電子政務(wù)外網(wǎng)是數(shù)字政府建設(shè)的重要基石，然而，各級(jí)政務(wù)部門終端接入政務(wù)外網(wǎng)時(shí)存在“一機(jī)兩用”的情況，導(dǎo)致政務(wù)外網(wǎng)終端感染僵木蠕、政務(wù)外網(wǎng)被跳板攻擊等安全事件。如何防范化解政務(wù)外網(wǎng)終端安全風(fēng)險(xiǎn)，保障政務(wù)外網(wǎng)整體安全性成為亟待解決的問題。

國(guó)家電子政務(wù)外網(wǎng)管理中心牽頭制定了《政務(wù)外網(wǎng)終端一機(jī)兩用安全管控技術(shù)指南》并于 2022年7月印發(fā)實(shí)施。為更好統(tǒng)籌政務(wù)外網(wǎng)終端安全管控體系建設(shè)，全面推動(dòng)政務(wù)外網(wǎng)終端“一機(jī)兩用”落地，2023 年，國(guó)家電子政務(wù)外網(wǎng)管理中心組織 18 家省、市級(jí)政務(wù)外網(wǎng)建設(shè)運(yùn)維管理單位開展標(biāo)準(zhǔn)試點(diǎn)試用工作。

作為國(guó)家《政務(wù)外網(wǎng)終端以及兩用安全管控技術(shù)指南》主要技術(shù)支撐單位，在過去的一年多時(shí)間里，聯(lián)軟已經(jīng)助力多個(gè)省市大數(shù)據(jù)中心建設(shè)并實(shí)施一機(jī)兩用項(xiàng)目，其中，完成驗(yàn)收的某省政務(wù)大數(shù)據(jù)中心一機(jī)兩用項(xiàng)目案例，入選國(guó)家電子政務(wù)外網(wǎng)管理中心評(píng)選匯編的《政務(wù)外網(wǎng)終端“一機(jī)兩用”試點(diǎn)工作最佳實(shí)踐案例》，以作示范為全國(guó)范圍內(nèi)的“一機(jī)兩用”工作提供參考。

業(yè)務(wù)挑戰(zhàn)

政務(wù)工作涵蓋眾多部門和崗位，每個(gè)部門或崗位因其特定任務(wù)需求，往往需要不同類型的終端設(shè)備來支撐，這導(dǎo)致了政務(wù)終端接入的廣泛性，不同區(qū)域、不同種類的設(shè)備通過各種方式接入電子政務(wù)外網(wǎng)，極大地?cái)U(kuò)展了網(wǎng)絡(luò)暴露面。另一方面，由于缺乏對(duì)不同類型設(shè)備接入的統(tǒng)一身份認(rèn)證，讓終端安全管理變得困難。

盡管該省市大數(shù)據(jù)中心已經(jīng)采取了一系列管理措施來應(yīng)對(duì)設(shè)備接入問題，但諸如私接路由器、無認(rèn)證接入網(wǎng)絡(luò)、終端準(zhǔn)入控制不嚴(yán)等現(xiàn)象仍然難以杜絕。由于網(wǎng)絡(luò)結(jié)構(gòu)的復(fù)雜性，當(dāng)運(yùn)維人員檢測(cè)到安全威脅時(shí)，往往難以迅速準(zhǔn)確定位問題源頭，這不僅導(dǎo)致數(shù)據(jù)泄露后難以追蹤，也使得安全責(zé)任難以明確落實(shí)，問題解決效率低下。因此，如何強(qiáng)化電子政務(wù)外網(wǎng)終端的安全管控，已成為了該省數(shù)字政府安全建設(shè)的重要課題。

解決方案

該省政務(wù)大數(shù)據(jù)中心參照《政務(wù)外網(wǎng)終端一機(jī)兩用安全管控技術(shù)指南》標(biāo)準(zhǔn)要求，建設(shè)以準(zhǔn)入控制、網(wǎng)絡(luò)隔離、動(dòng)態(tài)鑒權(quán)、數(shù)據(jù)防護(hù)為核心的零信任政務(wù)外網(wǎng)應(yīng)用安全訪問體系，規(guī)范省及地市電子政務(wù)外網(wǎng)PC端、移動(dòng)端的訪問控制，確保訪問終端、人員身份、業(yè)務(wù)應(yīng)用的安全基線，保障用戶和終端身份可信、應(yīng)用訪問行為合規(guī)可控、訪問網(wǎng)絡(luò)安全可靠，確保政務(wù)外網(wǎng)應(yīng)用和數(shù)據(jù)安全。

