電子政務外網安全綜合防御能力提升路徑

邊偉成

（江蘇省大數據管理中心 江蘇省南京市 210000）

1 電子政務外網安全發展現狀及存在問題

從安全防御手段來看，目前電子政務外網圍繞安全等級保護等相關要求初步構建了政務服務網絡安全防護技術體系，網絡基礎設施已具備邊界安全防護、抗DDoS、入侵檢測防御、APT防御、防病毒、異常流量檢測、終端安全防護等基礎安全防護能力?；诘燃壉Ｗo的基本要求，政務外網安全防護手段對新型未知威脅的防護能力有限，如傳統VPN終端認證方式為一次認證長期有效，一旦被不法分子破解入口將帶來一系列的安全風險。隨著電子政務外網的5G應用創新延伸以及政務各領域物聯網的部署加速，電子政務外網的網絡邊界將不斷擴大且模糊，各類業務的開展將增加更多新的模式，也將給政務外網帶來新的風險點及風險類型。如政務終端通過5G、互聯網等遠程接入方式訪問政務外網時，網絡安全防護的邊界變得模糊泛在，需引入動態持續認證的認證方式。

從安全運營管理來看，為保證安全風險能及時有效處理，電子政務外網已初步構建了網絡安全運營體系，并按照國家要求構建了安全管理平臺，但現有的安全運營管理體系中要素的聯動和配合能力有限，如：人與設備之間的聯動效率相對較低，安全設備能夠監測安全風險，但在發現風險后通常依賴于人工進行安全風險分析、策略評估、安全威脅解除等步驟，問題處置的效率相對較低，設備與設備之間的配合度不足，由于安全設備通常采用多廠家異構組合，各安全產品各自為戰，相互之間的能力相對孤立，無法實現動態聯動，不能形成安全合力，未形成平臺化的統一智能分析能力，無法動態編排安全策略，導致對安全事件的檢測防護效果不佳。

2 電子政務外網安全防御能力提升方向

電子政務外網安全建設應以國家《信息安全技術網絡安全等級保護基本要求》（GB/T 22239-2019）為基本要求，以《國家電子政務外網安全接入平臺技術規范》（GW0202-2014）、《政務網絡安全監測平臺總體技術要求》（T/CIIA 005-2019）、《政務外網終端一機兩用安全管控技術指南》（GW0015-2021）等為指引，結合電子政務外網的業務場景和安全現狀，采用系統化、體系化的安全整體思路，打造運營平臺化、管理一體化、態勢可感知、事件可預警、事故可追溯、技術可融合、安全可閉環的安全保障體系。主要可遵循如下方向開展相關工作：

2.1 縱深防御、態勢感知

建立物理安全、網絡安全、平臺安全、數據安全、應用安全多層級技術手段，構建重點防護、流量監測、智能研判、快速響應和有效阻斷的縱深防御系統。采集全網各要素狀態和網絡流量，通過動態分析、對比、關聯等方式進行數據分析和異常檢測，感知識別異常的事件和行為，支撐預警通報、快速響應、協同處置等能力。

2.2 自主可控、安全可信

貫徹落實國產化戰略布局，在建設過程中，應強化自主可控、安全可靠能力，在硬件設備、芯片可信、操作系統、數據庫、中間件、密碼算法等方面采用國產自主核心技術，保證安全系統的可控、可管、可信。

2.3 夯實基礎、打造能力

以“物理安全、環境安全、自主可控、安全可信、協同聯動”構筑安全基石，以政策標準指引和組織人才為支撐保障，圍繞電子政務外網信息體系持續打造安全宏觀決策能力、監測與安全事件通報預警能力、安全統一管理能力、安全縱深防御能力、安全監管運維能力，形成體系化安全對抗能力，滿足新時期電子政務安全保障需要。

2.4 網安協同、一體安全

利用網絡設備、安全設備、流探針作為檢測和執行點，收集網絡流量、安全日志、漏洞掃描日志、主機安全等盡可能全的安全威脅事件信息，進行統一綜合研判，提升安全分析精準率，對網絡行為數據進行深度鉆取，及時發現潛在威脅。通過控制器調度網絡和安全設備協同處置，加快威脅響應速度，防止威脅在政務外網擴散，對于違規的主體立即就近阻斷，實現網安一體防護。

