高校信息化安全防护解决预案

88/88 高校信息化安全防护解决方案2016年11月1 高校信息化现状 41.1 信息化存在问题与分析 41.1.1 缺乏统一的开放支撑平台，多厂商共建筑成过程风险 51.1.2 校级流程管控缺失，各处室割离建设造成流程杂乱 51.1.3 流程杂乱及数据质量监控缺失造成数据质量低下 61.1.4 高校普遍网站安全防护力度不够安全漏洞未及时更新 61.1.5 高校数据中心安全危机和运维管控难度加大 61.1.6 私有云的建设，带来便利的同时面临着新的挑战 72 信息化问题解决思路 82.1 信息化云-管-端整体布局 82.2 信息化云数据中心安全防护 92.3 运营生态体系—信息的高可用性 112.4 构建一套高可用性、安全性的信息化系统体系 123 高校信息化需要建设内容 123.1 信息化系统建设内容 123.1.1 基础支撑平台 123.2 信息化数据中心安全建设内容 183.2.1 数据中心业务生产区安全 193.2.2 数据中心运维治理区 213.3 信息化系统管端安全建设内容 223.3.1 安全设计 223.3.2 安全部署 234 高校信息化系统安全服务需求 244.1 风险评估机制 244.2 等级爱护定级备案协助 304.3 信息系统加固修复 314.4 信息安全制度自查与优化 324.5 安全防护措施自查与优化 334.6 门户网站安全测评及安全整改 355 建议增加的安全设备/服务 376 相关产品介绍 386.1 下一代防火墙 386.1.1 下一代防火墙配置背景 386.1.2 下一代防火墙实现功能 396.1.3 下一代防火墙效果 396.2 上网行为治理 406.2.1 上网行为治理配置背景 406.2.2 上网行为治理功能 406.2.3 上网行为治理实现效果 416.3 网络安全审计系统 416.3.1 网络安全审计系统配置背景 416.3.2 网络安全审计系统实现功能 426.3.3 网络安全审计系统实现效果 436.4 云运维审计系统（堡垒机） 436.4.1 云运维审计系统配置背景 436.4.2 云运维审计系统功能 446.4.3 云运维审计系统实现效果 456.5 Web应用防火墙和网站监控平台 456.5.1 Web应用防火墙与网站监控平台配置背景 456.5.2 Web应用防火墙和网站监控平台实现功能 456.5.3 Web应用防火墙与网站监控平台实现效果 47高校信息化现状目前，高校通过这几年加大对信息化的建设，差不多实现全校网络覆盖，安全防护能力业已达到“二级”合格标准。治理信息系统如门户网站、OA系统、招生系统、教务系统、财务系统、金龙卡、教学资源系统、教学质量监控系统、图书治理系统以及各部门自主购买的一系列应用系统等等，能够讲这些应用系统差不多上覆盖了大部分校园信息化所具备的治理系统。学校中心机房有在用服务器，存储设备数套，分属各处室、分院及图书馆，各自运行、存储独立的治理系统及数字资源。信息化建设差不多差不多覆盖校内的大部分治理信息化领域，数字校园建设初具规模。当前已建的这些应用系统，差不多能够解决高校在行政办公治理、教务治理、学工治理以及科研治理等范畴内结果性数据维护的需求。在方便了各业务部门进行业务处理的同时，也积存了不同业务、不同时期的各类数据。而这些数据的沉淀，作为我校在“十二五”期间，信息化建设的重要成果，为下一时期的数据决策和分析提供有效的依据和支撑。事实证明，高校通过在“十二五”期间的信息化建设，在完成各类结果数据沉淀的同时，为各级各类型业务部门利用信息技术和手段开展业务办理，提供了有效的应用环境。在业务办理过程中，因为有了基于独立面向单体业务开发的各类业务应用系统，办理效率在大幅提升，为高校整体运营层面大大降低了因为人工方式带来的运营成本。面向学生，也能够利用信息化的手段为他们提供基于某个业务场景的业务服务。不可否认的是，高校通过“十二五”期间展开的信息化建设，在保证原有业务开展质量的同时，较大幅度的提高了业务治理水平和效率。尽管如此，在信息化建设的道路上仍然有专门多的空间需要提升。随着信息化建设的推进，云计算的技术的不断成熟以及在高校领域的不断渗入云计算通过将数据统一存储在云计算服务器中，加强对核心数据的集中管控，比传统分布在大量终端上的数据行为更安全。由于数据的集中，使得安全审计、安全评估、安全运维等行为更加简单易行，同时更容易实现系统容错、高可用性和冗余及灾备恢复。但云计算在带来方便快捷的同时也带来新的挑战信息化存在问题与分析我们不得不进一步发觉，从高校整体信息化建设的过程、应用的过程以及后期维护的过程中，仍然存在问题有些问题直接阻碍了高校后续信息化建设的节奏与效果。这些问题要紧集中在以下几个方面：缺乏统一的开放支撑平台，多厂商共建筑成过程风险高校在“十二五”期间建设的信息化系统众多。其间涉及门户网站、OA系统、招生系统、教务系统、财务系统、金龙卡、教学资源系统、教学质量监控系统、图书治理系统以及各部门自主购买的一系列应用系统等等。信息化建设过程中，多个厂商参与共建，而建设的内容差不多上以业务部门需求为核心的单体业务系统，现在是普遍高校信息化建设的现状。学校的信息化建设在设计初期，都在强调顶层规划。应该讲，如此一张蓝图是指导学校后续的信息化逐步推进的原则。但在实际过程中，由于不同厂商参与建设的学校信息化，就会出现实际建设路径与最初设计蓝图不一致的情况。归结缘故要紧有以下两点：其一，不同厂商采纳不同的技术架构开发设计，过程相对封闭。而学校信息化一旦需要从单体系统向一体化转型时，就会带来因为封闭技术架构带来的冲突，使整合难度加大，对学校而言建设安全风险增加。其二，建设边界相对模糊，带来学校从单体系统一体化转型过程中，权责难以明确的问题。厂商之间互相推诿，撇清责任。这对学校信息化安全建设过程无疑风险巨大。其三，缺乏统一的安全的身份认证手段，各厂商承建的系统对权限的管控手段水平不一，在安全性和用户直接使用感受上都存在问题，师生在使用各信息系统时往往会面对各种账号，在用户体验上大打折扣。校级流程管控缺失，各处室割离建设造成流程杂乱当前大部分高校在信息化建设过程中，各个部门和二级学院的规划和建设，差不多上各自为政，建设自己的治理信息系统或应用软件，这些软件系统来源于不同部门的采购，软件产品分属于不同的生产商。这种状况表现在应用过程中功能重叠、数据格式多样性和系统之间无关联性。所谓的“信息孤岛”就由此产生，信息孤岛的产生使信息资源的利用率大打折扣，各系统难于共享信息。由不同的软件供应商提供建设的各个业务系统的建设覆盖面较窄，且中间涉及到与该业务部门相关的大量业务流程。这些业务流程长短不一，其应用场景也相对固定。校级的业务流程现在在国内的大部分高校信息化建设过程中都相对缺失。带来那个问题的要紧缘故是由于单体业务系统的人为割裂建设有关。业务部门是这些业务系统建设的需求提出单位，他们所关注的仅仅是那个业务部门在某个业务场景中的流程需要。