電子政務(wù)外網(wǎng)是數字政府建設的重要基石，然而，各級政務(wù)部門(mén)終端接入政務(wù)外網(wǎng)時(shí)存在“一機兩用”的情況，導致政務(wù)外網(wǎng)終端感染僵木蠕、政務(wù)外網(wǎng)被跳板攻擊等安全事件。如何防范化解政務(wù)外網(wǎng)終端安全風(fēng)險，保障政務(wù)外網(wǎng)整體安全性成為亟待解決的問(wèn)題。

國家電子政務(wù)外網(wǎng)管理中心牽頭制定了《政務(wù)外網(wǎng)終端一機兩用安全管控技術(shù)指南》并于 2022年7月印發(fā)實(shí)施。為更好統籌政務(wù)外網(wǎng)終端安全管控體系建設，全面推動(dòng)政務(wù)外網(wǎng)終端“一機兩用”落地，2023 年，國家電子政務(wù)外網(wǎng)管理中心組織 18 家省、市級政務(wù)外網(wǎng)建設運維管理單位開(kāi)展標準試點(diǎn)試用工作。

作為國家《政務(wù)外網(wǎng)終端以及兩用安全管控技術(shù)指南》主要技術(shù)支撐單位，在過(guò)去的一年多時(shí)間里，聯(lián)軟已經(jīng)助力多個(gè)省市大數據中心建設并實(shí)施一機兩用項目，其中，完成驗收的某省政務(wù)大數據中心一機兩用項目案例，入選國家電子政務(wù)外網(wǎng)管理中心評選匯編的《政務(wù)外網(wǎng)終端“一機兩用”試點(diǎn)工作最佳實(shí)踐案例》，以作示范為全國范圍內的“一機兩用”工作提供參考。

業(yè)務(wù)挑戰

政務(wù)工作涵蓋眾多部門(mén)和崗位，每個(gè)部門(mén)或崗位因其特定任務(wù)需求，往往需要不同類(lèi)型的終端設備來(lái)支撐，這導致了政務(wù)終端接入的廣泛性，不同區域、不同種類(lèi)的設備通過(guò)各種方式接入電子政務(wù)外網(wǎng)，極大地擴展了網(wǎng)絡(luò )暴露面。另一方面，由于缺乏對不同類(lèi)型設備接入的統一身份認證，讓終端安全管理變得困難。

盡管該省市大數據中心已經(jīng)采取了一系列管理措施來(lái)應對設備接入問(wèn)題，但諸如私接路由器、無(wú)認證接入網(wǎng)絡(luò )、終端準入控制不嚴等現象仍然難以杜絕。由于網(wǎng)絡(luò )結構的復雜性，當運維人員檢測到安全威脅時(shí)，往往難以迅速準確定位問(wèn)題源頭，這不僅導致數據泄露后難以追蹤，也使得安全責任難以明確落實(shí)，問(wèn)題解決效率低下。因此，如何強化電子政務(wù)外網(wǎng)終端的安全管控，已成為了該省數字政府安全建設的重要課題。

解決方案

該省政務(wù)大數據中心參照《政務(wù)外網(wǎng)終端一機兩用安全管控技術(shù)指南》標準要求，建設以準入控制、網(wǎng)絡(luò )隔離、動(dòng)態(tài)鑒權、數據防護為核心的零信任政務(wù)外網(wǎng)應用安全訪(fǎng)問(wèn)體系，規范省及地市電子政務(wù)外網(wǎng)PC端、移動(dòng)端的訪(fǎng)問(wèn)控制，確保訪(fǎng)問(wèn)終端、人員身份、業(yè)務(wù)應用的安全基線(xiàn)，保障用戶(hù)和終端身份可信、應用訪(fǎng)問(wèn)行為合規可控、訪(fǎng)問(wèn)網(wǎng)絡(luò )安全可靠，確保政務(wù)外網(wǎng)應用和數據安全。

