大连金普新区大数据中心态势感知在数字政府网络安全运营中的应用实践

来源：匿名   上传日期：2025-08-14

      习近平总书记强调：“没有网络安全就没有国家安全，就没有经济社会稳定运行，广大人民群众利益也难以得到保障。要树立正确的网络安全观，加强信息基础设施网络安全防护，加强网络安全信息统筹机制、手段、平台建设，加强网络安全事件应急指挥能力建设，积极发展网络安全产业，做到关口前移，防患于未然。”大连金普新区大数据中心坚决落实习近平总书记关于网络安全和信息化的相关谈话及精神，在数字政府网络安全管理中建立综合运营平台，形成态势感知应用能力，构建多维度安全防护体系，有效地提高了电子政务外网的安全防护水平。
      一、网络安全运营背景
      金普新区电子政务外网（以下简称“新区政务外网”）是金普新区的政务关键信息基础设施，是承载金普新区电子政务发展和数字政府建设的基础网络。随着多年的发展和建设，已实现纵向连接市、区、街道办事处、社区(村)四级机构，横向连接区委、政府、人大、政协等机关与事业单位及功能园区等机构。但随着电子政务的进一步发展，其面临的安全威胁呈现全天候、常态化等特征，攻击源遍布国内外。因此，金普新区大数据中心建设了政务外网网络安全态势感知平台，形成了政务外网整体安全监测、态势感知、预警通报和应急处置能力。
      二、网络安全运营需求
      随着金普新区电子政务应用的深入开展和数字政府的高速建设，政务信息化系统越来越多，网络支撑环境也越来越复杂，再加上政务云的建设和推广应用，新区政务外网的用户数量及业务量急剧增多，亟需能及时发现和联动处理各类网络攻击和威胁的综合性平台，以保障关键基础信息设施能够安全、稳定地运行。
多年来，金普新区持续加强网络安全建设，政务外网已实现三大运营商接入，拥有防火墙、IPS、WAF、漏洞扫描、行为管理和日志审计管理、VPN、堡垒机等全面的安全防御设备和措施；在政务云安全方面设置了特权账号管理，终端防御、网络防御、主机防御等安全部署，可以应对常规的病毒木马、数据泄露、非授权访问等常规威胁。
      然而，随着数字政府不断深入，政务信息系统资产及漏洞暴露面越来越大、大量日志数据孤岛丛生缺少关联及分析、安全措施各自为战难以协同等问题也日益凸显。在实际网络安全运营管理中，存在以下痛点：
      （一）政务外网安全形势日益严峻
新区政务外网直接关系到新区信息安全和基础设施服务水平。除了来网络内部的攻击威胁之外，新区政务外网更面临着互联网高频次、隐蔽性强的持续性攻击威胁，需要增强网络安全监测能力，巩固其安全体系，建立涵盖事前防范、事中发现、事后溯源的完善监测预警体系。
      （二）网络检测能力不足，网络安全态势不可视
原有网络安全体系对越过边界防护或以内部主机为跳板的横向攻击难以进行实时的检测和报警，难以发现内部违规行为，难以防御来自互联网的持续攻击威胁。这就要求安全运维模式和管理模式须从过去的被动响应、拼凑合规转向主动发现、分级管理。
      （三）安全防护体系不完善，安全设备未能物尽其用
随着政务外网规模扩容、终端日益增加及政务系统安全管理需求标准不断提高，安全防护集中管控程度不高，难以掌控全局的问题日益突出。虽然部署了一定数量的网络安全防护设备，如边界安全、终端安全、威胁检测等，但是对于潜伏威胁无法及时完成监测、预警，尤其是缺乏有效的联动处置手段，存在安全风险。
      三、网络安全运营方案
      2023年8月，大连市人民政府与奇安信科技集团股份有限公司签订战略合作框架协议，“以贯彻落实《辽宁全面振兴新突破三年行动方案（2023—2025年）》为指导，坚决打赢新时代东北振兴、辽宁振兴的“辽沈战役”，奋力推进中国式现代化辽宁实践，落实习近平总书记重要指示精神、在新时代东北振兴上展现更大担当和作为，立足新发展阶段，贯彻新发展理念, 构建新发展格局，推动经济高质量发展。双方围绕数字安全产业，充分发挥各自优势，本着优势互补的原则，建立战略合作关系。”
      为解决新区数字政府网络安全运营中存在的问题，依托奇安信公司在北京冬奥会网络安全“零事故”的先进经验，大数据中心与奇安信科技集团展开网络安全态势感知和安全运营平台实验性建设试点。网络态势感知与安全运营平台（简称NGSOC，见图一）以大数据平台为基础，通过收集多元、异构的海量日志，利用关联分析、机器学习、威胁情报等技术，帮助政企客户持续监测网络安全态势，实现从“被动防御”向“积极防御”的进阶，为安全管理者提供风险评估和应急响应的决策支撑，为安全运营人员提供威胁发现、调查分析及响应处置的安全运营平台（见图一）。 
      2023年末，在新区政务外网核心交换区部署网络安全感知探针，在运维管理区部署安全运营平台，开展了新区数字政府安全运营的应用实践和探索。（部署示意图见图二）。2024年末，完成实验性建设试点工作。

