系统安全防护设计方案

系统安全设计方案

建立全面的安全保障体系，包括物理层安全、网络层安全、系统层安全、数

据层安全、数据库安全、系统软件安全、应用层安全、接口安全，制定安全防护

措施和安全管理运维体系。

目录

1.1总体设计....................................-1-

1.1.1设计原则.................................-1-

1.1.2参考标准.................................-2-

1.2物理层安全.................................-2-

1.2.1机房建设安全.............................-2-

1.2.2电气安全特性.............................-3-

1.2.3设备安全.................................-3-

1.2.4介质安全措施.............................._3-

1.3网络层安全.................................-4-

1.3.1网络结构安全..............................-4-

1.3.2划分子网络...............................-4-

1.3.3异常流量管理.............................-5-

1.3.4网络安全审计.............................-6-

1.3.5网络访问控制.............................-7-

1.3.6完整性检查...............................-7-

1.3.7入侵防御.................................~8-

1.3.8恶意代码防范.............................-8-

1.3.9网络设备防护.............................-9-

1.3.10安全区域边界...........................-10-

1.3.11安全域划分.............................-11-

1.4系统层安全................................_12-

1.4.1虚拟化平台安全..........................-12-

实用文档

1.4.2虚拟机系统结构........................-12-

1.4.3虚拟化网络安全........................-13-

1.5数据层安全..............................-14-

1.5.1数据安全策略.........................-14-

1.5.2数据传输安全..........................-14-

1.5.3数据完整性与保密性....................-15-

1.5.4数据备份与恢复........................-15-

1.5.5Web应用安全监测......................-15-

1.6数据库安全.............................._16-

1.6.1保证数据库的存在安全..................-16-

1.6.2保证数据库的可用性....................-16-

1.6.3保障数据库系统的机密性................-17-

1.6.4保证数据库的完整性....................-17-

1.7系统软件安全............................-17-

1.8应用层安全..............................-20-

1.8.1身份鉴别..............................-20-

1.8.2访问控制..............................-21-

1.8.3Web应用安全..........................-21-

1.8.4安全审计..............................-22-

1.8.5剩余信息保护..........................-22-

1.8.6通信保密性............................-23-

1.8.7抗抵赖................................-23-

实用文档

1.8.8软伶容错...............................-23-

1.8.9资源控制...............................-24-

1.8.10可信接入体系..........................-25-

1.9接口安全..................................-27-

1.10安全防护措施.............................-28-

1.11安全管理运维体系.........................-29-

实用文档

1.1总体设计

1.1.1设计原则

信息安全是信息化建设的安全保障设施，信息安全的目标是能够更好的保障

网络上承载的业务，在保证安全的同时，还要保障业务的正常运行和运行效率。

在此基础一L,云计算中心安全系统在设计时应遵循如下原则：

1、清晰定义模型原则

在设计信息安全保障体系时，首先要对信息系统进行模型抽象，根据信息系

统抽象模型特性，分析出信息系统中各个方面的内容及其安全现状，再将信息系

统各内容属性中与安全相关的属性抽取出来，建立“保护对象框架”、“安全措施

框架”、“整体保障框架”等安全框架模型，从而相对准确地描述信息系统的安全

属性和等级保护的逻辑思维。

2、分域防护、综合防范的原则

任何安全措施都不是绝对安全的，都可能被攻破。为预防攻破一层或一类保

护的攻击行为无法破坏整个信息系统，需要安全技术手段与等级保护技术要求相

结合，在此基础上合理划分安全域和综合采用多种有效措施，进行多层和多重保

护。

3、需求、风险、弋价平衡的原则

对新型的信息系统，如多元化的、复杂的网络空间，绝对安全难以达到，也

不一定是必须的，需正确处理需求、风险与代价的关系，等级保护，适度防护,

做到安全性与可用性相容，做到技术上可实现，经济上可执行。

4、技术与管理相结合原则

信息安全涉及人、技术、操作等各方面要素，单靠技术或单靠管理都不可能

实现。因此在考虑信息系统信息安全时，必须将各种安全技术与运行管理机制、

人员思想教育、技术培训、安全规章制度建设相结合。

5、动态发展和可乎展原则

随着网络攻防技术的进一步发展，网络安全需求会不断变化，以及环境、条

件、时间的限制，安全防护一步到位，一劳永逸地解决信息安全问题是不现实的。

信息安全保障建设可先保证基本的、必须的安全性和良好的安全可扩展性，今后

实用文档

随着应用和网络安全技术的发展，不断调整安全策略，加强安全防护力度，以适

应新的网络安全环境，满足新的信息安全需求。

1.1.2参考标准

本方案中，安全系统的设计参考了以下设计标准：

1、GB17859-1999（中华人民共和国国家标准）计算机信息系统安全保护等

级划分准则

2、国家标准GB/T22239-2008《信息系统安全等级保护基本要求》

3、国家标准GB9361/988《计算站场地安全要求》

4、国家标准GB2B87-1989《计算站场地技术条件》

5、国家标准GB50174-1993《电子计算机机房设计规范》

6、国家标准CR9254-199X《信息技术设备的无线电骚扰限值和测量方法》

7、《信息系统通用安全技术要求》GB/T20271-2006

8、国家公共安全和保密准则GGBB1-1999《信息设备电磁泄漏发射限值》

9、GB/T20269-2006《信息系统安全管理要求》GB/T20269-2006

10、GB/T20282-2006《信息系统安全工程管理要求》GB/T20282-2006

11.1SO17799/BS7799：《信息安全管理惯例》。

1.2物理层安全

本项目建设依托于普洱市林业信息中心，为系统安全设计提供支撑，保障数

据中心基础设施的稳定性及服务连续性。

1.2.1机房建设安全

机房建设安全是保障整个数据中心安全的前提。主要防范以下的物理安全隐

患：

由于水灾、火灾、雷击、粉尘、静电等突发性事故和环境污染造成网络设施

工作停滞。

人为引起设备被盗、被毁或外界的电磁干扰使通信线路中断。

电子、电力设备本身固有缺陷和弱点及所处环境容易在人员误操作或外界诱

发下发生故障。

实用文档

主要技术措施包括：

良好的机房位置选择。

在机房出入口部署电子门禁系统。

部署防盗报警系统。

部署防雷保安器、自动消防系统、水敏感检测仪表或元件、防静电地板、温

度监控与自动调节、电压防护设备等环境安全措施。

部署电力恢复设备，防电磁干扰措施维护业务连续性。

1.2.2电气安全特性

机房内实体要保障正常的电气安全，主要考虑如下几点：

机房安全温度指标，机房温度必须控制在22摄氏度左右。

机安全湿度指标，机房湿度必须控制在45%-65%之间.

