业务背景

电子政务内网作为内部信息和公文传输平台，开通政府系统的一些日常业务，运行着大量需要保护的数据和信息，有其自身特殊性。如果系统的安全性被破坏，造成敏感信息暴露或丢失，或网络被攻击等安全事件，可能导致严重的后果。因此，构建电子政务内网信息安全保障体系就变得尤为重要。但如何设计完善的信息安全系统，如何形成有效的信息安全管理体系等问题都是电子政务信息化的难点和要点。

同时，推广办公自动化系统是建立高效率政府的必要条件，移动办公、信息协同、自带设备（BYOD）等众多需求必然带来新的信息安全风险。

安全不是一个目标，而应该作为一个过程去考虑、设计、实现、执行。只有通过建立科学、严密的安全管理体系，不断完善管理行为，形成一个动态的安全过程，才能为电子政务网络提供制度上的保证，它包括：安全方针、安全组织、资产分类与控制、人员安全、物理与环境的安全、通信与运行的管理操作过程与职责、访问控制、系统开发与维护、业务连续性管理、遵循性与法律要求的一致性。由于信息安全涉及到政府工作的方方面面，有必要对影响到信息安全的各方面威胁进行关注及分析，并针对每一项威胁制定相应的策略。交大捷普针对政务内网提供了一套完整的信息安全整体框架及综合解决方案。 

安全挑战

政务内网由于其较高级别的保密程度，首先需要跟政务外网完全物理隔离。其次需要考虑的安全威胁如下：

1. 内网网络的恶意攻击。由于各种不可控的使用途径，内网也会存在蠕虫、病毒等攻击方式。

2. 出差人员远程办公访问过程需要加密。

3. 移动存储介质的交叉使用。对于电子政务内网的计算机来讲，在上互联网的计算机上使用过的U盘，移动硬盘都不能在政务内网上使用。U盘病毒和间谍木马会把内网中的保密信息和敏感数据带到互联网上，回传给木马的制作者。并且，病毒还会在内网上传播，消耗系统资源，降低平台的性能，影响政务内网各种业务的正常流转。

4. 内网的身份认证和权限管理问题。防止内网一般用户越权管理数据库，服务器，和高权限的数据平台。

5. 内网中使用的带存储芯片的打印复印设备离开现场返回公司维修问题。

6. 内网用户访问数据库业务需要审计，以供事后审查。

7. 不同安全级别用户访问不同业务服务器时需要注意密级程度，保证只能低密数据流向高密区域，严格禁止反向流动。

8. 针对DMZ区需要访问的服务器，比如OA、邮件等业务服务器，内网用户需要通过网闸物理隔离后安全访问。

9. 政务内网应用众多，同时存在了众多系统运维人员，包括第三方系统和设备厂商维护人员等，众多运维人员均会在不同节点对产品进行配置升级，操作修改等，如果一旦出现恶意操作或者误操作，将对业务系统带来重大影响，甚至导致全网断网，这对政务内网来说会造成不可估量的严重后果。

解决方案

针对以上安全威胁，肯飞推出电子政务内网解决方案，其安全目标是保护政务信息资源价值不受侵犯，保证信息资产的拥有者(政务主体)面临最小的风险和获取最大的利益，从而使政务的信息基础设施、信息应用服务和信息内容能保持保密性、完整性、真实性、可用性的特征，避免出现信息泄露、信息篡改、服务不可用等安全问题。

肯飞电子政务内网解决方案思路如下图：

整体解决方案按照“信息安全等级保护”为设计指导，采用安全域的方式进行方案设计，分为外联安全区、核心安全区、数据库及内网安全和办公区五大块。

1 外联安全区

该区域为对外访问区，地市区县等下级单位需要访问内网应用，需要跟内网进行数据交换。

本方案建议在外联安全区部署VPN产品，使得地市区县等下级部门及外出办公人员能够正常且安全的访问应用，同时保证数据不外泄，捷普VPN产品支持多种VPN协议，推荐下级单位办公区采用IPSEC VPN，出差或者移动办公用户采用SSL VPN方式开展工作。

2 核心安全区

这个区域为政务内网的安全核心防护区域，主要部署常见的FW、IPS、信息审计、服务器群组防护等产品。和链路健壮性考虑相同，采用冗余方式部署。具体方案如下：

FW融合2-7的包过滤、状态检测等技术，配合IPS 4-7层的入侵防御系统，实现全面的2-7层安全防护，有效地抵御了病毒、蠕虫等内网攻击，信息审计产品负责对内网传输的数据进行备份和审计，服务器群组防护产品针对服务器集群提供等保安全级的访问控制，确保不同级别的用户对应用的控制访问。

