邊偉成

（江蘇省大數(shù)據(jù)管理中心 江蘇省南京市 210000）

1 電子政務外網(wǎng)安全發(fā)展現(xiàn)狀及存在問題

從安全防御手段來看，目前電子政務外網(wǎng)圍繞安全等級保護等相關要求初步構建了政務服務網(wǎng)絡安全防護技術體系，網(wǎng)絡基礎設施已具備邊界安全防護、抗DDoS、入侵檢測防御、APT防御、防病毒、異常流量檢測、終端安全防護等基礎安全防護能力。基于等級保護的基本要求，政務外網(wǎng)安全防護手段對新型未知威脅的防護能力有限，如傳統(tǒng)VPN終端認證方式為一次認證長期有效，一旦被不法分子破解入口將帶來一系列的安全風險。隨著電子政務外網(wǎng)的5G應用創(chuàng)新延伸以及政務各領域物聯(lián)網(wǎng)的部署加速，電子政務外網(wǎng)的網(wǎng)絡邊界將不斷擴大且模糊，各類業(yè)務的開展將增加更多新的模式，也將給政務外網(wǎng)帶來新的風險點及風險類型。如政務終端通過5G、互聯(lián)網(wǎng)等遠程接入方式訪問政務外網(wǎng)時，網(wǎng)絡安全防護的邊界變得模糊泛在，需引入動態(tài)持續(xù)認證的認證方式。

從安全運營管理來看，為保證安全風險能及時有效處理，電子政務外網(wǎng)已初步構建了網(wǎng)絡安全運營體系，并按照國家要求構建了安全管理平臺，但現(xiàn)有的安全運營管理體系中要素的聯(lián)動和配合能力有限，如：人與設備之間的聯(lián)動效率相對較低，安全設備能夠監(jiān)測安全風險，但在發(fā)現(xiàn)風險后通常依賴于人工進行安全風險分析、策略評估、安全威脅解除等步驟，問題處置的效率相對較低，設備與設備之間的配合度不足，由于安全設備通常采用多廠家異構組合，各安全產(chǎn)品各自為戰(zhàn)，相互之間的能力相對孤立，無法實現(xiàn)動態(tài)聯(lián)動，不能形成安全合力，未形成平臺化的統(tǒng)一智能分析能力，無法動態(tài)編排安全策略，導致對安全事件的檢測防護效果不佳。

2 電子政務外網(wǎng)安全防御能力提升方向

電子政務外網(wǎng)安全建設應以國家《信息安全技術網(wǎng)絡安全等級保護基本要求》（GB/T 22239-2019）為基本要求，以《國家電子政務外網(wǎng)安全接入平臺技術規(guī)范》（GW0202-2014）、《政務網(wǎng)絡安全監(jiān)測平臺總體技術要求》（T/CIIA 005-2019）、《政務外網(wǎng)終端一機兩用安全管控技術指南》（GW0015-2021）等為指引，結合電子政務外網(wǎng)的業(yè)務場景和安全現(xiàn)狀，采用系統(tǒng)化、體系化的安全整體思路，打造運營平臺化、管理一體化、態(tài)勢可感知、事件可預警、事故可追溯、技術可融合、安全可閉環(huán)的安全保障體系。主要可遵循如下方向開展相關工作：

2.1 縱深防御、態(tài)勢感知

建立物理安全、網(wǎng)絡安全、平臺安全、數(shù)據(jù)安全、應用安全多層級技術手段，構建重點防護、流量監(jiān)測、智能研判、快速響應和有效阻斷的縱深防御系統(tǒng)。采集全網(wǎng)各要素狀態(tài)和網(wǎng)絡流量，通過動態(tài)分析、對比、關聯(lián)等方式進行數(shù)據(jù)分析和異常檢測，感知識別異常的事件和行為，支撐預警通報、快速響應、協(xié)同處置等能力。

2.2 自主可控、安全可信

貫徹落實國產(chǎn)化戰(zhàn)略布局，在建設過程中，應強化自主可控、安全可靠能力，在硬件設備、芯片可信、操作系統(tǒng)、數(shù)據(jù)庫、中間件、密碼算法等方面采用國產(chǎn)自主核心技術，保證安全系統(tǒng)的可控、可管、可信。

