2022年軟件平臺安全防范體系建設方案

1、軟件平臺安全防范體系建設方案目錄 TOC o 1-5 h z HYPERLINK l bookmark2 o Current Document 安全體系總體設計3 HYPERLINK l bookmark4 o Current Document 技術(shù)目標6 HYPERLINK l bookmark6 o Current Document 管理目標6 HYPERLINK l bookmark8 o Current Document 安全技術(shù)方案7 HYPERLINK l bookmark10 o Current Document 網(wǎng)絡與邊界安全7 HYPERLINK l bookmark12 o

2、 Current Document 主機系統(tǒng)安全7 HYPERLINK l bookmark14 o Current Document 應用安全8 HYPERLINK l bookmark16 o Current Document 數(shù)據(jù)安全8 HYPERLINK l bookmark18 o Current Document 防火墻設計9 HYPERLINK l bookmark20 o Current Document WEB入侵防護設計11 HYPERLINK l bookmark22 o Current Document 安全隔離網(wǎng)關設計11 HYPERLINK l bookmark24

3、 o Current Document 安全管理方案13 HYPERLINK l bookmark26 o Current Document 安全組織體系建設13 HYPERLINK l bookmark28 o Current Document 安全管理制度建設14 HYPERLINK l bookmark30 o Current Document 信息安全管理原則15 HYPERLINK l bookmark32 o Current Document 其他管理措施16 HYPERLINK l bookmark34 o Current Document 售后服務內(nèi)容、要求和期限17 HYPE

4、RLINK l bookmark36 o Current Document 維護方案17 HYPERLINK l bookmark38 o Current Document 技術(shù)培訓方案17 HYPERLINK l bookmark40 o Current Document 其它18安全體系總體設計某某軟件管理平臺，作為云平臺和大數(shù)據(jù)相結(jié)合的特殊系統(tǒng)平臺，需要重新 設計和構(gòu)建大數(shù)據(jù)安全架構(gòu)和開放數(shù)據(jù)服務，從安全設計、安全運營等各個角度 考慮，部署整體的安全解決方案。保障大數(shù)據(jù)計算過程、數(shù)據(jù)形態(tài)、應用價值的 安全。安全系統(tǒng)建設的原則，一是必須符合國家電子政務安全規(guī)劃及國家的其他相 關規(guī)定，二是要

5、從平臺實際工作需求出發(fā)，建設既符合要求又滿足實際需求的安 全系統(tǒng)。安全系統(tǒng)建設的重點是，確保信息的安全，確保業(yè)務應用過程的安全防護、 身份識別和管理。安全系統(tǒng)建設的任務，需從技術(shù)和管理兩個方面進行安全系統(tǒng) 的建設基本技術(shù)要求從物理安全、網(wǎng)絡安全、主機安全、應用安全和數(shù)據(jù)安全幾 個層面提出；基本管理要求從安全管理制度、人員安全管理、系統(tǒng)建設管理和系 統(tǒng)運維管理幾個方面提出，基本技術(shù)要求和基本管理要求是確保信息系統(tǒng)安全不 可分割的兩個部分。本項目安全體系結(jié)構(gòu)如下圖所示。（應用安全5)（網(wǎng)絡安全物理安全)系統(tǒng)安全體系安全策略安全標準、規(guī)范XX數(shù)據(jù)備份、數(shù)據(jù)庫安全策略血用安全：應用系統(tǒng)安全、PKI/C

6、A認證孚統(tǒng)安全：操作系統(tǒng)安全策略、 I軟件絡安全：網(wǎng)絡邊界安全、防火壇 理安全：環(huán)境建設、設備冗余I仝全管理，安全管理制度、人員安全管 i理、系統(tǒng)建設管理、系統(tǒng)運維管理1-1安全體系結(jié)構(gòu)圖信息系統(tǒng)根據(jù)其在國家安全、經(jīng)濟建設、社會生活中的重要程度，遭到破壞 后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危 害程度等，由低到高劃分為五級。根據(jù)等級保護相關管理文件，本項目安全等級建議定級為第二級。本項目的安全設計主要包含六個方面的內(nèi)容：物理與環(huán)境安全、主機與存儲 安全、網(wǎng)絡安全、虛擬化安全、數(shù)據(jù)安全、應用安全等，具體說明如下：物理與環(huán)境安全，是指保護大數(shù)據(jù)平臺免遭地震、水災、火

