顺德区行政服务中心网络安全改造项目.doc

1 43 顺德区行政服务中心网络安全改造项顺德区行政服务中心网络安全改造项 目目 建设方案建设方案 评审稿 项目编号 项目建设单位 佛山市顺德区行政服务中心 编制单位 佛山市顺德区行政服务中心 佛山市顺德区行政服务中心佛山市顺德区行政服务中心 3 593 59 43 目目 录录 目目 录录 第章第章 概述概述 项目名称 项目性质 项目承担单位及负责人 项目建设方案编制依据 项目建设目标 规模 项目建设目标 项目规模 项目建设内容 总投资及来源 第章第章 现状 必要性和需求分析现状 必要性和需求分析 项目建设背景 信息化现状及存在的问题 网络现状 应用现状 问题分析 项目建设的必要性 需求分析 第章第章 可行性分析可行性分析 技术可行性分析 第章第章 项目建设目标与任务项目建设目标与任务 建设目标 项目建设主要任务 i 43 第章第章 项目本期建设原则及技术路线项目本期建设原则及技术路线 项目建设原则 项目技术路线 提供七层访问控制 通过隔离技术提升内外业务关联过程中信息安全级别 采用多核平台硬件芯片实现平台高性能 第章第章 项目建设总体设计项目建设总体设计 总体架构设计 内外网数据安全交换平台架构 数据安全交换功能设计 数据安全交换模块设计 关键特性设计 应用代码安全规范设计 结构化数据交换架构设计 非结构化数据交换架构设计 防火墙设计 综合日志审计系统设计 项目设备总表 技术力量和人员配置 售后服务与技术支持方式 售后服务与技术支持规范 项目实施计划一览表 0 43 第第 1 章章 概述概述 1 1 项目名称项目名称 项目名称 顺德区行政服务中心网络安全升级改造项目 1 2 项目性质项目性质 项目性质 新建 1 3 项目承担单位及负责人项目承担单位及负责人 项目承担单位 佛山市顺德区行政服务中心 单位负责人 暨耀峰 项目负责人 郑金文 1 4 项目建设方案编制依据项目建设方案编制依据 本次项目建设主要依据国内外信息化建设的发展状况 国家以及国信办提出的 信息化发展战略 国务院 广东省人民政府和顺德区委 区政府提出的行政审批制 度改革以及信息化建设总体规划和要求 国家信息安全等级保护制度以及顺德区行 政服务中心信息化建设现状及未来的建设需要进行规划 国务院制定的 关于深入推进行政审批制度改革工作的意见 国信办制定的 国家信息化发展战略 年 国家信息化领导小组关于我国电子政务建设指导意见 国家信息化领导小组关于加强信息安全保障工作的意见 广东省信息产业厅 编办 发展改革委 监察厅 关于加快电子政务建设提 高政府行政效能和公共服务能力的实施意见 广东省委发布 法治广东建设五年规划 年 1 43 广东省人民政府办公厅 关于广东省 十二五 时期深化行政审批制度改革先 行先试方案 顺德区全面深化行政审批制度改革实施方案 工业和信息化部 国家电子政务 十二五 规划 国民经济和社会发展第十二个五年规划 电子政务工程技术指南 电子政务系统总体设计指南 顺德区人民政府 佛山市顺德区国民经济和社会信息化 十二五 规划 涉及国家秘密的信息系统分级保护技术要求 安全防范技术规范 信息安全技术 信息系统边界安全技术要求 信息安全技术 信息系统安全管理要求 信息安全技术 网络基础安全技术要求 信息安全技术 信息系统安全等级保护基本要求 信息安全技术 信息系统安全等级保护实施指南 信息安全技术 信息系统安全等级保护安全设计技术要求 国家电子政务外网跨区域安全数据交换技术要求与实施指南 讨论稿 1 5 项目建设目标 规模项目建设目标 规模 1 5 1 项目建设目标项目建设目标 随着电子政务的快速发展 顺德行政服务中心希望能打通各部门审批系统 实现 信息实时共享 克服各部门审批数据条块分割 实现信息互通成为系统建设的关键 目标 2 43 为了实现这一建设目标 行政服务审批系统的网上申请 网上审批 信息查询 等互联网业务需要打破互联网区域与政务审批应用服务系统之间的信息孤岛 需要 在互联网区域与行政审批应用系统之间进行安全数据交换 建设成一个数据可信 链路可信 网络可信 应用可信 计算可信的具有良好扩展性的安全数据交换平台 1 5 2 项目规模项目规模 项目涉及了顺德区行政服务中心网络系统安全改造 以及配套硬件建设 总投 资概算约万元 1 6 项目建设内容项目建设内容 本项目建设的内容主要有以下几部分 分别是 1 顺德区行政服务中心网络系统数据安全交换平台建设 顺德区行政服务中 心数据接入涉及多网络安全域的数据交换 包括互联网 对外服务网络以 及电子政务网内部间的数据交换 对现有行政服务中心网络进行安全改造 增加数据安全交换平台 实现不同安全域之间的网络隔离与数据安全交换 2 行政服务中心网络安全改造 对行政服务中心现有防火墙进行升级改造 提高网络处理性能和虚拟化功能 支持教育网的安全接入 佛山市顺德区 行政服务中心承载着顺德区教育信息网与顺德区电子政务网两张网络 随 着近几年互联网的快速发展 目前教育网出口带宽已达到 而电子政务网 出口带宽已达到 原有出口设备已承载不了如此大的流量 因此需要对原 有出口设备进行升级改造 同时 根据信息安全等级保护的相关要求 顺 德行政服务中心网络需要增配综合日志审计系统 实现对行政服务中心全 网的网络日志集中采集 分析和审计 3 43 1 7 总投资及来源总投资及来源 