防火、防磁、防水措施。

禁止易然、易爆、危险品入机房。

1.2.3设备安全

设备安全主要包括设备的防火，防水、防盗、人为破坏及电源保护。包括对

操作终端的物理安仝加强措施，采取拆除光驱、软驱和封堵串口、并口和USB、

IEEE1394等物理端口的措施。

L2.4介质安全措施

包括介质数据的安全及安全介质本身的安全。存储涉密信息的软盘、光盘等

存储介质，应按照存储信息的最高密级标明等级，并由专人妥善管理。存储涉密

信息的介质不能降低密级使用。

为保证信息网络系统的物理安全，除在网络规划和场地、环境等要求外，还

要防止系统信息在空间的扩散。计算机系统通过电磁辐射使信息被截获而失秘的

案例已经很多，在理论和技术支持下的验证工作也证实这种截取距离在几百甚至

可达千米的复原显示给计算机系统信息的保密工作带来了极大的危害。为了防止

系统中的信息在空间上的扩散，通常是在物理上通过一定的防护措施，来减少或

实用文档

干扰扩散出去的空间信号。

1.3网络层安全

目前，在通信网络安全方面，采用密码等核心技术实现的各类VPN都可以

很有效的解决这类问题。针对部分安全等级较高的信息系统，本解决方案除确定

使用成熟的VPN技术外，还提出可利用PKI体系构建一个可信网络平台，并利

用终端数据加密技术实现数据层面的加密，在VPN的基础L再加」一一份“双重

保险”，达到在满足等级保护相关要求的同时，可灵活提高通信网络安全性的效

果。

1.3.1网络结构安全

网络结构安全是网络安全的前提和基础，对于云中心建设，每个层、区域的

线路和设备均采用冗余设计。经过合埋规划，在终端与服务器之间建立安全访问

路径。在本次项目的匣络结构设计中，核心网络设备、防火墙、入侵防御等均为

双机冗余结构设计，双机冗余设计除了可以避免因一台设备或单个系统异常而导

致业务中断外，还可以对系统业务流量负载分担，避免大流量环境下线路拥堵和

带宽不足的问题。

本次设计针对网络结构安全采取的主要技术措施如下：

主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要，同时具

有可扩展、可管理等特性。

采用运营商高带宽链路保障了业务要求。

通过采用防火墙、交换机等设备，在业务终端与业务服务器之间建立了安全

的访问路径。

在网络设备（防火墙、路由器、交换机）上配置优先级，通过技术手段（ACL

依次匹配、QOS等）对业务服务的重要次序来指定分配，保证在网络发生拥堵

的时候优先保护重要主机。

1.3.2划分子网络

交换机的每一个端口均为自己独立的冲突域，但对于所有处于一个IP网段

的网络设备来说，当工作站的数量较多、信息流很大的时候，很容易形成广播风

实用文档

暴，轻者造成某些网络设备的死机，严重的将造成整个网络的瘫痪。

在采用交换技术的网络中，对于网络结构的划分采用的仅仅是物理网段的划

分的手段。这样的网络结构从效率和安全性的角度来考虑都是有所欠缺的，而且

在很大程度上.限制了网络的灵活性，如果需要将一个广播域分开，那么就需要另

外购买交换机并且要人工重新布线。因此，需要进行虚拟网络（VLAN）设置。

VLAN对于网络用户来说是完全透明的，用户感觉不到使用中与交换式网络

有任何的差别，但对于网络管理人员则有很大的不同，因为这主要取决于VLAN

对网络中的广播风暴的控制可提高网络的整体安全性，网络管理的简单、直观等

优势。

ACL（AcccssControlList访问控制表）是用户和设备可以访问的那些现有服

务和信息的列表。使用ACL技术其作用在于控制VLAN间的相互通信。在VLAN

之间配置了Route协议之后，VLAN之间就可以实现相互的通信，这时需要使

ACL对其加以控制。例如：使用ACL技术使财务部门使用的VLAN2仅仅允许

领导使用的VLAN100访问，其他部门不能访问。同时还可以隔离企业使用的

VLAN,并同时又允许访问Internel。

1.3.3异常流量管理

数据中心后台提供数据的数据库载体，将提供面向互联网的服务，包括门户

网站、互联网数据收集服务等，这些服务集中在对外信息服务区安全域中。对于

服务的访问流量，是我们需要保护的流量。但是，往往有一些“异常”的流量,

通过部分或完全占据网络资源，使得正常的业务访问延迟或中断。可能发生在对

外信息服务区安全边界的异常流量，根据产生原因的不同，大致可以分为两类：

攻击流量、病毒流量。

攻击流量：是以拒绝服务式攻击（DDOS）为代表，他们主要来自丁互联网，

攻击的目标是互联网服务区安全域中的服务系统。

病毒流量：病毒流量可能源自数据中心内部或互联网，主要是由蠕虫病毒所

引发，一旦内部主机感染病毒，病毒会自动的在网络中寻找漏洞主机并感染。互

联网中的大量蠕虫病毒，也可能通过安全边界，进入到数据中心网络中来。

通过在网络平台中互联网出口区安全边界最外侧部署异常流量管理系统，可

实用文档

以实时的发现并阻断异常流量，为正常的互联网访问请求提供高可靠环境。异常

流量管理系统部署在互联网出口安全区边界最外层，直接面向互联网，阻断来自

互联网的攻击，阻断病毒的自动探测和传播。

异常流量系统必须具备智能的流量分析能力、特征识别能力，具备大流量入

侵时足够的性能处理能力。异常流量系统之后部署的即是边界防火墙设备。

1.3.4网络安全审计

网络安全审计系统主要用于审计记录网络中的各类网络、应用协议与数据库

业务操作流量，监控系统中存在的潜在威胁，综合分析安全事件，包括各种域间

和域内事件。审计体系采用旁路部署网络安全审计系统，对全网数据流进行监测、

审计记录，同时和其它网络安全设备共同为集中安全管理平台提供监控数据用于

分析预警并生成详细的审计报表C

本次设计针对网络安全审计采用的主要技术措施如下：

