GB/T 25068.4-2022
信息技術安全技術網絡安全第4部分：使用安全網關的網間通信安全保護

Information technology—Security techniques—Network security—Part 4: Securing communications between networks using security gateways

GBT25068.4-2022, GB25068.4-2022

標準核心內容解讀

GB/T25068.4-2022作為網絡安全系列標準的重要組成部分，聚焦安全網關在網間通信保護中的技術應用。該標準替代2010版GB/T25068.3，主要技術演進體現在：

新增文檔結構、安全威脅等系統性章節
強化應用防火墻和入侵防御系統的控制要求
優化安全網關部署架構的技術描述

安全威脅與控制措施

威脅類型	對應控制措施	適用網關技術
未經授權訪問	狀態包檢測、應用代理	防火墻、WAF
數據篡改	內容過濾、協議分析	IPS、內容審查網關
DDoS攻擊	流量清洗、速率限制	抗DDoS設備

典型部署架構對比

標準第10章詳細闡述了四種主流架構的技術特點：

包過濾防火墻：OSI三層過濾，處理速度快但防護粒度粗
雙宿主網關：物理隔離內外網，需配合代理服務使用
屏蔽主機：組合包過濾與堡壘主機，均衡性能與安全性
屏蔽子網：通過DMZ實現多層防護，適合高安全需求場景

現代混合架構通常采用狀態檢測防火墻+應用層網關的組合模式。

實施建議

產品選型關鍵指標

吞吐量：需匹配網絡帶寬的120%
并發連接數：考慮業務峰值需求
協議支持：包括HTTP/2、QUIC等新協議
管理接口：支持RESTful API等標準化接口

配置規范

標準11.4條特別強調：

"安全網關配置尚未滿足管理策略前，不宜與組織的網絡連接"

建議配置流程應包括：基線檢查→策略制定→沙箱測試→灰度上線四個階段。

請注意，本內容不等同于標準原文，內容僅供參考，本站不保證內容的正確性。準確、完整的信息請參閱正式版文本。

點擊查看大圖

標準號: GB/T 25068.4-2022
別名: GBT25068.4-2022
GB25068.4-2022
發布: 2022年
總頁數: 24頁
采用標準: ISO/IEC 27033-4:2014 IDT
發布單位: 國家質檢總局
當前最新: GB/T 25068.4-2022

引用標準: ISO/IEC 27033-1
被代替標準: GB/T 25068.3-2010

本文件提供了使用安全網關(防火墻、應用防火墻、入侵防護系統等)的網絡間通信安全保護指南,這些安全網關按照文檔化的信息安全策略進行通信,指南包括: a)識別和分析與安全網關相關的網絡安全威脅; b)基于威脅分析來定義安全網關的網絡安全需求; c)使用設計和實現的技術來解決與典型的網絡場景相關的威脅和控制方面的問題; d)指出實施、操作、監視和評審網絡安全網關控...

術語
堡壘主機	Bastion Host
終端軟件防火墻	Endpoint Software Firewall
加固操作系統	Hardened Operating System
互聯網網關	Internet Gateway
數據包	Packet
邊界網絡	Perimeter Network
遠程辦公室分辦公室	Remote Office Branch Office
單點故障	Single Point of Failure
SIP網關	SIP Gateway

GB/T 25068.4-2022 中提到的儀器設備

防火墻	用于保護網絡安全的硬件或軟件設備
入侵檢測系統	用于檢測未經授權訪問網絡或系統的設備
入侵防護系統	用于主動防御和阻止潛在的網絡安全威脅

GB/T 25068.4-2022信息技術 安全技術 網絡安全 第4部分：使用安全網關的網間通信安全保護