顺德区行政服务中心网络安全改造项目

1、顺德区行政服务中心网络安全改造项顺德区行政服务中心网络安全改造项 目目 建设方案建设方案 评审稿 项目编号： 项目建设单位：佛山市顺德区行政服务中心 编制单位：佛山市顺德区行政服务中心 佛山市顺德区行政服务中心佛山市顺德区行政服务中心 20212021 年年 4 4 月月 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 佛山市顺德区行政服务中心佛山市顺德区行政服务中心 目目 录录 目目 录录 .i 第第 1 章章 概述概述.1 1.1 项目名称.1 1.2 项目性质.1 1.3 项目承担单位及负责人 .1 1.4 项目建设方案编制依据 .1 1.5 项目

2、建设目标、规模.2 1.5.1 项目建设目标.2 1.5.2 项目规模.3 1.6 项目建设内容.3 1.7 总投资及来源.4 第第 2 章章 现状、必要性和需求分析现状、必要性和需求分析 .5 2.1 项目建设背景.5 2.2 信息化现状及存在的问题 .5 2.2.1 网络现状.5 2.2.2 应用现状.6 2.3.3 问题分析.7 2.3 项目建设的必要性.7 2.4 需求分析.8 第第 3 章章 可行性分析可行性分析.9 3.1 技术可行性分析.9 第第 4 章章 项目建设目标与任务项目建设目标与任务.10 4.1 建设目标.10 4.2 项目建设主要任务.10 顺德区行政服务中心网络安

3、全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 佛山市顺德区行政服务中心佛山市顺德区行政服务中心 i 第第 5 章章 项目本期建设原则及技术路线项目本期建设原则及技术路线.11 5.1 项目建设原则.11 5.2 项目技术路线.12 5.2.1 提供七层访问控制.13 5.2.2 通过隔离技术提升内外业务关联过程中信息安全级别 .14 5.2.3 采用 mips 多核平台+asic 硬件芯片实现平台高性能.14 第第 6 章章 项目建设总体设计项目建设总体设计.16 6.1 总体架构设计.16 6.1.1 内外网数据安全交换平台架构.17 6.1.2 数据安全交换功能设计.18

4、 6.1.3 数据安全交换模块设计.20 6.2 关键特性设计.23 6.2.1 应用代码安全规范设计.23 6.2.2 结构化数据交换架构设计.27 6.2.3 非结构化数据交换架构设计.28 6.2.4 防火墙设计.30 6.2.5 综合日志审计系统设计.32 6.3 项目设备总表.35 6.4 技术力量和人员配置.37 6.4.1 售后服务与技术支持方式.37 6.4.2 售后服务与技术支持规范.38 6.5 项目实施计划一览表.40 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 0 第第 1 章章 概述概述 1.1 项目名称项目名称 项目名称：

5、顺德区行政服务中心网络安全升级改造项目 1.2 项目性质项目性质 项目性质：新建 1.3 项目承担单位及负责人项目承担单位及负责人 项目承担单位：佛山市顺德区行政服务中心 单位负责人：暨耀峰 项目负责人：郑金文 1.4 项目建设方案编制依据项目建设方案编制依据 本次项目建设主要依据国内外信息化建设的发展状况，国家以及国信办提出的 信息化发展战略，国务院、广东省人民政府和顺德区委、区政府提出的行政审批制 度改革以及信息化建设总体规划和要求，国家信息安全等级保护制度以及顺德区行 政服务中心信息化建设现状及未来的建设需要进行规划。 1、国务院制定的关于深入推进行政审批制度改革工作的意见 ； 2、国信

6、办制定的国家信息化发展战略（20062020 年） ； 3、 国家信息化领导小组关于我国电子政务建设指导意见 ； 4、 国家信息化领导小组关于加强信息安全保障工作的意见 ； 5、广东省信息产业厅、编办、发展改革委、监察厅关于加快电子政务建设 提高政府行政效能和公共服务能力的实施意见 ； 6、广东省委发布法治广东建设五年规划（2011-2015 年） ； 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 1 7、广东省人民政府办公厅关于广东省“十二五”时期深化行政审批制度改革先 行先试方案 ； 8、 顺德区全面深化行政审批制度改革实施方案 ； 9、工业和信息

7、化部国家电子政务十二五规划 ； 10、 国民经济和社会发展第十二个五年规划 ； 11、 电子政务工程技术指南 ； 12、 电子政务系统总体设计指南 ； 13、顺德区人民政府佛山市顺德区国民经济和社会信息化“十二五”规划 ； 14、 涉及国家秘密的信息系统分级保护技术要求 （bmb17-2006 ） ； 15、 安全防范技术规范gb50348-2004； 16、 信息安全技术 信息系统边界安全技术要求 gb/t 2027-200； 17、 信息安全技术 信息系统安全管理要求 gb/t 20269-2006； 18、 信息安全技术 网络基础安全技术要求 gb/t 20270-2006； 19、 信

