智慧城市云网安一体技术白皮书.docx

《智慧城市云网安一体技术白皮书.docx》由会员分享，可在线阅读，更多相关《智慧城市云网安一体技术白皮书.docx（44页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、目Contents01. ga02.智慧城市网络平安趋势和挑战。2.1 智慧城市平安开展趋势022.2 智慧城市平安挑战0403.智慧城市云网安一体解决方案总体架构03.智慧城市云网安一体解决方案总体架构063.1 设计目标063.2 方案架构071004.智慧城市云网安一体解决方案4.1 零信任平安104.1.1 零信任平安方案概述 114.1.2 零信任平安方案架构 124.1.3 智鹫城市零信任接入方案应用154.2 云网安协同204.2.1 云网安协同方案概述204.2.2 云网安协同方案架构204.2.3 智慧城市云网安一体化纵深防御224.3 网络平安服务 274.3.1 网络平安

2、服务方案概述274.3.2 网络平安服务方案架构294.3.3 智慧城市平安运营服务3205. .+.AfOB3606. htM&GBM37其中各个层次的说明如表3-1所示。层次执行层是指参与业务交互的物理设备及运行在物理设备之上的应用软件，田终端、取 络、云三个局部组成，每个局部均包含各自的平安设备，如防火墙、探针、IPS、可信 接入网关、可信API （Application Programming Interface,应用编程接二）网关等。 终端包括物联终端、办公终端、智能终端（如手机）等几种类型C执行层 网络通常由广域网和园区/物联接入网组成，上下级网络通过广域骨干网完成连接C 云包括云

3、平台、云内的应用、数据、云数据中心网络几个局部。执行层在整体架构中负责收集转发用户流量，收集资产/状态/流信息/日志信息，并上 送给平安大脑，接受对空制器下发的授权策略和阻断策略，对终端/用户/流量进行相应 的处置。管控层出终端管理、网络/平安控制器、云管理平台组成C 终端管理负责收集终端资产、终端状态、终端平安日志，并对终端进行平安处置C 网络/平安控制器通过南向NETCONF （Network CoMiguration Protocol ,网络 配置协议）/SNMP （ Simple Network Management Protocol,简单网络管理协 议）等接口，统一管理控制物理和虚拟

4、网络，完成网络配置的自动化下发c同时北向 与平安大数据平台对接，完成平安威胁的自动化闭环C云管理平台负责云业务的部署，以及虚拟网络、虚拟机创立等服务C管控层在架构中，向下对执行层进行管理控制，向上和平安大数据平台进行协同，提 供溯源等信息，管控层从分析层接受授权/阻断/查询策略并下发给执行层，是实现自动 化阻断和溯源的关键部件C分析层由网络平安态势感知平台、云平安分析平台和平安大脑组成C 网络平安态势感知平台收集终端和网络的信息，并进行分析，实现网络侧的态势感 知。 云平安分析平台负责收集云平台、应用、数据的平安信息，完成云自身平安威胁分 析。分析层平安大脑负责统一收集网络平安态势感知平台，多

5、个云的云平安分析平台的事件信息，并进行关联分析和威胁统一呈现。在实际部署中，平安大脑可能和网络平安态势 感知平台或者云平安分析平台合一。分析层在整体架构中通过智能算法对所有信息进行综合分析和研判，并将全网的平安 态势进行统一呈现，对于需要处置的事件下发给控制器进行处理，是云网安一体架构 的核心O表3-1智慧城市云网安一体解决方案架构说明智慧城市云网安一体解决方案基于云网安一体解决方案架构，通过各个层次之间的配合和协同，可以较好地实现云网安一体的设计自 标。在云网安一体架构下，目前华为提出的智慧城市云网安一体解决方案包括，零信任平安、云网安协同、网 络平安服务，下面将进行逐一介绍。4.1零信任平

6、安智慧城市数据资源在个人、政府、企业之间的流通中不断创造新的价值，实现数据驱动产业创新开展C数 据共享和流通成为刚性业务需求，原来相互隔离的业务网络将打破平安边界走向融合，因此，传统的基于边界 隔离的平安保护方法已不能满足数据流动下的平安防护需求。同时，智慧城市数字平台作为惠及民生的基砒工程，通过深化“政务服务”改革、“互联网+政务服务” 等，为广大企业和市民提供便捷、高效、多样化的业务服务C随着城市数字平台的不断开展，整体业务环境将 吏加开放，业务生态将更加复杂，参与提供数据服务和应用服务的角色也将更加多元，众多的用户访问和服务 提供带来了复杂的身份和权限管理问题，如何确保所有人员合法合规地

