政企網(wǎng)絡(luò)邊界安全管理的思考與探索

　　政府和企事業(yè)單位搭建內(nèi)部網(wǎng)絡(luò)滿足組織管理、指揮調(diào)度、協(xié)同辦公、資源共享、生產(chǎn)經(jīng)營、公眾服務(wù)等事務(wù)的網(wǎng)絡(luò)化和數(shù)字化需求。為了保護(hù)政企網(wǎng)絡(luò)不受外部侵害,通常將網(wǎng)絡(luò)邊界作為第一道防線,嚴(yán)格控制政企網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的業(yè)務(wù)互訪和數(shù)據(jù)流動(dòng)。

　　在建設(shè)“數(shù)字中國”、“網(wǎng)絡(luò)強(qiáng)國”等國家發(fā)展戰(zhàn)略的有力推動(dòng)下,云計(jì)算、萬物互聯(lián)、區(qū)塊鏈、5G、零信任等新技術(shù)不斷應(yīng)用于政企網(wǎng)絡(luò),推動(dòng)網(wǎng)絡(luò)規(guī)模不斷擴(kuò)大,網(wǎng)絡(luò)服務(wù)持續(xù)創(chuàng)新,網(wǎng)絡(luò)內(nèi)外交互聯(lián)系需求越來越旺盛,隨之而來的是各類新型網(wǎng)絡(luò)邊界應(yīng)用在政企網(wǎng)絡(luò)中不斷涌現(xiàn)。

　　一、政企網(wǎng)絡(luò)邊界安全管理面臨的風(fēng)險(xiǎn)與挑戰(zhàn)

　　現(xiàn)行網(wǎng)絡(luò)安全管理體系下的網(wǎng)絡(luò)邊界安全管理,在實(shí)踐中已暴露出諸如覆蓋面不全、適應(yīng)性不強(qiáng)、彈性擴(kuò)展能力不足、安全事件感知與響應(yīng)滯后等問題;在政企數(shù)字化轉(zhuǎn)型過程中因業(yè)務(wù)設(shè)計(jì)和應(yīng)用創(chuàng)新的參與度不高,導(dǎo)致既有業(yè)務(wù)迭代和新型應(yīng)用成為網(wǎng)絡(luò)邊界安全管理的監(jiān)管盲區(qū)的問題;缺乏對擅自部署的違規(guī)網(wǎng)絡(luò)邊界,特別是以逃避監(jiān)管為目的設(shè)計(jì)的違規(guī)網(wǎng)絡(luò)邊界設(shè)施設(shè)備和應(yīng)用的發(fā)現(xiàn)和處置的技術(shù)手段。針對網(wǎng)絡(luò)邊界的滲透入侵正威脅著政企網(wǎng)絡(luò)以及依托政企網(wǎng)絡(luò)運(yùn)行的關(guān)鍵信息基礎(chǔ)設(shè)施和重要數(shù)據(jù)的安全,急需開展政企網(wǎng)絡(luò)邊界安全管理體系研究與實(shí)踐,完善和強(qiáng)化政企網(wǎng)絡(luò)整體安全保障能力。

　　二、構(gòu)建政企網(wǎng)絡(luò)邊界安全管理體系的思考

　　(一)從管理對象到管理體系

　　網(wǎng)絡(luò)邊界安全管理,通常作為網(wǎng)絡(luò)安全管理體系的管理對象之一,強(qiáng)調(diào)已知網(wǎng)絡(luò)邊界設(shè)施的安全防護(hù),以及對未知網(wǎng)絡(luò)邊界設(shè)施的發(fā)現(xiàn)和處置,很少關(guān)注網(wǎng)絡(luò)邊界因規(guī)模體量、工作機(jī)制、應(yīng)用場景、服務(wù)方式等變化帶來的風(fēng)險(xiǎn),在瞬息萬變的數(shù)字業(yè)務(wù)需求和無處不在的新型網(wǎng)絡(luò)攻擊面前暴露出諸多問題。因此,需在網(wǎng)絡(luò)安全管理體系的基礎(chǔ)上,深入研究網(wǎng)絡(luò)邊界的業(yè)務(wù)特性和安全風(fēng)險(xiǎn),明確管理對象,分析應(yīng)用場景與服務(wù)內(nèi)容,細(xì)化管理要素,構(gòu)建適應(yīng)時(shí)代發(fā)展需要的網(wǎng)絡(luò)邊界安全管理體系。

　　(二)從“防護(hù)罩”到“網(wǎng)格邊界”

