5g網絡架構分為以下安全域：
網絡安全接入域：包括多種安全特性，用來保障UE通過網絡，安全的執行認證和業務接入，從而抗擊來自針對無線接口的攻擊，同時還包括從服務網絡發往UE的，用于保障接入安全的安全上下文。
網絡域：用來保障網絡節點之間安全的信令和用戶數據的傳輸，保障數據傳輸的安全，防止數據泄露同時也保證令牌傳輸過程中的安全。
用戶域：用來保障用戶的安全接入移動設備，同時也會對用戶的身份進行認真。
應用安全域：用來保障用戶域內的應用與服務提供者所在域內應用安全地交互數據。
SBA域：包括多種SBA安全特性，一般包括網絡功能注冊、發現和安全的授權，以及對于服務化接口的保護。
安全的可視化和可配置域：包括多種的安全特性，用來確保用戶能夠感知到安全特性被配置使用。
網上注冊內容時不要填寫個人私密信息
互聯網時代用戶數和用戶信息量已然和企業的盈利關聯了起來，企業希望盡可能多地獲取用戶信息。但是很多企業在數據保護上所做的工作存在缺陷，對于大部分普通的用戶而言，無法干預企業所采取的數據安全保護措施，只能從保護個人的信息安全著手，盡可能少地暴露自己的用戶信息。
盡量遠離社交平臺涉及的互動類活動
很多社交平臺，會要求或是需要填寫個人信息，而這種參與平臺活動的行為，實質上卻獲取了大量的用戶信息，遇到那些奔著個人隱私信息去的沒有實質性意義的活動，建議能不參加就不要參與了。
定期安裝或者更新病毒防護軟件
不管是計算機還是智能手機，都已經成為信息泄露的高發地帶，用戶經常面臨不小心點擊一個鏈接或是下載了一個文件就被不法分子攻破個人賬戶信息的情況，安裝防病毒軟件進行病毒防護和病毒查殺成為設備使用時的必要手段。
不要在公眾場所連接未知的WiFi賬號
現在公共場所有些免費WiFi供用戶連接使用，有些是為人們提供便利而專門設置的，但在享受便利的同時也不能忽視不法分子利用公共場所設置釣魚WiFi的可能，一旦連接到犯罪份子設置的釣魚WiFi，用戶所使用的電子設備就容易被反掃描，而如果在使用過程中輸入賬號密碼等信息，就會被對方獲得。這一點就提醒廣大用戶在公眾場所盡量不要去連接免費WiFi，以防個人信息的泄露。
警惕手機詐騙短信及電話
現在利用短信騙取手機用戶的信息的詐騙事件屢見不鮮。這就提醒用戶需要特別注意犯罪份子可能通過手機進行財產詐騙的可能。當面對手機短信里的手機賬戶異常、銀行賬戶異常、銀行系統升級等信息，有可能是騙子利用偽基站發送的詐騙信息。遇到這種短信不要管它，或是聯系官方工作人員，詢問具體情況，驗證真偽。
妥善處理好涉及到個人信息的單據
較為常見的涉及個人信息的單據就是快遞單，上面一般會有手機號碼、地址等個人信息，而一些消費小票上也包含部分姓名、銀行卡號、消費記錄等信息，這些單據的不妥善處理也會造成個人信息泄露等問題，因此對于已經廢棄掉的單據，需要及時進行妥善處置。
NAT（Network Address Translation，網絡地址轉換）是一種地址轉換技術，它可以將IP數據報文頭中的IP地址轉換為另一個IP地址，并通過轉換端口號達到地址重用的目的。根據NAT轉換是對報文中的源地址進行轉換還是對目的地址進行轉換，NAT可以分為:
源NAT在NAT轉換時，僅對報文中的源地址進行轉換，主要應用于私網用戶訪問公網的場景。當私網用戶主機訪問Internet時，私網用戶主機發送的報文到達NAT設備后，設備通過源NAT技術將報文中的私網IPv4地址轉換成公網IPv4地址，從而使私網用戶可以正常訪問Internet。
