【安全与挑战】政企网络边界安全管理的现状与思考

政企数字化转型进程中由于业务设计及应用创新参与程度较低，使得现有业务迭代及新型应用成了网络边界安全管理监管盲点问题；

对于未经授权部署的非侵入性网络边界尤其是旨在规避监管的非侵入性设施设备及应用缺少检测及处理技术手段。 鉴于网络边界渗透入侵问题正在威胁政企网络及依托政企网络而运营的关键信息基础设施、重要数据等安全问题，迫切需要对政企网络边界安全管理体系进行研究和实践，以提高和加强政企网络的整体安全保障。

02、构建政企网络边界安全管理体系的思考

(一）从管理对象到管理体系

网络边界安全管理通常是网络安全管理体系中的一个管理目标，它强调对已知网络边界设施进行安全保护，同时也注重对未知网络边界设施进行检测与处理，较少注意到网络边界由于规模体量，工作机制，应用场景，服务方式改变而产生的危险，面对日新月异的数字业务需求与无所不在的新型网络攻击，暴露出许多问题。 为此，有必要以网络安全管理体系为基础，对网络边界业务特性及安全风险进行深入研究，确定管理对象、分析应用场景及服务内容、提炼管理要素、建立符合时代发展要求的网络边界安全管理体系。

(二）从“防护罩”到“网格边界”

现行政企网络边界安全管理，可理解为网络边界是包裹整个网络空间的“防护罩”，在这个“防护罩”中设计若干条通道用于与外界联系。

此种方式强调的是控制好通道，进而控制经通道进出的网络访问和数据流动，优点在于通道数量可控，便于安全防护措施的实施，管理手段更容易落地，缺点：

• 一是审批流程长、通道承载能力有限、交互需求适配耗时久；

  二是易忽略基层部门及个人利用网络边界的要求，致使私搭乱建不规范网络边界现象屡有发生。在数字时代日益迫近的今天，政府和企业数字化程度不断提高，数字化事务中跨边界互动需求爆炸式增长，出现了一大批空前丰富的跨边界互动场景，“防护罩”型安全管理正在成为制约政府和企业数字化转型高速发展的阻碍因素。

网格边界就是以网络边界为核心，在安全管理体系的支持下，将整个网络空间按需分成大小不等的网格，依据网格内设备设施、业务应用和数据等资源的重要程度，充分考虑网格所在物理空间和网络空间各方面因素，明确网格边界的安全管理要求，实施相应的安全措施，实现可控条件下跨边界交互服务。 其与安全域的域边界不同在于网格边界是弹性的，如政企云可含有1个或多个网格并形成1个或多个，部门内局域网可构建网格边界并提供跨边界交互服务。

网格边界的安全性、交互能力以及弹性，不仅取决于网络边界安全管理体系的完善程度，还与管理体系的自动化编排、调度和处置能力息息相关，现有技术方案暂时无法发挥其全部效能，需各方共同投入，持续研究和创新。

(三）从强调重要应用系统和数据监管，到以用户和资源监管为核心

长期以来，对跨边界交互的安全监管，重点是避免跨边界交互时对重要应用系统的攻击和破坏以及对重要数据的盗用，篡改和删除。该安全管理与防护模式应用于数据中心机房核心业务部署与数据存储大集中时代具有管理方便，对象清晰见效快，运行维护难度小等优点。

随着应用系统和数据向云迁移，应用系统的更新迭代加快，新应用系统的上线周期变短，对外共享和外部流入的数据类型时刻在变，部门级云上应用甚至个人用户的跨边界需求层出不穷，现行的跨边界交互安全管理和防护模式已难以适应这些变化。

以用户和资源监管为核心，是将跨边界交互的安全监管重心，由交互过程移至用户和资源两个核心点，在确保安全的基础上提供适应复杂场景和多变需求的跨边界交互服务：

• 一是监管网络边界内外两侧的应用系统和个人用户，确保用户的访问获得授权并可约束跨边界访问的网格与路径；

• 二是将网络边界内外两侧设施设备、应用系统、数据等资源进行分类分级，监管用户能且仅能按授权对资源进行访问和使用；

• 三是采取技术手段实现对未经授权的用户绕过监管措施访问资源、不受控的网络边界节点向用户提供跨边界交互服务等情况的发现和处置。

(四）常态化防护与暴露面收敛相结合

网络边界暴露面，是指网络边界可被直接或间接收集的信息集。从安全管理者的角度出发，该信息集既包含已知可用来启动网络攻击的攻击面信息（如弱点，缺陷），也包含可能用来侵犯政企网络安全及相关收益的其它信息（如网络边界跨边界流转数据类型），以及若能间接推断是否有未把握到的0day漏洞。

网络边界暴露面收敛，强调的是尽可能不泄露网络边界及其跨边界交互的相关信息，即便面对授权用户也仅提供其权限之内的信息。实现网络边界暴露面收敛的前提，

• 一是需要具备感知网络边界的技术手段，

  二是严控对外发布信息内容及控制信息获取途径。

• 三是对不同用户的跨边界交互服务提供不同的路径，有条件可动态提供路径。

纵观大量冲破网络边界防护向政企网络渗透的案例，无论是对黑客组织的入侵攻击，还是为检验网络边界安全效能而实施的渗透测试，在防不胜防的攻击方式面前，普通的网络边界安全措施显得略显乏力。造成这种状况的主要原因之一是安全管理者和专家普遍倾向于将资源集中在对网络边界进行安全防护加固和安全事件监测处置上，而对网络边界暴露面的投入并没有及时感知到网络边界的存在和收敛。

结合常态化防护和暴露面收敛，可以充分发挥二者的优点，更少暴露面可以放大攻击者侦查嗅探的流程和耗时，提高渗透攻击的难度，使网络边界安全措施具有充分的探测数据及响应时间，从而为安全管理者应急处置提供条件。