邊偉成

（江蘇省大數(shù)據(jù)管理中心 江蘇省南京市 210000）

1 電子政務(wù)外網(wǎng)安全發(fā)展現(xiàn)狀及存在問題

從安全防御手段來看，目前電子政務(wù)外網(wǎng)圍繞安全等級保護(hù)等相關(guān)要求初步構(gòu)建了政務(wù)服務(wù)網(wǎng)絡(luò)安全防護(hù)技術(shù)體系，網(wǎng)絡(luò)基礎(chǔ)設(shè)施已具備邊界安全防護(hù)、抗DDoS、入侵檢測防御、APT防御、防病毒、異常流量檢測、終端安全防護(hù)等基礎(chǔ)安全防護(hù)能力。基于等級保護(hù)的基本要求，政務(wù)外網(wǎng)安全防護(hù)手段對新型未知威脅的防護(hù)能力有限，如傳統(tǒng)VPN終端認(rèn)證方式為一次認(rèn)證長期有效，一旦被不法分子破解入口將帶來一系列的安全風(fēng)險(xiǎn)。隨著電子政務(wù)外網(wǎng)的5G應(yīng)用創(chuàng)新延伸以及政務(wù)各領(lǐng)域物聯(lián)網(wǎng)的部署加速，電子政務(wù)外網(wǎng)的網(wǎng)絡(luò)邊界將不斷擴(kuò)大且模糊，各類業(yè)務(wù)的開展將增加更多新的模式，也將給政務(wù)外網(wǎng)帶來新的風(fēng)險(xiǎn)點(diǎn)及風(fēng)險(xiǎn)類型。如政務(wù)終端通過5G、互聯(lián)網(wǎng)等遠(yuǎn)程接入方式訪問政務(wù)外網(wǎng)時，網(wǎng)絡(luò)安全防護(hù)的邊界變得模糊泛在，需引入動態(tài)持續(xù)認(rèn)證的認(rèn)證方式。

從安全運(yùn)營管理來看，為保證安全風(fēng)險(xiǎn)能及時有效處理，電子政務(wù)外網(wǎng)已初步構(gòu)建了網(wǎng)絡(luò)安全運(yùn)營體系，并按照國家要求構(gòu)建了安全管理平臺，但現(xiàn)有的安全運(yùn)營管理體系中要素的聯(lián)動和配合能力有限，如：人與設(shè)備之間的聯(lián)動效率相對較低，安全設(shè)備能夠監(jiān)測安全風(fēng)險(xiǎn)，但在發(fā)現(xiàn)風(fēng)險(xiǎn)后通常依賴于人工進(jìn)行安全風(fēng)險(xiǎn)分析、策略評估、安全威脅解除等步驟，問題處置的效率相對較低，設(shè)備與設(shè)備之間的配合度不足，由于安全設(shè)備通常采用多廠家異構(gòu)組合，各安全產(chǎn)品各自為戰(zhàn)，相互之間的能力相對孤立，無法實(shí)現(xiàn)動態(tài)聯(lián)動，不能形成安全合力，未形成平臺化的統(tǒng)一智能分析能力，無法動態(tài)編排安全策略，導(dǎo)致對安全事件的檢測防護(hù)效果不佳。

2 電子政務(wù)外網(wǎng)安全防御能力提升方向

電子政務(wù)外網(wǎng)安全建設(shè)應(yīng)以國家《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GB/T 22239-2019）為基本要求，以《國家電子政務(wù)外網(wǎng)安全接入平臺技術(shù)規(guī)范》（GW0202-2014）、《政務(wù)網(wǎng)絡(luò)安全監(jiān)測平臺總體技術(shù)要求》（T/CIIA 005-2019）、《政務(wù)外網(wǎng)終端一機(jī)兩用安全管控技術(shù)指南》（GW0015-2021）等為指引，結(jié)合電子政務(wù)外網(wǎng)的業(yè)務(wù)場景和安全現(xiàn)狀，采用系統(tǒng)化、體系化的安全整體思路，打造運(yùn)營平臺化、管理一體化、態(tài)勢可感知、事件可預(yù)警、事故可追溯、技術(shù)可融合、安全可閉環(huán)的安全保障體系。主要可遵循如下方向開展相關(guān)工作：