      2025年初，金普新区网络安全态势感知和安全运营平台（以下简称“态势感知平台”）正式上线运行。依托态势感知平台“持续监测、精准检测、事先预警、快速响应”的核心能力，金普新区大数据中心完善了安全运营的主要工作流程，并建立了网络安全数据及运营工作展示平台。态势感知平台可以将态势感知、自动化编排、资产管理、脆弱性管理等各个分散的子系统整合到一起，以内部工作流的方式贯穿工作任务，形成标准化的工作流程，最终实现网络安全工作的闭环运营。完成以下应用场景（见图三）。

      （一）资产管理与风险展示
      通过多种方式对信息化资产进行信息采集，包括手工录入、外部资产列表导入、对接态势感知平台的资产探查系统自动扫描发现、主机安全管理、漏扫等措施，直观的对资产情况进行掌握，并且包括资产类型、厂商、型号、系统类型、责任人、责任域等数据资源统一管理。而且平台能够发现超出现有管理资产范围的或未被管理到的资产，统筹纳入管理系统，防止出现未知的信息安全风险。对于资产存在的漏洞风险能够以资产的视角来进行统一管理，做到“漏洞可发现，解决过程可跟踪，结果可统计，漏洞态势可感知”的漏洞闭环管理（见图四）。

      （二）网络安全态势感知
      根据实际的安全运营的需求，态势感知平台按照不同应用场景对重点资产、重点威胁事件进行可视化呈现，提供多个展示内网态势感知的大屏视图，包括资产风险态势视图、外部威胁态势感知、内网威胁态势感知、全网漏洞态势、业务资产主动外连态势、安全运营态势和威胁预警态势等，分别从不同的安全运营角度对政务外网的网络安全态势进行全面直观呈现，又能准确快速掌控单一资产的安全状态细节（见图五）。 
      （三）大数据日志审计
      态势感知平台可以通过日志采集探针对设备日志进行采集，并对采集数据进行归一化、富化等预处理。可以在分析平台上对采集到的原始日志和解析日志进行查询、统计、关联分析等处理使用。与此同时，对用户网络资产的日志进行统一的采集、存储和使用，能够让存量资产符合《网络安全法》及等保法规要求（见图六）。 
      （四）威胁事件捕获和响应处置
      针对当前互联网高级持续性威胁（APT）或者一些复杂的内部违规行为，态势感知平台将传统安全设备或系统的安全告警作为参考数据，充分利用原始的网络流量、主机行为日志等数据对原始行为进行记录和分类; 同时充分利用威胁情报，当发现可疑行为后，平台将主动对行为相关的资源对象，如：账号、攻击源IP、资产、文件等，在历史数据中进行多维度回溯分析，同时对关联对象的将来行为进行持续跟踪；最终平台将关联行为组合在一起后，再对行为链进行综合研判，分析攻击者的企图、手段以及受害范围，利用终端检测和人工响应以及自动化编排方式进行处置和防御（见图七、八、九）。 

