電子政務外網平臺安全建設淺析

劉凱

摘 要：文中就傳統架構及云計算環境下電子政務外網平臺安全保障體系建設進行了分析，并從安全體系架構、安全技術保障、安全制度保障、安全運維保障等方面提出了相應的解決方案。

關鍵詞：安全；電子政務外網平臺；電子政務外網云平臺；保障體系；傳統架構；云計算

中圖分類號：TP393.08 文獻標識碼：A 文章編號：2095-1302（2016）11-0-03

0 引 言

隨著電子政務外網的發展，各省市電子政務外網平臺的建設均已成熟，多數省市電子政務外網平臺建設之初采用的是物理機傳統架構部署方式。隨著信息技術的發展，云計算技術應運而生，電子政務云平臺的建設風生水起。然而無論是傳統架構還是在云計算環境下，電子政務外網平臺面臨的風險越來越多，本文就這兩種架構下電子政務外網平臺的安全如何建設進行分析，提出相應的解決方案。

1 建設方案

電子政務外網平臺的安全建設應根據業務應用特點及平臺架構層特性，應用入侵檢測、入侵防御、防病毒網關、數據加密、身份認證、安全存儲等安全技術，構建面向應用的縱深安全防御體系。電子政務外網平臺安全建設可從分析確定定級對象及安全等級、構建安全保障體系、明確安全邊界、安全技術保障、安全運維保障、安全制度保障、云計算環境下電子政務外網平臺安全保障幾方面考慮。

1.1 分析確定定級對象及安全等級

信息系統安全等級共分為五級，根據“中華人民共和國國家質量監督檢驗檢疫總局 中國國家標準化管理委員會”發布的《信息安全技術 信息系統安全等級保護定級指南（GB/T 22240-2008）》，結合國家相關行業標準規范，分析確定定級對象及安全等級。本文以構建信息系統安全等級第三級標準安全建設進行探討。

1.2 構建安全保障體系

電子政務外網平臺安全保障可從安全技術保障、安全運維保障、安全制度保障三個方面著手考慮，根據“中華人民共和國國家質量監督檢驗檢疫總局 中國國家標準化管理委員會”發布的《信息安全技術 信息系統安全等級保護定級基本要求（GB/T 22239-2008）》進行建設。物理機傳統架構下的電子政務外網平臺安全保障體系架構如圖1所示。

1.3 明確安全邊界

1.3.1 安全邊界劃分原則

安全邊界劃分原則[1]如下所示：

（1）以保障電子政務外網平臺信息系統的業務、管理、控制數據處理活動、數據流的安全為根本出發點，保障平臺安全；

（2）每個安全域的信息資產價值相近，具有相同或相近的安全等級、安全環境、安全策略等；

（3）根據“信息安全等?！币?，網絡規劃時避免將重要網段部署在網絡邊界處且直接連接外部信息系統，重要網段與其他網段之間采取可靠的技術隔離手段；

（4）根據《國家電子政務外網跨網數據安全交換技術要求與實施指南》，部署數據安全交換隔離系統，保障數據交換安全；

（5）對接入邊界進行安全防護。

1.3.2 安全邊界劃分

電子政務外網平臺可劃分為DMZ區、內部數據中心、互聯網出口區、安全及運維管理區、邊界接入區五大區域。電子政務外網安全邊界劃分圖如圖2所示。

（1）DMZ區

DMZ區部署面向互聯網的業務系統，包括門戶網站、郵件服務等，應根據實際需求部署相應的安全策略。

（2）內部數據中心

內部數據中心區部署協同辦公等內部應用系統，可根據實際需求分為多個邏輯區域，如辦公業務區、測試區等，應根據實際需求部署相應安全策略。

（3）互聯網出口區

互聯網出口區為電子政務外網平臺互聯網接入邊界，與運營商網絡直連。該區域直接面向互聯網出口區域，易被不法分子利用網絡存在的漏洞和安全缺陷對系統硬件、軟件進行攻擊，可在該區部署相應的防火墻策略，并結合入侵防御、安全審計等技術提供立體的、全面的、有效的安全防護，允許合法用戶通過互聯網訪問電子政務外網。