他们并可不能过多的关注校级层面的流程与自己部门业务流程的关联到底有哪些。同时，确实是针对自己部门内部的业务流程，每流程节点的执行人、执行时刻、执行耗时、执行效果、执行评价等这些信息也是一无所知，这也就带来了当前大部分高校在进行信息化建设过程中校级流程的缺失。流程杂乱及数据质量监控缺失造成数据质量低下高校目前构建的这些业务应用系统，从单体的系统使用情况看，仍然存在“建的多，用的少”的情况。对业务系统而言，在应用环节的缺失，直接阻碍对应业务数据的沉淀，更不用提到所谓数据质量的问题。这是阻碍数据质量不高的缘故之一。另外，学校关于数据质量的监控，包括数据交换过程的监控、代码标准的监控缺失，也导致数据质量的低下，实为缘故之二。高校普遍网站安全防护力度不够安全漏洞未及时更新随着教育行业信息化的快速进展和网络信息技术的普及应用，网络安全面临的威胁越来越严峻。专门多高校的网站或信息系统存在跨站脚本、SQL注入和后台治理弱口令等高危漏洞，部分网站差不多被植入木马。部分尽管配置了安全防护设备，但疏于治理，实效性较差，安全防护效果不明显。总体来看，教育行业的网络与信息安全形势严峻，及时查补信息安全漏洞，积极采取应对措施高校数据中心安全危机和运维管控难度加大随着教育信息化建设的逐步深入，教务工作对信息系统依靠的程度越来越高，数据服务器成为了高校重要组成内容，积聚越来越多的信息资源。近几年网上黑客攻击，修改考试成绩，骗取认证证书等事件屡有发生，教育系统差不多逐渐成为黑客关注的重点目标，高校数据中心的安全保障工作差不多迫在眉睫。

教育系统信息泄露安全风险分析

1、来自互联网风险教育行业网站系统中括学校院系门户、教学治理系统、网上课程、数字图书馆、网上办公等，为高校师生们提供各式各样的网络服务。同时都与上级教育部门进行多项联系，教育系统网络假如与Internet公网直接或间接互联，那么由于互联网自身的广泛性、自由性等特点，像高校如此的教育行业单位自然会被恶意的入侵者列入其攻击目标的前列。需要对数据库的安全进行权限操纵和加密措施2、来自运维治理的安全风险随着信息教育行业信息化建设进程，由于设备和服务器众多，特不是建设有数据中心，云平台和虚拟机众多，系统治理员压力太大等因素，越权访问、误操作、滥用、恶意破坏等情况时有发生，这严峻阻碍教务工作运行效能，并对学校声誉造成重大阻碍。另外黑客的恶意访问也有可能猎取系统权限，闯入部门内部网络，造成不可估量的损失。如何提高系统运维治理水平，跟踪服务器上用户的操作行为，防止黑客的入侵和破坏，提供操纵和审计依据，降低运维成本，满足相关标准要求，越来越成为高校关怀的问题。私有云的建设，带来便利的同时面临着新的挑战高校现在的的数据量和应用规模越来越大，大部分的高校建设或者考虑建设自己的私有云以满足以后越来越大的数据规模。从风险治理的角度讲，云的风险来源于治理资产、威胁、脆弱性和防护措施及其相关关系，保障云计算平台的持续安全，以及其所支撑的业务的安全。云计算平台是在传统IT技术的基础上，增加了一个虚拟化层，同时具有了资源池化、按需分配，弹性调配，高可靠等特点。因此，传统的安全威胁种类依旧存在，传统的安全防护方案依旧能够发挥一定的作用。综合考虑云计算所带来的变化、风险，从保障系统整体安全动身，其面临的要紧挑战和需求如下：法律和合规动态、虚拟化网络边界安全虚拟化安全流量可视化数据保密和防泄露安全运维和治理针对云计算所面临的安全威胁及来自各方面的安全需求，需要对科学设计云计算平台的安全防护架构，选择安全措施，并进行持续治理，满足云计算平台的全生命周期的安全。信息化问题解决思路信息化问题解决思路信息化云-管-端整体布局图STYLEREF2\s4.1SEQ图\*ARABIC\s21整体技术架构如上图所述，高校需要建设一个完整的开放式的私有云IT生态体系，实际上是包括了从开发生态、运行生态、应用服务生态到运营生态的全生命周期的建设过程，并最终以服务的方式向最终用户进行业务展现。每个时期的建设思路和模式都对整体信息化建设起着至关重要的阻碍。开发生态：通过组件化开发平台，形成应用和组件，应用和组件挂载到校园服务总线，可为校内应用服务池和业务应用治理服务平台调用。并将其通过资源库的方式积存为行业资源库，为日后资源复用提供储备。同时开发平台能够对外部的第三方应用进行服务化的封装，同样形成新的应用或组件，挂载到校园服务总线。基于组件化开发平台的可视化开发过程，校内的宽敞师生和社会人士也能够通过该工具完成简单的应用服务开发，并通过公布工具公布到校内，增强信息化建设整体参与面的广度和深度。运行生态：以校园服务总线、应用治理服务平台以及包括主数据治理、身份认证治理、统一通讯、移动支撑平台等在内的公共应用组件，为学校提供统一的、高交互性、高开放性的服务应用运行环境。其提供的服务差不多上通过校园服务总线进行统一公布的服务，通过业务应用治理服务平台将其编排成符合学校需要的业务逻辑，提供给用户使用。校园服务总线负责整个学校信息化建设各个平台间服务交互和信息传递，通过服务治理工具治理服务运行，通过基于校园服务总线的服务集成工具完成服务的集成和交互，通过服务标准治理工具保障各服务间调用的规范性。被服务调度总线封装的，除了组件化开发平台提供的应用和组件外，还包括校内专门多的基础应用组件，如主数据治理、统一身份认证、统一支付等，都以服务的方式在服务调度平台上进行挂载，并借由服务调度平台完成同其它平台的集成。应用服务生态：改变原有的行政化、治理化信息系统使用模式，以类互联网的模式，形成校内的应用超市，包括校内师生综合服务平台和校外的服务应用池，有效接入，实现应用服务的动态分配和按需使用。并对服务使用进行全面监控和治理，对业务过程和服务质量做到有效评估。信息化云数据中心安全防护云计算平台的安全保障技术体系不同于传统系统，它也必须实现和提供资源弹性、按需分配、全程自动化的能力，不仅仅为云平台提供安全服务，还必须为租户提供安全服务，因此需要在传统的安全技术架构基础上，实现安全资源的抽象化、池化，提供弹性、按需和自动化部署能力。充分考虑云计算的特点和优势，以及最新的安全防护技术进展情况，为了达成提供资源弹性、按需分配的安全能力，云平台的安全技术实现架构设计如下：讲明：安全资源池：能够由传统的物理安全防护组件、虚拟化安全防护组件组成，提供基础的安全防护能力；安全平台：提供对基础安全防护组件的注册、调度和安全策略治理。能够设立一个综合的安全治理平台，或者分立的安全治理平台，如安全评估平台、异常流量检测平台等；安全服务：提供给云平台租户使用的各种安全服务，提供安全策略配置、状态监测、统计分析和报表等功能，是租户治理其安全服务的门户通过此技术实现架构，能够实现安全服务/能力的按需分配和弹性调度。因此，在进行安全防护措施具体部署时，仍能够采纳传统的安全域划分方法，明确安全措施的部署位置、安全策略和要求，做到有效的安全管控。