理的内容。系统安全保障体系设计工作主要考虑以下几点：
    • 安全区域策略的确定。根据安全区域的划分，主管部门应制定针对性的安全策略。如定时审计评估、安装入侵检测系统、统一授权、认证等。
    • 统一配置和管理防病毒系统。主管部门应当建立整体防御策略，以实现统一的配置和管理。网络防病毒的策略应满足全面性、易用性、实时性和可扩展性等方面要求。
    • 网络与信息安全管理。在网络安全中，除了采用一些技术措施之外，还需加强网络与信息安全管理，制定有关规章制度。在相关管理中，任何的安全保障措施，最终要落实到
  • 2)信息安全体系架构
    1. 物理安全（前提）：机房环境、设备防护、存储介质安全；
    2. 系统安全（基础）：网络拓扑、操作系统、应用服务安全；
    3. 网络安全（关键）：防火墙、入侵检测、访问控制、防病毒；
    4. 应用安全：共享权限管控、数据库备份加密；
    5. 安全管理：管理制度、管理平台、人员安全培训。

4.7.4 网络安全架构设计

  • OSI安全架构：
    • 除了第5层（会话层）外， 每一层均能提供相应的安全服务。实际上，最适合配置安全服务的是在物理层、网络层、传输层及应用层上，其他层都不宜配置安全服务。
    • OSI开放系统互联安全体系的5类安全服务包括鉴别、访问控制、数据机密性、数据完整性和抗抵赖性。
    • OSI定义分层多点安全技术体系架构，它通过以下三种方式将防御能力分布至整个信息系统中。
      • 多点技术防御：网络和基础设施、 边界、计算环境
      • 分层技术防御：内部和外部边界同时使用嵌套的防火墙并配合入侵监测
      • 支撑性基础设施：公钥基础设施、监测和响应基础设施
  • 认证（鉴别）框架：
    • 鉴别的基本目的是防止其他实体占用和独立操作被鉴别实体的身份。
    • 鉴别方式：
      • 已知的，如一个秘密的口令。
      • 拥有的，如IC卡、令牌等。
      • 不改变的特性，如生物特征。
      • 相信可靠的第三方建立的鉴别(递推)。
      • 环境(如主机地址等)。
  • 访问控制框架：
    • 访问控制决定开放系统环境中允许使用哪些资源，在什么地方适合阻止未授权访问的过程
    • ACI（访问控制信息）是用于访问控制目的的任何信息，其中包括上下文信息。
    • ADI（访问控制判决信息）是在做出一个特定的访问控制判决时可供ADF使用的部分（或全部）ACI。
    • ADF（访问控制判决功能）是一种特定功能，它通过对访问请求、ADI以及该访问请求的上下文使用访问控制策略规则而做出访问控制判决。
    • AEF（访问控制实施功能）确保只有对目标允许的访问才由发起者执行。
  • 机密性框架：机密性服务的目的是确保信息仅仅是对被授权者可用
  • 完整性框架：就是数据不以未经授权方式进行改变或损毁的特征
  • 抗抵赖框架：
    • 抗抵赖服务包括证据的生成、验证和记录，以及在解决纠纷时随即进行的证据恢复和再次验证
    • 抗抵赖由4个独立的阶段组成，分别为:证据生成，证据传输、存储及恢复，证据验证和解决纠纷。

4.7.5 数据库系统安全设计

  • 数据库完整性设计原则
    • （1）根据数据库完整性约束的类型确定其实现的系统层次和方式，并提前考虑对系统性能的影响。一般情况下，静态约束应尽量包含在数据库模式中，而动态约束由应用程序实现。
    • （2）实体完整性约束和引用完整性约束是关系数据库最重要的完整性约束，在不影响系统关键性能的前提下需尽量应用。用一定时间和空间来换取系统的易用性是值得的。
    • （3）要慎用目前主流DBMS都支持的触发器功能，一方面由于触发器的性能开销较大；另一方面，触发器的多级触发难以控制，容易产生错误，非用不可时，最好使用Before型语句级触发器。
    • （4）在需求分析阶段就必须制定完整性约束的命名规范，尽量使用有意义的英文单词、缩写词、表名、列名及下画线等组合，使其易于识别和记忆。
    • （5）要根据业务规则对数据库完整性进行细致的测试，以尽早排除隐含的完整性约束间的冲突和对性能的影响。
    • （6）要有专职的数据库设计小组，自始至终负责数据库的分析、设计、测试、实施及早期维护。
    • （7）应采用合适的CASE（计算机辅助软件工程）工具来降低数据库设计各阶段的工作量。好的CASE工具能够支持整个数据库的生命周期，这将使数据库设计人员的工作效率得到很大提高，同时也容易与用户沟通。