安全审计系统对网络中的数据库行为、业务操作、网络协议、应用协议等进

行审计记录。

审计记录包括：事件的日期和时间、用户、事件类型、事件是否成功及其他

与审计相关的信息。

应能够根据记录数据进行分析，并生成审计很表。

应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。

主要采用的设备包括：数据库审计、日志审计、网络行为审计、运维审计等

设备。

各安全区域边界已经部署了相应的安全设备负责进行区域边界的安全。对于

流经各主要边界（重要服务器区域、外部连接边界）需要设置必要的审计机制，

进行数据监视并记录各类操作，通过审计分析能够发现跨区域的安全威胁，实时

地综合分析出网络中发生的安全事件。一般可采取开启边界安全设备的审计功能

模块，根据审计策略进行数据的日志记录与审计。同时审计信息要通过安全管理

中心进行统一集中管理，为安全管理中心提供必要的边界安全审计数据，利于管

理中心进行全局管控。边界安全审计和主机审计、应用审计、网络审计等一起构

成完整的、多层次的审计系统。

实用文档

网络安全审计系统主要用于监视并记录网络中的各类操作，侦察系统中存在

的现有和潜在的威胁，实时地综合分析出网络中发生的安全事件，包括各种外部

事件和内部事件。

在核心交换机处并接部署网络行为监控与审计系统，形成对全网网络数据的

流量监测并进行相应安全审计，同时和其它网络安全设备共同为集中安全管理提

供监控数据用于分析及检测。网络行为监控和审计系统采用旁路技术，不用在目

标主机中安装任何组件。同时网络审计系统可以与其它网络安全设备进行联动，

将各自的监控记录送往安全管理安全域中的安全管理服务器，集中对网络异常、

攻击和病毒进行分析和检测。

L3.5网络访问控制

访问控制是网络系统安全防范和保护的主要策略之一，它的主要任务是保证

系统资源不被非法使用，是系统安全、保护网络资源的重要手段。而安全访问控

制的前提是必须合理的建立安全域，根据不同的安全访问控制需求建立不同的安

全域。本次云中心建设，采用防火墙+统一身份认证的方式对终端设备和访问人

员实现安全准入管理。

技术防护机制如下：部署统一身份认证系统，通过安全策略制定，结合防火

墙，熨现网络访问准入控制。通过对云中心内各区域网络的边界风险与需求分析，

在网络层进行访问控制部署防火墙产品，同时设置相应的安全策略（基线），对

所有流经防火墙的数据包按照严格的安全规则进行过滤，将所有不安全的或不符

合安全规则的数据包屏蔽，杜绝越权访问，防止各类非法攻击行为。

1.3.6完整性检查

边界完整性检查核心是耍对内部网络中出现的内部用户木通过准许私自联

到外部网络的行为进行检查，维护网络边界完整性。本次设计利用网络行为审计

设备发现各种非法外联行为来进行网络边界完整性检杳。通过非法外联监控的管

理，可以防止用户访问非信任网络资源，并防止由于访问非信任网络资源而引入

安全风险或者导致信息泄密。

信息的完整性设计包括信息传输的完整性校验以及信息存储的完整性校验。

实用文档

对于信息传输和存储的完整性校验可以采用的技术包括校验码技术、消息鉴别码、

密码校验函数、散列函数、数字签名等。对于信息传输的完整性校验应由传输加

密系统完成。部署SSLVPN系统保证远程数据传输的数据完整性。对于信息存

储的完整性校验应由应用系统和数据库系统完成。应用层的通信保密性主要由应

用系统完成。在通信双方建立连接之前，应用系统应利用密码技术进行会话初始

化验证；并对通信过程中的敏感信息字段进行加密。对于信息传输的通信保密性

应由传输加密系统完成。部署SSLVPN系统保证远程数据传输的数据机密性。

1.3.7入侵防御

基于网络的开放性与自由性，网络中存在各种未知的威胁和不法分子的攻击。

网络入侵检测和防御从网络中收集信息，再通过这些信息分析入侵特征并低于网

络入侵和攻击，网络入侵防御设备可以与防火墙等其它安全产品紧密结合，大程

度地为网络系统提供安全保障。通过对安全域边界风险与需求分析，采取的技术

措施如下：

在外部应用区，内部应用区、安全服务区部署网络入侵防御系统（IPS）系

统，实时监视并分析通过网络的所有通信业务，监视端口扫描、强力攻击、木马

后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等行

为。当检测到攻击行为时，抵御攻击并记录攻击源IP、攻击类型、攻击目的、

攻击时间，提供报警。

1.3.8恶意代码防范

恶意代码的防范主要是采用边界过淀技术，主要有入侵防御、防病毒网关、

防火墙、DDoS攻击检测等，通过对数据进行深层次的安全代码检查，将可疑恶

意代码进行隔离、查杀和过滤。

根据国家相关安全技术要求，病毒网关应具备查杀当时流行的病毒和木马的

能力，其病毒库应能够在线或离线及时更新，更新周期不应超过一周，遇紧急情

况或国际、国内重大病毒事件时，能够及时更新。恶意代码是对智慧城市业务系

统大的安全威胁之一。

本次所采取的技术措施如下:

实用文档

通过在互联网接入区部署防病毒网关，截断了病毒通过互联网传播到云中心

网络的途径。

通过在互联域部署抗DDoS攻击的系统（设备），对流量进行清洗和过滤，

净化了网络流量。

1.3.9网络设备防护

云中心部署了大量网络设备（路由器、交换机、防火墙等），这些设备的自

身安全也直接关系到系统及各网络应用的正常运行。例如设备登录信息、配置信

息泄露等。各种网络设备、安全设备、服务器系统、交换机、路由器、网络安全

审计等都必须具备管理员身份鉴别机制，采用帐号、静态口令、动态口令、KEY、

数字证书等方式或两种以上组合方式进行身份鉴别，密码配置必须满足“复杂”

