政務(wù)云三級(jí)等保建設(shè)方案探討

■ 中國(guó)通信建設(shè)集團(tuán)設(shè)計(jì)院有限公司第四分公司 孫要強(qiáng)

編者按： 本文根據(jù)政務(wù)云出現(xiàn)的網(wǎng)絡(luò)安全問(wèn)題，依據(jù)國(guó)家信息安全等級(jí)保護(hù)制度規(guī)定，提出了一種符合三級(jí)等保要求的安全建設(shè)方案。

政務(wù)云是運(yùn)用云計(jì)算技術(shù)，統(tǒng)籌利用已有的計(jì)算資源為政府行業(yè)提供基礎(chǔ)設(shè)施、應(yīng)用系統(tǒng)和信息安全等綜合服務(wù)平臺(tái)。信息系統(tǒng)安全等級(jí)測(cè)評(píng)是驗(yàn)證信息系統(tǒng)是否滿足相應(yīng)安全保護(hù)等級(jí)的評(píng)估過(guò)程。三級(jí)等保體系是指信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害，或者對(duì)國(guó)家安全造成損害。

圖1 政務(wù)云安全域劃分

省級(jí)政務(wù)云平臺(tái)統(tǒng)一為所承載的政務(wù)應(yīng)用提供全面的網(wǎng)絡(luò)與信息安全服務(wù)，各政務(wù)應(yīng)用只需要考慮業(yè)務(wù)應(yīng)用的需求建設(shè)，不需要再考慮建立獨(dú)立的安全防護(hù)措施，能夠大大提高政務(wù)應(yīng)用建設(shè)效率，降低系統(tǒng)建設(shè)成本。然而政務(wù)云同樣面臨著一系列安全風(fēng)險(xiǎn)，目前針對(duì)政務(wù)云的安全風(fēng)險(xiǎn)研究較少。本文針對(duì)政務(wù)云出現(xiàn)的各種網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，提出了一種滿足三級(jí)等保要求的全面性的網(wǎng)絡(luò)安全解決方案，并實(shí)際應(yīng)用于建設(shè)當(dāng)中，為我國(guó)省級(jí)政務(wù)云建設(shè)提供參考和借鑒。

安全域劃分

網(wǎng)絡(luò)架構(gòu)的總體規(guī)劃遵循“分區(qū)+分層+分平面+安全”的設(shè)計(jì)理念。分區(qū)是指按照業(yè)務(wù)特點(diǎn)和安全要求劃分不同的業(yè)務(wù)區(qū)域。分層是指采用核心層和接入層兩層扁平結(jié)構(gòu)。分平面是指采用業(yè)務(wù)平面、管理平面、存儲(chǔ)平面分離的設(shè)計(jì)方法，從而提高系統(tǒng)的可擴(kuò)展性、安全性和可維護(hù)性。安全是指在不同業(yè)務(wù)區(qū)域之間、數(shù)據(jù)中心出口等位置部署安全設(shè)備，實(shí)現(xiàn)業(yè)務(wù)安全訪問(wèn)和數(shù)據(jù)安全保障。

省級(jí)政務(wù)云數(shù)據(jù)中心整體網(wǎng)絡(luò)拓?fù)淙鐖D1所示，包括政務(wù)外網(wǎng)接入?yún)^(qū)、跨網(wǎng)數(shù)據(jù)交換區(qū)、業(yè)務(wù)管理區(qū)、專用業(yè)務(wù)區(qū)、公用業(yè)務(wù)區(qū)、備份區(qū)、托管區(qū)、存儲(chǔ)區(qū)、運(yùn)維管理區(qū)等。

政務(wù)云信息安全等級(jí)保護(hù)設(shè)計(jì)

本文按照等級(jí)保護(hù)三級(jí)的基本要求進(jìn)行總體規(guī)劃和設(shè)計(jì)，對(duì)所有政務(wù)應(yīng)用統(tǒng)一提供等保三級(jí)安全環(huán)境。系統(tǒng)安全框架從分層、縱深防御思想出發(fā)，根據(jù)層次分為終端、網(wǎng)絡(luò)、虛擬化、主機(jī)、應(yīng)用層、數(shù)據(jù)層、安全管理、等保安全合規(guī)和安全服務(wù)等幾個(gè)層面。