8、息安全技术 信息系统安全等级保护基本要求 （gb/t 22239-2008） ； 20、 信息安全技术 信息系统安全等级保护实施指南 （gb/t 25058-2010） ； 21、 信息安全技术 信息系统安全等级保护安全设计技术要求( gb/t 25070 2010 )； 22、 国家电子政务外网跨区域安全数据交换技术要求与实施指南（讨论稿） 1.5 项目建设目标、规模项目建设目标、规模 1.5.1 项目建设目标项目建设目标 随着电子政务的快速发展，顺德行政服务中心希望能打通各部门审批系统、实现 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 2 信息实

9、时共享，克服各部门审批数据条块分割，实现信息互通成为系统建设的关键 目标。 为了实现这一建设目标，行政服务审批系统的网上申请、网上审批、信息查询 等互联网业务需要打破互联网区域与政务审批应用服务系统之间的信息孤岛，需要 在互联网区域与行政审批应用系统之间进行安全数据交换，建设成一个数据可信、 链路可信、网络可信、应用可信、计算可信的具有良好扩展性的安全数据交换平台。 1.5.2 项目规模项目规模 项目涉及了顺德区行政服务中心网络系统安全改造，以及配套硬件建设。总投 资概算约 440 万元。 。 1.6 项目建设内容项目建设内容 本项目建设的内容主要有以下几部分，分别是： 1、 顺德区行政服务中

10、心网络系统数据安全交换平台建设：顺德区行政服务中 心数据接入涉及多网络安全域的数据交换，包括互联网、对外服务网络以 及电子政务网内部间的数据交换。对现有行政服务中心网络进行安全改造， 增加数据安全交换平台，实现不同安全域之间的网络隔离与数据安全交换。 2、 行政服务中心网络安全改造：对行政服务中心现有防火墙进行升级改造， 提高网络处理性能和虚拟化功能，支持教育网的安全接入。佛山市顺德区 行政服务中心承载着顺德区教育信息网与顺德区电子政务网两张网络，随 着近几年互联网的快速发展，目前教育网出口带宽已达到 4g，而电子政 务网出口带宽已达到 1.5g，原有出口设备已承载不了如此大的流量，因此 需要

11、对原有出口设备进行升级改造。同时，根据信息安全等级保护的相关 要求，顺德行政服务中心网络需要增配综合日志审计系统，实现对行政服 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 3 务中心全网的网络日志集中采集、分析和审计。 1.7 总投资及来源总投资及来源 顺德区行政服务中心网络系统安全改造项目总投资预算约为人民币 440 万元， 资金来源为区财政投资。 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 4 第第 2 章章 现状、必要性和需求分析现状、必要性和需求分析 2.1 项目建设背景项目建设背景 顺德区行政服务

12、中心于 2003 年 1 月正式运行，是提供区级行政审批服务的综 合平台。通过将审批事项及其工作人员向中心内集中，实现行政审批一站式办理和 审批效率的大提速。 目前进驻中心办公的职能部门 25 个（含双管联检单位） ，审批事项 465 项。对外 办事窗口 213 个，全部敞开式对外服务。每年办理审批业务达到 182 万笔次。 依 托我区大部制、审改和信息化建设的良好基础，区市场安全监管局、区国税局、区 财税局、区公安局积极与上级部门请示沟通，付出大量努力，最终成功实现了我区 并联审批系统与 4 个部门的实时双向互通，对外实现网上申请、网上审核，申请资 料全程电子化流转、电子化存档；对内实现内部

13、流程真正并联。该措施的推出将实 现多方共赢：流程、资料简化、全程网上办理，方便了申请人；资料网上预审，减 少了部门资料录入量，方便了部门；6 事项系统互通，信息实时共享，打破信息孤 岛；电子监察系统实时追踪，有效监控。 本项目建设主要依托此背景下，从顺德区行政服务中心数据接入的特点出发, 深入分析电子政务网络体系在发展过程存在的多方面的信息安全隐患,并提出积极 的应对措施,防微杜渐,力求使其在良好的发展氛围中不断壮大,为顺德区行政服务 中心提供更安全、高效、合理的数据交换平台。 2.2 信息化现状及存在的问题信息化现状及存在的问题 2.2.1 网络现状网络现状 目前顺德行政服务中心从系统网络结

14、构的划分可依据安全域的不同进行划分， 即分为与互联网相关的互联网接入区，如 web 网站、外部前置数据库、文件服务器、 各个与网站相关的业务模块应用系统等，采用防火墙等安全技术手段与互联网进行 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 5 逻辑隔离。行政服务中心内网的公共服务区，如行政审批的业务应用内部处理系统、 内部后置或核心数据库、内部文件服务器。内网主要运行的核心是行政审批管理系 统和核心数据库。互联网接入区与行政服务中心的内网（内网公共服务区）之间构 成本建设方案的不同安全域的网络边界。拓扑结构见下图： 、图图 1 1：顺德区行政服务中心网

15、络现状：顺德区行政服务中心网络现状 2.2.2 应用现状应用现状 （一） 应用功能现状 顺德区行政审批管理信息系统（以下简称“系统” ）于 2003 年开始建设，2006 年投入使用。目前，直接或间接使用到本系统的行政许可审批单位 35 个，涉及数 据交换需求的 9 个单位或系统，注册用户 1141 名，覆盖全区审批事项 1434 项。 “系统”包括顺德区行政服务网、行政审批业务处理、投诉咨询管理、后台管理、 审批监控、查询统计、电子监察数据报送等几大核心功能。 （二） 系统运行环境 “系统”主要由 5 台 ibm b80 服务器构成。其中：2 台作为 oracle 数据库双机 热备，1 台作

