信息安全管理系統(tǒng)建設實施方案

1、.XXX有限公司信息安全管理系統(tǒng)建設方案天津市國瑞數碼安全系統(tǒng)有限公司二一三年八月.目錄 TOC o 1-4 h z u HYPERLINK l _Toc3502451651項目背景和必要性 PAGEREF _Toc350245165 h 3HYPERLINK l _Toc3502451662系統(tǒng)現狀和需求分析 PAGEREF _Toc350245166 h 4HYPERLINK l _Toc3502451673建設方案 PAGEREF _Toc350245167 h 5HYPERLINK l _Toc3502451683.1建設原則 PAGEREF _Toc350245168 h 5HYPE

2、RLINK l _Toc3502451693.2系統(tǒng)設計 PAGEREF _Toc350245169 h 6HYPERLINK l _Toc350245170系統(tǒng)總體邏輯架構 PAGEREF _Toc350245170 h 6HYPERLINK l _Toc350245171IDC信息安全管理系統(tǒng)架構 PAGEREF _Toc350245171 h 9HYPERLINK l _Toc350245172系統(tǒng)部署及網絡拓撲 PAGEREF _Toc350245172 h 10HYPERLINK l _Toc350245173總體網絡部署 PAGEREF _Toc350245173 h 10HYPE

3、RLINK l _Toc350245174系統(tǒng)管理端部署 PAGEREF _Toc350245174 h 12HYPERLINK l _Toc350245175執(zhí)行單元EU部署 PAGEREF _Toc350245175 h 13HYPERLINK l _Toc350245176項目實施所需資源 PAGEREF _Toc350245176 h 14HYPERLINK l _Toc3502451773.3建設內容 PAGEREF _Toc350245177 h 16HYPERLINK l _Toc350245178ICP/IP地址備案管理系統(tǒng) PAGEREF _Toc350245178 h 16

4、HYPERLINK l _Toc350245179待辦事宜 PAGEREF _Toc350245179 h 16HYPERLINK l _Toc350245180ICP備案管理 PAGEREF _Toc350245180 h 17HYPERLINK l _Toc350245181IP備案管理 PAGEREF _Toc350245181 h 18HYPERLINK l _Toc350245182未備案網站管理 PAGEREF _Toc350245182 h 19HYPERLINK l _Toc350245183黑名單管理 PAGEREF _Toc350245183 h 19HYPERLINK l

5、 _Toc350245184數據導入導出 PAGEREF _Toc350245184 h 19HYPERLINK l _Toc350245185用戶授權管理 PAGEREF _Toc350245185 h 19HYPERLINK l _Toc350245186系統(tǒng)管理 PAGEREF _Toc350245186 h 20HYPERLINK l _Toc350245187IDC信息安全管理系統(tǒng) PAGEREF _Toc350245187 h 20HYPERLINK l _Toc350245188基礎數據上報 PAGEREF _Toc350245188 h 20HYPERLINK l _Toc35

6、0245189基礎數據監(jiān)測 PAGEREF _Toc350245189 h 20HYPERLINK l _Toc350245190訪問日志管理 PAGEREF _Toc350245190 h 21HYPERLINK l _Toc350245191違規(guī)網站管理 PAGEREF _Toc350245191 h 21HYPERLINK l _Toc350245192信息監(jiān)測發(fā)現 PAGEREF _Toc350245192 h 21HYPERLINK l _Toc350245193綜合管控管理 PAGEREF _Toc350245193 h 21HYPERLINK l _Toc350245194管局指

7、令管理 PAGEREF _Toc350245194 h 22HYPERLINK l _Toc3502451953統(tǒng)計查詢管理 PAGEREF _Toc350245195 h 22HYPERLINK l _Toc350245196用戶授權管理 PAGEREF _Toc350245196 h 22HYPERLINK l _Toc350245197系統(tǒng)管理 PAGEREF _Toc350245197 h 23HYPERLINK l _Toc350245198接入資源管理系統(tǒng) PAGEREF _Toc350245198 h 23HYPERLINK l _Toc350245199物理資源管理 PAGER

8、EF _Toc350245199 h 23HYPERLINK l _Toc350245200邏輯資源管理 PAGEREF _Toc350245200 h 23HYPERLINK l _Toc350245201客戶信息管理 PAGEREF _Toc350245201 h 23HYPERLINK l _Toc350245202資源間的關聯(lián) PAGEREF _Toc350245202 h 24HYPERLINK l _Toc350245203資源信息統(tǒng)計 PAGEREF _Toc350245203 h 24HYPERLINK l _Toc350245204日志管理 PAGEREF _Toc35024

9、5204 h 24HYPERLINK l _Toc350245205用戶授權管理 PAGEREF _Toc350245205 h 25HYPERLINK l _Toc350245206系統(tǒng)管理 PAGEREF _Toc350245206 h 25HYPERLINK l _Toc3502452073.4與省管局備案系統(tǒng)的集成方案 PAGEREF _Toc350245207 h 25HYPERLINK l _Toc3502452083.5與SMMS系統(tǒng)的對接方案 PAGEREF _Toc350245208 h 25HYPERLINK l _Toc3502452093.6與電信業(yè)務市場綜合管理系統(tǒng)的

10、對接方案 PAGEREF _Toc350245209 h 26HYPERLINK l _Toc3502452103.7安全可靠性設計 PAGEREF _Toc350245210 h 26HYPERLINK l _Toc350245211系統(tǒng)安全概述 PAGEREF _Toc350245211 h 26HYPERLINK l _Toc350245212系統(tǒng)安全概述 PAGEREF _Toc350245212 h 26HYPERLINK l _Toc350245213安全設計目標 PAGEREF _Toc350245213 h 26HYPERLINK l _Toc350245214系統(tǒng)安全體系架構

