一区适合保存核心和不可公开的数据

需要注意的是，一区、二区、三区并没有适用于所有组织的唯一标准。不同企业可能按照业务重要性、网络边界、生产与办公关系或合规要求进行命名。真正有效的划分，不是给网络简单标上三个名称，而是明确每个区域放什么资源、允许谁访问、通过什么路径访问，以及访问行为如何被记录和审计。

二区通常承担业务系统的处理功能。二区可以向一区请求经过授权的数据或服务，但不应获得一区的整体网络可见性，也不应直接连接所有核心主机。应用访问数据库时，宜使用专用服务账🤔💫号和固定端口，不宜使用个人管理员账号。

区域划分还应考虑备份、灾备、监控和日志系统。日志服务器不能只放在被监控区域内，否则攻击者控制主机后可能同时删除本地证据。灾备环境也不能因为“平时不启用”就完全放开权限，应按照启用时的业务链路提前验证访问控制。

访问权限设置方法：按方向、身份和动作控制

网络分区验收应从真实业务链路和反向攻击路径同时测试。只验证“正常登录成功”是不够的，还要验证不应访问的路径确实被拒绝，并确认拒绝事件能够被发现和追踪。

内容资源分布规划应怎样落地

一区通常具有最高保护等级，但“最高等级”不等于允许所有内部人员访问。一❤️区中的数据库、备份和身份服务仍应分别控制权限，避免单个管理员账号同时💡拥有全部系统的操作能力。

内容资源分布规划应先按照数据敏感度和业务依赖关系分类，再决定⭐资源进入哪一个区域，而不是按🔑照服务器数量平均分配。一个系统可以同时包含三区前端、二区应用和一区数据库，区域边界应围绕访问链路建立。

公开内容可以放在三区，敏感数据应由二区应用按需查询并经过字段过滤后返回。用户上传文件应先进入隔离存储，完成类型检查、病毒检测和内容审核后☀️，才能被业务系统使用。