目的NAT在NAT轉換時，僅對報文中的目的地址和目的端口號進行轉換，主要應用于公網用戶訪問私網服務的場景。當公網用戶主機發送的報文到達NAT設備后，設備通過目的NAT技術將報文中的公網IPv4地址轉換成私網IPv4地址，從而使公網用戶可以使用公網地址訪問私網服務。
雙向NAT指的是在轉換過程中同時轉換報文的源信息和目的信息。雙向NAT不是一個單獨的功能，而是源NAT和目的NAT的組合。雙向NAT是針對同一條流，在其經過設備時同時轉換報文的源地址和目的地址。雙向NAT主要應用在同時有外網用戶訪問內部服務器和私網用戶訪問內部服務器的場景。
物聯網信息功能模型具有以下模塊：
信息獲取模塊：信息獲取包括信息的感知和信息的識別。信息感知是指對事物狀態及其變化方式的敏感和知覺；信息識別是指能把所感受到的事物運動狀態及其變化方式表示出來。
信息傳輸模塊：信息傳輸包括信息發送、傳輸和接收等環節，最終完成把事物狀態及其變化方式從空間（或時間）上的一點傳送到另一點的任務，這就是一般意義上的通信過程。
信息處理模塊：信息處理指對信息的加工過程，其目的是獲取知識，實現對事物的認知以及利用已有的信息產生新的信息，即制定決策的過程。
信息施效模塊：信息施效是指信息最終發揮效用的過程，具有很多不同的表現形式，其中最重要的就是通過調節對象事物的狀態及其變換方式，使對象處于預期的運動狀態。
全面感知模塊：即利用射頻識別、二維碼、傳感器等感知、捕獲、測量技術隨時隨地對物體進行信息采集和獲取。
內網和外網國家安全是：
內網安全：內網安全理論的提出是相對于傳統的網絡安全而言的。在傳統的網絡安全威脅模型中，假設內網的所有人員和設備都是安全和可信的，而外部網絡則是不安全的。基于這種假設，產生了防病毒軟件、防火墻、IDS等外網安全解決方案。提起網絡安全，人們自然就會想到病毒破壞和黑客攻擊，其實不然。常規安全防御理念往往局限在網關級別、網絡邊界（防火墻、漏洞掃描、防病毒、IDS）等方面的防御，重要的安全設施大致集中于機房或網絡入口處，在這些設備的嚴密監控下，來自網絡外部的安全威脅大大減小。相反，來自網絡內部的計算機客戶端的安全威脅卻是眾多安全管理人員所普遍反映的問題。
外網安全：傳統網絡安全考慮的是防范外網對內網的攻擊，即可以說是外網安全。外網安全的威脅模型假設內部網絡都是安全可信的，威脅都來自于外部網絡，其途徑主要通過內外網邊界出口。所以，在外網安全的威脅模型假設下，只要將網絡邊界處的安全控制措施做好，就可以確保整個網絡的安全。 也就是說，網絡邊界安全技術防范來自Internet上的攻擊，主要是防范來自公共的網絡服務器如HTTP或SMTP的攻擊。網絡邊界防范減小了黑客僅僅只需接入互聯網、寫程序就可訪問企業網的幾率。 傳統的防火墻、人侵檢測系統和VPN都是基于這種思路設計和考慮的。 內網安全的威脅模型與外網安全模型相比，更加全面和細致
國內做的比較專業的如服云、深信服、啟明星辰、安恒、天融信、360等等。
服云：安全狗·服云提供的企業級云安全服務，將安全和服務全面融合，用戶在使用企業版云安全產品的時候，同時獲得專家級安全服務。
深信服：專注做實用的安全，讓每個組織的安全建設更有效、更簡單。深信服為用戶打造持續進化、有效保護的安全架構；在“網-端-云”三個點上為用戶提供持續進化和有效保護的安全產品和方案。
啟明星辰：無論是從物理網絡、物理主機到虛擬網絡、虛擬主機，還是從應用的關鍵服務模塊到每個節點，啟明星辰都已實現有效的防護和深入的監測，并在此基礎上擴展了安全的維度，從防護措施到防御體系，為用戶提供更加完善的安全解決方案。