7、災等事故以及人 為行為導致的破壞。主要措施包括物理位置的正確選擇、物理訪問控制、防盜竊 和防破壞、防雷、防火、防靜電、防塵、防電磁干擾等。大數(shù)據(jù)平臺機房、UPS電源、監(jiān)控等場地設施和周圍環(huán)境及消防安全，嚴格 按照國家相關標準，并滿足24小時不間斷運行的要求進行設計建設。大數(shù)據(jù)平臺的主機包括物理服務器、虛擬機，以及安全設備在內(nèi)的所有計算 機設備，主要指它們在操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)層面的安全。主機安全問題主要包 括操作系統(tǒng)本身缺陷所帶來的不安全因素，包括身份認證、訪問控制、系統(tǒng)漏洞 等，操作系統(tǒng)的安全配置問題、病毒對操作系統(tǒng)的威脅等。主機安全，要求做到身份鑒別、訪問控制、安全審計、入侵防御、惡意代碼

8、 控制、資源控制等，主要采取的措施和技術(shù)手段包括身份認證、主機安全審計、 主機入侵防御、主機防病毒系統(tǒng)等。本項目選擇高端存儲虛擬化平臺，除了提供最好的性能，擴展性，還提供了 業(yè)界最高的安全性。通過存儲虛擬分區(qū)，應用主機安全保護，SAN安全保護，數(shù) 據(jù)安全與統(tǒng)一容災等眾多技術(shù)保障云計算系統(tǒng)的安全。在網(wǎng)絡安全方面，主要做到以下幾個方面的安全防護，包括網(wǎng)絡架構(gòu)安全、 網(wǎng)絡訪問控制、網(wǎng)絡安全審計、邊界完整性檢查、網(wǎng)絡入侵防御、網(wǎng)絡設備防護。 可采取的主要安全措施和技術(shù)包括防火墻、IPS、網(wǎng)絡安全審計系統(tǒng)、防病毒、 防病毒網(wǎng)關、強身份認證等。此處，特別值得提岀的是，拒絕服務攻擊對云計算來說，其風險是非常

9、凸顯 的。拒絕服務攻擊DoS和DDoS不是云服務所特有的。但是，在云服務的技術(shù)環(huán) 境中，企業(yè)中的關鍵核心數(shù)據(jù)、服務來開了企業(yè)網(wǎng)，企業(yè)到云服務中心。更多的 應用和集成業(yè)務開始依靠互聯(lián)網(wǎng)。解決服務帶來的后果和破壞，將會明顯地超過 傳統(tǒng)的企業(yè)網(wǎng)絡環(huán)境。因此，必須采取相應的抗拒絕服務攻擊技術(shù)措施，以保障 大數(shù)據(jù)中心平臺的正常工作。虛擬化技術(shù)在物理硬件與運行IT服務的虛擬系統(tǒng)之間引入了一個抽象層， 并通過整合服務器以及提高操作效率和靈活性，實現(xiàn)了 一種節(jié)約成本的有效方式。 然而，對于所運行的虛擬服務而言，新增功能引入的虛擬化層本身卻是一個潛在 的攻擊入侵通道。由于一個主機系統(tǒng)能夠容納多個虛擬機，因此，主

10、機的安全性 就變得尤為重要。系統(tǒng)上的任何安全漏洞對環(huán)境所造成的彩響都會比以往更大。通過Web客戶端釆集的數(shù)據(jù)，是在不同的網(wǎng)絡環(huán)境下運行，客戶端與最終服 務端之間的數(shù)據(jù)傳輸，會通過互聯(lián)網(wǎng)等公共網(wǎng)絡與政府專網(wǎng)連接，因此會帶來一 系列數(shù)據(jù)采集上的安全與隱私問題。這些問題包括：冬數(shù)據(jù)采集的完整性問題：在客戶端采集數(shù)據(jù)，一般不會 同步發(fā)送數(shù)據(jù)，而是在本地先做緩存，然后再整體壓縮、打包并在網(wǎng)絡好時一起 通過公網(wǎng)進行傳輸。傳輸過程中的緩存限額問題，或者公網(wǎng)傳輸?shù)木W(wǎng)絡問題，一 般都會有3%到7%的數(shù)據(jù)丟失，并且基本難以避免。b、數(shù)據(jù)采集的隱私性問 題：第三方可能會在傳輸過程中截獲傳輸?shù)臄?shù)據(jù)，從而拿到傳輸?shù)倪@些