7、访问被授权的业务应用和数据资源，成 为政府数字转型的现实难题C为了实现信息平安技术智慧城市建设信息平安保障指南中所提的智慧城市平安需求：“智慧城市建 设信息平安保障应实现攻击者进不去，非授权者重要信息拿不到，窃取保密信息看不懂，系统和信息篡改不 了，系统工作瘫不成，攻击行为赖不掉”，政府行业在针对身份管理、防入侵、防泄漏等平安技术能力上进行 不断的创新实践C随着近年零信任平安框架在我国金融等行业落地推广，并取得较好的效果，零信任平安架构和平安方案也 成为政府行业关注隹点，并在智慧城市平安建设中试点落地，逐步推广。零信任平安方案概述为了更好地理解数字时代的信任，需要先了解Trust这个词本身的含

8、义所谓信任，是两个实体之间 建立的一个彼此连接关系，这个关系要求彼此能够按照预期的方式做事.在这个过程中，需要监视在彼此交互 期间双方是否在约定的预期范围内活动c如果发生风险性的偏差，就需要分正此类偏差甚至是中断彼此的信任 关系。在这里需要强调的是，信任并不是绝对的，而是一个相对的概念，并且是一个动态变化的关系C在了解 了Trust的概念之后，就比拟容易了解网络平安概念中所谓的Zero Tn6t （零信任）。零信任网络是指，所有 初始平安状态的不同实体之间，不管是内部还是外部，都没有可信任的连接c只有对实体、系统和上下文的身 份进行评估之后,才能动态扩展对网络功能的最低权限访问C因此，网络平安

9、领域的零信任其实是一种端到端的实体（用户/应用）鉴别 授权、访问控制框架，不再 让实体基于其它部件建立信任关系c在实体“鉴别、授权”过程中，可以根据终端环境与用户行为感知结果 等，不断调整信任评估结果，以实现实体间的“持续可信”与“三适应平安”，提高平安性。需要注意的是， 零信任本身不解决除了 “实体鉴别、授权、访问控制”之外的平安问题，并不能代替其他平安防御技术零信 任的通用平安架构如图47所示。策略分析用户和终端图4-1零信任通用平安架构零信任通用平安架构中关键组件的功能如下所述，每个组件数量不限于一个。|.hT策略分析(Policy Engine PE；通过对终端设备属性、可信环境信息、

10、用户访问行为、网络平安流量事件等 信息的汇聚，对用户平安性进行动态信任评估，并根据评估结果，进行风险 联动通报和平安指令下发。对实体进行集二策略管理与授权，为访问主体颁发身份凭证。与策略分析PE 进行联或，接受风险通报和平安指令下发,根据风险对用户进行对应的权限 判定。与零信任策略执行点联动，下发动态访问控制策略。同策略执行点(Policy EnforcementPoint, PEP)策略管理(Policy Administrator, PA)与策略管理PA联动，执行动态访问控制策略，实现细粒度的访问控制。41.2零信任平安方案架构华为智慧城市零信任平安解决方案以“身份”为中心，实时感知实体的

11、平安环境变化，持续通过多维（终 端风险、网络流量、用户行为日志等）的环境风险评估，动态调整实体的信任等级，并据此进行实时地访问授 权变电，保障用户访问业务全流程平安可控C智慧城市零信任平安访问方案架构如图4-2所示。根据终端用户类型和接入方式的不同，华为智慧城市零 信任平安访问方案可以分为三种场景：移动终端VPN （ Virtual Private Network,虚拟专用网）接入零信任 访问控制、政务终端接入零信任访问控制和智慧杆零信任接入控制c用户行为政务办公终端用户图4-2智慧城市零信任平安访问方案架构智慧城市零信任平安访问方案的关键部件功能说明，如表47所示。关键（牛提供风险汇聚能力，

12、并且根据汇聚的风险做信任评估、联动通报和平安指令可信环境感知一下发。可信接入代理为用户访问应用提供代理转发，并与可信代理控制服务协同实现用户访问应 用的动态访问控制C可信API代理为应用或服务间的API调用提供代理转发，并与可信代理控制服务协同实现应 用或服务间的动态访问控制U可信代理控制服务与认证管理服务、权限管理服务、环境感知服务联动，为可信接入代理、可 信API代理提供实时权限判定服务c表4-1智慧城市零信任平安访问方案关键部件功能说明政务终端接入零信任访问和移动终端VPN接入零信任访问两种场景的业条流程相似，主要包含如下 步骤：1 .用户接入网络C政务终端接入零信任访问场景：用户登录安