16、为 websphere 应用服务器，1 台作为数据交换服务器和 1 台数据库作 测试用。 （三） 系统开发建设环境 “系统”在技术上主要采用 j2ee 基于 b/m/s 的三层结构，系统的开发主要基 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 6 于如下技术： 语言：java、jsp、javascript、html 和 xml 等； 技术框架：系统部分设计和实现应用了 ooa、ood 和 oop 技术； 通过中间数据库方式实现了与区各单位和市行政审批电子监察系统的数据交换； 服务器操作系统：aix；数据库：oracle 9i；应用服务器：websph

17、ere4.0。 2.3.3 问题分析问题分析 顺德区信息中心的数据根据业务需求需要进行数据安全接入，根据目前应用系统 的实际情况，可以分为以下四类： 第一， 本单位与教育网之间的数据交换； 第二， 本单位内网用户访问各业务系统，内网用户需要访问 oa 等系统完成日常办 公业务需求； 第三， 本单位需要与公安、社保、工商、计生委等其他政府单位交互数据信息； 第四， 互联网用户访问各业务系统，比如网上办事大厅、网上审批业务、信息查 询业务、信息核查比对业务、云服务平台等。 2.3 项目建设的必要性项目建设的必要性 顺德区行政服务中心网络系统经过多年建设已经具备了提供各项行政服务的能 力，但随着政府

18、各部门行政服务事项的不断增加，服务方式的不断更新，服务效能 的不断提高，这些要求顺德行政服务中心能够提供更多样化的数据交换方式、更高 性能的网络服务能力以及更复杂的通讯协议支持。要满足这些技术要求，就必须对 现有网络系统进行安全改造，支撑行政服务中心为市民和政府部门提供更安全、高 效的信息交换平台。因此，本项目的建设对佛山市顺德区下一步继续深化行政审批 制度，转变政府职能具有非常重要且积极的意义。 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 7 2.4 需求分析需求分析 （1 1）数据同步交换需求）数据同步交换需求 由于四类应用跨越了顺德行政服务中心

19、的不同安全域的网络边界，因此本建议 方案主要针对四类应用构建。 根据顺德行政服务中心的网络现状，和应用现状可总结行政服务中心的业务应 用系统具有的业务需求情况，主要体现在如下几个方面： 针对非实时的业务系统，如定时审批、上报等业务系统，在外部网站形成的受 理业务文件、数据库记录，需要以静态的方式同步到内部网络，供内部业务应用系 统处理，内部业务系统处理的数据，需要返回到外部受理业务系统，返回给用户。 针对此类静态数据文件的业务，需要采用单向或双向同步的方式，即数据同步交换 需求。 （2 2）数据实时访问需求）数据实时访问需求 从行政服务中心的业务角度出发，有些 b/s、c/s 等客户端访问的业

20、务、前后 端应用系统之间的调用等应用，具有访问量大、对实时性要求高、稳定性要求强等 特点。此类实时访问数据交换的需求不适应数据同步交换方式。 （3 3）管理审计需求管理审计需求 行政服务中心网络是个整体网络，需要对全网的安全设备、网络设备和所有的 应用系统进行统审计，以便统一管理和统一制定安全策略，是本方案的重要建设目 标之一。 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 8 第第 3 章章 可行性分析可行性分析 3.1 技术可行性分析技术可行性分析 随着信息技术、网络技术、安全技术和通讯技术的发展，更高的处理能力、更 深度的安全检测功能、更高的网络

21、带宽、更低的价格，为我们建设网络安全提供了 强大的支持。我们可以选择下面成熟的产品和解决方案： 数据安全交换平台技术：以网络隔离与数据摆渡技术为核心的数据安全交换技 术已经成熟应用多年，在公安系统、电力系统、金融系统等都有大量的应用。国家 以及行业相继颁布了相关的数据安全交换平台技术规范，包括国家电子政务外网 跨区域安全数据交换技术要求与实施指南 、 公安综合信息网边界接入平台规范 等； 防火墙：防火墙技术作为一种隔离内部安全网络与外部不信任网络的防御技术， 已经成为计算机网络安全体系结构中的一个重要组成部分。防火墙目前也发展出虚 拟防火墙，传统防火墙是一个物理的实体,而虚拟防火墙是在这个物理

22、实体里面可以 划分多个虚拟的防火墙。虚拟防火墙的很多安全功能超过了传统防火墙。比如虚拟 防火墙可以监控部署在虚拟系统中的各个应用系统之间的流量，实施访问控制。 综合日志审计系统：综合日志审计平台通过集中采集信息系统中的系统安全事 件、用户访问记录、系统运行日志、系统运行状态等各类信息，经过规范化、过滤、 归并和告警分析等处理后，以统一格式的日志形式进行集中存储和管理，结合丰富 的日志统计汇总及关联分析功能，实现对信息系统日志的全面审计。 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 9 第第 4 章章 项目建设目标与任务项目建设目标与任务 4.1 建设