安恒：面對數字化改革，安恒信息安全服務依托十大實驗室、九維安全能力專家、八大核心平臺技術支撐保障，基于IPDRO攻防對抗的五個安全運營能力域，建立業界首創的全周期及多交付模式的全新一代安全服務，為客戶提供全方位的安全保障。
天融信：天融信根據物聯網客戶在實際應用場景的需求及安全防護痛點，憑借多年的網絡安全經驗以及前沿的物聯網研究成果，以天融信物聯網安全防護體系、云安全、邊界安全、大數據安全為支撐，從“云、數據、應用、網、邊界、端”六維構建縱深防御體系，實現統一安全管理，構建“安全、可信、合規”的綜合一體化物聯網安全解決方案。
360：滲透測試服務是360基于全球攻防態勢劇烈變化，多年政企客戶服務經驗推出的安全服務。它背靠360安全大腦，將360特有的全球安全大數據與360高級專家有機組織和整合，全面深入地發現企業存在的安全隱患，及時幫助企業修復漏洞，并做好滲透測試后的進一步服務。
防火墻的測試性能參數包括以下這些：
吞吐量(Throughput)：
吞吐量是衡量一款防火墻或者路由交換設備的最重要的指標，它是指網絡設備在每一秒內處理數據包的最大能力。吞吐量意味這臺設備在每一秒以內所能夠處理的最大流量或者說每一秒內能處理的數據包個數。設備吞吐量越高，所能提供給用戶使用的帶寬越大，就像木桶原理所描述的，網絡的最大吞吐取決于網絡中的最低吞吐量設備，足夠的吞吐量可以保證防火墻不會成為網絡的瓶頸。舉一個形象的例子，一臺防火墻下面有100個用戶同時上網，每個用戶分配的是10Mbps的帶寬，那么這臺防火墻如果想要保證所有用戶全速的網絡體驗，必須要有至少1Gbps的吞吐量。吞吐量的計量單位有兩種方式：常見的就是帶寬計量，單位是Mbps(Megabits per second)或者Gbps(Gigabits per second)，另外一種是數據包處理量計量，單位是pps(packets per second)，兩種計量方式是可以相互換算的。在進行對一款設備進行吞吐性能測試時，通常會記錄一組從64字節到1518字節的測試數據，每一個測試結果均有相對應的pps數。64字節的pps數最大，基本上可以反映出設備處理數據包的最大能力。所以從64字節的這個數，基本上可以推算出系統最大能處理的吞吐量是多少。
時延(Latency)：
時延是系統處理數據包所需要的時間。防火墻時延測試指的就是計算它的存儲轉發(Store and Forward)時間，即從接收到數據包開始，處理完并轉發出去所用的全部時間。在一個網絡中，如果我們訪問某一臺服務器，通常不是直接到達，而是經過大量的路由交換設備。每經過一臺設備，就像我們在高速公路上經過收費站一樣都會耗費一定的時間，一旦在某一個點耗費的時間過長，就會對整個網絡的訪問造成影響。如果防火墻的延時很低，用戶就完全不會感覺到它的存在，提升了網絡訪問的效率。時延的單位通常是微秒，一臺高效率防火墻的時延通常會在一百微秒以內。時延通常是建立在測試完吞吐量的基礎上進行的測試。測試時延之前需要先測出每個包長下吞吐量的大小，然后使用每個包長的吞吐量結果的 90%-100%作為時延測試的流量大小。一般時延的測試要求不能夠有任何的丟包。因為如果丟包，會造成時延非常大，結果不準確。我們測試一般使用最大吞吐量的95%或者90%進行測試。測試結果包括最大時延，最小時延，平均時延，一般記錄平均時延。
新建連接速率(Maximum TCP Connection Establishment Rate)：
