引言

政务云是专门服务于政府领域的一种云计算技术，面向各类政府机构提供电子政务服务。在政务信息系统整体部署、互联互通、资源共享和业务协同的背景下，政府电子信息系统逐步迁移到政务云平台。政务云在节约资源、提升经济效益和公共服务水平方面具有显著优势，但同时也带来了信息安全方面的问题，比如面临网络攻击与数据泄露风险，缺乏适当的身份验证与访问控制机制，数据备份与容灾机制不完善等。随着政府领域利用云平台来管理公共服务和治理的普及，将网络安全放在首位并投资于强大的安全措施以保护敏感数据和确保国家安全变得至关重要。传统的网络安全防护方法（如防火墙、漏洞扫描、杀毒软件和入侵检测等）虽然能在特定功能上实现安全防御，但在面对云上复杂的网络环境时仍存在很多不足，无法实现多个方法之间的联动，更不能从全局上主动对网络威胁进行防御。传统安全防护的重心在于边界防护（如终端防护、网络防护、主机防护等），随着物联网、云计算、大数据等新技术的普及，越来越多的数据存储在云端，超越了传统的安全防护边界，同时日益增长的物联网设备也在挑战传统安全防护方法的防护能力。与日趋乏力的安全防护手段相比，攻击者的攻击手段（如零日漏洞、高级持续攻击、网络军火武器等）却日趋高级，在层出不穷的漏洞和高级攻击手段面前，看似坚固的传统网络安全防护堡垒成为摆设 。因此，本文使用网络安全态势感知技术，采集网络安全设备防火墙、僵尸网络木马和蠕虫监测与处置系统及终端威胁防御系统的日志数据，研究基于政务云多源异构数据的云安全防护体系建设，加强政务云自身的安全防护及云上政务数据安全保障。

表 1 安全数据采集分析

1.1 态势感知

态势感知是实现态势感知模型过程的核心概念和关键组成部分。针对政务云中多源异构、数据量大的安全态势数据，通过网络设备采集和挖掘重要的数据，对采集后的数据进行数据清洗、格式化处理等操作，把异构数据融合关联到一起，并存储到数据库中。

基于 Agent 数据采集和应用程序编程接口（Application Program Interface，API）的安全数据采集系统，包含 Agent 实时数据采集、数据分析处理、数据格式化、数据上传的通信模块、配置管理等，对不同安全数据类型，开发相应的数据采集 Agent。从物理环境、通信网络、区域边界、计算环境和系统安全等方面实时采集系统运行的安全数据，并将采集后的数据上传到接口，接口接收后进行数据的格式化统一，消除数据冗余、类型和格式的差异，然后进行统一语义封装，消除语义理解的差异，最后将数据存储到安全信息库中。

1.2 态势理解

态势理解是将采集到的多种类型数据清洗、格式化，采用分类、归并、层次分析、关联分析等方法对网络安全系统中的要素进行统计，包括资产管理、风险发现、威胁监测和基线检查等。再对各类数据要素定性分析，找到要素之间的相互联系，通过警报匹配方法计算警报相关信息与目标系统资产和配置的相关性，监测入侵检测报警信息、漏洞信息及网络与主机安全评估，结合攻击发生频率、带宽占用率及对网络的影响，评估出对整个服务器的影响威胁。根据指标体系选取数据，进行态势量化处理得到态势值，同时为态势预测提供准确的预测数据集。

1.3 态势预测

态势预测是网络安全态势感知的最终目标，可让网络防护人员及时或提前掌握网络运行的状况。网络安全数据具有信息关联性，通过海量连接和攻击尝试，会产生具有时间序列特性的网络安全数据。长短期记忆网络（Long Short Term Memory，LSTM）具有独特的“门”结构，能够更好地记录时间序列数据关系，具有记忆功能。基于对相关网络安全数据的理解，对网络安全数据进行数据预处理、数据格式化、模型预训练。

具体步骤为：构造数据集，特征提取，基于自注意力门控单元（Self-Attention Gate Recurrent Unit，SA-GRU）的网络安全态势预测方法，对态势数据进行表征学习进而实现预测。将通过网络态势评估获得的态势数据按一定的比例分为预测训练集和预测测试集，将预测训练集输入 SA-GRU 神经网络模型进行态势模型训练（如图 1 所示），将预测数据输入训练好的网络进行预测，得到预测值。