2.1 縱深防御、態(tài)勢感知

建立物理安全、網(wǎng)絡(luò)安全、平臺安全、數(shù)據(jù)安全、應(yīng)用安全多層級技術(shù)手段，構(gòu)建重點(diǎn)防護(hù)、流量監(jiān)測、智能研判、快速響應(yīng)和有效阻斷的縱深防御系統(tǒng)。采集全網(wǎng)各要素狀態(tài)和網(wǎng)絡(luò)流量，通過動態(tài)分析、對比、關(guān)聯(lián)等方式進(jìn)行數(shù)據(jù)分析和異常檢測，感知識別異常的事件和行為，支撐預(yù)警通報(bào)、快速響應(yīng)、協(xié)同處置等能力。

2.2 自主可控、安全可信

貫徹落實(shí)國產(chǎn)化戰(zhàn)略布局，在建設(shè)過程中，應(yīng)強(qiáng)化自主可控、安全可靠能力，在硬件設(shè)備、芯片可信、操作系統(tǒng)、數(shù)據(jù)庫、中間件、密碼算法等方面采用國產(chǎn)自主核心技術(shù)，保證安全系統(tǒng)的可控、可管、可信。

2.3 夯實(shí)基礎(chǔ)、打造能力

以“物理安全、環(huán)境安全、自主可控、安全可信、協(xié)同聯(lián)動”構(gòu)筑安全基石，以政策標(biāo)準(zhǔn)指引和組織人才為支撐保障，圍繞電子政務(wù)外網(wǎng)信息體系持續(xù)打造安全宏觀決策能力、監(jiān)測與安全事件通報(bào)預(yù)警能力、安全統(tǒng)一管理能力、安全縱深防御能力、安全監(jiān)管運(yùn)維能力，形成體系化安全對抗能力，滿足新時期電子政務(wù)安全保障需要。

2.4 網(wǎng)安協(xié)同、一體安全

利用網(wǎng)絡(luò)設(shè)備、安全設(shè)備、流探針作為檢測和執(zhí)行點(diǎn)，收集網(wǎng)絡(luò)流量、安全日志、漏洞掃描日志、主機(jī)安全等盡可能全的安全威脅事件信息，進(jìn)行統(tǒng)一綜合研判，提升安全分析精準(zhǔn)率，對網(wǎng)絡(luò)行為數(shù)據(jù)進(jìn)行深度鉆取，及時發(fā)現(xiàn)潛在威脅。通過控制器調(diào)度網(wǎng)絡(luò)和安全設(shè)備協(xié)同處置，加快威脅響應(yīng)速度，防止威脅在政務(wù)外網(wǎng)擴(kuò)散，對于違規(guī)的主體立即就近阻斷，實(shí)現(xiàn)網(wǎng)安一體防護(hù)。

3 電子政務(wù)外網(wǎng)安全防御體系邏輯架構(gòu)

為符合國家對電子政務(wù)外網(wǎng)安全建設(shè)的相關(guān)合規(guī)性要求，堅(jiān)持安全與網(wǎng)絡(luò)同步建設(shè)與統(tǒng)一發(fā)展，加強(qiáng)網(wǎng)絡(luò)技術(shù)創(chuàng)新趨勢下的安全支撐能力，滿足新興政務(wù)業(yè)務(wù)場景下的實(shí)際安全需要，構(gòu)建安全平臺化、管理一體化、態(tài)勢可感知、事件可預(yù)警、事故可追溯、技術(shù)可融合、安全可閉環(huán)的電子政務(wù)外網(wǎng)網(wǎng)絡(luò)安全體系，為各政務(wù)服務(wù)應(yīng)用提供主動、動態(tài)、按需、多維度、立體化的智能安全保障能力。安全邏輯架構(gòu)如圖1所示。

圖1：電子政務(wù)外網(wǎng)安全邏輯架構(gòu)

