复习内网综合布线系统系统设计任务书

内网综合布系统设大座层）设计任务书

概述背景项目建设建设需求1.5.1光络线系统1.5.1.1全光络线结构81.5.1.2链述...............................................................1.5.1.3前端位置描述.............................................楼位布述：.........................................11政策技标依............................................................................121家信息安的准规范2X内网综合布线系统信息安全标准与规范14安全需分析141务全运行需14三信息统安保护力要........................................物理安全求........................................................................3.3.1保护具体163.3.2需析........................................................................数据安全备份恢复需求3.4.1保护具体183.4.2需析........................................................................安全管理求........................................................................3.5.1保护具体203.5.2需析........................................................................安技术体系总体设设计34设计354.2.1主要设计据之间的关系4.2.2设计参考35安技术系总架构37安技术体系详细设安全区域边界设385.1.1域界问控........................................................385.1.2区界包过395.1.3域界全审........................................................395.1.4入侵防范区域界完性保护................................40安全通信网络设415.2.1信络全审........................................................415.2.2信网络数传输完性护415.2.3信网络数传输保性护415.2.4通信网络信接保护................................................42物理安全计........................................................................435.3.1建标........................................................................5.3.2目现........................................................................5.3.2.1物置的选.................................................5.3.2.2理访问制445.3.2.3防和防破.................................................5.3.2.4防击5.3.2.5防火5.3.2.6防和潮.........................................................5.3.2.7防电5.3.2.8温度制.........................................................5.3.2.9电应48电磁防护.............................................................49概1.1背景介绍、案政府各部门类管理业务锦总书记在党十大工作报告中提出“工业、、城镇、场、际”在党代大工作报告上一次提出分说明了当前在我中地重性。泛安全涉行、域、人员范围越来越大几所有机算机都涉及到安问部企业研所也存在安问题便是没有使个人计算机同样存安问题。本项目以XXXXXX内综布系统为主建设一套安全、稳定性可靠并且与其他互物理隔离内综布线系统。XX内综布线目委由XXXXX有限司担系统设计任务。本期项目建设内容：（1）制定统一标规范本项目标准规范要遵照业相关标准并合本项目实情况编制X“、指导X乃至今后套的络信息统建，保障系统上级之间标一致标准容括标准框架及络、数据、应、交换、安全等方面的标准2XX业务建连接XX部5个汇聚层，，，，汇聚个楼层的暂定个前链路改络，络地址划照X定进行3建接XX专的系统平建立XX部X络全光络台，为与XX相连接的专络提安全、高效数据汇集、存储、管理、备份的基平XX部XX络光络将通套系接楼的前节点算机，同时通络接入交换与X专实高速数据交换和共享；并且X各级户提供数据服务，为据连接提基础数据撑4建一的安全体系建立统一的安全管理体系和管制度，保障XX络全光络安高效稳定运行建立科学的行安度故威胁现网络访问控制及加密护件防操作防、用户一认证制、数据传输护审、病毒防（5）设运为了确正运需要购置和定制开发运维定一列合运制度并打造一支过硬运护队伍设过程中需要对相关人员进培训强对相关人员计算机基础知识培训制定考核标准考核制度确关人员具必要计算机操作能和维护能1.21、项围XX网合布项目设计围为XXXXXX位于XX大厦XX层大楼计光网综合布线2、项目主要设计一套合XX实际用其他网络物隔离光网络综布线使之能够、的威胁，实现络访问控制及加保护、硬件安全防范操作系统安全防范、用户统一身份证控制、数据传输保护、全审计、病毒防范。建XX要求，根据X项目业务系统实际需要，基于现代信息系统安全保障理论，采用现代信息安全保护技照一定规则和体系化的信息安全防护策略进行的整体设计。XXX内网综合布项目信息安全保障体系覆盖范围括内要业务用系；X信息统；X内服应用系统；层部门信息统以及上述各统相连接的干网络。从信息统结构角度安全体系总体方案设计覆范围包括信息系统的物理布线、网络设备、操作统和数据库系统、业务应用、数据保护、运行管理等多个层面。制定X内网合布项目目统的信息安全规范，并据建立盖整系统信息安全保障体系包括技管理运行等内容建立合国和国际标准的信息安全障体系建设成X内网综合布线项目系统的网络信息全保障体系1.4建“、备相都如本管这一成因此做到一收作为不仅现在还考今后发展不考非X络还考虑络全这我们所“”（1）同步原则时当同步规划计安全方案投资金施保障信息安全信息化相（2）防适度安全络时必充分考虑来自络各种威胁采适当安措施进防同时以为充分功在有效保证提下安全经适、适度全、易于使（3）重点保护原则根据XX数据信息和重程度和业特点过划分同安全等级信息实现不同度安全保护集中资源优先保护涉及核心业务或关键息资信息4、段保护原则根据XX的实际况和系统重要度业特点不同发展水平，级段进实施通过不同的安全，实现同强的安保护。5急用先、突重点则根据XX的实安全求，迫切要满的基安全求有针对性的采取急先实的策并据关业务安全求突出护重将要资源配置需要点保的业务系统上。6技与管并重则信息全不单纯技术问题技术是手段管理是保障。7避免重复建设原则需要佰能设计规思路要考虑到前期安全建设情况和后期3-5年的发状况积极利用已有资源和署减少系统中的重复建设情况。8可扩展原针况9、易操作原则本次规划应遵照分级保护相关过明确的管理规范度和体系，使信息安全工作有据可依，确保对信息安全风险的有效控制。1.5需全网络1.5.1.1图1布线系统逻结构图一个为满足目前受控络换需XXX1241.5.1.21、上联XXX链（XXXXXX链）XXXXXX链采依托国家务外式专进广链现XXXXXX现有蔽外心交实现2、XXX屏蔽到链XXX有12涉密屏蔽到链计44m链进行3、XXX现XX换XXX12，在8F、12F、13F、非屏蔽无XXX4、楼到链XXX楼汇聚芯室50/125u多模到对应楼合器5、户备链XXXXX网备（脑打印等均收发器收发器来备m多模LC耦合相应网络收器来需要联网网络备1.5.1.3建XXX部汇楼（3F8F17F）汇聚（暂）如下表：

