政务数据交换体系中的几种安全架构探索

杨君 刘本军

当今时代云计算、大数据技术的高速发展已经给人们的日常工作生活带来方方面面的影响，作为掌握80%信息资源的政府部门越来越意识到这些数据资源的重要价值，各地政府近些年来也逐步重视并开始建设政务基础数据共享交换平台，在这个过程中，数据安全、平台安全体系的设计尤其重要。本文将探讨政务数据交换平台中几种常见的安全防范体系架构。

一、引言

2016年3月5日，李克强总理在作政府工作报告时指出要大力推行”互联网+政务服务”，实现政府各部门间的数据共享，真正体现“让数据多跑路，让企业和百姓少跑腿”。从实际情况来看，由于各种历史原因，各部门的信息化建设和发展参差不齐，缺少顶层规划，更没有完善的数据安全保护的相关措施，虽然国家近些年来不断推进电子政务外网的建设，将电子政务外网延伸到政府的各个职能部门，但在通过政务外网物理链路建设数据交换平台的同时，如何保障数据传输及交换共享过程中的信息安全仍然是信息化建设者们面临的一个重要课题。

二、政务数据交换体系中的数据安全需求

当前各地级以上政府基本都建设有政务数据中心，在建设过程中涉及大量的数据交换需求，政府各级部门如公安局、市场监督管理局、住建局、人社局、民政局等委办局通过电子政务外网链路和数据交换平台将政府所需的各种数据（如人口数据、法人数据、空间地理数据、社保数据等）交换到政务数据中心，同时交换回自己所需要的其他部门数据。

在各種数据交换传输的过程中，涉及到不同的上级主管部门、不同的运营商传输链路、不同的数据传输交换方式，如何保障数据安全、防止敏感数据外泄，是需要重点考量的因素之一，因此在各部门已有的业务信息网络和政府的电子政务外网之间需要建立相应的数据安全防护体系来支撑。

三、政务数据交换体系中的几种常见安全架构

不同的政府部门、不同的业务信息系统对数据交换中的安全需求也不一样。如公安部在2007年就出台了《公安信息通信网边界接入平台安全规范（试行）》，对通过其他外部网络和公安信息网进行数据交换提出了严格的信息安全要求和接入平台建设标准，其他部门也有针对性的相关安全规范和要求。这些规范总结起来，主要有以下三种类型：以安全边界平台为核心的数据交换安全架构、以网闸为核心的数据交换安全架构、以防火墙为核心的数据交换安全架构。

（一）以安全边界平台为核心的数据交换安全架构

安全边界接入平台的概念最早由公安部提出，2007年10月公安部出台《公安信息通信网边界接入平台安全规范（试行）》，规范中提出在部、省、市三级公安信息中心集中建设公安信息通信网边界接入平台，统一实现从公安信息网外采集信息或对外提供信息服务，实现接入业务的安全监控与审计，以此来保障数据交换传输过程中的信息安全。

安全边界接入平台建立在公安网和其他外网之间，集合了防火墙、可信网关、入侵检测、数据交换系统等，并加入集中监控审计系统对网络接入的情况进行审计，实时统一的监控整个安全边界系统的运行状态。形成拥有用户认证、访问控制、杀毒、网络物理隔离等的一整套安全体系，涵盖接入与数据交换的各个环节，并且体现了可管理、可审计、标准化、高安全、高可靠等特性。以此保证公安信息网在与外部网络之间进行数据交换、共享、采集期间的高度安全。

以安全边界平台为核心的数据交换安全架构解决方案中的几个核心组成部分及实现的功能：

防火墙系统：防火墙根据数据包的源/目标地址、协议类型、源/目标端口以及网络协议等对数据包进行访问控制，确保用户合法有效地使用各种网络资源。

可信边界网关：可信边界安全网关主要用于外部网络终端设备以及用户的认证授权管理;网关系统根据对不同用户的授权提供相应的服务，并且对用户终端系统进行安全检查和监控。链路建立后，经可信边界安全网关权限检查通过后，访问平台内相应的前置服务器，实现与前置服务器间的数据交换业务。