13、装了T本化管理工具的终端，一体化管理工具对终端做安 全准入和平安基线筛查，保证终端设备可信，并将终端属性信息（包括位置属性, 类型属性等：，后 步给环境感知服务C移动终端VPN接入零信任访问场景：用户登录终端应用APP（ Application,应用）,应用APP内集 成一体化终端管理工具SDK （ Software Development Kit,软件开发工具包）和SSL （ Secure Sockets Layer,平安套接层）VPN拨号工具，通过VPN拨号认证连接到政务外网，通过终端管理 工具实现终端基线筛查、用户行为策略管控（文件转发, 截屏、复制等）。2 用户访问应用URI （ Un

14、iversa Resource Locator,万用资源地址：，通过DNS （ Domain Name System,域名系统）重定向到可信接入代理，可信接入代理进行用户Token信息检查,假设检查不通过，那么重 定向到认证服务界面进行认证C3 .用户身份认证通过后获得用户Token信息，并将认证日志信息发送给环境感知服务,4 .终端用户经过可信接入代理访问应用后台，可信接入代理携带用户Token信息，通过可信代理控制服 务进行应用级鉴权，并获取鉴权结果c同时发送应用鉴权日志到环境感知服务，可信代理控制服务返回鉴权结 果，发送给可信接入代理C5 .可信接入代理根据鉴权结果，对访问流量进行放行或

15、阻断。假设鉴权结果为不通过，那么进行阻断；假设鉴 权结果为通过，可信接入代理转发访问请求至应用后台，应用后台通过可信控制服务获取应用Token信息。6 .应用后台携带用户Token信息和应用Token信息，通过可信API代理向可信代理控制控制服务发起API 鉴权，并获取鉴权结果c同时，发送API鉴权日志到环境感知服务，可信代理控制服务返回鉴权结果，发送给 可信API代理。7 .可信API代理根据鉴权结果，对API服务访问进行放行或阻断,假设鉴权结果为不通过，那么进行阻断；假设 鉴权结果为通过，可信API代理转发请求至访问应用后置服务，应用后置服务调用数据，完成用户对应用服务 的访同。8 ,环境

16、髓口服务综合用户行为风险、终端风险及网络流量平安事件等风险情况进行综合评估，并下发安 全指令至可信代理控制服务C9 .可信代理控制服务收到平安指令，动态调整用户的访问权限，并下发访问控制策略到可信接入代理和 可信API代理 进行访问控制策略调整智慧杆零信任接入控制的业务流程相对简单，包含如下三个步骤：1 .终端设备通过MAC （ Media Access Control,媒体接入控制）认证方式在可信接入代理实现接入， 获取访问网络的访问权限C2 .可信环境感知系统持续扫描智慧杆物联设备的指纹信息和流量协议特征信息，以及田可信接入代理上 报的物联终端的流量访问关系和流量带宽等信息。基干多维度的信

17、息进行综合研判分析，识别终端异常仿冒私 接、异常访问。3 .可信环境感知的检测结果同步给可信代理控制服务，由可信代理控制服务给可信接入代理下发阻断策 略，隔离该异常物联终端的接入C智慧城市零信任接入方案应用下面介绍智慧城市零信任接入方案的两种应用，党政通零信任远程办公和智慧杆物联零信任接入C党政通零信任远程办公近年来，政府主动适应万物互联时代趋势，把推进政府数字化转型作为深化政府服务改革、构建高质量发 展体制机制、打造营商环境的着力点，掀起一场政府治理革命。围绕打造“掌上办公、掌上办事”的整体建设 规划，政府将建设统一的公共数据平台，推广拿二办公、掌上办事的应用，运用“互联网+督查、互联网 +

18、监管”等技术，有力地促进政府部门高效协同、服务转型升级，引领全社会数字化转型C该平台为政府提供 了高效地沟通和办公，但由于业务包含政府管理服务的敏感信息，给信息平安管控增加了难度c所以，亟需设 计一种新的平安架构方案，以应对这场景所带来的平安问题C华为联合ISV （Independent Software Vender,独立软件供应商）合作伙伴，基于政务办公场景推出 了 “党政通”应用，该应用提供政务沟通类、政务OA （Office Automation,办公自动化）类、驾驶舱类等 丰富的业务功能，目前已经作为各地政府建设智慧城市的必选能力智慧城市的党政通应用上线推广使庠，需要解决的平安问题如