11、 PAGEREF _Toc350245214 h 27HYPERLINK l _Toc350245215安全防護 PAGEREF _Toc350245215 h 28HYPERLINK l _Toc350245216物理安全 PAGEREF _Toc350245216 h 28HYPERLINK l _Toc350245217網絡安全 PAGEREF _Toc350245217 h 28HYPERLINK l _Toc350245218操作系統(tǒng)安全 PAGEREF _Toc350245218 h 30HYPERLINK l _Toc350245219用戶認證與授權 PAGEREF _Toc35

12、0245219 h 30HYPERLINK l _Toc350245220通信安全 PAGEREF _Toc350245220 h 30HYPERLINK l _Toc350245221數據存儲安全 PAGEREF _Toc350245221 h 31HYPERLINK l _Toc350245222可審計性 PAGEREF _Toc350245222 h 31HYPERLINK l _Toc350245223設備冗余 PAGEREF _Toc350245223 h 31HYPERLINK l _Toc350245224災難備份 PAGEREF _Toc350245224 h 31HYPERL

13、INK l _Toc350245225安全管理 PAGEREF _Toc350245225 h 32HYPERLINK l _Toc3502452264預期工期 PAGEREF _Toc350245226 h 34HYPERLINK l _Toc3502452275軟硬件清單 PAGEREF _Toc350245227 h 35.項目背景和必要性近年來,國家不斷加大對互聯(lián)網的監(jiān)管和治理工作。中央針對加強互聯(lián)網管理工作,先后下發(fā)了中辦發(fā)200432號、中辦發(fā)201024號,中發(fā)201111號、工信部電管2009672號、工信部電管2009188號、工信部通保2011280號等,明確職責分工、強化

14、互聯(lián)網管理要求。20XX,中央在關于加強和創(chuàng)新社會管理的意見中發(fā)201111號中明確要求加強網絡技術手段和管理力量建設,完善網上有害信息的監(jiān)測和查處機制,提高發(fā)現和處置能力。20XX11月,工信部發(fā)布了關于進一步規(guī)范因特網數據中心IDC業(yè)務和因特網接入服務ISP業(yè)務市場準入工作的實施方案工信部電管函2012552號,以下簡稱實施方案。實施方案要求：申請IDC和ISP業(yè)務的企業(yè),應建設獨立并具有以下功能的IDC和ISP企業(yè)資源和業(yè)務管理系統(tǒng)：建設企業(yè)端互聯(lián)網網站備案管理系統(tǒng),記錄并及時變更所接入網站的主體信息、聯(lián)系方式和接入信息等,并實現與部、省網站備案管理系統(tǒng)的連接。建設企業(yè)接入資源管理平臺,

15、記錄接入資源的分配、使用、出租、轉讓等信息,對接入資源異常使用實行日常發(fā)現、分析和處置,并實現與部電信業(yè)務市場綜合管理系統(tǒng)的連接。按照互聯(lián)網數據中心和互聯(lián)網接入服務信息安全管理系統(tǒng)技術要求和互聯(lián)網數據中心和互聯(lián)網接入服務信息安全管理系統(tǒng)接口規(guī)范等標準要求,建設IDC和ISP信息安全技術管理手段,具備基礎數據管理、訪問日志管理、違法違規(guī)網站及違法信息發(fā)現處置等技術能力。xxxx作為申請IDC業(yè)務許可的企業(yè),須落實國家關于互聯(lián)網管理的有關要求,對企業(yè)網絡信息安全保障依法實施監(jiān)督管理,盡快建立相關系統(tǒng),維護互聯(lián)網網絡信息安全。系統(tǒng)現狀和需求分析目前,xxxxxx主要提供互聯(lián)網云平臺服務,尚沒有建設實

16、施方案中要求的3套業(yè)務管理系統(tǒng)。xxxxxx擁有IDC機房有5個 ,現狀如下：XX聯(lián)通信息中心機房：機房出入口總帶寬是為1G。XX電信十分局機房：機房出入口總帶寬是為1G。北京APNIC兆維機房：機房出入口總帶寬是為1G。XX電信西信機房：機房出入口總帶寬是為1G。XX電信七星崗機房：機房出入口總帶寬是為1G。根據建設需求,本期項目需要建設實施方案中要求的3套業(yè)務管理系統(tǒng),并全覆蓋技術管控IDC機房的2G帶寬。建設方案建設原則根據國家相關規(guī)范和項目建設需求,在本項目建設中,遵循如下建設原則：利舊性本項目建設充分考慮了對現有應用系統(tǒng)的影響,通過模塊化設計,內部功能高度集中,外部各模塊低關聯(lián),保證

17、現有應用系統(tǒng)改動最小,并最大程度的利用已有系統(tǒng)。先進性本項目建設中充分考慮實用和技術發(fā)展的趨勢,平臺服務器采用LINUX操作系統(tǒng),平臺服務器上的軟件采用JAVA技術開發(fā),整體開發(fā)架構合理先進,即保證了前端管理方便快速的需求,又能夠使后臺服務更穩(wěn)定、具有更高的性能。系統(tǒng)建設選擇的網絡設備、服務器設備、數據庫、操作系統(tǒng)以及Web應用服務器都采用目前業(yè)界主流的產品和技術。開放性本項目的開放性表現在互操作能力方面,項目建設應支持相關的國家和國際標準,支持多種平臺和應用。安全可靠性本項目系統(tǒng)對系統(tǒng)的安全性、可靠性具有很高的要求。系統(tǒng)數據庫中的敏感信息,網絡中傳輸的備案信息、網站信息等數據,均需要進行安全