集控探针系统：集控探针系统是监听监控外网各种设备的专用硬件设备，可收集所有支持的SYSLOG协议、SNMP v2/v3协议的设备信息。可以根据集中监控系统的调度策略主动向边界安全接入平台外网的所有设备发送侦听包，根据侦听包的返回判断各个设备运行的状态。

安全数据交换系统：安全数据交换系统包括前、后置服务器以及安全隔离网闸，用于内外网之间的数据交换，实现对交换数据的内容检查过滤。数据交换系统是交换平台与外部网络业务交换数据的唯一入口。它部署数据库、文件、数据流等应用服务接口。前置服务器根据外部接入方式、数据交换类型和现有数据流量，选择合理的数据交换方式和网闸安全通道。后置用于实现交换平台与数据中心的数据访问和交换。

在政务数据中心的实际建设中，当涉及和公安部门进行数据交换时，数据交换及安全边界平台的拓扑结构一般如图1所示。

图1的拓扑结构中，在政务数据中心和公安网之间建立的以安全边界为核心的数据交换平台，包含了防火墙系统、可信边界安全网关系统、入侵检测系统、集控探针系统及安全数据交换系统，符合公安部已出台的规范要求，充分保障数据在交换传输过程中安全可控。

（二）以网闸为核心的数据交换安全架构

以安全边界平台为核心的架构是目前可以参考的最为完整的数据交换安全体系。但此架构也存在建设成本高、结构稍复杂、对运维人员技术要求高等几个典型问题。在实际建设中，当政务数据中心在建设和除公安部门之外的其他部门的数据交换平台时，往往也会考虑其他信息安全解决方案，这其中，以隔离网闸为核心建立数据交换安全架构是常见的方式之一。例如政务数据中心和人社局交换社保相关数据，在电子政务外网和人社局业务专网之间建设数据交换平台时，拓扑结构通常如图2所示。

图2中的核心安全设备是隔离网闸，部署在两边网络的数据交换前置服务器之间，并使得政务外网和接入单位的业务专网间不存在通信的物理连接、逻辑连接及信息传输协议，不存在依据协议进行的信息交换，而只有以数据文件形式进行的无协议摆渡。因此，网闸从逻辑上隔离、阻断了对接入单位业务网络具有潜在攻击可能的一切网络连接，使攻击者无法直接入侵、攻击或破坏有数据交换需求的业务内网，保障数据交换传输过程中的信息安全。

（三）以防火墙为核心的数据交换安全架构

与安全边界平台和隔离网闸相比，防火墙只能算是一种很基础网络安全设备，但在实际运用中，只要配置好防火墙的安全策略，通过黑白名单严格控制可以访问数据交换前置服务器的客户端地址以及对应的应用端口，同样可以起到事半功倍的安全防护效果。因此在政务数据中心和有些委办局单位之间的数据交换平台建设中，也有以防火墙为核心的安全架构拓扑，如图3所示。

防火墙系统和隔离网闸、安全边界平台最大的不同在于，它不是两个网络之间的物理隔离设备，网络之间还存在逻辑连接和信息传输协议的通讯，极端情况下，攻击者如果获取了防火墙的控制权限，就可能窃取单位业务网络中的相关信息。对数据交换传输过程中的信息安全造成威胁，所以，类似以防火墙系统作为核心的安全架构只建议在一些非敏感数据的交换平台建设中采用。

四、结语

政务数据交换是当前各级政府运用信息化手段服务民生中的基础环节，保障数据交换过程中的信息安全尤其重要。不同信息安全体系架构在建设思路、建设成本和维护难度上都有较大差异，实际工作中，还需要结合上级主管部门制定的规范要求、数据的重要级别等因素综合考量，选择合适的技术路线。

作者单位：杨君中国船舶集团有限公司第七一〇研究所

刘本军湖北三峡职业技术学院互联网协同创新中心