建立安全体系结构的目的就是在管理和技术上保证安全策略得以完整准确地实现，安全需求全面准确地得以满足，包括确定必须的安全服务、安全机制和技术管理以及它们在系统上的合理部署和关系配置。
国际标准化组织(IS0)1989 年制定了自际标准《信息处理系统开发系统互联基本参考模型第2 部分:安全体系结构)) ，提出了IS0/0SI 开放系统互联参考模型的安全体系结构。这是一个普遍适用的安全体系结构，对具体的网络环境的安全体系结构具有指导意义。自6-1 显示的就是开放系统互连安全体系结构的示意图。

在IS0 安全体系结构中包含了安全服务(Security Se凹ice) 、安全机制(SecurityMechanism)和安全管理(Security Managemer时，并且明确了OSI 网络层次、安全服务和安全机制之间的逻辑关系。在此参考模型中定义了五大类安全服务，提供相关服务的八大类安全机制以及相应的开发系统互联的安全管理，并且可根据具体的系统适当配置于OSI 模型的七层协议中。
而在网络安全体系结构中的设计上借鉴了IS0 的安全体系结构中的主要思想。如果将网络安全看成一个自多个安全单元组成的集合。其中每一个安全单元都是一个整体，包含了许多特性。网络安全体系结构则是由三个安全单元组成的，分别是安全服务，协议层次和系统单元。网络安全体系结构的示意如图6-2 所示。

医中描述的就是一个三维的网络安全空间，它反映了网络安全需求和体系结构的共性。图中的三维特性分别是安全服务，系统单元和协议层次。其中在每一个特性上面都为它们提供了安全管理。安全管理就是连接这三个纬度，保证整个体系结构的安全性。
网络安全体系结构主要包括三部分内容:安全服务、协议层次、系统单元。针对网络安全存在的各种类型的安全威胁，将会针对这些威胁定义一组安全服务。为支持这些服务，在系统中定义了一些安全机制，同时安全管理由于不是正常的通信业务，主要是为用户的通信通告安全支持和控制。
安全服务指的是该安全单元能解决什么安全威胁。一般来说，网络安全的威胁主要是在来自于人的恶意行为可能造成的资源被破坏、信息地漏等等。安全服务主要包括了以下六个方面z 认证、访问控制、数据完整性、数据保密性、抗抵赖、审计和可用性。
①认证服务。认证服务提供某个实体的身份保护，在通信的某一个特定过程中，如果某个实体声称具有特定的身份时，认证服务就提供一种方法来证实这个声称是否正确。
由于在某种程度上，网络安全体系结构的其他安全服务都依赖于认证服务，或者和认证服务紧密地结合，因此认证服务是一个重要的基础安全服务。通过认证服务在很多情况下就可以杜绝像CSRF (Cross-site request forgery，跨站请求伪造〉这样的攻击。同时在保障系统的物理安全时，也会起到一定的作用。
②访问控制服务。访问控制服务经常和认证服务一起使用。访问控制服务就是对某些确认身份的实体，限制其对某些资源的访问。访问控制服务可以防止未授权的实体访问资源，所谓未授权的访问就是未经授权的使用、修改、销毁数据资源以及执行指令代码等。访问控制服务直接支持保密性、完整性、可用性和认证安全性，其中对保密性、完整和认证所起到的作用十分明显。访问控制是实现授权的一种方法。它涉及到通信和系统的安全问题。由于必须在网络上传输访问控制信息，所以它对通信协议具有很高的安全要求。
③数据完整性服务主要提供了可恢复的连接完整性、不可恢复的连接完整性，选择字段的连接完整性、无连接完整性、选择字段无连接完整性等安全服务。数据完整性服务直接保证数据的完整性。所有的数据完整性服务都能够对付新增或修改数据的企图。