3 電子政務外網安全防御體系邏輯架構

為符合國家對電子政務外網安全建設的相關合規性要求，堅持安全與網絡同步建設與統一發展，加強網絡技術創新趨勢下的安全支撐能力，滿足新興政務業務場景下的實際安全需要，構建安全平臺化、管理一體化、態勢可感知、事件可預警、事故可追溯、技術可融合、安全可閉環的電子政務外網網絡安全體系，為各政務服務應用提供主動、動態、按需、多維度、立體化的智能安全保障能力。安全邏輯架構如圖1所示。

圖1：電子政務外網安全邏輯架構

圖2

在終端接入方面，引入前沿的零信任安全技術，對電子政務外網的訪問終端進行動態、持續性地風險評估，建立逐次授權的動態信任模型，精細顆粒授權，構建全流程信任鏈，實現端到端可信；在骨干防護方面，可構建電子政務外網安全資源池，通過統一接口集成異構廠家安全設備，改善傳統模式下安全設備能力孤立、策略難以編排的窘境；在安全監測與管理方面，應建立全網安全態勢感知系統，結合傳統的流量探針、漏掃、沙箱等采集設備，利用AI的威脅分析方法，實現全網安全分析、發現、通報、處置全生命周期的安全管理模式。通過各類安全技術融合打出電子政務外網安全防御的組合拳，構建終端接入可信、網絡邊界可控、安全態勢可視、安全威脅可防、安全資源可管的智能防御體系，全面保障政務外網可信、可控、可管、可用。

4 基于零信任構建終端動態認證新模式

4.1 固網終端安全接入

針對電子政務外網環境中存在的通過固網終端進行的跳板攻擊、數據泄露等安全風險，可采用軟件定義邊界（Software Defined Perimeter）零信任技術，構建SDP管理系統、零信任網關、終端零信任客戶端等組件。SDP管理系統可以實現業務應用申請及發布管理、零信任客戶端運維管理、評分動態授權等功能，以及終端安全策略集中管理和下發。零信任網關主要負責接入鑒別、訪問控制和網絡隱身等，將業務應用部署在零信任網關之后，可以有效收斂政務部門業務應用的暴露面，減少被入侵的風險。在終端上部署零信任客戶端，實現接入認證及入網安全檢查、網絡隔離、數據安全隔離和異常行為檢測。

圖3

圖4

SDP零信任技術將終端接入管控與安全基線檢查管控等安全技術有機整合，防范網絡被非法接入，防止終端跳板攻擊和數據泄露，可實現政務外網固網終端的安全業務訪問，保障固網終端在訪問其他專網業務時與政務外網業務隔離，支撐政務外網固網終端的安全合規使用。

4.2 遠程終端安全接入

對于不具備固定專線接入條件的各類遠程終端接入場景，可利用基于VPN的遠程零信任接入技術，構建移動VPN、零信任管理系統、可信接入代理、遠程終端零信任客戶端等。通過遠程終端零信任客戶端實時終端安全狀態監測，并上傳相應安全數據到零信任管理系統。通過零信任管理系統統一分析終端安全狀態并動態調整訪問權限。通過可信接入代理接收零信任管理系統指令，根據最新的權限調整情況對相應的業務訪問做放通或阻斷。為了滿足密評的要求，VPN加密的算法應支持國密SM2、SM3、SM4。在滿足VPN安全接入合規性要求的基礎上，通過遠程零信任安全接入解決方案進行強化建設，做到持續認證、動態授權，以消除傳統VPN固有的一次認證長期有效的安全隱患。

5 采用安全資源池實現安全能力集成、按需調用

電子政務外網城域網邊界、政務云邊界接入數百個委辦局/單位，攻擊面廣，防護難度大，同時各單位對安全防護的級別和需求較多，為提升安全設備防護效率，增強安全設備的擴展能力及策略編排能力，可通過構建城域網邊界安全資源池、政務云邊界安全資源池以及安全資源池管理平臺，通過安全資源池內的安全防御服務編排能力，為各接入單位提供差異化安全服務能力，滿足各單位不同業務不同場景下對安全防御能力的不同需求。通過安全資源池管理系統納管安全資源池控制器，并通過安全資源池控制器對各安全服務組件進行統一的流量編排和策略下發，實現各廠商安全設備組件、安全服務的統一管理，達到安全能力異構，安全性能冗余，安全能力按需調用，策略按需編排的建設效果。通過網絡控制器實現網絡的精細化引流，根據不同委辦局的不同應用進行流量編排，如視頻流量處理路徑為DDos-防火墻，WEB流量處理路徑為DDos-防火墻-IPS，實現安全防護最優路徑選擇。最終對電子政務外網所有進入城域網的流量進行差異化邊界安全防護，對僵尸網絡、木馬、蠕蟲、SQL 注入、跨站腳本攻擊、DDOS攻擊、C&C攻擊、APT等做安全檢測及防護，以保障電子政務外網業務的安全運行。