11、用戶行為 數(shù)據(jù)。這些用戶數(shù)據(jù)都是體現(xiàn)用戶在客戶端的一些具體的用戶行為，蘊含著用戶 的隱私。c、數(shù)據(jù)采集的準確性問題：第三方可能會在傳輸過程中使用不同方式 偽造數(shù)據(jù)，直接調(diào)用傳輸?shù)腁PI、在多個模擬器上運行App,或者人工直接操作 干擾的錯誤，都會導致數(shù)據(jù)被損壞、篡改、泄霜或竊取，從而導致傳輸?shù)椒斩?的數(shù)據(jù)不準確。針對以上問題，數(shù)據(jù)采集的安全，應確保8、系統(tǒng)采集的數(shù)據(jù)真?zhèn)涡?，具?辨別數(shù)據(jù)偽造的能力；b、采用統(tǒng)一的數(shù)據(jù)采集通道確保健康醫(yī)療信息資源數(shù)據(jù) 的過程安全；c、（對健康醫(yī)療數(shù)據(jù)）調(diào)整進行安全分級，指定不同的采集手段， 對不同級別的健康醫(yī)療信息資源進行采集。具體可通過使用https作為傳輸

12、協(xié) 議、傳輸內(nèi)容加密、后端采集、釆集后anti spam清洗等方法。技術(shù)目標從安全體系上考慮，實現(xiàn)多種安全技術(shù)或措施的有機整合，形成一個整體、 動態(tài)、實時、互動的有機防護體系。具體包括：1）本地計算機安全：主機系統(tǒng)文件、主機系統(tǒng)的配置、數(shù)據(jù)結(jié)構(gòu)、業(yè)務原 始數(shù)據(jù)等的保護。2）網(wǎng)絡基礎設施安全：網(wǎng)絡系統(tǒng)安全配置、網(wǎng)絡系統(tǒng)的非法進入和傳輸數(shù) 據(jù)的非法竊取和盜用。3）邊界安全：橫向網(wǎng)絡接入邊界，內(nèi)部局域網(wǎng)不同安全域或子網(wǎng)邊界的保 護。4）業(yè)務應用安全：業(yè)務系統(tǒng)的安全主要是針對應用層部分。應用軟件的設 計是與其業(yè)務應用模式分不開的，同時也是建立在網(wǎng)絡、主機和數(shù)據(jù)庫 系統(tǒng)基礎之上的，因此業(yè)務部分的軟件分發(fā)

13、、用戶管理、權(quán)限管理、終 端設備管理需要充分利用相關的安全技術(shù)和良好的安全管理機制。管理目標安全建設管理目標就是根據(jù)覆蓋信息系統(tǒng)生命周期的各階段管理域來建立 完善的信息安全管理體系，從而在實現(xiàn)信息能夠充分共享的基礎上，保障信息及 其他資產(chǎn)，保證業(yè)務的持續(xù)性并使業(yè)務的損失最小化，具體的目標如下：1）定期對局域網(wǎng)網(wǎng)絡設備及服務器設備進行安全隱患的檢查，確保所有運 行的網(wǎng)絡設備和服務器的操作系統(tǒng)安裝了最新補丁或修正程序，確保所 有網(wǎng)絡設備及服務器設備的配置安全。2）提供全面風險評估、安全加固、安全通告、日常安全維護、安全應急響 應及安全培訓服務。3）對已有的安全制度，進行更加全面的補充和完善。4）應

14、明確需要定期修訂的安全管理制度，并指定負責人或負責部門負責制 度的日常維護。5）應委托公正的第三方測試單位對系統(tǒng)進行安全性測試，并出具安全性測 試報告。6）應通過第三方工程監(jiān)理控制項目的實施過程。安全技術(shù)方案網(wǎng)絡與邊界安全網(wǎng)絡安全是指通過各種手段保證網(wǎng)絡免受攻擊或是非法訪問，以保證網(wǎng)絡的 正常運行和傳輸?shù)陌踩?、防火墻通過防火墻進行缺省路由巡徑、內(nèi)部私有地址轉(zhuǎn)換和公眾服務靜態(tài)地址映射, 開啟2-3層安全防護功能，完成Internet基礎安全接入，實現(xiàn)互聯(lián)網(wǎng)接入域的 合法接入控制、內(nèi)容過濾、傳輸安全需求。2、安全隔離網(wǎng)閘布置安全隔離網(wǎng)閘，實現(xiàn)網(wǎng)間有效的數(shù)據(jù)交換。3、網(wǎng)絡基礎設施的可用性本項目政

