電子政務(wù)外網(wǎng)安全升級(jí)方案

深信服電子政務(wù)外網(wǎng)安全升級(jí)改造方案現(xiàn)狀與目標(biāo)目前，電子政務(wù)外網(wǎng)省市縣三級(jí)縱向覆蓋率已基本達(dá)到90%，各級(jí)政務(wù)外網(wǎng)已經(jīng)建設(shè)了邊界防火墻等網(wǎng)絡(luò)安全設(shè)備。由于政務(wù)需求不斷變化，安全形勢(shì)日趨嚴(yán)峻，網(wǎng)絡(luò)安全法和等保2.0的頒布，監(jiān)管要求更加嚴(yán)格，已有的安全防護(hù)體系急需在合規(guī)的基礎(chǔ)上進(jìn)行進(jìn)一步改造升級(jí)。習(xí)總書(shū)記在“4.19講話(huà)中”強(qiáng)調(diào)，要“加快構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系”，并構(gòu)建“全天候全方位感知網(wǎng)絡(luò)安全態(tài)勢(shì)”能力。電子政務(wù)外網(wǎng)作為重要公共基礎(chǔ)設(shè)施，根據(jù)《網(wǎng)絡(luò)安全法》，需要“在網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)”?，F(xiàn)階段，電子政務(wù)外網(wǎng)的安全建設(shè)目標(biāo)應(yīng)該是構(gòu)建一個(gè)“能夠全天候全方位感知網(wǎng)絡(luò)安全態(tài)勢(shì)并實(shí)現(xiàn)有效立體防護(hù)和管理”的安全保障體系，因此亟需加強(qiáng)以下幾個(gè)方面建設(shè)：強(qiáng)化檢測(cè)，建設(shè)“感知”的基礎(chǔ)現(xiàn)有電子政務(wù)外網(wǎng)設(shè)備堆疊的邊界安全建設(shè)方式，只能提供碎片化的安全認(rèn)知和割裂的防御手段，無(wú)法進(jìn)行流量、日志的聯(lián)動(dòng)分析，缺乏全網(wǎng)態(tài)勢(shì)感知能力。同時(shí)，現(xiàn)有的安全框架只能提供事中被動(dòng)防御，缺乏事前預(yù)知風(fēng)險(xiǎn)以及事后持續(xù)檢測(cè)和響應(yīng)的能力，無(wú)法有效應(yīng)對(duì)新威脅。因此，強(qiáng)化整網(wǎng)安全的檢測(cè)能力，升級(jí)現(xiàn)有安全基礎(chǔ)架構(gòu)，建立“感知”的基礎(chǔ)勢(shì)在必行。風(fēng)險(xiǎn)可視，建立“感知”核心“知己知彼，才能百戰(zhàn)不殆”，在現(xiàn)今安全環(huán)境下，已有的安全建設(shè)對(duì)BYOD、內(nèi)部泄密、APT攻擊等新技術(shù)新威脅難以發(fā)現(xiàn)。另外，維護(hù)網(wǎng)絡(luò)安全，首先要知道風(fēng)險(xiǎn)在哪，現(xiàn)有安全設(shè)備僅關(guān)注內(nèi)外流量安全，忽略了內(nèi)部的安全檢測(cè)和可視；各委辦局終端數(shù)量眾多，內(nèi)部橫向威脅無(wú)法溯源，安全風(fēng)險(xiǎn)難以快速定位。因此，建立具備風(fēng)險(xiǎn)管理機(jī)制、呈現(xiàn)安全建設(shè)效果的“感知”中心是必要的?；睘楹?jiǎn)，實(shí)現(xiàn)有效管理電子政務(wù)外網(wǎng)為各級(jí)部門(mén)提供支撐，連年建設(shè)，網(wǎng)內(nèi)涵蓋大量安全設(shè)備，運(yùn)維管理復(fù)雜。