安全态势感知专家说第5期：电子政务外网城域网安全运营挑战

电子政务外网是我国电子政务公共基础设施，主要承载各级政务部门社会管理、公共服务、协同办公等非涉密的业务应用，支撑跨部门、跨层级、跨区域的数据共享和业务协同。

电子政务外网融合了政务外网、互联网和政务专网，按照“应接尽接”的 原则构建了覆盖省、市、县、乡、村的“一张网”。电子政务外网总体采用分层构建、逐层保护的指导原则，基础网络架构如图1-1所示。由图中可见，电子政务外网的整体网络由广域网、城域网和政务外网组成，纵向包含中央、省、市、区县四级网络平台，横向由城域网连通广域网和部门政务外网。

图1-1 电子政务外网基础网络架构

各级部门根据业务需要分别接入相应层级的政务外网。各级城域网部署统一的互联网出口，满足本级部门访问互联网的需求。由于各级城域网承载本级唯一的互联网出口，用于互联网接入及上网等服务，所以存在较高的安全风险。同时，接入城域网的各单位安全能力参差不齐，这也对城域网的安全运营构成严峻考验。本文即是对电子政务外网场景中的城域网安全运营挑战进行分析，并给出相应的解决方案。

典型城域网如图1-2所示。城域网横向接入广域网，实现各级政务网之间的信息共享和协同办公。同时，城域网提供统一的互联网出口，用于接入单位访问互联网资源或从互联网接入政务外网。为了保障网络安全，城域网还在互联网出口区部署了Anti-DDoS、IPS、防火墙等安全设备。此外，各级接入单位也可以通过城域网实现与其他单位的网络互通。

图1-2 典型城域网组网图

我国高度重视网络安全工作，相继出台了《网络安全等级保护条例》和《关键信息基础设施安全保护条例》等法律法规，建立健全网络安全防护体系，保护涉及国家安全、国计民生和社会公共利益的网络基础设施安全、运行安全和数据安全。

为了加强电子政务外网整体的安全防护能力，确保全网的安全性、可靠性和一致性，保证各级政务部门业务的畅通和安全，电子政务外网建设需要遵从安全等级保护要求，中央、省、市等各级电子政务外网均应达到《网络安全等级保护基本要求》的第三级要求。然而，随着服务范围的不断扩大，运营单位也面临了防御体系不完善、跨部门协作不通畅、应急响应能力不足等诸多问题，给安全运营带来了严峻挑战。

为了保障安全运行，电子政务外网的互联网出口区通常会部署多个安全设备（如DDoS防护、防火墙、IPS等），进行多层次的安全防护。然而，现有的安全设备往往缺乏有效的协同机制，各自执行不同的安全策略，难以形成统一的安全标准和防护体系。这不仅增加了网络管理的复杂度，也降低了网络安全的防护效果，还给分析和解决安全问题带来了困难。

根据《网络安全等级保护基本要求》，电子政务外网应该建立安全管理中心，实现集中管控和监测功能，对网络中发生的各类安全事件进行识别、报警和分析，以此提高网络安全管理水平和应急能力。安全管理中心可以通过与各类安全设备进行对接，实现对网络边界的全面感知和控制，形成一套完整的网络安全防护体系。通过安全管理中心，运营单位还可以实现对电子政务外网的统一配置，提升整网的安全性和可用性。

大量单位接入电子政务外网后，在享受共享互通便捷的同时，也带来了威胁扩散的风险。根据《网络安全等级保护基本要求》，电子政务外网应在安全区域边界部署安全设备，不仅要防御从外部发起的网络攻击行为，也要防御从内部发起的网络攻击行为。

电子政务外网的防护设备主要集中在互联网出口区，各单位接入电子政务外网的边界上安全防御稍显薄弱，这将导致安全威胁以接入单位为跳板进入电子政务外网，安全风险也随之扩散到其他接入单位。如果电子政务外网不能起到安全防护的屏障作用，攻击影响很容易由点扩大到面，为电子政务外网业务带来极大风险。