23、目标建设目标 随着电子政务的快速发展，顺德行政服务中心希望能打通各部门审批系统、实现 信息实时共享，克服各部门审批数据条块分割，实现信息互通成为系统建设的关键 目标。 为了实现这一建设目标，行政服务审批系统的网上申请、网上审批、信息查询 等互联网业务需要打破互联网区域与政务审批应用服务系统之间的信息孤岛，需要 在互联网区域与行政审批应用系统之间进行安全数据交换，建设成一个数据可信、 链路可信、网络可信、应用可信、计算可信的具有良好扩展性的安全数据交换平台。 4.2 项目建设主要任务项目建设主要任务 本项目建设的内容主要有以下几部分，分别是： 1、顺德区行政服务中心网络系统数据安全交换平台建设：

24、顺德区行政服务 中心数据接入涉及多网络安全域的数据交换，包括互联网、行政服务中心 信息网络以及电子政务网间的数据交换。对现有行政服务中心网络进行安 全改造，增加数据安全交换平台，实现不同安全域之间的网络隔离与数据 安全交换。 2、行政服务中心网络安全改造：对行政服务中心现有防火墙进行升级改造， 提高网络处理性能和虚拟化功能，支持教育网的安全接入。佛山市顺德区 行政服务中心承载着教育网与电子政务网两张网络，随着近几年互联网的 快速发展，目前教育网出口带宽已达到 4g，而电子政务网出口带宽已达到 1.5g，原有出口设备已承载不了如此大的流量，因此需要对原有出口设备 进行升级改造。同时，根据信息安全

25、等级保护的相关要求，顺德行政服务 中心网络需要增配综合日志审计系统，实现对行政服务中心全网的网络日 志集中采集、分析和审计。 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 10 第第 5 章章 项目本期建设原则及技术路线项目本期建设原则及技术路线 5.1 项目建设原则项目建设原则 行政服务中心工作业务复杂、专业性强，信息化建设涉及面广、时间跨度大、 技术要求高，为了确保系统建设的高效、有序进行，在严格遵守信息安全等级保护 提出的建设原则的前提下，应遵循以下建设原则： 1、充分利用现有资源 针对本系统的建设工作，在满足信息系统功能、性能与安全条件的前提下

26、，信 息化网络建设将充分依托现有系统设备资源和网络设备资源。 2、安全主导，务求实效 以行政服务中心网络安全建设和业务应用系统建设需求为导向，以国家信息安 全规范标准为指导原则；区分轻重缓急，按照由易到难、突出重点、以点带面的原 则，大力加强各类应用系统与数据安全交换平台的对接工作。 3、统一标准，资源共享 按照统一的标准与规范，加强网络基础、业务系统和信息资源建设与整合，促 进互联互通、信息共享，使有限的资源发挥最大效益。 4、规范管理，保障安全 对网络中的各项应用和信息资源进行科学分类，按照同步规划、同步建设的原 则，坚持积极防御、综合防范的方针，管理与技术并重，从实际安全出发，正确处 理

27、网络安全、信息安全、信息保密的关系，综合平衡建设成本和安全风险，分级、 分类、分阶段进行安全建设，落实安全责任制，以安全保发展，在发展中求安全。 5、立足当前，适当前瞻 信息技术发展日新月异，国家民主法制建设和行政审批制度改革不断深入，网 络安全是一个动态的发展过程，网络安全建设要立足行政审批工作当前的实际需要， 充分利用现有的基础网络、应用系统和信息资源，同时要具有适度的前瞻性、可扩 展性和开放性，适应未来业务和信息技术发展的需要，保证整个系统的可持续发展。 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 11 本方案在制定安全系统设计时所采用的基本安

28、全策略为：主要以数据交换平台 为基础，以安全隔离信息交换技术和数据摆渡技术为主体，辅之数据库、文件数据 交换系统、可信访问进程服务系统、集中监控系统等；构造一个具有最高安全强度 的、在较长一段时期内可以防御绝大部分已知和未知的网络攻击手段的、并可以满 足用户多种网络应用数据交换平台。 内外网数据信息交换的安全原则和要求体现在如下几个方面： 建立统一的安全隔离数据交换平台，业务内网核心服务通过统一、唯一出口实 现与外部主机、网络间的可信信息交换，统一管理，执行统一的安全策略，实现内 部网信息和外部应用数据交换的高度可控性。 解决从客户端解决从客户端- -数据传输链路数据传输链路- -网络边界网络

29、边界- -业务服务系统的全链路数据传输安全业务服务系统的全链路数据传输安全 保障；保障； 内部网通过安全隔离数据交换平台与外界进行的信息交换必须受到严格的控制， 内部网安全隔离平台可以提供必要的安全手段，防止内网向外部泄漏敏感信息和抵 御外网协议和系统攻击。 安全隔离数据交换平台必须具备较高的网络性能及稳定性、高可用性和可扩展 性。 5.2 项目技术路线项目技术路线 本项目严格遵循国家相关信息安全建设规范和标准，严格遵循网络系统等级保 护制度的技术基本要求，对行政服务中心现有网络安全基础设施进行差距分析和评 估、设计，通过本项目建设一套符合国家电子政务网信息安全建设标准的顺德区行 政服务中心网