18、保護。系統(tǒng)的設計開發(fā)充分利用認證技術、加密技術對數據進行防護,并使用訪問控制手段對外部訪問進行限制,最大程度上確保系統(tǒng)的安全性。同時,系統(tǒng)必須要建立完善的數據備份、系統(tǒng)備案與恢復機制,保證整個系統(tǒng)可用性和可靠性。標準化系統(tǒng)的運行支持標準的操作系統(tǒng)和服務器硬件環(huán)境,系統(tǒng)支持標準的密碼算法、認證算法和數據壓縮算法,支持標準的XML文件格式定義。本項目整體JAVA語言開發(fā),通信協(xié)議采用標準的TCP/IP?？蓴U展性考慮到系統(tǒng)將來的變化,系統(tǒng)應具有良好的擴展性。第一,在體系結構上應具有可伸縮性,以適應擴大業(yè)務范圍和增加多種應用的需要,特別是系統(tǒng)硬件和軟件應采用模塊化的可擴展結構。第二,模塊之間和本系統(tǒng)與

19、外部系統(tǒng)之間通過標準接口交互。本項目系統(tǒng)的設計,關鍵服務如Web服務、數據庫服務等,均可實現在線增加服務器,以提供更大的服務能力；系統(tǒng)提供的數據壓縮、數據加密和消息認證等算法均可進行擴展,以增加更好的算法支持；系統(tǒng)定義的數據傳輸格式,使用XML文件,可以方便進行業(yè)務增減而無須改變通信程序。兼容性本系統(tǒng)必須兼容現有系統(tǒng)原有的必備功能及業(yè)務數據,并制定有效的系統(tǒng)整合策略。易操作性系統(tǒng)必須堅持易操作性原則,簡單、易用,高效、快捷,用戶不需要了解其中的具體技術細節(jié),通過系統(tǒng)提供的WEB管理界面就能實現其管理功能?？删S護性系統(tǒng)應具備良好的可維護性。系統(tǒng)的軟、硬件系統(tǒng)都具有良好的模塊化結構,保證系統(tǒng)設計的

20、合理性,配置相關的管理手段。合法性選用的產品符合國家的相關法律、法規(guī)。系統(tǒng)設計系統(tǒng)總體邏輯架構整個系統(tǒng)建設從邏輯功能上來講,自上而下劃分為四個層次：展現層、業(yè)務層、數據層、接口層等構成,其邏輯結構如下圖所示。圖：xxxxx互聯(lián)網云平臺綜合監(jiān)管系統(tǒng)的邏輯結構如上圖所示,系統(tǒng)由展現層、服務層、數據層、接口層等構成。展現層展現層是用戶進行策略配置、結果查詢、數據報備、安全管控、數據統(tǒng)計分析和導出等操作的管理維護界面。系統(tǒng)用戶都通過展現層進行業(yè)務操作。業(yè)務層業(yè)務層為展現層提供網站備案管理、接入資源管理、信息安全管理等的業(yè)務集合。業(yè)務層是連接展現層和數據層的紐帶,通過業(yè)務層實現策略的下發(fā)、報備和發(fā)現的基

21、礎資源信息入庫、綜合管控信息入庫、同步的數據入庫等。數據層數據層主要功能用來保存系統(tǒng)中的相關數據,具體包括：接入商數據機房、服務器、互聯(lián)網出入口等資源數據ICP數據IP數據基礎資源監(jiān)測數據信息監(jiān)測數據訪問日志數據管控數據用戶信息數據用戶權限數據管理策略數據系統(tǒng)配置數據接口層接口層主要功能是實現與外部系統(tǒng)的接口。具體包括：與省管局安全監(jiān)管中心SMMS的接口與省管局ICP/IP地址備案管理系統(tǒng)的接口與工信部電信業(yè)務市場綜合管理系統(tǒng)的接口與平臺用戶的接口根據系統(tǒng)的不同類型集成的方式可能不同,接口的表現形式也不一樣,這里的接口只是邏輯上的接口。例如,與平臺用戶的接口僅僅是用戶與系統(tǒng)的人機界面接口,而不

22、需要有單獨的接口。IDC信息安全管理系統(tǒng)架構IDC信息安全管理系統(tǒng)Information Security Management System,簡稱ISMS包括控制單元Control Unit,簡稱CU和執(zhí)行單元Execution Unit,簡稱EU兩個部分。CU負責與監(jiān)管機構建設的安全監(jiān)管系統(tǒng)SMMS進行通信,接收來自SMMS的管理指令,并根據要求向SMMS上報數據,同時CU將管理指令分發(fā)給EU執(zhí)行,并接收EU對指令的執(zhí)行結果和日志記錄,實現對本單位各執(zhí)行點的EU進行集中管理,完成管理指令的調度、轉發(fā)和執(zhí)行及數據的匯總、分析和預警。EU捕獲網絡數據,識別數據包采用的網絡協(xié)議,對所監(jiān)測線路主機

23、的應用服務、網絡代理服務、網站域名、用戶上網信息等進行發(fā)現并及時上報CU,并響應CU的指令,協(xié)議阻斷違規(guī)網站/網頁,使網站喪失服務功能。ISMS的控制單元與執(zhí)行單元之間、以及ISMS與SMMS之間的關系如下圖所示：圖 ISMS與SMMS之間的關系系統(tǒng)部署及網絡拓撲總體網絡部署本項目系統(tǒng)的部署包括兩個部分：一是部署系統(tǒng)管理端包括ICP/IP備案管理、控制單元CU和接入資源管理相關配套設備,二是在IDC機房部署執(zhí)行單元EU配套設備。系統(tǒng)管理端和EU通過內網加密通信。系統(tǒng)管理端部署圖：系統(tǒng)管理端部署網絡拓撲圖項目系統(tǒng)管理端包括ICP/IP備案管理、控制單元CU和接入資源管理的配套設備包括：信息填報服