19、下：用户静态身份认证和授权通过后，党政通应用即可访问所需的所有服务和数据，容易造成越权访问和 数据;世漏用户使用党政通应用时通过截屏、复制、转发、打印等操作，容易造成政务敏感信息、文档、数据的 泄露和滥用C“党政通”应用场景适应于政务固定办公终端基于Web访问，也适应于公务员使用移动终端基于APP进 行访问。基于党政通应用场景的零信任远程办公解决方案如图4-3所示o控制消息通道日志上报、状态变更 VPN加密通道数据中心权限娈事可信环境感知系统终端妖态策暗下发流员数据（叵可信代理控制服务用户鉴权应用鉴权嗓略下没策略下假设，3日认证授权中心1；可信接入代理 应用后台 可信API代理 党政通业务系统

20、身份认证服务器党政通应用终端环境感知政务网/VPN网关互联网图4-3智慧城市“党政通”应用场景零信任方案部署示意匿方案特点 多维度风险感知：基于环境感知中心，通过用户行为感知、终端环境感知、网络环境函三个维度， 动态持续检测党政通应用全业务流程和全场景的平安风险C精细化动态授权：基于可信代理控制服务，通过动态授权机制及平安风险感知结果，对用户访问党政 通业务系统的操作执行动态认证、动态授权的零信任访问控制策略. 按需终端行为管控：通过可信接入代理和终端管理工具，通过终端平安管理的用户行为管控策略，实 现党政通应用在终端侧的信息平安强管控，保护政务信息不会通过终端泄漏C方案价值 基于多维环境感知

21、、动态精细化授权访问能力，实现党政通应用的持久平安访问e基于用户行为控制实现党政通应用的政务敏感信息强管控，确保政务敏感信息防截屏、转发、复制, 终端丧失时远程锁定应用和数据擦除，保护客户业务隐私C积木化的架构、关键部件高性能低时延业务访问时延小于150md确保部署零信任平安访问平台后 用户体脸感知小，改造本钱低智慧杆物联零信任接入智慧城市的总体架构包括五个层面：感知层、通信和网络层、城市数据和控制层、城市应用层和支持系统 层。智慧杆作为感知层的重要组成局部，通过深度整合城市各类资源，实现资源的共享、集约和统筹，降低城 市建设本钱，提升城市运维效率，为城市治理带来多重效益，推动城市的快速开展c

22、但智繁杆物联网感知终端 大局部处于无人值守的环境中，平安防护能力弱，很容易被恶意开箱，作为一个漏洞入口攻入政务云内X根据GB/T 37971-2019信息平安技术智慧城市平安体系框架，常见的智慧杆平安风险，主要包含 如下几点： 感知设备数量巨大，分类多，缺乏统一的平安标记和身份鉴别管理机制c攻击者可通过恶意放置假 冒的设备，冒充合法的终端接入网络，非法发送和接收信息C攻击者可利用物联感知层设备防御能力有限的特点，非法俘获感知设备，更换或者破坏软硬件，非 法控制节点信息接收和发送，篡改节点信息C 关键信息基础网络设备缺少平安配置，缺少加密二令，导致攻击者容易实施非授权连接，对设备进 行控制。 关

23、键信息基础设施系统匚，多采用专有控制与通信协议，而这些协议无平安设计考虑，攻击者可以 进行非法访问C大多网络只部署了基础防护措施，平安态势感知和防护能力缺乏，攻击者可利用新型威胁发起网络 攻击。在国内智慧杆建设二，也出现过类似这样的平安事件，给社会造成恶劣影响，智慧杆实现物联平安零信任 接入已经成为各地智慧城市平安建设的急迫需求之一。方案设计零信任本质是统一身份管理、细粒度授权、多维环境感知、动态访问策略调整，是对于传统边界防御和静 态认证授权访问缺乏的创新c华为智慧杆物联零信任接入方案可实现城市物联终端的多重认证，动态检测是否 有行为异常，并对异常行为进行快速处置C该方案由物联杆、物联回传网

24、、物联网平台和网络/平安控制器等 组成。整体解决方案如图4-4所示。物联网平台网络/平安控制器政务云 星() 4I ，目回画口后城市物联感知终端图4-4智慧杆物联零信任接入方案示意图智慧杆物联终端都为哑终端，无法安装认证客户端，使用MAC认证仅能满足基础平安准入c田于MAC认 证容易被仿冒，非法用户拔掉合法哑终端，使用非法终端冒充合法哑终端的MAC地址接入网络，非法终端可 以认证通过并进行非法访问和平安攻击。华为智慧杆物联零信任解决方案可通过指纹识别、协议特征校验等对终端信息进行判断或通过智能学习生 成终端的流量基线比照确保哑终端不被仿冒c以指纹识别为例关键实现流程如图4-5所示。智慧城市网络