2.1 FW产品以用户、应用、内容为核心，在传统FW访问控制的基础上，融合内容过滤、大数据风险分析、智能产品联动推出的最新产品。FW对整个政务网进行重要的安全域划分，并针对各个安全域配置专用的安全配置，保证整个外网区域结构清晰，策略明晰。

2.2 IPS产品内置强大的攻击库，全面抵御网络常见的蠕虫、病毒、木马、间谍软件等恶意程序。

2.3 政务内网包含很多内部敏感信息，信息审计产品能够高速对网络上传输的数据进行采集、分析、审计、备份和还原，从而防止内部网络敏感信息的泄露及非法信息的传播

2.4 政务内网包含众多应用服务器，服务器群组防护产品可以针对服务器状态进行监控，帮助管理员及时故障预警，同时针对不同密级的用户访问进行专业防护。  

3 数据库及内网安全区

这个区域是针对应用服务器安全专门设置的安全域，建议将内网公共机也放置在该区域统一防御，同时在该区域放置数据库审计产品，针对各个服务器进行操作审计，同时在公共机上安装存储介质信息消除系统和电子文档打印刻录监控与审计系统。

3.1 数据库审计产品监视并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作，并记入审计数据库中以便日后进行查询、分析、过滤，实现对目标数据库系统的用户操作的监控和审计。

3.2 存储介质信息消除系统采用完善的数据消除算法，能够灵活的对存储介质中数据进行完全擦除，不留痕迹，可以有效降低用户的存储成本。

3.3 电子文档打印刻录监控与审计系统专门针对文档输出进行监控和审计，使管理员可对内网计算机的文档输出进行控制和统计，最大程度降低信息泄露的风险。  

4 办公区

虽然以上几个区域的安全产品抵御了一定的安全威胁，但是与此同时，网络内部安全事件越来越多，诸如：移动电脑和存储设备随意接入网络、设备非法外联、客户端感染病毒、蠕虫导致大面积传染等等。捷普提供的内网控制解决方案可以有效解决上述内网安全问题。 

终端安全综合管理平台通过终端软件接入并由安全管理平台进行身份认证和终端安全认证，确保每一个接入用户的身份合法，终端的状态安全，预防内网病毒、蠕虫的泛滥；安全监控和防护设备实时监控分析网络流量，并对发现的内网攻击进行阻断，同时上报安全管理平台进行分析；安全管理平台分析后与网络和安全设备联动，控制攻击来源，避免威胁的再次发生，并且为用户提供整网安全审计报告，从而得出整改策略和下一步建设方案。通过点（端点准入）、线（在线控制）、面（统一管理）相结合的立体防护，为用户提供最有效的内网安全解决方案。

主机监控与审计系统可以对网络主机进行监控，实时监管内部敏感信息、机密数据的访问、存储，及时阻断网络安全违规事件。  

5 运维管理区

针对整网设备多，运维人员杂乱，运维程度复杂的问题，肯飞建议划分运维管理区，放置堡垒机、SOC和漏扫产品对整网进行管理。

5.1 SOC可以自动发现网络中的网络设备和安全设备，并且以设备码的形式对其进行分类，以可视化的拓扑图形式对其进行管理。该产品以集中统一的方式收集、存储整个系统中的网络设备、安全系统、主机服务器的日志和报警信息。并对所有的日志进行关联分析，收集和整合所有重复的和相似的事件到单一的事件，采用统一的数据定义格式，形成专业的分析报告。

5.2 堡垒机针对运维人员进行权限划分和认证，针对核心资产的运维管理，进行操作记录及过程，同时提供操作审计，支持时候操作过程回放功能，实现整个运维的简单化，可审计化。

5.3 漏扫产品针对全网资产，进行细致深入的配置检查、漏洞检测、分析，主动诊断安全漏洞，提供专业防护建议，帮助运维人员全面、快速定位企业信息资产中的风险情况。  

客户价值 

• 符合国内相关安全法规和标准要求。

• 保障政务内网业务正常高效开展。

• 全面深度防御内外部攻击威胁，再现一个立体防御系统。

• 实现全网产品统一管理，极大降低运维复杂度。