要求，长度不少于X位字符，且不能为全数字或单词等，必须由两种或两种以上

字符类型（大小写字母、数字、特殊字符等）构成，同时应配置大登陆失败次数，

通常为3-5次，超过大登陆次数后，即将登陆源IP进行锁定禁止再次尝试登陆，

以防口令暴力猜解。

设备应根据物理安全要求，固定安装于机柜并粘贴相应标识。对所有网络设

备均开启登录身份验证功能，对登录网络设备的用户进行身份鉴别；同时对安全

设备管理员登录地址进行限制；网络管理员和安仝管理员的用户名的标识都具有

唯一性；网络安全设备、服务器的口令采用强口令并定期更换；在安全设备、服

务器、安全系统上开启登录失败处理功能，如采取限制非法登录次数和当网络登

录连接超时自动退出等措施。启用网络安全的SSH及SSL功能，保证对设备进

行远程管理时防止鉴别信息在网络传输过程中被窃听。

本次云中心设计主要采取下列技术措施：

核心交换机、路由器、防火墙、隔离网闸等网络设备设置登录策略限制远程

登陆管理IP地址范围，关键设备只允许运维管理域的IP主机或堡垒机方可以管

理权限通过网络登陆设备配置和维护操作，通过网络远程配置管理必须采用加密

方式（如：SSH或HTTPS）建立连接，以防连接会话被窃听或篡改。

所有操作必须经过管理终端域管理终端或堡垒机操作，通过堡垒授权账号与

权限划分，有审计员帐号监督审计•，审计管理员可随时查看系统管理员对网络设

实用文档

备所做的操作，帐号登陆后若长时间未有操作，应能够自动退出系统或结束当前

管理会话连接，严格杜绝超级管理员权限帐号或永久在线帐号存在。

部署运维堡垒主机对登录操作系统和数据库系统的用户进行身份标识和鉴

别，杜绝默认帐号，不合规则的帐户登录访问；操作系统和数据库系统管理用户

身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换。

启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等

措施，三次登录失败账号自动锁定。操作系统、数据库系统的不同用户分配不同

的用户名，且具有唯一性。

1.3.10安全区域边界

为保护边界安全，本解决方案针对构建一个安全的区域边界提出的解决手段

是在被保护的信息边界部署一个“应用访问控制系统”C该系统应可以实现以下

功能：信息层的自主和强制访问控制、防范SQL注入攻击和跨站攻击、抗

DoS/DDoS攻击端口扫描、数据包过渡、网络地址换、安全审计等，同时为了保

证应用系统的高可用性，需考虑负载均衡设备。

此外，对于不同安全等级信息系统之间的互连边界，可根据依照信息流向的

高低，部署防火墙或安全隔离与信息交换系统，并配置相应的安全策略以实现对

信息流向的控制。

根据数据中心互联网的业务需求，数据中心提供对互联网的访问服务。对这

些访问行为，需要对数据交换、传输协议、传输内容、安全决策等进行严格的检

查，以防止有互联网引入风险。数据中心内部划分了专门的互联网服务器安全域，

将对外提供服务的Web服务器等部署在防火墙的DMZ区，负责接收和处理来自

互联网的业务访问请求。防火墙进行严格的访问控制的设定，确保访问身份的合

法性。

但是，防火墙无法高度保证传输内容、协议、数据的安全性。同时，需要对

政务内网服务器对数据中心政务外网的访问进行双向严格的管理控制，不允许互

联网用户访问到政务内网业务服务器的数据库。可以通过在电子政务内网和电子

政务外网的安全边界上部署安全隔离网闸，对各部门的数据库实现按需数据同步。

通过这种方式，可以为访问提供更高的安全性保障。安全隔离网闸两侧网络

实用文档

之间所有的TCP/IP连接在其主机系统上都要进行完全的应用协议还原，还原后

的应用层信息根据用户的策略进行强制检查后，以格式化数据块的方式通过隔离

交换矩阵进行单向交换，在另外一端的主机系统上通过自身建立的安全会话进行

最终的数据通信，即实现“协议落地、内容检测”。这样，既从物理上隔离、阻

断了具有潜在攻击可能的一切连接，又进行了强制内容检测，从而实现最高级别

的安全。

在安全域之间进行数据交换时，需要在安全域的边界控制信息流向，实现安

全域边界网络层的访问控制。因此，本项目建议在业务网络边界部署带有网络层

访问控制功能的第二代防火墙，在数据存储区边界部署高性能第二代防火墙。

在业务网络边界部署带有网络层访问控制功能的第二代防火墙，一个方面实

现对该区域与外部区域数据交换时的访问控制，另外一个方面实现对该区域应用

层业务系统的保护，抵御来自外部的应用层攻击.

在数据资源区部署高性能第二代防火墙，在从业务服务器区域与数据存储区

进行数据交换时，再进行一次安全防护，从而实现对整个业务系统的纵深的防御。

第二代防火墙是面向应用层设计，能够精确识别用户、应用和内容，具备完整安

全防护能力，能够全面替代传统防火墙，并具有强劲应用层处理能力的全新网络

安全设备。第二代防火墙解决了传统安全设备在应用识别、访问控制、内容安全

防护等方面的不足，同时开启所有功能后性能不会大幅下降。

1.3.11安全域划分

安全域的划分是网络防护的基础，事实上每一个安全边界所包含的区域都形

成了一个安全域。这些区域具有不同的使命，具有不同的功能，分域保护的框架

为明确各个域的安全等级奠定了基础，保证了信息流在交换过程中的安全性。

在数据中心中，有些应用系统之间面临相同或相似的安全威胁，他们的安全

需求也具有一定的相似性。为了简化保护措施，降低保护费用和简化管理，遵照

分域保护、分级保护的原则，进行合理的安全域划分。

1、划分原则

网络位置分离划分为不同的安全域；

保护要求不同划分为不同的安全域；

实用文档

访问对象不同划分为不同的安全域。

2、安全域的划分

根据对虚拟服务器资源的需求，数据中心将提供电子政务外网服务，电子政

务外网服务区域包括部门数据资源区、核心骨干区、外部数据区、管理区和出口

安全区，各安全域间通过相应的隔离手段相互隔离。

1.4系统层安全

1.4.1虚拟化平台安全

虚拟化平台是整个硬件资源进行抽象化的关键层次，虚拟化平台的安全关乎

到整个政务云平台的正常运转。因此，对虚拟化平台的安全进行着重安全措施部

署，至少包括：

选用成熟可靠，自主可控的虚拟化平台系统（基于OpcnStack架构的KVM

平台），防止被某些国外厂商“绑死”，并降低敌对势力利用后门程序进行破坏和

数据窃取。

应在深入虚拟化平台底层，进行安全措施部署和控制增强平台可控性，并定

时进行漏洞检测、安全加固和补丁升级，保障虚次化平台的动态可靠。

深入到虚拟化平台底层部署针对虚拟机的安全隔离与防护措施，防止恶意份

子利用虚拟机对虚拟化平台发起攻击、恶意抢占资源，保障虚拟化平台的高可用

性。

加强对虚拟化平台的访问、运维管理的审计措施，形成包括对资源池内、外

部事件的整体安全审计体系，防止特权人员对虚以化平台破坏。

应采取资源高可用性措施，保障异地备份资源池与主资源池之间的负载均衡,

提升业务连续性和可用性。

1.4.2虚拟机系统结构

系统虚拟化的核心思想是虚拟化软件在一台物理机上虚拟出一台或多台虚

拟机。使用系统虚拟化技术，虚拟机运行在一个隔离环境中、具有完整硬件功能

的逻据计算机系统，包括客户操作系统和其中的应用程序。在虚拟机系统中，多

个操作系统可以互不影响地在同一台物理机上同时运行，复用物理机资源。

实用文档

在虚拟机系统中，虚拟运行环境都需要为其上运行的虚拟机提供一套虚拟的

硬件环境，包括虚拟的处理器、内存、设备与I/O及网络接口等。

为了方便虚拟机系统的管理，提高虚拟机系统的安全性，在虚拟机系统中，

可以设立独立的管理虚拟机，专门提供虚拟机的管理和对虚拟机系统的安全控制。

管理虚拟机可以和虚拟机监控器合作，完成对虚拟机系统中客户虚拟机管理

工作。在管理虚拟机中，可以部署安全模块，为虚拟机系统提供安全机制。

随着虚拟机系统功能的增多，虚拟机监控器规模越来越大，其出现的漏洞也

越来越多。因此，利用虚拟机监控器提供可靠的安全机制已经不可信。通过在虚

拟机监控器外，设立独立安全模块，既可以不增加虚拟机监控器的规模，又能给

虚拟机系统提供可信的安全机制。

安全控制从VMM中分离出来的虚拟机系统结构安全控制模块负责提供对

虚拟机监控器行为的安全控制，从而保证虚拟机系统的安全.