15、務網(wǎng)核心交換機、政務網(wǎng)邊界防火墻采用主備冗余設計，以保證業(yè) 務信息的可靠傳輸。主機系統(tǒng)安全1、操作系統(tǒng)安全策略及時檢測、發(fā)現(xiàn)操作系統(tǒng)存在的安全漏洞；對發(fā)現(xiàn)的操作系統(tǒng)安全漏洞做出及時、正確的處理；及時給系統(tǒng)打補丁，系統(tǒng)內(nèi)部的相互調(diào)用不對外公開；通過配備安全掃描系統(tǒng)對操作系統(tǒng)進行安全掃描，發(fā)現(xiàn)其中存在的安全漏洞, 并有針對性地對網(wǎng)絡設備進行重新配置或升級。2、網(wǎng)絡防病毒建立完善的病毒防護管理體系，負責病毒軟件的自動分發(fā)、自動升級、集中 配置和管理、統(tǒng)一事件和告警處理。通過統(tǒng)一的管理服務器管理所有的病毒防護 產(chǎn)品，包括防病毒、防病毒網(wǎng)關、防垃圾郵件、防木馬程序、主機入侵防護。對 網(wǎng)絡內(nèi)的應用服務器進

16、行全面防護，從而切斷病毒在服務器內(nèi)的寄生和傳播。對 所有的客戶機進行全面防護，徹底消除病毒對客戶機的破壞，保證全網(wǎng)安全。應用安全1、應用系統(tǒng)訪問控制控制不同用戶在不同數(shù)據(jù)、不同業(yè)務環(huán)節(jié)上的查詢、添加、修改、刪除的權(quán) 限，提供面向URL的控制能力，提供面向Service的控制能力，提供面向IP的 控制能力，提供Session的超時控制。限制登錄失敗次數(shù)：限制客戶在可配置的時間長度內(nèi)登錄失敗的次數(shù)，避免 客戶密碼遭到竊取。2、數(shù)據(jù)庫系統(tǒng)安全首先，通過系統(tǒng)權(quán)限、數(shù)據(jù)權(quán)限、角色權(quán)限管理建立數(shù)據(jù)庫系統(tǒng)的權(quán)限控制 機制，任何業(yè)務終端禁止直接訪問數(shù)據(jù)庫服務器，只能夠通過Web服務器或接口 服務器進行訪問數(shù)據(jù)

17、庫服務器，并設置嚴格的數(shù)據(jù)庫訪問權(quán)限。其次，建立完備的數(shù)據(jù)修改日志，通過安全審計記錄和跟蹤用戶對數(shù)據(jù)庫的 操作，明確對數(shù)據(jù)庫的安全責任。3、身份認證系統(tǒng)建立基于PKI/CA的安全基礎設施。通過信息加密、數(shù)字簽名、身份認證等 措施綜合解決信息的機密性、完整性、身份真實性和操作的不可否認性問題。本項目能集成CA方式認證。數(shù)據(jù)安全數(shù)據(jù)安全主要是采用備份的方式實現(xiàn)。對于應用軟件及系統(tǒng)軟件的備份恢復，由于應用及系統(tǒng)軟件穩(wěn)定性較高，可 采用一次性的全備份，以防止當系統(tǒng)遭到任何程度的破壞，都可以方便快速地將 原來的系統(tǒng)恢復出來。對于數(shù)據(jù)的備份，由于數(shù)據(jù)的不穩(wěn)定性，可分別采用定期全備份、差分備份、 按需備份和

18、增量備份的策略，來保證數(shù)據(jù)的安全。配置數(shù)據(jù)備份系統(tǒng)，以實現(xiàn)本 地關鍵系統(tǒng)和重要數(shù)據(jù)的備份。本項目應實現(xiàn)對應用系統(tǒng)和業(yè)務數(shù)據(jù)庫的備份。本項目配備網(wǎng)頁防篡改軟件，通過在網(wǎng)頁被訪問時進行完整性檢查，杜絕網(wǎng) 站向外發(fā)送被篡改的頁面內(nèi)容；配備一套數(shù)據(jù)安全防護軟件，用于數(shù)據(jù)加密，確 保系統(tǒng)生產(chǎn)數(shù)據(jù)的安全。防火墻設計防火墻部署建議控制大型網(wǎng)絡的安全的一種方法就是把網(wǎng)絡化分成單獨的邏輯網(wǎng)絡域，如組 織內(nèi)部的網(wǎng)絡域和外部網(wǎng)絡域，每一個網(wǎng)絡域由所定義的安全邊界來保護。這種 邊界的實施可通過在相連的兩個網(wǎng)絡之間安全網(wǎng)關來控制其間訪問和信息流。網(wǎng) 關要經(jīng)過配置，以過濾區(qū)域之間的通信量和根據(jù)組織的訪問控制方針來堵塞未授