关于安全域的划分方法详见第五章。关于具体的安全操纵措施来讲，通常具有硬件盒子和虚拟化软件两种形式，能够依照云平台的实际情况进行部署方案选择。云平台的安全防护措施能够与云平台体系架构有机的集成在一起，对云平台及云租户提供按需的安全能力。运营生态体系—信息的高可用性通过对高校信息化建设现状与问题的分析与总结，以后高校信息化建设的核心是以面向角色的服务为导向建立整体数字化校园开放性生态体系。以先进的技术构架为依托，制造一个高开放度的信息化环境，更好的应对学校内部业务变化和外部信息技术进展趋势带来的冲击。构建如此的一种生态体系，学校需要从技术架构、建设思路、建设模式等多个方面进行转变。要做到能够同时满足技术进展的需要、学校业务的需求、供应商参与的诉求，充分利用学校在信息化方面的人力与物力投入，构建良性的、可持续进展的校园信息化生态。围绕行政部门建设信息化的思路和模式。基于开放的信息化环境，将校内信息化建设成果和校外互联网应用都以服务的形态进行重新梳理、重新组合，并通过有效的治理机制在校内的统一应用平台上进行注册、公布，为校内师生提供综合性的服务猎取通道和高体验度的应用服务，大大增加用户黏性与依靠度。基于高使用率的综合服务，校内师生不但能够在综合服务平台上使用服务，还能够对校内服务进行评价和反馈，综合服务平台同时记录下各类用户的操作轨迹、用户行为，辅以传统的治理业务数据，为各级治理者提供全面、有效的数据分析服务，关心各级治理者决策分析，优化业务模式。各类需要优化的应用，需要有效的运营机制保障，在校内建立长效化、持续化的运营机制，保证校内应用和服务的升级与迭代。在运营机制的保障下，借助快速建模工具和快速开发平台，让信息中心、建设方和服务提供商都能够基于完善的运营机制参与其中，共同提升校内信息化水平。构建一套高可用性、安全性的信息化系统体系建设一套上网行为治理系统，有效防止互联网有害信息在高校的散布与传播，加强对危害国家安全、阻碍社会稳定、淫秽色情等有害信息的预防、监控和治理力度，防范各种破环活动，配合公安部门及时发觉和打击各种网上违法犯罪行为。通过对网络进行有效的操纵和监管，规范用户正确的上网行为，努力创建和谐校园。确保web应用安全的最大化，防止网页内容被篡改，防止网站数据库内容泄露，防止口令被突破，防止系统治理员权限被窃取，防止网站被挂马和植入病毒、恶意代码、间谍软件等，防止用户输入信息的泄露，防止账号失窃，防SQL注入，防XSS攻击等。由于信息化系统的脆弱性、技术的复杂性、操作的人为因素，在设计以预防、减少或消除潜在风险为目标的安全架构时，引入运维治理与操作监控机制以预防、发觉错误或违规事件，对IT风险进行事前防范、事中操纵、事后监督和纠正的组合治理是十分必要的及时的进行信息化系统的安全评估及安全扫描，从而发觉的各种系统漏洞，同时依据既定的相关策略，采取措施予以弥补，消除已暴露的问题和可能的隐患，加固主机系统、网络设备和架构、WEB应用程序安全漏洞，提高信息系统的健壮性，抵御外部的各种安全风险以及恶意攻击，实现信息系统长期安全、稳定运行的最终目标。高校信息化需要建设内容信息化系统建设内容基础支撑平台新的建设模式需要新的技术体系支持，改良校内现有IT架构是本次项目规划与建设中特不重要的环节。基础架构的合理性和先进性以及开放性决定了我校以后信息化建设成败。通过建立新的基础支撑平台，实现对校内各类应用、服务的有序接入和治理，综合数据层面、开发层面、应用层面和运维层面，建立统一的基础支撑架构，保证信息化建设的基础坚实。主数据平台建设高校通过多年的信息化建设，差不多形成了一套校内的信息标准，同时学校现在差不多建立了公共数据平台，用于处理各业务系统的共享数据交换和集成，同时积存大量的业务数据。但随着信息技术的进展和校内业务的调整，原有信息标准差不多不能满足以后的信息化进展需要，现有的公共数据平台也无法支撑后期开放架构下的数据共享与治理，校内数据质量也存在一定问题。因此，为了达成上文信息化生态的整体建设目标，建议对现有的公共数据平台进行升级改造，从以下几个层面提升数据平台的能力：1、信息标准的执行能力；升级现有信息标准治理系统，一方面能够全面升级学校原有信息标准的内容，另一方面能够加强信息标准的实际使用和执行情况的治理手段，学校内部的主数据库和业务数据库一旦有和信息标准不同步或不一致的情况，系统将及时检查并将差异情况提报给数据平台治理人员，关心其了解和及时纠正信息标准执行的差异，确保信息标准的可执行性。2、共享数据的开放能力；现有公共数据平台的数据集成和共享完全基于ETL的方式进行，ETL作为业内通用和常用的成熟技术，在数据交换和共享过程中的稳定性和高适用性具有专门好的优势。但随着信息架构的进展，传统的ETL方式缺少数据共享的及时性和灵活性，无法将一些需要快速反馈的数据进行有效同步，直接通过数据库进行数据交换的途径也缺少多元的数据共享通道和手段，在后期的信息化建设过程中，需要提供及时有效、灵活可配的数据共享方式，便于后期碎片化服务的封装和建设。3、数据质量的治理能力；数据作为信息化建设的核心内容，其质量好坏在高校内一直是一个无法量化的黑盒，但数据质量的好坏直接阻碍到学校后期数据分析和数据利用的有效性，因此需要一套先进的治理工具，对学校的数据质量进行全面的监控，关心数据平台治理人员了解校内数据质量，便于其有效推进和提升校内整体数据质量。4、历史数据的积存能力；现有公共数据平台的要紧作用是保证校内共享数据的交换，因此其要紧是对现有业务数据的同步更新与共享公布，并没有对抽取上来的共享业务数据的历史数据进行保存，一旦学校的业务系统不具备对历史业务数据的存档功能，学校大量的历史数据便会随着新业务数据的更新而丢失，专门大程度上后期学校进行数据分析和数据统计的使用。因此本次的主数据平台升级建设同样需要对历史业务数据进行详尽保存，以天为单位进行历史数据切片保存，作为学校数据资产的积存。基于上述四个层面，高校在后期需要通过建立一个符合教育行业特性的高校数主据治理平台。覆盖高校数据层面全生命周期的治理。从信息标准、代码标准，到数据共享、交换，直至最终的数据质量保证等。将高质量的主数据以服务的方式提供给校园服务总线，便于上层应用的抽取和使用。同时需要提升信息标准执行能力，采纳自动化工具对校内信息标准和代码标准进行监控和治理，让标准真正成为标准、提升数据质量治理能力，保证数据价值的最大化、提升数据共享集成能力，做到数据实时共享。主数据平台建设内容信息标准建设：在进行后期信息化建设之前，需要对校内的信息标准和数据质量进行重新的梳理和规划，以服务化和开放性的视角重新定义校内信息标准，使之具有可扩展性和可持续性。对学校现有信息标准和数据质量进行全面梳理和优化，使之能够提供符合教育行业标准的参考代码标准模式及数据共享和交换需求的主数据模式。信息标准要紧建设内容如下：数据清洗与数据质量提升对校内现有业务数据进行全盘分析和检查，找出数据质量隐患和存在问题，对质量不高的数据和无效数据进行清洗和优化，保证现有业务数据的高质量，为后期进行信息化改造奠定基础。