1.4.3虚拟化网络安全

保障虚拟化网络的安全可靠运行，可为虚拟资源之间的协调分配，业务的流

畅运行提供良好的保障。应深入虚拟化平台底层，实现虚拟化网络可视可控、动

态边界防护、安全策略一致性、虚拟机安全隔离和统一管理，以及安全风险态势

可视化。应采取的安仝措施，至少包括：

通过设计采用底层控制技术的虚拟化安全网关系统，可全面获取虚拟化网络

流量报文，对虚拟化网络中的流量、报文进行可视化处理，对越权访问行为进行

阻断。

部署统一的安全策略管理平台，对多资源池间的虚拟机漂移、动态边界进行

安全策略一致性保障，防止因虚拟机漂移带来的安全漏洞。

构建安全资源池体系，为各委办局和单位，提供专用的安全保障措施和安全

策略管理接口，保障各委办局和单位能够在基础安全策略之上进行特性化的安全

策略配置，保障特殊安全需求的满足。

建立虚拟机安全管理机制，虚拟机标签MAC绑定等技术措施，并检测虚拟

机的通信包的mac是否与分配给虚拟机的一致，发现不一致后禁止其通信，降

低因此带来的网络混乱。

实用文档

理顺并进行物理网络和虚拟化网络结合的安全策略配置，以及等保符合性的

安全策略调优、安全巡检和运维加固，配备专业化的安全运维队伍。

在虚拟化平台上，部署具备FW、IPS、抗DDos攻击、安全审计等功能模块

虚拟化安全网关系统，对虚拟化网络中存在的攻击和恶意代码散播进行遏，防止

因此带来的安全事件发生。

1.5数据层安仝

1.5.1数据安全策略

数据安全，尤其保障数据信息的CIA。

物理隔离：通过不同的业务访问规模部署多套物理隔离的系统网络云。

数据隔离：通过虚拟化层安全机制实现虚拟机间存储访问隔离。

数据访问控制：设置虚拟环境卜的逻辑边界安全访问控制策略，实现虚拟机、

虚拟机组间的数据访问控制。

数据存储安全：为用户可选提供加密存储服务，虚拟机服务则建议用户对重

要的数据信息在上传、存储前进行加密处理。

数据传输安全：采用SSH、SSL等方式保障维护管理信息的安全，采用数据

加密、VPN等保障用户数据信息的网络传输安全。

剩余信息保护：存储资源重分配之前进行完整的数据擦除；数据删除后，对

应的存储区进行完整的数据擦除或标识为只写；

数据备份与恢复：支持文件级完整和增量备份；映像级恢复和单个文件的恢

复。

1.5.2数据传输安全

针对远程异地办公工作人员，通过SSLVPN技术接入，利用SSLVPN实现

敏感数据加密，处于安全性的考虑SSLVPN设备部署在安全服务区。具体采用

的技术措施如下：

（1）用户身份鉴别，防止外部人员非法接入。

（2）数据传输安全，通过加密，保护在互联网上传输数据的安全。

实用文档

1.5.3数据完整性与保密性

本次设计所采用的技术措施如下：

重点应用系统中传输关键、敏感数据时要采用高强度加密算法（3DESAES

等），实现数据保密性要求，其他类应用系统根据具体情况来考虑。

对于重点应用系统，因数据在Internet上传播或至关重要，应该保障数据的

完整性，针对•应用系统信息的重要程度，可以采用不同的数据完整性验证手段。

要实时监控业务系统和管理员对业务数据库的所有访问，根据多种安全策略判定

访问操作的风险等级，并根据风险等级选择性的报警，从而实现完全独立于数据

库的审计功能。模块提供可视化的审计日志检索和回放功能，生成可读性高的报

表，达到提高数据库及业务系统的安全性的目的。

通过部署证书认证系统、安全应用支撑平台为应用系统安全提供数据完整性、

数据保密性服务。同时部署数据库审计系统对访问数据库中机密数据的行为进行

审计•，达到提高数据库安全性的目的。

1.5.4数据备份与恢复

数据备份是数据在受损后恢复快的数据安全措施，要求将系统重要数据利用

光盘库、磁带机、磁带库或其它存储设备，复制数据的副本，并且将备份介质异

地存放；数据备份方式可以选择海量备份、增量各份或差分备份，在首次对系统

数据进行备份时，必须选择海量备份方式，要求每天对数据进行一次增量备份，

每周对数据进行一次差备份。重要数据传输网络和数据系统包括硬件部分，要采

冗余结构，确保数据的高可用性。针对系统的数据备份和恢复，本次设计采用的

技术措施如下：

冗余技术设计网络拓扑结构，避免存在网络单点故障。

在里耶部署异地数据备份系统，并建立完整备份策略，根据每天、每周、每

月等要求分别设定不同的备份内容和要求。

1.5.5Web应用安全监测

Web应用（此处主要指门户网站）是政务信息化中一项重要的应用，根据前