30、络安全防护体系。 该防护体系的核心是将原来一张网分离为两张网，两网数据交换通过强边界防 护措施实现信息安全防护，内外网再细化安全域设计，进一步实现各安全域内部的 防护措施（如：本项目所涉及的审计产品） ，下面针对本项目核心部分的技术路线 进行描述如下： 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 12 5.2.1 提供七层访问控制提供七层访问控制 接入平台功能模块内部含有基于 rfc 规范检查机制，可实现对协议包的细粒度 解析和安全检查，保护文件传输、数据库传输包括自定义协议等协议传输的 1-7 层 安全过滤能力。 底层传输底层传输 网络通信链路检测

31、，当网络从异常状态恢复后，在一定时间周期后可自行恢复 数据传输。 周期检测数据链路的运行情况，以便合理分配数据链路 链路回收：对一定周期无响应的链路进行回收 支持单播、多播和组播方式，有效解决流量瓶颈问题。 内外网数据交换流量控制内外网数据交换流量控制 基于业务种类的流量控制，针对不同业务种类可以调配相对应的流量。 可控制接入系统的总流量上限，到上限后不接受新用户的连接，可设置单一业 务的流量上限。 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 13 针对服务中心多业务应用延展针对服务中心多业务应用延展 平台中三部件均提供开放的 api 接口，可以针对

32、行政服务中心将来的安全需求 实现深化控制。 5.2.2 通过隔离技术提升内外业务关联过程中信息安全级别通过隔离技术提升内外业务关联过程中信息安全级别 平台三部件中，核心部件采用网络隔离交换设备平台三部件中，核心部件采用网络隔离交换设备 安全隔离与信息交换系统率先通过芯片控制数据流向，确保了对数据检查的有 效性。传统网闸设备并不具备高可靠性的专用硬件，通常采用内外端系统分时访问 硬盘的方式来提供安全隔离。可是硬盘是读写装置，很难从硬件上对数据流向进行 控制，因此无法保证数据流向的可靠，进而无法保证阻止信息攻击也无法保证检查 的有效性。因此比传统网闸防火墙utm 等边界防护设备具有更高的安全性。

33、接入平台之核心设备网闸采用了 lvds 总线技术进行通信。这种电路有专用 的控制逻辑，必须采用专用的驱动程序才能驱动隔离开关进行数据交换。为了防止 驱动程序被破坏，我们将驱动程序进行了固化，在系统启动时在内存中运行。如果 攻击者在内存中替换驱动，也因为驱动的专用性而不能得逞。系统下次启动时重新 载入专用驱动，可确保恢复正常。 实现内容控制实现内容控制 该交换平台内集成了文件密级标识检查模块和高效内容检查模块，可以对由内 网送到外网的数据进行密级检查和内容检查，从很大程度上防止泄密，因此不但提 供了安全的通信手段，而且具有更好的保密性。 5.2.3 采用采用 mips 多核平台多核平台+asic

34、 硬件芯片实现平台高性能硬件芯片实现平台高性能 由于行政服务中心网络分离设计后内外网并发量、交换流量都非常大，考虑将 来的业务延展性，需要技术上保证平台能实现或接近“实时” 。本方案中建议采用 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 14 的接入平台采用 mips 多核平台+asic 硬件芯片实现了高性能设计，内部总线能达到 7gbps。 接入平台之核心设备网闸内部反射 gap 系统完全基于 asic 硬件体系设计， 不同于通道类硬件不可编程安全隔离板卡，其具备独立硬件级安全控制逻辑，能够 在不含操作系统的硬件环境下完成复杂的数据安全检查和摆渡控

35、制逻辑，因此实现 了安全检查功能的不可编程特性，具备更高安全性。 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 15 第第 6 章章 项目建设总体设计项目建设总体设计 6.1 总体架构设计总体架构设计 图图 5 5. . 顺德区行政服务中心网络系统安全改造项目总体架构顺德区行政服务中心网络系统安全改造项目总体架构 在互联网接入区与行政服务中心内网之间部署边界安全交换平台，交换平台主 要部署的设备有： 1、 针对数据交换业务链路：在行政服务中心内网与互联网接入区之间部署安全数 据交换系统（含前后置认证服务器，前后置数据交换系统） ，隔离网闸；针 对大数据

36、流量和用户数，采用双链路热备方式部署； 2、 在互联网接入区前端部署两台防火墙，采用双机热备模式，分别针对教育网和 互联网的安全接入和安全防护； 3、 在行政服务中心的 dmz，政务专网，分别部署网络综合审计系统，监控数据库、 主机和网络的运行状态信息； 4、 在行政服务中心内网部署集中监控管理系统，统一监控与安全数据交换相关的 安全设备的运行信息，统一内外网相关设备的管理，统一制定安全策略； 5、 在互联网接入区部署集控探针，负责采集外部数据交换相关安全设备的运行状 态信息、配置信息等，通过数据交换系统传输到集中监控管理系统，统一管 理； 顺德区行政服务中心网络安全改造项目顺德区行政服务中心

