检察工作网安全边界新选择：启明星辰动态网络安全隔离解决方案
发布时间 2022-12-08随着检察机关科技强检战略深入实施，检察工作网作为检察机关的重要基础网络，已成为与其他党政机关、企事业等单位非涉密网络互联互通、数据共享和业务协同的重要支撑平台。但随着检察工作网覆盖范围、数据交换范围与用户群体的扩大，解决专网与专网之间、专网与互联网之间的边界链路安全问题，已成为加强检察机关与政法机关、行政执法部门资源共享，推动建设政法网络互联互通和信息资源共享平台的底板工程。
检察工作网安全挑战
1、终端安全风险
接入用户类型多，场所物理环境不安全、人员复杂、接入终端安全状态不可控，且接入后行为不可控，终端安全风险较大；其次，接入终端存在非法使用、非授权访问，甚至存在伪造终端接入，并有可能发展为木马、病毒的传播来源。
2、链路安全风险
接入链路复杂、缺乏针对数据传输机密性、完整性的保障机制，存在敏感数据被篡改外泄的风险，以及存在非法数据、病毒数据通过接入链路进入内部网络的风险。
3、应用安全风险
接入用户存在对应用的越权访问，信息泄密的风险；其次，与外部对象连接后应用系统暴露面扩大，安全风险增加，极易遭受黑客攻击、木马入侵、病毒传播、信息篡改和数据窃取等不同程度的安全威胁。
最高人民检察院于2019年9月6日印发《检察工作网边界安全接入平台建设管理规范》（高检技[2019]26号），规定了检察工作网边界安全接入平台的总体框架、技术要求和管理要求。
针对检察工作网边界安全接入平台的业务互联、安全管理、边界防护、安全检测、隔离交换、等保建设等安全保障需求，启明星辰推出软件定义检察工作网边界——动态网络安全隔离解决方案，为检察机关与外部非涉密网络数据共享、业务协同安全稳定可靠运行提供安全保障。
该方案基于零信任思路构建，以资源保护为核心。主体和资源之间的信任关系都需要从零开始，通过持续环境感知与动态信任评估进行构建，从而实施权最小化的访问控制。通过终端基于信任评估及风险分析的动态访问控制，将检察工作网边界安全接入平台划分为安全防护区、安全检测区、安全隔离交换区、安全管理区，构建基动态访问控制的安全隔离模型，在满足检察机关安全建设合规性要求的同时，帮助应对更加智能、更加复杂的外部安全威胁，进而保障业务及数据应用安全。
1、外部接入对象区
部署零信任环境感知一体化客户端。该客户端可根据用户需要集成SDP、EDR、杀毒、桌管、DLP组件、数据安全沙箱。对用户的终端安全基线以及终端行为进行全面持续检测，并针对发现的终端安全问题进行及时修复，确保接入客户端终端与用户实名绑定，终端安全基线合规，用户使用行为合规。并为零信任控制中心提供终端评分依据，通过实现用户访问业务敏感数据不落地，确保用户业务网络与互联网完全隔离。
2、安全防护区
通过串联部署防火墙实现对从接入的终端进行访问控制，同时防火墙上开启IPS、防病毒模块，实现对攻击、病毒的过滤。并在安全防护区旁路部署SDP网关，实现对接入终端到访问过程中的端口动态开放、传输加密、应用代理访问等功能，实现对后端网络的隐藏，降低网络暴露面。
3、安全检测区
部署SDP控制中心以及EDR服务端，分别作为动态策略控制中心和信任评估中心，和在接入终端上部署的融合客户端以及安全防护区部署的SDP网关，一起组成零信任架构，实现动态、按需重塑边界，确保只有通过验证的主体方可接入到边界。同时，部署IDS，准确监测异常网络流量，实时识别流量中的网络入侵行为，并进行记录，自动对各类攻击进行实时审计；部署DLP监管内部重要数据的合规合理使用，从而有效地实现对泄密风险的事前预警防护与事后追查；部署集控探针，采集边界上所有设备日志，进行简单的范式化处理后统一发送至安全管理区的集中监控服务器，进行集中分析存储。
4、安全隔离交换区
根据接入对象的不同部署数据交换系统+网闸/双单向光闸，构成数据交换平台，阻断外部接入对象与检察工作网之间的所有直接网络链接，对网络协议进行剥离和转化，并对网络流量的隔离和过滤防护，保证网络安全隔离与数据安全交换。通过零信任控制中心与数据交换系统联动，实现数据交换端口的网络隐身和数据访问行为的动态访问控制。
5、安全管理区
该区域部署于检察工作网内，实现检察工作网中管理用户对接入平台运行状态监控、业务配置管理与集中日志审计。通过部署堡垒机以实现设备的统一安全审计，并部署集中管理平台对边界接入平台的各种安全设备进行监控、管理、审计。
检察工作网安全挑战
