電子政務(wù)外網(wǎng)是數(shù)字政府建設(shè)的重要基石，然而，各級政務(wù)部門終端接入政務(wù)外網(wǎng)時存在“一機(jī)兩用”的情況，導(dǎo)致政務(wù)外網(wǎng)終端感染僵木蠕、政務(wù)外網(wǎng)被跳板攻擊等安全事件。如何防范化解政務(wù)外網(wǎng)終端安全風(fēng)險，保障政務(wù)外網(wǎng)整體安全性成為亟待解決的問題。

國家電子政務(wù)外網(wǎng)管理中心牽頭制定了《政務(wù)外網(wǎng)終端一機(jī)兩用安全管控技術(shù)指南》并于 2022年7月印發(fā)實施。為更好統(tǒng)籌政務(wù)外網(wǎng)終端安全管控體系建設(shè)，全面推動政務(wù)外網(wǎng)終端“一機(jī)兩用”落地，2023 年，國家電子政務(wù)外網(wǎng)管理中心組織 18 家省、市級政務(wù)外網(wǎng)建設(shè)運維管理單位開展標(biāo)準(zhǔn)試點試用工作。

作為國家《政務(wù)外網(wǎng)終端以及兩用安全管控技術(shù)指南》主要技術(shù)支撐單位，在過去的一年多時間里，聯(lián)軟已經(jīng)助力多個省市大數(shù)據(jù)中心建設(shè)并實施一機(jī)兩用項目，其中，完成驗收的某省政務(wù)大數(shù)據(jù)中心一機(jī)兩用項目案例，入選國家電子政務(wù)外網(wǎng)管理中心評選匯編的《政務(wù)外網(wǎng)終端“一機(jī)兩用”試點工作最佳實踐案例》，以作示范為全國范圍內(nèi)的“一機(jī)兩用”工作提供參考。

業(yè)務(wù)挑戰(zhàn)

政務(wù)工作涵蓋眾多部門和崗位，每個部門或崗位因其特定任務(wù)需求，往往需要不同類型的終端設(shè)備來支撐，這導(dǎo)致了政務(wù)終端接入的廣泛性，不同區(qū)域、不同種類的設(shè)備通過各種方式接入電子政務(wù)外網(wǎng)，極大地擴(kuò)展了網(wǎng)絡(luò)暴露面。另一方面，由于缺乏對不同類型設(shè)備接入的統(tǒng)一身份認(rèn)證，讓終端安全管理變得困難。

盡管該省市大數(shù)據(jù)中心已經(jīng)采取了一系列管理措施來應(yīng)對設(shè)備接入問題，但諸如私接路由器、無認(rèn)證接入網(wǎng)絡(luò)、終端準(zhǔn)入控制不嚴(yán)等現(xiàn)象仍然難以杜絕。由于網(wǎng)絡(luò)結(jié)構(gòu)的復(fù)雜性，當(dāng)運維人員檢測到安全威脅時，往往難以迅速準(zhǔn)確定位問題源頭，這不僅導(dǎo)致數(shù)據(jù)泄露后難以追蹤，也使得安全責(zé)任難以明確落實，問題解決效率低下。因此，如何強化電子政務(wù)外網(wǎng)終端的安全管控，已成為了該省數(shù)字政府安全建設(shè)的重要課題。

解決方案

該省政務(wù)大數(shù)據(jù)中心參照《政務(wù)外網(wǎng)終端一機(jī)兩用安全管控技術(shù)指南》標(biāo)準(zhǔn)要求，建設(shè)以準(zhǔn)入控制、網(wǎng)絡(luò)隔離、動態(tài)鑒權(quán)、數(shù)據(jù)防護(hù)為核心的零信任政務(wù)外網(wǎng)應(yīng)用安全訪問體系，規(guī)范省及地市電子政務(wù)外網(wǎng)PC端、移動端的訪問控制，確保訪問終端、人員身份、業(yè)務(wù)應(yīng)用的安全基線，保障用戶和終端身份可信、應(yīng)用訪問行為合規(guī)可控、訪問網(wǎng)絡(luò)安全可靠，確保政務(wù)外網(wǎng)應(yīng)用和數(shù)據(jù)安全。