19、 權(quán)訪問。這種網(wǎng)關的一個典型應用就是通常所說的防火墻。防火墻部署作用防火墻技術(shù)是目前網(wǎng)絡邊界保護最有效也是最常見的技術(shù)。采用防火墻技術(shù), 對重要節(jié)點和網(wǎng)段進行邊界保護，可以對所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴格的安 全規(guī)則進行過濾，將所有不安全的或不符合安全規(guī)則的數(shù)據(jù)包屏蔽，防范各類攻 擊行為，杜絕越權(quán)訪問，防止非法攻擊，抵御可能的DOS和DDOS攻擊。通過合 理布局，形成多級的縱深防御體系。通過防火墻的部署，實現(xiàn)基于數(shù)據(jù)包的源地址、目的地址、通信協(xié)議、端口、 流量、用戶、通信時間等信息，執(zhí)行嚴格的訪問控制。并將互聯(lián)網(wǎng)服務區(qū)通過單 獨的防火墻接口形成獨立安全域進行隔離。而安全管理區(qū)集中了對安全管理和

20、網(wǎng)絡管理的服務器，這些服務器可以集中 的管理整個數(shù)據(jù)中心的網(wǎng)絡及安全設備，因此需要高度的防護。通常，這些安全 域只有授權(quán)的管理員可以訪問，其他的訪問請求，需要被阻斷。在此邊界部署防 火墻可以對改區(qū)域進行嚴格的訪問控制，防止非授權(quán)用戶訪問，阻斷可能發(fā)生的 入侵與攻擊行為。釆用防火墻實現(xiàn)以下的安全策略：安全域隔離：實現(xiàn)服務器區(qū)域與辦公網(wǎng)絡區(qū)域之間的邏輯隔離?；蛘咄ㄟ^防 火墻提供多個端口，實現(xiàn)服務器A區(qū)域與服務器B區(qū)域、辦公網(wǎng)絡區(qū)域等多區(qū)域 的邏輯隔離。訪問控制策略：防火墻工作在不同安全區(qū)域之間，對各個安全區(qū)域之間流轉(zhuǎn) 的數(shù)據(jù)進行深度分析，依據(jù)數(shù)據(jù)包的源地址、目的地址、通信協(xié)議、端口、流量、 用戶、

21、通信時間等信息，進行判斷，確定是否存在非法或違規(guī)的操作，并進行阻 斷，從而有效保障了各個重要的計算環(huán)境；地址轉(zhuǎn)換策略：針對核心的應用服務器區(qū)域，部署的防火墻將采取地址轉(zhuǎn)換 策略，將來自內(nèi)網(wǎng)用戶的直接訪問變?yōu)殚g接訪問，更有效的保護了應用服務器;應用控制策略：在防火墻上執(zhí)行內(nèi)容過濾策略，實現(xiàn)對應用層HTTP、FTP、 TELNET. SMTP、POP3等協(xié)議命令級的控制，從而提供給系統(tǒng)更精準的安全性；會話監(jiān)控策略：在防火墻配置會話監(jiān)控策略，當會話處于非活躍一定時間或 會話結(jié)束后，防火墻自動將會話丟棄，訪問來源必須重新建立會話才能繼續(xù)訪問 資源；會話限制策略：對于二級信息系統(tǒng)，從維護系統(tǒng)可用性的角度