政務(wù)外網(wǎng)向基層不斷延伸，基層缺乏合適的安全運(yùn)維人員。一旦出現(xiàn)安全事件，割裂的日志需要大量人力物力才能分析出具體問(wèn)題點(diǎn)，安全風(fēng)險(xiǎn)不可控。因此，建立起集中設(shè)備管理和統(tǒng)一安全日志分析平臺(tái)，才能有效簡(jiǎn)化運(yùn)維，以最少人員實(shí)現(xiàn)最大限度的安全風(fēng)險(xiǎn)管控。深信服電子政務(wù)外網(wǎng)整體解決方案整體安全架構(gòu)深信服提出以融合事前預(yù)知風(fēng)險(xiǎn)，事中構(gòu)建L2-7層主動(dòng)防御，事后持續(xù)檢測(cè)和快速響應(yīng)的方式，結(jié)合云端安全、邊界安全、端點(diǎn)安全，幫助用戶(hù)構(gòu)建“強(qiáng)檢測(cè)、高可視、輕運(yùn)維”的安全體系架構(gòu)，讓安全更簡(jiǎn)單、更有效。針對(duì)現(xiàn)有電子政務(wù)外網(wǎng)安全建設(shè)的主要問(wèn)題，深信服提出如下安全升級(jí)改造要點(diǎn)：繼續(xù)完善政務(wù)外網(wǎng)二期工程的建設(shè)內(nèi)容，推進(jìn)“三融五跨”構(gòu)建一體化“互聯(lián)網(wǎng)+政務(wù)服務(wù)”技術(shù)和服務(wù)體系，優(yōu)化電子政務(wù)外網(wǎng)骨干網(wǎng)絡(luò)結(jié)構(gòu)，加快非涉密政務(wù)專(zhuān)網(wǎng)遷移整合或融合互聯(lián)，實(shí)現(xiàn)中央、省、市、縣各級(jí)政務(wù)部門(mén)的四級(jí)覆蓋，加快向鄉(xiāng)鎮(zhèn)、街道、社區(qū)、農(nóng)村延伸；針對(duì)現(xiàn)有的情況，繼續(xù)實(shí)現(xiàn)省以下廣域骨干網(wǎng)全覆蓋，在各級(jí)廣域網(wǎng)邊界增設(shè)下一代防火墻實(shí)現(xiàn)L2-7層的一體化防御，增設(shè)廣域骨干網(wǎng)流量監(jiān)測(cè)系統(tǒng)，實(shí)現(xiàn)廣域骨干網(wǎng)安全可視；在各安全域邊界增設(shè)下一代防火墻和潛伏威脅檢測(cè)探針，實(shí)現(xiàn)整網(wǎng)各關(guān)鍵節(jié)點(diǎn)的安全防御的同時(shí)，強(qiáng)化安全檢測(cè)能力，再通過(guò)增設(shè)安全態(tài)勢(shì)感知平臺(tái)進(jìn)行統(tǒng)一的安全事件分析和展示，作為全網(wǎng)統(tǒng)一的安全分析入口；在應(yīng)用區(qū)服務(wù)器上增設(shè)EDR端點(diǎn)插件，實(shí)現(xiàn)業(yè)務(wù)區(qū)東西向流量可視和安全檢測(cè)；在安全管理區(qū)增設(shè)集中管理平臺(tái)，對(duì)所有的深信服設(shè)備進(jìn)行統(tǒng)一的配置管理，作為全網(wǎng)統(tǒng)一的設(shè)備運(yùn)維入口；增加云端監(jiān)測(cè)和響應(yīng)服務(wù)，從外部視角監(jiān)測(cè)內(nèi)部安全，結(jié)合人工滲透和應(yīng)急響應(yīng)服務(wù)，實(shí)現(xiàn)內(nèi)部安全風(fēng)險(xiǎn)的有效處理，形成安全閉環(huán)。