电子政务外网是数字政府建设的重要基石，然而，各级政务部门终端接入政务外网时存在“一机两用”的情况，导致政务外网终端感染僵木蠕、政务外网被跳板攻击等安全事件。如何防范化解政务外网终端安全风险，保障政务外网整体安全性成为亟待解决的问题。

国家电子政务外网管理中心牵头制定了《政务外网终端一机两用安全管控技术指南》并于 2022年7月印发实施。为更好统筹政务外网终端安全管控体系建设，全面推动政务外网终端“一机两用”落地，2023 年，国家电子政务外网管理中心组织 18 家省、市级政务外网建设运维管理单位开展标准试点试用工作。

作为国家《政务外网终端以及两用安全管控技术指南》主要技术支撑单位，在过去的一年多时间里，联软已经助力多个省市大数据中心建设并实施一机两用项目，其中，完成验收的某省政务大数据中心一机两用项目案例，入选国家电子政务外网管理中心评选汇编的《政务外网终端“一机两用”试点工作最佳实践案例》，以作示范为全国范围内的“一机两用”工作提供参考。

业务挑战

政务工作涵盖众多部门和岗位，每个部门或岗位因其特定任务需求，往往需要不同类型的终端设备来支撑，这导致了政务终端接入的广泛性，不同区域、不同种类的设备通过各种方式接入电子政务外网，极大地扩展了网络暴露面。另一方面，由于缺乏对不同类型设备接入的统一身份认证，让终端安全管理变得困难。

尽管该省市大数据中心已经采取了一系列管理措施来应对设备接入问题，但诸如私接路由器、无认证接入网络、终端准入控制不严等现象仍然难以杜绝。由于网络结构的复杂性，当运维人员检测到安全威胁时，往往难以迅速准确定位问题源头，这不仅导致数据泄露后难以追踪，也使得安全责任难以明确落实，问题解决效率低下。因此，如何强化电子政务外网终端的安全管控，已成为了该省数字政府安全建设的重要课题。

解决方案

该省政务大数据中心参照《政务外网终端一机两用安全管控技术指南》标准要求，建设以准入控制、网络隔离、动态鉴权、数据防护为核心的零信任政务外网应用安全访问体系，规范省及地市电子政务外网PC端、移动端的访问控制，确保访问终端、人员身份、业务应用的安全基线，保障用户和终端身份可信、应用访问行为合规可控、访问网络安全可靠，确保政务外网应用和数据安全。

▲政务外网终端“一机两用”安全管控建设方案

零信任管理平台模块：零信任管理平台部署于政务外网数据中心安全管理区，通过集群部署保证业务的高可靠性，包含零信任接入控制和终端安全防护组件。对所有接入终端的安全策略统一配置管理，主要实现安全策略下发、动态信任评估、用户行为审计、用户权限管控、应用代理发布、恶意代码防范、非法外联控制、安全基线检查、数据安全防护、终端资产管理、终端安全防护等功能，保障接入的终端设备安全可信，政务应用和数据的安全防护，禁止非法终端接入。

零信任安全网关模块：在政务外网城域网60对汇聚节点路由器分别旁路部署两台零信任安全网关，并组成双机热备保证高可靠，路由器通过策略路由将流量牵引到零信任安全网关，实现本地办公终端零信任接入及安全防护。

一体化客户端：在政务外网接入终端上部署终端一体化客户端，用一个客户端一次认证完成局域网网络准入、零信任SPA认证、零信任认证流程，同时提供终端安全管控能力。不仅大大降低终端资源消耗，而且大大提高终端用户体验和管理效率。

方案效果

通过部署零信任管理平台、零信任安全网关以及一体化客户端，该省大数据中心实现了对政务外网所有终端准入的全面安全控制，确保了终端网络接入的安全性。这一举措使得大数据中心对接入政务外网的终端实施有效的安全管控，实现 “一机两用”省市协同，全面提升政务外网终端、应用、流量、网络、身份、基础设施六个方面的防护能力，建全了覆盖终端侧、网络侧、应用侧的端到端的应用访问安全保障能力和安全运营能力。

👉终端入网可信

终端在访问政务外网应用时，遵循基于零信任设计思想的SDP（软件定义边界）架构，通过单包校验、建立加密连接等方式，实现政务外网应用的安全访问。

👉网络隔离，防止跨网攻击

终端访问部署在电子政务外网应用的同时禁止终端对互联网的连接，实现同一台终端无法同时访问两张网络，减少攻击者从互联网渗透至电子政务外网的风险，进行应用访问时，建立终端到应用的加密隧道，确保访问过程中的机密性。

👉应用安全，最小权限访问

通过零信任网关对应用进行反向代理，使应用在网络中默认隐藏，仅面向有权限访问的用户和终端开放，并做最小权限访问，当访问过程中发现高危行为，通过零信任网关及时阻断，保障应用安全。

👉安全运营能力增强，台账清晰，威胁溯源

终端台账资产更清晰，借助身份认证体系，“一机两用”方案自动关联人与设备，生成明确资产台账。威胁溯源能力增强，利用水印信息和身份认证，发现威胁后可迅速定位设备并通知用户，实现及时处置，防止威胁扩散。