顺德区行政服务中心网络系统安全改造项目总投资预算约为人民币万元 资金 来源为区财政投资 4 43 第第 2 章章 现状 必要性和需求分析现状 必要性和需求分析 2 1 项目建设背景项目建设背景 顺德区行政服务中心于年月正式运行 是提供区级行政审批服务的综合平台 通过将审批事项及其工作人员向中心内集中 实现行政审批一站式办理和审批效率 的大提速 目前进驻中心办公的职能部门个 含双管联检单位 审批事项项 对外办事窗 口个 全部敞开式对外服务 每年办理审批业务达到万笔次 依托我区大部制 审改和信息化建设的良好基础 区市场安全监管局 区国税局 区财税局 区公安 局积极与上级部门请示沟通 付出大量努力 最终成功实现了我区并联审批系统与 个部门的实时双向互通 对外实现网上申请 网上审核 申请资料全程电子化流转 电子化存档 对内实现内部流程真正并联 该措施的推出将实现多方共赢 流程 资料简化 全程网上办理 方便了申请人 资料网上预审 减少了部门资料录入量 方便了部门 事项系统互通 信息实时共享 打破信息孤岛 电子监察系统实时追 踪 有效监控 本项目建设主要依托此背景下 从顺德区行政服务中心数据接入的特点出发 深入分析电子政务网络体系在发展过程存在的多方面的信息安全隐患 并提出积极 的应对措施 防微杜渐 力求使其在良好的发展氛围中不断壮大 为顺德区行政服务 中心提供更安全 高效 合理的数据交换平台 2 2 信息化现状及存在的问题信息化现状及存在的问题 2 2 1 网络现状网络现状 目前顺德行政服务中心从系统网络结构的划分可依据安全域的不同进行划分 即分为与互联网相关的互联网接入区 如网站 外部前置数据库 文件服务器 各 个与网站相关的业务模块应用系统等 采用防火墙等安全技术手段与互联网进行逻 5 43 辑隔离 行政服务中心内网的公共服务区 如行政审批的业务应用内部处理系统 内部后置或核心数据库 内部文件服务器 内网主要运行的核心是行政审批管理系 统和核心数据库 互联网接入区与行政服务中心的内网 内网公共服务区 之间构 成本建设方案的不同安全域的网络边界 拓扑结构见下图 图图 顺德区行政服务中心网络现状 顺德区行政服务中心网络现状 2 2 2 应用现状应用现状 一 应用功能现状 顺德区行政审批管理信息系统 以下简称 系统 于年开始建设 年投入使 用 目前 直接或间接使用到本系统的行政许可审批单位个 涉及数据交换需求的 个单位或系统 注册用户名 覆盖全区审批事项项 系统 包括顺德区行政服务 网 行政审批业务处理 投诉咨询管理 后台管理 审批监控 查询统计 电子监 察数据报送等几大核心功能 二 系统运行环境 系统 主要由台 服务器构成 其中 台作为数据库双机热备 台作为应用 服务器 台作为数据交换服务器和台数据库作测试用 三 系统开发建设环境 系统 在技术上主要采用 基于的三层结构 系统的开发主要基于如下技术 6 43 语言 和等 技术框架 系统部分设计和实现应用了 和技术 通过中间数据库方式实现了与区各单位和市行政审批电子监察系统的数据交换 服务器操作系统 数据库 应用服务器 问题分析问题分析 顺德区信息中心的数据根据业务需求需要进行数据安全接入 根据目前应用系统 的实际情况 可以分为以下四类 第一 本单位与教育网之间的数据交换 第二 本单位内网用户访问各业务系统 内网用户需要访问等系统完成日常办公 业务需求 第三 本单位需要与公安 社保 工商 计生委等其他政府单位交互数据信息 第四 互联网用户访问各业务系统 比如网上办事大厅 网上审批业务 信息查 询业务 信息核查比对业务 云服务平台等 2 3 项目建设的必要性项目建设的必要性 顺德区行政服务中心网络系统经过多年建设已经具备了提供各项行政服务的能 力 但随着政府各部门行政服务事项的不断增加 服务方式的不断更新 服务效能 的不断提高 这些要求顺德行政服务中心能够提供更多样化的数据交换方式 更高 性能的网络服务能力以及更复杂的通讯协议支持 要满足这些技术要求 就必须对 现有网络系统进行安全改造 支撑行政服务中心为市民和政府部门提供更安全 高 效的信息交换平台 因此 本项目的建设对佛山市顺德区下一步继续深化行政审批 制度 转变政府职能具有非常重要且积极的意义 7 43 2 4 需求分析需求分析 数据同步交换需求 数据同步交换需求 由于四类应用跨越了顺德行政服务中心的不同安全域的网络边界 因此本建议 方案主要针对四类应用构建 根据顺德行政服务中心的网络现状 和应用现状可总结行政服务中心的业务应 用系统具有的业务需求情况 主要体现在如下几个方面 针对非实时的业务系统 如定时审批 上报等业务系统 在外部网站形成的受 理业务文件 数据库记录 需要以静态的方式同步到内部网络 供内部业务应用系 统处理 内部业务系统处理的数据 需要返回到外部受理业务系统 返回给用户 针对此类静态数据文件的业务 需要采用单向或双向同步的方式 即数据同步交换 需求 数据实时访问需求 数据实时访问需求 从行政服务中心的业务角度出发 有些 等客户端访问的业务 前后端应用系 统之间的调用等应用 具有访问量大 对实时性要求高 稳定性要求强等特点 此 类实时访问数据交换的需求不适应数据同步交换方式 3 3 管理审计需求管理审计需求 行政服务中心网络是个整体网络 需要对全网的安全设备 网络设备和所有的 应用系统进行统审计 以便统一管理和统一制定安全策略 