期对全国Web应用的调研和分析，Web应用的安全隙患造成攻击事件不断发生

实用文档

的局面。

本项目采取的措施是构建Web应用监测综合分析系统，针对web应用或门

户网站站安全问题，变被动应对为主动关注，实施积极防御，这就需要以一个全

面的视角看待网站安全问题，并依靠各个方面的相互配合，对网站安全做到心中

有数，防护有方。具体的思路如下：

1、建立主动的安全检测机制

面对Web应用的威胁，我们缺乏有效的检瓷机制，因此，首先要建立一个

主动的网站安全检查机制，确保网站安全情况的及时获知一是否已经遭到攻击,

是否存还在被攻击的风险。

2、进行有效的入侵防护

面对Web应用的攻击，我们缺乏有效的检测防护机制，因此，需要部署针

对网站的入侵防护产品，加强网站防入侵能力，能够对网站主流的应用层攻击（如

SQL注入和XSS攻击）进行防护。

3、针对网站安全问题，建立及时响应机制

面对Web应用程序漏洞和已经造成的危害，缺乏恢复的机制和足够的技术

储备，因此，需要确立专业支持团队的外援保障，解决及时响应问题，在网站安

全问题被验证后，能确保对网站进行木马清除以及针对Web漏洞的安全代码审

核修补等工作。

只有通过以上3个环节有机结合，方可建立一套有检测，有防护，有响应的

网站安全保障方案，确保在新威胁环境下网站的安全运营。

1.6数据库安全

L6.1保证数据库的存在安全

确保数据库系统的安全首先要确保数据库系统的存在安全。

L6.2保证数据库的可用性

数据库管理系统的可用性表现在两个方面：一是需要阻止发布某些非保护数

据以防止敏感数据的泄漏；二是当两个用户同时请求同一纪录时进行仲裁。

实用文档

1.6.3保障数据库系统的机密性

主要包括用户身份认证、访问控制和可审计性等。

1.6.4保证数据库的完整性

数据库的完整性包括物理完整性、逻辑完整性和元素完整性。物理完整性是

指存储介质和运行环境的完整性。逻辑完整性主要有实体完整性和引用完整性。

元素完整性是指数据库元素的正确性和准确性。

1.7系统软件安全

操作系统是计算机软硬件资源和数据的总管，担负着计算机系统庞大的资源

管理，频繁的输入输出控制以及不间断的用户同操作系统之间的通信等重要功能。

系统安全已成为一个不容忽视的问题，操作系统安全问题不容忽视C目前针对操

作系统的攻击手段越来越多，方式复杂多样。它们利用操作系统自身漏洞进行恶

意破坏，导致资源配置被篡改，恶意程序被植入执行，利用缓冲区溢出攻击非法

接管超级权限等。

黑客攻击操作系统的目的有两个：一是窃取用户的私密数据。二是对操作系

统进行恶意破环，使其无法行事正常机能。黑客的常用攻击手段就是利用缓冲区

溢出漏洞植入恶意程序，并非法取得系统的超级权限，进而窃取用户的私密数据

或者对操作系统进行恶意破坏。

针对上述的问题，操作系统厂商或第三方开发者采取一些措施对操作系统进

行安全加固；比如：linux系统中引入了LSM框架、可信度量等技术等；在LSM

框架下，用户进程执行系统调用时，根据访问控制策略模块来决策访问是否合法。

但是LSM的访问控制策略管理起来异常复杂，除专业的技术人员外一般用户根

本无法做到。可信度量技术通过哈希算法在程序执行前检测程序是否被非法篡改,

频繁的哈希运算严重影响了系统的性能。

因此，有必要提出一种操作系统安全防护方法，其能够在对系统性能不造成

较大影响的前提下，有效保证系统安全，并为用户提供方便灵活的应用途径。确

定操作系统中的所有主体与客体的信任状态，并根据主体与客体的信任状态，控

制主体对客体的操作权限。其中，控制主体对客体的操作权限，包括：控制主体

实用文档

对客体执行的写入、删除或修改操作。

（1）所述客体包括文件或资源，所述客体的信任状态包括：强可信状态、

弱可信状态或不可信状态，其中，具有可执行权限且来源合法的客体处于所述强

可信状态；无可执行权限且来源合法或者未知的客体处于所述弱可信状态；具有

可执行权限且来源未知的客体处于所述不可信状态。

（2）所述主体包括进程，所述主体的信任状态包括：强可信状态或不可信

状态，其中，所述主体的信任状态由父进程的信任状态及进程对应的可执行文件

的信任状态决定。

（3）首先保证根进程处于强可信状态，系统中所有的主体（进程）均由根

进程直接或间接派生而来的；以linux系统为例，内核加载以后，会启动用户空

间的根进程（init进程），此后，系统运行后的所有进程均为根进程（init进程）

直接或间接派生而来的.