信息标准升级基于最新的国标、部标、行标，结合现有校标和校内实际业务情况，充分考虑后期信息化改造需要，将校内信息标准进行重新梳理和升级，使之符合最新的技术规范和业务需求。数据流向规划对校内各业务部门和行政单位的数据流向进行重新规划，消除原先数据责任单位不明确的现象，并确定校内数据出处的权威性。幸免出现数据二异性。信息标准治理工具：提供数据标准治理、代码标准治理、数据流向治理、代码检测治理工具。关心学校有效提升数据质量，强化数据治理能力。元数据治理工具：对主数据和代码标准模型进行维护，提供语义支持，实现对底层模型的集中维护和治理，提供对数据分类的治理。主数据和业务系统代码表之间映射关系的治理，检测元数据和系统数据库之间表、字段以及字段属性的不一致情况，依照元数据检测情况创建数据库实体对象数据集成平台：提供集成接口支持、数据集成KM库、拓扑治理工具、集成设计工具、集成调度工具等实现数据流向集成。数据共享接口公布工具：通过可自定义的数据公布接口，实现统一的数据实时、按需的共享需求。提供数据共享服务接口的新增、删除、修改、授权、接口启停以及运行治理。数据备份治理工具：实现构建主数据仓库来保留了代码标准、主数据的历史数据，能重现每天的数据情况，方便日后的时刻维度上的数据分析工作。运行监控工具：为信息中心运行监控人员提供系统的动态，异常情况，数据情况等。以图形化的方式，较通俗易明白的表现形式来展现系统的各种运行和异常情况，同时按照事件的重要程度，将最重要的信息展现在最醒目的位置。目前包含系统首页、数据集成监控、数据库监控等。身份认证治理平台为了保证校内外应用的高效接入和顺畅的用户体验，需要建立校级的身份认证治理平台，统一治理校内外各类应用及系统的登录、访问和互相之间的认证。充分保证外部应用访问时数据权限和访问权限细颗粒度的操纵。同时对校内所有账号进行基于工具化的有效监控和治理，保证校内账号和密码的安全。身份认证治理平台建设内容身份治理：为数字校园提供集成用户身份认证和SSO单点登录服务，并为校园系统提供认证和SSO接口服务，同时包含身份自助服务、账号治理、应用认证治理等。认证服务反向代理：认证服务的反向代理服务器，简化第三方接入的接入工作。集群部署：包括两台认证服务器、两台LDAP的部署。审计治理：为治理员提供及时发觉问题之用，可审计出异常的帐号、不合理的认证行为和授权行为，用于发觉系统可能存在的安全问题和隐患。监控治理：为治理员提供了掌握系统各项服务运行状态的功能，可关心治理员尽早发觉系统运行问题。身份认证：身份认证功能是身份认证治理平台的核心基础服务，随着信息化建设的不断深入，当前所采纳的身份认证的方式也逐渐增多，平台需要支持多终端认证、第三方帐号绑定、动态登录、扫描登录、免登录、二次登录等多种登录方式。OAuth开放服务：要紧包括OAuth接入应用治理，开放接口治理，开放接口，代理权限插件，用于把学校的认证能力开放出去，方便师生访问第三方应用。应用治理平台师生综合服务是校园生态体系建立的关键环节，将分散在各个系统中面向教师、学生的服务内容进行重新梳理和归类，通过服务重新定义、封装的方式在应用服务治理平台上进行综合呈现，面向教师、学生提供覆盖全生命周期、能够不断完善、师生真正关怀、有有用价值、便捷的信息服务；高校现有的信息门户只完成了对校内各类资讯和个人信息的数据层面整合，实现了简单的信息集成，由于技术架构的局限性，无法按照学生和教师的视角抽取、封装和展现碎片化的服务。因此在本次建设规划中，建议按照最新的服务体系生态重新构建面向师生综合服务的门户系统，同时，提供完整的服务前台交互与后台治理功能，支撑服务治理效率和治理水平的提升，监控和优化服务质量。更好的满足学校业务需要和师生服务需要。应用治理平台建设内容如下：应用门户：提供一站式办事大厅服务门户，基础组件包含热门排行、最新推举，立即开放应用、应用收藏等，支持针对应用服务中心进行多维度查询搜索服务。应用治理中心：作为校内服务应用的唯一载体，负责为校内应用提供统一的集成、公布、注册、授权和使用平台，关于校内应用提供接入信息维护、下架申请、审核等治理功能应用授权治理：面向应用的接入提供用户组治理、应用权限治理。基础应用：通知公告、调查问卷、新闻订阅、在线咨询、个人数据校园服务总线对现有治理系统解构、重组和碎片化会产生后台服务的大量调用和集成，除了数据层面的数据共享之外，还需要解决校内信息化建设中存在的紧耦合、异构性等各类问题，充分利用现有建设成果构建全新的高校信息化生态，建立基于高校行业特征的校园服务总线。实现从简单的“数据集成，门户集成”向“服务集成”模式的转变。提供接口标准治理、服务治理、服务交换等全方面的底层服务治理平台，为其他基础平台和公共应用组件、上层服务提供总体服务调度和治理。保证校内信息体系的可治理性。实现服务治理从离散到集中，具备更可控的系统架构，增加信息化资源的可治理性、实现技术架构从差异化到标准化，更统一的集成方式，降低改造成本、实现建设过程从繁乱到有序，带来更简化的建设方式，降低运维难度、实现整体体系从封闭到开放，形成更良性的运营环境，增加信息化生态的可持续性。校园服务总线建设内容如下：服务集成工具：采纳高性能、高可用性的商业中间件，解决异构系统集成时相互调用的协议、格式不同的转换问题，解决大并发情况下服务负载、服务缓存的问题，并实现服务流程的可视化编排，保证服务调用、服务交互时的稳定性和安全性。服务注册工具：校园服务总线需要提供接口供开发人员注册服务，仅需提供服务的相关元信息及WSDL文件，即可实现注册步骤。而WSDL文件格式的差不多验证部分需要自动完成，后期将要求服务提供者附加范例代码。其中的从属系统标签则用于服务分组。关于restful形式的服务，需要提供详细的参数信息或提供关于restful服务的输入和输出实例实现注册。服务查看与搜索：关于服务的操作及其参数信息，校园服务总线提供页面展示服务详细信息。关于服务的搜索，平台会提供服务分类的基础模板，系统治理员能够对其进行扩展，第三方可依照服务分类进行搜索。注册状态查看：校园服务总线具有一定的开放性，但并不代表所有的服务都可注册上来，因此注册服务的过程需要人工审核的步骤。而开发人员则可在注册状态查看功能模块查看到已注册服务的当前状态（审核通过、未审核、审核中）申请服务授权：校园服务总线提供接口供开发人员为所开发应用申请服务的授权，申请以应用为单位。在该页面，开发人员可看到所有服务的列表，仅需简单勾选，即可实现申请步骤。API服务监控：校园服务总线提供对平台及服务所运行服务器的监控功能。考虑到平台本身的运行状态对其上运行的服务及应用有着极重要的阻碍，对其的监控必不可少，但对高校硬件的监控本就存在一套体系，因此校园服务总线仅提供平台硬件的关键性能监控，即对校园服务总线运行起关键性阻碍的指标（如CPU占用和内存使用情况）服务注册审核：系统治理员依照服务注册信息来确定是否审核通过该服务的注册，比如考虑该服务的功能是否合理，后期还将考虑该服务是否应该注册在该系统下。