3F35F0F92F92F92F68F92F92F92F92F92F105F105合1049

4大84大84大84大84大84大84大84大84大85大85大8

1.5.1.4政XXXXXX。与XXX案需据以标准与规范进行（1）基础性准《装规范GB50312-2007《XX分技术》XXX17-2007（2实指导类准《XX分级方案指南XXX23-2008《XX分评测指南》XXX22-2007（3指导类标准《涉及国家X的信息系统级保护管规范》XX（4系统和系统安全术要求标准《信息系安全通技术要求）《网络基础安全技要求20270-2006）《信安全术信息系统物理全技术要GB/T）《信安全术操作统安技术求GB/T）《信息安全技术数据管理系统安全技术要求GB/T）（5）安全管理要求类标准《信息系统全管理要求GB/T20269-2006）《信系统全工管理求GB/T）（6）其他专项标准《计算机场地安全求GB）《电子算机机房建设范）GB9254-19982.2X内网与规XXXXXXXX23-2008XXXXX17-2007GB50312-2007安3.1业务安全运XXX“”。本次XXX工作相关业各个应用。各个应用作整XXX工XXXXX3.2三息系、指控防止来自方控制采用较严格控制储传输处较严控提供较高保密完可用方控括从员法构制程取较措预期GB17859-1999中组五方对控制既保护又护第二基该增了记强制访问控从保密保完保两面施强访控略增了权户对员审员权离限制同时对身份鉴别审数据完、数可用均更步使用完敏感记确保传输完方面保以提供服方对数据可用方较保较密完整和可用机制在安全证方面要求安全机制具有较高程度自身安全护以及对安全功能计实现及管理严格要求在安全管理方面要求具有较严格全管理措施设置安全管理中心建立必要安全管理机构按要求配备各类管理人员健全各项安全管理章制度对各类人员进行不同层次要求安全培训等统所设置各种安全功能发挥应有作用。3.3物保物理全相关要求如表加深部分三级要求，未深部分为二级要求）表1物安全本要求分类1.1.1.1物位置选

基本求房场择防风雨建；机房地避设建物高或地室以用设物

（G3下层或壁理安全a)机房出入应安排专人值守，控制、鉴别和记录进入人员；1.1.1.2物理访b)入房访员应经过申请和审批流程，并限制和监控问控（）其活动围1.1.1.3防盗窃防坏（G31.1.1.4防击（G31.1.1.5防火（G31.1.1.6防水防（）

别记入员a)将主备放内标将通线缆隐蔽可铺地下道中介质类标识存储质库档室中利用光、技术盗报警报警建筑避雷防保器防感雷源地线。火消够动检测火情动警并自动火筑取防措施备其他备开a)水不得穿顶活地板下采取施防雨通窗、顶墙渗采取措施防止内蒸气结露地下积水的转移与渗透敏感检仪元件防水测报G31.1.1.81.1.1.9力1.1.1.10磁护需