政务网络建设的趋势是向乡、村等基层单位延伸，而基层接入单位的安全防护能力参差不齐。随着电子政务外网的规模越来越大，带来的是整网安全告警数量的激增，仅靠运营单位无法完成全网告警的分析与处置工作。

由于运营单位与接入单位的安全事件协同流程不连续，导致运营单位检测到安全事件时需要人工通知接入单位进行处置。接入单位整改完成后，再通知运营单位更新安全事件的处置结果，安全事件处置效率非常低。另外，安全事件通报信息中没有包含接入单位的内部组织信息，无法直接通报到被攻击资产的责任人。接入单位需要先查找对应的资产责任人，然后再进行安全处置，这进一步降低了安全事件的处置效率。

电子政务外网的网络安全运营基础设施建设滞后，网络和安全运维分离，缺少有效的协调机制，无法形成完整的事件处置流程。当前，发生安全事件时通常依靠人工处置，这导致威胁分析和预警通报等工作耗时过长，难以及时应对和解决安全问题。

与此同时，网络环境中的安全威胁日益复杂，演化速度也越来越快，特别是勒索病毒等恶意软件，在短时间内就能对大量IT资产造成破坏，依靠传统的人工处理方式难以有效遏制和消除这些威胁。因此，必须提升自动化水平，实现快速、准确、高效应对各种网络威胁。

安全运营是一项系统工程，需要技术、流程和人力的协同配合，才能实现最终的安全目标。安全运营的核心是对已有安全产品、工具、服务产出的数据进行有效分析，从而发现并解决安全风险，持续提升安全水平。

电子政务外网安全建设的总体思路是以安全监测为核心，构建安全监测体系，形成全网监测预警、信息共享和联动能力。提升全局性、整体化网络安全态势感知能力，通过主动、灵活的威胁发现能力，实现对威胁和风险的全天候、全方位感知。实现从安全检测、分析研判、通报预警到应急响应的良性循环，不断提升电子政务外网的安全保障能力。

下面我们从体系建设、运营模式和技术创新等三个方面来介绍华为安全解决方案：

如图1-3所示，华为安全解决方案采用了分析器、控制器和执行器的三层架构，构建起电子政务外网安全监测体系。

图1-3 华为安全解决方案架构

华为HiSec Insight对安全运营模式进行创新，在支持集中式安全运营的基础上，通过引入多租户模型，进而支持分布式安全运营。在分布式安全运营模式下，各接入单位以租户身份自行运营安全事件，由被动接收安全通报的角色，转变为主动安全运营的责任主体。

多租户模型如图1-4所示，各个租户可以实时监控自己的安全事件，进行分析取证和闭环处置。各租户之间实现数据隔离，保护敏感信息不被泄露。城域网运营单位可以掌握全局的安全态势，查看所有租户的安全事件情况。多租户模型的应用实现了安全事件从城域网运营单位到接入单位的一体化管理，无需跨系统协同，即可实现通报预警和威胁处置的全流程闭环。既减少了人工传递的成本，又提高了安全事件处置的效率。

对于规模较大的接入单位，可以细化运营管理。接入单位可以按照部门划分多级工作组，由各部门负责自己的安全事件运营。工作组之间的数据隔离，租户管理员可以查看所有下属工作组的安全态势。这种运营模式可以快速定位到安全事件发生在哪个部门，进一步提高了事件处置效率。

图1-4 HiSec Insight多租户模型

华为HiSec Insight基于SOAR（Security Orchestration, Automation and Response，安全编排和自动化响应）技术构建自动化的协同联动机制，通过自动化编排任务，实现安全事件的快速处置和闭环管理，有效提升安全事件的处置效率。同时，通过与网络控制器的联动，将内部接入边界纳入安全防护范围，杜绝威胁跨域、跨部门的扩散，实现全网协防。

图1-5 网络与安全自动化协同示意图

图1-5展示了两个不同的攻击过程，一个是从外部攻击，一个是从内部攻击，我们采用不同的防御方法阻断攻击行为。