24、務器可選、分析處理/接口服務器、管理服務器、數據庫服務器、磁盤陣列、交換機、防火墻等。根據保護對象、防護措施、安全策略以及網絡應用需求等方面存在的差異,系統(tǒng)部署包括三個安全區(qū)：外網DMZ區(qū)、內網業(yè)務區(qū)、內網數據區(qū)。為了保證系統(tǒng)的安全和高效的數據傳輸效率,三個區(qū)的服務器均通過VLAN或防火墻進行邏輯隔離。只有外網DMZ區(qū)允許來自互聯(lián)網的數據交互,其他兩個區(qū)不允許從互聯(lián)網進行訪問,且只允許外網DMZ區(qū)內的相關服務來讀取數據。不同安全區(qū)的用戶/服務器用戶進行通信都要嚴格限制訪問的類型、端口、IP地址。系統(tǒng)通過互聯(lián)網與通信管理局側SMMS系統(tǒng)進行連接,通過內網與EUIDC管控設備進行連接。外網DMZ區(qū)

25、外網DMZ區(qū)的主要功能是向省管局側系統(tǒng)上報的數據,并提供數據采集和分析處理服務。外網DMZ區(qū)包括：信息填報服務器可選、分析處理/接口服務器1臺。分析處理/接口服務器上主要部署與外部系統(tǒng)通信的接入服務和數據采集/預處理服務。信息填報服務器是可選服務器,主要提供ICP備案數據及基礎數據填報服務,滿足網站主辦者自行報備網站備案信息的需要和IDC/ISP互聯(lián)網填報基礎數據的需要,用戶可根據需要選擇配備。內網業(yè)務區(qū)內網業(yè)務區(qū)的主要功能是系統(tǒng)臺提供用戶管理、授權管理、應用服務、審計等基礎業(yè)務的支撐和服務。內網業(yè)務區(qū)包括：管理服務器1臺。管理服務器上主要部署ICP/IP備案管理系統(tǒng)的Web應用服務、接入資源

26、管理系統(tǒng)的Web應用服務和IDC信息安全管理系統(tǒng)的Web應用服務。內網數據區(qū)內網數據區(qū)的主要功能是匯集系統(tǒng)全部數據和文件,進行分析處理、存儲,并提供數據支撐服務。內網數據區(qū)包括：數據庫服務器1臺、磁盤陣列1臺。數據庫服務器及磁盤陣列采用Raid技術,充分保證數據存儲的安全可靠。數據庫服務器上主要部署ICP/IP備案管理系統(tǒng)的數據庫、接入資源管理系統(tǒng)的數據庫和IDC信息安全管理系統(tǒng)的數據庫。注：本案中的防火墻需要做NAT,使外網DMZ交換機上連接的2臺服務器能夠連接互聯(lián)網。執(zhí)行單元EU部署執(zhí)行單元EU配套設備包括： 5臺探針執(zhí)行單元的部署方式為：在機房出入口,對IDC機房核心交換/核心路由器的上

27、聯(lián)鏈路進行雙向流量分光,然后通過端口鏡像的方式流量分入探針EU。探針EU監(jiān)控網絡流量,實時監(jiān)測監(jiān)控網絡數據信息并將發(fā)現的有關信息通過互聯(lián)網加密上報到控制單元CU,控制單元CU匯集各機房上報的網絡信息并進行統(tǒng)一管理。實時監(jiān)測用戶的訪問請求,記錄訪問日志,并依據當前的策略協(xié)議阻斷違規(guī)網站/網頁,使其喪失服務功能。圖 執(zhí)行單元EU部署網絡拓撲圖建設內容根據需求分析,為達到相關管理部門的管理要求,本期項目的建設內容如下：在業(yè)務系統(tǒng)方面,新建ICP/IP地址備案管理系統(tǒng),記錄并及時變更所接入網站的主體信息、聯(lián)系方式和接入信息等。新建IDC信息安全管理系統(tǒng)ISMS,覆蓋監(jiān)管xxxxx上海IDC機房共20G

28、帶寬,具備基礎數據管理、訪問日志管理、違法違規(guī)網站及違法信息發(fā)現處置等技術能力；新建接入資源管理系統(tǒng),記錄接入資源的分配、使用、出租、轉讓等信息,對接入資源異常使用實行日常發(fā)現、分析和處置。在系統(tǒng)集成方面,實現ICP/IP地址備案管理系統(tǒng)與部省網站備案管理系統(tǒng)的連接；實現接入資源管理系統(tǒng)與部電信業(yè)務市場綜合管理系統(tǒng)的連接；實現IDC信息安全管理系統(tǒng)與通信管理局SMMS的對接。在相應配套設施方面,建設防火墻、管理服務器、分析處理/接口服務器、數據庫服務器、磁盤陣列、交換機、EU探針等硬件設備。ICP/IP地址備案管理系統(tǒng)待辦事宜對登錄系統(tǒng)的當前賬號,顯示其待辦的相關事項在首頁。ICP備案管理為接

29、入服務提供者ICP報備單位提供ICP備案的錄入、核實、審批、變更、注銷、退回處理、黑名單、未備案網站、核查結果、查詢、統(tǒng)計等管理功能。 為接入商提供接入的用戶,即網站主辦者,提供ICP備案的自行錄入、注銷、進度查詢、個人信息維護等管理功能,幫助網站主辦者在企業(yè)系統(tǒng)完成備案。 支持接入商內部多級報備管理,實現ICP報備實時動態(tài)更新,確保ICP報備信息的準確性。主體備案管理主體信息的備案信息添加、修改、刪除的管理。網站備案管理網站信息的備案信息添加、修改、刪除的管理。接入備案管理接入信息的備案信息添加、修改、刪除的管理。退回處理管理對于審核不通過的信息進行便捷的再處理提交的數據管理功能。備案內審管

