中国数字防御演练与电子政务网络架构技术分析

一、概述

1. 研究背景

2025 年 11 月，一篇发布于白帽黑客论坛 butian.net 的演讲内容，深入揭示了中国电子政务网络架构和后端系统的内部细节。该演讲最初于同期在长沙举行的网络安全会议上发表。

2. 核心内容

A. 主要发现

• 中国政府组织网络安全演练的内部机制和协调架构
• 电子政务网络的基础设施层级设计
• 红队演练的攻击场景和目标分类体系
• 政务数据流转和跨部门协同平台的技术架构

B. 关键数据

• 2025 年政府网络安全演练超过 46 次
• 9 月达到峰值，单月 13 次演练
• 涵盖香港和澳门特别行政区

3. 研究价值

该演讲展示了演讲者 RJ45mp 对中国政府网络内部组织和技术组件的深入了解，引用了内部统计数据和政府云基础设施架构图，提供了超出公开领域的详细信息。

二、网络安全演练组织架构

1. 三大核心机构

中国网络安全演练已形成成熟的组织架构，涉及三个主要机构：

A. 公安系统

职责：执法监督与实战打击

功能范围：

• 合规审查
• 拟立案侦查
• 立案打击

B. 网信办

职责：统筹协调与监督管理

角色定位：

• 演练总导演
• 总协调机构

C. 政数局（ Bureau of Government Data ）

职责：数字政府时代的新兴主导

关键角色：

• 演练靶标提供方
• 核心防守方

graph TD
    A[网络安全演练] --> B[公安系统]
    A --> C[网信办]
    A --> D[政数局]

    B --> B1[合规审查]
    B --> B2[拟立案侦查]
    B --> B3[立案打击]

    C --> C1[总导演]
    C --> C2[总协调]

    D --> D1[靶标提供方]
    D --> D2[核心防守方]

    style A fill:#e1f5ff
    style B fill:#fff3e0
    style C fill:#f3e5f5
    style D fill:#e8f5e9

2. 演练频次统计

2025 年网络安全演练呈现出高频次、全覆盖的特点：

• 总演练次数：46+ 次
• 月度峰值：9 月 13 次
• 地理覆盖：全国各省份及港澳特区

这种高频演练反映了国家对网络安全能力建设的重视，以及在省级部门与国家级部门之间进行的深度整合和协作工作。

三、电子政务网络架构

1. 物理网络层

中国电子政务系统采用分层级的光纤连接架构：

A. 网络层级

• 国家级政务网络
• 省级政务网络
• 市级政务网络

B. 连接特点

• 专用光纤网络
• 跨区域互联互通
• 物理隔离与逻辑隔离并存

graph LR
    A[国家级政务中心] --> B[省级政务中心]
    B --> C[市级政务中心]

    A -.专网连接.-> B
    B -.专网连接.-> C

    A --> A1[政务外网]
    A --> A2[政务内网]
    A --> A3[互联网]

    B --> B1[政务外网]
    B --> B2[政务内网]
    B --> B3[互联网]

    C --> C1[政务外网]
    C --> C2[政务内网]
    C --> C3[互联网]

    style A fill:#ffcdd2
    style B fill:#c8e6c9
    style C fill:#bbdefb

2. 技术栈架构

电子政务系统采用完整的技术栈设计：

A. 基础设施层

• 物理服务器集群
• 虚拟化平台
• 容器化部署

B. 平台服务层

• 政务云平台
• 数据交换平台
• 身份认证平台

C. 应用服务层

• 政务服务系统
• 协同办公平台
• 数据共享系统

graph TD
    subgraph 应用层
        A1[政务服务系统]
        A2[协同办公平台]
        A3[数据共享系统]
    end

