某区教育数据中心基础设施安全加固建设方案

教育数据中心基础设施安全加固

建设方案目录/Contents01020304建设背景需求分析方案规划建设清单01建设背景建设背景随着数字化转型战略的推进，大数据、云计算、人工智能等技术得到了广泛应用，网络安全进入了一个新的时代。在迎来巨大发展机遇的同时，关键信息基础设施作为事关国家和社会稳定的重要战略资源，其地位日益凸显，但也面临着严峻的考验。近年来，网络安全威胁不断加剧，针对关键信息基础设施的重大网络攻击事件频频发生。网络攻击的对象已经从传统的IT系统扩大到关键基础设施，严重危害信息数据安全与稳定。为了顺应网络发展趋势、应对网络安全带来的危害以及响应国家信息化建设发展政策，特此开展**区教育数据中心基础设施安全加固建设项目，提升**区教育信息化能力水平，建设安全稳定、自主可控的防护体系。建设依据-政策驱动国家提出建设“数字中国”，发展“新基建”从政策层面引导加速信息产业技术创新和高质量发展。印发的《“十四五”数字经济发展规划》中，十四五数字经济发展主要指标明确指出到2025年行政办公及电子政务系统要全部完成国产化替代。2022年9月底国资委下发79号文，全面指导国资XC产业发展和进度。政策要求所有某著名企业著名企业在2022年11月份基于计划上报替换的系统，2023年每季度向国资委汇报。到2027年名企业企业100%完成XC替代，替换范围涵盖芯片、基础软件、操作系统、中间件等领域。政策核心内容如下：全面替换：OA、门户、邮箱、纪检、党群、档案、经营管理等应替就替：战略决策、ERP、风控管理、CRM经营管理系统等能替就替：生产制造、研发系统等行业应用“2”“8”“N”金融石油电力某著名企业交通航空航天教育医疗党政府地产物流汽车日化某著名企业电子……试点与培育（单点）实践与推广（规模化）建设依据-法律法规驱动密评的法律依据明确要用密码、要做密码安全性评估《密码法》《中华人民共和某著名企业络安全法》《数据安全法》《个人信息保护法》密评的行政法规明确教育行业信息系统落实密码应用的“三同步一评估”教育部办公厅关于印发《教育行业密码应用与创新发展实施方案》的通知，明确了在教育和科研计算机网、

教育资源、学历学籍管理、招生考试、学生资助、数字校园等应用系统。密评与等保的衔接明确等保三级及以上网络应正确、有效采用密码技术进行保护，并使用符合相关要求的密码产品和服务公安部[2020]1960号文《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》其他政策法规《商用密码应用安全性评估管理办法(试行)(2017印发)《关键信息基础设施安全保护条例》《关于规范商用密码应用安全性评估结果备案工作的通知》(国密局字[2021]392号)……01020304建设依据-行业驱动02需求分析风险统计测评项高中低小计安全物理环境0202安全通信网络0101安全区域边界0415安全计算环境013013安全管理制度0011安全管理机构08513安全管理人员0011安全建设管理07714安全运维管理0268小计0372158某省市**区教育督导和安全事务中心整体信息化按照三级等保要求进行建设，通过信息安全项目建设和安全设备的部署，为信息安全提供一定安全防护能力，达到了网络安全三级的要求。通过对信息系统基本安全保护状态的分析，目前在安全计算环境、安全区域边界以及安全通信网络仍有中危、低危风险项存在，如：在安全计算环境中，缺少可信验证设备，未采用密码技术保证通信过程中数据的完整性、内网系统通过HTTP方式访问，无法防止鉴别信息在网络传输过程中被窃听、未采用密码技术进行存储完整性验证、系统在数据传输过程中未对敏感信息（如系统管理数据、鉴别信息和重要业务数据等）未进行加密处理，敏感信息以明文方式传输等问题；在安全区域边界和安全通信网络层面，未基于可信根对网络边界的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证。针对以上问题，建议在以下方面进行整改：1、整体按照《商用密码应用安全性评估》规则要求中三级进行建设。采用符合国密要求的密码设备进行整体安全加固，建设整体密码服务系统框架，某省市**区教育督导和安全事务中心核心机房内有国产化改造需求的业务系统提供密码改造基础基础，从物理和环境、网络和通信、设备和计算、应用和数据层面，满足《商用密码应用安全性评估》判定要求。2、通过采用国密门禁/监控系统、服务器密码机、签名验签服务器以及国密算法SSLVPN等设备，保证数据的完整性、保障信息系统的实体身份真实性、重要数据的性和完整性、操作行为的不可否认性。3、从信息系统的管理制度、人员管理、建设运行和应急处置四个方面提出密码应用管理要求，为信息系统提供管理方面的密码应用安全保障。风险描述列表和差距分析报告现状调研应用系统各类应用系统25个169台主机，133个web应用数据库涉及数据库系统18个MySQL、SQLserver、oracle、PostgreSQL中间件涉及中间件系统18个Ja、Tomcat、Nginx、apache、JDK、PHP、.net、DebianOS、Supervisor、mongo……存储设备华为S2600T=600G*24+900G*72日立DF850=2T*44服务器设备业务服务器*6刀片服务E9000=16半宽+11全宽网络&安全设备交换机：N7K、N5K、S5700、S12708、S5731路由器：ASR9000、S7703安全设备：防火墙、负载均衡、探针、态势感知、堡垒机、漏扫设备、设备认证设备、备份一体机软件系统硬件设备现网架构某省市**区教育局信息中心机房以**数据中心机房为主，**职校数据中心机房作为灾备中心。**教育城域网现有