提供给系统治理员的信息具体包括服务名称、服务所属应用/模块、接口人等。当前审核状态则包括审核中和未审核。信息化数据中心安全建设内容云计算系统具有传统IT系统的一些特点，从上面的安全域划分结果能够看到，其在外部接口层、核心交换层的安全域划分是差不多相同的，针对这些传统的安全区域照旧能够采纳传统的安全措施和方法进行安全防护。如下图所示：因此，从上面的安全域划分结果能够看到，相关于传统的网络与信息系统来讲，云平台由于采纳了虚拟化技术，在计算服务层、资源层的安全域划分与传统IT系统有所不同，这要紧体现在虚拟化部分，即生产区、非生产区、治理区、支撑服务区、堡垒区、DMZ区等。那个地点要紧论述和讲明生产区的安全建设。非生产区和治理区、DMZ区类似，不在累赘讲明：数据中心业务生产区安全生产区部署了虚拟化主机、软件平台、应用层，应基于虚拟化技术实现，因此其安全防护应考虑虚拟化安全、网络安全、主机安全、应用安全、数据安全等内容。虚拟化安全虚拟化安全要紧涉及虚拟化组件及其治理的安全，包括了虚拟化操作系统、虚拟化交换机、虚拟主机、虚拟存储及虚拟化安全治理系统的安全。网络安全网络安全要紧涉及防火墙、异常流量检测和清洗、网络入侵检测、恶意代码防护、VPN接入、安全审计等内容。防火墙及边界防护安全域需要隔离，并需要采取访问操纵措施对安全域内外的通信进行有效管控。通常可采纳的措施有VLAN、网络设备ACL、防火墙、IPS设备等，那个地点要紧对防火墙的功能、部署进行讲明网络异常流量监测与分析云计算中心部署的应用和业务特不丰富，如基于流媒体的音视频服务，VPN业务等等，必定会受到各种网络攻击，如DDOS，进而出现大量异常流量。在这种流量成分日益复杂，异常流量海量涌现的情况下，对网络流量进行实时监测和分析，从而全面了解流量的各种分布以及变化趋势就显得十分必要了。流量统计分析 流量统计分析的任务是实时监控进出云计算中心流量的地域分布，应用组成分布、变化趋势，并生成相应的统计报表。统计对象的粒度能够为IP地址、IP地址段、用户（用IP地址或地址段的组合来定义）。流量的地域分布显示对某个主机（或地址段、用户）的访问流量来自哪些地域。流量统计结果对流量工程具有专门重要的参考价值。应用组成分布显示云计算中心内部各种业务的开展情况，结合地域分布的信息，也能够指导流量工程。流量的变化趋势显示流量随时刻的变化规律以及峰值时段对带宽的占用情况，这些数据有助于进行云计算中心容量规划。双向异常流量监测 异常网络流量分析系统应对网络中的由内至外、由外至内的流量进行双向监测，即可监测外发异常流量，也可监测外来异常流量；异常流量定位 异常网络流量分析系统应对网络中的流量进行持续监控和实时分析，并对异常流量进行及时的发觉、告警和定位，使网管人员能够准确的发觉异常流量进入网络的端口和攻击目标；异常流量分析 关于云平台，其数据流量较大，且内置的虚拟交换机能够直接输出Netflow数据流，因此建议在云计算中心采纳基于流（FLOW）信息的流量分析产品。网络入侵检测云计算对外提供服务，完全面向互联网，所面临的威胁被无限放大，在云计算中心网络出口采纳入侵检测机制，收集各种信息，由内置的专家系统进行分析，发觉其中潜在的攻击行为。由网络入侵检测系统捕获分析网络中的所有报文，发觉其中的攻击企图，依照事先制定的策略通知治理员或自行采取爱护措施。应用安全Web应用防护云计算中心一般差不多上采纳Web的方式来对外提供各类服务，特不是在Web2.0的技术趋势下，75%以上的攻击都瞄准了网站（Web）。这些攻击可能导致云计算服务提供商遭受声誉和经济损失，可能造成恶劣的社会阻碍。Web应用防护技术通过深入分析和解析HTTP的有效性、提供安全模型只同意已知流量通过、应用层规则、基于会话的爱护，可检测应用程序异常情况和敏感数据（如信用卡、网银帐号等）是否正在被窃取，并阻断攻击或隐蔽敏感数据，爱护云计算平台的Web服务器，确保云计算平台Web应用和服务免受侵害。数据安全关于数据安全，需要涉及数据的产生、传输、存储、使用、迁移、销毁以及备份和恢复的全生命周期，并在数据的不同生周期时期采纳数据分类分级、标识、加密、审计、擦除等手段。另外，在采纳了这些基础防护技术措施之外，还应考虑数据库审计、数据防泄露以及数据库防火墙的手段，最大限度地保证云平台中的数据安全。数据中心运维治理区云平台的治理运维人员、第三方运维人员以及租户需要多云计算平台的主机、应用及网络设备进行治理、维护操作。为了发觉和防止不当操作、越权操作的发生，需要对此类用户进行认证、授权、访问操纵和审计。堡垒机确实是完成上述功能的关键设备，典型应用场景如下图所示：功能堡垒机能够提供一套先进的运维安全管控与审计解决方案，目标是关心云计算中心运维人员转变传统IT安全运维被动响应的模式，建立面向用户的集中、主动的运维安全管控模式，降低人为安全风险，满足合规要求，保障企业效益，要紧实现功能如下：集中账号治理 建立基于唯一身份标识的全局实名制治理，支持统一账号治理策略，实现与各服务器、网络设备等无缝连接；集中访问操纵 通过集中访问操纵和细粒度的命令级授权策略，基于最小权限原则，实现集中有序的运维操作治理，让正确的人做正确的事；集中安全审计 基于唯一身份标识，通过对用户从登录到退出的全程操作行为进行审计，监控用户对目标设备的所有敏感操作，聚焦关键事件，实现对安全事件地及时发觉预警，及准确可查信息化系统管端安全建设内容安全设计依照多年的教育行业信息系统安全实践经验，在深入理解国家法律法规和行业标准要求的基础下，结合对客户业务应用及安全技术的研究，为学校总结出“网关操纵+内部安全治理”的合规信息系统管端治理安全方法论，来指导高校信息系统安全体系的建设。在此次方案中我们为用户提供网络安全治理系统、下一代防火墙、web防火墙、网络安全治理系统。我们推举的安全产品有以下特点：安全产品产品概述网络安全治理系统对高校上网网络流量提供三步循环的解决方案——可视、可控、可追溯。“可视”指深层分析网络中运行的各种应用协议、网络行为，从而完整的了解网络带宽的使用状况。“可控”指依照对网络情况的了解，结合用户的实际需求，提供最有效的操纵策略，让网络资源得到最合理的利用。“可追溯”指对全网的使用情况进行了详细的记录，并提供内容检索、模糊查询、自动报表等功能，方便治理者跟踪、追溯网络的使用情况，关心治理者定位网络问题。下一代防火墙下一代防火墙不但能够提供基础网络安全功能，如状态检测、VPN、抗DDoS、NAT等；还实现了统一的应用安全防护，能够针对一个入侵行为中的各种技术手段进行统一的检测和防护，如应用扫描、漏洞利用、Web入侵、非法访问、蠕虫病毒、带宽滥用、恶意代码等。边界防火墙能够为不同规模的行业用户的数据中心、广域网边界、互联网边界等场景提供更加精细、更加全面、更高性能的应用内容防护方案。