、动节，、变在运行所许范之在供线上稳压器和过压护提期力供，至少满足在断情况正运求冗余并力缆为算系供建系方止外界磁扰和生耦合干扰源和通信线隔离铺，避免互干扰对关和介实磁蔽XXX内网合布系统过原有蔽来满足物安全三级护求楼层间使无源可非屏配线全光布线来完成物理需求和磁护准工作，足相关护求3.4数据安全及备份恢复需求保关于据安全相关求如表其中加深分三级，加深部

1.1.5.1

表2数据安全及备份恢复基本要求a)信息和重业务传输过程中受破，并在错时采取必的措；

b)信和重业在存储过程保

受破坏，并在错时采必的措施a)采密或其他有效措施实现别信息重业务传密；

密

采用加密或其他保护措施实别信息重业务

1.1.5.3和

储保密提地与功至每一次介质场外放提地功用通网络将关键定批量送至

用场；A3

采用冗余技术设计网络拓扑结构，免关键节点存在单点故障；提网络设通信线路和处的件余证的高可。需用来说尤其重果政府业务敏感信息在存储过3.5保表3安全管基本要求

1.2.1.1

a)、范围、则架；

活动各内容；

人员操人员执行日常操操规；

d)

形成由、、规成面

系

1.2.1.2

a)指授权专门部人员负；b)有统一格并进行版控；

布

组相关人员行论证审；G3

通正式、有效式布；注布范围并收文进行记1.2.1.3

a)

G3

a)个面义

统网等义个1.2.2.1

成指委会其最单委任授各个、技1.2.2

求

1.2.2.2配1.2.2.3授权批G3

配备一数量、网络、等配专可兼任键务配多共a)根据各个明授权事、批批准等针统更操访问统接入事项批序按照程序过活动建逐批批项及更新授权批项、批批等记批并批文档a)织内部机构以及信息安能内部的与，定期不定召协调议，同协处信安全问题1.2.2.4

兄弟单位、公安机关、电信公司的与；

与商业家业的安公安全组织的与；G3审核

建外单联系列表包外联单位名、内容、系联系方等信息聘请信安全家为常年安全顾问导信息安全建设参与安全划全评审等安负定行检检查容包括系统日常运行系统漏洞据备份等情况；由部或级单定进行全面安检查查容括有全技术措施的有效性、安配置与安全策的一致性、安全制的执检

查

情况；G3

制安检查表格实施全检查，汇总安全检查数据，形安全检查报告，对安全检查结进行报；制定安全审核全检查度规范安全审核安检查工期照序行全审核安全查动

a)指或授门门负录用；

录

格规录程对被录的身份背景专资格资质安全

等进行审查，对所具有的技术技进行考核；签议；d)a)

、钥匙、徽章等以机提供软硬设考1.2.3.4意识教育和培训G3

理调手须承诺调后保密义后可开定期对个进行技能知考对进行面审和技能考核对核果进记录保存对进教育、技和相技培训对责任和惩戒施行面定告违策和进行惩戒对定期教育和培训进行书面对不制同培计对信息基础知识操作等行培训

对教育和训情和结果进行记录归保存1.2.3.5外

a)确保外受区前提书面请后专陪同或督登记备管

理

b)

对外允许区域、系统、设备息容进行书面

G31.2.4.1

定按定行a)明信息系统边界和保护等级系统

系统定

以书面形明确定信为某个保方由建设

组织相门术专家对信系统定级结果合性和

1.2.4.2

、技术框架、、详形成配套件G3

组织有技术家、技术框、、配套文且后才式测、评修、术框、、配件a)产采购使用符合国家有产品采

密码产品采购使用符国密码主求购使1.2.4.4自软

或负产品采购预先产品型试品范新候产名单开XX与实际运XX物开发人员测人员离测数测试到件开发

软件发度说开发程控法人员为G3

1.2.4.5

、新、布进行授权批。a)根据需检测质量外包

在之前检测中可能存在恶

单G3

单位审查中能存在后门。a)或权门部或工实过理1.2.4.6

详细工实方案控实过工实单位能正式工实

地行工过工实施方面理度说明实施过控方法为准。a)委托公正第方测试单位系统进行性出测试报告

在测试验收前根据方或同等测验收方试测试验

验收过详细记录测试验收果形成试验收报告统试验收控方法行为准行面或授权门部门系统测试验收理按理完系统测试验工作e)