是本方案的重要建设目 标之一 8 43 第第 3 章章 可行性分析可行性分析 3 1 技术可行性分析技术可行性分析 随着信息技术 网络技术 安全技术和通讯技术的发展 更高的处理能力 更 深度的安全检测功能 更高的网络带宽 更低的价格 为我们建设网络安全提供了 强大的支持 我们可以选择下面成熟的产品和解决方案 数据安全交换平台技术 以网络隔离与数据摆渡技术为核心的数据安全交换技 术已经成熟应用多年 在公安系统 电力系统 金融系统等都有大量的应用 国家 以及行业相继颁布了相关的数据安全交换平台技术规范 包括 国家电子政务外网 跨区域安全数据交换技术要求与实施指南 公安综合信息网边界接入平台规范 等 防火墙 防火墙技术作为一种隔离内部安全网络与外部不信任网络的防御技术 已经成为计算机网络安全体系结构中的一个重要组成部分 防火墙目前也发展出虚 拟防火墙 传统防火墙是一个物理的实体 而虚拟防火墙是在这个物理实体里面可以 划分多个虚拟的防火墙 虚拟防火墙的很多安全功能超过了传统防火墙 比如虚拟 防火墙可以监控部署在虚拟系统中的各个应用系统之间的流量 实施访问控制 综合日志审计系统 综合日志审计平台通过集中采集信息系统中的系统安全事 件 用户访问记录 系统运行日志 系统运行状态等各类信息 经过规范化 过滤 归并和告警分析等处理后 以统一格式的日志形式进行集中存储和管理 结合丰富 的日志统计汇总及关联分析功能 实现对信息系统日志的全面审计 9 43 第第 4 章章 项目建设目标与任务项目建设目标与任务 4 1 建设目标建设目标 随着电子政务的快速发展 顺德行政服务中心希望能打通各部门审批系统 实现 信息实时共享 克服各部门审批数据条块分割 实现信息互通成为系统建设的关键 目标 为了实现这一建设目标 行政服务审批系统的网上申请 网上审批 信息查询 等互联网业务需要打破互联网区域与政务审批应用服务系统之间的信息孤岛 需要 在互联网区域与行政审批应用系统之间进行安全数据交换 建设成一个数据可信 链路可信 网络可信 应用可信 计算可信的具有良好扩展性的安全数据交换平台 4 2 项目建设主要任务项目建设主要任务 本项目建设的内容主要有以下几部分 分别是 1 顺德区行政服务中心网络系统数据安全交换平台建设 顺德区行政服务 中心数据接入涉及多网络安全域的数据交换 包括互联网 行政服务中心 信息网络以及电子政务网间的数据交换 对现有行政服务中心网络进行安 全改造 增加数据安全交换平台 实现不同安全域之间的网络隔离与数据 安全交换 2 行政服务中心网络安全改造 对行政服务中心现有防火墙进行升级改造 提高网络处理性能和虚拟化功能 支持教育网的安全接入 佛山市顺德区 行政服务中心承载着教育网与电子政务网两张网络 随着近几年互联网的 快速发展 目前教育网出口带宽已达到 而电子政务网出口带宽已达到 原有出口设备已承载不了如此大的流量 因此需要对原有出口设备进行升 级改造 同时 根据信息安全等级保护的相关要求 顺德行政服务中心网 络需要增配综合日志审计系统 实现对行政服务中心全网的网络日志集中 采集 分析和审计 10 43 第第 5 章章 项目本期建设原则及技术路线项目本期建设原则及技术路线 5 1 项目建设原则项目建设原则 行政服务中心工作业务复杂 专业性强 信息化建设涉及面广 时间跨度大 技术要求高 为了确保系统建设的高效 有序进行 在严格遵守信息安全等级保护 提出的建设原则的前提下 应遵循以下建设原则 充分利用现有资源 针对本系统的建设工作 在满足信息系统功能 性能与安全条件的前提下 信 息化网络建设将充分依托现有系统设备资源和网络设备资源 安全主导 务求实效 以行政服务中心网络安全建设和业务应用系统建设需求为导向 以国家信息安 全规范标准为指导原则 区分轻重缓急 按照由易到难 突出重点 以点带面的原 则 大力加强各类应用系统与数据安全交换平台的对接工作 统一标准 资源共享 按照统一的标准与规范 加强网络基础 业务系统和信息资源建设与整合 促 进互联互通 信息共享 使有限的资源发挥最大效益 规范管理 保障安全 对网络中的各项应用和信息资源进行科学分类 按照同步规划 同步建设的原 则 坚持积极防御 综合防范的方针 管理与技术并重 从实际安全出发 正确处 理网络安全 信息安全 信息保密的关系 综合平衡建设成本和安全风险 分级 分类 分阶段进行安全建设 落实安全责任制 以安全保发展 在发展中求安全 立足当前 适当前瞻 信息技术发展日新月异 国家民主法制建设和行政审批制度改革不断深入 网 络安全是一个动态的发展过程 网络安全建设要立足行政审批工作当前的实际需要 充分利用现有的基础网络 应用系统和信息资源 同时要具有适度的前瞻性 可扩 展性和开放性 适应未来业务和信息技术发展的需要 保证整个系统的可持续发展 11 43 本方案在制定安全系统设计时所采用的基本安全策略为 主要以数据交换平台 为基础 以安全隔离信息交换技术和数据摆渡技术为主体 辅之数据库 文件数据 交换系统 可信访问进程服务系统 集中监控系统等 构造一个具有最高安全强度 的 在较长一段时期内可以防御绝大部分已知和未知的网络攻击手段的 并可以满 足用户多种网络应用数据交换平台 内外网数据信息交换的安全原则和要求体现在如下几个方面 建立统一的安全隔离数据交换平台 业务内网核心服务通过统一 唯一出口实 