（4）当所述主体派生一个子进程时，子进程继承父进程的信任状态；当所

述主体执行一个可执行程序或脚本时，当且仅当所述主体与所述客体均为强可信

状态时，新进程的信任状态置为强可信状态，否则，新进程的信任状态置为不可

信状态。

（5）在所述文件的已有权限内容的基础上，增加一个用于标记所述文件的

信任状态的权限位。

（6）在制作操作系统的映像文件时，将操作系统中的所有文件的信任状态

进行初始化。

（7）当所述主体创建一个客体时，如果所述主体为强可信状态，新创建的

客体如果有执行权限设置则为强可信状态，否则，置为弱可信状态；当所述主体

为不可信状态时，新创建的客体如果有执行权限设置则为不可信状态，否则，置

为弱可信状态。

（8）当所述主体对客体进行写入或删除操作时，如果所述主体为不可信状

态，客体为强可信状态，禁止操作，否则允许操作。

（9）当所述主体修改客体的可执行权限时，不管客体处于什么状态，当且

仅当所述主体为强可信状态时，允许操作，否则，禁止操作。

通过此种方法，确定操作系统中的所有主体与客体的信任状态，并根据主体

实用文档

与客体的信任状态，控制主体对客体的操作权限，该操作系统安全防护方法于方

便易用的同时，通过各信任状态可以非常有效地防范系统被恶意程序修改和破坏,

同时对操作系统的易用性和稳定性等不会造成较大影响。

具体实施方式：

本方法在于提供一种操作系统安全防护方法，操作系统中的所有主体与客体

具有不同的信任状态，并根据主体与客体的信任状态，控制主体对客体的操作权

限；防范操作系统被恶意修改与破坏，同时对系统的性能和稳定性方面不会带来

明显影响。

控制主体对客体的操作权限包括：控制主体对客体执行的写入操作、删除操

作和修改操作。

可信认证技术主要针对破坏和修改系统以及用户数据的恶意行为；目前市面

上出现的破坏系统的恶意程序，它们常用手段一般是利用系统漏洞植入恶意代码

非法取得超级权限，修改系统文件，破坏操作系统正常机能或者为下一步的恶意

行为留下后门。

所述客体包括文件或资源，所述客体的信任状态包括：强可信状态、弱可信

状态或不可信状态，其中，具有可执行权限且来源合法的客体处于所述强可信状

态；无可执行权限且来源合法或者未知的客体处于所述弱可信状态；具有可执行

权限且来源未知的客体处于所述不可信状态。

在UNIX、linux、VWS等系统中，通过9位权限控制文件的存取权限，可

以在9位权限中扩充一位用来标识文件的信任状态，在制作系统的映像文件时，

对操作系统中的所有文件的信任状态进行一次初始化，将内核文件、inil程序文

件等其它来源合法的互执行文件的信任状态设置为强可信状态；将无执行权限的

文件设置为弱可信状态，将来源未知的可执行文件设置为不可信状态。

所述主体包括进程，所述主体根据信任状态包括强可信信任状态与不可信信

任状态。主体和客体不一样，主体是动态的，而客体是静态的。例如，操作系统

中的文件和资源在每次系统重启以后，文件和资源的内容和属性是不会变化的，

而系统中的进程每次重启后都会重新创建，所以主体的信任状态定义同客体有所

不同。主体的信任状态是在主体（进程）创建时为其定义的，定义的要素有两个：

父进程的信任状态；进程对应的可执行文件（进程的代码）的信任状态。因此，所

实用文档

述主体的信任状态由父进程的信任状态及进程对应的可执行文件的信任状态决

定。

首先保证根进程处于强可信状态，系统中所有的主体（进程）均由根进程直

接或间接派生而来的；以linux系统为例，内核加载以后，会启动用户空间的根

进程（init进程），此后，系统运行后的所有进程均为根进程（init进程）直接或

间接派生而来的。

当所述主体调用fork函数创建一个子进程时，子进程继承父进程的信任状

态；当所述主体调用exec运行一个新进程时，当且仅当所述主体与可执行程序

客体（文件）均为强可信状态时，新进程的信任状态置为强可信状态，否则，新

进程的信任状态置为不可信状态。

所述主体创建一个客体，当所述主体为强可信状态时，新创建的客体如果有

执行权限置为强可信状态，否则，置为弱可信状态：当所述主体为不可信状态时，

新创建的客体如果有执行权限置为不可信状态，否则，置为弱可信状态。

当进程exec执行一个新的进程时，规则如下：

如果主体（进程）为强可信状态，客体（新进程的程序文件）也为强可信状态，

新进程置为强可信状态；如果客体为不可信状态，新进程置为不可信状态；

如果主体（进程）为不可信状态，无论客体是否为可信状态，新进程统一置为

不可信状态。

当主体（进程）在系统上创建一个新的客体（文件）时，规则如下：

如果主体（进程）为强可信状态，新创建的客体（文件）如果有执行权限置为

强可信状态，否则，置为弱可信状态；

如果主体（进程）为不可信状态，新创建的客体（文件）如果有执行权限置为

不可信状态，否则，置为弱可信状态。

1.8应用层安全

1.8.1身份鉴别

本次设计具体采用的技术措施如下：

各应用子系统应具备有效的身份认证与鉴别功能，确保只有合法授权的用户

方可登陆应用系统。统一身份认证网关支持采用“用户名+口令''、"USBKEY+数

实用文档

字证书”的方式进行身份鉴别，对重要应用系统采用两种组合方式进行身份认证

和鉴别方式。

对于用户登录信息系统的密码配置必须满足“复杂”要求，长度不少于8位字

符，且不能为全数字或字母，必须由两种或两种以上字符类型（大小写字母、数

字、特殊字符等）构成。

配置大登陆失败次数，通常为3-5次，超过大登陆次数后，即将登陆源IP

进行锁定禁止再次尝试登陆，以防口令暴力猜解。帐号登陆后若长时间未有操作，

应能够自动退出系统、结束当前管理会话，确保在长时间离开时不被非法冒名操

作。

配置系统用户首次登陆时必须修改自己的登陆密码，配置密码失效周期，每

一个月必须修改一次登录密码。

1.8.2访问控制

建立访问控制策略，依据小原则授予用户权限，应用系统要分配不同的特权

用户，访问策略统一由授权帐号分配。

本次设计主要通过建立统一的权限分配和管理系统为每个系统用户依权限

小化分配原则进行权限分配、资源分配，并制定系统登陆策略、身份鉴别方式以

及各用户之间信息通讯规则。

访问控制粒度主体控制到单一用户，客体控制到信息类别。配置系统新建立

的帐号，在权限明确分配之前无任何系统资源访问权限，杜绝使用默认权限访问

应用系统资源。

系统管理具备三权分立机制，即由用户管理员、审计员、系统管理员角色构

成，用户管理员角色只能创建系统用户并分配权限，系统中任何一个用户登陆系

统的所有操作过程，都应该在审计员监督检查范围之内，无超级管理员帐号存在。

1.8.3Web应用安全

云计算软件服务提供商通过基于Web的瘦客户端为用户提供鉴权、登录和

应用等功能。但由于Web浏览器本身的脆弱性，Web应用程序会很容易被植入

恶意代码而对用户和服务提供商带来损失。Web应用防火墙可以良好地防范一些

实用文档

基于web的常见攻击，如跨站脚本攻击、SQL注入等。

数据中心计算网络中存在大量的Web服务器，网站存在Web应用安全漏洞

极易导致Web安全攻击事件的发生，而Web攻击可导致的后果极为严重，通过

常见的Web攻击手段将一个合法正常网站攻陷，利用获取到的相应权限在网页

中嵌入恶意代码，将恶意程序下载到存在客户端漏洞的主机上，从而实现攻击目

的。

一般情况下，网站出现安全事件主要有以下几种：

网站访问被拒绝：导致页面的不能正常浏览打开，公众看不到网页，获取不

到发布的信息。

网站被写入恶意代码：会导致浏览网站的来宾计算机中毒，引发各种后果,

最终导致相关人员不在信任和访问网站。如果针对特定人群（尤其是国家重要机

关和部门）的攻击可导致涉及国家秘密的重要信息泄漏，引发严重的国家政策变

动或者国际声誉受损。

网站页面被篡改：页面出现一些敏感词汇或虚假信息，引发公众信誉公关问

题，甚至网站被公共安全机关强制关闭、取缔。