30、理對于ICP信息的層級審核,內部回退,審批的管理功能。公共備案查詢可在系統(tǒng)內部對公共查詢進行集中調用,可進行批量查詢功能。備案數據分配對于現有存量數據,可進行對已建賬號的綁定,分配。備案數據回收對于由于操作失誤導致的錯誤數據分配功能,進行數據定向回收。IP備案管理為接入服務提供者IP報備單位提供IP地址來源、IP地址分配及使用信息、IP地址廣播信息、自帶IP地址信息、IP地址信息等的錄入、修改、刪除、分配、內部審核、退回處理、查詢、統(tǒng)計等管理功能。支持接入商內部多級報備管理,實現IP報備實時動態(tài)更新,確保IP報備信息的準確性。來源信息管理對于IP的來源信息進行錄入、變更及注銷等操作。分配信息管

31、理對IP新的自用、已分配、再分配等多種數據信息狀態(tài)進行新增、修改、刪除等信息的管理。廣播信息管理對廣播數據進行添加、修改、刪除的信息操作。大段資源管理可對大段資源的信息進行集中分配管理?？捎觅Y源管理可對于沒有分配出去的資源進行可用資源查看并進行分配操作的管理功能。分配信息審核對于不同級別或者用戶組提交的報備信息進行審核的管理操作,實現內部多級管理。未備案網站管理對于省管局系統(tǒng)下發(fā)的未備案網站名單進行信息顯示的管理功能。黑名單管理對省管局系統(tǒng)下發(fā)的黑名單進行信息顯示管理功能。數據導入導出可對ICP/IP地址等基礎錄入數據進行批量導入,免去每條數據都需要手動填寫的麻煩?？蓪崿F對于系統(tǒng)內的常用數據進

32、行導出。用戶授權管理實現系統(tǒng)用戶的統(tǒng)一身份認證、集中用戶管理、資源的統(tǒng)一管理以及集中授權管理和集中審計管理。系統(tǒng)中不同功能單元的操作和使用權限可通過權限功能予以授權和劃分,同時在同一功能單元中可對不同的使用者授權不同的管理和操作權限。未經授權的用戶不得使用本系統(tǒng)的相應功能。系統(tǒng)管理為了保障系統(tǒng)正常、穩(wěn)定、有效、安全地運行,系統(tǒng)提供本身的集中配置管理,包括：系統(tǒng)基本設置、通信參數配置、系統(tǒng)日志等,并對系統(tǒng)、服務程序的運行狀態(tài)進行實時監(jiān)控。IDC信息安全管理系統(tǒng)IDC信息安全管理系統(tǒng)主要實現基礎數據管理、訪問日志管理、信息安全管理、違法網站管理等功能,以滿足IDC/ISP經營單位自身的信息安全監(jiān)管

33、需求和監(jiān)管機構的監(jiān)管需求。其主要功能如下：基礎數據上報實現基礎數據的集中管理,包括基礎數據導入、添加、刪除/修改和上報等?；A數據包括：IDC/ISP經營單位信息、機房和IDC/ISP用戶數據?；A數據更新后增量上報,將含修改內容的記錄上報給SMMS,SMMS可對基礎數據進行查詢?；A數據監(jiān)測系統(tǒng)能夠對機房內網絡協(xié)議、網站、應用服務、IP地址等進行采集、監(jiān)測,并對機房內的應用服務訪問量進行統(tǒng)計。此外,系統(tǒng)對機房內的IP使用方式進行監(jiān)測,能夠實時發(fā)現未報備IP地址接入、發(fā)現實際使用情況與報備不符的IP。對發(fā)現異常的IP地址記錄：IP、登記使用方式、登記域名、異常類型使用方式或登記域名異常、實際使

34、用方式、實際域名、發(fā)現時間等監(jiān)測信息。采集、監(jiān)測及統(tǒng)計信息及時上報,并供SMMS查詢。訪問日志管理系統(tǒng)對IDC/ISP的上行流量數據進行監(jiān)測,并記錄和統(tǒng)計訪問信息,形成訪問日志,并供SMMS查詢,以便事后IDC機房的用戶行為審計分析。訪問日志至少包括源/目的IP,源/目的端口、訪問時間,屬于HTTP協(xié)議的留存URL。訪問日志查詢、統(tǒng)計支持時間、IP及URL等組合查詢、統(tǒng)計條件。訪問日志留存時間要求滿足互聯(lián)網信息服務管理辦法。違規(guī)網站管理系統(tǒng)提供違法違規(guī)網站的發(fā)現、處置及上報功能,并記錄違法違規(guī)網站的域名、IP、服務內容、違法違規(guī)類型以及當前狀態(tài)已處置或未處置、處置人賬號、處置時間,定時上報給S

35、MMS,并供SMMS查詢。信息監(jiān)測發(fā)現系統(tǒng)能夠根據監(jiān)測指令對IDC/ISP的雙向流量數據進行監(jiān)測,對發(fā)現的違法信息進行記錄,形成監(jiān)測日志,并及時上報給SMMS。支持根據IP地址、域名、URL地址、違法關鍵詞等條件設置監(jiān)測規(guī)則。監(jiān)測日志記錄包括源/目的IP,源/目的端口、違法信息、采集時間以及觸發(fā)監(jiān)測動作的監(jiān)測指令標識,對HTTP協(xié)議還記錄URL,存在代理行為的記錄代理類型、代理IP。對于監(jiān)測發(fā)現的服務器及網絡中的不良信息,除監(jiān)測日志信息外,留存相關內容數據的鏡像,并以醒目方式標識不良信息。綜合管控管理系統(tǒng)根據過濾指令對IDC/ISP的雙向流量數據進行監(jiān)測,對發(fā)現的違法信息進行過濾處置,并進行記