④数据保密服务，数据保密性服务保护信息不泄露或不暴露给那些未授权想掌握该信息的实体。这种服务有以下几个方面:连接保密性、无连接保密性、选择字段保密性、业务流程保密性。
⑤抗抵赖性，抗否认服务与其他安全服务有根本的不同。它主要保护通信系统不会遭到系统中其他合法用户的威胁，而不是来自位置攻击者的威胁。抗抵赖服务的触发点不仅仅由于在通信各方之间存在着相互欺骗的可能性，另外它也反映了一个现实，即没有任何一个系统是完全完备的，而且也可能出现通信双方最终达不成一致协议这样的情况。抗抵赖服务可采取以下两种形式:数据起源的抗抵赖和传递过程的抗抵赖。
⑥审计服务主要是对系统的数据和业务流程进仔安全审计，找出其中可能存在的漏洞或者是薄弱环节。同时也收集可用于安全审计的数据，以便对系统的记录和活动进行独立地观察和检查。
⑦可用性服务，这是整个网络安全体系结构所提供的最基本的服务。网络安全首先要保证系统的可用性然后在此基础上保证系统的安全性。
系统单元指的是该安全单元解决什么系统环境的安全问题。对于现代的互联网，系统单元可以分为五个不同环境:物理环境、应用平台、系统平台、网络平台、通信平台。物理环境，如硬件设备、网络设备等，包含该特性的安全单元解决物理环境的安全问题。例如使用交换机代替集线器可以缓解网络窃听问题。
应用平台主要指的是各种不同的应用程序和中间件。应用程序是在操作系统上安装和运行的。包含该特性的安全单元解决应用程序所包含的安全问题。一般是指数据在操作和资源在使用的时候的安全威胁。
系统平台则指的是操作系统。包含该特性的安全单元解决端系统或者中间系统(网桥、路由器等)的操作系统包含的安全问题。一般是指数据和资源在存储时的安全威胁。网络平台则指的是网络传输。包含该特性的安全单元解决网络协议所造成的安全问题。一般是指数据在网络上传输的安全威胁。例如加密技术可以解决数据在网络传输时的安全问题。
通信平台则主要指的是通信线路。包含该线路的安全单元主要解决的是通信线路所存在的安全问题。包括系统软硬件设计、配置及使用不当，物理电磁辐射引起的信息泄漏等方面的问题。
协议层次是互联网的TCPIIP 协议的基础。安全单元的这个特性描述了该安全单元在网络互联协议中，解决了什么样的互联问题。
物理层设计在物理通信道上传输原始比特，处理与物理传输介质有关机制的、电器过程的接口。在物理层上传输的单元是信号。
链路层。链路层分为介质访问控制和逻辑链路控制两个子层。在链路层上传输的单元是比特。
网络层。网络层负责将数据从物理连接的一端传递到另一端，即所谓的点到点通信。它的主要功能是寻找路径，以及与之相关的流量控制和拥塞控制等。在网络层上传输的单元是网络数据包。
传输层。传输层的主要目的在于弥补网络服务与用户需求之间的差距。传输层通过向上提供一个标准、通用的界面，使上层与通信子网(下三层)的细节相隔离。传输层的主要任务是提供进程间通信机制和保证数据传输的可靠性。
应用层。应用层向用户提供最常用旦适用的应用程序，包括电子邮件、文件传输、网页浏览等。应用层描述了端对端之间的通信。
以上就是在网络安全体系结构中不同的三个特性的介绍和说明。除了这三个特性之外，安全管理是这三个特性的"粘合剂"保证了这三个特性之间有效的结合。安全管理的主要作用是实施一系列的安全政策，对系统和网络上的操作进行管理。安全管理包含三个部分:系统安全管理、安全服务管理、安全机制的管理。
系统安全管理主要是涉及到整体的网络安全环境的管理，例如安全事件的管理，包括时间报告、存储和查询等:安全服务管理则涉及特定安全服务的管理，其中包括指定安全服务可使用的安全机制、对可使用的安全机制进行协商:安全机制管理:安全机制管理涉及的是特定安全机制的管理，包括密钥管理、加密管理、数字签名管理、访问控制管理、路由控制管理等。