6 加強安全態勢感知建設，釋放網安協同能力

構建電子政務外網安全監測平臺體系框架，通過部署流量探針、資產探測、漏洞掃描、威脅情報、態勢感知、通報預警實現覆蓋互聯網出口、城域網、廣域網、政務云邊界全方位安全監測，形成全網監測預警、信息共享和應急聯動能力，不斷提升政務外網安全保障能力。利用大數據、AI、聯邦學習、加密流量不解密(ECA)等技術加強關聯分析，提升全局性、整體化網絡安全態勢感知能力。建立上下協同聯動的安全管理機制，健全各級網絡應急響應預案，完善政務外網應急處置聯動機制，實現政務外網統一安全監測管理及對網絡安全突發事件的協同聯動處置，達到態勢可感知、事件可預警、攻擊可追溯、安全可閉環的效果。

在態勢感知基礎上構建網絡和安全協同防御體系，通過安全監測平臺與網絡控制器協同，編排聯動、阻斷、隔離、取證、封堵等多種策略動作，將威脅防護措施轉化成安全策略控制任務，向安全設備、網絡設備下發任務并監控處置效果，對安全威脅進行就近阻斷，杜絕在網絡上擴散，從以前的單點防御到全網協防，縮短威脅處置時間，提升網絡的防御能力。

結合態勢感知系統構建一鍵式溯源方法，實現安全威脅可查。在電子政務外網中，部分接入單位的終端在接入政務外網會經過多層NAT轉換，在政務外網進行流量采集并進行威脅分析時，很難根據NAT后的IP進行威脅的溯源、取證，通過部署的SDP（軟件定義邊界）零信任與安全監測平臺結合，利用終端DeviceID代替IP地址重塑威脅識別系統，實現NAT前后威脅的精準溯源、取證，實現威脅的一鍵溯源，管理單位可以將監測到的威脅源頭進行快速定位，提升威脅處置效率和通報預警的準確度。

7 安全管理中心打造全新運維運營能力

通過構建政務外網安全管理中心，實現電子政務外網的全網威脅可視化、通報預警與處置、威脅情報共享、上下級聯動、統一安全管理等運營能力，提高安全事件處理效率及質量。安全管理中心主要由前述的安全監測平臺（安全態勢感知、通報預警與應急處置、威脅情報）、安全資源池管理系統、零信任管理系統、SDP管理系統、安全控制器、堡壘機等子系統組成，資產探測、漏掃、蜜罐、沙箱可為安全監測平臺提供安全基礎能力。安全管理中心基于環境洞悉安全風險，以安全大數據為基礎，能夠通過文件、流量和日志綜合分析，結合威脅情報識別未知威脅，全面感知網絡資產狀態、網絡安全威脅態勢，通過日志與全流量綜合分析技術實現完整的網絡攻擊溯源取證，從全局視角對安全威脅進行發現識別、理解分析，聯動安全控制器下發安全策略，幫助安全人員采取針對性響應處置措施，提升安全綜合管理運維運營效率。

8 結語

在專網逐步整合以及電子政務外網升級迭代的趨勢下，電子政務外網發展將越來越快，規模也將越來越大，用戶越來越多，同時，政務大數據、城市治理、移動辦公等來自技術、場景的變革要素正在加速涌現，促使電子政務外網承載的業務與場景越來越多，電子政務外網的安全防御管理將是一個長期的動態過程，電子政務外網管理部門還需不斷研究新形勢下的電子政務外網安全綜合防御體系。本研究的思想主要基于安全技術融合，在現有相對成熟的安全技術框架下，針對典型的安全需求與問題研究各類技術的融合應用與協同配合，建立“立體防護、多方聯動”的安全綜合防御體系。在實際的工作開展過程中，技術手段只是安全防護的一方面，我們還應該持續完善有關安全管理機制，實現網絡安全技術與安全管理兩手抓，兩手硬，最大程度保障電子政務外網的運行安全。