36、錄,形成過濾日志,及時上報給SMMS。支持根據IP地址、域名、URL地址、關鍵詞等條件設置過濾規(guī)則。杜絕未備案先接入、黑名單網站再次接入,有效落實先備案后接入、誰經營,誰負責的原則。已隔離的未備案網站,一經備案自動解除隔離。過濾日志記錄包括源/目的IP,源/目的端口、違法信息、采集時間以及觸發(fā)過濾動作的過濾指令標識,對HTTP協(xié)議還記錄URL,存在代理行為的記錄代理類型、代理IP。系統(tǒng)還提供黑白名單管理功能,用戶可針對IP地址、域名等設置白名單,系統(tǒng)對匹配白名單規(guī)則的數據不進行監(jiān)測、過濾。用戶可針對域名、IP地址、URL等用戶可設置黑名單,匹配命中的數據均被根據策略處置阻斷、通知等。管局指令管

37、理系統(tǒng)對省管局SMMS下發(fā)至本企業(yè)的各種指令,包括：管理指令、查詢指令、更新指令和基礎數據指令,提供指令同步、查詢、查看、下發(fā),以及指令執(zhí)行狀態(tài)和結果的查詢等管理功能。統(tǒng)計查詢管理對基礎資源數據、信息監(jiān)測數據、違法違規(guī)網站信息、訪問日志信息、過濾處置信息等,支持按照日、月、季、年等周期提供多種數據分析報告。統(tǒng)計報表的顯示形式可為數據列表、餅狀圖、柱狀圖或曲線圖等形式靈活顯示。用戶授權管理實現系統(tǒng)用戶的統(tǒng)一身份認證、集中用戶管理、資源的統(tǒng)一管理以及集中授權管理和集中審計管理。系統(tǒng)中不同功能單元的操作和使用權限可通過權限功能予以授權和劃分,同時在同一功能單元中可對不同的使用者授權不同的管理和操作權

38、限。未經授權的用戶不得使用本系統(tǒng)的相應功能。系統(tǒng)管理為了保障系統(tǒng)正常、穩(wěn)定、有效、安全地運行,系統(tǒng)提供本身的集中配置管理,包括：系統(tǒng)基本設置、通信參數配置、執(zhí)行單元管理、系統(tǒng)日志等,并對系統(tǒng)、服務程序的運行狀態(tài)進行實時監(jiān)控。接入資源管理系統(tǒng)物理資源管理實現物理資源的報備和管理。物理資源包括：機房、機架柜、網絡設備、主機服務器。支持對物理資源信息進行新增、刪除、修改、查看等操作,具體如下：a 對機房信息進行新增、刪除、修改和查看等操作。b 對機架柜進行新增、刪除、修改、查看、預留和取消預留等操作。d 對網絡設備進行新增、刪除、修改、查看、上架和下架等操作。d 對機架柜上的主機服務器進行新增、刪除

39、、修改、查看、上架和下架等操作。邏輯資源管理實現對邏輯資源的報備和管理,包括：a 對IP地址段進行新增、刪除、修改、查看、預留和分配等操作?？蛻粜畔⒐芾硐到y(tǒng)可以對客戶信息進行登記、注銷、修改和查看等操作；或者通過其他方式例如從企業(yè)已有的客戶管理系統(tǒng)獲取對客戶信息的登記、注銷、修改等操作結果,并可查看客戶信息的內容。資源間的關聯(lián)系統(tǒng)可以根據業(yè)務出租、業(yè)務續(xù)租、業(yè)務變更、業(yè)務轉讓、業(yè)務退租等不同的業(yè)務狀態(tài),建立、變更、解除物理資源、邏輯資源和客戶信息三者間的關聯(lián)關系,從而反映接入資源的使用情況。資源信息統(tǒng)計對基礎資源數據支持按照日、月、季、年等周期和條件,提供多種數據分析報告。包括：a 統(tǒng)計本企業(yè)

40、的IDC機房數量、機房建筑面積、每個機房的機架柜總數、每個機房的機架柜使用數、機房所在城市及相關信息；b 統(tǒng)計本企業(yè)的IP地址總數、IP地址使用數、虛擬主機數量及相關信息；c 統(tǒng)計本企業(yè)的ICP用戶數量、ISP用戶數量、IDC用戶數量、專線用戶數量、其他用戶數量及相關信息等。統(tǒng)計報表的顯示形式可為數據列表、餅狀圖、柱狀圖或曲線圖等形式靈活顯示。日志管理系統(tǒng)提供完備的日志管理功能,包括資源分配日志,異常處理日志,系統(tǒng)日志等。并且提供對日志的查詢、統(tǒng)計和維護功能。查詢到的日志能夠輸出到文件中進行保存。資源分配日志資源分配日志記錄資源的日常分配,做到所有資源的可追溯性,可以查詢到所有接入資源的使用情