▲政務(wù)外網(wǎng)終端“一機(jī)兩用”安全管控建設(shè)方案

零信任管理平臺模塊：零信任管理平臺部署于政務(wù)外網(wǎng)數(shù)據(jù)中心安全管理區(qū)，通過集群部署保證業(yè)務(wù)的高可靠性，包含零信任接入控制和終端安全防護(hù)組件。對所有接入終端的安全策略統(tǒng)一配置管理，主要實現(xiàn)安全策略下發(fā)、動態(tài)信任評估、用戶行為審計、用戶權(quán)限管控、應(yīng)用代理發(fā)布、惡意代碼防范、非法外聯(lián)控制、安全基線檢查、數(shù)據(jù)安全防護(hù)、終端資產(chǎn)管理、終端安全防護(hù)等功能，保障接入的終端設(shè)備安全可信，政務(wù)應(yīng)用和數(shù)據(jù)的安全防護(hù)，禁止非法終端接入。

零信任安全網(wǎng)關(guān)模塊：在政務(wù)外網(wǎng)城域網(wǎng)60對匯聚節(jié)點路由器分別旁路部署兩臺零信任安全網(wǎng)關(guān)，并組成雙機(jī)熱備保證高可靠，路由器通過策略路由將流量牽引到零信任安全網(wǎng)關(guān)，實現(xiàn)本地辦公終端零信任接入及安全防護(hù)。

一體化客戶端：在政務(wù)外網(wǎng)接入終端上部署終端一體化客戶端，用一個客戶端一次認(rèn)證完成局域網(wǎng)網(wǎng)絡(luò)準(zhǔn)入、零信任SPA認(rèn)證、零信任認(rèn)證流程，同時提供終端安全管控能力。不僅大大降低終端資源消耗，而且大大提高終端用戶體驗和管理效率。

方案效果

通過部署零信任管理平臺、零信任安全網(wǎng)關(guān)以及一體化客戶端，該省大數(shù)據(jù)中心實現(xiàn)了對政務(wù)外網(wǎng)所有終端準(zhǔn)入的全面安全控制，確保了終端網(wǎng)絡(luò)接入的安全性。這一舉措使得大數(shù)據(jù)中心對接入政務(wù)外網(wǎng)的終端實施有效的安全管控，實現(xiàn) “一機(jī)兩用”省市協(xié)同，全面提升政務(wù)外網(wǎng)終端、應(yīng)用、流量、網(wǎng)絡(luò)、身份、基礎(chǔ)設(shè)施六個方面的防護(hù)能力，建全了覆蓋終端側(cè)、網(wǎng)絡(luò)側(cè)、應(yīng)用側(cè)的端到端的應(yīng)用訪問安全保障能力和安全運營能力。

??終端入網(wǎng)可信

終端在訪問政務(wù)外網(wǎng)應(yīng)用時，遵循基于零信任設(shè)計思想的SDP（軟件定義邊界）架構(gòu)，通過單包校驗、建立加密連接等方式，實現(xiàn)政務(wù)外網(wǎng)應(yīng)用的安全訪問。

??網(wǎng)絡(luò)隔離，防止跨網(wǎng)攻擊

終端訪問部署在電子政務(wù)外網(wǎng)應(yīng)用的同時禁止終端對互聯(lián)網(wǎng)的連接，實現(xiàn)同一臺終端無法同時訪問兩張網(wǎng)絡(luò)，減少攻擊者從互聯(lián)網(wǎng)滲透至電子政務(wù)外網(wǎng)的風(fēng)險，進(jìn)行應(yīng)用訪問時，建立終端到應(yīng)用的加密隧道，確保訪問過程中的機(jī)密性。

??應(yīng)用安全，最小權(quán)限訪問

通過零信任網(wǎng)關(guān)對應(yīng)用進(jìn)行反向代理，使應(yīng)用在網(wǎng)絡(luò)中默認(rèn)隱藏，僅面向有權(quán)限訪問的用戶和終端開放，并做最小權(quán)限訪問，當(dāng)訪問過程中發(fā)現(xiàn)高危行為，通過零信任網(wǎng)關(guān)及時阻斷，保障應(yīng)用安全。

??安全運營能力增強，臺賬清晰，威脅溯源

終端臺賬資產(chǎn)更清晰，借助身份認(rèn)證體系，“一機(jī)兩用”方案自動關(guān)聯(lián)人與設(shè)備，生成明確資產(chǎn)臺賬。威脅溯源能力增強，利用水印信息和身份認(rèn)證，發(fā)現(xiàn)威脅后可迅速定位設(shè)備并通知用戶，實現(xiàn)及時處置，防止威脅擴(kuò)散。