电子政务外网安全综合防御能力提升路径

边伟成

（江苏省大数据管理中心 江苏省南京市 210000）

1 电子政务外网安全发展现状及存在问题

从安全防御手段来看，目前电子政务外网围绕安全等级保护等相关要求初步构建了政务服务网络安全防护技术体系，网络基础设施已具备边界安全防护、抗DDoS、入侵检测防御、APT防御、防病毒、异常流量检测、终端安全防护等基础安全防护能力。基于等级保护的基本要求，政务外网安全防护手段对新型未知威胁的防护能力有限，如传统VPN终端认证方式为一次认证长期有效，一旦被不法分子破解入口将带来一系列的安全风险。随着电子政务外网的5G应用创新延伸以及政务各领域物联网的部署加速，电子政务外网的网络边界将不断扩大且模糊，各类业务的开展将增加更多新的模式，也将给政务外网带来新的风险点及风险类型。如政务终端通过5G、互联网等远程接入方式访问政务外网时，网络安全防护的边界变得模糊泛在，需引入动态持续认证的认证方式。

从安全运营管理来看，为保证安全风险能及时有效处理，电子政务外网已初步构建了网络安全运营体系，并按照国家要求构建了安全管理平台，但现有的安全运营管理体系中要素的联动和配合能力有限，如：人与设备之间的联动效率相对较低，安全设备能够监测安全风险，但在发现风险后通常依赖于人工进行安全风险分析、策略评估、安全威胁解除等步骤，问题处置的效率相对较低，设备与设备之间的配合度不足，由于安全设备通常采用多厂家异构组合，各安全产品各自为战，相互之间的能力相对孤立，无法实现动态联动，不能形成安全合力，未形成平台化的统一智能分析能力，无法动态编排安全策略，导致对安全事件的检测防护效果不佳。

2 电子政务外网安全防御能力提升方向

电子政务外网安全建设应以国家《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）为基本要求，以《国家电子政务外网安全接入平台技术规范》（GW0202-2014）、《政务网络安全监测平台总体技术要求》（T/CIIA 005-2019）、《政务外网终端一机两用安全管控技术指南》（GW0015-2021）等为指引，结合电子政务外网的业务场景和安全现状，采用系统化、体系化的安全整体思路，打造运营平台化、管理一体化、态势可感知、事件可预警、事故可追溯、技术可融合、安全可闭环的安全保障体系。主要可遵循如下方向开展相关工作：

2.1 纵深防御、态势感知

建立物理安全、网络安全、平台安全、数据安全、应用安全多层级技术手段，构建重点防护、流量监测、智能研判、快速响应和有效阻断的纵深防御系统。采集全网各要素状态和网络流量，通过动态分析、对比、关联等方式进行数据分析和异常检测，感知识别异常的事件和行为，支撑预警通报、快速响应、协同处置等能力。

2.2 自主可控、安全可信

贯彻落实国产化战略布局，在建设过程中，应强化自主可控、安全可靠能力，在硬件设备、芯片可信、操作系统、数据库、中间件、密码算法等方面采用国产自主核心技术，保证安全系统的可控、可管、可信。

2.3 夯实基础、打造能力

以“物理安全、环境安全、自主可控、安全可信、协同联动”构筑安全基石，以政策标准指引和组织人才为支撑保障，围绕电子政务外网信息体系持续打造安全宏观决策能力、监测与安全事件通报预警能力、安全统一管理能力、安全纵深防御能力、安全监管运维能力，形成体系化安全对抗能力，满足新时期电子政务安全保障需要。

2.4 网安协同、一体安全

利用网络设备、安全设备、流探针作为检测和执行点，收集网络流量、安全日志、漏洞扫描日志、主机安全等尽可能全的安全威胁事件信息，进行统一综合研判，提升安全分析精准率，对网络行为数据进行深度钻取，及时发现潜在威胁。通过控制器调度网络和安全设备协同处置，加快威胁响应速度，防止威胁在政务外网扩散，对于违规的主体立即就近阻断，实现网安一体防护。