　　現(xiàn)行政企網(wǎng)絡(luò)邊界安全管理,可理解為網(wǎng)絡(luò)邊界是包裹整個(gè)網(wǎng)絡(luò)空間的“防護(hù)罩”,在這個(gè)“防護(hù)罩”中設(shè)計(jì)若干條通道用于與外界聯(lián)系。此種方式強(qiáng)調(diào)的是控制好通道,進(jìn)而控制經(jīng)通道進(jìn)出的網(wǎng)絡(luò)訪問和數(shù)據(jù)流動(dòng),優(yōu)點(diǎn)在于通道數(shù)量可控,便于安全防護(hù)措施的實(shí)施,管理手段更容易落地,缺點(diǎn)一是審批流程長、通道承載能力有限、交互需求適配耗時(shí)久;二是容易忽視基層部門和個(gè)人對網(wǎng)絡(luò)邊界的使用需求,導(dǎo)致私搭亂建違規(guī)網(wǎng)絡(luò)邊界的事件屢禁不止。隨著數(shù)字時(shí)代的臨近,政企數(shù)字化程度越來越高,數(shù)字化事務(wù)跨邊界交互需求爆發(fā)式增長,大量前所未有的跨邊界交互場景涌現(xiàn),“防護(hù)罩”式安全管理正成為政企數(shù)字化轉(zhuǎn)型快速推進(jìn)的障礙。

　　網(wǎng)格邊界是指在網(wǎng)絡(luò)邊界安全管理體系的作用下,將整個(gè)網(wǎng)絡(luò)空間按需劃分成大小不等的網(wǎng)格,基于網(wǎng)格內(nèi)設(shè)備設(shè)施、業(yè)務(wù)應(yīng)用、數(shù)據(jù)等資源的重要程度,結(jié)合網(wǎng)格所處的物理空間和網(wǎng)絡(luò)空間因素,明確網(wǎng)格邊界的安全管理要求,實(shí)施相應(yīng)的安全措施,在受控的條件下提供跨邊界交互服務(wù)。與安全域的域邊界不同之處在于,網(wǎng)格邊界是彈性的,比如政企云可以由一個(gè)或多個(gè)網(wǎng)格組成并形成一個(gè)或多個(gè)網(wǎng)格邊界,部門的局域網(wǎng)也可構(gòu)建網(wǎng)格邊界并提供跨邊界交互服務(wù)。

　　網(wǎng)格邊界的安全性、交互能力以及彈性,不僅取決于網(wǎng)絡(luò)邊界安全管理體系的完善程度,還與管理體系的自動(dòng)化編排、調(diào)度和處置能力息息相關(guān),現(xiàn)有技術(shù)方案暫時(shí)無法發(fā)揮其全部效能,需各方共同投入,持續(xù)研究和創(chuàng)新。

　　(三)從強(qiáng)調(diào)重要應(yīng)用系統(tǒng)和數(shù)據(jù)監(jiān)管,到以用戶和資源監(jiān)管為核心

　　長期以來,對跨邊界交互的安全監(jiān)管,重心放在防止在跨邊界交互過程中,重要應(yīng)用系統(tǒng)遭到攻擊破壞,重要數(shù)據(jù)被竊取、篡改或刪除。這種安全管理和防護(hù)模式在數(shù)據(jù)中心機(jī)房部署核心業(yè)務(wù)并存儲數(shù)據(jù)的大集中時(shí)代,具有便于管理、目標(biāo)明確見效快、運(yùn)維難度低等優(yōu)勢。隨著應(yīng)用系統(tǒng)和數(shù)據(jù)向云遷移,應(yīng)用系統(tǒng)的更新迭代加快,新應(yīng)用系統(tǒng)的上線周期變短,對外共享和外部流入的數(shù)據(jù)類型時(shí)刻在變,部門級云上應(yīng)用甚至個(gè)人用戶的跨邊界需求層出不窮,現(xiàn)行的跨邊界交互安全管理和防護(hù)模式已難以適應(yīng)這些變化。

　　以用戶和資源監(jiān)管為核心,是將跨邊界交互的安全監(jiān)管重心,由交互過程移至用戶和資源兩個(gè)核心點(diǎn),在確保安全的基礎(chǔ)上提供適應(yīng)復(fù)雜場景和多變需求的跨邊界交互服務(wù):一是監(jiān)管網(wǎng)絡(luò)邊界內(nèi)外兩側(cè)的應(yīng)用系統(tǒng)和個(gè)人用戶,確保用戶的訪問獲得授權(quán)并可約束跨邊界訪問的網(wǎng)格與路徑;二是將網(wǎng)絡(luò)邊界內(nèi)外兩側(cè)設(shè)施設(shè)備、應(yīng)用系統(tǒng)、數(shù)據(jù)等資源進(jìn)行分類分級,監(jiān)管用戶能且僅能按授權(quán)對資源進(jìn)行訪問和使用;三是采取技術(shù)手段實(shí)現(xiàn)對未經(jīng)授權(quán)的用戶繞過監(jiān)管措施訪問資源、不受控的網(wǎng)絡(luò)邊界節(jié)點(diǎn)向用戶提供跨邊界交互服務(wù)等情況的發(fā)現(xiàn)和處置。