2.3 夯實基礎、打造能力

以“物理安全、環(huán)境安全、自主可控、安全可信、協(xié)同聯(lián)動”構筑安全基石，以政策標準指引和組織人才為支撐保障，圍繞電子政務外網(wǎng)信息體系持續(xù)打造安全宏觀決策能力、監(jiān)測與安全事件通報預警能力、安全統(tǒng)一管理能力、安全縱深防御能力、安全監(jiān)管運維能力，形成體系化安全對抗能力，滿足新時期電子政務安全保障需要。

2.4 網(wǎng)安協(xié)同、一體安全

利用網(wǎng)絡設備、安全設備、流探針作為檢測和執(zhí)行點，收集網(wǎng)絡流量、安全日志、漏洞掃描日志、主機安全等盡可能全的安全威脅事件信息，進行統(tǒng)一綜合研判，提升安全分析精準率，對網(wǎng)絡行為數(shù)據(jù)進行深度鉆取，及時發(fā)現(xiàn)潛在威脅。通過控制器調度網(wǎng)絡和安全設備協(xié)同處置，加快威脅響應速度，防止威脅在政務外網(wǎng)擴散，對于違規(guī)的主體立即就近阻斷，實現(xiàn)網(wǎng)安一體防護。

3 電子政務外網(wǎng)安全防御體系邏輯架構

為符合國家對電子政務外網(wǎng)安全建設的相關合規(guī)性要求，堅持安全與網(wǎng)絡同步建設與統(tǒng)一發(fā)展，加強網(wǎng)絡技術創(chuàng)新趨勢下的安全支撐能力，滿足新興政務業(yè)務場景下的實際安全需要，構建安全平臺化、管理一體化、態(tài)勢可感知、事件可預警、事故可追溯、技術可融合、安全可閉環(huán)的電子政務外網(wǎng)網(wǎng)絡安全體系，為各政務服務應用提供主動、動態(tài)、按需、多維度、立體化的智能安全保障能力。安全邏輯架構如圖1所示。

圖1：電子政務外網(wǎng)安全邏輯架構

圖2

在終端接入方面，引入前沿的零信任安全技術，對電子政務外網(wǎng)的訪問終端進行動態(tài)、持續(xù)性地風險評估，建立逐次授權的動態(tài)信任模型，精細顆粒授權，構建全流程信任鏈，實現(xiàn)端到端可信；在骨干防護方面，可構建電子政務外網(wǎng)安全資源池，通過統(tǒng)一接口集成異構廠家安全設備，改善傳統(tǒng)模式下安全設備能力孤立、策略難以編排的窘境；在安全監(jiān)測與管理方面，應建立全網(wǎng)安全態(tài)勢感知系統(tǒng)，結合傳統(tǒng)的流量探針、漏掃、沙箱等采集設備，利用AI的威脅分析方法，實現(xiàn)全網(wǎng)安全分析、發(fā)現(xiàn)、通報、處置全生命周期的安全管理模式。通過各類安全技術融合打出電子政務外網(wǎng)安全防御的組合拳，構建終端接入可信、網(wǎng)絡邊界可控、安全態(tài)勢可視、安全威脅可防、安全資源可管的智能防御體系，全面保障政務外網(wǎng)可信、可控、可管、可用。

4 基于零信任構建終端動態(tài)認證新模式

4.1 固網(wǎng)終端安全接入

針對電子政務外網(wǎng)環(huán)境中存在的通過固網(wǎng)終端進行的跳板攻擊、數(shù)據(jù)泄露等安全風險，可采用軟件定義邊界（Software Defined Perimeter）零信任技術，構建SDP管理系統(tǒng)、零信任網(wǎng)關、終端零信任客戶端等組件。SDP管理系統(tǒng)可以實現(xiàn)業(yè)務應用申請及發(fā)布管理、零信任客戶端運維管理、評分動態(tài)授權等功能，以及終端安全策略集中管理和下發(fā)。零信任網(wǎng)關主要負責接入鑒別、訪問控制和網(wǎng)絡隱身等，將業(yè)務應用部署在零信任網(wǎng)關之后，可以有效收斂政務部門業(yè)務應用的暴露面，減少被入侵的風險。在終端上部署零信任客戶端，實現(xiàn)接入認證及入網(wǎng)安全檢查、網(wǎng)絡隔離、數(shù)據(jù)安全隔離和異常行為檢測。