（4）安全及運維管理區

提供安全管理運維服務，保障電子政務外網平臺的安全。提供統一網絡管控運維服務，保障整網設備及業務系統信息正常運行。

（5）邊界接入區

根據國家相關規范，對專網、企事業接入單位或其它系統接入電子政務外網時，應在訪問邊界部署防火墻、入侵防御系統，與“政務云”實現物理邏輯隔離，進行安全防護。

1.4 安全技術保障

采用傳統架構的電子政務外網平臺技術安全保障可從物理安全、網絡安全、主機安全、應用安全、數據安全五個方面進行考慮，可通過部署相應產品或配置服務進行安全保障。

1.4.1 物理安全

物理安全主要涉及環境安全（防火、防水、防雷擊等）設備和介質的防盜竊防破壞等。具體包括物理位置選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應和電磁防護等方面。該部分主要體現為機房及弱電的建設標準、規范，技術環節應符合相關等級保護要求。

1.4.2 網絡安全

網絡安全主要包括網絡結構、網絡邊界以及網絡設備自身安全等，具體包括結構安全、訪問控制、安全審計、邊界完整性檢查、入侵防范、惡意代碼防范、網絡設備防護七個方面，關鍵安全技術保障措施如下所示：

（1）劃分安全域，根據各安全域安全建設需求采用相應的安全策略。

（2）通過合理部署IPS、防火墻對網絡進行邊界隔離和訪問控制，并實現對網絡攻擊的實時監測，即時中斷、調整或隔離一些不正?；蚓哂袀π缘木W絡行為。

（3）部署防DDoS攻擊設備，及時發現背景流量中各種類型的攻擊流量，針對攻擊類型迅速對攻擊流量進行攔截，保證正常流量通過。

（4）可在互聯網出口處部署鏈路負載均衡設備，加強網絡數據處理能力、提高網絡的靈活性和可用性。

（5）采用上網行為管理、流量控制等設備，對網絡流量進行實時監控管理，實現員工對終端計算機的管理和控制，規范員工上網行為，提高工作效率，實現流量控制和帶寬管理，優化網絡。

（6）對關鍵設備采用冗余設計，并在重要網段配置ACL策略以保障帶寬優先級。

（7）采用安全審計技術，按照一定的安全策略，利用記錄、系統活動和用戶活動等信息，檢查、審查和檢驗操作事件的環境及活動，從而發現系統漏洞、入侵行為或改善系統性能。

1.4.3 主機、應用安全

主機安全主要包括訪問控制、安全審計、剩余信息保護、惡意代碼防護等幾個方面。應用安全主要包括身份鑒別、訪問控制、安全審計、抗抵賴性等幾方面，關鍵安全技術保障措施如下所示：

（1）惡意代碼可直接利用操作系統或應用程序的漏洞進行傳播，可部署惡意代碼監測、病毒防護系統及漏洞掃描等系統，通過主動防御可有效阻止病毒的傳播，及時發現網絡、主機、應用及數據庫漏洞并修復，保障電子政務外網平臺安全。

（2）利用身份認證技術及訪問控制策略等技術保障主機應用安全，不允許非預期客戶訪問。

（3）運用審計技術保障主機應用安全，實時收集和監控信息系統狀態、安全事件、網絡活動，以便進行集中報警、記錄、分析、處理。

（4）采用應用負載均衡技術、操作系統用戶登錄等技術實現資源的優化控制。

（5）可部署Web應用防火墻、網頁防篡改等系統，做到事前主動防御，智能分析、屏蔽或阻斷對目錄中的網頁、電子文檔、圖片、數據庫等類型文件的非法篡改和破壞，保障系統業務的正常運營，全方位保護Web應用安全。