22、必須限制會話 數(shù)，來保障服務的有效性，防火墻可對保護的應用服務器采取會話限制策略，當 服務器接受的連接數(shù)接近或達到閥值時，防火墻自動阻斷其他的訪問連接請求， 避免服務器接到過多的訪問而崩潰；地址綁定策略：對于二級系統(tǒng)，必須采取IP+MAC地址綁定技術(shù)，從而有效 防止地址欺騙攻擊，同時采取地址綁定策略后，還應當在各個二級計算環(huán)境的交 換機上綁定MAC,防止攻擊者私自將終端設備接入二級計算環(huán)境進行破壞；日志審計策略：防火墻詳細記錄了訪問日志，可提供給網(wǎng)絡管理人員進行分 析。WEB入侵防護設計WEB入侵防護部署建議相關單位為了提供便民服務，為了實現(xiàn)各種電子政務應用，必須將一部分原 來在內(nèi)網(wǎng)的數(shù)據(jù)信息

23、面對公網(wǎng)，面對外單位企業(yè)網(wǎng)絡，本方案的商事主體公眾服 務平臺WEB應用服務器部署于DMZ區(qū)域，對公眾公布相關社會大數(shù)據(jù)平臺數(shù)據(jù)治 理。盡管商事主體公眾服務平臺WEB應用服務器已受到防火墻的安全防護，但來 自互聯(lián)網(wǎng)的病毒、木馬、蠕蟲應用層攻擊很容易會沖破防火墻的防線，對WEB應 用服務器帶來威脅，如網(wǎng)頁篡改，SQL注入等等，為提升網(wǎng)絡的安全性能，建議 在互聯(lián)網(wǎng)和電子政務外網(wǎng)WEB應用服務器分別部署一臺硬件WEB防篡改設備，與 防火墻一同構(gòu)筑2-7層立體防護。硬件WEB防篡改設備作用硬件WEB防篡改設備集成入侵防御與檢測、病毒過濾、帶寬管理和URL過濾 等功能，通過深入到7層的分析與檢測，實時阻斷

24、網(wǎng)絡流量中隱藏的病毒、蠕蟲、 木馬、間諜軟件、網(wǎng)頁篡改等攻擊和惡意行為，實現(xiàn)對網(wǎng)絡應用、網(wǎng)絡基礎設施 和網(wǎng)絡性能的全面保護。安全隔離網(wǎng)關設計安全隔離網(wǎng)關部署建議相關部門一般按照國家電子政務建設要求組建自己的電子政務網(wǎng)絡，采用三 級聯(lián)網(wǎng)。相關單位為了提供便民服務，為了實現(xiàn)各種電子政務應用，必須將一部 分原來在內(nèi)網(wǎng)的數(shù)據(jù)信息面對公網(wǎng)，面對上下級單位、面對外單位企業(yè)網(wǎng)絡。相關的政務網(wǎng)一般主要由四部分組成：內(nèi)部運行信息系統(tǒng)的局域網(wǎng)（政務內(nèi)網(wǎng)）上下級互聯(lián)的廣域網(wǎng)（政務專網(wǎng)）市級各部門信息資源共享的政務外網(wǎng)提供信息發(fā)布查詢等社會化服務的國際互聯(lián)網(wǎng)（外網(wǎng)）相關政務內(nèi)外網(wǎng)、上下級互聯(lián)互通涉及數(shù)據(jù)的交換，必然帶

25、來一定的安全風 險。原來利用互連網(wǎng)發(fā)動攻擊的黑客、病毒、下級單位的人員疏忽、惡意試探也 可能利用相關內(nèi)部網(wǎng)絡的數(shù)據(jù)交換的連接嘗試攻擊本單位相關內(nèi)部政務網(wǎng)，影響 到本單位內(nèi)部網(wǎng)的重要數(shù)據(jù)正常運行，所以安全問題變得越來越復雜和突出。相關網(wǎng)絡信息交換的安全原則和要求體現(xiàn)在如下幾個方面：建立統(tǒng)一的安全 隔離平臺，相關政務內(nèi)網(wǎng)的辦公、業(yè)務管理系統(tǒng)通過統(tǒng)一出口實現(xiàn)與外部應用、 單位網(wǎng)間的可信信息交換，統(tǒng)一管理，執(zhí)行統(tǒng)一的安全策略，實現(xiàn)政務內(nèi)網(wǎng)信息 和上下級單位、外部應用網(wǎng)數(shù)據(jù)交換的高度可控性。5. 3. 2安全隔離網(wǎng)關功能性支持為保障網(wǎng)絡的安全隔離，安全隔離網(wǎng)關設備應具備如下特性：高性能的軟硬件處理平臺：