网站数据被窃取：导致网站上包括用户数据在内的隐私数据被窃取，用户数

据泄漏后给用户造成很多二次攻击的问题（如冒充其身份对其好友进行诈骗），

使得用户对该网站的信任度一落千丈，从而不再访问该网站。在云计算服务器前

端部署Web防火墙，保护Web服务器的正常运行。

1.8.4安全审计

本次设计主要采用日志审计设备，将系统所有操作过程详细记录，并由日志

审计员方可进行查看。审计记录的内容至少应包括事件的日期、时间、发起者信

息、类型、描述和结果等，并能够进行统“、查询和生成相应报表。审计模块至

少覆盖事件的日期、时间、发起者信息、类型、描述和结果等内容，审计记录的

内容应当尽可能保证详细以便于事后问题的终和审计检查。

1.8.5剩余信息保护

应用系统剩余信息保护主要是指系统保证用户鉴别信息所在的存储空间被

实用文档

释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还足在

内存中本次设计主要通过专门的硬盘空间擦除设备保证系统内的文件、目录和数

据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。

1.8.6通信保密性

应用层的通信保密性主要由应用系统完成。在通信双方建立连接之前，应用

系统应利用密码技术进行会话初始化验证；并对通信过程中的敏感信息字段进行

加密。本次设计具体采用的技术措施如下：

对于信息传输的通信保密性应由传输加密系统完成,针对移动办公需求，通

过部署VPN系统保证远程数据传输的数据机密性。

对于重点应用系统，传输关键、敏感数据时要采用传输加密技术，实现数据

保密性要求：其他类应用系统应根据具体情况来考虑.不得以明文方式在互我网

上传输数据，以防数据在网络传输过程当中被非法窃听。数据加密要在用户身份

鉴别阶段完成，包括在网上传输的用户身份认证信息均需以密文方式在网络传输。

B/S架构的应用系统，使用SSL加密和HTTPS方式进行浏览访问。

1.8.7抗抵赖

解决系统抗抵赖特性有效的方法就是采用数字签名技术，通过数字签名及签

名验证技术，可以判断数据的发送方是真实存在的用户。数字签名是不对称加密

算法的典型应用。数字签名的应用过程是，数据源发送方使用自己的私钥对数据

校验和或其他与数据内容有关的变量进行加密处理，完成对数据的合法“签名”，

数据接收方则利用对方的公钥来解读收到的“数字签名”，并将解读结果用于对

数据完整性的检验，以确认签名的合法性同时:通过对签名的验证，可以判断数

据在传输过程中是否被更改。从而，可以实现数据的发送方不能对发送的数据进

行抵赖，发送的数据是完整的，实现系统的抗抵赖性和完整性需求。本次设计针

对重要应用系统利用数字证书认证系统来完成抗抵赖要求。

1.8.8软件容错

软件容错的主要目的是提供足够的冗余信息和算法程序，使系统在实际运行

实用文档

时能够及时发现程序设计错误,采取补救措施，以遑高软件可靠性，保证整个计算

机系统的正常运行。本次设计具体采用的技术措施如下：

提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数

据格式或长度符合系统设定要求。

具备自保护功能，在故障发生时，应用系统应能够自动保存当前所有状态，

确保系统能够进行恢复。

系统在开发设计时需具备用户输入数据长度、字符的合规性验证功能,例如：

用户登陆框，应限定用户登陆名长度不超过16个字符，密码输入框字符长度不

应超过32个字符，并且要对特殊字符（如：英文状态下的单引号、双引号）。

和数据库关键字进行过滤；系统应该能够对当前的工作状态进行记录，确保

系统异常崩溃后能够及时恢复到当关状态。

1.8.9资源控制

为应用系统正常的为用户提供服务，必须进行资源控制，否则会出现资源耗

尽、服务质量下降甚至服务中断等后果。通过对应用系统进行开发或配置来达到

控制的目标，具体采用的技术措施如下：

会话自动结束：当应用系统的通信双方中的一方在一段时间内未作任何响应,

另一方应能够及时检测并自动结束会话，释放资源。

会话限制：对应用系统的大并发会话连接数进行限制，对一个时间段内可能

的并发会话连接数进行限制，同时对单个帐户的多重并发会话进行限制，设定相

关阈值，保证系统可用性。

登陆条件限制：通过设定终端接入方式、网络地址范围等条件限制终端登录。

超时锁定：根据安全策略设置登录终端的操作超时锁定。

用户可用资源阈值：限制单个用户对系统资源的大或小使用限度，保障正常

合理的资源占用。

对重要服务器的资源进行监视，包括CPU、硬盘、内存等。对系统的服务

水平降低到预先规定的小值进行检测和报警。

提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进

程的优先级，根据优先级分配系统资源。

实用文档

1.8.10可信接入体系

专网有多种接入方式和多种接入群体，从人员上可分为政务单位接入、移动

办公人员接入、企事业单位接入以及公众人员接入；从线路上分为无线接入和光

纤接入。对于不同的接入人群、线路以及采取的措施如下表：

接入表

无线接入光纤接入

公众用户准入控制

VPN认证、身份认证、准入控

移动办公

制

VPN认证、身份认证、准

企事业单位

入控制

VPN认证、身份认证、准

政府单位

入控制

身份认证：除了公众用户以外，其他任何接入形式和接入方式均需要身份认

证；当接入用户被发现后，需要对其身份进行认证和核实，否则只能被拒绝访问

或强制到安全隔离区，访问有限的公共资源等，如果认证被通过则需要下一步的

准入控制。具体流程如图：

身份确认

接入用户

身份认证流程图

身份认证基于证书的双因子认证，认证通过后根据证书携带的属性信息进行

资源授权访问，资源包括应用和系统，应用系统、数据库、中间件、主机、网络

设备、安全设备等。

VPN认证：除了公众用户访问的公共资源外，其他接入用户都有VPN接入

的需求，VPN认证目的是加强数据在传输过程中的机密性、完整性保护，降低

数据的传输安全风险，智慧城市专网可使用的VPN认证有多种方式，但使用最

广泛和常见的有IPSECVPN、SSLVPN和MPLSYPN三种方式。这三种VPN适

实用文档

用于不同的环境。

IPSECVPN：基于IPSEC安全传输协议而构建的VPN系统，实现对传输数

据的加密、传输数据的完整性校验以及对抗重放攻击。IPSECVPN常常部署在全

网接入的环境中，实现从网关到网关、端点到网关以及端点到端点的安全传输隧

道；使用IPSECVPN隧道实现远程访问时，就像将远程终端直接接入到核心网

络计算环境一样，可方便地访问网络计算环境中的资源。

SSLVPN：基于SSL安全传输协议而构建的VPN系统，实现对传输数据的

加密、传输数据的完整性校验以及抗抵赖保护。SSLVPN常常部署在单点接入的

环境中，实现点到网关的安全传输隧道；适用SSLVPN隧道实现远程访问时，

需要通过HTTPS去访问智慧城市网络计算环境的综合门户，通过综合门户才能

访问许可的信息系统进行业务处理。

MPTSVPN：最初MPIS被设计为通过标签来交换数据包，用于将网络计算

环境中的不同业务数据流分离，并通过执行QOS来保障关键业务访问可得到足

够的保障带宽资源，但是这种方式对数据包不加密，只要攻击者掌握了MPLS

标签的长度规则，一样可以破解出传输数据的内容造成泄密;但该方法实现简单，

因此在电子政务广域网的传输链路中，实现多种数据流的分离。

这三种技术各有特点，也各有对应范围。其中IPSECVPN适合于多点对对

点，或者单点对多点的仝网接入；MPLSVPN适合于不同业务走相同的骨干链路

时，实现业务流的隔离与带宽管理的场合；而SSLVPN依靠的底层协议为SSL

协议，现已成为网络用来鉴别网站和网页浏览者身份，以及在浏览器使用者及网

页服务器之间进行加密通讯的全球化标准。