25、平安趋势和挑战随着智慧城市的数字化转型逐步进入深水区，在“云大物智移”等 新型ICT （Information and Communications Technology,信息、禾匚 通信技术）基础设施的支撑下，智慧城市迎来了前所未有的跨越式发 展。新技术的普遍应用往往也会给城市开展带来新的平安问题，近年 来，田外部APT （Advanced Persistent Threat,高级持续性威胁） 攻击或内部违规事件导致的大规模数据泄露等恶性平安事件时有发生. 传统基于网络边界的防护思路已经无法满足新形势下的网络平安需求， 存在诸多的局限性，例如： 为了加强数据共享，所有城市数据都要上云，且数据

26、需要全面融合，传统平安手段无法有效应对云化 和大数据环境下的平安防护. 为了充分感知物理世界，产生更多更准确的数据,城市内会部署越来越多的传感终端，移动办公修 动执法/社区服务等业务也带来了移动政务的诸多新场景。相比于传统的的固定政务服务,移动化和 物联化的场景会带来接入对象不同、接入位置不确定、接入终端规模大等问题，导致城市网络空间暴 露面被不断放大。 传统的智慧城市平安防护方案是在不同位置（端，网，云）部署不同的平安设备，堆砌平安产品，互 相之间不兼容、不联动，无法适应业务上云后的路径变化：防护效果差，防护效率低 政府各委办局单位自行建设平安体系，存在投入大、工程散、不规范、无运营、效果差

27、等问题。面对智慧城市数字化带来的诸多新平安问题，平安不仅要做到与信息化“后步规划、同步建设、同步运 行”，同时平安技术也需要与云计算技术、新型网络技术做到更深度的融合，形成云网安一体的架构。平安设 计需要对云，对网络有更加深刻的认识和理解,才能防止信息化和平安“两张皮”的问题。云网安一体架构， 颠覆了传统的平安防护思路，旨在打造智能化的未来网络平安架构，实现风险持续检测、威胁主动研判，智能 全局防控。该架构充分融入了零信任的思想理念，旨在构建统一管理、统一数据、统一分析和统一控制的平安 架构，实现云网边端安的一体化协同联动。基于零信任理念的云网安一体平安架构正在逐渐被广大头部客户所 接受 并加

28、速推进落地，也在逐渐成为业界的共识。管理员网络准入管控系统PC终端PC终端 摄像头打印机IP PC终端仿冒一个摄像头的MAC认证可管理网络设备图4-5终端指纹识别1.管理员在网络准入管控系统上配置协议特征合规检查，记录每个MAC设备对应的终端类型信息。2终端设备通过MAC认证接入，获取访问网络的权限。3 .仿冒终端，通过仿冒合法的MAC进行认证接入，网络准入管控系统扫描设备指纹信息，或者网络设备 上报设备的协议J旨纹信阜，通过被动特征指纹识别和主动探测协议识别发现终端类型C4 .网络准入管控系统把发现的终端类型与原有设备类型特征库比照，发现仿冒设备c5 .网络准入管控系统向网络设备上下发阻断

29、阻止该仿冒设备接入4.2云网安协同云网安协同方案概述智慧城市实际面临的很多高级攻击威胁跨越了烟囱式的平安基础设施，一种常见的攻击链条如下：1 .攻击者发起基干电子邮件的攻击，其中包含链接到恶意内容的URL。2园区终端用户翻开恶意电子邮件，邮件中的内容被终端加载，攻击者利用漏洞植入恶意代码，获得年 户凭据。3.攻击者通过暴力破解方式绕过广域网的边界防御，找到云数据二心存在漏洞的虚拟机，将木马文件植 入到虚拟机二，再横向传播到其他系统，并最终窃取到敏感数据C现有割裂式的平安就像盲人摸象的故事一样，没有一个烟囱拥有完整的全貌，理想的平安防护是将这些烟 囱式的平安整合为一个系统，通过云网安协同实现平安