圖3

圖4

SDP零信任技術將終端接入管控與安全基線檢查管控等安全技術有機整合，防范網(wǎng)絡被非法接入，防止終端跳板攻擊和數(shù)據(jù)泄露，可實現(xiàn)政務外網(wǎng)固網(wǎng)終端的安全業(yè)務訪問，保障固網(wǎng)終端在訪問其他專網(wǎng)業(yè)務時與政務外網(wǎng)業(yè)務隔離，支撐政務外網(wǎng)固網(wǎng)終端的安全合規(guī)使用。

4.2 遠程終端安全接入

對于不具備固定專線接入條件的各類遠程終端接入場景，可利用基于VPN的遠程零信任接入技術，構建移動VPN、零信任管理系統(tǒng)、可信接入代理、遠程終端零信任客戶端等。通過遠程終端零信任客戶端實時終端安全狀態(tài)監(jiān)測，并上傳相應安全數(shù)據(jù)到零信任管理系統(tǒng)。通過零信任管理系統(tǒng)統(tǒng)一分析終端安全狀態(tài)并動態(tài)調整訪問權限。通過可信接入代理接收零信任管理系統(tǒng)指令，根據(jù)最新的權限調整情況對相應的業(yè)務訪問做放通或阻斷。為了滿足密評的要求，VPN加密的算法應支持國密SM2、SM3、SM4。在滿足VPN安全接入合規(guī)性要求的基礎上，通過遠程零信任安全接入解決方案進行強化建設，做到持續(xù)認證、動態(tài)授權，以消除傳統(tǒng)VPN固有的一次認證長期有效的安全隱患。

5 采用安全資源池實現(xiàn)安全能力集成、按需調用

電子政務外網(wǎng)城域網(wǎng)邊界、政務云邊界接入數(shù)百個委辦局/單位，攻擊面廣，防護難度大，同時各單位對安全防護的級別和需求較多，為提升安全設備防護效率，增強安全設備的擴展能力及策略編排能力，可通過構建城域網(wǎng)邊界安全資源池、政務云邊界安全資源池以及安全資源池管理平臺，通過安全資源池內的安全防御服務編排能力，為各接入單位提供差異化安全服務能力，滿足各單位不同業(yè)務不同場景下對安全防御能力的不同需求。通過安全資源池管理系統(tǒng)納管安全資源池控制器，并通過安全資源池控制器對各安全服務組件進行統(tǒng)一的流量編排和策略下發(fā)，實現(xiàn)各廠商安全設備組件、安全服務的統(tǒng)一管理，達到安全能力異構，安全性能冗余，安全能力按需調用，策略按需編排的建設效果。通過網(wǎng)絡控制器實現(xiàn)網(wǎng)絡的精細化引流，根據(jù)不同委辦局的不同應用進行流量編排，如視頻流量處理路徑為DDos-防火墻，WEB流量處理路徑為DDos-防火墻-IPS，實現(xiàn)安全防護最優(yōu)路徑選擇。最終對電子政務外網(wǎng)所有進入城域網(wǎng)的流量進行差異化邊界安全防護，對僵尸網(wǎng)絡、木馬、蠕蟲、SQL 注入、跨站腳本攻擊、DDOS攻擊、C&C攻擊、APT等做安全檢測及防護，以保障電子政務外網(wǎng)業(yè)務的安全運行。

6 加強安全態(tài)勢感知建設，釋放網(wǎng)安協(xié)同能力

構建電子政務外網(wǎng)安全監(jiān)測平臺體系框架，通過部署流量探針、資產(chǎn)探測、漏洞掃描、威脅情報、態(tài)勢感知、通報預警實現(xiàn)覆蓋互聯(lián)網(wǎng)出口、城域網(wǎng)、廣域網(wǎng)、政務云邊界全方位安全監(jiān)測，形成全網(wǎng)監(jiān)測預警、信息共享和應急聯(lián)動能力，不斷提升政務外網(wǎng)安全保障能力。利用大數(shù)據(jù)、AI、聯(lián)邦學習、加密流量不解密(ECA)等技術加強關聯(lián)分析，提升全局性、整體化網(wǎng)絡安全態(tài)勢感知能力。建立上下協(xié)同聯(lián)動的安全管理機制，健全各級網(wǎng)絡應急響應預案，完善政務外網(wǎng)應急處置聯(lián)動機制，實現(xiàn)政務外網(wǎng)統(tǒng)一安全監(jiān)測管理及對網(wǎng)絡安全突發(fā)事件的協(xié)同聯(lián)動處置，達到態(tài)勢可感知、事件可預警、攻擊可追溯、安全可閉環(huán)的效果。