      （五）事件调查和分析
      态势感知平台的事件调查功能包含了安全攻防类、行为管理类、内控内审类和网络故障类。安全人员在进行数据调查时需要能快速的对全量数据进行检索，找到可疑的内容并进行分类和备注，同时可以对不同的类型的数据进行多种条件的关联和快速统计，从中发现潜在的威胁行为（见图十）。 
      四、网络安全运营成效
      一年多来，大数据中心依托态势感知平台迈出了新区数字政府网络安全运营实践的第一阶段，实现了电子政务外网信息安全网络安全监测预警能力，形成了数据采集、数据分析、预警通告和应急处置四大基础安全监测能力。通过对网络中核心网络设备，如路由器、交换机、防火墙的状态监测和自动化处置，最终实现全网安全感知和联动处置，提升内外网的安全检测能力和应急保障水平。在资产运营、安全响应、网络情况实时展示、重大节日保障和网络安全技术人才培养方面相比以往都取得了较大进步。
      （一）资产运营方面
通过人工录入、模板导入、流量探针、主机安全管理、漏扫等措施，网络安全运营实现了梳理资产、摸清了家底；所有已知资产对应责任到人，高危漏洞有效管理，资产、漏洞、告警有效关联，关键安全事件闭环解决率100%。
      通过态势感知平台能够严格把控政务信息系统安全检查，重点对新区网站、政务云上的政务信息系统进行安全检查，及时发现并处置网络攻击事件或安全漏洞，完成政务外网信息资产梳理工作，及时协助相关责任单位整改。
      （二）安全响应方面
      利用态势感知平台对全区政务信息系统和政务外网的安全实时监测，依托现有安全设备和服务资源，积极调整网络安全策略，提升互联网出口带宽和安全性能；每月及时阻止和处理来自互联网的近百次各类攻击，应急处置支持及时处置安全事件，平台联动安全设备完成预警下发以及联动处置，在安全事件发生后第一时间进行响应和闭环处置，防止威胁横向和对外扩散，规避被通报的风险，保障新区关键政务信息系统的安全稳定。
通过定期脆弱性扫描、漏洞与资产自动匹配、资产风险评估等机制，找出多个政务信息系统漏洞并有效管理。通过建立有效而全面的流量分析，有效发现大量透过防御体系的安全风险。自态势感知平台投入使用后，累计发现外部攻击及威胁 1万5千多次，能够立即阻断高危以上威胁的攻击，发现并制止2起因软件供应链安全极高危漏洞所产生网络攻击威胁。
      （三）网络情况实时展示方面
      通过态势感知平台完成日志汇聚、资产安全事件回溯分析、等保合规等基础性工作，实现日志留存6个月以上，完全符合法规及等保要求。通过仪表板、大屏等方式数字化展示新区政务外网网络安全各维度关键指标。通过态势感知平台的综合大屏实时监测，实现事前可预防、事中可发现、事后可溯源、趋势可预测的整体安全监测体系，进一步提升电子政务外网整体安全能力。
      （四）重大节日保障方面
      在重大节日、重要会议等关键时间节点，以确保网络安全保障为重点，通过态势感知平台提升重点时期网络安全保障能力，安排专业人员开展24小时网络安全监测和处理各类网络攻击和威胁，顺利完成2024年、2025年重保期间网络安全保障工作，全面提升政务网络安全防护水平。
      （五）网络安全技术人才培养方面
      利用态势感知平台，开展基于实战的攻防演练，持续培养网络安全人才，提升相关人员安全意识、安全技能和对抗技能，满足新区数字政府建设和政务外网对网络安全人才的需求。
综上所述，态势感知平台在金普新区数字政府的网络安全运营创新管理方面发挥了多重作用。既可作为安全指挥决策的平台，在重大安全事件发生时，成为安全管理者的指挥与决策平台，指导安全运营人员进行处置；又可作为安全态势掌控的平台，帮助安全管理者摸清家底，认清风险，找出漏洞，督促整改，实现资产数据、脆弱性分布、安全威胁状况的全面掌控；也可作为安全训练的平台，作为实战化攻防演练的抓手，帮助安全管理者实现演练全过程的监测。
      下一步，金普新区大数据中心将结合数字政府建设的规划和实践，不断优化和充分利用好态势感知平台的核心能力和服务优势，开展更精细化的资产管理，持续优化的安全运营，从而实现数字化、专题化、精细化的数字政府网络安全运营模式，为金普新区践行国家级新区战略使命，为大连高质量冲刺万亿GDP城市提供有力政务网络安全支撑。