5个核心汇聚点，分别部署在**、区教育学院、**职校、**高中和**中学，组成主干万兆双环网结构，下属学校及教育机构通过单根万兆链路就近接入各汇聚节点。**数据中心机房有城域网、政务某省市教委校校通、某著名企业和著名企业互联网、网安专线等多条网络，整体信息化按照三级等保要求进行建设，通过安全设备部署，提高安全防护能力。城域网和数据中心网络采用冗余万兆链路互联，通过在两个区域之间部署防火墙进行访问限制和安全防护。面临的挑战

1）缺少国产化应用部署所需的底层计算、存储、网络资源2）随着应用服务器的增加，计算密度增加，现有的计算、存储出现性能瓶颈；缺少国产化资源平台1）信息在发布、流程审批等关键交，缺乏密码技术确保审批文件、公文的真实性、完整性、抗抵赖性2）用户在访问业务系统时仍存在明文传输方式，缺乏密码机制保护敏感数据在传输过程中的性、完整性保护机制，关键数据在通过互联网传输时有被非法篡改、非法窃听的风险。数据安全问题1）传统物理设备方案需要多台服务器和存储设备，不仅成本高昂，还存在很多应用系统单机运行、无数据备份等风险。2）传统建设方案设备类型多、数量多导致用户的选型评估、招标采购、联调上线、实施切换等整个流程复杂且缓慢国产化应用系统改造、成本投入问题管理人员在日常对业务系统进行运维管理过程中缺乏基于密码技术的身份鉴别机制，服务器有被非法用户入侵的风险，特别是通过互联网进行远程运维时管理数据缺乏性、完整性保护，管理流量中敏感数据有被非法窃取和篡改的风险。运维管理问题国产化基础设施建设建设需求采购国产化超融合架构，为应用系统国产化改造提供物理基础环境需求，动态分配业务系统所学需要的计算和存储资源，提供业务备份冗余保障，消除数据孤岛问题，简化运维管理，建设统一数据基座，实现资源共享。密码基础设施建设通过国产密码应用建设，从多方面解决信息系统和数据安全问题。弥补网络架构中安全缺失部分，提高信息系统安全防护能力，为国产化应用改造提供密码基础平台。安全加固建设采用商用密码技术、产品和服务集成建设，完善网络安全、数据安全防护体系，实现防护、检测、响应、恢复动态处置流程，降低信息系统被各种威胁源攻击、数据等风险，确保信息系统所支撑的各项业务、管理、服务工作的正常有序可靠开展。建设需求03方案规划总体设计思路整体规划意在满足**区教育数据中心数据安全和XC业务发展需要，结合现有网络，统一规划，构建国产化数据业务区域和密码资源区，提升安全系数，弥补网络架构中安全缺失部分，提高信息系统安全防护能力，为未来业务系统改造和建设提供统一密码基础平台，避免资源浪费。目的是打造一个具有前瞻性、利于业务拓展的高可靠性、扩展性、灵活性和安全性的信息化网络架构，为教学业务模式的发展与探索提供有力保障。整体架构设计项目整体建设在原有网络拓扑上进行部署，重点建设国产化数据中心资源池和密码资源区，使用现有网络设备与新购密码设备互联。在数据中心区域部署2台超融合交换机，采用堆叠，实现交换机统一管理和冗余模式。国产化超融合节点通过双联路万兆光纤与超融合交换机互联，用于分布式存储网络交互；双万兆链路与现有数据中心交换机互联实现业务网络交互，保证链路冗余性，提升链路带宽，提高数据转发和业务响应速度。在终端层面、网络边界和传输通道层面进行SSLVPN、个人证书、USBkey、国密浏览器等部署，搭配物理环境国产化改造以及密码设备部署，进行网络安全架构和密码改造建设。