图 1 基于 SA-GRU 的政务云安全态势神经网络训练模型

2.1 态势感知联合防火墙自动布防

部署态势感知管控中心和 Agent 探针，采集网络安全设备防火墙、僵尸网络木马和蠕虫监测与处置系统及终端威胁防御系统的日志数据，实现对网络安全的态势觉察、跟踪和预警，及时掌握网络安全威胁、风险和隐患，监测漏洞、病毒木马、网络攻击情况，发现网络安全事件线索，防范网络攻击等恶意行为。

将态势感知中心与边界防火墙设备进行联动处置，通过邮件、企业微信等方式实时推送事件告警。同时，在态势感知中心可一键下发配置安全防护策略，边界防火墙可自动更新相关配置，从而实现半自动化运维，提高日常运维的工作效率。

（1）攻击源和攻击类型实时监测。将攻击分为高风险、中风险、低风险，包括攻击源和被攻击主机，并在页面上根据攻击类型显示注入攻击、扫描探测、文件漏洞攻击、浏览器挟持、非授权访问等其他信息。

（2）主机和业务系统动态防护。对主机进行安全防护，防止对主机的恶意攻击，实时记录僵尸主机和被控制的主机，监测被入侵的主机。业务系统动态防护是对业务系统进行安全防护，对受影响业务（如 Web 应用、数据库）进行及时维护。

（3）告警和恶意文件管理控制。基于防护规则统计分析告警事件，包括规则编号、事件描述、级别、攻击次数。详细记录告警信息，包括告警内容、告警级别、告警类型、最近发生时间、告警状态和操作。

实时主动控制安全策略，防止恶意文件的传播和攻击，面对恶意 IP、恶意域名、恶意统一资 源 定 位 符（Uniform Resource Locator，URL）传播源、感染主机、恶意程序、疑似恶意程序、联动阻断等威胁，做到及时发现并采取相应措施，实现一键封堵功能。

2.2 态势理解加强网络安全保障

建立自适应安全防御机制，对攻击模式、攻击手段、攻击目标进行分析，了解安全的动态变化，以自适应安全架构和云工作负载保护平台为核心理念，采用“管控中心 +Agent 探针”的部署方式，保证政务云上租户的主机应用及数据安全。同时，结合实际情况，将自适应安全防御软件与安全服务充分结合，加强对新型未知病毒及高级攻击的防御能力，提供全栈保护能力与安全巡检。自适应安全防御机制的主要功能如下：

（1）资产管理功能。按照 IP、主机、资产3 个维度进行分类，主机资产统计包括管控主机的总数，即在线、离线和未管控的主机。操作系统统计包括 Linux、Server 以及对政务云环境中账号、端口、进程、软件、数据库及容器的细分资产的统计，包括开通账号、端口和各类数据库的主机数。

（2）风险发现功能。检测出系统漏洞、中间件漏洞、数据库漏洞、配置缺陷及弱口令。

（3）威胁监测功能。实时监测暴力破解并自动封停，对主机存在的病毒及 WebShell 后门程序进行隔离清除。

（4）基线检查功能。配置合规且包含等保基线检查规则在内的模板，为网络安全防护提供更加准确的合规判别。

2.3 态势预测建立自适应安全防御

远程监控提供实时预警，对政务云服务平台进行 24 小时重点网站远程监控，及时发现政务门户网站等 Web 应用系统存在的安全问题，针对网站挂马、首页篡改、敏感关键字、暗链等异常操作，在第一时间通过短信、邮件、电话等方式进行预警。通知格式包括标题、网站名称和 URL、事件发生的时间和类型、事件发生错误概览等内容 。

日常防护包括使用各种攻击技术对网站、App、小程序等互联网系统和内网系统进行每季度一次的渗透测试。此外，还包括授权测试、业务逻辑测试、配置及部署管理、客户端测试、数据验证、身份认证、信息泄露、会话管理等方面，从而发现系统存在的安全隐患。