圖2

在終端接入方面，引入前沿的零信任安全技術(shù)，對電子政務(wù)外網(wǎng)的訪問終端進(jìn)行動態(tài)、持續(xù)性地風(fēng)險(xiǎn)評估，建立逐次授權(quán)的動態(tài)信任模型，精細(xì)顆粒授權(quán)，構(gòu)建全流程信任鏈，實(shí)現(xiàn)端到端可信；在骨干防護(hù)方面，可構(gòu)建電子政務(wù)外網(wǎng)安全資源池，通過統(tǒng)一接口集成異構(gòu)廠家安全設(shè)備，改善傳統(tǒng)模式下安全設(shè)備能力孤立、策略難以編排的窘境；在安全監(jiān)測與管理方面，應(yīng)建立全網(wǎng)安全態(tài)勢感知系統(tǒng)，結(jié)合傳統(tǒng)的流量探針、漏掃、沙箱等采集設(shè)備，利用AI的威脅分析方法，實(shí)現(xiàn)全網(wǎng)安全分析、發(fā)現(xiàn)、通報(bào)、處置全生命周期的安全管理模式。通過各類安全技術(shù)融合打出電子政務(wù)外網(wǎng)安全防御的組合拳，構(gòu)建終端接入可信、網(wǎng)絡(luò)邊界可控、安全態(tài)勢可視、安全威脅可防、安全資源可管的智能防御體系，全面保障政務(wù)外網(wǎng)可信、可控、可管、可用。

4 基于零信任構(gòu)建終端動態(tài)認(rèn)證新模式

4.1 固網(wǎng)終端安全接入

針對電子政務(wù)外網(wǎng)環(huán)境中存在的通過固網(wǎng)終端進(jìn)行的跳板攻擊、數(shù)據(jù)泄露等安全風(fēng)險(xiǎn)，可采用軟件定義邊界（Software Defined Perimeter）零信任技術(shù)，構(gòu)建SDP管理系統(tǒng)、零信任網(wǎng)關(guān)、終端零信任客戶端等組件。SDP管理系統(tǒng)可以實(shí)現(xiàn)業(yè)務(wù)應(yīng)用申請及發(fā)布管理、零信任客戶端運(yùn)維管理、評分動態(tài)授權(quán)等功能，以及終端安全策略集中管理和下發(fā)。零信任網(wǎng)關(guān)主要負(fù)責(zé)接入鑒別、訪問控制和網(wǎng)絡(luò)隱身等，將業(yè)務(wù)應(yīng)用部署在零信任網(wǎng)關(guān)之后，可以有效收斂政務(wù)部門業(yè)務(wù)應(yīng)用的暴露面，減少被入侵的風(fēng)險(xiǎn)。在終端上部署零信任客戶端，實(shí)現(xiàn)接入認(rèn)證及入網(wǎng)安全檢查、網(wǎng)絡(luò)隔離、數(shù)據(jù)安全隔離和異常行為檢測。

圖3

圖4

SDP零信任技術(shù)將終端接入管控與安全基線檢查管控等安全技術(shù)有機(jī)整合，防范網(wǎng)絡(luò)被非法接入，防止終端跳板攻擊和數(shù)據(jù)泄露，可實(shí)現(xiàn)政務(wù)外網(wǎng)固網(wǎng)終端的安全業(yè)務(wù)訪問，保障固網(wǎng)終端在訪問其他專網(wǎng)業(yè)務(wù)時與政務(wù)外網(wǎng)業(yè)務(wù)隔離，支撐政務(wù)外網(wǎng)固網(wǎng)終端的安全合規(guī)使用。

4.2 遠(yuǎn)程終端安全接入

對于不具備固定專線接入條件的各類遠(yuǎn)程終端接入場景，可利用基于VPN的遠(yuǎn)程零信任接入技術(shù)，構(gòu)建移動VPN、零信任管理系統(tǒng)、可信接入代理、遠(yuǎn)程終端零信任客戶端等。通過遠(yuǎn)程終端零信任客戶端實(shí)時終端安全狀態(tài)監(jiān)測，并上傳相應(yīng)安全數(shù)據(jù)到零信任管理系統(tǒng)。通過零信任管理系統(tǒng)統(tǒng)一分析終端安全狀態(tài)并動態(tài)調(diào)整訪問權(quán)限。通過可信接入代理接收零信任管理系統(tǒng)指令，根據(jù)最新的權(quán)限調(diào)整情況對相應(yīng)的業(yè)務(wù)訪問做放通或阻斷。為了滿足密評的要求，VPN加密的算法應(yīng)支持國密SM2、SM3、SM4。在滿足VPN安全接入合規(guī)性要求的基礎(chǔ)上，通過遠(yuǎn)程零信任安全接入解決方案進(jìn)行強(qiáng)化建設(shè)，做到持續(xù)認(rèn)證、動態(tài)授權(quán)，以消除傳統(tǒng)VPN固有的一次認(rèn)證長期有效的安全隱患。