本次项目在**核心机房选择B12和B13两个空的机柜，分别规划为国产化区和密码资源区，具体分配如下：B12----国产化区：包含超融合交换机和超融合服务器节点。考虑未来业务系统发展，预留8U-35U空间超融合节点扩展；B13----密码资源区：SSLVPN综合安全网关、服务器密码机和签名验签服务器、门禁/视频监控系统。机房机柜规划标准X86服务器/国产CPU服务器通用万兆交换机计算虚拟化存储虚拟化网络虚拟化安全虚拟化硬件资源层云主机虚拟化资源层云业务资源层●●●云容器备份服务监控服务云租户资源计费云存储云安全容灾服务告警服务工单流程自助服务用户业务层分支1分支2●●●●●●分支3国产化超融合建设国产化超融合建设密码基础设施建设方案-技术框架密码基础设施建设方案-业务流程物理和环境安全整改方案监控设备输入密码人员刷卡生物识别国密算法电子门禁系统身份鉴别、电子门禁记录数据的完整性：部署采用国密算法的门禁系统，通过门禁系统密码模块保障身份鉴别安全和数据完整性视频记录数据的完整性：部署国密视频监控系统，使用国密算法的视频监控系统，密视频监控系统密码模块保障数据完整性；采用国密算法，确码算法符合国密局相关要求方案说明国密算法视频监控系统网络和通信安全整改方案网络设备安全设备方案：身份鉴别和访问控制信息完整性：通过国密SSLVPN网关

保障网络层通信双方身份鉴别安全和访问控制信息的完整性：通信数据传输性和完整性：通过国密SSLVPN实现通信数据/报文的完整性、性边界访问控制完整性：通过签名验签服务器，对访问控制规则信息进行完整性保护。采用国密算法，确码算法符合国密局相关要求SSLVPN网关网络边界终端安全区VPN应用服务器国密浏览器国密证书设备和计算安全整改方案网络设备安全设备主机数据库堡垒机统一日志审计系统SSL