37、网络安全改造项目 建设方案建设方案 16 方案设计主要安全策略： 1、针对数据同步业务链路：在互联网接入区的应用服务器在生成数据后，将 数据传输到数据交换系统对应用服务器进行认证，判断是否是合法的应用服务器上 传到指定的目录或数据库，如果是非法上传，将阻断数据上传，如果是合法上传， 对数据进行扫描，判断数据合法性，若数据是非法数据，则丢弃。 前置数据交换系统进行认证，认证通过后，由安全数据交换系统通过私有协议 下载数据，通过私有协议由隔离网闸进行数据摆渡，后置认证服务器与后置数据交 换服务器系统完成认证后，继而由数据安全交换系统通过私有协议上传到应用系统； 反之亦然。 2、互联网接入区的集控探

38、针通过 snmp、syslog 搜集到的安全设备、网络设 备、应用服务器的系统信息和管理日志信息，通过前置认证服务器认证后，通过网 闸采用私有协议的方式将信息数据传输到行政服务中心内网的集中监控管理平台， 集中监控管理系统将相关信息统一管理。 6.1.1 内外网数据安全交换平台架构内外网数据安全交换平台架构 内外网数据安全交换平台作为顺德区行政服务中心内、外网数据安全交换边界 的统一出入口，位于信息内网与信息外网之间，其整体架构如下图所示： 数据库隔离装置 idc网络 信息内网内外网数据安全交换平台 dmz区 信息外网 安全隔离网闸 数据安全交换组件 （内网） 数据安全交换组件 （外网） 安全

39、隔离交换装置 数据库访 问控制 高危操作 过滤 数据库入 侵阻断 结构化数据交 换 非结构化数据 交换 定制协议数据 交换 高强度安全交 换通道数据库操 作审计 结构化数据交 换 非结构化数据 交换 定制协议数据 交换 高强度安全交 换通道 图图 6 6. . 数据交换架构数据交换架构 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 17 内外网数据安全交换平台由数据库隔离装置、安全隔离交换装置两部分核心组 件构成，安全隔离交换装置由数据安全交换组件（外网） 、安全隔离网闸、数据安 全交换组件（内网）三大子组件构成，数据安全交换组件（内外网）由结构化数据

40、 交换、非结构化数据交换、定制协议数据交换和高强度安全交换通道四个子功能模 块组成。 信息外网 dmz 区通过内外网数据安全交换平台与南网信息内网进行数据交换。 6.1.2 数据安全交换功能设计数据安全交换功能设计 （1）结构化数据交换）结构化数据交换 支持主流数据库交换，如 oracle、sqlserver、mysql 等； 支持主流操作系统，如 linux、windows 等； 支持全表同步、增量同步、全表更新以及标记同步等功能，可实现增加、删除、 修改等增量的识别和数据同步； 支持一对一、一对多、多对一的同步方式； 可以针对表中指定的字段或指定字段的特定阀值进行条件同步，在标记同步模 式

41、支持自定义标记的字段名称和字段类型； 支持 mssql image、oracle clob、blob 等各大字段类型进行同步； 支持 oracle、sqlserver、mysql 数据库间的异构同步，同样在异构环 境中支持大字段数据同步，支持全表更新同步、增量更新同步等操作； 支持单向、双向同步功能； 具有数据传输完整性保障机制； 具有详细的日志记录，包括数据抽取日志，数据加载日志等信息。 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 18 （2）非结构化数据交换）非结构化数据交换 支持主流文件类型，如 office 文档、图片、多媒体文件、xml 等

42、； 支持主流操作系统，如 linux、windows 等； 支持单向、双向同步； 支持 ftp 或 smb 模式读取本地或远程的文件； 内置杀毒引擎能够过滤交换数据中的病毒和木马； 支持高可靠文件传输，文件完整性校验；文件内容识别检查过滤和文件格式特 征检查；支持增量文件同步，实现内外网两个目录之间的文件一致性；小文件 传输可使用多线程并发提高传输效率； 支持文件格式检查功能，能对 word、excel、pdf、exe 等多种文件格式进行 检查，合法特征文件可以通过，非法格式文件被拒绝通过； 支持防止伪造文件功能，伪造后缀名的文件和在文件中增加二进制执行代码的 恶意文件将被拒绝传输； 具有私有

43、的安全上传、下载功能，不依赖 ftp、文件共享等通用文件传输协议； 具有操作权限功能，能够按角色分配个人目录和共享目录访问操作权限； 支持断点重传功能，在出现断电或传输中断等情况下，能够保证系统恢复时， 交换的数据能重传或续传且不出数据丢失现象。 （3）定制协议数据交换）定制协议数据交换 系统采用分布式体系架构，支持集中部署和分级部署两种混合部署方式。提供 系统集群管理的界面截图和分布式体系架构技术说明； 支持在线扩容功能，支持动态增加分组，实现存储容量的在线扩容； 系统对保存的所有文件进行 aes256 加密，访问时采用 https 加密通道，解 密后访问，有效保证数据的安全； 支持数据交付

44、优先级控制，系统自动进行实时数据和历史数据的交付，实时数 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 19 据优先交付，其次交付历史数据； 采用定制化数据传输协议； 采用数据队列技术，实现集群环境下的分布式数据队列，提供高性能数据缓存； 数据对账功能。提供与应用系统间的自动对账功能，能够对每日数据信息进行 日结对账，并自动实现系统间的数据补录，保证应用系统信息完整性； 支持通过浏览器可以查看应用交付拓扑结构及应用情况； 系统采用图形化配置界面，提供相关系统参数的配置页面，通过页面进行存储 软件的配置，配置项包括：基础参数、运行参数、数据库连接、服务

