电子政务网络安全接入技术研究

◆张明阳

电子政务网络安全接入技术研究

◆张明阳

（安徽省大数据中心 安徽 230001）

电子政务，伴随计算机技术与通信技术的发展，在政务服务领域发挥着越来越大的作用，电子政务网络边界接入的安全性更是受到了特别关注，应该系统性对电子政务网络安全接入技术进行研究。首先，要了解政务网络并分析其边界安全的重要性；其次，探究政务网安全接入技术；再次分类研究不同场景接入政务网的网络策略，并设计出系统架构；最后，总结电子政务网络安全接入研究的意义，并展望未来网络边界安全发展态势。

电子政务；计算机技术；网络安全；接入技术；系统架构

电子政务网络，是由政府投资建设，服务于党政机关、国有企事业单位的IT基础设施，其作用是为日常政务工作提供敏捷、廉洁、规范的操作流程，所用到的技术主要是系统工程、计算机软件工程及通信网络工程等现代信息技术。电子政务网，一般由政务内网和政务外网构成，两网之间逻辑隔离或物理隔离[1]；同时电子政务网络与互联网之间逻辑隔离。政务内网主要是各党政机关、企事业单位的办公局域网，政务外网是政务业务专用网络，政务外网又分为政务网区、互联网区；政务网区承载的业务系统主要是面向政务部门；互联网区承载的业务系统主要是面向公共社会。电子政务网络平台，是政务服务信息化运作的平台，为实施政府职能转变、提高政府管理信息化、业务办理无纸化，发挥着重要作用，因此在接入、使用电子政务网络期间，要保障其网络安全性。

1 电子政务网络边界安全的必要性

电子政务网络的覆盖面越来越大，系统架构越来越复杂，其安全性愈发重要。早在2014年，习近平主席在中央网络安全和信息化领导小组会议上讲话中曾经指出：“没有网络安全就没有国家安全，没有信息化就没有现代化”[2]。我们不难理解：网络安全是社会信息化和现代化的安全保障。

电子政务的安全体系包括：网络方面的安全、信息方面的安全。政务网络安全，一般是指网络内主机安全、通信系统安全、网络实体安全，是电子政务体系安全的基础；在网络安全的前提下，政务信息安全才有基础，才能实现整个电子政务安全体系。因此，电子政务网络安全非常重要。

保障电子政务网的安全，一项很重要的工作就是保障网络边界的安全，使得非法访问无法接触到网络内部，从而达到网络安全保障的目的。然而，许多电子政务网络，虽然配备了漏洞扫描、IPS、防火墙等软硬件设备，但在边界接入分类管理上缺少系统化的研究，接入方式混乱，导致网络安全边界不清晰，存在很多安全漏洞，网络安全设备不能很好地发挥作用，甚至形同虚设。

2 电子政务网络安全接入技术

2.1 防火墙

防火墙技术，是一种网络安全策略，有软件防火墙，也有硬件防火墙，一般部署在电子政务网的网络边界区域，其可以放行可信区域向风险区域之间的授权访问，但可阻断风险区域向安全区域的非授权访问。对网络内部的架构、配置信息进行屏蔽，对经过防火墙的数据包访问请求进行安全鉴别、策略限制[3]，阻断没有授权的协议和服务连接，使得网络访问准入是有审核机制的，一定程度上防止病毒、入侵行为进入电子政务网络，从而保护电子政务网络安全。

将防火墙置于政务网络边界，通过过滤不安全的服务而降低风险，能很大程度地提高政务网络内部的安全性。通过设置防火墙过滤权限，只有被允许的协议通信才能经过防火墙，这是保障内部网络安全的基础。若禁止NFS协议的通信消息请求通过防火墙，那么网络外部的攻击就无法攻击到内部网络中去；基于路由的攻击也可以通过防火墙来禁止，例如：基于IP的源路由攻击、基于ICMP的重定向攻击。同时，防火墙还可以将被其拒绝的报文日志记录下来，供管理员分析决策。