5 采用安全資源池實(shí)現(xiàn)安全能力集成、按需調(diào)用

電子政務(wù)外網(wǎng)城域網(wǎng)邊界、政務(wù)云邊界接入數(shù)百個委辦局/單位，攻擊面廣，防護(hù)難度大，同時各單位對安全防護(hù)的級別和需求較多，為提升安全設(shè)備防護(hù)效率，增強(qiáng)安全設(shè)備的擴(kuò)展能力及策略編排能力，可通過構(gòu)建城域網(wǎng)邊界安全資源池、政務(wù)云邊界安全資源池以及安全資源池管理平臺，通過安全資源池內(nèi)的安全防御服務(wù)編排能力，為各接入單位提供差異化安全服務(wù)能力，滿足各單位不同業(yè)務(wù)不同場景下對安全防御能力的不同需求。通過安全資源池管理系統(tǒng)納管安全資源池控制器，并通過安全資源池控制器對各安全服務(wù)組件進(jìn)行統(tǒng)一的流量編排和策略下發(fā)，實(shí)現(xiàn)各廠商安全設(shè)備組件、安全服務(wù)的統(tǒng)一管理，達(dá)到安全能力異構(gòu)，安全性能冗余，安全能力按需調(diào)用，策略按需編排的建設(shè)效果。通過網(wǎng)絡(luò)控制器實(shí)現(xiàn)網(wǎng)絡(luò)的精細(xì)化引流，根據(jù)不同委辦局的不同應(yīng)用進(jìn)行流量編排，如視頻流量處理路徑為DDos-防火墻，WEB流量處理路徑為DDos-防火墻-IPS，實(shí)現(xiàn)安全防護(hù)最優(yōu)路徑選擇。最終對電子政務(wù)外網(wǎng)所有進(jìn)入城域網(wǎng)的流量進(jìn)行差異化邊界安全防護(hù)，對僵尸網(wǎng)絡(luò)、木馬、蠕蟲、SQL 注入、跨站腳本攻擊、DDOS攻擊、C&C攻擊、APT等做安全檢測及防護(hù)，以保障電子政務(wù)外網(wǎng)業(yè)務(wù)的安全運(yùn)行。

6 加強(qiáng)安全態(tài)勢感知建設(shè)，釋放網(wǎng)安協(xié)同能力

構(gòu)建電子政務(wù)外網(wǎng)安全監(jiān)測平臺體系框架，通過部署流量探針、資產(chǎn)探測、漏洞掃描、威脅情報(bào)、態(tài)勢感知、通報(bào)預(yù)警實(shí)現(xiàn)覆蓋互聯(lián)網(wǎng)出口、城域網(wǎng)、廣域網(wǎng)、政務(wù)云邊界全方位安全監(jiān)測，形成全網(wǎng)監(jiān)測預(yù)警、信息共享和應(yīng)急聯(lián)動能力，不斷提升政務(wù)外網(wǎng)安全保障能力。利用大數(shù)據(jù)、AI、聯(lián)邦學(xué)習(xí)、加密流量不解密(ECA)等技術(shù)加強(qiáng)關(guān)聯(lián)分析，提升全局性、整體化網(wǎng)絡(luò)安全態(tài)勢感知能力。建立上下協(xié)同聯(lián)動的安全管理機(jī)制，健全各級網(wǎng)絡(luò)應(yīng)急響應(yīng)預(yù)案，完善政務(wù)外網(wǎng)應(yīng)急處置聯(lián)動機(jī)制，實(shí)現(xiàn)政務(wù)外網(wǎng)統(tǒng)一安全監(jiān)測管理及對網(wǎng)絡(luò)安全突發(fā)事件的協(xié)同聯(lián)動處置，達(dá)到態(tài)勢可感知、事件可預(yù)警、攻擊可追溯、安全可閉環(huán)的效果。

在態(tài)勢感知基礎(chǔ)上構(gòu)建網(wǎng)絡(luò)和安全協(xié)同防御體系，通過安全監(jiān)測平臺與網(wǎng)絡(luò)控制器協(xié)同，編排聯(lián)動、阻斷、隔離、取證、封堵等多種策略動作，將威脅防護(hù)措施轉(zhuǎn)化成安全策略控制任務(wù)，向安全設(shè)備、網(wǎng)絡(luò)設(shè)備下發(fā)任務(wù)并監(jiān)控處置效果，對安全威脅進(jìn)行就近阻斷，杜絕在網(wǎng)絡(luò)上擴(kuò)散，從以前的單點(diǎn)防御到全網(wǎng)協(xié)防，縮短威脅處置時間，提升網(wǎng)絡(luò)的防御能力。