1、终端安全风险
接入用户类型多，场所物理环境不安全、人员复杂、接入终端安全状态不可控，且接入后行为不可控，终端安全风险较大；其次，接入终端存在非法使用、非授权访问，甚至存在伪造终端接入，并有可能发展为木马、病毒的传播来源。
2、链路安全风险
接入链路复杂、缺乏针对数据传输机密性、完整性的保障机制，存在敏感数据被篡改外泄的风险，以及存在非法数据、病毒数据通过接入链路进入内部网络的风险。
3、应用安全风险
接入用户存在对应用的越权访问，信息泄密的风险；其次，与外部对象连接后应用系统暴露面扩大，安全风险增加，极易遭受黑客攻击、木马入侵、病毒传播、信息篡改和数据窃取等不同程度的安全威胁。
动态访问控制严把边界接入安全
最高人民检察院于2019年9月6日印发《检察工作网边界安全接入平台建设管理规范》（高检技[2019]26号），规定了检察工作网边界安全接入平台的总体框架、技术要求和管理要求。
针对检察工作网边界安全接入平台的业务互联、安全管理、边界防护、安全检测、隔离交换、等保建设等安全保障需求，启明星辰推出软件定义检察工作网边界——动态网络安全隔离解决方案，为检察机关与外部非涉密网络数据共享、业务协同安全稳定可靠运行提供安全保障。
该方案基于零信任思路构建，以资源保护为核心。主体和资源之间的信任关系都需要从零开始，通过持续环境感知与动态信任评估进行构建，从而实施权最小化的访问控制。通过终端基于信任评估及风险分析的动态访问控制，将检察工作网边界安全接入平台划分为安全防护区、安全检测区、安全隔离交换区、安全管理区，构建基动态访问控制的安全隔离模型，在满足检察机关安全建设合规性要求的同时，帮助应对更加智能、更加复杂的外部安全威胁，进而保障业务及数据应用安全。
1、外部接入对象区
部署零信任环境感知一体化客户端。该客户端可根据用户需要集成SDP、EDR、杀毒、桌管、DLP组件、数据安全沙箱。对用户的终端安全基线以及终端行为进行全面持续检测，并针对发现的终端安全问题进行及时修复，确保接入客户端终端与用户实名绑定，终端安全基线合规，用户使用行为合规。并为零信任控制中心提供终端评分依据，通过实现用户访问业务敏感数据不落地，确保用户业务网络与互联网完全隔离。
2、安全防护区
通过串联部署防火墙实现对从接入的终端进行访问控制，同时防火墙上开启IPS、防病毒模块，实现对攻击、病毒的过滤。并在安全防护区旁路部署SDP网关，实现对接入终端到访问过程中的端口动态开放、传输加密、应用代理访问等功能，实现对后端网络的隐藏，降低网络暴露面。
3、安全检测区
部署SDP控制中心以及EDR服务端，分别作为动态策略控制中心和信任评估中心，和在接入终端上部署的融合客户端以及安全防护区部署的SDP网关，一起组成零信任架构，实现动态、按需重塑边界，确保只有通过验证的主体方可接入到边界。同时，部署IDS，准确监测异常网络流量，实时识别流量中的网络入侵行为，并进行记录，自动对各类攻击进行实时审计；部署DLP监管内部重要数据的合规合理使用，从而有效地实现对泄密风险的事前预警防护与事后追查；部署集控探针，采集边界上所有设备日志，进行简单的范式化处理后统一发送至安全管理区的集中监控服务器，进行集中分析存储。
4、安全隔离交换区
根据接入对象的不同部署数据交换系统+网闸/双单向光闸，构成数据交换平台，阻断外部接入对象与检察工作网之间的所有直接网络链接，对网络协议进行剥离和转化，并对网络流量的隔离和过滤防护，保证网络安全隔离与数据安全交换。通过零信任控制中心与数据交换系统联动，实现数据交换端口的网络隐身和数据访问行为的动态访问控制。
5、安全管理区
该区域部署于检察工作网内，实现检察工作网中管理用户对接入平台运行状态监控、业务配置管理与集中日志审计。通过部署堡垒机以实现设备的统一安全审计，并部署集中管理平台对边界接入平台的各种安全设备进行监控、管理、审计。
启明星辰软件定义检察工作网边界——动态网络安全隔离解决方案，具有更细粒度的控制、更灵活的扩展、更高的可靠性，改变了传统的网络接入控制管理模式，帮助检察机关工作网边界安全接入平台管理由静态访问控制走向动态访问控制，从基于IP的访问控制到基于身份的访问控制，从开放所有端口到只对授权客户开放有限端口转变，为实现接入后的持续自适应风险、信任评估奠定了技术基础，提升了检察工作网整体主动防御能力与网络安全运维效率，从而保障数智检察转型行稳致远。
京公网安备11010802024551号