VPN网关安全区应用区安全服务密码服务方案：身份鉴别：采用支持国密算法的堡垒机，客户端通过智能密码钥匙SSL

VPN网关实现可信身份鉴别；访问控制信息完整性：通过支持国密算法应用的堡垒机，通过数字签名/MAC保障访问控制信息完整性日志记录完整性：通过统一日志审计系统实现统一日志管理，进行数字签名/MAC保障日志记录的完整性安全信息传输通道：通过网关/堡垒机实现服务器远程访问管理的安全信息传输采用国密算法，确码算法符合国密局相关要求方案说明配置文件日志文件远程访问签名验签服务器服务器密码机应用和数据安全整改方案方案：身份鉴别、访问控制信息完整性：通过国密数字证书实现应用系统终端用户、管理人员等用户的身份鉴别，通过国密签名验证服务器/协同签名服务器进行MAC/数字签名保障访问控制信息完整性。数据传输安全：通过电子签名、数字信封加密实现安全传输数据存储安全：通过服务器密码机进行加密存储和数字签名保障存储数据的性、完整性不可否认性：通过签名验证服务器等，确保业务数据完整性、操作行为放篡改、防抵赖，不可否认采用国密算法，确码算法符合国密局相关要求方案说明信息系统应用服务器签名验签服务器信息系统数据库服务器服务器密码机密码服务国密浏览器个人数字证书+USBKeySSL服务器证书04建设清单建设清单序号名称数量单位选型分析功能用途等保和密评要求1国产超融合服务器1套2节点(2*鲲鹏920,.6GHz、4*900W电源、16*32GDDR4、系统盘：4*960GBSSDSAS硬盘、缓存盘：2*1.6TBSSDNVMe硬盘、存储盘：14*1.2TB10KRPMSAS硬盘、2*SAS/SATARAID16口标卡,2块4*GE接口卡、4*万兆网卡且含8个多模光模块；+2台超融合交换机（48x10GESFP+，6x40/100GEQSFP28，配置12个万兆多模模块，2根QSFP+高速电缆-3m,2*交流电源）为应用系统国产化改造提供硬件基础，采用国产自研的鲲鹏服务器主板，国产CPU，支持国产操作系统、数据库和中间件，满足适配国产化环境。/2SSLVPN网关2台支持国密SSL卸载，每秒新建连接数11,000，最大并发连接数550,000，吞吐率2.2Gbps；支持SSL加密隧道功能，默认含25个用户license，最大并发用户数3,000；规格：2U;双电源；4个千兆网口+可扩展2个千兆网口。为访问业务系统提供数据通道加密满足商用密码应用安全性评估网络和通信安全、设备和计算安全、应用和数据安全要求3服务器密码机1台硬件规格：2U（机架式）；2*100/1000M自适应网口；双电源。主要性能参数：SM2密钥对产生11000对/秒；SM4加解密1000Mbps；SM2签名55000次/秒，验签28000次/秒。满足应用系统数据的签名/验证、加密/解密的要求，保证传输信息的性、完整性和有效性，同时提供安全、完善的密钥管理机制。满足商用密码应用安全性评估网络和通信安全、设备和计算安全、应用和数据安全要求满足网络安全等级测评：安全通信网络、安全计算环境要求4签名验签服务器1台提供数字签名/验证、数字信封加密和解密、带签名的数字信封加密和解密等。硬件规格：2U；2个100/1000M自适应网口；双电源。主要性能参数：SM2签名18000次/秒，SM2验签5000次/秒提供数字签名/验证、数字信封加密和解密、带签名的数字信封加密和解密等。满足商用密码应用安全性评估设备和计算安全、应用和数据安全要求；满足网络安全等级测评：安全通信网络、安全计算环境要求5门禁/视频监控系统1套该产品是以GM/T0036标准为基础，结合GB/T39786等其他相关标准，采用国产芯片，国产算法，保障门禁系统的实体身份真实性、重要数据的性和完整性、操作行为的不可否认性要求；采用国密算法加密和认证，物理和环境安全提供保证数据真实性，完整性保障满足商用密码应用安全性评估物理环境和安全要求序号名称数量单位选型分析功能用途等保和密评要求6智能密码钥匙100个1、性能：SM4加/解密速率≧1.0Mbps/1.0Mbps，SM2签名密钥生成速率≧0.6对/秒，加/解密速率≧655Kbps/550Kbps，签名速率≧650次/秒，验签速率≧950次/秒，SM3运算速率≧1.6Mbps。2、适配环境：飞腾FT1500A、银河麒麟V4.0；龙芯：3A3000、中标麒麟V7.0；兆芯C4710、中标麒麟V7.0；