新建連接速率指的是在每一秒以內防火墻所能夠處理的HTTP新建連連接請求的數量。用戶每打開一個網頁，訪問一個服務器，在防火墻看來會是1個甚至多個新建連接。而一臺設備的新建連接速率越高，就可以同時給更多的用戶提供網絡訪問。比如設備的新建連接速率是1萬，那么如果有1萬人同時上網，那么所有的請求都可以在一秒以內完成，如果有1萬1千人上網的話，那么前1萬人可以在第一秒內完成，后1千個請求需要在下一秒才能完成。所以，新建連接速率高的設備可以提供給更多人同時上網，提升用戶的網絡體驗。新建連接速率雖然英文用的是TCP，但是為了更接近實際用戶的情況，通常會采用HTTP來進行測試，測試結果以連接每秒(connections per second)作為單位。為什么針對防火墻要測試這個數據呢？因為我們知道防火墻是基于會話的機制來處理數據包的，每一個數據包經過防火墻都要有相應的會話來對應。會話的建立速度就是防火墻對于新建連接的處理速度。新建連接的測試采用4-7層測試儀來進行，模擬真實的用戶和服務器之間的HTTP教過過程：首先建立三次握手，然后用戶到HTTP服務器去Get一個頁面，最后采用三次握手或者四次握手關閉連接。測試儀通過持續地模擬每秒大量用戶連接去訪問服務器以測試防火墻的最大極限新建連接速率。
并發連接數(Concurrent TCP Connection Capacity)：
并發連接數就是指防火墻最大能夠同時處理的連接會話個數。并發連接數指的是防火墻設備最大能夠維護的連接數的數量，這個指標越大，在一段時間內所能夠允許同時上網的用戶數越多。隨著web應用復雜化以及P2P類程序的廣泛應用，每個用戶所產生的連接越來越多，甚至一個用戶的連接數就有可能上千，更嚴重的是如果用戶中了木馬或者蠕蟲病毒，更會產生上萬個連接。所以顯而易見，幾十萬的并發連接數已經不能夠滿足網絡的需求了，目前主流的防火墻都要求能夠達到幾十萬甚至上千萬的并發連接以滿足一定規模的用戶需求。并發連接數雖然英文用的是TCP，但是為了更接近實際用戶的情況，通常會采用HTTP來進行測試。它是個容量的單位，而不是速度。測試結果以連接(connections)作為單位。基本測試的方法和HTTP新建連接速率基本一致，主要的區別在于新建連接測試會立刻拆除建立的連接，而并發連接數測試不會拆除連接，所有已經建立的連接會保持住直到達到設備的極限。
企業安全數據模型應具有以下屬性：
編碼屬性：編碼屬性是一條數據的特征屬性集合，具有唯一性。該公司選擇了穩定性較強的屬性作為某一類數據的編碼屬性，如供應商數據選擇“統一信用代碼證號”作為其編碼屬性。
公有基礎屬性：基礎屬性是描述某一業務實體對象的基礎數據中除編碼屬性以外的屬性統稱，也指主數據的一部分。如針對供應商數據的除編碼屬性外的公有基礎屬性包括了“供應商名稱”“供應商所在地”“供應商聯系人”“聯系方式”“重要性分類”“公司性質”“所屬行業”“郵編”“傳真”等。
公有業務屬性：業務屬性部分是多個業務系統都能使用到的、業務過程中產生的公有業務屬性，這部分屬性在此企業數量不多，如某業務系統使用的“欠款總額”“合同總額”“應付款總額”“已付款總額”等。
業務系統私有屬性：私有基礎屬性是不同業務系統針對基礎屬性的不同管理內容和范圍，專門為某一業務系統使用的屬性。
組織機構私有屬性：組織機構私有屬性是不同組織機構間的不同管理內容和范圍的描述，如采購部私有的“供應商聯系人”和“聯系方式”，這部分屬性采購部不希望別的部門看到，所以專門建立了組織機構私有屬性視圖，并設置專門的權限進行控制。
