网络安全保障计划

技术部分

11投标方案

11.1技术处理方案

11.1.1项目概述

中国银行业监督管理委员会（如下简称银监会）是政府部门的重要构成机构,

是国家金融行业的监督、管理、指导单位。近年来，金融行业信息系统伴随银行

业金融机构的业务发展而迅速发展，信息科技已经成为银行业金融机构实现经营

战略和业务运行的基础平台以及金融创新的重要手段。银行业对信息科技的高度

依赖，使得信息技术系统的安全性、可靠性和有效性直接关系到整个银行业口勺安

全和金融体系的稳定。

多种权威日勺网络安全调查成果均表明，在可记录口勺安全事件中，70%以上均

与内部人员有关，这其中既包括恶意行为（越权访问、恶意破坏、数据窃取），

也包括多种非主观故意引起的非恶意行为（误操作、权限滥用）。由此可见，规

范内部人员H勺访问行为，尤其是关键系统（主机、网络设备、安全设备、数据库

等）的维护行为己经势在必行。因此，2023年银监会内部启动了系统顾客集中

管控系统建设，通过布署运维顾客集中管控系统，建立运维顾客H勺集中授权、监

控、管理、审计体系，加强信息安全的内部控制与管理能力，规范信息系统运行

和操作管理过程，保证银监会信息系统的安全运行。

谐润运维管理审计系统是新一代运维安全审计产品，它可以对运维人员口勺访

问过程进行细粒度口勺授权、全过程日勺操作记录及控制、全方位的操作审计、并支

持事后操作过程回放功能，实现运维过程口勺“事前防止、事中控制、事后审计”，

在简化运维操作的同步，全面处理多种复杂环境下口勺运维安全问题，提高企业

IT运维管理水平。

11.1.2需求分析

银监会对运维顾客管控系统日勺需求如下：

1）管理对象应可以实现对银监会既有H勺服务器系统（Windows、Unix、Linux）、

网络设备（Cisco、华为）、数据库系统（DB2、Oracle>SqlServer>Mysql）>

应用系统（WAS>Weblogic）等；

2）应可以实现对机关内部、外围运维人员的访问及操作权限细粒度授权，

限制顾客违规访问、违规操作日勺能力；

3）实现全面日勺运维操作审计能力;

4）实现对服务器、网络设备日勺自动改密功能;