现与外部主机 网络间的可信信息交换 统一管理 执行统一的安全策略 实现内 部网信息和外部应用数据交换的高度可控性 解决从客户端数据传输链路网络边界业务服务系统的全链路数据传输安全保障 解决从客户端数据传输链路网络边界业务服务系统的全链路数据传输安全保障 内部网通过安全隔离数据交换平台与外界进行的信息交换必须受到严格的控制 内部网安全隔离平台可以提供必要的安全手段 防止内网向外部泄漏敏感信息和抵 御外网协议和系统攻击 安全隔离数据交换平台必须具备较高的网络性能及稳定性 高可用性和可扩展 性 5 2 项目技术路线项目技术路线 本项目严格遵循国家相关信息安全建设规范和标准 严格遵循网络系统等级保 护制度的技术基本要求 对行政服务中心现有网络安全基础设施进行差距分析和评 估 设计 通过本项目建设一套符合国家电子政务网信息安全建设标准的顺德区行 政服务中心网络安全防护体系 该防护体系的核心是将原来一张网分离为两张网 两网数据交换通过强边界防 护措施实现信息安全防护 内外网再细化安全域设计 进一步实现各安全域内部的 防护措施 如 本项目所涉及的审计产品 下面针对本项目核心部分的技术路线 进行描述如下 12 43 5 2 1 提供七层访问控制提供七层访问控制 接入平台功能模块内部含有基于规范检查机制 可实现对协议包的细粒度解析 和安全检查 保护文件传输 数据库传输包括自定义协议等协议传输的层安全过滤 能力 底层传输底层传输 网络通信链路检测 当网络从异常状态恢复后 在一定时间周期后可自行恢复 数据传输 周期检测数据链路的运行情况 以便合理分配数据链路 链路回收 对一定周期无响应的链路进行回收 支持单播 多播和组播方式 有效解决流量瓶颈问题 内外网数据交换流量控制内外网数据交换流量控制 基于业务种类的流量控制 针对不同业务种类可以调配相对应的流量 可控制接入系统的总流量上限 到上限后不接受新用户的连接 可设置单一业 务的流量上限 13 43 针对服务中心多业务应用延展针对服务中心多业务应用延展 平台中三部件均提供开放的接口 可以针对行政服务中心将来的安全需求实现 深化控制 5 2 2 通过隔离技术提升内外业务关联过程中信息安全级别通过隔离技术提升内外业务关联过程中信息安全级别 平台三部件中 核心部件采用网络隔离交换设备平台三部件中 核心部件采用网络隔离交换设备 安全隔离与信息交换系统率先通过芯片控制数据流向 确保了对数据检查的有 效性 传统网闸设备并不具备高可靠性的专用硬件 通常采用内外端系统分时访问 硬盘的方式来提供安全隔离 可是硬盘是读写装置 很难从硬件上对数据流向进行 控制 因此无法保证数据流向的可靠 进而无法保证阻止信息攻击也无法保证检查 的有效性 因此比传统网闸 防火墙 等边界防护设备具有更高的安全性 接入平台之核心设备 网闸采用了总线技术进行通信 这种电路有专用的控制 逻辑 必须采用专用的驱动程序才能驱动隔离开关进行数据交换 为了防止驱动程 序被破坏 我们将驱动程序进行了固化 在系统启动时在内存中运行 如果攻击者 在内存中替换驱动 也因为驱动的专用性而不能得逞 系统下次启动时重新载入专 用驱动 可确保恢复正常 实现内容控制实现内容控制 该交换平台内集成了文件密级标识检查模块和高效内容检查模块 可以对由内 网送到外网的数据进行密级检查和内容检查 从很大程度上防止泄密 因此不但提 供了安全的通信手段 而且具有更好的保密性 5 2 3 采用多核平台硬件芯片实现平台高性能采用多核平台硬件芯片实现平台高性能 由于行政服务中心网络分离设计后内外网并发量 交换流量都非常大 考虑将 来的业务延展性 需要技术上保证平台能实现或接近 实时 本方案中建议采用 14 43 的接入平台采用多核平台硬件芯片实现了高性能设计 内部总线能达到 接入平台之核心设备 网闸内部反射系统完全基于硬件体系设计 不同于通道 类硬件不可编程安全隔离板卡 其具备独立硬件级安全控制逻辑 能够在不含操作 系统的硬件环境下完成复杂的数据安全检查和摆渡控制逻辑 因此实现了安全检查 功能的不可编程特性 具备更高安全性 15 43 第第 6 章章 项目建设总体设计项目建设总体设计 6 1 总体架构设计总体架构设计 图图 顺德区行政服务中心网络系统安全改造项目总体架构顺德区行政服务中心网络系统安全改造项目总体架构 在互联网接入区与行政服务中心内网之间部署边界安全交换平台 交换平台主 要部署的设备有 1 针对数据交换业务链路 在行政服务中心内网与互联网接入区之间部署安全数 据交换系统 含前后置认证服务器 前后置数据交换系统 隔离网闸 针 对大数据流量和用户数 采用双链路热备方式部署 2 在互联网接入区前端部署两台防火墙 采用双机热备模式 分别针对教育网和 互联网的安全接入和安全防护 3 在行政服务中心的 政务专网 分别部署网络综合审计系统 监控数据库 主 机和网络的运行状态信息 4 在行政服务中心内网部署集中监控管理系统 统一监控与安全数据交换相关的 安全设备的运行信息 统一内外网相关设备的管理 统一制定安全策略 5 在互联网接入区部署集控探针 负责采集外部数据交换相关安全设备的运行状 态信息 配置信息等 通过数据交换系统传输到集中监控管理系统 统一管 理 16 43 方案设计主要安全策略 针对数据同步业务链路 在互联网接入区的应用服务器在生成数据后 将 数据传输到数据交换系统对应用服务器进行认证 