    subgraph 平台层
        P1[政务云平台]
        P2[数据交换平台]
        P3[身份认证平台]
    end

    subgraph 基础层
        I1[物理服务器]
        I2[虚拟化平台]
        I3[容器化部署]
    end

    A1 --> P1
    A2 --> P2
    A3 --> P3
    P1 --> I1
    P2 --> I2
    P3 --> I3

    style 应用层 fill:#e3f2fd
    style 平台层 fill:#fff3e0
    style 基础层 fill:#f1f8e9

3. 攻击面分析

随着政务服务在线化程度提升，攻击面也随之扩大：

A. 主要攻击面组件

• 云平台
• 单点登录（ SSO ）系统
• 防火墙
• VPN 接入
• 堡垒主机
• 数据交换点

B. 攻击面特征

• 多网络并行运行
• 限制性互联
• 跨域数据交换
• 供应链依赖

graph TD
    A[攻击者] --> B[云平台]
    A --> C[SSO系统]
    A --> D[防火墙]
    A --> E[VPN接入]
    A --> F[堡垒主机]
    A --> G[数据交换点]

    B --> H[政务数据库]
    C --> H
    D --> H
    E --> H
    F --> H
    G --> H

    style A fill:#ffcdd2
    style H fill:#ffebee

四、典型攻击场景分析

1. 堡垒主机渗透场景

A. 攻击路径

1. 利用 SSO 设置中的 1-day 漏洞
2. 渗透堡垒主机
3. 访问政务数据库

B. 技术要点

• 单点登录系统漏洞利用
• 权限提升技术
• 横向移动方法

sequenceDiagram
    participant Attacker as 攻击者
    participant SSO as SSO系统
    participant Bastion as 堡垒主机
    participant DB as 政务数据库

    Attacker->>SSO: 利用1-day漏洞
    SSO->>Bastion: 获取访问权限
    Bastion->>DB: 访问数据库
    DB-->>Attacker: 返回敏感数据

2. DMZ 突破与零日漏洞利用场景

A. 攻击阶段

1. 突破 DMZ 区域
2. 利用 0-day 漏洞进一步渗透
3. 实现广泛的横向移动

B. 关键技术

• DMZ 配置缺陷利用
• 零日漏洞武器化
• 内网横向移动

graph LR
    A[外部攻击者] --> B[DMZ区域]
    B --> C[利用0-day漏洞]
    C --> D[内网渗透]
    D --> E[横向移动]
    E --> F[核心数据库]

    style A fill:#ffcdd2
    style F fill:#ffebee

3. 社会工程学与恶意软件包场景

A. 攻击链

1. 通过微信发送恶意软件包
2. 结合社会工程学诱导
3. 建立对政府网络的持久访问

B. 攻击特征

• 利用即时通讯工具
• 定制化恶意软件
• 供应链攻击手段

sequenceDiagram
    participant Attacker as 攻击者
    participant WeChat as 微信
    participant Victim as 政府员工
    participant GovNet as 政府网络

    Attacker->>WeChat: 发送恶意软件包
    WeChat->>Victim: 社会工程学诱导
    Victim->>GovNet: 下载并运行
    GovNet-->>Attacker: 建立持久访问

五、目标分类与评分体系

1. 高价值目标

A. 定义标准

基于目标的关键性、数据敏感性和业务影响确定。

B. 目标类型

集中式系统

• 堡垒主机
• 云管理平台
• 单点登录（ SSO ）系统

核心数据系统

• 公民信息数据库
• 医疗健康数据库
• 公共资源交易平台

关键业务系统

• 政府协同办公平台
• 数据共享交换平台

2. 中价值目标

A. 特征描述

• 政府平台移动 App 后端系统
• 社交媒体账号
• 财政管理系统
• 办公支持系统（如视频会议）

3. 低价值目标

A. 目标类型

• 政府门户网站
• 未下线的已停用系统
• 未与生产环境完全隔离的测试系统

4. 攻击大数据资产策略

A. 重点攻击目标

• 公共资源交易平台
• 跨部门信息处理系统
• 政府协同系统

B. 目标价值

这些平台包含：

• 大量内部备忘录
• 通讯录
• 会议纪要
• 公民数据（户籍、社保、身份信息）

graph TD
    A[大数据资产攻击] --> B[数据交换点]
    A --> C[政府协同系统]
    A --> D[公民数据库]