web防火墙为网关设备，防护对象为Web、Webmail服务器，可针对安全事件发生时序进行安全建模，分不针对安全漏洞、攻击手段及最终攻击结果进行扫描、防护及诊断，提供综合Web应用安全解决方案。安全部署在网络出口处部署网络安全治理系统，对学校内师生的无线和有线上网行为进行治理。在核心交换机与内网用户之间部署防火墙，为高校办公用户及服务器提供安全服务。部署web应用防火墙，对高校数据中心的内的web服务器、邮件服务器提供安全防护。高校信息化系统安全服务需求风险评估机制2016年度信息安全风险评估将参照《XX市信息安全风险评估实施指南》和《GB/T20984-2007信息安全技术信息安全风险评估规范》，通过深入了解高校信息系统情况，分析信息系统可能面临的威胁，存在的弱点，以及弱点被突击或带来破坏的可能性及阻碍，对当前信息系统的安全风险进行分析和定义，采纳专业漏洞检测工具和工作模版，从风险治理角度，运用科学的方法和手段，依照联合检查要求，系统地分析信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施；为防范和化解信息安全风险，将风险操纵在可同意的水平，从而最大限度地为保障信息安全提供科学依据。评估对象高校所有信息系统资产、内网及外网服务器、网络设备、安全设备评估依据XX市关于开展信息安全风险评估工作的实施意见（深科信[2006]268号）《XX市信息安全风险评估实施指南》《信息安全技术信息安全风险评估规范》（GB/T20984-2007）《信息系统安全等级爱护差不多要求》（GB/T22239-2008）用户自身业务安全需求评估流程评估内容评估信息系统存在的高中低风险的数量、可能性、阻碍。要紧从安全技术和安全治理两个角度：安全技术物理安全信息系统机房在物理位置选择、出入治理、动力环境等方面采取的措施是否有效。图:物理环境脆弱性识不示意图网络层安全信息系统网络架构设计是否安全合理；网络访问操纵是否严格有效；网络安全审计是否有效；是否存在“非法外联”行为；网络入侵防范措施是否有效；恶意代码防范措施是否有效。网络设备、安全设备配置是否安全、有效；图:网络层脆弱性识不示意图主机系统层安全（针对操作系统、数据库、中间件）是否能对主机系统用户设置恰当的身份鉴不手段；后台维护人员的权限是否是最小授权；后台维护人员的逻辑访问路径是否可信；安全审计记录是否完整；入侵防范措施、恶意代码防范是否充分有效；主机系统资源使用是否可控。应用层安全（针对应用软件）是否能对应用软件用户设置恰当的身份鉴不手段；用户访问权限是否是最小授权；安全审计记录是否完整；剩余信息是否能够被释放或重新分配；是否能保证通信过程中的完整性、保密性；是否能保证交易的抗抵赖性；是否能保证软件容错；应用系统资源使用是否可控；是否存在代码安全缺陷。数据安全安全治理安全治理组织机构是否有恰当的安全治理组织架构；与信息安全相关的授权审批、审核检查流程是否存在并能够有效组织实施。安全治理制度是否有恰当的安全治理制度体系；安全治理制度体系的制定、审批、维护流程是否存在并能够有效组织实施。人员安全治理信息系统后台维护技术人员在录用、在职、离岗时是否采取了恰当的安全治理方式；是否对从事信息安全岗位的人员采取了信息安全考核；是否对第三方人员访问内部系统采取了安全操纵措施；是否能够采取各种措施提高技术人员的安全意识。系统建设治理是否对信息系统建设各个时期包括方案设计、产品采购、软件开发、工程实施、测试验收、系统交付等进行安全操纵。系统运维治理是否对信息系统运行过程中进行安全操纵，例如机房用介质、机房设备、审计和监控、系统漏洞治理、逻辑访问操纵、安全配置治理、变更治理等。评估方式配置核查由测评人员在客户现场依照调查模版内容猎取并分析信息系统关键设备当时的安全配置参数。工具测试由资深测评人员采纳专业漏洞检测工具（“xx网络隐患扫描系统”）对被评估系统进行漏洞检测。专家访谈由资深测评人员同客户信息安全主管、IT审计部门、开发部门及运维部门按调查模版要求进行面对面访谈。资料批阅查阅信息系统建设、运维过程中的过程文档、记录，采纳分时段系统查阅和有针对性抽样查阅的方法进行。专家评议组织行业专家运用恰当的风险分析方法进行集体会诊评议。评估输出整个风险评估过程中产生的评估过程文档和评估结果文档，包括（但不仅限于此）：风险评可能划：阐述风险评估的目标、范围、团队、评估方法、评估结果的形式和实施进度等；风险评估程序：明确评估的目的、职责、过程、相关的文件要求，同时预备实施评估需要的文档；资产识不清单：依照组织在风险评估程序文件中所确定的资产分类方法进行资产识不，形成资产识不清单，清单中应明确各资产的责任人/部门；重要资产清单：依照资产识不和赋值的结果，形成重要资产列表，包括重要资产名称、描述、类型、重要程度、责任人/部门等；威胁列表：依照威胁识不和赋值的结果，形成威胁列表，包括威胁名称、种类、来源、动机及出现的频率等；脆弱性列表：依照脆弱性识不和赋值的结果，形成脆弱性列表，包括脆弱性名称、描述、类型及严峻程度等；已有安全措施确认表：依照已采取的安全措施确认的结果，形成已有安全措施确认表，包括已有安全措施名称、类型、功能描述及实施效果等；风险评估报告：对整个风险评估过程和结果进行总结，详细讲明被评估对象，风险评估方法，资产、威胁、脆弱性的识不结果，风险分析、风险统计和结论等内容；风险处理打算：对评估结果中不可同意的风险制定风险处理打算，选择适当的操纵目标及安全措施，明确责任、进度、资源，并通过对残余风险的评价确保所选择安全措施的有效性；风险评估记录：依照组织的风险评估程序文件，记录对重要资产的风险评估过程。等级爱护定级备案协助实行等级爱护有利于客户完善信息安全治理体系，提高信息安全和信息系统安全建设的整体水平；达到对信息和信息系统重点爱护和有效爱护的目的，增强安全爱护的整体性、针对性和时效性，使信息安全和信息系统安全建设更加突出重点、统一规范、科学合理。服务依据《信息安全技术信息系统安全爱护等级定级指南》（GB/T22240-2008）《信息安全技术信息系统安全等级爱护差不多要求》（GB/T22239-2008）《信息安全技术信息系统安全等级爱护测评要求》《信息安全技术信息系统安全等级爱护测评过程指南》《信息系统等级爱护安全设计技术要求》服务内容关于高校在规划、设计时期的信息系统及承担行政审批功能的信息系统全部完成等级爱护定级备案工作。依据国家《信息安全等级爱护治理方法》和《信息系统安全爱护等级定级指南》的相关要求，协助客户相关负责人员开展定级备案工作，包括定级信息系统的数量、业务类型、应用或服务范围、系统结构等差不多情况的选择，确定定级对象，对定级对象受侵害的客体及对客体的侵害程度的确定，按照定级要求与信息系统等级的关系初步确定信息系统安全爱护等级，并按《信息系统安全等级爱护定级报告》模板出具相关定级对象的信息系统安全等级爱护定级报告。