41、況。異常處理日志異常處理以日志的方式進行管理。系統(tǒng)日志系統(tǒng)日志記錄系統(tǒng)用戶的所有對資源的增、刪、改及訪問操作,同時還提供系統(tǒng)自身運行情況日志,可以方便的追溯到每個用戶的操作記錄。用戶授權管理實現系統(tǒng)用戶的統(tǒng)一身份認證、集中用戶管理、資源的統(tǒng)一管理以及集中授權管理和集中審計管理。系統(tǒng)中不同功能單元的操作和使用權限可通過權限功能予以授權和劃分,同時在同一功能單元中可對不同的使用者授權不同的管理和操作權限。未經授權的用戶不得使用本系統(tǒng)的相應功能。系統(tǒng)管理為了保障系統(tǒng)正常、穩(wěn)定、有效、安全地運行,系統(tǒng)提供本身的集中配置管理,包括：系統(tǒng)基本設置、通信參數配置等,并對系統(tǒng)、服務程序的運行狀態(tài)進行實時監(jiān)控。

42、與省管局備案系統(tǒng)的集成方案根據工業(yè)和信息化部ICP/IP地址/域名信息備案管理系統(tǒng)企業(yè)系統(tǒng)接口規(guī)范,實現本項目系統(tǒng)與省管局側備案管理系統(tǒng)的對接。與SMMS系統(tǒng)的對接方案根據互聯(lián)網數據中心和互聯(lián)網接入服務信息安全管理系統(tǒng)接口規(guī)范,實現本項目系統(tǒng)與省管局側的SMMS的對接。與電信業(yè)務市場綜合管理系統(tǒng)的對接方案根據部電信業(yè)務市場綜合管理信息系統(tǒng)與企業(yè)資源管理平臺間接口規(guī)范,實現本項目系統(tǒng)與部電信業(yè)務市場綜合管理信息系統(tǒng)的對接。安全可靠性設計系統(tǒng)安全概述系統(tǒng)安全概述本項目系統(tǒng)中傳輸著管控指令、監(jiān)測數據、訪問日志等敏感信息,因此,系統(tǒng)的總體安全性十分重要?；ヂ?lián)網云平臺綜合監(jiān)管系統(tǒng)安全主要由四個方面組成：

43、即物理安全、網絡安全、信息安全、安全管理。1物理安全是保護計算機網絡設備、設施以及其它媒體免遭地震、水災、火災等環(huán)境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導致的破壞過程。它主要包括：環(huán)境安全、設備安全、媒體安全等三個方面。2網絡安全：系統(tǒng)主機、服務器安全、防病毒、系統(tǒng)安全檢測、入侵檢測監(jiān)控、審計分析、網絡運行安全、備份與恢復應急、局域網、子網安全訪問控制防火墻、網絡安全檢測等。3信息安全主要涉及到信息傳輸的安全、信息存儲的安全以及對網絡傳輸信息內容的審計三個方面。4安全管理包含人員的管理、安全管理制度制定,安全教育培訓等。 安全設計目標互聯(lián)網云平臺監(jiān)管項目系統(tǒng)安全系統(tǒng)建設應在物理安全、

44、網絡安全、信息安全、安全管理四個方面分別進行,通過安全建設,使整個網絡能面對目前和未來一段時期內的安全威脅,實現對全網安全狀況的統(tǒng)一監(jiān)控和管理,更好地保障整個網絡的正常運行。1建立完整的安全體系,將網絡系統(tǒng)建設成為一個基于統(tǒng)一平臺上的,能夠對系統(tǒng)安全狀態(tài)集中監(jiān)管的系統(tǒng),主要包含網絡中的主機設備、網絡設備、存儲設備、備份設備、數據庫管理、中間件、應用軟件等,保障互聯(lián)網云平臺綜合監(jiān)管系統(tǒng)的正常運行。2建立網絡系統(tǒng)整體病毒防范體系,實現當業(yè)務網絡和內部用戶網絡遭受病毒的攻擊時,確保網絡平臺的安全健壯性。3實現對網絡的安全訪問控制,防止非法訪問與破壞,同時具有嚴密的跟蹤審計功能和分析處理能力。4實現網

45、絡信息的安全性。信息的安全性包括數據的完整性和安全性,系統(tǒng)應設置周密的數據摘要和數字簽名系統(tǒng),防止數據傳輸過程中被竊取或篡改。5保證各應用系統(tǒng)和數據庫的資源安全。對網絡中的各應用系統(tǒng)和數據庫資源進行保護,確保網絡中有關工作的順利開展。6建設網絡安全檢測監(jiān)控系統(tǒng),實時監(jiān)測網絡運行狀況,提供快速響應故障的手段,同時系統(tǒng)應具有較強的網絡入侵檢測和監(jiān)控預警能力。7建立網絡的安全評估體系。8建立完善網絡安全管理體系。系統(tǒng)安全體系架構互聯(lián)網云平臺監(jiān)管項目系統(tǒng)的安全體系架構由安全防護和安全管理組成。安全防護主要是指如何恰當的選用當前各種安全技術體系構建整個系統(tǒng)安全。安全管理貫穿于上述各個模塊和系統(tǒng)中,實踐表

46、明僅有安全技術防范,而無嚴格的安全管理體系相配套,是難以保障系統(tǒng)安全的。必須制定一系列安全管理制度,對安全技術和安全設施進行管理。從全局管理角度來看,要制定全局的安全管理策略；從技術管理角度來看,要實現安全的配置和管理；從人員管理角度來看,要實現統(tǒng)一的用戶角色劃分策略,制定一系列的管理制度規(guī)范,并進行人員安全培訓。上述所有模塊與系統(tǒng)均構架運行于國家有關計算機安全法律與政策、安全標準和規(guī)范及相關規(guī)定基礎之上。安全防護本方案從物理安全、網絡安全、操作系統(tǒng)安全、用戶認證與授權、通信安全、存儲安全、可審計性、設備冗余、災難備份等方面全面保障系統(tǒng)的安全性。物理安全為保證信息網絡系統(tǒng)的物理安全,除在網絡規(guī)