30、统一分析、威胁统一呈现，精准溯源和近源处置C云网安协同方案架构华为云网安协同解决方案通过收集网络流量、平安日志、漏洞扫描日志、主机平安等尽可能全的平安威胁 事件信息，进行统一综合研判，提升平安分析精准率，实现精准溯源，对干违规的主体立即就近阻断，实现云 网安一体防护和一体运营。云网安协同方案的业务逻辑，如图4-6所示。探针信号主体关键信息资产终端平安网络平安 边界平安云平台平安应用平安数据平安控制指令图4-6云网安协同方案业务逻辑图智慧城市云网安协同业务逻辑的关系能力说明，如表4-2所示。表4-2关键能力说明智慧城市云网安协同方案有如下四个亮点：I嗯I,采集更全对所有可能的攻击路径进行全面分析

31、，将云上云下的威胁信息共享，全面采 集网络中的终端日志/合规状态、网元E志/事件、流量/文件信息等信息。云端智能大数据分析,支持线上线下联邦学习，实现威胁告警准确率大于 90%。分析更准云、网络、终端和平安一起提供更详细的攻击源信息，根据攻击路径，找到 合适阻断攻击源的位置，并进行阻断。溯源更准云网安协同，可实现威胁分钟级闭环，威胁快速遏制0处置更快图4-7智慧城市ICT基础设施演进架构云网1端智慧城市云网安一体化纵深防御智慧城市一体化纵深防御平安架构是以等级保护为纲，审视党政机关全域平安的防护措施，通过建立健全 “一个中心”管理下的“三重防护”纵深防御体系，适应城市业务开展的平安保障需求，实

32、现持续平安运营， 持续平安合规c以IPDRR为方法论，实现全域网络平安事前的攻击预测与风险管理，事中的监控预警与关联 分析，以及事后的取证、溯源和修复，到达平安防御闭环c通过云网安一体协同实现整网平安有机运转，最终 实现网络平安的智能化和自动化C边界静态防御， 委办局各自为战, 平安打补丁传统城市网络烟囱林立，各专网之间通过边界隔禽，数据无法有效整合，业务无法高效协同随着“互联 欧+”、一网通办等业务快速开展，城市QT基础设施云在全面融合，包括网络融合、平台融合和数据融合 融合是过程，开放才是目的，如何保障平安才是关键，基干纵深防御体系布局的用v路，围绕智慧城市信息流进 行端到端、全方位的平安

33、整体设计，构建起以数据平安为核心的“数字防线”，依次为终端平安、网络平安、 边界平安、云平台平安、应用平安和数据平安，各层防线之间密切配合、环环相扣、形成纵深防御合力，确保 核心资产和资源平安C方案设计智慧城市的一体化纵深防御平安方案需要自上而下进行顶层设计，通过统一建设平安可控的平安基础设 施，在满足国家网络平安等级保护标准的基础二，加强网络平安纵深防御和联动协防能力c通过建立有效应对 APT攻击防御的全网协同的智能“自免疫”平安防御体系，实现对全网威胁的态势感知c基于大数据技术， 覆盖APT攻击链全过程。覆盖全攻击链实现网络主动诱捕，布下天罗地网c通过对接入终端的准入控制、落 网络流量、网

34、络质量、网络应用协议等进行多维度流量识别和威胁检测分析，能够将威胁信息转化为防护第 略，下发给网络和平安设备，规避数据在传输过程中被窃听、篡改风险，防止威胁的内部扩散,按照分析器、 控制器、执行器划分，实现网络平安“智能检测：、智能处置和智能运维从被动、单点防御到主 动、整网防御 从人工运维到智能运维 做到云网安协同 构建智慧城市一体化纵深防御平安体系C智需政务智需政务智慧应急智急水务智慧环保智慧城市网络空间平安战略纲要平安能力和运营二心（协同、共治）智慧城市平安技术框架智慧城,市平安管理应用平安数据平安（以数据为核心）边界I ） , 文王4-网络 平安终端平安智慧城市平安管理基础设施平安可信

35、计算平安组件云原生平安图4-8智慧城市一体平安逻辑架构匿智慧城市平安方案需要从网络基础设施层面开始进行平安的整体规划，保证根基的牢靠，构建一个具备能 够抵抗黑客攻击的韧性的智慧城市信息化支撑底座，通过全网监控，对网络行为数据进行深度钻取，及早发现 威胁，及时闭环处置,首先，构建从终端平安、网络平安、边界平安、云平安、应用平安到数据平安的多道防线，实现层层 设防，实现从边界防御到纵深防御的转变 其次，面对威胁在内网的横向传播，将平安融入到网络，“网络+平安全网协同防御，防止内部横 向扩散，实现从单点防御到全网防御的转变,最后，为应对大量的平安问题，需要执行一系列的处置动作，平安策略也变得纷繁复杂