45、ip 等； 系统提供页面查询服务状态，可以对服务的启动、关闭、重启等操作； 系统提供日志查看、下载功能，通过监控页面及时查询应用交付日志信息； 支持用户权限管理，支持不同用户可以使用不同功能； 6.1.3 数据安全交换模块设计数据安全交换模块设计 数据安全交换系统包含数据库数据交换、文件数据交换和授权代理三个模块体 系。 数据交换 数据库数 据交换 文件交换 数 据 源 配 置 触发器机制 全表机制 格 式 检 查 内 容 过 滤 数据交换 数 据 安 全 和 完 整 内 到 外 外 到 内 双 向 内 到 外 外 到 内 文 件 源 配 置 内 容 过 滤 格 式 检 查 数 据 安 全 和

46、 完 整 文件交换 同步机制摆渡机制 内 到 外 外 到 内 双 向 内 到 外 外 到 内 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 20 （1 1）文件交换功能）文件交换功能设计设计 inputplugin outplugin outplugin inplugin 数据传 输模块 文件探针模块 文件探针模块 图 12：文件交换功能设计 文件传输主要由文件探针模块、平台接口包括文件输入（inputplugin） 、 文件输出（outplugin）接口组成。文件探针模块实现文件的读取、传输、接收等 功能，文件输入接口接收文件探针模块传输的数据流，并

47、通过平台传输给文件输出 接口，输出接口将数据流传输给目标端的文件探针模块，文件探针模块接收数据流 后保存文件。 文件探针主要由传输配置、输入、输出三部分组成 使用 jsp 页面设置传输参数，可配置并可在探针上实现多个文件传输应用。参 数包括：传输 ip 地址、传输端口、传输方式、应用名、是否可用、源文件目录、 是否删除源目录文件、传输频率、文件目标目录。 传输步骤： 文件探针应用启动先进行源端机器和目标端机器的时戳校准，即探针源端发送 一个当前时钟给探针目标端，以源端时间为基准进行校准，目标端时间为源端值的 正值或负值。 源端探针将内存结构中的所有信息发送到目标端，目标端根据接收的信息去对 应

48、的目标文件目录比对文件名及时戳，如果存在文件：则查看源比目标早或者晚， 早则查看下一个文件，晚则查看操作类型，如果为删除操作，则直接删除目标文件， 如果操作为修改则设置为需要传输，将其写入目标端新的内存结果中；如果文件不 存在也设置为需要传输，且将其写入目标端新的内存结果中。返回所有需要传输的 文件信息给源端。源端开始传输文件及文件时戳目标端接收文件后，查找是否存在 该文件，如果目标端存在该比对源端文件时戳和目标文件时戳，如果源端时间早， 则放弃处理；如果源端时间晚则替换文件；如果不存在则直接写文件。 （2 2）数据库同步交换功能）数据库同步交换功能设计设计 顺德区行政服务中心网络安全改造项目

49、顺德区行政服务中心网络安全改造项目 建设方案建设方案 21 数据库 inputplugin outplugin outplugin inplugin 数据传 输模块 数据库探针模块 数据库探针模块 数据库 数据库传输主要由文件传输模块、平台接口包括文件输入（inputplugin） 、文 件输出（outplugin）接口组成。数据库传输模块实现文件的读取、传输、接收等 功能，数据库输入接口接收数据库传输模块传输的数据流，并通过平台传输给数据 库输出接口，输出接口将数据流传输给目标端的数据库传输模块，数据库传输模块 接收数据流后保存数据。 数据库同步支持三种方式：全表复制、触发同步、标记同步 a

50、) 全表复制 程序使用 jdbc 驱动连接到数据库，定时扫描数据库中指定表或字段，读取其 中的内容以文件的方式通过平台传输模块。此种方式适合数据量小，实现简单的同 步方式。 b) 触发同步 程序在用户配置以后自动在需要被同步的数据表上建立触发器，监控该表的数 据变化。一旦表中出现数据变化，触发器将捕获到数据的变化，并将其提取出来。 数据通过平台被同步到对方数据库中。 c) 标记同步 程序依靠数据库表中指定的字段标识数据的变化，用户的程序在修改数据库内 容时，在该字段中写入相应的内容标识该条记录的变化。此种方式，需要修改数据 库原有的结构。 （3 3）授权访问功能）授权访问功能设计设计 使用了线

51、程池技术及通道复用技术，减少系统资源浪费，有效实现高性能的负 载。支持常见协议的授权代理功能包括：tcp、http、ftp、tns、udp、socks 协议。 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 22 授权访问模块默认情况下是关闭的，及在管理员没有做配置时是不允许内外网 之间有访问的，此处可以根据需要单独启动， http 应用代理 可对页面内容进行脚本、内容、url、控制；支持交互式动态页面访问；支持 对用户的认证功能在 http 代理服务启动的情况下，同时需要有相应的 http 资源， 代理用户，并且资源和代理用户之间以配置关联关系，用户需