26、采用先進的最新64位多核高性能處理器和高速 存儲器。電信級設備高可靠性：可釆用N： 1虛擬化技術(shù)，將多臺設備虛擬化為一臺 邏輯設備，完成業(yè)務備份同時提高系統(tǒng)整體性能：可采用1： N虛擬化，劃分多 個邏輯的虛擬防火墻，基于容器化的虛擬化技術(shù)使得虛擬系統(tǒng)與實際物理系統(tǒng)特 性一致，并且可以基于虛擬系統(tǒng)進行吞吐、并發(fā)、新建、策略等性能分配。強大的安全防護功能：支持豐富的攻擊防范功能、包過濾和應用層狀態(tài)包過 濾（ASPF）功能，吞吐量不低于20G,并發(fā)鏈接數(shù)不低于2400萬，至少滿足12 個千兆電口，12個千兆光口，4個萬兆接口的接入，實現(xiàn)多個接入?yún)^(qū)域的安全隔 離，提供萬兆防護性能。全面的應用層流量識別

27、與管理：支持精確檢測各種P2P/IM/網(wǎng)絡游戲/炒股/ 網(wǎng)絡視頻/網(wǎng)絡多媒體等應用；支持精確的P2P流量識別，以達到對P2P流量進 行管理的目的，同時可提供不同的控制策略，實現(xiàn)靈活的P2P流量控制。高精度、高效率的入侵檢測引擎?；诰_狀態(tài)的全面檢測引擎，引擎集成 多項檢測技術(shù)，實現(xiàn)基于精確狀態(tài)的全面檢測，具有極高的入侵檢測精度；引擎 采用并行檢測技術(shù)，軟、硬件可靈活適配，大大提高入侵檢測的效率。實時的病毒防護：采用知名防病毒公司的流引擎查毒技術(shù)，迅速、準確查殺 網(wǎng)絡流量中的病毒等惡意代碼。迅捷的URL分類過濾：提供基礎的URL黑白名單 過濾同時，可以配置URL分類過濾服務器在線查詢。IPv6

28、狀態(tài)防火墻：實現(xiàn)真正意義上實現(xiàn)IPv6條件下的防火墻功能，同時完 成IPv6的攻擊防范。集成鏈路負載均衡特性：通過鏈路狀態(tài)檢測、錢路繁忙保護等技術(shù)，有效實 現(xiàn)出口的多鏈路自動均衡和自動切換。集成SSLVPN特性：滿足移動辦公、出差的安全訪問需求，可結(jié)合USB-Key、 短信進行移動用戶的身份認證，與原有認證系統(tǒng)相結(jié)合、實現(xiàn)一體化的認證接入。DLP基礎功能支持：支持郵件過濾，提供SMTP郵件地址、標題、附件和內(nèi)容 過濾；支持網(wǎng)頁過濾，提供HTTPURL和內(nèi)容過濾；支持網(wǎng)絡傳輸協(xié)議的文件過濾； 支持應用層過濾，提供Java/ActiveXBlocking和SQL注入攻擊防范。安全管理方案安全組織體

29、系建設為實現(xiàn)統(tǒng)一領導和分級管理的原則，安全管理必須設立專門的管理機構(gòu)，配 備相應的安全管理人員，并實行第一把手”責任制。系統(tǒng)的安全管理機構(gòu)，將根據(jù)國家的有關信息網(wǎng)絡安全的法規(guī)、方針、政策 等，承擔所屬系統(tǒng)的各項安全管理工作，具體為：1）擬定并組織實施所屬計算機信息系統(tǒng)安全管理的各項規(guī)章制度;2）監(jiān)督、指導所屬計算機信息系統(tǒng)安全保護工作，定期組織檢查計算機信 息系統(tǒng)安全運行情況，及時排除各種安全隱患；3）貫徹國家安全主管部門的規(guī)章制度和要求，組織落實安全技術(shù)措施，保 障計算機信息系統(tǒng)的運行安全；4）組織宣傳計算機信息系統(tǒng)安全方面的法律、法規(guī)和有關政策，開展計算 機信息系統(tǒng)的安全培訓和教育；5）負