政务网络边界防火墙的策略配置，将网络边界划分得很明显，限制了网络某一边界区域模糊不清造成的不安全因素导致整个网络环境不安全的情况。此外，一些情况下，虽然网络整体尚未出现明显安全问题，但内部一些尚未引人注意的网络行为可能蕴含着可被利用的线索，从而引起外部攻击者的注意，其“顺藤摸瓜”能够通过这些线索找到网络内许多不能直接发现的漏洞，但是政务网络边界防火墙，能够屏蔽这些可被利用的线索，外部攻击者无法因此作为调板进行攻击，这更显示出防火墙的重要作用。

2.2 VPN

VPN广泛部署在单位核心网络区与部门分支网络之间，其通过核心网络区已有的互联网出口，虚拟出“隧道”链接，将核心网络区域分支网络区之间连接起来，使其逻辑上是一张网，它是一种很成熟很常见的跨网链接访问技术。例如，政务工作人员出差、休假等期间，无法接入电子政务网，则无法处理公务，需要VPN技术从互联网侧接入电子政务网，此时即可用已连接互联网的计算机登录电子政务网VPN网关，即可访问互联网资源。

电子政务网络的VPN功能，是通过架设SSL VPN网关和IPSEC VPN集群实现的。

工作在安全套接层的SSL VPN，能够在两网边界交汇处实现数据交换；SSL VPN协议是基于Internet的应用层，规定了接收端、发送端之间使用TCP/IP协议进行数据传输的规程，为用户提供身份认证、数据加密等服务，因此，可以开发基于SSL VPN封装技术的APP为一些党政机关提供掌上办公。在政务网络互联网接入区边界，架设政务网络SSL VPN安全网关，提供基于SSL的安全通道防护，综合利用密码运算、访问控制、协议代理等安全技术手段，结合安全管理设计和安全硬件设备等多种安全因素，实现对接入政务网络的用户访问应用系统的身份识别，对应用数据的机密性、完整性保护，以及基于角色的访问控制。同时，也实现终端用户的远程安全接入，以及对政务网络内应用系统有了安全防护；若集群化部署，还可以通过管理中心对多台网关进行集中管理和日志集中审计[4]。

采用IPSec协议实现VPN接入技术的是IPSEC VPN协议；IPSec协议定义了安全标准框架，在互联网上为两个政务网络区域提供安全通信加密通道，由两个公共网关间提供私密数据封包服务保证连接的安全。IPSEC VPN根据数据包鉴别机规程实现数据源鉴别，其在网络边缘和客户端建立“隧道”传输数据，那么数据包无论是在政务网还是公共Internet上都非透明传输，即IPSEC VPN提供端到边缘的安全性。在电子政务网络中应用IPSec VPN基于IP组开展对接入端进行网络访问控制。

在政务网络内部，架设IPSEC VPN集群，只有已经定义好允许接入的网络才能访问政务资源；主要有三种方式的部署模式。第一，在网关（如防火墙）之间，即“point to point”或“point to points”场景的IPSec VPN，主要用于网络核心与组织分支之间打通IPSecVPN隧道，实现分支机构与核心、分支机构之间的互联互通；第二，服务器与网关之间，主要用于小规模政务部门小型局域网通过互联网访问政务网络核心资源时；第三，政务网络不同分区内的服务器与服务器之间，服务器之间通过互联网进行数据传输，执行的加解密操作在IPSec VPN隧道两侧完成。

2.3 统一身份认证

统一身份认证，为结构化层次式架构：接口层、认证通道层、数据层，并包括身份认证模块、权限管理模块等多个功能模块。

身份认证模块，分析处理用户身份信息和成员站点信息，该模块面向用户提供注册功能，收集用户的用户名、密码、验证信息等，作为鉴定用户身份的凭证；该模块面向成员站点提供注册功能，收集成员站点的基本信息，以及成员站点用户的角色种类，赋予管理员用户、普通用户、特定权限用户等；在用户认证环节，拥有该信息组合的用户即被判为合法用户，允许接入。

权限管理模块，提供用户对成员站点的权限鉴权、成员站点对用户的权限鉴权、成员站点之间的权限鉴权；当用户向成员站点申请权限分配时，即将该用户相关信息提供至该成员站点，此时该成员站点通过用户提供的信息查询信息鉴权该用户，若鉴权通过统一身份认证，用户即可被分配相应的访问限制，获得以某种身份访问该成员站的权限。成员站点对成员用户信息/角色、权限信息站点的权限控制主要是成员站点控制向其他成员站点提供的调用接口[5]。