在態(tài)勢感知基礎上構建網(wǎng)絡和安全協(xié)同防御體系，通過安全監(jiān)測平臺與網(wǎng)絡控制器協(xié)同，編排聯(lián)動、阻斷、隔離、取證、封堵等多種策略動作，將威脅防護措施轉化成安全策略控制任務，向安全設備、網(wǎng)絡設備下發(fā)任務并監(jiān)控處置效果，對安全威脅進行就近阻斷，杜絕在網(wǎng)絡上擴散，從以前的單點防御到全網(wǎng)協(xié)防，縮短威脅處置時間，提升網(wǎng)絡的防御能力。

結合態(tài)勢感知系統(tǒng)構建一鍵式溯源方法，實現(xiàn)安全威脅可查。在電子政務外網(wǎng)中，部分接入單位的終端在接入政務外網(wǎng)會經(jīng)過多層NAT轉換，在政務外網(wǎng)進行流量采集并進行威脅分析時，很難根據(jù)NAT后的IP進行威脅的溯源、取證，通過部署的SDP（軟件定義邊界）零信任與安全監(jiān)測平臺結合，利用終端DeviceID代替IP地址重塑威脅識別系統(tǒng)，實現(xiàn)NAT前后威脅的精準溯源、取證，實現(xiàn)威脅的一鍵溯源，管理單位可以將監(jiān)測到的威脅源頭進行快速定位，提升威脅處置效率和通報預警的準確度。

7 安全管理中心打造全新運維運營能力

通過構建政務外網(wǎng)安全管理中心，實現(xiàn)電子政務外網(wǎng)的全網(wǎng)威脅可視化、通報預警與處置、威脅情報共享、上下級聯(lián)動、統(tǒng)一安全管理等運營能力，提高安全事件處理效率及質量。安全管理中心主要由前述的安全監(jiān)測平臺（安全態(tài)勢感知、通報預警與應急處置、威脅情報）、安全資源池管理系統(tǒng)、零信任管理系統(tǒng)、SDP管理系統(tǒng)、安全控制器、堡壘機等子系統(tǒng)組成，資產(chǎn)探測、漏掃、蜜罐、沙箱可為安全監(jiān)測平臺提供安全基礎能力。安全管理中心基于環(huán)境洞悉安全風險，以安全大數(shù)據(jù)為基礎，能夠通過文件、流量和日志綜合分析，結合威脅情報識別未知威脅，全面感知網(wǎng)絡資產(chǎn)狀態(tài)、網(wǎng)絡安全威脅態(tài)勢，通過日志與全流量綜合分析技術實現(xiàn)完整的網(wǎng)絡攻擊溯源取證，從全局視角對安全威脅進行發(fā)現(xiàn)識別、理解分析，聯(lián)動安全控制器下發(fā)安全策略，幫助安全人員采取針對性響應處置措施，提升安全綜合管理運維運營效率。

8 結語

在專網(wǎng)逐步整合以及電子政務外網(wǎng)升級迭代的趨勢下，電子政務外網(wǎng)發(fā)展將越來越快，規(guī)模也將越來越大，用戶越來越多，同時，政務大數(shù)據(jù)、城市治理、移動辦公等來自技術、場景的變革要素正在加速涌現(xiàn)，促使電子政務外網(wǎng)承載的業(yè)務與場景越來越多，電子政務外網(wǎng)的安全防御管理將是一個長期的動態(tài)過程，電子政務外網(wǎng)管理部門還需不斷研究新形勢下的電子政務外網(wǎng)安全綜合防御體系。本研究的思想主要基于安全技術融合，在現(xiàn)有相對成熟的安全技術框架下，針對典型的安全需求與問題研究各類技術的融合應用與協(xié)同配合，建立“立體防護、多方聯(lián)動”的安全綜合防御體系。在實際的工作開展過程中，技術手段只是安全防護的一方面，我們還應該持續(xù)完善有關安全管理機制，實現(xiàn)網(wǎng)絡安全技術與安全管理兩手抓，兩手硬，最大程度保障電子政務外網(wǎng)的運行安全。