5）实现单点登录，并与CA系统进行整合，实现双原因认真；

6）系统布署不应影响业务系统的稳定运行，且不增长运维人员访问过程的

复杂程度；

7）完善的自我管理功能，设备自身稳定、高效、易于维护。

11.1.3项目建设目的

项目总体目的意在通过对服务器操作系统、数据库、中间件及网络设备、安

全设备等1T基础设施的账号及其密码进行集中控制与管理，通过账号权限日勺严

格授权和管理，实现对设备日勺安全访问和管理行为的审计，到达IT系统安全生

产，并满足内控审计规定的目的。详细目的如下：

本项目中的顾客集中管控系统包括1套堡垒机（含1台堡垒主机、1台应用

托管中心）和1台日志服务器，堡垒主机是运维管理人员进行运维操作的统一接

入点，顾客集中管控产品需通过开发升级兼容银监会CA系统颁发日勺密钥，以实

现管理顾客日勺双原因认证。实目前SSO（单点登录）系统总体架构下，完毕对系

统账号日勺集中认证、集中授权与集中审计，审计日志集中存储于独立时日志服务

器。

11.1.4实行范围

本项目在银监会机关（北京）进行布署，对100台当地或外地服务器和网络

设备（每个设备也许存在错咯操作系统、数据库和中间件管理顾客）进行集中管

理，顾客范围重要为银监会机关当地或外地运维顾客。

11.1.5方案设计原则

（1）体系化设计原则

必须分析信息网络日勺层次关系，遵照先进的安全理念，遵照科学的安全体系

和安全框架，并根据安全体系分析存在H勺多种安全风险，从而最大程度地防止也

许存在日勺安全问题。

（2）可控性原则

采用的技术手段需到达安全可控H勺目的，技术处理方案波及的工程实行应具

有可控性。

（3）系统性、均衡性、综合性设计原则

从全系统出发，综合考虑多种安全风险，采月对应的安全措施，根据风险的

大小，采用不一样强度H勺安全措施,提供具有最优日勺性能价格比的安全处理方案。

（4）可行性、可靠性原则

必须保证在工程实行期间，不会对顾客方的既有网络和应用系统有大的影响。

在保证网络和应用系统正常运转日勺前提下，提供最优安全保障。

（5）原则性原则

安全系统欧I设计、实行以及产品的选择以有关国际国家安全管理、安全控制、

安全规程为参照根据，包括IS017799、《GB/T20274.1-2023信息系统安全保障

评估框架》等。

（6）投资保护原则

对顾客方已经存在日勺网络安全系统设备进行有效日勺运用，保护己经有投资。

（7）最小影响原则

方案设计及实行时，遵照对信息系统影响最小原则，尽量地采用对网络、系

统、应用影响小技术手段，对既有系统不产生干次，保护既有系统。

（8）易操作性原则

安全措施需要人为去完毕，假如措施过于复杂，对人日勺规定过高，自身就减

少了安全性。

11.1.6产品选型

根据本项目的实际需求，报价人推荐使用谐润运维管理审计系统

SR-FortTOOO型产品。

产品硬件配置清单如下：

产品名称运维管理审计系统应用托管中心

SR-Fort-lOOO

SR-AppBox-lOOO

外观大小2U2U

满配最大重量30KG3OKG

最大功耗500W500W

MTBF>=20230小时>=20230小时

CPU两颗INTELXeon3440两颗INTELXeon3440

@2.53GH@2.53GH

内存16GB16GB

存储空间1TB,支持Raidl1TB,支持Raidl

电源双电源冗余双电源冗余

外接存储支持支持

网络接口100/1000M*2RJ45,可扩展100/1000M*2RJ45,可扩展

最大管理设备数>3000台>3000台

量

实时并发数2250个图形会话，215002250个图形会话，21500

个字符会话个字符会话

默认License数1500个1500个

口.

星

协议支持SSH、Tenet、RDP、VNC、FTP、、s、MySql、

SFTPSql-ServersOracle>DB2

等

网线原则网线2条原则网线2条

11.1.7产品布署

谐润运维管理审计系统支持多种布署方式，在本项目中，考虑到银监会日勺实

际需求，我们将采用旁路布署方式。

布署示意图如下所示:

谐润运维管理审计系统布署示意图

布署时.，谐润运维管理审计系统旁路接入网络，只需要1个独立的IP即可，

保证堡垒主机可以通过网络连接被管理资源提供远程运维服务的端口，应用托管

中心与堡垒主机做直连，通过堡垒主机NAT转换技术使应用托管中心可以访问网

络中的资源。

若堡垒主机和被管理资源之间存在防火墙，则需要在增长或修改防火墙H勺方

略，防火墙的方略增长或修改如下：

源地址：堡垒主机IP,源端口：any,目的地址：被管理资源IP,目的端口：

提供运维服务的J监听端口。

如堡垒主机需要连接被管理H勺Linux服务器，Linux服务提提供ssh运维服

务，则需要在防火墙上增长或修改方略如下：

源地址：堡垒主机IP,源端口：any,目的地址：被管理资源IP,目的端口：

220

维护人员只要登录运维管理系统即可访问到所有服务器，不必进行二次登录。

若运维人员与运维管理系统之间存在防火墙，则防火墙需要开放如下端口：

22（ssh、telnet协议代理模块），443（堡垒主机提供web服务）,3389（rdp

协议代理模块）等。

有关实行时防火墙开放方略，详见“11.2.6”节内容中日勺《实行环境调研》。

日志服务器旁路接入网络，并开发SMB共享服务，为堡垒主机提供日志存储

服务，堡垒主机通过页面配置，将数据文献存储至日志服务器。

系统备机一直处在冷备状态，在堡垒主机实行完毕之后，将所有配置导入

系统备机，保证系统备机上的主账号、被管理资源与主账号权限与堡垒主机一

致，以便随时更换。

11.2项目实行方案

11.2.1项目保密条款

我企业同原厂上海谐润网络信息技术有限企业承诺，在中标后项目签订协议

前分别以单位和个人与招标方签订保密协议或保密承诺书。

11.2.2项目文档

原厂谐润科技在项目工程实行完毕时将系统日勺所有有关技术文档、图标资料

及测试、验收汇报等文档汇集成册交付银监会，包括但不限于如下文档：

＞项目投标文献

项目工程实行方案

＞项目工程管理及实行计划书

＞产品安装实行汇报

＞系统测试汇报

＞项目竣工总结汇报

＞培训手册

＞运维顾客使用手册

＞系统技术维护手册

＞系统应急处理预案

＞其他所有项目实行过程中产生日勺文档

11.2.3项目组织架构

为保证本项S的J顺利实行，原厂商谐润科技将指派拥有丰富项目经验的技术

人员担任我方项目经理，负责项目实行的全面工作，搜集有关热线支持、现

场服务、顾客技术人员反应等有关服务信息。在服务实行过程中，将严格按照服

务计划，全权负责服务的管理与监督。定期向顾客项目负责人汇报状况，在处理

突发事件和项目变更时，要及时调整人员和计划以保证服务地正常进行；在项目

实行受阻时，及时申请增长人员和技术力量，保证项目实行日勺顺利进行；止匕外,

项目经理要监督服务的质量，以保证整个维护服务顺利、高质量日勺完毕。

谐润科技将根据项目实际规定组建专门的银监会顾客集中管控系统项目小

组，遴选原厂商资深项目经理和工程技术人员，为银监会顾客集中管控系统项目

提供最优质的服务，保证严格按照协议约定，完毕该项目的实行、培训及售后服

务工作。

原厂谐润科技为了保证项目实行H勺顺利进行，会提供合理可行日勺系统实行方

案，合理安排人员，以保证明施进度计划。

原厂谐润科技项巨组织架构如下:

项目经理:

负责整个项目口勺进度控制、协调原厂工作人员与银监会工作人员进行协同工

作，保证整个项目顺利完毕。

研发经理：

负责整个项目中开发需求确认，开发进度，保证开发工作顺利进行，并按照

客户规定完毕开发任务（含测试工程师）。

调研工程师：

负责项目实行前资产调查、顾客角色确认、网络环境调查、实行环境调研,

参与设备实行方案日勺制定。

实行工程师：

负责项目设备接入客户网络，保证设备连通性，并进行资产录入、角色权限

划分等工作。

培训讲师，

负责对客户进行有关知识培训，让客户可以独立使用设备，并能处理简朴故

障，保证知识转移顺利完毕。

巡检工程师:

在项目实行完毕后，负责对设备的使用状况进行跟踪，反馈客户的使用状况

及软硬件健康状况，并按照客户日勺规定提交对应日勺汇报。

售后支持：

负责对巡检工程师反馈日勺信息进行汇总，并根据反馈对客户进行技术支持。

银监会运维顾客集中管控系统项目组谐润重要组员名单如下:

项目负责人（项目经理）

姓名年龄职称专业有关资质有关工作年限

张彬28软件工程项目经理6年

计划用于本项目口勺工作人员

姓名年龄职称专业有关资质有关工作年限

施杰33应用数学高级程序员8年

武欣32应用数学高级程序员8年

郑伟亮31计算机工程培训讲师8年

原厂资深工程

许爱明28计算机应用4年

师

计算机科学原厂资深工程

周超253年

技术师

原厂资深工程

陆磊26通信工程3年

师

计算机软件

石波24原厂工程师2年

开发

11.2.4项目实行计划

开始时结束时

/工作内容实行单位备注

间间

发货及发货7月12谐润科技、银按照协议规定供

7月2日

必A

确认日nnZA货

准备阶

7月127月16

段确认环境谐润科技现场调研

日日

集成开发7月2日7月31谐润科技集成开发与实行

日工作；

同步进行

设备上架8月1日8月2日谐润科技

8月10

数据录入8月3日谐润科技

日

访问规则设8月138月15谐润科技、银

实行阶

置日日监会

段

8月168月17谐润科技、银提供有关项目文

现场培训

日日监会档

系统联调测8月168月20谐润科技、银处理布署中存在

试日日监会的问题

8月288月30银监会、谐润

项目初验完毕项目验收

SH科技

12月1谐润科技、银跟踪设备运行状

验收试运行9月1口

日监会况

12月212月5银监会、谐润

终验完毕项目验收

日日科技

11.2.5项目实行质量控制

在本项目实行过程中，原厂谐润科技将采用如下措施保证项目实行过程日勺质

量:

1）建立完整的实行团体，团体内部有明确的分工，通过专业化日勺手段来提

高企业的工作质量及技术水平；

2）派遣具有丰富经验的专业的工程实行人员，严格按照操作流程和技术规

定进行施工；

3）保证良好的沟通机制，在实行过程中，项目经理将定期向银监会项目组

提供实行进度定录汇报，让顾客单位清嘶整个项目的施工计划及施工进

度状况。

4）执行科学的项目管理制度，从施工开始到施工结束验收欧I整个过程，我

们均有对应日勺配套登记表格，以便项目组对实行过程进行跟踪、监督；

便于后期顾客方进行系统维护及管理。同步，所有aJ登记表格均录入计

算机进行电子化管理。

5）针对本项目，在工程施工前，由项目主管组织有关人员（业务员、技术

指导、工程实行负责人、工程实行小组、质量监控小组及售后服务小组

等）召动工程准备会议，简介工程设计方案及有关的状况，布置各项工

作，讨论可预见的技术细节、实行措施和实行进度等。

6）在整个工程项目的实行过程中，有质量监督小组负责对整个项目日勺实行

质量进行监督，从而保证整个工程日勺质量（包括进货设备的质量保证和

工程实行日勺质量保证）。

11.2.6项目实行过程简介

•阶段一：项目准备阶段

项目准备阶段会对整个项目的实行方案进行可行性研究和讨论，并进行实行

环境调研、设备供货、二次开发接口调研及开发工作等。

实行环境调研

在项目开始实行之前，需要银监会口勺技术人员配合原厂谐润科技的实行人员

对实行口勺环境进行检查，确认与否具有项目实行条件。

与否

序安装条备

条件参数符合

号件注

条件

机房的

是口

相对湿相对湿度:5%至95%

度和温

温度：。至+55摄氏度否口

度原则

占机架空间为

机架空是口

间

2U65CX435X89mm（长、宽、高）否口

电源参是口

220V/5CHZ,3.0A（最大），500W（最大）,国标电源插座。

数否口

硬件规定：

2颗IntelXeonE5620CPU2.4GHz主频；内存：12GB

日志服是口

内存；便盘：3*2TGBSAS硬盘；RAID卡：集成Smart

务器否口

ArrayF1410i阵列卡;网卡4*千兆网卡;光驱：DVD；

电源及风扇：460W热插拔冗余电源。

谐润运维管理审计系统与日志服务器各分派一种IP,

IP地址保证运维人员与谐润运维管理审计系统、管理员与谐是口

分派润运维管理审计系统、谐润运维管理审计系统与目口勺否口

设备可以正常通讯

提议分派1个端口给谐润运维管理审计系统，谐润运

互换机

维管理审计系统与应用托管中心可以通过交叉线（或是口

端口分

一般网线）直连，做NAT；日志服务器分派一种IP地否口

派

址。

假如一般运维人员友好润运维管理审计系统之间有防

火墙，注意防火墙开通这3个端口：

TCP22：谐润运维管理审计系统开放日勺监听端口，用

于一般运维人员与谐润运维管理审计系统之间的正常

端口开通讯；是口

放TCP443：谐润运维管理审计系统开放日勺监听端口，用否口

于一般运维人员登录谐润运维管理审计系统日勺页面；

TCP3389：谐润运维管理审计系统开放的监听端口，

用于一般运维人员与谐润运维管理审计系统之间的正

常通讯。

假如管理顾客友好润运维管理审计系统之间有防火

墙，注意防火墙开通这2个端口：

TCP443：谐润运维管理审计系统开放H勺监听端口，用是口

于管理顾客登录谐润运维管理审计系统日勺页面；否口

TCP3333：谐润运维管理审计系统开放日勺监听端口，

管理顾客实时监控会话；

假如谐润运维管理审计系统和远程设备之间有防火