组织门系测试验收告进行审签认。a)软和文档进行点1.2.4.8

负责运维护技术人员进相技能培训确保供建程中文档和导用户进行行维护文1.2.4.91.2.4.10等级测

档；控方和人员为则进行书面规；指或权专门部门负责管理工作按管规要求完工。指专部门或人员负管级相关材料控这材使；将等及相关材料报主管部门案将等及其他要求案料报相公安机案。运行中至每进行次等级测不符合相级护标要求及整改；在发变更时及时进等级测评现级别发变化及时调整级进全造发不合级护准求及整改；选择具有国家关技术资质和安全质测位行等级测；d)指或权专门部门或人员负责级测评管理a)确安全商选符合有规；安全服

与安服商签订与安相关协明约相责；务商选

保选安全服务商提供技术培训和服务承诺与签订服1.2.5.1

调湿控等设进行护；负责安全，并备安全，入、服器开关等工作进行；XX

建安制度有关物访物带进带出

和XX安全等面出规；

加公XX保范办公XX行为括工作调办公室立即交还该办公室钥、不在公区接来访工作离开座位确保终端计算退出登录状态和桌面上没有含敏感信息

纸文件等编并与相资单括资产责任程度和处位等容立资安制信息资产责任责1.2.5.2资产1.2.5.3介质

，规范资产和使用行；根资产重程度资行识根据资产价相施信分类与识方法作出规信息使用输储进行规化a)建立介质安全制度，介存放XX、使用护和销毁等方面作出；

确介放全XX中各类介质进控制和保护实XX、包、交付等情况进行控，归档和询等进行登记记录并档目单定点d)使用、维修以及毁等进行严格带出工作XX进内容密和监控送修毁首清敏感数据，密较未经批准得行销根份需某实行，地XX要和方与地相同重要数和软件采取密根所承载数据和软重要度进类和标识。a)信统各备括和设路等指定门部门定行维护

建基审批负设安全制度信息系统1.2.5.4设备G3）

各种软硬件设备型、采购发放和领用等进规范化建立配套设、软硬件维护面度，其护进行有效，括明确护责任、外维修和服务审批、维修监督制

终计作站携和等操和使用进行规范，规实要设备（包括和冗余启动/止、电断电等操作e)确保息处设备必须经审批才能带离机房或办公地点。1.2.5.5

备用软件的运用户行等进测报，成记并妥保；组相人员期测报警录进分现行，形成分析报告，并采取必要的措施；

建立设备状态、恶意代码、补丁升级、计等G3

相事项进行集。a)指专人网络进行负责运行日志络记日护报警息分析处工；

立网度网配志存时间策、1.2.5.6网络

升级与打补丁、令更新周期等方作出规；根据厂家供软件升版本网络设进行更新更现有的重文件进行备份；

定网系统进行漏洞扫描现的网络系统漏洞进行及时G3

的修；e)实备最服配，配件定备份f)保证所有外系统的接得到授批准依据策略许或拒绝携式移式备的络接；定期检违反定拨上网其他反网策略的行。a)根业务需求系分析确定系统访问制策略系统

定期进行漏洞扫描，发的系统漏洞及时进行修补；G3

装系统的最补丁程序在装系丁首先在试XX试，并重要文件进备份后，方可实施系统补丁序的装；

配置志和日常操流程方作出具体规；指专行划员色明确各个角色的权限、责和风险权设定当遵循最小授权原则依操手册进维护细录操日包重要的日操、行维记、参数的设和修等内严禁进行经授的操作)

定期运日志和审计数据行分析以便及时发现异常行为。1.2.5.8

a)提高有用户的防病毒意识告知防病毒件版本在读移存设上的据及网络上接文件邮件前先进病检查外来计算机或存设备接入网络之前也行病毒检查恶意代

指定专人网和主机进行意代码检测并保存检测记录；码防范

防恶意代码件的授权使用恶意码升级期汇报作明

确规；（G3

d)

记密码G3）1.2.5.10变更

录主防病毒产品、病毒网关和邮防病毒网关上截获的危险病毒或意代码进行及时分析处并形成书面的报表和总结汇报。码使用使用符合国家码规密术品确中发生的变更并定方；变更发变更向主领导申请更更备份与恢复管1.2.5.12

、后可变，并实后将更情向相人通；应立变更控制申报和批件化序对变影进行析文档化，录更施程并妥保所文和录应建立中止变更并从失败变更中恢复的文件化程序确程控制法和员职责，必要时对恢复程行练。应识别需要定期备份的重业务信息、系统数据及软件系统等；应立备份与恢复管关的安全管制，份息备、备频度、存储介质和保存期等进行规范应据数据的重要性和数据对系统运行的影响定数据的备份策略和恢策，备策须指明备份据的置场、件命规则介质换频和将据站运输的法；应建立控制数据备份和恢复的程序对份程进记所有文件记录应妥善保存应定期行恢复程序，查和测试备份介质的有效性，确可以在恢复程序规的时间内完成份的恢复。a)应报所发现的安全弱点和可疑事件何情况下用户均不应尝验证弱；安全事