3 电子政务外网安全防御体系逻辑架构

为符合国家对电子政务外网安全建设的相关合规性要求，坚持安全与网络同步建设与统一发展，加强网络技术创新趋势下的安全支撑能力，满足新兴政务业务场景下的实际安全需要，构建安全平台化、管理一体化、态势可感知、事件可预警、事故可追溯、技术可融合、安全可闭环的电子政务外网网络安全体系，为各政务服务应用提供主动、动态、按需、多维度、立体化的智能安全保障能力。安全逻辑架构如图1所示。

图1：电子政务外网安全逻辑架构

图2

在终端接入方面，引入前沿的零信任安全技术，对电子政务外网的访问终端进行动态、持续性地风险评估，建立逐次授权的动态信任模型，精细颗粒授权，构建全流程信任链，实现端到端可信；在骨干防护方面，可构建电子政务外网安全资源池，通过统一接口集成异构厂家安全设备，改善传统模式下安全设备能力孤立、策略难以编排的窘境；在安全监测与管理方面，应建立全网安全态势感知系统，结合传统的流量探针、漏扫、沙箱等采集设备，利用AI的威胁分析方法，实现全网安全分析、发现、通报、处置全生命周期的安全管理模式。通过各类安全技术融合打出电子政务外网安全防御的组合拳，构建终端接入可信、网络边界可控、安全态势可视、安全威胁可防、安全资源可管的智能防御体系，全面保障政务外网可信、可控、可管、可用。

4 基于零信任构建终端动态认证新模式

4.1 固网终端安全接入

针对电子政务外网环境中存在的通过固网终端进行的跳板攻击、数据泄露等安全风险，可采用软件定义边界（Software Defined Perimeter）零信任技术，构建SDP管理系统、零信任网关、终端零信任客户端等组件。SDP管理系统可以实现业务应用申请及发布管理、零信任客户端运维管理、评分动态授权等功能，以及终端安全策略集中管理和下发。零信任网关主要负责接入鉴别、访问控制和网络隐身等，将业务应用部署在零信任网关之后，可以有效收敛政务部门业务应用的暴露面，减少被入侵的风险。在终端上部署零信任客户端，实现接入认证及入网安全检查、网络隔离、数据安全隔离和异常行为检测。

图3

图4

SDP零信任技术将终端接入管控与安全基线检查管控等安全技术有机整合，防范网络被非法接入，防止终端跳板攻击和数据泄露，可实现政务外网固网终端的安全业务访问，保障固网终端在访问其他专网业务时与政务外网业务隔离，支撑政务外网固网终端的安全合规使用。

4.2 远程终端安全接入

对于不具备固定专线接入条件的各类远程终端接入场景，可利用基于VPN的远程零信任接入技术，构建移动VPN、零信任管理系统、可信接入代理、远程终端零信任客户端等。通过远程终端零信任客户端实时终端安全状态监测，并上传相应安全数据到零信任管理系统。通过零信任管理系统统一分析终端安全状态并动态调整访问权限。通过可信接入代理接收零信任管理系统指令，根据最新的权限调整情况对相应的业务访问做放通或阻断。为了满足密评的要求，VPN加密的算法应支持国密SM2、SM3、SM4。在满足VPN安全接入合规性要求的基础上，通过远程零信任安全接入解决方案进行强化建设，做到持续认证、动态授权，以消除传统VPN固有的一次认证长期有效的安全隐患。

5 采用安全资源池实现安全能力集成、按需调用

电子政务外网城域网边界、政务云边界接入数百个委办局/单位，攻击面广，防护难度大，同时各单位对安全防护的级别和需求较多，为提升安全设备防护效率，增强安全设备的扩展能力及策略编排能力，可通过构建城域网边界安全资源池、政务云边界安全资源池以及安全资源池管理平台，通过安全资源池内的安全防御服务编排能力，为各接入单位提供差异化安全服务能力，满足各单位不同业务不同场景下对安全防御能力的不同需求。通过安全资源池管理系统纳管安全资源池控制器，并通过安全资源池控制器对各安全服务组件进行统一的流量编排和策略下发，实现各厂商安全设备组件、安全服务的统一管理，达到安全能力异构，安全性能冗余，安全能力按需调用，策略按需编排的建设效果。通过网络控制器实现网络的精细化引流，根据不同委办局的不同应用进行流量编排，如视频流量处理路径为DDos-防火墙，WEB流量处理路径为DDos-防火墙-IPS，实现安全防护最优路径选择。最终对电子政务外网所有进入城域网的流量进行差异化边界安全防护，对僵尸网络、木马、蠕虫、SQL 注入、跨站脚本攻击、DDOS攻击、C&C攻击、APT等做安全检测及防护，以保障电子政务外网业务的安全运行。