墙，注意防火墙开通这4个TCP端口：

TCP22：远程设备开放的监听端口，用于提供运维管

理服务；

TCP80：远程设备开放日勺监听端口，用于提供web管是口

理服务；否口

TCP443：远程设备开放的监听端口，用于提供web管

理服务；

TCP3389：远程设备开放的监听端口，用于提供运维

管理服务；

假如谐润运维管理审计系统和网管系统之间有防火

墙，注意防火墙开通这1个UDP端口：是口

UDP161：谐润运维管理审计系统开放H勺监听端口，用否□

于网管系统采集谐润运维管理审计系统日勺状态信息；

假如谐海运维管理审计系统和日志服务器之间有防火

墙，注意防火墙开通这1个UDP端口：是口

IDP514：日志服务器开放日勺监听端口，用于接受谐润否口

运维管理审计系统发送日勺syslog日志信息；

假如谐海运维管理审计系统和时间服务器之间有防火

墙，注意防火墙开通这1个UDP端口：是口

UDP123：时间服务器开放日勺监听端口,用于提供时间否口

同步服务；

管理对象帐号调研

根据协议规定，在安装调试过程中，银监会项目组组员需提供按照如下表格

格式的附件：包括主帐号调研表、主机帐号调研表、应用调研表；

运维人员调研表（样表）

登录名Email顾客状态姓名部门/企业截止日期

Xxx1—干1-木J、、、0

•••

设备调研表（样表）

主机名主机地址操作系统网络协议服务端口主机账户名主机账户密码账,

hostlWindowsServer2023RDP3389administrator1234560

host2GeneralLinuxFTP21administrator1234561

其他应用调研表（样表）

主机名主机IP主机端口主机帐号密码应用类型应用名称

应用主机13389administrator123456mysqlfrontll_mysqlfront

应用主机223389administrator123456IE12_mysqlfront

•••

到货及加电验收

根据协议规定，需要对送达现场的产品进行到货验收，保证送达产品符合协

议规定。产品在接受后，保持外包装的完整性。在原厂商的工程师抵达现场后,

共同进行产品的到货验收。设备到货验收原则如下：

＞开箱前，检查产品外包装与否良好；

＞开箱检查产品外观与否良好；

＞产品型号与否对的;

＞产品数量与否对的;

＞产品配件与否齐全；

＞产品版本与否对的。

二次开发

为保证项目实行进度可以按计划完毕，原厂商谐润科技将在协议签订后先对

CA认证接口进行调研，调研完毕后立即开始认证接口日勺开发工作。

原厂商谐润科技将根据银监会的实际需求，对CA认证中心接口进行兼容性

开发，以严谨、务实的态度进行开发工作，保证与银监会的CA认证中心对接顺

利完毕。

同顾客CA中心对接日勺认证功能开发、测试工作估计在协议签订3周内完毕。

•阶段二：项目实行阶段

在项目实行过程中，安装调试工作日勺重要内容包括：谐润运维管理审计系统

IP配置、应用托管中心绑定互联配置、日志服务器的安装配置等。

在本项目实行过程中，谐润运维管理审计系统H勺安装调试工作重要由原厂谐

润科技实行小组完毕。

上架及初始网络配置

到货验收完毕后，按照产品安装规定，将产品安装至机架，并连接电源进行

设备加电验收并签订到货验收汇报。加电验收原则如下：

＞设备加电与否运行正常；

＞设备指示灯与否正常；

＞设备配置与否到达阐明书规定。

本项目有关设备的IP配置如下：

堡垒主机:

应用托管中心:

日志服务器:

数据录入

在此过程中，谐润科技实行工程师将整顿、核算准各阶段的运维人员、设备资产、应用

的调研成果，并将调研成果有关数据导入至运维审计系统中。

访问规则设置

在此过程中，谐涧科技实行工程师将与顾客项目组组员一起，为每个运维顾客、顾客组

建立访问授权和操作授权规则。访问和操作授权按照“最小权限”原则创立，访问规则建立

完毕后，由银监会项目组人员向所有有关运维人员以书面方式告知，让运维人员测试帐号有

效性。

现场培训

运维审计系统安装、调试完毕后，谐润科技产品培训讲师对银监会日勺技术人

员进行现场技术转移，向银监会人员简介运维审计系统的原理、功能、平常维护

和使用应当注意日勺事项，使银监会技术人员可以尽快地熟悉设备日勺功能和使用。

联调测试

培训工作完毕后，进入项目联调测试阶段，在此过程中，由银监会组织各运

维人员对运维审计功能进行试用，测试系统与各节点设备的访问状况，以保证系

统可以稳定正常日勺运行并且能对运维操作进行审计。

完毕测试后且所有功能到达项目规定之后，在银监会的统一安排下，规定平

常运维日勺员工、第三方运维人员必须使用谐润运维管理审计系统进行平常维护工

作，实现账号实名制，责任归属划分明确等管理且的。

在堡垒主机配置完毕之后，将配置导出为文献，并将该文献导入系统备机,

保证系统备机的主账号、被管理资源、主账号权限与堡垒主机一致，可以做到随

时切换，以备不时之需。

11.2.7项目培训计划

原厂商谐润科技应招标单位的M间、地点及人员规定，组织该系统的培训工

作。

培训目的：通过安全审计有关法规及原则、运维审计行为审计等培训使顾客

理解安全审计的理论知识，纯熟操作谐润运维管理审计系统以及对谐润运维管理

审计系统常见故障的排除。

培训时间：2天

培训地点：顾客指定

培训学员人数：不限

培训讲师：原厂具有五年以上项目经验的资深工程师担任

培训组织方式：现场讲课及试验练习

培训内容及计划:

时间培训类别详细内容

谐涧运维管理审计系统谐润运维管理审计系统审计系统原

D1；9:00-11:30

审计原理培训理、构成和功能；

谐润运维管理审计系统谐润运维管理审计系统基本操作技

D1：14:00-16:30

操作技能培训能日勺培训；

谐涧运维管理审计系统谐润运维管理审计系统系统部件的

D2：9:00-11:30

产品安装培训配置、调整和维护；

谐涧运维管理审计系统谐涧运维管理审计系统系统常见故

D2：14:00-16:30

产品维护培训障的处理或排除；

11.2.8项目验收

•阶段一：项目初验

在完毕设备的安装调试工作系统稳定运行一周后，由谐润科技提前十日提出

项目初验申请，项目双方将组织项目初验工作，由银监会配合谐润科技企业完毕

初验文档的签订工作。

在初验结束后，顾客必须提供2份能证明产品功能和性能满足规定、可正常

运转的所有测量数据和资料；我方将积极配合顾客做好测量数据和资料日勺准备匚

作。初验合格后，开具有最终顾客与乙方双方签字盖章的《设备安装调试初步验

收合格单》，视为初验通过。

•阶段二：试运行阶段

设备安装调试完毕并通过初验后，进入为期不超过3个月的持续试运行。假

如由于厂商FI勺原因使系统在3个月内达不到规范由标规定，则在修复产品问题之

后由双方等共同确定再一次持续试运行开始日期。

在试运行期间，原厂谐润科技承诺任何故障或问题都能在收到故障告知后3

小时内（节、假日也不例外）被修复和处理，并给出详细修复细节汇报。

所有试运行期间设备的I修改和软件变化都应在试运行结束后写入操作手册

和维护手册中。

•阶段三：系统终验

三个月口勺试运行期满之后，如试运行期间设备稳定运行，产品各项功能、指

标均满足项目规定，由原厂谐润科技提出终验申请，经顾客方同意后开展终验工

作。系统最终验收合格口勺条件必须至少满足如下三个规定：

1）已提供了协议R勺所有产品和资料；

2）试运行时间满足协议规定；

3）性能测试和试运行时出现H勺问题已被处理。

项目终验由项目组和原厂商发起项目终验启动会，确定项目终验组组员，项

目终验按照银监会提供H勺验收表格进行验收测试。项目终验完毕后，由谐润科技

向银监会提供《银监会集中管控系统项目终验汇报》及所有在项目实行过程中产

生日勺文档，包括但不限于：

＞产品加电验收汇报

＞产品安装实行汇报

＞系统测试汇报

＞项目竣工总结汇报

＞培训手册

＞运维顾客使用手册

＞系统技术维护手册

＞系统应急处理预案

＞兼容性开发工作日志

＞项目最终验收汇报

＞其他所有项目实行过程中产生日勺文档

11.3售后服务

根据招标规定，系统安装调试完毕后进行一种月试运行，试运行期结束后进

行系统验收，验收合格后进入系统质量保证期，自双方代表在系统验收单上签字

之日起计算，顾客集中管控系统质保有效期为三年，日志服务器质保有效期为五

年。