    B --> B1[公共资源交易平台]
    B --> B2[跨部门信息系统]

    C --> C1[内部备忘录]
    C --> C2[通讯录]
    C --> C3[会议纪要]

    D --> D1[户籍信息]
    D --> D2[社保信息]
    D --> D3[身份信息]

    style A fill:#e1f5ff
    style D fill:#ffebee

5. 网络隔离突破策略

A. 突破类型

• 政务外网隔离
• 互联网外网隔离
• 内网逻辑隔离
• 强内网逻辑隔离
• 专用网络隔离
• 跨单位网络隔离
• 物理内网隔离
• 国际公网隔离

B. 突破方法

寻找跨网服务

• 定位双网卡服务器
• VPN 服务器
• 桌面云系统

利用防火墙策略缺陷

• 临时开放但未及时关闭的访问策略

建立多级跳板

• 控制位于不同区域的多台服务器
• 逐步渗透核心区域

实施供应链钓鱼

• 选择防御薄弱的软件供应商
• 选择维护服务提供商
• 选择网站开发商
• 通过社会工程学攻陷供应商
• 利用其合法可信权限渗透政府目标

graph TD
    A[网络隔离突破] --> B[跨网服务]
    A --> C[防火墙策略]
    A --> D[多级跳板]
    A --> E[供应链攻击]

    B --> B1[双网卡服务器]
    B --> B2[VPN服务器]
    B --> B3[桌面云系统]

    C --> C1[临时开放策略]

    D --> D1[控制跳板服务器]
    D --> D2[逐步渗透]

    E --> E1[软件供应商]
    E --> E2[维护服务商]
    E --> E3[网站开发商]

    style A fill:#fff3e0

6. 协同平台攻击策略

A. 攻击价值

随着政府机构间互联互通程度提升，协同平台成为高价值攻击目标。

B. 攻击路径

• 利用商业通讯工具的漏洞（微信、钉钉）
• 供应链攻击
• 社会工程学二次利用
• 获取群组联系人信息

C. 攻击收益

• 获取更多联系人
• 访问群组聊天记录
• 作为进一步社会工程学攻击的跳板

六、典型案例：省级政务云平台

1. 重点平台列表

演讲中提到的典型电子政务系统目标包括：

A. 省级政务云

• 贵州云系统平台（贵州云大数据产业发展有限公司）
• 江苏省政府云（江苏省政府服务管理办公室）
• 天津市政府云平台（天津市委网信办、天津市大数据管理中心）
• 安徽省政府云（安徽省数据资源管理局）
• 内蒙古自治区政府云（内蒙古自治区大数据中心）
• 福建省政府云（福建省大数据管理局）
• 江西省政府数据共享平台（江西省信息中心）
• 上海市政府云（上海市大数据中心）
• 广东省数字政府（广东省政务服务数据管理局、数字广东网络建设有限公司）

B. 市级政务云

• 吉林省吉林市吉林祥云（吉林祥云信息技术有限公司）

mindmap
  root((政务云平台))
    华东地区
      上海
      江苏
      安徽
      福建
      江西
    华南地区
      广东
    华北地区
      天津
      内蒙古
    西南地区
      贵州
    东北地区
      吉林

七、数据流转架构

1. 三级数据流转

中国政府数据在国家、省级和市级实体之间形成层级化流转体系：

A. 国家级

• 政策制定
• 标准规范
• 宏观调控

B. 省级

• 数据汇聚
• 业务协同
• 服务分发

C. 市级

• 数据采集
• 服务落地
• 反馈优化

graph LR
    A[国家级政府] <--> B[省级政府]
    B <--> C[市级政府]

    A --> A1[政策制定]
    A --> A2[标准规范]
    A --> A3[宏观调控]

    B --> B1[数据汇聚]
    B --> B2[业务协同]
    B --> B3[服务分发]