依照《信息安全等级爱护治理方法》对定级二级以上的信息系统，协助客户向地点网监进行信息系统安全等级爱护的备案工作。服务输出《信息系统安全等级爱护备案表》（以下简称《备案表》），纸质材料，一式两份。包括：《单位差不多情况》（表一）、《信息系统情况》（表二）、《信息系统定级情况》（表三）和《第三级以上信息系统提交材料情况》（表四）。第二级以上信息系统备案时需提交《备案表》中的表一、二、三；第三级以上信息系统还应当在系统整改、测评完成后30日内提交《备案表》表四及其有关材料。《备案表》需通过“等级爱护备案端软件”填写信息，并导出word文档生成。另，在填写表三“09系统定级报告”时，需把《信息系统安全等级爱护定级报告》上传到“附件”再导出word文档。《信息系统安全等级爱护定级报告》（以下简称《定级报告》），纸质材料，一式两份。每个备案的信息系统均需提供对应的《定级报告》，《定级报告》参照模版格式填写。备案电子数据，刻录光盘。每个备案的信息系统，均需通过“等级爱护备案端软件”填写信息，并保存为一个压缩文件（压缩文件需包含sysdata.xml、orgdata.xml及《定级报告》3个文件）。另，第三级以上系统备案电子数据还应包括《备案表》表四所列的各项内容。《信息安全等级爱护工作小组名单表》，刻录光盘。信息系统加固修复结合客户上年度联合检查中发觉的问题进行加固修复，包含但不限于联合检查整改、风评评估结论的整改，落实完成治理加固、服务器加固、网络加固、应用系统加固、数据库系统加固、安全策略加固、安全设备加固等。服务内容上年度信息安全联合检查整改；上年度信息安全风险评估不可同意风险整改；信息安全治理体系问题优化和完善；网络及系统安全加固；针对安全评估及安全扫描过程中发觉的各种系统漏洞，同时依据既定的相关策略，采取措施予以弥补，消除已暴露的问题和可能的隐患，加固主机系统、网络设备和架构、WEB应用程序安全漏洞，提高客户信息系统的健壮性，抵御外部的各种安全风险以及恶意攻击，实现客户信息系统长期安全、稳定运行的最终目标。实施步骤如下：1）分析安全评估及安全扫描结果，并进一步确定系统加固的需求（要紧考虑承载于系统之上的应用的专门需求）；2）为系统安全加固做好预备（环境、工具、资料、人员等）；3）进行系统加固测试；4）实施正式的系统安全加固，加固内容包括（不限于）：安装最新补丁；禁止不必要的应用和服务；禁止不必要的账号；去除后门；内核参数及配置调整；系统最小化处理；加强口令治理；启动日志审计功能；利用定制脚本进行加固。验证加固结果的有效性；编写并提交系统加固报告。某些安全漏洞的修复可能并不困难（因此有经验的用户完全能够自己实施安全修复），但经验不够丰富的用户专门难全面解决系统的安全问题，因为一个系统的危险性在于系统中最薄弱的地点，有可能用户采取了许多安全措施，却仍然不全面、不完全。因此，全面实施安全加固，真正完全解决系统安全漏洞是完善整个安全体系的重要步骤。服务输出《上年度信息安全联合检查整改》《上年度信息安全风险评估不可同意风险整改》《主机安全加固报告》《数据库安全加固报告》《网络设备安全加固报告》《应用程序解决方案》《网络安全架构解决方案》信息安全制度自查与优化结合高校信息安全治理现状，查找现有信息安全治理制度与联合检查要求之间的差距，配合建立与完善信息安全制度，落实信息安全制度执行记录，保证信息安全治理体系运行的有效性。服务内容调研分析客户信息安全治理现状，参考行业客户信息安全治理经验查找现有信息安全治理制度与联合检查要求之间的差距，建立和完善2015年度联合检查工作所要求的信息安全治理体系，协助落实执行记录。服务输出信息安全治理制度及执行记录包括（但不仅限于此）：信息安全治理机构成立情况；信息安全治理职能部门设置；信息安全治理人员配备；信息系统的规划、建设、运维、废弃等环节的信息安全制度；信息安全制度执行情况记录；信息公布审批制度及相关记录；安全防护措施自查与优化依据《评分标准》配合客户开展安全防护措施合规检查，检查现信息系统中安全防范措施的落实情况，对不符合检查要求的现状和措施进行优化和整改，查漏补缺使得安全防护措施有效落实。服务内容按照《2016年xx市党政机关信息安全联合检查工作方案》和《2016年XX市党政机关信息安全联合检查现场抽查表及评分标准》配合客户（包括下属单位）开展自查工作，真实详尽了解在“防病毒系统建设”、“补丁治理体系建设”、“安全审计”、“安全产品国产化”、“网页防篡改”、“门户网站防护”、“信息公布审批”、“防泄密”、“防恶意信息”、“内网终端违规外联”、“移动存储介质的保密存储”、“电子政务外网接入”、“信息系统安全防护”、“外包软件安全检测”、“安全域划分与建设防护”、“保密检查”、“计算机资产统计”、“网站备案”、“安全防范技术措施有效性核查”等方面的安全防护措施落实情况，对工作存在的不足之处协助整改，使得安全防护措施落到实处。具体工作内容如下：检查确保内网电脑安装了防病毒系统，病毒代码及时更新；检查确保已记录网络访问日志，访问日志可追溯到检查日期前60天，且访问日志没有一天以上的中断（系统正常维护停机或故障停机除外）；检查确保所有向互联网公布的应用系统已受网页防篡改工具爱护，且具备网站自动恢复功能;对互联网公布的网站进行安全测评，出具《网站安全测评报告》；协助对2016年网站应用层扫描发觉的中高风险全部完成整改；编制整理信息公布审批制度及相关记录；确保非涉密计算机及外网计算机无存储、处理、传输涉密信息的痕迹；编制单位在使用的计算机资产的统计信息表，包含：计算机主机名；计算机IP地址；计算机MAC地址；计算机使用人或责任人；计算机所属部门；计算机的物理位置；服务器的内外网IP对应。确保单位开办交互式栏目的信息系统具备关键字过滤措施及有害信息的处理措施；确保内网终端无违规连接互联网行为；对用户使用的外包开发软件进行安全检测；对用户网络信息系统进行科学、合理的安全域设计和划分；对用户网络各安全域进行科学、合理的定性定级，编制各安全域的安全防护设计方案，并协助采购方实施；协助用户保密部门，对涉密计算机和涉密存储介质进行检查，检查内容包括：非法外联、物理隔离、移动存储介质的混用、密件处理、监控软件状态等；协助完成用户所有网站在公安网监部门和运营商的备案，并取得国际联网备案登记证书和备案编号等证明文件；检查用户单位信息系统现有安全防范技术措施的有效性，提供优化建议。门户网站安全测评及安全整改参照《信息系统安全等级爱护差不多要求》对客户门户网站进行安全测评，有效发觉门户网站系统中存在的技术与治理上的脆弱点，从而针对性实施安全整改。服务内容随着Web应用的日益广泛及其中蕴藏价值的不断提升，引发了黑客的攻击热潮，如网站内容被篡改、页面被植入木马、网站机密信息被窃取等安全事件的反复发生，给政府形象、信息网络甚至核心业务造成严峻的破坏。