政务网络内部的身份认证，即为判断网络资源接入者是否为合法用户的鉴权过程。授权控制与身份认证有紧密联系，当用户一旦通过身份认证后，即可获得相应的授权：哪些网络资源可以接入访问，哪些网络资源不可以接入访问。在政务网络边界接入体系中，部署统一的身份认证平台，用以鉴别各类接入用户、接入方式是否合规，其授权控制可以由各级政务网络主管单位自己管理。

2.4 安全审计

网络安全审计，一般是遵照特定设置的安全策略，通过安全设备的系统活动、运行过程中的日志记录、用户访问活动等数据资源，检查、检验、审查各类操作事件，结合当时网络状况，分析并发现入侵行为、系统漏洞等，从而改善网络安全性能。

安全审计对网络系统内安全设备的记录和用户的访问行为，进行独立审计，具有重要的作用。第一，警示并威慑潜在的攻击者，其结果作为风险评估的依据；第二，时刻监测网络状态，当遇到不明网络状况时，及时调整，保障安全策略实时有效；第三，针对一发现的安全事件进行评价，并给出有效的灾备手段，以及事后追责依据；第四，将安全策略、系统规程及网络配置的变化开展评估与反馈，用以进行决策分析；第五，在网络安全人员的制定规程下，尽可能多发现潜在网络威胁、系统隐患与主机漏洞。

在政务网络接入区域部署安全审计设备，其作用是记录与审查访问者接入网络系统使用网络资源的操作活动，是审计用户合法合规性过程，是预测或发现不安全行为的过程，是增强网络安全性的监察措施[6]。被审计的操作活动，是指主机操作系统活动，以及用户所操作引起的活动；其中，用户操作的进程活动，即由用户引起的由操作系统和应用程序触发的进程，包括操作时间、资源类型、操作类型等。部署的安全审计设备在对接入政务网的用户进行审计时，主要是审计用户的操作活动信息[7]，如：用户操作所用的命令，用户身份认证与权限鉴别，被用户访问的资源信息。

2.5 入侵检测

入侵检测是在安全审计的基础上，对防火墙的合理地补充，被认为是既防火墙之后的第二道“安全墙”，通常放置在网关或防火墙后，用来捕获所有进出的数据包，实现对所有的数据包进行监视，能够在网络平台主动防御检测来自网外的攻击，扩充了安全管理网络的能力，对增强网络安全体系结构有重要意义。其工作原理是：在网络内部根据检测需要部署相应的探针，收集检测点信息，并将收集到的信息进行综合评判、决策分析，判断是否有悖于安全策略的迹象；它能够在网络性能几乎无损耗的情况下，对网络内部、外部的误操作、攻击等进行实时安全检查。

电子政务网络，因其规模不及Internet，但安全性要求较高，然而网络入侵者一般利用网络平台的漏洞非法进入系统，基于电子政务网络的入侵检测功能，要能够做到两点：一是阻止外部可疑的访问者，二是尽可能多发现并修改网络内部的漏洞；所以，在电子政务网络内部进行入侵检测时，一方面，可以尽可能多找关键节点部署安全探针，在系统稳定性、网络连通性、数据共享性及用户身份认证等方面，尽可能多收集检测数据，当某一数据源看不出不安全迹象时，可从多个数据源的数据综合分析，就可能找到可疑访问或者不安全行为；另一方面，对收集到的待检测数据，一般采用模式匹配、统计分析或知识库专家系统、完整性分析等算法策略开展评估判断，其中模式匹配、统计分析一般应用于风险实时检测，完整性分析与知识库专家系统一般用于风险事后评判[8]。

3 电子政务网络安全接入研究

基于防火墙、VPN、统一身份认证、安全审计、入侵检测等网络安全手段，为强化电子政务网安全体系建设，提高网络性能、承载力和安全性，促进电子政务健康持续发展，从政务网边界接入的角度考虑整个网络的安全性，可以统筹规划设计出几类电子政务网络的安全接入场景。设计研究不同接入方式，规范电子政务外网的安全接入技术，对于增强网络共建共享、提高通信效率、降低安全风险与节约维护成本等方面具有重要意义。