6 加强安全态势感知建设，释放网安协同能力

构建电子政务外网安全监测平台体系框架，通过部署流量探针、资产探测、漏洞扫描、威胁情报、态势感知、通报预警实现覆盖互联网出口、城域网、广域网、政务云边界全方位安全监测，形成全网监测预警、信息共享和应急联动能力，不断提升政务外网安全保障能力。利用大数据、AI、联邦学习、加密流量不解密(ECA)等技术加强关联分析，提升全局性、整体化网络安全态势感知能力。建立上下协同联动的安全管理机制，健全各级网络应急响应预案，完善政务外网应急处置联动机制，实现政务外网统一安全监测管理及对网络安全突发事件的协同联动处置，达到态势可感知、事件可预警、攻击可追溯、安全可闭环的效果。

在态势感知基础上构建网络和安全协同防御体系，通过安全监测平台与网络控制器协同，编排联动、阻断、隔离、取证、封堵等多种策略动作，将威胁防护措施转化成安全策略控制任务，向安全设备、网络设备下发任务并监控处置效果，对安全威胁进行就近阻断，杜绝在网络上扩散，从以前的单点防御到全网协防，缩短威胁处置时间，提升网络的防御能力。

结合态势感知系统构建一键式溯源方法，实现安全威胁可查。在电子政务外网中，部分接入单位的终端在接入政务外网会经过多层NAT转换，在政务外网进行流量采集并进行威胁分析时，很难根据NAT后的IP进行威胁的溯源、取证，通过部署的SDP（软件定义边界）零信任与安全监测平台结合，利用终端DeviceID代替IP地址重塑威胁识别系统，实现NAT前后威胁的精准溯源、取证，实现威胁的一键溯源，管理单位可以将监测到的威胁源头进行快速定位，提升威胁处置效率和通报预警的准确度。

7 安全管理中心打造全新运维运营能力

通过构建政务外网安全管理中心，实现电子政务外网的全网威胁可视化、通报预警与处置、威胁情报共享、上下级联动、统一安全管理等运营能力，提高安全事件处理效率及质量。安全管理中心主要由前述的安全监测平台（安全态势感知、通报预警与应急处置、威胁情报）、安全资源池管理系统、零信任管理系统、SDP管理系统、安全控制器、堡垒机等子系统组成，资产探测、漏扫、蜜罐、沙箱可为安全监测平台提供安全基础能力。安全管理中心基于环境洞悉安全风险，以安全大数据为基础，能够通过文件、流量和日志综合分析，结合威胁情报识别未知威胁，全面感知网络资产状态、网络安全威胁态势，通过日志与全流量综合分析技术实现完整的网络攻击溯源取证，从全局视角对安全威胁进行发现识别、理解分析，联动安全控制器下发安全策略，帮助安全人员采取针对性响应处置措施，提升安全综合管理运维运营效率。

8 结语

在专网逐步整合以及电子政务外网升级迭代的趋势下，电子政务外网发展将越来越快，规模也将越来越大，用户越来越多，同时，政务大数据、城市治理、移动办公等来自技术、场景的变革要素正在加速涌现，促使电子政务外网承载的业务与场景越来越多，电子政务外网的安全防御管理将是一个长期的动态过程，电子政务外网管理部门还需不断研究新形势下的电子政务外网安全综合防御体系。本研究的思想主要基于安全技术融合，在现有相对成熟的安全技术框架下，针对典型的安全需求与问题研究各类技术的融合应用与协同配合，建立“立体防护、多方联动”的安全综合防御体系。在实际的工作开展过程中，技术手段只是安全防护的一方面，我们还应该持续完善有关安全管理机制，实现网络安全技术与安全管理两手抓，两手硬，最大程度保障电子政务外网的运行安全。