    C --> C1[数据采集]
    C --> C2[服务落地]
    C --> C3[反馈优化]

    style A fill:#ffcdd2
    style B fill:#fff3e0
    style C fill:#c8e6c9

2. 跨部门数据交换

A. 交换平台

• 政府数据共享交换平台
• 公共资源交易平台
• 协同办公平台

B. 数据流向

• 纵向：上下级政府间
• 横向：同级部门间
• 跨域：不同业务系统间

八、技术分析与启示

1. 系统架构特征

A. 复杂性

中国电子政务系统呈现出以下特征：

• 多层级网络结构
• 多种网络隔离模式
• 跨域数据交换需求
• 供应链依赖度高

B. 挑战

• 协调难度大
• 防御能力不均衡
• 攻击面持续扩大
• 安全管控复杂

2. 红队演练价值

A. 演练目标

• 发现漏洞和安全隐患
• 验证防御体系有效性
• 提升应急响应能力
• 量化安全评估

B. 评分体系

通过量化评分系统，红队演练能够：

• 提供可量化的安全问题识别方法
• 聚焦高价值目标
• 优化安全资源配置
• 持续改进安全防御

3. 攻击技术演进

A. 攻击手段多样化

• 0-day 漏洞利用
• 社会工程学
• 供应链攻击
• 网络隔离突破

B. 攻击路径复杂化

• 多阶段攻击链
• 横向移动技术
• 持久化机制
• 反检测技术

graph TD
    A[攻击技术演进] --> B[漏洞利用]
    A --> C[社会工程学]
    A --> D[供应链攻击]
    A --> E[隔离突破]

    B --> B1[0-day漏洞]
    B --> B2[1-day漏洞]
    B --> B3[N-day漏洞]

    C --> C1[钓鱼邮件]
    C --> C2[即时通讯]
    C --> C3[社交媒体]

    D --> D1[软件供应商]
    D --> D2[维护服务商]
    D --> D3[开发商]

    E --> E1[跨网服务]
    E --> E2[防火墙策略]
    E --> E3[多级跳板]

    style A fill:#e1f5ff

4. 防御建议

A. 网络隔离优化

• 实施最小权限原则
• 定期审查防火墙策略
• 强化跨网访问控制
• 部署网络流量监控

B. 供应链安全管理

• 建立供应商安全评估机制
• 实施供应链安全审计
• 要求供应商签署安全协议
• 建立供应链应急响应预案

C. 协同平台安全

• 加强即时通讯工具安全管理
• 实施协同平台访问控制
• 建立数据传输加密机制
• 定期开展安全意识培训

D. 数据保护

• 实施数据分类分级
• 加强数据库访问控制
• 建立数据泄露检测机制
• 完善数据备份和恢复策略

九、结论与展望

1. 研究总结

本演讲内容虽然保持在高层次，没有提供大量可操作的技术细节，但仍然清晰地展示了中国电子政务服务的密集和 sprawling 系统架构。可以清楚地看到，这给中国网络防御者带来了艰巨的任务。

2. 红队演练意义

该演练为中国的红队成员提供了丰富的训练场，能够：

• 磨练攻击技术
• 测试复杂的攻击方法
• 轻易修改并转移到针对外国目标的真实攻击行动中
• 由于中国软件生态系统大量基于开源，中国红队在利用这些软件方面非常熟练

3. 技术启示

总体而言，如何攻击和渗透此类系统的方法相当全面。虽然没有直接的技术洞察来展示如何进行这些操作，但总体分析表明，演讲者具备专业能力。

4. 时代挑战

与每个国家政府一样，在加强互联网基础设施的同时，仍然试图为人口提供有用的服务，是 21 世纪许多政府面临的重大挑战。中国也不例外。

5. 未来趋势

随着政务服务的进一步在线化和数据化，可以预见：

• 攻击面将持续扩大
• 网络安全演练将更加频繁
• 红蓝对抗技术将不断演进
• 数据安全保护要求将更加严格

参考资料

1. 补天论坛 - 政府领域攻防演练指南
2. NetAskari - 补天: China's digital defense drills
3. Cybernews - Massive data leak exposes billions of Chinese users