图1 政务部门接入政务外网现状

电子政务外网上运行的是面向社会公众的可通过互联网访问的业务，并且需要跨地区、跨部门的业务应用、信息共享和业务协同，此时办公终端既能接入电子政务外网，又能访问互联网，数字政府提升政务服务能力离不开电子政务外网，这种场景下终端将面临较大的跨网攻击风险，具体包括：

黑客从互联网攻击终端后并以此为跳板入侵上级单位网络，造成整网破坏，或者终端感染木马病毒或被控，从而在政务外网进行横向渗透攻击，也会导致政务外网数据轻易地外泄至互联网中，带来数据外泄的风险。

政务外网纵向建设已延伸到乡村，连接数万的乡村、区县，横向建设连接成千上万的委办局园区，各个层级的安全防护措施参差不齐；各政务专网整合到政务外网的过程中，对政务外网的安全性存在疑虑。

信创产业作为我国战略性新兴产业，国家不断出台相关政策，对行业的发展进行支持。“十四五”规划明确指出，到2025年行政办公及电子政务系统要全部完成国产化替代。2022年9月底国资委下发79号文，全面指导并要求国央企落实信息化系统的信创国产化改造，要求央企、国企、地方国企全面落实信创国产化。其中，明确要求，所有中央企业在2022年11月底前将可替代总体方案报送国资委；自2023年1月起，每季度末向国资委报送信创系统替换进度。最终要求2027年底前，实现所有中央企业的信息化系统安可信创替代。

图2 现有方案存在的问题—业务角度

为保障政务外网整体安全性，防范化解政务外网终端安全风险，2022年7月，国家电子政务外网管理中心发布《政务外网终端一机两用安全管控技术指南》，针对各级政务部门终端一机两用接入政务外网的情况提出技术要求，同时针对各级政务外网建设运维单位管辖范围内，广域网或城域网的边界检测及控制和终端集中管控提出技术要求。

图3 现有方案存在的问题—政策合规角度

为解决政务外网终端的痛点，满足电子政务外网一机两用、信创替换、终端程序管控、数据防泄漏及溯源的要求，威努特针对终端一机两用需求推出零信任终端沙箱安全管控方案，采用零信任安全架构，以身份为中心的动态访问控制，在终端本地区分本地空间和工作空间，通过动态访问控制技术，以细粒度的应用、接口、数据为核心保护对象，遵循最小权限原则，构筑端到端的逻辑身份边界，保证内网与外网的访问互相隔离，敏感文件不外泄。

终端沙箱支持windows平台及信创环境，在安全空间中，为用户提供数据安全防护和网络安全管控能力，在平台侧可对用户在沙箱空间中进行策略编排、文件审计、行为监测和权限审批。

图4 完全满足“一机两用”要求

终端沙箱管理平台上支持本地和外部两大类认证种类下的多种身份认证方式，为任意场景的用户认证需求提供便利，认证方式自由组合。其中多因素认证包括“用户名密码+短信” “用户名密码+硬件特征码”“用户名密码+短信+硬件特征码”等方式的认证。另外，还可以与外部认证服务器对接，支持LDAP（openLDAP和AD）的认证方式。

终端沙箱同时支持智能身份认证，可根据客户自有认证能力、接入安全性需求、威胁检测、行为检测结果，动态智能选取认证方式组合，无需人工设置认证方式。通过客户端设备绑定功能，确保用户在正确的设备上使用正确的账号登录，同时可以对账户的登录时间、登录设备及IP地址进行严格控制，以防止非法人员非法接入业务系统。

图5 增强身份认证

威努特终端沙箱可提供工作空间和上网空间两种安全空间，工作空间保障办公安全，上网空间不影响本地化开发且能满足上网需求。多空间隔离中个人空间无法读取工作空间数据，多工作空间的数据隔离不互通，并可使用独立的安全策略。文件外发审批中文件申请外发并审批后，工作空间的数据才可流向个人空间，或高级别工作空间数据可流向低级别工作空间，针对空间内程序及文件管控可做到：

支持在沙箱空间内，利用内置的黑白名称对使用程序进行允许、限制管控。

文件类数据进行全局透明加密存储到本地，仅授权用户可解密使用，防止数据交换泄漏和破解。内核文件实时透明加解密，在操作系统底层对文件进行加解密操作，不影响用户的原有使用习惯。

在安全工作空间内可对文件的打印进行控制，包括是否允许打印，文件打印时是否添加专属水印，杜绝纸质文件数据泄露。

安全工作空间内运行的所有程序，都可设置自定义水印，防止拍照方式的数据泄漏。

当用户需要对信创沙箱空间内容进行外发时，支持进行详细的安全外发管控，包括文件共享和文件外链形式，同时管理平台上会记录到用户对文件外发审批流申请、审批流日志记录、文档外发记录、文档查阅记录等。

图6 终端数据防泄漏

威努特终端沙箱的管理平台可基于零信任安全访问模型，对用户访问内网基于以下原则，进行最小权限授权：

• 不自动信任网络的安全性（内网 ≠ 可信）；

• 对任何接入系统的人和设备都进行验证；

• 每次访问都要进行身份验证和行为审计；

• 细粒度访问控制策略最小权限原则。

管理员可以根据用户的身份和具体的需求，在后台合理限制用户可以访问哪些应用。例如，只允许部分员工访问财务系统，取得敏感数据。越权访问会被零信任安全网关拦截。这样，就避免了用户过度授权的问题，减少了网络攻击面，也减少了敏感数据泄露的可能。除了应用的维度之外，还可以对用户的访问时间，访问设备等维度进行限制。并以应用、设备、零信任安全网关和资源四个维度进行关联追踪，可视化的呈现四个维度的访问关系视图，帮助用户迅速、清晰地进行全网访问关系查询和梳理，避免权限混乱的管理问题。

图7 终端数据防泄漏

政务网络不仅是重要的信息基础设施，也是国家战略利益的重要组成部分。随着云计算、物联网、大数据等新兴技术的发展和应用，政务网络面临着新的安全挑战。威努特将继续深入研究客户的实际应用场景，助力政务外网在满足《政务外网终端一机两用安全管控技术指南》的基础上，进一步提高安全水平，守护网络及数据安全。