4.8 云原生架构

“云原生”来自于Cloud Native的直译，拆开来看，Cloud就是指其应用软件和服务是在云端而非传统意义上的数据中心。Native代表应用软件从一开始就是基于云环境，专门为云端特性而设计，可充分利用和发挥云环境的弹性与分布式优势，最大化释放云环境生产力。

4.8.1 DevOps 概述

DevOps = Development（开发） + Operations（运维）
开发、测试、运维融合，打通沟通壁垒，缩短交付周期、提升迭代效率。

4.8.2 云原生架构定义

从技术的角度，云原生架构是基于云原生技术的一组架构原则和设计模式的集合，旨在将云应用中的非业务代码部分进行最大化的剥离，从而让云设施接管应用中原有的大量非功能特性（如弹性、韧性、安全、可观测性、灰度等），使业务不再有非功能性业务中断困扰的同时，具备轻量、敏捷、高度自动化的特点。

由于云原生是面向“云”而设计的应用，因此，技术部分依赖于传统云计算的3层概念，即基础设施即服务（laas）、平台即服务（Paas）和软件即服务(Saas)。
云原生的代码通常包括三部分：业务代码、三方软件、处理非功能特性的代码。三部分中只有业务代码是核心，是给业务真正带来价值的，另外两个部分都只算附属物。

  • “业务代码”指实现业务逻辑的代码；
  • “三方软件”是业务代码中依赖的所有三方库，包括业务库和基础库；
  • “处理非功能特性的代码”指实现高可用、安全、可观测性等非功能性能力的代码。

云计算虽然没有解决所有非功能性问题，但确实有大量非功能性，特别是分布式环境下复杂非功能性问题，被云计算解决了。以大家最头疼的高可用为例，云计算在多个层面为应用提供了解决方案等，如虚拟机、容器和云服务等。

  • 虚拟机：当虚拟机检测到底层硬件发生异常时，自动帮助应用做热迁移，迁移后的应用不需重新启动而仍然具备对外服务的能力，应用本身及其使用用户对整个迁移过程都不会有任何感知。
  • 容器：有时应用所在的物理机是正常的，只是应用自身的问题（比如bug、资源耗尽等）而无法正常对外提供服务。容器通过监控检查探测到进程状态异常，从而实施异常节点的下线、新节点上线和生产流量的切换等操作，整个过程自动完成而无须运维人员干预。
  • 云服务：如果应用把“有状态”部分都交给了云服务（如缓存、数据库、对象存储等），加上全局对象的持有小型化或具备从磁盘快速重建能力，由于云服务本身是具备极强的高可用能力，那么应用本身会变成更薄的“无状态”应用，高可用故障带来的业务中断会降至分钟级；如果应用是N:M（N台客户端中的每一台都可以访问到M台服务器）的对等架构模式，那么结合负载均衡产品可获得很强的高可用

4.8.3 基本原则

  • 弹性：资源自动伸缩，无需固定硬件容量规划
  • 韧性：故障隔离自愈，提升系统 MTBF 平均无故障时间
  • 自动化：标准化交付流程，全流程自动化部署运维
  • 服务化：微服务/小服务拆分，高内聚、接口标准化、组件复用
  • 零信任：不以内网/IP为信任依据，以身份为中心做访问控制
  • 可观测：日志、链路追踪、指标监控，全链路可视化
  • 持续演进：架构可迭代升级，不封闭固化

4.8.4 主流云原生架构模式

  1. 服务化架构：标准架构模式，系统按业务拆分为独立服务，独立部署迭代；微服务、小服务模式；
  2. Mesh（网格）化服务：流量治理能力剥离到独立 Sidecar，与业务代码解耦；
  3. Serverless 无服务器：开发者无需管理底层资源；适合短任务、事件驱动；不适合长驻、有状态、高IO（输出、输出）应用；
  4. 存储计算分离：计算节点采用无状态设计，数据统一托管至共享存储；
  5. 分布式事务：实现跨微服务的数据一致性；
  6. 可观测架构：依靠指标、日志、调用链路监控分布式系统；
  7. 事件驱动架构：基于事件异步通信，实现服务松耦合。如 点击某个按钮进行后续一系列操作