3.1 用户终端区专线接入电子政务网

当政务部门终端区域有电子政务网专线资源时，可以通过专线方式安全接入政务网络。此时，网络接入区采用安全认证网关进行准入控制，辅以统一身份认证平台进行身份认证。专线可以是裸光纤、SDH专线、MSTP专线、IPRAN专线和 PTN专线等，此方式常用于政务部门的分支机构场景[9]。

图1 终端专线接入电子政务网

3.2 终端互联网远程接入

党政务部门终端区无政务网专线资源时，政务终端（包括无线手持设备）可以利用互联网环境通过政务网VPN网关远程接入电子政务网；此方式适用于各级政务部门的电子政务远程办公、移动办公，以及工作人员因公出差期间利用互联网等社会公众网络办公等场景，满足各类远程终端、移动终端安全接入到政务外网的场景。

图2 终端互联网接入电子政务网

3.3 政务部门局域网接入政务网

政务部门的局域网，可以通过专线方式，或互联网IPsec VPN隧道方式，安全接入政务网。当政务部门局域网与政务网络平台之间有专线时，可选择专线接入方式；政务部门局域网因物理位置限制，无专线链路时，可选择通过互联网IPsec VPN隧道方式接入方式。政务部门局域网接入政务网络平台后，政务终端可接入政务部门局域网后，访问电子政务网和政务部门局域网内的授权业务。此场景常见于政务部门局域网络完整、安全，但因工作需要，应与政务网络融合互联的场景。

图3 部门局域网专线/互联网方式接入政务网

3.4 政务部门应用系统接入政务网

当政务部门应用系统部署于本部门内部局域网，但需要向政务网提供服务，有政务网用户访问需求时，政务部门业务应用系统通过电子政务网跨网数据安全交换系统进行安全接入政务网；同理，当政务网内部有应用系统需要向某些政务部门提供服务且有数据交换需求时，也可以通过此场景进行网络构建。此情况下，各级政务部门局域网均可接入电子政务网进行业务应用数据交换，但需要配备相应的前置机；方可支持政务部门业务与电子政务外网业务之间的安全数据交换[10]。

图4 政务部门应用系统接入政务网

4 结束语

电子政务网络承载的应用系统不断增加，网络规模也在不断扩大，同时网络攻击手段、网络病毒技术依然在推陈出新，网络安全压力与日俱增；牢牢把握政务网络边界安全阵地，将接入使用政务网络的场景进行分类，并基于常见的网络安全策略，分别规划设计不同场景下的接入技术手段，对规范管理电子政务网络边界、保障网络安全有重要意义。

随着IT技术的进步和发展，以及网络架构的不断演进，越来越丰富的入网设备，将向政务网络提出更多的接入需求，则相应的安全接入技术也将应运而生。

[1]余洋.电子政务系统风险评估模型设计与研究[D].成都理工大学，2008.

[2]崔光耀.乘十九大东风全面推进网信事业各项工作[J].中国信息安全，2017（11）：5.

[3]杨双江.论防火墙技术在计算机网络安全中的应用[J].企业家天地（下半月），2014（6）：143-144.

[4]马虔.软件定义网络环境下的安全流平台研究[J].信息安全与技术，2014，5（07）：58-60.

[5]李兵.市级公务员门户平台的设计与实现[D].厦门大学，2013.

[6]王蕊.网络系统安全分析与检验检测[J].网络安全技术与应用，2017（7）：11-13.

[7]高学萍，袁野. 网络安全体系在山东黄河专网中的建设应用[C].2019（第七届）中国水利信息化技术论坛论文集，2019：2-9.

[8]覃如贤.电子商务安全技术分析[C].Proceedings of the 2nd Asia-Pacific Conference on Information Network and Digital Content Security（2011APCID），2011：61-63.

[9]彭云峰.安徽省电子政务外网基层政务用户接入设计研究[J].电脑知识与技术，2018，14（20）：289-290.

[10]王亚静.电子政务网络安全隔离与数据交换技术的分析与研究[D].长安大学，2016.