面向基礎設施的密集攻擊的常用攻擊手段有以下這些：
分布式鏈路洪泛攻擊：以往絕大部分DDoS攻擊的目標主要是針對互聯網上特定的服務器，關于此類攻擊的檢測和防御研究相對來說還是比較充分的。近年來，一類新的聲東擊西式的攻擊逐漸涌現，即面向鏈路的分布式洪泛攻擊，這類攻擊直接的目標是將某條或者某幾條精心選擇的關鍵鏈路帶寬耗盡，導致擁塞，但其真實目的還是要使通過這些關鍵鏈路連接的服務器（或者子網，甚至區域網絡或一個國家的網絡）無法向正常的互聯網用戶提供服務。
面向DNS的攻擊檢測：域名服務（DNS）是互聯網的關鍵基礎設施，是整個互聯網能夠正常運轉的基礎，如果DNS設施因為受攻擊而無法提供正常的服務可能將導致大量服務器的訪問受阻。因此，研究DNS如何抵御DDoS攻擊具有十分重要的理論和現實意義。DNS服務在DDoS攻擊中涉及兩類場景，一類是在反射放大式DDoS攻擊中，DNS服務器作為反射代理，攻擊者的攻擊目標并不是DNS服務器本身；另一類是直接將DNS服務作為攻擊對象，事實上，作為互聯網最基礎、最核心的服務，DNS服務作為DDoS攻擊的重要目標也是很自然的事情，打垮DNS服務能夠間接打垮一家公司的全部業務，甚至打垮一個國家或地區的網絡服務。針對DNS服務器的攻擊有多種，例如DNS查詢攻擊、DNS reply flood攻擊、DNS緩存投毒攻擊、DNS協議漏洞攻擊、Fast flux僵尸網絡等。
面向CDN的攻擊：CDN目前被廣泛應用于互聯網中，用來解決網站的性能、安全和可靠性等問題。更具體地講，CDN通過緩存網站內容提升網站性能；通過過濾惡意請求來提升網站安全性（Web應用防火墻，WAF）；并通過提供豐富的帶寬和計算資源來化解DDoS攻擊。CDN已經逐漸演化成互聯網重要的基礎設施，承載著主流網站的Web訪問流量。然而，CDN本身的安全，尤其是CDN本身的可用性沒有被系統地研究過。事實上，CDN本身也面臨DDoS攻擊的威脅。
面向BGP的攻擊：域間路由協議BGP是當今互聯網得以正常運行的核心和基礎之一，BGP是基于TCP的應用。我們在前面第6章的時候專題討論了由于TCP擁塞控制機制本身固有的缺陷而引起的低速率拒絕服務LDoS攻擊，也簡單討論了BGP的間接和直接缺陷。密歇根大學的Ying Zhang等人對該攻擊手段進行了定性的研究，結果表明，在采用默認配置的情況下，由于控制平面流量與數據平面流量不分離，且缺乏良好的優先級保護機制，BGP會話缺乏對于LDoS攻擊的防御力。該攻擊能有效降低BGP線路的利用率，增加傳輸延遲，并讓原本就緩慢的BGP路由表收斂過程變得更加緩慢，最嚴重的是，它甚至可能會引起BGP會話的中斷。
以 SG6000-NAV 系列為例：
山石防火墻 HTTP 的服務端口同一默認為 9090，HTTPS 協議的服務端口同一默認為 8443，登錄地址默認為 192.168.1.1，賬號和密碼都是 hillstone，使用 Web、Telnet、SSH 均可登錄。
面向基礎設施的密集攻擊的常用攻擊手段有以下這些：
分布式鏈路洪泛攻擊：以往絕大部分DDoS攻擊的目標主要是針對互聯網上特定的服務器，關于此類攻擊的檢測和防御研究相對來說還是比較充分的。近年來，一類新的聲東擊西式的攻擊逐漸涌現，即面向鏈路的分布式洪泛攻擊，這類攻擊直接的目標是將某條或者某幾條精心選擇的關鍵鏈路帶寬耗盡，導致擁塞，但其真實目的還是要使通過這些關鍵鏈路連接的服務器（或者子網，甚至區域網絡或一個國家的網絡）無法向正常的互聯網用戶提供服務。