1.4.4 數據安全

數據安全主要包括數據的保密性、完整性及備份和恢復，關鍵安全技術保障措施如下所示：

（1）可對不同類型業務數據進行物理上或邏輯上隔離，并建設數據交換與隔離系統以保障不同安全等級的網絡間的數據交換安全。

（2）采用雙因素認證進行數據訪問控制，不允許非預期客戶訪問，對違規操作實時審計報警。

（3）采用VPN、數據加密、消息數據簽名、摘要等技術對數據傳輸進行加密，防止越權訪問機密信息或惡意篡改。

（4）采用數據庫冗余部署，防范數據丟失風險，為業務系統穩定運行提供保障，可考慮建設同城或異地容災。

（5）部署數據庫審計設備可在不影響被保護數據庫性能的情況下，對數據庫的操作實現跟蹤記錄、定位，實現數據庫的在線監控，為數據庫系統的安全運行提供了有力保障。

1.5 安全運維保障

安全運維保障可通過安全管理平臺，建立與安全工作相配套的集中管理手段，提供統一展現、統一告警、統一運維流程處理等服務，可使管理人員快速準確的掌握網絡整體運行狀況，整體反映電子政務外網平臺安全問題，體現安全投資的價值，提高安全運維管理水平。安全運維管理平臺需考慮與安全各專項系統、網管系統和運管系統之間以及上下級系統之間的接口。

1.6 安全制度保障

面對形形色色的安全解決方案，“三分技術、七分管理”。若僅有安全技術防護，而無嚴格的安全管理相配合，則難以保障網絡系統的運行安全。系統必須有嚴密的安全管理體制來保證系統安全。安全制度保障可從安全管理組織、安全管理制度、安全管理手段等方面考慮，建立完善的應急體制。

1.7 云計算環境下電子政務外網平臺的安全保障

云技術是基于云計算商業模式應用的網絡技術、信息技術、整合技術、管理平臺技術、應用技術等的總稱，可以組成資源池，按需所用，靈活便利。隨著時代的發展，云計算技術已變成信息系統主流基礎架構支撐。由于云計算平臺重要支撐技術是采用虛擬化實現資源的邏輯抽象和統一表示，因此在云計算環境下進行電子政務外網云平臺安全保障體系建設，僅僅采用傳統的安全技術是不夠的，除滿足上述物理安全、網絡安全、主機安全、應用安全、數據安全技術保障，運維安全保障，安全制度保障需求之外，還應考慮虛擬化帶來的新的安全風險。云計算環境下電子政務外網云平臺安全保障體系如圖3所示。

1.8 虛擬化安全

當前，云計算虛擬化安全技術還不成熟，對虛擬化的安全防護和保障技術測評則成為云環境等級保護的一大難題，主要涉及的安全包括虛擬機逃逸防范、虛擬機通信風險、虛擬機管理平臺安全等方面。可采取如下安全保障措施[2]：

（1）將可信計算技術與虛擬化技術相結合，構建可信的虛擬化平臺，形成完整的信任鏈；

（2）可建設分級訪問控制機制，根據分層分級原則制定訪問控制策略，實現對平臺中所有虛擬機的監控管理，為數據的安全使用和訪問建立一道屏障；

（3）可通過虛擬防火墻、虛擬IPS、虛擬防病毒軟件或虛擬安全網關等技術實現虛擬機間的安全隔離。

2 SDS安全保障技術簡介

軟件定義安全（Software Defined Security，SDS）是從軟件定義網絡（Software Defined Network，SDN）延伸而來，將安全資源進行池化，通過軟件進行統一調度，以完成相應的安全功能，實現靈活的安全防護。簡單來說，傳統的安全設備是單一防護軟件架構在一臺硬件設備之上，通常串接或旁掛于網絡中，不僅將網絡結構復雜化，對不同廠家的安全設備進行統一管理的復雜度也較高，需單獨的物理安裝空間。而SDS可以將其看作一個軟件，靈活調配安全設備資源，實現靈活的網絡安全防護框架，方便調整。

3 結 語

在大數據時代下，SDS是順應時代發展趨勢、簡化安全管理的訴求，但由于SDS應用尚未完全成熟，仍需經過實踐的檢驗。

參考文獻

[1] 安全域劃分和等級保護[EB/OL].http：//wenku.baidu.com/link？url= 0fnE0w9O_r9iuhc9daVI2bD5ACUcJ7W1oDI-CsIKrpxnwal2HE 9RWoqzzmRWZ5w_6upz42oNb5s1qJtYuxfMmJwE3Mb_N-rLeOc 8MMtG6bC

[2]段翼真，王曉程，王斌.可信虛擬化平臺的研究[EB/OL].http：//d.wanfangdata.com.cn/Conference/7419158