判断是否是合法的应用服务器上 传到指定的目录或数据库 如果是非法上传 将阻断数据上传 如果是合法上传 对数据进行扫描 判断数据合法性 若数据是非法数据 则丢弃 前置数据交换系统进行认证 认证通过后 由安全数据交换系统通过私有协议 下载数据 通过私有协议由隔离网闸进行数据摆渡 后置认证服务器与后置数据交 换服务器系统完成认证后 继而由数据安全交换系统通过私有协议上传到应用系统 反之亦然 互联网接入区的集控探针通过 搜集到的安全设备 网络设备 应用服务 器的系统信息和管理日志信息 通过前置认证服务器认证后 通过网闸采用私有协 议的方式将信息数据传输到行政服务中心内网的集中监控管理平台 集中监控管理 系统将相关信息统一管理 6 1 1 内外网数据安全交换平台架构内外网数据安全交换平台架构 内外网数据安全交换平台作为顺德区行政服务中心内 外网数据安全交换边界 的统一出入口 位于信息内网与信息外网之间 其整体架构如下图所示 数据库隔离装置 IDC网络 信息内网内外网数据安全交换平台 DMZ区 信息外网 安全隔离网闸 数据安全交换组件 内网 数据安全交换组件 外网 安全隔离交换装置 数据库访 问控制 高危操作 过滤 数据库入 侵阻断 结构化数据交 换 非结构化数据 交换 定制协议数据 交换 高强度安全交 换通道数据库操 作审计 结构化数据交 换 非结构化数据 交换 定制协议数据 交换 高强度安全交 换通道 图图 数据交换架构数据交换架构 17 43 内外网数据安全交换平台由数据库隔离装置 安全隔离交换装置两部分核心组 件构成 安全隔离交换装置由数据安全交换组件 外网 安全隔离网闸 数据安 全交换组件 内网 三大子组件构成 数据安全交换组件 内外网 由结构化数据 交换 非结构化数据交换 定制协议数据交换和高强度安全交换通道四个子功能模 块组成 信息外网区通过内外网数据安全交换平台与南网信息内网进行数据交换 6 1 2 数据安全交换功能设计数据安全交换功能设计 结构化数据交换 结构化数据交换 支持主流数据库交换 如 等 支持主流操作系统 如 等 支持全表同步 增量同步 全表更新以及标记同步等功能 可实现增加 删除 修改等增量的识别和数据同步 支持一对一 一对多 多对一的同步方式 可以针对表中指定的字段或指定字段的特定阀值进行条件同步 在标记同步模 式支持自定义标记的字段名称和字段类型 支持 等各大字段类型进行同步 支持 数据库间的异构同步 同样在异构环境中支持大字段数据同步 支持全 表更新同步 增量更新同步等操作 支持单向 双向同步功能 具有数据传输完整性保障机制 具有详细的日志记录 包括数据抽取日志 数据加载日志等信息 非结构化数据交换 非结构化数据交换 18 43 支持主流文件类型 如文档 图片 多媒体文件 等 支持主流操作系统 如 等 支持单向 双向同步 支持或模式读取本地或远程的文件 内置杀毒引擎能够过滤交换数据中的病毒和木马 支持高可靠文件传输 文件完整性校验 文件内容识别检查过滤和文件格式特 征检查 支持增量文件同步 实现内外网两个目录之间的文件一致性 小文件 传输可使用多线程并发提高传输效率 支持文件格式检查功能 能对 等多种文件格式进行检查 合法特征文件可 以通过 非法格式文件被拒绝通过 支持防止伪造文件功能 伪造后缀名的文件和在文件中增加二进制执行代码的 恶意文件将被拒绝传输 具有私有的安全上传 下载功能 不依赖 文件共享等通用文件传输协议 具有操作权限功能 能够按角色分配个人目录和共享目录访问操作权限 支持断点重传功能 在出现断电或传输中断等情况下 能够保证系统恢复时 交换的数据能重传或续传且不出数据丢失现象 定制协议数据交换 定制协议数据交换 系统采用分布式体系架构 支持集中部署和分级部署两种混合部署方式 提供 系统集群管理的界面截图和分布式体系架构技术说明 支持在线扩容功能 支持动态增加分组 实现存储容量的在线扩容 系统对保存的所有文件进行加密 访问时采用加密通道 解密后访问 有效保 证数据的安全 支持数据交付优先级控制 系统自动进行实时数据和历史数据的交付 实时数 据优先交付 其次交付历史数据 采用定制化数据传输协议 19 43 采用数据队列技术 实现集群环境下的分布式数据队列 提供高性能数据缓存 数据对账功能 提供与应用系统间的自动对账功能 能够对每日数据信息进行 日结对账 并自动实现系统间的数据补录 保证应用系统信息完整性 支持通过浏览器可以查看应用交付拓扑结构及应用情况 系统采用图形化配置界面 提供相关系统参数的配置页面 通过页面进行存储 软件的配置 配置项包括 基础参数 运行参数 数据库连接 服务等 系统提供页面查询服务状态 可以对服务的启动 关闭 重启等操作 系统提供日志查看 下载功能 通过监控页面及时查询应用交付日志信息 支持用户权限管理 支持不同用户可以使用不同功能 6 1 3 数据安全交换模块设计数据安全交换模块设计 数据安全交换系统包含数据库数据交换 文件数据交换和授权代理三个模块体 系 数据交换 数据库数 据交换 文件交换 数 据 源 配 置 触发器机制 全表机制 格 式 检 查 内 容 过 滤 数据交换 数 据 安 全 和 完 整 内 到 外 外 到 内 双 向 内 到 外 外 到 内 文 件 源 配 置 内 容 过 滤 格 式 检 查 数 据 安 全 和 完 整 文件交换 同步机制摆渡机制 