　　(四)常態(tài)化防護(hù)與暴露面收斂相結(jié)合

　　網(wǎng)絡(luò)邊界暴露面,是指網(wǎng)絡(luò)邊界可被直接或間接收集的信息集。立足于安全管理者視角,信息集不僅包括已知可被利用發(fā)起網(wǎng)絡(luò)攻擊的弱點(diǎn)、缺陷等攻擊面信息,還包括其他可能被用于侵害政企網(wǎng)絡(luò)安全和相關(guān)利益的信息,例如網(wǎng)絡(luò)邊界的跨邊界流轉(zhuǎn)的數(shù)據(jù)類型,又如可間接推斷出存在不被掌握的0day漏洞的信息。網(wǎng)絡(luò)邊界暴露面收斂,強(qiáng)調(diào)的是盡可能不泄露網(wǎng)絡(luò)邊界及其跨邊界交互的相關(guān)信息,即便面對授權(quán)用戶也僅提供其權(quán)限之內(nèi)的信息。實(shí)現(xiàn)網(wǎng)絡(luò)邊界暴露面收斂的前提,一是需要具備感知網(wǎng)絡(luò)邊界的技術(shù)手段,二是嚴(yán)控對外發(fā)布信息內(nèi)容及控制信息獲取途徑,三是對不同用戶的跨邊界交互服務(wù)提供不同的路徑,有條件可動(dòng)態(tài)提供路徑。

　　從突破網(wǎng)絡(luò)邊界防護(hù)滲透進(jìn)入政企網(wǎng)絡(luò)的眾多案例來看,無論是應(yīng)對黑客組織發(fā)起的入侵攻擊,還是應(yīng)對為檢驗(yàn)網(wǎng)絡(luò)邊界安全效能而開展的滲透測試,傳統(tǒng)的網(wǎng)絡(luò)邊界安全措施在防不勝防的攻擊手段面前略顯乏力。造成這種局面的主要原因之一是安全管理者和專家往往傾向于將資源投放在網(wǎng)絡(luò)邊界的安全防護(hù)加固和安全事件的監(jiān)控與處置上,而對網(wǎng)絡(luò)邊界暴露面的投入則不足以及時(shí)感知其存在并進(jìn)行收斂。將常態(tài)化防護(hù)與暴露面收斂相結(jié)合,可充分發(fā)揮兩者優(yōu)勢,較小的暴露面可放大攻擊者的偵查嗅探過程與耗時(shí),增加滲透攻擊難度,令網(wǎng)絡(luò)邊界安全措施有足夠的檢測數(shù)據(jù)和響應(yīng)時(shí)間,為安全管理者應(yīng)急處置創(chuàng)造條件。

　　三、政企網(wǎng)絡(luò)邊界安全管理體系建設(shè)的幾點(diǎn)建議

　　(一)完善政企網(wǎng)絡(luò)安全頂層設(shè)計(jì),夯實(shí)監(jiān)管基礎(chǔ)

　　政企安全管理者在網(wǎng)絡(luò)安全整體設(shè)計(jì)中,通常參考《網(wǎng)絡(luò)安全等級保護(hù)制度》及網(wǎng)絡(luò)安全主管單位制定的安全管理制度,對網(wǎng)絡(luò)邊界進(jìn)行安全設(shè)計(jì),以保障網(wǎng)絡(luò)邊界不被滲透入侵為目標(biāo),主要關(guān)注網(wǎng)絡(luò)邊界設(shè)施的安全防護(hù)能力,對網(wǎng)絡(luò)邊界因設(shè)施形態(tài)、技術(shù)方案、應(yīng)用場景、服務(wù)對象等方面的不同所面臨的各類安全風(fēng)險(xiǎn)缺乏明確的指導(dǎo),對涌現(xiàn)的各類跨邊界交互需求如何落實(shí)安全措施也缺乏相應(yīng)的規(guī)范約束。因此,需對網(wǎng)絡(luò)邊界業(yè)務(wù)充分調(diào)研和深度分析,從網(wǎng)絡(luò)邊界的管理結(jié)構(gòu)、建設(shè)規(guī)劃、保護(hù)對象、安全要求等各維度對網(wǎng)絡(luò)安全頂層設(shè)計(jì)進(jìn)行完善和補(bǔ)充,為政企網(wǎng)絡(luò)邊界安全管理體系的構(gòu)建和實(shí)施打好基礎(chǔ)。