应定安全事件报告和处置管制安事的型定安件处置

事件的场处、事件报和后期恢复的管职责G3

应根据国家相关管部对计算机安全件等级划分法和安全事件对系统产生的影响，对本系统计算机安全事件进行等级划分1.2.5.13急预案管（G3

、度以及方法等；在中分析生原因收集证据记录过总经教训防再次发生救措施过形所有记均妥善保；f)对造系断造泄同。)在一急预案框架下不急案案包启急预案条、急系统复、后育培等内；从设术财等方面保急案执行够资保；对系统相人进急预案培急预案培训至每年举办一；对急案行演练根据不同急恢复内容演练周期；规急预案要期审查根实际情况更新内容并照执行。需管是得到保证要组成部分权明管混管度不健及乏可操性等可能起管风险。XXX内网综合线系统建设中目前管面目不具备完善XX行业业网络也是次重组在基础上由在对现有业务流程做充研础上定操强以指导各个业务单位日常是十安4.1设计原则1本入及果益相衡原则对于任何信息系统绝安全难以达到信安全技术体系建设的最高原则、成本果三原则平衡的结果。安全方案设计，应根据X业务自身的际情况进行划。2综合性、整体性一致原则对于XX内网的全防护一项系统工程建立信息安全的完整体系。设计要遵X信息化建的总体规划要划方案也多种方法适当综合的应用结果。3可扩展、可发展性则针对所有规划方案要依照系和网络建设规模况结未来的发展具备可扩展性满足当前正在建设的业务应用及未来的业务发展要4可实施性强的原则本次规划立足于可实施的目针所有安全控制措施的部署一面要满足安全保护，同时要与实际况相结。4.2设主、设指导、实指导、、检查测评等。中中主要包括语、技术（X17-2007）和其他。在之伸和化实施导和设。设本设计方案主设计依据涉及国家X方案设计指南》X23-2008《涉及国家X技术要求》X17-2007《涉及国家X评测指南》X22-2007《涉及国家X管理规范》X20-2007综合布线系统安装设计规范GB50312-2007本设计方案其他参考的标准与规范如下：

信息系统安全管理要求GB/T《信系统全工管理求GB/T《网络基础安全技要求20270-2006《信系统全通技术求GB/T4.3安技术系总构“””、区域边界、通信网络图2安技术体系框架对现有应用按第别别是具实现第X网络布线通第区边界通信网络以及加以实安5.1安区ACLIP/MAC“”11

X局节点非授也XX授同时还之间非授2门了XX高用与高靠XXXXXVLAN区域边毒关设级管实集管形整体护止病、木马、客攻击其恶意代码等恶意流量传护资提系性根区控策略检包源址目址输协议请求等确定是否允许该包出区且恶意代码滤杀大度降低类意代码为对关键其备构成威胁区库统镜区区户区级区对类传输容实监控日志记录包括体、体、时间类型结果等容设审计制由级管集管实对为统析事后定期出析表入范及边界性保1/。2洞扫描漏扫描管理中施集中管理一下发策略于分析网络漏洞薄弱环漏隐患给出应补措施建现网络性。3管理终管理由级管理中理现内查可异常情况报管理中管理员报警可按策略阻外来接控策略阻内免受外来。终管补由管理5.2安通传监控有恶分析通在传输加密技输流加密防止线路窃听泄漏篡改坏传输完整保字签名校验即单向加密算法（函）者它息摘法算所输消息文摘将消息文作签随同收方在收到也到字签名收使相算算出接到字签名将字签名接到签进比较若二者相同则说明在传输程被修改完整得到了证通目前方案设：

泄破

或IPSECPN道安制满足MPLS便于隔离MPLS身提工力可大限优化资快速修复高通备接入鉴别了连到行检确接真备户802.1x两并心集控制对机或接入时监控并按照控内关键及服威胁5.3物物是护计算以及其它媒体免遭地震水灾火灾自然故以及人为操作失误或错误及各种算机犯罪行为导致破程计应包括个面包机房与施、与员；包计算机防、毁、防电磁泄漏以及抗电磁扰建物建目标是XXX照三级护求物位置选址、物访问控制、盗窃、破坏防雷击防火防水、潮、防静电、湿度控、电力供应电磁护求目XXX

XX具体介绍5.3.2.1物理