47、劃和場地、環(huán)境等要求之外,還要防止系統(tǒng)信息在空間的擴散。計算機系統(tǒng)通過電磁輻射使信息被截獲而失秘的案例已經很多,在理論和技術支持下的驗證工作也證實這種截取距離在幾百甚至可達千米的復原顯示給計算機系統(tǒng)信息的保密工作帶來了極大的危害。為了防止系統(tǒng)中的信息在空間上的擴散,通常是在物理上采取一定的防護措施,來減少或干擾擴散出去的空間信號。通常采取的防范措施主要是：1對主機房及重要信息存儲、收發(fā)部門進行屏蔽處理,即建設一個具有高效屏蔽效能的屏蔽室,用它來安裝運行主要設備,以防止磁鼓,磁帶與高輻射設備等的信號外泄。為提高屏蔽室的效能,在屏蔽室與外界的各項聯(lián)系、連接中均要采取相應的隔離措施和設計,如信號線、

48、電話線、空調、消防控制線,以及通風波導,門的關起等。2對本地網、局域網傳輸線路傳導輻射的抑制。由于電纜傳輸輻射信息的不可避免性,現均采用了光纜傳輸的方式,大多數均在Modem出來的設備用光電轉換接口,用光纜接出屏蔽室外進行傳輸。3對終端設備輻射的防范。終端機尤其是CRT顯示器,由于上萬伏高壓電子流的作用,輻射有極強的信號外泄,但又因終端分散使用不宜集中采用屏蔽室的辦法來防止,故現在的要求除在訂購設備上盡量選取低輻射產品外,目前主要采取主動式的干擾設備如干擾機來破壞對應信息的竊復。網絡安全防火墻防護防火墻保護是網絡安全性設計中重要的一環(huán),本方案中通過部署防火墻,將互聯(lián)網云平臺監(jiān)管項目系統(tǒng)的相關硬

49、件設備隔離起來,既限制外部網絡對系統(tǒng)的非授權訪問,又限制內部用戶對外部的非授權訪問。訪問策略為了保障系統(tǒng)安全,系統(tǒng)從邏輯上劃分為對外服務區(qū)和內部服務區(qū),對外服務區(qū)允許來自互聯(lián)網的數據交互；內部數據區(qū)不允許從互聯(lián)網進行訪問,只允許對外服務區(qū)內的服務區(qū)來讀取數據。不同安全區(qū)的用戶/服務器用戶進行通信都要嚴格限制訪問的類型、端口、IP地址。網絡防病毒威脅網絡安全的因素除了惡意攻擊外,計算機病毒也是常見的因素。本方案建議項目系統(tǒng)中的所有主機設備都需要利用網絡防病毒產品,建立網絡病毒防護體系。在防病毒選型部署管理上采取點線面的立體部署方式,即采用多層次的防病毒防范體系。從防病毒部署上點即在關鍵的網絡核心

50、點上部署防病毒系統(tǒng)；線即在安裝各種類型操作系統(tǒng)和應用的服務器上部署防病毒系統(tǒng)；面即在所有聯(lián)網客戶端部署防病毒系統(tǒng)。從防病毒管理上點即各個安裝防病毒軟件的客戶端；線即按單位機構劃分點的集合；面即囊括所有點線的全集,換句話就是全網統(tǒng)一管理、單位部門自主管理、個人自主負責的方式進行防病毒管理。入侵檢測入侵檢測系統(tǒng)簡稱IDS是一種對網絡傳輸進行即時監(jiān)視,在發(fā)現可疑傳輸時發(fā)出警報或者采取主動反應措施的網絡安全設備,IDS是一種積極主動的安全防護技術。本項目建議采用入侵檢測系統(tǒng),以提高項目系統(tǒng)的安全抗攻擊能力。漏洞掃描漏洞檢測和安全風險評估技術,因其可預知主體受攻擊的可能性以及將要發(fā)生的行為和產生的后果,

51、而受到網絡安全業(yè)界的重視。這一技術的應用可幫助識別檢測對象的系統(tǒng)資源,分析這一資源被攻擊的可能指數,了解支撐系統(tǒng)本身的脆弱性,評估所有存在的安全風險。網絡可能存在如下漏洞：系統(tǒng)設置配置不當使得普通用戶權限過高 管理員由于操作不當給系統(tǒng)安裝了后門程序 系統(tǒng)本身或應用程序存在可被利用的漏洞 對于網絡安全來說,安全性取決于所有安全措施中最薄弱的環(huán)節(jié),及時有效的彌補系統(tǒng)存在的漏洞,是系統(tǒng)安全穩(wěn)定運行的前提。本方案建議采用網絡掃描工具、系統(tǒng)掃描工具、實時掃描工具來進行漏洞檢測。操作系統(tǒng)安全建議本項目所有服務器均采用Linux操作系統(tǒng)。所有服務器均僅開放必須的網絡服務,如備案系統(tǒng)應用軟件服務端口、SSH。所有操作系統(tǒng)均需要定期進行安全加固。用戶認證與授權系統(tǒng)采用基于角色的授權管理,并堅持最小權限原則,以減少用戶越權進行業(yè)務操作的現象,最大程度的保證系統(tǒng)的安全。通信安全互聯(lián)網云平臺監(jiān)管項目系統(tǒng)服務器之間除使用數據加密技術對通信數據進行保護外,還對通信的雙方主要是請求方進行身份認證。用戶可以使用瀏覽器訪問互聯(lián)網云平臺監(jiān)管項目系統(tǒng)WEB服務。系統(tǒng)采用IP限定、電子鑰