圖2 政務(wù)云信息安全總體規(guī)劃和設(shè)計(jì)

1.邊界安全設(shè)計(jì)

（1）業(yè)務(wù)區(qū)邊界安全設(shè)計(jì)。業(yè)務(wù)區(qū)是政務(wù)云平臺(tái)的核心區(qū)，部署了大量服務(wù)器和存儲(chǔ)系統(tǒng)，政務(wù)云平臺(tái)的業(yè)務(wù)系統(tǒng)和數(shù)據(jù)都在該區(qū)內(nèi)，是進(jìn)行安全防范的重點(diǎn)。為保證各分區(qū)安全，各分區(qū)之間也需要通過(guò)防火墻進(jìn)行隔離。其中運(yùn)維管理區(qū)與其他區(qū)采用物理防火墻進(jìn)行隔離，其他區(qū)域采用虛擬防火墻進(jìn)行隔離。

（2）多租戶邊界安全設(shè)計(jì)。在業(yè)務(wù)區(qū)內(nèi)承載多個(gè)黨政機(jī)關(guān)單位的政務(wù)應(yīng)用，按照黨政機(jī)關(guān)單位業(yè)務(wù)隔離的概念，在政務(wù)云平臺(tái)核心交換機(jī)旁掛的防火墻上，為每個(gè)單位劃分虛擬防火墻，其劃分可按照VLAN方式，流量帶著VLAN標(biāo)簽到防火墻后根據(jù)VLAN對(duì)應(yīng)進(jìn)入到每個(gè)虛擬防火墻進(jìn)行安全檢查，這樣各業(yè)務(wù)之間就可完全隔離。

（3）數(shù)據(jù)跨區(qū)安全交換。政務(wù)公有云與政務(wù)專有云之間的數(shù)據(jù)交換通過(guò)跨區(qū)數(shù)據(jù)交換區(qū)進(jìn)行，跨網(wǎng)數(shù)據(jù)交換區(qū)由內(nèi)、外網(wǎng)交換服務(wù)器和網(wǎng)閘構(gòu)成。在互聯(lián)網(wǎng)業(yè)務(wù)區(qū)與外網(wǎng)核心業(yè)務(wù)區(qū)間的邊界，通過(guò)跨區(qū)數(shù)據(jù)交換區(qū)進(jìn)行核心數(shù)據(jù)交換，避免互聯(lián)網(wǎng)業(yè)務(wù)受到攻擊時(shí)，影響外網(wǎng)區(qū)核心業(yè)務(wù)區(qū)的業(yè)務(wù)和數(shù)據(jù)安全。

2.主機(jī)安全設(shè)計(jì)

電子政務(wù)云平臺(tái)環(huán)境中使用了大量OS、DB、Web等公共應(yīng)用軟件，很容易遭受病毒入侵、漏洞攻擊、木馬等安全威脅，從而影響系統(tǒng)運(yùn)營(yíng)。政務(wù)云平臺(tái)主機(jī)安全主要通過(guò)系統(tǒng)加固、防病毒、安全補(bǔ)丁等措施來(lái)提供保障。

3.虛擬化安全設(shè)計(jì)

政務(wù)用戶在利用虛擬化技術(shù)帶來(lái)好處的同時(shí)，也帶來(lái)新的安全風(fēng)險(xiǎn)。首先是虛擬層能否真正地把虛擬機(jī)和主機(jī)、虛擬機(jī)和虛擬機(jī)之間安全隔離開(kāi)，這一點(diǎn)正是保障虛擬機(jī)安全的根本。另外預(yù)防云內(nèi)部虛擬機(jī)之間的惡意攻擊，傳統(tǒng)意義上的網(wǎng)絡(luò)安全防護(hù)設(shè)備對(duì)虛擬化層防護(hù)已經(jīng)不能完全滿足要求。

4.應(yīng)用安全設(shè)計(jì)

政務(wù)云平臺(tái)的Web應(yīng)用系統(tǒng)在向外提供業(yè)務(wù)的時(shí)候，也有可能遭受來(lái)自外部的安全威脅，如SQL注入，跨站點(diǎn)攻擊等，為了保障業(yè)務(wù)的正常運(yùn)行，需要對(duì)政務(wù)云中基于Web的應(yīng)用系統(tǒng)進(jìn)行安全防護(hù)。