52、要在 ie 中加入代理 服务器 ip 和端口，才能访问到平台另外一端的 http 服务。 tcp 代理 支持双向 tcp 代理：内-外或外-内，支持原地址黑白名单控制。 tns 代理 支持数据库应用代理，包括 sql server、oracle、sybase、db2 等数据库的数 据应用代理功能，实现对数据库的安全访问，支持原地址黑白名单控制，并彻底保 障数据库本身的安全。 ftp 代理 文件传输应用代理，支持通过 ftp 进行文件安全传输，支持原地址黑白名单控 制。 socks 代理 支持基于 socks 的应用代理，满足多种基于 socks 的应用需求。包括 socket4、socket5

53、 的支持，支持对用户的身份认证，支持原地址黑白名单控制。 6.2 关键特性设计关键特性设计 6.2.1 应用代码安全规范设计应用代码安全规范设计 接入内外网数据安全交换平台的应用系统应遵循以下代码安全规范，在提高应 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 23 用系统安全性的同时，确保应用系统数据可正常通过内外网数据安全交换平台进行 数据交互： （1）采用标准驱动程序采用标准驱动程序 应用服务器通过内外网数据安全交换平台连接数据库时必须使用 oracle 数据 库自带的标准 java 驱动（常见为 ojdbc 14.jar 或者 classes1

54、2.jar）。 （2）采用采用 thin 协议协议 应用服务器通过内外网数据安全交换平台链接数据库时必须选择 thin 协议，即 数据库连接字符串必须以“jdbc:oracle:thin”开头。不支持通过 java 走 oci 协议以及 非 tns 协议通过，不允许文件传输、webservice 交互或者 esb 数据总线通过装 置。 （3）规避系统表访问规避系统表访问 应用系统通过内外网数据安全交换平台链接数据库应规避通过系统表访问的 sql 语句，并禁止用户表名称与系统表名相同或相近的访问行为，系统表名如下； dba_*：dba_users、 dba_segments、dba_extent

55、s、dba_objects、dba_tablespaces、dba_data_fi les、dba_temp_files dba_rollback_segs、dba_ts_quotas、dba_free_space、dba_profiles、dba_s ys_privs、dba_tab_privs、dba_col_privs 、dba_role_privs 、dba_audit_trail、dba_stmt_audit_opts、dba_audit_object、dba_audit_ses sion 、dba_indexes； user_*：user_objects、user_source、u

56、ser_segments、user_tables、us er_tab_columns 、user_constraints 、user_sys_privs 、user_tab_privs 、user_col_privs 、user_role_privs 、user_indexes 、user_ind_columns 、user_cons_columns 、user_clusters 、user_clu_columns 、user_cluster_hash_expressions ； 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 24 v$_*： v$da

57、tabase 、 v$datafile 、v$controlfile 、v$logfile 、v$instance 、v$log 、v$loghist 、v$sga 、 v$parameter 、v$process 、v$bgprocess 、v$controlfile_record_section 、v$thread 、v$datafile_header 、v$archived_log 、v$archive_dest 、v$logmnr_contents 、v$logmnr_dictionary 、v$logmnr_logs 、v$tablespace 、v$tempfile 、v$file

58、stat 、v$undostat、v$rollname 、v$session、v$transaction 、v$rollstat、v$pwfile_users 、v$sqlarea v$sql、v$sqlarea、v$sysstat； （4）限制高危命令限制高危命令 原则上应用系统不得对所有表的 drop、create、truncate、grant、deny 等进行 sql 语句操作，应尽 量避免使用。 （5）空指针引用空指针引用 在使用或引用对象前，要先对其进行检查，判断其是否为空。 （6）数组引用问题数组引用问题 不直接返回指向包含敏感数据的内部数组的引用。即使数组中包含不可变的对 象（如

59、字符串），也要返回一个副本这样调用者不能修改数组中的字符串。不要传 回一个数组，而是数组的拷贝。 （7）硬编码敏感数据硬编码敏感数据 将敏感数据保存在属性文件中，无论什么时候需要这些数据，都可以从该文件 读取。如果数据极其敏感，那么在访问属性文件时，应用程序应该使用一些加密 解密技术，避免导致敏感数据泄露。 （8）无用代码处理无用代码处理 顺德区行政服务中心网络安全改造项目顺德区行政服务中心网络安全改造项目 建设方案建设方案 25 将（除启动应用程序的 main() 方法之外的） main() 方法、未使用的方法以 及死代码从应用程序代码中除去。在软件交付使用之前，主要开发人员应该对敏感 应用

60、程序进行一次全面的代码评审。应该使用“stub”或“dummy”类代替 main() 方 法以测试应用程序的功能。 （9）变量的安全访问变量的安全访问 为了使外部调用可以访问类变量，应该使用取值方法而不是 定义 public 变量。 按照具体问题具体对待的原则，在确定哪些变量特别重要因而应该声明为 private 时，应该将编码的方便程度及成本同安全性需要加以比较。 （10）序列化保护序列化保护 1）在包含系统资源的直接句柄和相对地址空间信息的字段前应该使用 transient 关键字。如果资源，如文件句柄，不被声明为 transient，该对象在序列化 状态下可能会被修改，从而使得被反序列化