面向DNS的攻擊檢測：域名服務（DNS）是互聯網的關鍵基礎設施，是整個互聯網能夠正常運轉的基礎，如果DNS設施因為受攻擊而無法提供正常的服務可能將導致大量服務器的訪問受阻。因此，研究DNS如何抵御DDoS攻擊具有十分重要的理論和現實意義。DNS服務在DDoS攻擊中涉及兩類場景，一類是在反射放大式DDoS攻擊中，DNS服務器作為反射代理，攻擊者的攻擊目標并不是DNS服務器本身；另一類是直接將DNS服務作為攻擊對象，事實上，作為互聯網最基礎、最核心的服務，DNS服務作為DDoS攻擊的重要目標也是很自然的事情，打垮DNS服務能夠間接打垮一家公司的全部業務，甚至打垮一個國家或地區的網絡服務。針對DNS服務器的攻擊有多種，例如DNS查詢攻擊、DNS reply flood攻擊、DNS緩存投毒攻擊、DNS協議漏洞攻擊、Fast flux僵尸網絡等。
面向CDN的攻擊：CDN目前被廣泛應用于互聯網中，用來解決網站的性能、安全和可靠性等問題。更具體地講，CDN通過緩存網站內容提升網站性能；通過過濾惡意請求來提升網站安全性（Web應用防火墻，WAF）；并通過提供豐富的帶寬和計算資源來化解DDoS攻擊。CDN已經逐漸演化成互聯網重要的基礎設施，承載著主流網站的Web訪問流量。然而，CDN本身的安全，尤其是CDN本身的可用性沒有被系統地研究過。事實上，CDN本身也面臨DDoS攻擊的威脅。
面向BGP的攻擊：域間路由協議BGP是當今互聯網得以正常運行的核心和基礎之一，BGP是基于TCP的應用。我們在前面第6章的時候專題討論了由于TCP擁塞控制機制本身固有的缺陷而引起的低速率拒絕服務LDoS攻擊，也簡單討論了BGP的間接和直接缺陷。密歇根大學的Ying Zhang等人對該攻擊手段進行了定性的研究，結果表明，在采用默認配置的情況下，由于控制平面流量與數據平面流量不分離，且缺乏良好的優先級保護機制，BGP會話缺乏對于LDoS攻擊的防御力。該攻擊能有效降低BGP線路的利用率，增加傳輸延遲，并讓原本就緩慢的BGP路由表收斂過程變得更加緩慢，最嚴重的是，它甚至可能會引起BGP會話的中斷。
商用密碼應用安全性評估，是指在采用商用密碼技術、產品和服務集成建設的網絡和信息系統中，對其密碼應用的合規性、正確性和有效性進行評估，簡稱“密評”。
法律、行政法規和國家有關規定要求使用商用密碼進行保護的關鍵信息基礎設施，其運營者應當使用商用密碼進行保護，自行或者委托商用密碼檢測機構開展商用密碼應用安全性評估。商用密碼應用安全性評估應當與關鍵信息基礎設施安全檢測評估、網絡安全等級測評制度相銜接，避免重復評估、測評。
關鍵信息基礎設施的運營者采購涉及商用密碼的網絡產品和服務，可能影響國家安全的，應當按照《中華人民共和國網絡安全法》的規定，通過國家網信部門會同國家密碼管理部門等有關部門組織的國家安全審查。
涉及國家安全和社會公共利益的重要領域網絡和信息系統的建設、使用、管理單位（簡稱責任單位）應當健全密碼保障體系，實施商用密碼應用安全性評估。
重要領域網絡和信息系統包括：基礎信息網絡、涉及國計民生和基礎信息資源的重要信息系統、重要工業控制系統、面向社會服務的政務信息系統，以及關鍵信息基礎設施、網絡安全等級保護第三級及以上的信息系統。
密評主要包括：
方案評估–對于新建/改造信息系統，密碼應用建設方案/改造方案，一般由責任單位組織商用密碼從業單位編寫, 包括：《密碼應用解決方案》、《實施方案》和《應急處置方案》。責任單位編寫密碼應用建設方案/改造方案后，應委托測評機構對方案進行評估。