36、，基于业务的 策略自适应，完成策略的动态调整和优化，实现从人工运维到智能运维的转变电子政务外网f1物联专网边界平安联接区 物网入里区 理隹 管甯边界平安云数据二心区图4-9智慧城市一体平安分区分域架构慢智慧城市的政务外网根据业务敏感性、重要性，可以划分核心交换区、互联忸巴二区、物联网接入区、政 务外陇匕二区、业务办公区、管理运维区、云数据二心区等区域。针对不同的区域，根据对应的平安风险，讲 行一体化的平安方案设计根据平安防护需求，在不同的区域部署对应的平安设备，如图470所示。云数据二心区互联网出二区政务外网匕二区云平台云平台41：WAFAnti-DDo沙箱Internet交换机政务网血-WA

37、F交换机漏洞扫描核心安换机核心交换区Tl书eStaht fTFI日志亩计汇聚交换机Ei3=*=6i3汇聚交换机汇聚交换机汇聚交换机fi n fi ri管控 公共眠契平台F71OASGtymangqer 网络安全 智郃奉统UMA UMA-APP委办局接入区政务办公行政大厅办公物联网接入物理服务器区管理运维区业务办公区物联网接入区图470智蓊城市网络平安部署示意座F面对每个区域的部署做简要说明. 核心交换区核心交换区仅保存核心交换机，吾曙在核心机房中，汇聚各区域之间的用户流量，提供三层交换机流量转 发功能。 互联网出口区互联网出口指Intemet的出口，互联网出口的主要功能是外部的互访，包括出差员

38、工、合作伙伴/访客 的访问。通过部署DDoS流量清洗系统，保障业务正常流量；部署VPN网关实现加密传输；部署沙箱实现恶意 代码检测；部署防火墙实现平安隔离；部署上网行为管理系统规范员工上网行为，保障带宽合理使用C 物联网接入区物联网接入区指物联网、视频专网及无线接入区域，在此区域将无线基站、无线通讯终端、终端监控等 接入至智慧城市网络C通过部署防火墙实现平安隔离；部署网络诱捕对攻击行为主动诱捕，形成威慑力；在汇聚交换机上部署 流量探针实现异常流量检测，与管理运维区的网络平安智能系统形成整体，实现全网平安态势感知C 政务外网出口区电子政务外网是政府的业务专网，主要运行政务部门面向社会的专业性业务

39、和不需要在内网上运行的业 第O电子政务外网和互联网之间通过部署防火墙实现逻辑隔离C 业务办公区业务办公区边界部署两台防火墙，形成双机热备、高可靠性方案；在各接入汇聚交换机上部署流量探针 实现异常流量检测。 管理运维区管理运维区负责全网平安统一运维和管理，部署多种平安产品，包括态势感知、平安控制器、堡垒机、 日志审计、漏洞扫描等，保证网络整体的平安性和合规性C 云数据中心区云数据中心区作为整个智慧城市系统的计算中心、数据存储与处理中心、应用中心，是网络及应用系统 运行的核心枢纽c在此区域部署多台服务器、存储、云、虚拟化等内客，所以需要将云数据中心区单独列 出 保证流量进入数据中心区域时可被监控、

40、可被管理 保证数据中心区域的平安。方案特点智慧城市云网体纵深防御平安方案，通过构建基于软件定义平安的智能防护体系，从终端平安、网络 平安、边界平安、云平台平安、应用平安、数据平安等层层深入，构筑纵深防御体系，建设一个具有韧性的智 慧城市平安技术体系，做到平安风险可控，确保信息资产保密性、完整性和可用性，得到有效的保障C 黑客进不来构建横向和纵向边界，确保只有合法流量进入网络，且网内划分不同的平安分区，分区之间均进行分区 隔离；并针对不同的网络出口进行针对性的平安设计，确保只有可信用户、可信设备入网，访问业务。信息拿不走访问数据需要进行严格的权限控制，必须拥有合法的身份，并通过可信验证，才允许访

41、问数据C数据看不到 数据分级分类、标签化：对数据进行分级分类，标签化治理，并基干数据进行精细化访问控第I,实现 应用级、功能级、接口级、数据级等粒度的访问控制，确保只有合法用户可以访问经授权的数据C 敏感数据加密：针对敏感数据进行加密，确保敏感数据不泄露C违规跑不掉 拿走了能发现：构建全网统一平安态势感宛，采集汇聚全网平安数据，包括流量数据、平安日志、告 警等，及时发现异常或违规行为，实现全网平安监测，及时发现恶意行为C特权滥用能发现：构建全网统一平安审计服务，能够记录操作人员的所有操作记录，不管是图形化操 作还是字符类型操作，第一时间发现违规越权行为C处置可联动构建分析层、管控层、执行层三层