整體安全設(shè)計(jì)以安全感知平臺(tái)為核心，以各關(guān)鍵節(jié)點(diǎn)探針、端點(diǎn)安全插件、下一代防火墻等設(shè)備為內(nèi)部安全數(shù)據(jù)采集節(jié)點(diǎn)，結(jié)合深信服+第三方的外部威脅情報(bào)并配合機(jī)器學(xué)習(xí)分析等先進(jìn)技術(shù)，對(duì)網(wǎng)內(nèi)流量進(jìn)行分析，強(qiáng)化整網(wǎng)的安全風(fēng)險(xiǎn)檢測(cè)能力，對(duì)內(nèi)部潛伏威脅和橫向攻擊進(jìn)行持續(xù)檢測(cè)。同時(shí)借助安全感知平臺(tái)的可視化技術(shù)將所有安全態(tài)勢(shì)和安全事件進(jìn)行統(tǒng)一的展示，實(shí)現(xiàn)整個(gè)電子政務(wù)外網(wǎng)安全風(fēng)險(xiǎn)的高度可視，讓安全情況了然于胸。此外，依托SC集中管理平臺(tái)，對(duì)深信服的安全產(chǎn)品，包括NGAF、VPN、AC等數(shù)量較多的設(shè)備進(jìn)行統(tǒng)一的安全配置集中管理，大大簡(jiǎn)化安全運(yùn)維，實(shí)現(xiàn)輕量級(jí)運(yùn)維。方案價(jià)值持續(xù)檢測(cè)，提升風(fēng)險(xiǎn)管理能力在已有基礎(chǔ)上為安全建設(shè)補(bǔ)全檢測(cè)、響應(yīng)的能力，以業(yè)務(wù)維度幫助運(yùn)維人員具備風(fēng)險(xiǎn)管理的條件和能力，感知整網(wǎng)安全風(fēng)險(xiǎn)。立體保護(hù)，實(shí)現(xiàn)”防、管、控”一體化的安全治理建立“云端、邊界、內(nèi)網(wǎng)”的立體保護(hù)的安全能力，引入云端安全能力，配合本地安全服務(wù)人員，最小化安全域，以業(yè)務(wù)為中心，構(gòu)建云端、邊界、端點(diǎn)的立體防護(hù)體系，有效抵御APT攻擊、勒索病毒、未知惡意代碼、僵尸網(wǎng)絡(luò)等高級(jí)威脅，提升政務(wù)外網(wǎng)的整體安全性。全局高度可視，讓安全風(fēng)險(xiǎn)了然于胸引用人工智能、深度學(xué)習(xí)、關(guān)聯(lián)分析等先進(jìn)技術(shù)，實(shí)現(xiàn)安全可視化，構(gòu)建安全大腦，建立安全運(yùn)維中心，提升安全認(rèn)知，提供輔助決策能力。實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)部的潛伏威脅檢測(cè)、橫向攻擊檢測(cè)以及對(duì)整個(gè)電子政務(wù)外網(wǎng)的安全狀況、政務(wù)外網(wǎng)內(nèi)各項(xiàng)應(yīng)用安全威脅的識(shí)別、關(guān)聯(lián)分析與安全可視。統(tǒng)一分析和管理，實(shí)現(xiàn)輕量級(jí)運(yùn)維基于SC集中管理平臺(tái)，對(duì)深信服安全設(shè)備進(jìn)行配置集中管理。對(duì)下一代防火墻、潛伏威脅檢測(cè)探針，實(shí)現(xiàn)日志的集中收集、分析與處理，降低基層人員運(yùn)維壓力。通過(guò)安全感知平臺(tái)、下一代防火墻的持續(xù)監(jiān)測(cè)能力，實(shí)現(xiàn)全網(wǎng)安全事件的集中監(jiān)測(cè)與預(yù)警，引入云化服務(wù)和人工服務(wù)簡(jiǎn)化運(yùn)維難度，最終