XX大学智慧校园信息安全改造建设方案v2.0

#/162。2。4产品部署方案数据中心区：♦通过部署2台高性能防火墙进行4个安全域的划分；（选配）♦在安全管理区部署身份认证系统，建立统一的身份认证平台。实现对各信息系统的一次性认证多系统操作，大大增加用户和系统的安全性和简便性。系统建设统一的用户数据库，对用户权限和访问模式等实现集中式的管理,简化系统管理流程，提升用户工作效率;在安全管理区部署数据库及业务审计系统，对数据库进行时实的监控,增强数据的保密性、完整性以及可用性；在安全管理区部署一套门户网站WEB防火墙，采用WEB入侵异常检测技术，对WEB应用实施全面、深度防御，能够有效识别、阻止日益盛行的WEB应用黑客攻击（如SQL注入、钓鱼攻击、表单绕过、缓冲区溢出、CGI扫描、目录遍历等），为WEB应用提供保护；♦在安全管理区部署两台IPS系统，以全面深入的协议分析技术为基础，结合协议异常检测、协议异常检测、状态检测、关联分析形成的检测引擎，实时拦截数据流量中各种类型的恶意攻击流量，把攻击防御在单位网络之外，保护单位的信息资产；在安全管理区部署1套网页防篡改系统，分别安装在网站服务器上，进行页面内容的保护，防止非授权人员随意篡改内容，增强网站的安全性；在安全管理区部署1套帐号集中管理与审计系统（堡垒机），集中统一的安全管理技术和平台，使得系统和安全管理人员可以对支撑系统的用户和各种资源进行集中管理、集中权限分配、集中审计，从技术上保证支撑系统安全策略的实施。校园网安全管理区在互联网出口位置部署两台高性能防火墙，提供对网络的访问控制，同时通过DMZ区的设置,保护校方对外提供服务器的安全；（选配）在校园网安全管理区部署流量控制和计费系统来提供对于校内用户访问外网的流量控制和计费统计的需求；♦在校园网安全管理区部署安全漏洞扫描系统，对内部信息处理设施安全漏洞及其脆弱性的评估，可以使用户了解信息系统内的服务器和网络通讯设备的系统漏洞和安装设置漏洞,了解漏洞的分布状况和危险等级，并针对每一个漏洞提出一个可行的安全解决方案或补救措施，完整地为网络系统提供安全评估，为调整本身的安全策略提供原始数据和资料.在校园网安全管理区部署一台信息安全审计系统，检测用户的非法操作，杜绝内部人员滥用互联网资源的违规行为;在校园网安全管理区部署一套SOC平台，实现了安全设备进行集中管理、安全策略统一配置、安全事件集中管理、安全风险评估等功能，使网络信息安全可控与结果可视化;在互联网出口和核心交换机之间部署一套DDOS防御网关,用于拦截各种DDoS攻击及变种DDoS的攻击；在校园网安全管理区部署一台IDS系统，方便对网络情况进行记录、取证工作，对网络上的可疑行为做出策略反应，及时切断入侵源,记录攻击行为、及时报警并通过各种途径通知网络管理员，最大幅度地保障内部系统安全;在DMZ区部署一套WEB防火墙,采用WEB入侵异常检测技术，对WEB应用实施全面、深度防御,能够有效识别、阻止日益盛行的WEB应用黑客攻击（如SQL注入、钓鱼攻击、表单绕过、缓冲区溢出、CGI扫描、目录遍历等），为WEB应用提供保护。2。3信息安全管理体系信息安全管理体系设计主要是针对安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理的安全风险分析结果,提出对应的解决方案，通过相应的机构、制度的设置及安全服务的采购来降低或规避信息系统各个层面的安全风险。2。3。1安全管理体系建设目标结合《信息系统安全等级保护实施指南》、《信息系统安全等级保护测评准则》以及《信息系统安全等级保护基本要求》等文件精神,为xx大学信息中心建立完善的安全管理策略，主要针对人员管理，机房管理，终端机管理，文档管理设备和运行等安全管理机制进行稽核和诊断修订.2・3・2安全管理体系建设内容为XX大学信息中心进行信息安全决策和管理提供依据。管理制度是否健全是做好网络安全的有力保障，包括机房管理制度、文档设备管理制度、管理人员培训制度、系统使用管理制度等。对信息系统的各项管理制度进行细致的评估，并对各项评估的结果进行详细地分析，找出原因•说明存在哪些漏洞，比如信息系统刚刚建立，各项管理规章制度均没有健全,为今后的管理留下了隐患。经过安全管理评估服务后，我们根据XX大学信息中心网络的实际业务情况，与客户协商讨论，建立完善的安全管理策略，主要针对人员管理，机房管理，终端机管理，文档管理设备和运行等安全管理机制进行稽核和诊断修订.安全管理制度安全管理制度建设主要有以下几个方面：聘请专业的咨询公司，制定安全管理制度和配套的发布、评审和修订机制；1、人员管理包括配套的培训和考核机制。需要建立内部人员管理制度和外部人员管理制度，包括：内部工作人员管理正式编制人员，聘用人员等人员的录用、岗位职责、保密协议签证、教育培训、保密监管、奖惩和离岗离职的管理。外部相关人员管理内部工作人员之后的其他人员以及设备的维修服务人员等外来人员的保密要求知会、安全控制区域隔离、携带物品限制和旁站陪同控制。2、物理环境与设施管理建立物理环境与设备管理制度，包括：周边环境：包括周边监制、周界安防和出入控制.涉密场所：包括要害部门部位管理、无线产品使用、多媒体产品使用和安全巡防巡查、窃密检查.保障设施：包括定期检测检修和线路线缆保护.3、设备与介质管理建立设备与介质管理制度，包括：设备与介质的采购与选型：安全采购管理、产品选型管理、检测证书查验和货物交付验收。设备与介质的操作与使用：安全操作使用、外出携带管理、设备外联控制、介质使用管理、安全准入许可。设备与介质的保存与保管：清查登记核对、重要设备办公室和明确责任主体.设备与介质的维修与报废：申报审批、数据保护和登记备案。4、信息保密管理建立信息保密管理制度,包括：信息分类与控制：密级分类确定、密级信息问题统计、密级标识添加和知悉范围确定.用户管理与授权：用户清单管理、用户标识符管理和权限列表审查.信息系统安全互联控制。✓安全管理机构安全管理机构建设主要有以下几个方面：设定安全管理员一职，并明确岗位的职责与任务，落实安全管理责任制。✓人员安全管理人员安全管理建设主要有以下几个方面：聘请专业咨询公司，制定安全培训管理方案,制度化、常态化进行安全培训。进一步规范人员录用、人员离岗、人员考核、外部人员访问的管理制度.对xx大学信息中心工作人员进行安全意识培训，加强人员安全意识、避免安全管理漏洞。✓系统建设管理系统建设管理主要有以下几个方面：制定系统建设相关的管理制度，明确系统定级备案、方案设计、产品采购使用、软件开发、工程实施、验收交付、等级测评、安全服务等内容的管理责任部