系統評估–依據GM/T0054-2018《信息系統密碼應用基本要求》等標準，系統評估主要從物理和環境、網絡和通信、設備和計算、應用和數據、密鑰管理、安全管理等方面開展。測評機構完成系統評估后，出具評估報告。在密評活動結束30個工作日內，將評估結果報密碼管理部門等相關部門備案。
堡壘機是屬于服務器類型的網絡設備，因為按照服務器的定義指網絡中能對其它機器提供某些服務的計算機系統，而堡壘機滿足了這個要求，他可以對其他機器提供管理服務器，同時保障網絡和數據不受來自外部和內部用戶的入侵和破壞，而運用各種技術手段監控和記錄運維人員對網絡內的服務器、網絡設備、安全設備、數據庫等設備的操作行為。
堡壘機具備以下技術特點：
網絡安全性：堡壘機的部署對整個網絡結構影響應盡可能的小。系統對現有網絡不應有特殊要求。對系統故障有完善的保護機制，系統故障后不會影響業務系統正常運營，并能夠快速恢復達到保障運維正常進行的要求。
信息安全性：堡壘機應該提供完善的用戶管理、賬號管理、行為審計等多種安全手段的同時，確保系統本身的信息收集、處理和保存過程的安全，系統提供保存信息的加密存儲確保敏感信息不能泄露或被竊取，系統提供嚴格的自審計系統，保證對設備操作的完整記錄。
準確性：堡壘機應保證數據處理的準確性和一致性。
開放性：堡壘機應現有的、規范的、開放的接口協議，以保證系統對各種外部系統的互連能力。
擴展性：堡壘機具備平滑擴容的能力，擴容時應不改變組網結構，不降低系統性能，能滿足現有業務發展的需求。
易用性：堡壘機應具有良好的人機操作界面、更好的提示信息，方便系統管理人員使用。
當需要管理基礎網絡或者非云的主機時可通過新建主機功能實現添加服務器或者其他設備，這里以SaaS型堡壘機添加主機服務器為例，具體操作步驟如下：
管理員登錄堡壘機
以管理員身份登錄SaaS型堡壘機的控制臺；
進入主機資產頁面
在 SaaS 型堡壘機控制臺，在左側導航選擇資產管理 > 主機資產，進入主機資產頁面；
添加主機
在主機資產頁面，單擊添加主機，彈出添加主機窗口；
配置主機信息
在添加主機窗口中，需配置主機IP、操作系統類型、管理端口、主機名稱等主機信息；
創建完成
主機信息配置完成之后，單擊確定，即可創建主機。
白名單模式
白名單模式就是企業根據軟件使用需求建立軟件清單，用戶只允許安裝白名單中的軟件。這種模式的好處是成本低、易實現，缺點是對軟件使用的管控力度弱、監控能力差，適用于中小型企業。
軟件庫模式
軟件庫模式就是企業在內部建立一個共享軟件庫，用戶從軟件庫下載并安裝軟件。這種模式的好處是管控力度較強，缺點是對評審技術有一定要求，需要有專門的技術專家團隊進行安全評估，檢測和評估的成本較高。該模式適用于中小型企業。
資源平臺模式
資源平臺模式就是將正版軟件、許可的開源軟件和工具歸類并在平臺展現，用戶沒有安裝其他軟件的權限，在需要時可以在平臺上進行搜索并安裝軟件。這種模式的好處是管控力度強，自動化管理的效率高，缺點是資源平臺的建立和運維成本較高。資源平臺模式適用于對正版化要求嚴格的大型集團企業。
軟件開發平臺模式
軟件開發平臺模式就是提供了統一開發環境，引入了合規的第三方組件和工具，同時收集威脅情報，并利用監控工具進行掃描和監控。這種模式的優點是可以實現對集團型企業軟件安全的強管控，缺點是成本較高，位置限制性強，可能造成效率下降。軟件開發平臺模式適用于以自開發為主、對安全要求非常高的大型集團企業。