内 到 外 外 到 内 双 向 内 到 外 外 到 内 文件交换功能 文件交换功能设计设计 20 43 InputPlugin OutPlugin OutPlugin InPlugin 数据传 输模块 文件探针模块 文件探针模块 图 文件交换功能设计 文件传输主要由文件探针模块 平台接口包括文件输入 文件输出 接口组成 文件探针模块实现文件的读取 传输 接收等功能 文件输入接口接收 文件探针模块传输的数据流 并通过平台传输给文件输出接口 输出接口将数据流 传输给目标端的文件探针模块 文件探针模块接收数据流后保存文件 文件探针主要由传输配置 输入 输出三部分组成 使用页面设置传输参数 可配置并可在探针上实现多个文件传输应用 参数包 括 传输地址 传输端口 传输方式 应用名 是否可用 源文件目录 是否删除 源目录文件 传输频率 文件目标目录 传输步骤 文件探针应用启动先进行源端机器和目标端机器的时戳校准 即探针源端发送 一个当前时钟给探针目标端 以源端时间为基准进行校准 目标端时间为源端值的 正值或负值 源端探针将内存结构中的所有信息发送到目标端 目标端根据接收的信息去对 应的目标文件目录比对文件名及时戳 如果存在文件 则查看源比目标早或者晚 早则查看下一个文件 晚则查看操作类型 如果为删除操作 则直接删除目标文件 如果操作为修改则设置为需要传输 将其写入目标端新的内存结果中 如果文件不 存在也设置为需要传输 且将其写入目标端新的内存结果中 返回所有需要传输的 文件信息给源端 源端开始传输文件及文件时戳目标端接收文件后 查找是否存在 该文件 如果目标端存在该比对源端文件时戳和目标文件时戳 如果源端时间早 则放弃处理 如果源端时间晚则替换文件 如果不存在则直接写文件 数据库同步交换功能 数据库同步交换功能设计设计 21 43 数据库 InputPlugin OutPlugin OutPlugin InPlugin 数据传 输模块 数据库探针模块 数据库探针模块 数据库 数据库传输主要由文件传输模块 平台接口包括文件输入 文件输出 接口组成 数据库传输模块实现文件的读取 传输 接收等功能 数据库输入接口 接收数据库传输模块传输的数据流 并通过平台传输给数据库输出接口 输出接口 将数据流传输给目标端的数据库传输模块 数据库传输模块接收数据流后保存数据 数据库同步支持三种方式 全表复制 触发同步 标记同步 a 全表复制 程序使用驱动连接到数据库 定时扫描数据库中指定表或字段 读取其中的内 容以文件的方式通过平台传输模块 此种方式适合数据量小 实现简单的同步方式 b 触发同步 程序在用户配置以后自动在需要被同步的数据表上建立触发器 监控该表的数 据变化 一旦表中出现数据变化 触发器将捕获到数据的变化 并将其提取出来 数据通过平台被同步到对方数据库中 c 标记同步 程序依靠数据库表中指定的字段标识数据的变化 用户的程序在修改数据库内 容时 在该字段中写入相应的内容标识该条记录的变化 此种方式 需要修改数据 库原有的结构 授权访问功能 授权访问功能设计设计 使用了线程池技术及通道复用技术 减少系统资源浪费 有效实现高性能的负 载 支持常见协议的授权代理功能包括 协议 22 43 授权访问模块默认情况下是关闭的 及在管理员没有做配置时是不允许内外网 之间有访问的 此处可以根据需要单独启动 应用代理 可对页面内容进行脚本 内容 控制 支持交互式动态页面访问 支持对用 户的认证功能在代理服务启动的情况下 同时需要有相应的资源 代理用户 并且 资源和代理用户之间以配置关联关系 用户需要在中加入代理服务器和端口 才能 访问到平台另外一端的服务 代理 支持双向代理 内 外或外 内 支持原地址黑白名单控制 代理 支持数据库应用代理 包括 等数据库的数据应用代理功能 实现对数据 库的安全访问 支持原地址黑白名单控制 并彻底保障数据库本身的安全 代理 文件传输应用代理 支持通过进行文件安全传输 支持原地址黑白名单控制 代理 支持基于的应用代理 满足多种基于的应用需求 包括 的支持 支持对用户 的身份认证 支持原地址黑白名单控制 6 2 关键特性设计关键特性设计 6 2 1 应用代码安全规范设计应用代码安全规范设计 接入内外网数据安全交换平台的应用系统应遵循以下代码安全规范 在提高应 用系统安全性的同时 确保应用系统数据可正常通过内外网数据安全交换平台进行 数据交互 1 采用标准驱动程序采用标准驱动程序 23 43 应用服务器通过内外网数据安全交换平台连接数据库时必须使用数据库自带的 标准驱动 常见为 或者 2 采用协议采用协议 应用服务器通过内外网数据安全交换平台链接数据库时必须选择协议 即数据 库连接字符串必须以 开头 不支持通过走协议以及非协议通过 不允许文件传输 交互或者数据总线通过装置 3 规避系统表访问规避系统表访问 应用系统通过内外网数据安全交换平台链接数据库应规避通过系统表访问的语 句 并禁止用户表名称与系统表名相同或相近的访问行为 系统表名如下 4 限制高危命令限制高危命令 原则上应用系统不得对所有表的 等进行语句操作 应尽量避免使用 5 空指针引用空指针引用 在使用或引用对象前 要先对其进行检查 判断其是否为空 6 数组引用问题数组引用问题 24 43 不直接返回指向包含敏感数据的内部数组的引用 即使数组中包含不可变的对 象 如字符串 