30、責聯(lián)系和協(xié)調(diào)所屬計算機信息系統(tǒng)的各項安全工作；6）在結(jié)合現(xiàn)有組織和人員配置情況下，組織結(jié)構(gòu)及崗位職責設置要充分體 現(xiàn)統(tǒng)一領導和分級管理的原則，主要內(nèi)容包括：管理機構(gòu)的建立，管理 機構(gòu)的職能、權(quán)限劃分，人員崗位、數(shù)量、職責定義。安全管理制度建設安全管理制度是保證網(wǎng)絡系統(tǒng)安全的基礎，需要通過一系列規(guī)章制度的實施, 來確保各類人員按照規(guī)定的職責行事，做到各行其職、各負其責，避免責任事故 的發(fā)生和防止惡意的侵犯。安全管理制度包括：安全技術(shù)規(guī)范、人員安全管理制度、設備安全管理制度、 運行安全管理制度、安全操作管理制度、安全等級保護制度、有害數(shù)據(jù)防治管理 制度、敏感數(shù)據(jù)保護制度、安全技術(shù)保障制度、安全計劃

31、管理制度等。安全技術(shù)規(guī)范包括：1、日常操作管理辦法（針對網(wǎng)絡安全管理員）安全事件的分析主要集中在網(wǎng)絡安全管理員，因此日常操作規(guī)范主要是對不 同級別安全管理員的日常工作職責、內(nèi)容、操作流程所做的規(guī)定，從而實現(xiàn)安全 防護的程序化和統(tǒng)一化管理。2、安全策略配置管理辦法根據(jù)安全問題潛在環(huán)境的差異和對環(huán)境關注程度的不同，選擇相應的網(wǎng)絡安 全策略是網(wǎng)絡安全建設非常重要的一步，突出重點、兼顧一般的策略配置能夠降 低風險。3、數(shù)據(jù)備份管理辦法鑒于重要的數(shù)據(jù)文件存在著對文件破壞后難以恢復性的特點，出于對數(shù)據(jù)安 全性、可恢復性的考慮，必須適時的進行數(shù)據(jù)備份，以實現(xiàn)安全防范的目的，同 時能夠提高遭破壞后的數(shù)據(jù)恢復速

32、度。更重要的是對備份數(shù)據(jù)是否存在安全隱患, 確保備份數(shù)據(jù)的真正安全可靠，這是數(shù)據(jù)備份管理規(guī)范區(qū)別于傳統(tǒng)數(shù)據(jù)備份的重 大區(qū)別所在。4、攻擊事件預警管理辦法預警是對岀現(xiàn)攻擊事件的報警，其主要內(nèi)容包括：安全事件報警形式（電子 郵件、LAN即時消息等）、預警結(jié)果傳送渠道、預警結(jié)果的處理。5、日志管理辦法（針對網(wǎng)絡安全管理員）日志是軟件對安全防護系統(tǒng)工作運行結(jié)果進行的記錄，是管理員進行統(tǒng)計分 析和發(fā)現(xiàn)問題的一種方式。其主要內(nèi)容包括：日志生成、統(tǒng)計分析、重要情況通 報。6、定期報告辦法把安全事件等情況向相關領導逐級進行定期或不定期的總結(jié)統(tǒng)計匯報，為領 導決策提供依據(jù)。其主要內(nèi)容包括：報告形式、報告對象、報

33、告程序及頻率、報 告內(nèi)容。信息安全管理原則1、多人負責原則每一項與安全有關的活動，都必須有兩人或多人在場。這些人應是系統(tǒng)主管 領導指派的，他們忠誠可靠，能勝任此項工作；他們應該簽署工作情況記錄以證 明安全工作已得到保障。以下各項是與安全有關的活動：（1）信息處理系統(tǒng)使用的媒介發(fā)放與回收;（2）處理保密信息；（3）硬件和軟件的維護；（4）系統(tǒng)軟件的設計、實現(xiàn)和修改；（5）重要程序和數(shù)據(jù)的刪除和銷毀等。2、任期有限原則一般地講，任何人最好不要長期擔任與安全有關的職務，以免使他認為這個 職務是專有的或永久性的。為遵循任期有限原則，工作人員應不定期地循環(huán)任職, 強制實行休假制度，并規(guī)定對工作人員進行輪流培訓，以使任期有限制度切實可 行。3、職責分離原則在信息處理系統(tǒng)工作的人員不要打聽、了解或參與職責以外的任何與安全有 關的事情，除非系統(tǒng)主管領導批準。出于對安全的考慮，下面每組內(nèi)的兩項信息處理工作應當分開。（1）敏感資料的接收和傳送；（2）安全管理和系統(tǒng)管理；（3）應用程序和系統(tǒng)程序的編制；（4）計算機操作與信息處理系統(tǒng)使用媒介的保管等。安全教育和培訓為了將安全