▲政務(wù)外網(wǎng)終端“一機兩用”安全管控建設方案

零信任管理平臺模塊：零信任管理平臺部署于政務(wù)外網(wǎng)數據中心安全管理區，通過(guò)集群部署保證業(yè)務(wù)的高可靠性，包含零信任接入控制和終端安全防護組件。對所有接入終端的安全策略統一配置管理，主要實(shí)現安全策略下發(fā)、動(dòng)態(tài)信任評估、用戶(hù)行為審計、用戶(hù)權限管控、應用代理發(fā)布、惡意代碼防范、非法外聯(lián)控制、安全基線(xiàn)檢查、數據安全防護、終端資產(chǎn)管理、終端安全防護等功能，保障接入的終端設備安全可信，政務(wù)應用和數據的安全防護，禁止非法終端接入。

零信任安全網(wǎng)關(guān)模塊：在政務(wù)外網(wǎng)城域網(wǎng)60對匯聚節點(diǎn)路由器分別旁路部署兩臺零信任安全網(wǎng)關(guān)，并組成雙機熱備保證高可靠，路由器通過(guò)策略路由將流量牽引到零信任安全網(wǎng)關(guān)，實(shí)現本地辦公終端零信任接入及安全防護。

一體化客戶(hù)端：在政務(wù)外網(wǎng)接入終端上部署終端一體化客戶(hù)端，用一個(gè)客戶(hù)端一次認證完成局域網(wǎng)網(wǎng)絡(luò )準入、零信任SPA認證、零信任認證流程，同時(shí)提供終端安全管控能力。不僅大大降低終端資源消耗，而且大大提高終端用戶(hù)體驗和管理效率。

方案效果

通過(guò)部署零信任管理平臺、零信任安全網(wǎng)關(guān)以及一體化客戶(hù)端，該省大數據中心實(shí)現了對政務(wù)外網(wǎng)所有終端準入的全面安全控制，確保了終端網(wǎng)絡(luò )接入的安全性。這一舉措使得大數據中心對接入政務(wù)外網(wǎng)的終端實(shí)施有效的安全管控，實(shí)現 “一機兩用”省市協(xié)同，全面提升政務(wù)外網(wǎng)終端、應用、流量、網(wǎng)絡(luò )、身份、基礎設施六個(gè)方面的防護能力，建全了覆蓋終端側、網(wǎng)絡(luò )側、應用側的端到端的應用訪(fǎng)問(wèn)安全保障能力和安全運營(yíng)能力。

??終端入網(wǎng)可信

終端在訪(fǎng)問(wèn)政務(wù)外網(wǎng)應用時(shí)，遵循基于零信任設計思想的SDP（軟件定義邊界）架構，通過(guò)單包校驗、建立加密連接等方式，實(shí)現政務(wù)外網(wǎng)應用的安全訪(fǎng)問(wèn)。

??網(wǎng)絡(luò )隔離，防止跨網(wǎng)攻擊

終端訪(fǎng)問(wèn)部署在電子政務(wù)外網(wǎng)應用的同時(shí)禁止終端對互聯(lián)網(wǎng)的連接，實(shí)現同一臺終端無(wú)法同時(shí)訪(fǎng)問(wèn)兩張網(wǎng)絡(luò )，減少攻擊者從互聯(lián)網(wǎng)滲透至電子政務(wù)外網(wǎng)的風(fēng)險，進(jìn)行應用訪(fǎng)問(wèn)時(shí)，建立終端到應用的加密隧道，確保訪(fǎng)問(wèn)過(guò)程中的機密性。

??應用安全，最小權限訪(fǎng)問(wèn)

通過(guò)零信任網(wǎng)關(guān)對應用進(jìn)行反向代理，使應用在網(wǎng)絡(luò )中默認隱藏，僅面向有權限訪(fǎng)問(wèn)的用戶(hù)和終端開(kāi)放，并做最小權限訪(fǎng)問(wèn)，當訪(fǎng)問(wèn)過(guò)程中發(fā)現高危行為，通過(guò)零信任網(wǎng)關(guān)及時(shí)阻斷，保障應用安全。

??安全運營(yíng)能力增強，臺賬清晰，威脅溯源

終端臺賬資產(chǎn)更清晰，借助身份認證體系，“一機兩用”方案自動(dòng)關(guān)聯(lián)人與設備，生成明確資產(chǎn)臺賬。威脅溯源能力增強，利用水印信息和身份認證，發(fā)現威脅后可迅速定位設備并通知用戶(hù)，實(shí)現及時(shí)處置，防止威脅擴散。