网站安全测评利用自动化测试工具和人工检测的方法对网站系统的应用系统、主机系统、网络系统、安全治理等方面进行全面的安全检测，关心用户了解网站系统存在的安全隐患，为改善并提高网站的安全性提供保障。网络层安全信息系统网络架构设计是否安全合理；网络访问操纵是否严格有效；网络安全审计是否有效；网络入侵防范措施是否有效；恶意代码防范措施是否有效；网络设备、安全设备配置是否安全、有效；主机系统层安全（针对操作系统、数据库）是否能对主机系统用户设置恰当的身份鉴不手段；后台维护人员的权限是否是最小授权；后台维护人员的逻辑访问路径是否可信；安全审计记录是否完整；入侵防范措施、恶意代码防范是否充分有效；主机系统资源使用是否可控。应用层安全（针对网站系统）是否能对应用软件用户设置恰当的身份鉴不手段；用户访问权限是否是最小授权；安全审计记录是否完整；是否能保证通信过程中的完整性、保密性；是否能保证软件容错；应用系统资源使用是否可控；是否存在代码安全缺陷。数据安全数据是否备份并进行恢复测试安全扫描服务遵循“发觉－扫描－定性－修复－审核”弱点全面评估法则，借助“榕基网络隐患扫描系统”快速发觉网络资产，准确识不资产属性、全面扫描安全漏洞，清晰定性安全风险，给出修复建议和预防措施，并对风险操纵策略进行有效审核，从而在弱点全面评估的基础上实现安全自主掌控。WEB漏洞扫描要紧功能：深度扫描：以web漏洞风险为导向,通过对web应用（包括WEB2.0、JAVAScript、FLASH等）进行深度遍历,以安全风险治理为基础,支持各类web应用程序的扫描。WEB漏洞检测：提供有丰富的策略包，针对各种WEB应用系统以及各种典型的应用漏洞进行检测（如SQL注入、Cookie注入、XPath注入、LDAP注入、跨站脚本、代码注入、表单绕过、弱口令、敏感文件和目录、治理后台、敏感数据等）。网页木马检测：对各种挂马方式的网页木马进行全自动、高性能、智能化分析，并对网页木马传播的病毒类型做出准确剖析和网页木马宿主做出精确定位。配置审计：通过当前弱点猎取数据库的相关敏感信息，对后台数据库进行配置审计，如弱口令、弱配置等。渗透测试：通过当前弱点，模拟黑客使用的漏洞发觉技术和攻击手段，对目标WEB应用的安全性做出深入分析，并实施无害攻击，取得系统安全威胁的直接证据。

建议增加的安全设备/服务设备名称设备型号功能描述下一代防火墙SURF-NGSA（特定型号）实现数据中心、校园网网络边界的逻辑隔离、访问操纵和VPN接入；入侵检测与防备系统SURF-NDP（特定型号）对网络中传输的数据包进行检测，发觉恶意代码；上网行为治理系统SURF-RAG（特定型号）实现网络流量操纵、用户操纵和P2P应用操纵等；上网行为审计系统SURF-SA（特定型号）保证校园上网行为满足公安82号令的要求；运维安全审计系统SURF-HAC（特定型号）发觉和防止不当操作、越权操作；应用交付系统SURF-AD（特定型号）提高数据中心业务系统的可靠性；WEB应用防火墙SURF-WAF（特定型号）保证校园网站、OA、招生考试等系统的安全；异常流量清洗系统SURF-DA（特定型号）对DNSFLOOD、HTTPFLOOD等应用层拒绝服务攻击进行精细化的防护，不对正常的用户访问产生阻碍。安全服务SURF-Service（特定型号）为高校提供的人工的渗透测试、风险评估和安全加固服务等

相关产品介绍下一代防火墙下一代防火墙配置背景网络环境趋于复杂，致使需要查找新的安全解决方案来满足除了抵挡外部攻击以外的安全需求。以往，网络攻击手段差不多停留在第三层的网络层，而随着Web2.0时代的到来，大量的应用程序都建立在了HTTP和HTTPS等协议之上，传统的防火墙对应用层望尘莫及。基于网络层的操作就意味着传统防火墙只能依照与数据包源地址和目标地址有关的信息来检测流量，然而关于上述的HTTP和HTTPS流量却是无能为力。尽管现在有针对应用层的IPS设备，然而IPS却无法识不具体的应用，达不到目前用户所需的精细力度的应用层操纵，因而也无法对特定应用进行防护，需要配置兼容传统防火墙和抵御新网络环境下威胁的下一代防火墙。下一代防火墙实现功能标准从安全功能、安全保证、环境适应性和性能四个方面，对第二代防火墙提出了新的要求，应用层操纵、Web攻击防护、信息泄漏防护、恶意代码防护和入侵防备是此次定义的第二代防火墙的几大功能下一代防火墙效果支持深度应用识不技术，可依照协议特征、行为特征及关联分析等，准确识不数千种网络应用，可支持SSL加密流量的应用识不提供了基于深度应用识不、协议检测和攻击原理分析的入侵防备技术，可有效过滤病毒、木马、蠕虫、间谍软件、漏洞攻击、逃逸攻击等安全威胁，为内网提供L2-L7层网络安全防护支持多链路条件下的智能链路负载均衡功能，实现防火墙全功能虚拟化，满足多样化的网络环境上网行为治理上网行为治理配置背景依照国家互联网应急中心（CNCERT）公布的《2015年我国互联网网络安全态势报告》数据显示，截至2015年12月底，中国网站总量规模为364.7万个，网民规模大6.49亿，手机网民规模5.57亿，互联网普及率达到49%。然而人们在享受互联网带来的巨大便利的同时，由其带来的负面阻碍和安全威胁也日趋严峻。企业需要对办公网络实现上网行为的管控，同时国家监管单位的安全监管要求，如公安部82号、信息安全等级爱护，需要健全自身信息安全保障体系上网行为治理功能具备五大核心功能：用户多样化认证、网络访问操纵、应用操纵、网络流量治理及日志审计上网行为治理实现效果1、本地认证、微信、短信、第三方外部服务器的身份认证，实现差异化治理，有效管控无线，有线网络接入操纵2、可做出口安全网关，具备NAT地址转换、VPN、PPPoE、DNS、DHCP等功能，节约建设成本3、对数据包的深度检测功能，对网络流量能准确的按协议、应用识不，精准操纵用户行为，规范用户的上网行为4、基于单个服务、服务组、多服务、应用的任意组合等进行带宽操纵和流量阻断，实现带宽的有效使用5、完善的日志审计与报表功能，实时统计出当前网络中的各种报文流量，进行综合流量分析，对符合行为策略的事件实时告警并记录，满足治理和国家监管要求网络安全审计系统网络安全审计系统配置背景政策法规1、依照国家相关法律的规定，在外部网络上公布淫秽信息与及迷信、反动、分裂等言论均为违法行为，如有滥用单位网络进行了上述行为，将把单位拖进复杂的、难以脱身的法律纠纷甚至更高级不的安全风险当中。为此，公安部与2005年12月1日正式颁布并于2006年3月1日开始实施的《互联网安全爱护技术措施规定》，即公安部第82号令中明确要求所有互联网单位均要安装网络安全审计系统2、信息安全等级爱护是我国信息安全保障的差不多制度、差不多策略、差不多方法。开展信息安全等级爱护工作，目的是要解决我国信息安全面临的威胁和存在的要紧问题，而等级爱护包含5个方面的建设，物理安全、网络安全、主机安全、应用安全、数据安全。而其中的网络安全与主机安全，就能