結(jié)合態(tài)勢感知系統(tǒng)構(gòu)建一鍵式溯源方法，實(shí)現(xiàn)安全威脅可查。在電子政務(wù)外網(wǎng)中，部分接入單位的終端在接入政務(wù)外網(wǎng)會經(jīng)過多層NAT轉(zhuǎn)換，在政務(wù)外網(wǎng)進(jìn)行流量采集并進(jìn)行威脅分析時，很難根據(jù)NAT后的IP進(jìn)行威脅的溯源、取證，通過部署的SDP（軟件定義邊界）零信任與安全監(jiān)測平臺結(jié)合，利用終端DeviceID代替IP地址重塑威脅識別系統(tǒng)，實(shí)現(xiàn)NAT前后威脅的精準(zhǔn)溯源、取證，實(shí)現(xiàn)威脅的一鍵溯源，管理單位可以將監(jiān)測到的威脅源頭進(jìn)行快速定位，提升威脅處置效率和通報(bào)預(yù)警的準(zhǔn)確度。

7 安全管理中心打造全新運(yùn)維運(yùn)營能力

通過構(gòu)建政務(wù)外網(wǎng)安全管理中心，實(shí)現(xiàn)電子政務(wù)外網(wǎng)的全網(wǎng)威脅可視化、通報(bào)預(yù)警與處置、威脅情報(bào)共享、上下級聯(lián)動、統(tǒng)一安全管理等運(yùn)營能力，提高安全事件處理效率及質(zhì)量。安全管理中心主要由前述的安全監(jiān)測平臺（安全態(tài)勢感知、通報(bào)預(yù)警與應(yīng)急處置、威脅情報(bào)）、安全資源池管理系統(tǒng)、零信任管理系統(tǒng)、SDP管理系統(tǒng)、安全控制器、堡壘機(jī)等子系統(tǒng)組成，資產(chǎn)探測、漏掃、蜜罐、沙箱可為安全監(jiān)測平臺提供安全基礎(chǔ)能力。安全管理中心基于環(huán)境洞悉安全風(fēng)險(xiǎn)，以安全大數(shù)據(jù)為基礎(chǔ)，能夠通過文件、流量和日志綜合分析，結(jié)合威脅情報(bào)識別未知威脅，全面感知網(wǎng)絡(luò)資產(chǎn)狀態(tài)、網(wǎng)絡(luò)安全威脅態(tài)勢，通過日志與全流量綜合分析技術(shù)實(shí)現(xiàn)完整的網(wǎng)絡(luò)攻擊溯源取證，從全局視角對安全威脅進(jìn)行發(fā)現(xiàn)識別、理解分析，聯(lián)動安全控制器下發(fā)安全策略，幫助安全人員采取針對性響應(yīng)處置措施，提升安全綜合管理運(yùn)維運(yùn)營效率。

8 結(jié)語

在專網(wǎng)逐步整合以及電子政務(wù)外網(wǎng)升級迭代的趨勢下，電子政務(wù)外網(wǎng)發(fā)展將越來越快，規(guī)模也將越來越大，用戶越來越多，同時，政務(wù)大數(shù)據(jù)、城市治理、移動辦公等來自技術(shù)、場景的變革要素正在加速涌現(xiàn)，促使電子政務(wù)外網(wǎng)承載的業(yè)務(wù)與場景越來越多，電子政務(wù)外網(wǎng)的安全防御管理將是一個長期的動態(tài)過程，電子政務(wù)外網(wǎng)管理部門還需不斷研究新形勢下的電子政務(wù)外網(wǎng)安全綜合防御體系。本研究的思想主要基于安全技術(shù)融合，在現(xiàn)有相對成熟的安全技術(shù)框架下，針對典型的安全需求與問題研究各類技術(shù)的融合應(yīng)用與協(xié)同配合，建立“立體防護(hù)、多方聯(lián)動”的安全綜合防御體系。在實(shí)際的工作開展過程中，技術(shù)手段只是安全防護(hù)的一方面，我們還應(yīng)該持續(xù)完善有關(guān)安全管理機(jī)制，實(shí)現(xiàn)網(wǎng)絡(luò)安全技術(shù)與安全管理兩手抓，兩手硬，最大程度保障電子政務(wù)外網(wǎng)的運(yùn)行安全。