也要返回一个副本这样调用者不能修改数组中的字符串 不要传 回一个数组 而是数组的拷贝 7 硬编码敏感数据硬编码敏感数据 将敏感数据保存在属性文件中 无论什么时候需要这些数据 都可以从该文件 读取 如果数据极其敏感 那么在访问属性文件时 应用程序应该使用一些加密 解密技术 避免导致敏感数据泄露 8 无用代码处理无用代码处理 将 除启动应用程序的 方法之外的 方法 未使用的方法以及死代码从 应用程序代码中除去 在软件交付使用之前 主要开发人员应该对敏感应用程序进 行一次全面的代码评审 应该使用 或 类代替 方法以测试应用程序的功能 9 变量的安全访问变量的安全访问 为了使外部调用可以访问类变量 应该使用取值方法而不是 定义变量 按照 具体问题具体对待的原则 在确定哪些变量特别重要因而应该声明为 时 应该将 编码的方便程度及成本同安全性需要加以比较 10 序列化保护序列化保护 1 在包含系统资源的直接句柄和相对地址空间信息的字段前应该使用关键字 如果资源 如文件句柄 不被声明为 该对象在序列化状态下可能会被修改 从而 使得被反序列化后获取对资源的不当访问 2 为了确保反序列化对象不包含违反一些不变量集合的状态 类应该定义自 己的反序列化方法并使用接口验证这些变量 25 43 3 为了保护虚拟机外的字节流 可以对序列化包产生的流进行加密 字节流 加密防止解码或读取被序列化的对象的私有状态 如果决定加密 应该管理好密钥 密钥的存放地点以及将密钥交付给反序列化程序的方式等 如果一个类定义了自己的序列化方法 它就不能向任何方法传递内部数组 所有的 方法都能被重写 注意默认序列化不会向字节数组方法暴露私有字节数组字段 11 注入保护注入保护 在使用外来数据生成数据库查询语句时 必须对外部数据进行有效性检查和危 险字符过滤 避免出现数据库注入问题 应用系统不得包含有注入攻击特征的语句 典型的如 a 等 b 等 c 等 d 等 e f g h i j k l m n 26 43 6 2 2 结构化数据交换架构设计结构化数据交换架构设计 针对结构化数据交换应用场景 可采用内外网数据安全交换平台数据库同步功 能 功能由内网缓存服务器 应用数据安全交换单元 内网 安全隔离网闸 应 用数据安全交换单元 外网 外网缓存服务器实现 结构化数据交换主要依托以 下逻辑架构 如图所示 外网缓存服务器 外网应用系统 安全隔离网闸 内网缓存服务器 内网应用系统 数据安全交换平台 结构化数据交换 应用数据安全交换 单元 外网 应用数据安全交换 单元 内网 图图 结构化数据交换架构结构化数据交换架构 结构化数据以数据库同步方式进行内外网数据交换 主要数据库类型包括 等 业务流程图可参考下图所示 外网应用系统数据安全交换平台内网应用系统 2 把数据库镜像数据写 入外网缓存服务器 SQL 3 数据库同步 方向可控 支持同 构异构 表可控 字段可控 5 把数据库镜像数据 写入内网数据库 SQL 内网数据库外网数据库 1 生成数据库数据 写入外网数据库 SQL 4 从内网缓存服务器读 取数据库镜像数据 SQL 图图 结构化数据交换流程结构化数据交换流程 流程描述如下 27 43 1 外网应用系统生成数据库数据 写入外网数据库 同时把需要同步的数 据库数据 以下称 数据库镜像数据 写入外网缓存服务器 2 数据安全交换平台完成数据库同步 把 数据库镜像数据 同步到内网缓 存服务器 3 内网应用系统从内网缓存服务器读取 数据库镜像数据 并把数据库数据 写入内网数据库 4 反之亦然 6 2 3 非结构化数据交换架构设计非结构化数据交换架构设计 针对结构化数据交换应用场景 可采用内外网数据安全交换平台数据库同 步功能 功能由内网缓存服务器 应用数据安全交换单元 内网 安全隔离 网闸 应用数据安全交换单元 外网 外网缓存服务器实现 结构化数据交 换主要依托以下逻辑架构 如图所示 外网缓存服务器 外网应用系统 安全隔离网闸 内网缓存服务器 内网应用系统 数据安全交换平台 非结构化数据交换 应用数据安全交换 单元 外网 应用数据安全交换 单元 内网 图图 非结构化数据交换结构非结构化数据交换结构 非结构化数据以文件同步方式进行内外网数据交换 文件类型如文档文件 音 视频文件 办公文件等主流文件类型 业务流程图可参考下图所示 28 43 外网应用系统数据安全交换平台内网应用系统 2 向外网缓存服务器写入 文件镜像数据 FTP SMB 3 数据库同步 方向可控 支持同 构异构 表可控 字段可控 5 向内网数据库写入文 件镜像数据 FTP SMB 内网文件服务器外网文件服务器 1 生成文件数据 写入外网文件服务器 4 从内网缓存服务器读取 文件镜像数据 FTP SMB 图图 非结构化数据交换流程非结构化数据交换流程 流程描述如下 1 外网应用系统生成文件数据 写入外网文件服务器 同时把需要同步的 文件 以下称 文件镜像数据 写入外网缓存服务器 2 数据安全交换平台完成文件同步 把 文件镜像数据 同步到内网缓存服 务器 3 内网应用系统从内网缓存服务器读取 文件镜像数据 并把文件数据写入 内网文件服务器 4 反之亦然 6 2 4 防火墙设计防火墙设计 根据以上分析准备采用两台高性能防火墙 并启用虚拟防火墙功能双机部署于 教育网与电子政务中心网络出口处 将两台防火墙在逻辑上划分成四台虚拟的防火 墙 