5.安全管理設(shè)計(jì)

網(wǎng)絡(luò)中不僅需要安全防護(hù)技術(shù)，更重要的是對(duì)網(wǎng)絡(luò)的安全管理。為實(shí)現(xiàn)對(duì)整網(wǎng)的設(shè)備及系統(tǒng)的安全管理，本方案劃分了運(yùn)維管理區(qū)，統(tǒng)一政務(wù)專有云進(jìn)行安全管理。在運(yùn)維管理區(qū)部署運(yùn)維審計(jì)系統(tǒng)、日志審計(jì)系統(tǒng)、漏洞掃描系統(tǒng)、安全配置核查系統(tǒng)等安全管理系統(tǒng)及設(shè)備。

圖3 核心區(qū)安全設(shè)備部署

圖4 管理區(qū)安全設(shè)備部署

安全設(shè)備部署方案

1.跨網(wǎng)數(shù)據(jù)交換區(qū)安全設(shè)備部署

在跨網(wǎng)數(shù)據(jù)交換區(qū)的政務(wù)公有云交換服務(wù)器與政務(wù)專有云區(qū)交換服務(wù)器之間在線部署網(wǎng)閘，從物理上隔離、阻斷了具有潛在攻擊可能的一切連接，并進(jìn)行了強(qiáng)制內(nèi)容檢測(cè)，有效的將兩網(wǎng)之間實(shí)現(xiàn)了安全隔離與業(yè)務(wù)數(shù)據(jù)安全、可靠的交換，保證安全隔離和安全數(shù)據(jù)交換達(dá)到國(guó)家政務(wù)外網(wǎng)要求。

2.政務(wù)外網(wǎng)接入?yún)^(qū)安全設(shè)備部署

政務(wù)外網(wǎng)接入?yún)^(qū)部署邊界防火墻，在線部署在外網(wǎng)邊界和核心交換之間，實(shí)現(xiàn)邊界防護(hù)，開(kāi)啟VPN功能，為外部用戶接入內(nèi)網(wǎng)提供VPN能力。

3.政務(wù)外網(wǎng)核心區(qū)安全設(shè)備部署

政務(wù)外網(wǎng)核心區(qū)部署核心防火墻、負(fù)載均衡、數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)，網(wǎng)絡(luò)審計(jì)系統(tǒng)、防病毒網(wǎng)關(guān)、IPS，主要的部署位置如圖3所示。

4.政務(wù)外網(wǎng)區(qū)安全設(shè)備部署

在政務(wù)外網(wǎng)區(qū)部署網(wǎng)頁(yè)防篡改、服務(wù)器端防病毒等保護(hù)主機(jī)安全與應(yīng)用安全，實(shí)現(xiàn)物理服務(wù)器安全、虛機(jī)化服務(wù)器安全與網(wǎng)站安全的防護(hù)。

5.管理區(qū)安全設(shè)備部署

管理區(qū)安全設(shè)備的部署包括管理區(qū)防火墻、運(yùn)維堡壘機(jī)、日志審計(jì)系統(tǒng)、網(wǎng)絡(luò)安全檢查系統(tǒng)、主機(jī)配置核查系統(tǒng)等，如圖4所示。

結(jié)語(yǔ)

在電子政務(wù)系統(tǒng)保證安全性和機(jī)密性的基礎(chǔ)上，需要保持信息共享和通訊暢通的效率。單一的軟硬件安全產(chǎn)品對(duì)于電子政務(wù)來(lái)說(shuō)已經(jīng)不是完整的解決辦法，需要全面的電子政務(wù)安全問(wèn)題的解決方案進(jìn)行支撐。本文提出的政務(wù)云安全域劃分、等級(jí)保護(hù)安全設(shè)計(jì)、安全設(shè)備部署方案，是基于現(xiàn)階段出現(xiàn)的網(wǎng)絡(luò)問(wèn)題綜合性的解決方案，隨著信息技術(shù)的不斷發(fā)展，并沒(méi)有考慮未來(lái)可能出現(xiàn)的安全問(wèn)題及解決方案，有待繼續(xù)探索并實(shí)踐。