网络通信 频道

专访耿昭:电子政务外网的今天与明天

  用终端虚拟化保障业务安全

  近段时间与行业用户交流,听到最多的抱怨就是终端安全无法保障。这次耿主任说的一句话就很有代表性:手机平板都能接入了,难道还寄希望于终端安全?但终端安全的问题又无法回避,如果云到端的业务链条上出现一个安全缺口,最终面临的很可能是千里之堤溃于蚁穴的残酷局面。

  在经过多种尝试后,大连最终确定了终端虚拟化这种与众不同的解决思路:既然无法保证终端安全,就全力保证业务安全。不过终端虚拟化的部署也要面临很多困难,有技术层面的,也有非技术层面的。期待大连的试点工作能顺利开展,将成功经验分享给更多用户。

  Q:现在移动办公是个大趋势,很多情况下网络边缘已经模糊了。比如您刚才提到计生委用平板电脑做入户普查,还有权限比较高的用户可能随时登陆网站或者业务系统的后台,这个时候又如何保证安全?

  耿昭:其实这么多年搞安全总结下来,数据大集中也好,移动办公也好,都让终端越来越简单,也越来越不安全。手机平板都能接入了,难道还寄希望于终端安全嘛?保护核心数据和访问通路的安全才是重点。所以除了服务器的系统安全和数据安全,我们现在要求所有访问都通过设立的VPN区域来接入,目前使用的是数字证书加密码的SSL VPN进行统一的安全认证,这样除了隧道安全外还可以对所有的用户做身份识别,在策略分发上统一了。

  Q:这个VPN区域在管理上用到什么特别的手段么?或者说,为何选择SSL VPN,而不是常见的VPE?

  耿昭:VPN接入的用户在权限策略和审计策略方面都是很严格的,包括我们要求任何的策略调整、信息维护都必须走VPN区,因为只有在这里可以做到基于特定业务、特定权限的精细控制。另外VPN区域的业务流量不大,可以做到行为和内容的精确审计,包括每个用户的每次登陆、修改过的策略、上传的内容都会记录。这样谁干了什么事情都是清清楚楚的,出了问题能定位到人。IPSec VPN在权限上没法做到这么细,易用性方面也比SSL VPN弱一些。

  Q:不管是移动办公还是远程维护,终端上的数据又如何保证安全呢?

  耿昭:刚才说过,保证核心数据和访问通路的安全已经有很成熟的解决方案;终端上现在不是不想控,是控制难度太大,才造成完整业务链条末端出现了一个安全真空。其实按照现有成熟的理论模型,如果业务系统本身在数据签名、数据加密和数据保护三方面都比较完善,即便没有VPN也能保证一定的安全性。但是我们不可能要求几百个业务系统都达到这种程度,所以才会去做系统加固、去建VPN,把很多安全防护工作先做了,再慢慢去促进解决业务系统在终端运行的安全问题。

  Q:这个问题似乎已经不局限于移动场景了,所有电子政务外网用户其实都存在终端安全的问题。那么大的用户量肯定没法去做审计和细粒度的权限控制,数据安全也没法保证,比如插个U盘就能把数据带走。对此,您解决问题的思路是什么?

  耿昭:理论上终端安全我们可以通过上网行为管理去做准入控制,如果客户端病毒库不够新或者补丁不全,就拒绝访问。但实际操作中我们没有这样做,主要不是技术上的问题,而是管理层面的问题。数据安全确实很麻烦,受制约的因素就更多了,比如基层用户的安全意识就是个很大的问题。对于这两个问题我们希望找到更好的解决方案,也测试过很多产品,目前比较认可的就是终端虚拟化的方式。这种方式其实是换了个思路,对我们来说更现实。不管终端上有病毒也好木马也好,甚至用网吧的电脑登录上来,都不会把安全威胁带到电子政务外网里。

  Q:终端虚拟化确实可以很好解决问题,但是目前成本太高。而且您刚才提到有些地区的网络接入条件有限,是不是也会影响使用体验?

  耿昭:是的,所以我们在终端虚拟化上有云终端和虚拟桌面两种思路。刚才你说的就是云终端,所有工作放到云端来做,也就是我们的数据中心;电脑和网络只是用户登陆的管道,并且这个管道是加密的,传输的也不是实际数据。虚拟桌面就是类似沙盒的思路,用终端本地的计算、存储资源,部署门槛就低得多了,而且我们可以把策略做细,比如不开虚拟桌面也可以访问互联网,但不能登陆税务系统。

  Q:您更倾向于使用哪种方案呢?

  耿昭:现在只能说终端虚拟化的大方向定下来了,云终端和虚拟桌面都会去做,具体到用户要看他的需求、条件和实施成本。方向这个东西很重要,因为一旦定下来就基本没有回头路,比如我们做了7层的访问控制和数据中心,就绝不可能倒退回去。终端虚拟化我们已经着手去做了,三万多个用户分阶段部署,今天一千、明天一千、后天一千地慢慢趋同。

  Q:终端虚拟化有拓展到移动设备的计划么?现在技术上好像已经不成问题了。

  耿昭:移动端也会做。我们现在部署的深信服的SSL VPN有个远程应用发布模块(编者注:即EasyConnect),它可以把特定应用通过加密隧道推送到移动设备上,并且和终端使用的操作系统类型无关。我们现在只是小规模在用,但它其实可以满足很多业务需求。未来打算往云终端切的时候,我们也可以直接把它当做一个应用做发布,达到和普通电脑类似的效果。

0
相关文章