每个虚拟防火墙系统都可以被看成是一台完全独立的防火墙设备 并且可以根 据今后的扩展需求在这两台防火墙上增加新的虚拟防火墙 充分利用硬件资源 通 过逻辑管理虚拟防火墙设备体现灵活性和扩展性 高可靠和高可扩展性 具有良好的可扩展性 通过全并行全冗余架构 提供极佳的高可靠和高可扩展 能力 这种全并行全冗余体现在 29 43 设备间冗余 多种模式 包括模式和模式 接入在数据中心网络转发层 可以 确保一旦单台设备故障 通过另一台设备仍然可以持续运行 保障了业务的连续性 设备自身冗余 对于边界隔离设备 自身的冗余主要指业务处理的冗余能力 设备运行中如果因某个业务处理核发生故障 调度系统会将该处理核的负载均摊到 其他核中 保障数据可以持续被处理 在此技术上还应支持多个业务板卡 并且提 供板卡间的冗余 如果某个板卡出现故障 可自动将相关的负载均摊到其他业务板 卡 保障访问的连续性 支持跨版卡的接口聚合 这样当其中一块接口卡出现问题 时不会影响到客户业务数据转发 支持主控板冗余 一旦主控系统出现故障 备份 主控板进入工作 保障设备的连续工作能力 设备业务能力扩展 支持业务板卡的扩展 在扩展业务板卡后 设备的总处 理能力可以得到提升 初期可以按照当前业务负载较少配置业务板卡 随后随着业 务的增长 在一定的负载范围内 仅需要扩展业务板卡 便能够保障安全网关的处 理能力达到新的负载要求 无需做整体淘汰 从而大大保护了前期的投资 高性能 防火墙应具备后期扩展的需求 业务接口扩展 支持接口的扩展 这样当数据中心增加接入用户 导致上 下 行链路增加时 设备通过扩展接口来支撑更多的访问链路 强大的攻击防护能力 能够提供全面地防攻击能力 能够针对和常见攻击进行有效阻断 同时还能够 针对零日攻击 即利用刚发现的漏洞进行攻击 进行及时的判断和阻断 有效保护 网络安全不受侵害 灵活高效的带宽管理功能 可以提供智能应用识别 功能 称为 能够对百余种网络应用进行分类 甚 至包括对加密的应用 迅雷 等 和即时消息流量进行分类 首先根据流量的 应用类型对流量进行识别和标记 然后 根据应用识别和标记结果对流量带宽进行 控制并且区分优先级 30 43 将角色鉴别以及 结合使用 可以很容易地为关键用户控制流量并区分流量优 先级 能够支持个不同地址及用户角色的流量优先级区分和带宽控制 入方向和出 方向 这就相当于系统中可容纳最多的队列 结合应用 可提供另一层的流量控制 可以为每个用户控制应用流量并对该用 户的应用流量区分优先级 例如 对于同一个地址产生的不同流量 用户可以基于 应用分类结果指定流量的优先级 在 里面使用应用 甚至可以对每个地址进行流 量控制的同时 还能够对该地址内部应用类型的流量进行有效管控 虚拟防火墙技术 虚拟防火墙是一个逻辑概念 该技术可以在一个单一的硬件平台上提供多个防 火墙实体 即把一台防火墙设备在逻辑上划分成多台虚拟防火墙 每台虚拟防火墙 都可以被看成是一台完全独立的防火墙设备 可拥有独立的管理员 安全策略 用 户认证数据库等 每个虚拟防火墙能够实现防火墙的大部分特性 并且虚拟防火墙 之间相互独立 一般情况下不允许相互通信 虚拟防火墙具有如下技术特点 每个虚拟防火墙独立维护一组安全区域 每个虚拟防火墙独立维护一组资源对象 地址地址组 服务服务组等 每个虚拟防火墙独立维护自己的包过滤策略 每个虚拟防火墙独立维护自己的策略 策略 策略 可限制每个虚拟防火墙占用资源数 如防火墙以及 数目 虚拟防火墙一方面解决了业务多实例的问题 更主要的是 通过它可将一个物 理防火墙划分为多个逻辑防火墙来用 多个逻辑防火墙可以单独配置不同的安全策 略 同时默认情况下 不同的虚拟防火墙之间是默认隔离的 虚拟防火墙组网模式极大的减少了用户拥有成本 随着业务的发展 当用户业 务划分发生变化或者产生新的业务部门时 可以通过添加或者减少防火墙实例的方 式十分灵活的解决后续网络扩展问题 在一定程度上降低了网络安全部署的复杂度 另一方面 由于以逻辑的形式取代了网络中的多个物理防火墙 减少了运维中需要 31 43 管理维护的网络设备 简化了网络管理的复杂度 减少了误操作的可能性 虚拟防火墙技术的出现弥补了防火墙产品在数据中心虚拟化应用中的局限性 与其他虚拟化网络设备相辅相成 可以很好的缓解数据中心组网环境中各的独立安 全策略需求所带来的网络拓扑复杂 网络结构扩展性差 管理复杂 用户安全部署 成本高等几大问题 很好的满足数据中心新业务模型所带来的新需求 在构建数据 中心虚拟一体化的同时提供了丰富的业务安全能力 6 2 5 综合日志审计系统设计综合日志审计系统设计 在行政服务中心跨网的不同安全域部署综合日志审计系统 其作为信息资 产的综合性管理平台 通过对客户网络设备 安全设备 主机和应用系统日志 进行全面的标准化处理 及时发现各种安全威胁 异常行为事件 为管理人员 提供全局的视角 确保客户业务的不间断运营安全 通过基于国际标准化的关联分析引擎 提供全维度 跨设备 细粒度的关 联分析 透过事件的表象真实地还原事件背后的信息 提供真正可信赖的事件 追责依据和业务运行的深度安全 同时提供集中化的统一管理平台 将所有的 日志信息收集到平台中 实现信息资产的统一管理 监控资产的运行状况 协 助用户全面审计信息系统整体安全状况 主要功能 采集器采集器 全面支持 日志协议 可以覆盖主流硬件设备 主机及应用