▲政務(wù)外網(wǎng)終端“一機(jī)兩用”安全管控建設(shè)方案

零信任管理平臺(tái)模塊：零信任管理平臺(tái)部署于政務(wù)外網(wǎng)數(shù)據(jù)中心安全管理區(qū)，通過集群部署保證業(yè)務(wù)的高可靠性，包含零信任接入控制和終端安全防護(hù)組件。對(duì)所有接入終端的安全策略統(tǒng)一配置管理，主要實(shí)現(xiàn)安全策略下發(fā)、動(dòng)態(tài)信任評(píng)估、用戶行為審計(jì)、用戶權(quán)限管控、應(yīng)用代理發(fā)布、惡意代碼防范、非法外聯(lián)控制、安全基線檢查、數(shù)據(jù)安全防護(hù)、終端資產(chǎn)管理、終端安全防護(hù)等功能，保障接入的終端設(shè)備安全可信，政務(wù)應(yīng)用和數(shù)據(jù)的安全防護(hù)，禁止非法終端接入。

零信任安全網(wǎng)關(guān)模塊：在政務(wù)外網(wǎng)城域網(wǎng)60對(duì)匯聚節(jié)點(diǎn)路由器分別旁路部署兩臺(tái)零信任安全網(wǎng)關(guān)，并組成雙機(jī)熱備保證高可靠，路由器通過策略路由將流量牽引到零信任安全網(wǎng)關(guān)，實(shí)現(xiàn)本地辦公終端零信任接入及安全防護(hù)。

一體化客戶端：在政務(wù)外網(wǎng)接入終端上部署終端一體化客戶端，用一個(gè)客戶端一次認(rèn)證完成局域網(wǎng)網(wǎng)絡(luò)準(zhǔn)入、零信任SPA認(rèn)證、零信任認(rèn)證流程，同時(shí)提供終端安全管控能力。不僅大大降低終端資源消耗，而且大大提高終端用戶體驗(yàn)和管理效率。

方案效果

通過部署零信任管理平臺(tái)、零信任安全網(wǎng)關(guān)以及一體化客戶端，該省大數(shù)據(jù)中心實(shí)現(xiàn)了對(duì)政務(wù)外網(wǎng)所有終端準(zhǔn)入的全面安全控制，確保了終端網(wǎng)絡(luò)接入的安全性。這一舉措使得大數(shù)據(jù)中心對(duì)接入政務(wù)外網(wǎng)的終端實(shí)施有效的安全管控，實(shí)現(xiàn) “一機(jī)兩用”省市協(xié)同，全面提升政務(wù)外網(wǎng)終端、應(yīng)用、流量、網(wǎng)絡(luò)、身份、基礎(chǔ)設(shè)施六個(gè)方面的防護(hù)能力，建全了覆蓋終端側(cè)、網(wǎng)絡(luò)側(cè)、應(yīng)用側(cè)的端到端的應(yīng)用訪問安全保障能力和安全運(yùn)營(yíng)能力。

??終端入網(wǎng)可信

終端在訪問政務(wù)外網(wǎng)應(yīng)用時(shí)，遵循基于零信任設(shè)計(jì)思想的SDP（軟件定義邊界）架構(gòu)，通過單包校驗(yàn)、建立加密連接等方式，實(shí)現(xiàn)政務(wù)外網(wǎng)應(yīng)用的安全訪問。

??網(wǎng)絡(luò)隔離，防止跨網(wǎng)攻擊

終端訪問部署在電子政務(wù)外網(wǎng)應(yīng)用的同時(shí)禁止終端對(duì)互聯(lián)網(wǎng)的連接，實(shí)現(xiàn)同一臺(tái)終端無法同時(shí)訪問兩張網(wǎng)絡(luò)，減少攻擊者從互聯(lián)網(wǎng)滲透至電子政務(wù)外網(wǎng)的風(fēng)險(xiǎn)，進(jìn)行應(yīng)用訪問時(shí)，建立終端到應(yīng)用的加密隧道，確保訪問過程中的機(jī)密性。

??應(yīng)用安全，最小權(quán)限訪問

通過零信任網(wǎng)關(guān)對(duì)應(yīng)用進(jìn)行反向代理，使應(yīng)用在網(wǎng)絡(luò)中默認(rèn)隱藏，僅面向有權(quán)限訪問的用戶和終端開放，并做最小權(quán)限訪問，當(dāng)訪問過程中發(fā)現(xiàn)高危行為，通過零信任網(wǎng)關(guān)及時(shí)阻斷，保障應(yīng)用安全。

??安全運(yùn)營(yíng)能力增強(qiáng)，臺(tái)賬清晰，威脅溯源

終端臺(tái)賬資產(chǎn)更清晰，借助身份認(rèn)證體系，“一機(jī)兩用”方案自動(dòng)關(guān)聯(lián)人與設(shè)備，生成明確資產(chǎn)臺(tái)賬。威脅溯源能力增強(qiáng)，利用水印信息和身份認(rèn)證，發(fā)現(xiàn)威脅后可迅速定位設(shè)備并通知用戶，實(shí)現(xiàn)及時(shí)處置，防止威脅擴(kuò)散。