门、具体管理内容和控制方法，并按照管理制度落实各项管理措施。系统运维管理系统运维管理主要有以下几个方面：聘请专业安全维护公司,对系统的环境和资产安全、设备和介质安全、网络安全、系统安全、备份与恢复等进行管理和定期维护。第三章：项目产品清单与概算第三章：项目产品清单与概算序号设备名称性能参数数量单价小计一、数据中心1防火墙建议利旧0002IPS入侵防御系统机架式硬件专业IPS入侵防御设备；部署方式:支持旁路监听、透明接入、NAT、混合模式；硬件支持HA高可靠性，双机热备；支持多网段、跨网段的多路混合部署检测防御；1*10/100/1000M管理口，7检测口（4光口3电口）；最大可选择24个检测口.并发连接数目〉=3,800，000；每秒新建连接数目＞=30，000；网络处理能力〉=5。4Gbps；1台3WEB防火墙（WAF）HTTP吞吐量〉=1000Mbps最大HTTP并发数10万HTTP事物速率15000/秒4*10/100/1000M电口/光口透明部署（基于透明网桥），需即插即用，无需做任何配置即可防护。支持旁路部署。策略路由（支持流量牵引）高性能攻击特征检测引擎1台4网页防篡改可选0005帐号集中管理与审计系统（堡垒机）支持双机热备；支持集群；支持磁盘阵列；支持冗余网卡，允许将两张网卡绑定在一起使用，两张网卡同时使用一个IP,当一张网卡有问题的时候另一张可以继续使用；支持并发用户数不少于1000个；三4个10/100/1000MRJ-45接口；审计日志存储空间三500G；到目标设备的连接时间不大于2秒；MTBF不少于6万小时1台

6数据库及业务审计系统可选0007统一身份认证平台可选000小计：万二、校园网安全管理区1防火墙建议利旧0002上网行为监测吞吐量：20Gbps并发连接：三1000万新建连接/S：±10万能监控设备的运行状态，如CPU、内存、存储、网络、在线用户数、系统连接数、运行时间等；可监控网络带宽的使用情况，如网络流量分布，应用速率，链路速率，用户流量等支持20多种网络协议解析，包括包括TCP、UDP等常用网络协议，以及多种常用的应用协议，包括HTTP、FTP、SMTP、POP3、TELNET,各种及时通讯软件，包括QQ、MSN等1台3WEB防火墙(WAF)HTTP吞吐量＞=1000Mbps最大HTTP并发数10万HTTP事物速率15000/秒4*10/100/1000M电口/光口透明部署（基于透明网桥），需即插即用，无需做任何配置即可防护。支持旁路部署。策略路由（支持流量牵引）高性能攻击特征检测引擎1台4DDOS网关可选\利旧0005流量控制和计费系统可选\利旧0006IDS入侵检测机架式硬件