　　(二)優(yōu)化網(wǎng)絡(luò)邊界安全管理模型,細(xì)化監(jiān)管顆粒度

　　傳統(tǒng)的網(wǎng)絡(luò)邊界安全管理模型,通常包含橫向邊界和縱向邊界兩大部分,橫向邊界主要負(fù)責(zé)對網(wǎng)絡(luò)外部的交互防護(hù),縱向邊界主要負(fù)責(zé)網(wǎng)絡(luò)內(nèi)部不同區(qū)域之間的交互防護(hù),不僅顆粒度較粗,而且對邊界類型的劃分也不夠完善。結(jié)合現(xiàn)網(wǎng)普遍的網(wǎng)絡(luò)邊界形態(tài),可考慮補(bǔ)充以下內(nèi)容:

　　1.關(guān)鍵信息基礎(chǔ)設(shè)施的安全管理。關(guān)鍵信息基礎(chǔ)設(shè)施的重要性在《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》第一章第二條做出了明確闡述,將與其相關(guān)的邊界業(yè)務(wù)安全納入模型的必要性不言而喻。

　　2.涉云邊界的安全管理。涉云邊界是指云與支撐硬件平臺的邊界、云應(yīng)用之間的邊界、云應(yīng)用與大數(shù)據(jù)湖的邊界、云與網(wǎng)絡(luò)內(nèi)其他區(qū)域的邊界、云與外部網(wǎng)絡(luò)的邊界等。

　　3.面向數(shù)據(jù)的安全管理。數(shù)據(jù)流動(dòng)是網(wǎng)絡(luò)邊界的主要功能之一,但傳統(tǒng)邊界安全管理模型未將數(shù)據(jù)為管理對象納入管理范疇。

　　4.通信鏈路邊界的安全管理。大規(guī)模政企網(wǎng)絡(luò)的上下級網(wǎng)絡(luò)樞紐和城域網(wǎng)內(nèi)距離較遠(yuǎn)的物理區(qū)域,通常采用向運(yùn)營商租賃專線的方式組網(wǎng),承載專線的通信鏈路可能同時(shí)為多家租戶提供服務(wù),需將鏈路邊界納入網(wǎng)絡(luò)邊界并實(shí)施安全管理。

　　5.安全域/網(wǎng)格邊界安全管理。不論是基于安全域還是網(wǎng)格定義不同網(wǎng)絡(luò)業(yè)務(wù)和安全需求的網(wǎng)絡(luò)區(qū)域,這些網(wǎng)絡(luò)區(qū)域也應(yīng)按需納入邊界安全管理范疇。

　　(三)實(shí)施多維動(dòng)態(tài)網(wǎng)絡(luò)邊界測繪,強(qiáng)化監(jiān)管能力

　　落實(shí)網(wǎng)絡(luò)邊界安全管理,需理清全網(wǎng)網(wǎng)絡(luò)邊界底數(shù),明確其所處的網(wǎng)絡(luò)空間位置,進(jìn)而掌握跨邊界交互的具體情況和落實(shí)安全管理措施。

　　面對復(fù)雜多變的政企網(wǎng)絡(luò),可基于政企網(wǎng)絡(luò)邊界安全管理模型,根據(jù)不同管理對象的信息采集和管理要求,在網(wǎng)絡(luò)主干、云中心、數(shù)據(jù)中心、安全域或網(wǎng)格等網(wǎng)絡(luò)關(guān)鍵位置部署各類技術(shù)手段,實(shí)施覆蓋全網(wǎng)的網(wǎng)絡(luò)邊界不間斷測繪,輔以諸如登記備案、資產(chǎn)臺帳等管理手段,形成實(shí)時(shí)更新的網(wǎng)絡(luò)邊界安全數(shù)據(jù)庫,記錄網(wǎng)絡(luò)邊界運(yùn)行和服務(wù)狀態(tài),幫助管理者掌握網(wǎng)絡(luò)邊界安全形勢,還可幫助管理者發(fā)現(xiàn)各類私自搭建的不受控網(wǎng)絡(luò)邊界和跨邊界交互行為,為快速響應(yīng)和處置安全風(fēng)險(xiǎn)提供數(shù)據(jù)支撐。

　　結(jié)語:

　　就網(wǎng)絡(luò)技術(shù)和應(yīng)用發(fā)展趨勢而言,從用戶視角來看,政企網(wǎng)絡(luò)的邊界將逐漸模糊,并在數(shù)字化轉(zhuǎn)型的過程中逐漸與互聯(lián)網(wǎng)等外部網(wǎng)絡(luò)以某種形式融合互通;從管理者視角來看,網(wǎng)絡(luò)邊界控制顆粒度越來越細(xì),抵御侵害的自動(dòng)化和智能化程度越來越高,這也為構(gòu)建政企網(wǎng)絡(luò)邊界安全管理體系這一項(xiàng)復(fù)雜的系統(tǒng)工程提出了更高要求。（廣州天懋信息系統(tǒng)股份有限公司）