42、智能架构模型：分析层，作为架构的“平安大月靖，及时发现潜在威 胁；管控层，作为架构的“中枢神经”，负责平安策略管理、业务编排，并接收平安分析层下发的处置 任务，编排成为执行层设备可执行的策略：执行层，作为架构的“四肢”和“五官”，主要负责平安防 御动作的执行和平安事件的采集上报通过三层架构相互协同实现平安威胁的快速闭环和处置C4.3网络平安服务传统的网络平安建设中部署了大量网络平安设备，投资大，但面临网络平安建设防御效果不佳、缺少专业 平安服务人员，运维困难的难题。当前网络平安的高效达成往往依赖于专业人员对平安产品的高效运维，缺少 专业的平安运维，大量平安设备无法100%发挥作用，投资大却得不

43、到预期的平安实效c 一个好的平安解决方 案，还需要有一个专业的平安运维团队进行持续运营。受限于专业平安人员的缺乏，局部平安产品上线后无人 关注告警、不能及时调整平安防护策略，导致平安防护效果差强人意、平安事故频发C如何解决网络平安建设投资大、运维难、效果不理想的难题？对于没有平安运维团队，或者无专业平安应 急分析能力的客户，华为推出了乾坤平安云服务解决方案u它只需要在客户网络出口部署华为天关，将威胁信 息传到华为乾坤平安云服务平台，就能享受到云端平安能力、专业的平安专家团队分析和应急响应服务能力， 大大降低运维本钱，快速提升平安方案实效，实现云网安一体的全局防御能力构筑c与城市治理一样，实现

44、“本地有保安，云端有警察”的效果。平安能力中心智能分析威胁阻断指令下发日志、信息采集上送采集/阻断设备图4-11乾坤平安云服务示意匿网络平安服务方案概述华为乾坤云平安服务解决方案田部署在华为公有云上的华为“乾坤”平安云服务平台和部署在客户本地取 络的华为“天关”防护节点构成.乾坤平安云服务通过云边融合的创新架构，在云端提供全面平安能力的按需 订闻，云端专家+自动化智能的精准分析，7*24小时的无忧运维服务；华为天关作为本地防御节点，结合云端 智能分析与平安专家能力为用户提供检测、防护、响应一体的云化平安服务c通过实现云端服务+本地设备联 动 构建简单、高效、易用的云网安一体实践方案具体方案架构

45、如图472所示。华为乾坤平安云服务平台告警平安服务周报 采集分析闭环月报品.平安专家华为天关华为天关委办局/企业本地网口口 口口委办局/企业本地网图472乾坤平安云服务架构模型图华为天关防护节点天关作为本地执行器/采集.器，部署在客户本地的网络出口，可按需订购IPS （Intrusion Prevention Svsterr, 入侵防御系统：、AV （ Anti Virus,反病毒）、URL（Universal Ragcurca I ncator,万用资源地址）和基于智能检测技术的未知威胁安 全防护能力，并同乾坤平安云服务平台联商，作为服务的基础上云端平台作为平安能力二心/分析平台，结合天关上

46、报的平安日志与取证数 据，实现平安事件分析、防护策略的联动，为用户提供平安分析、事件历 环、平安预警、平安咨询等服务。云端平安专家团队华为乾坤平安云服务平台云上100+平安攻防专家、拥有丰富的护网行动”经验，提供平安威胁会 诊，精确判断给匕处置建议。2.1智慧城市平安开展趋势在数字化转型的大背景下，国际知名咨询机构Gartner提出了全球领先的“信任与风险双轮驱动的 CARTA （Continuous Adaptive Risk and Trust Assessment,持续自适应风险与信任评估）模型，该模 型包含信任与风险两局部C信任信任指通过零信任理念，形成以身份为基石，以多维环境（终端、网络、用户行为等）动态感知为抓手，重构业务访问流程，实现持续动态精细化访问控制，最大程度减少入侵暴露面和防护盲点问题，保护核心雌资产平安考MST （ National Institute of Standards anc Technology,美国国家标准技术研 究院）的IPDRR （Identify, Protect, Detect, Respond and Recover,识别、保护、 检测、响应、恢复）平安框架，构建自适应的云网安协同的平安防护架构，IPDRR平安 框架从事前