9項目編號：信息安全網(wǎng)絡安全建設方案項目編號：信息安全網(wǎng)絡安全9目錄1.1安全整體架構(gòu) 41.2安全建設拓撲 41.3安全建設內(nèi)容與目標 42.1用戶側(cè)安全建設思路 2.2用戶側(cè)安全建設拓撲 2.3用戶側(cè)安全建設內(nèi)容 2.3.1PKI升級改造 2.3.2安全防護 2.3.3安全檢測 2.3.4安全管理 3.1跨網(wǎng)安全訪問與交換平臺安全建設思路 3.2跨網(wǎng)安全訪問與交換平臺安全建設拓撲 3.3跨網(wǎng)安全訪問與交換平臺安全建設內(nèi)容 3.3.1用戶訪問業(yè)務安全防護 3.3.2數(shù)據(jù)交換業(yè)務安全防護 3.3.3安全管理區(qū)安全防護 4.1數(shù)據(jù)中心安全建設思路 4.2數(shù)據(jù)中心安全建設拓撲 264.3數(shù)據(jù)中心安全建設內(nèi)容 4.3.1防火墻 26 274.3.3運維審計 274.3.4數(shù)據(jù)庫審計 284.3.5蜜罐系統(tǒng) 284.3.6漏洞掃描 285.1應用訪問安全 5.3應用攻擊防護 5.3.1應用入侵防御 5.3.2應用脆弱性防護 35.4應用安全審計 36.1數(shù)據(jù)安全體系 6.2數(shù)據(jù)分級分類 6.3數(shù)據(jù)訪問控制 6.4數(shù)據(jù)采集安全 6.5數(shù)據(jù)傳輸安全 6.6數(shù)據(jù)存儲安全 6.7數(shù)據(jù)銷毀安全 6.8數(shù)據(jù)安全審計 7.1平臺服務安全 7.2云平臺安全基礎設施服務安全 407.2.1安全域劃分 7.2.2安全云設計 7.2.3核心能力 8.2建設目標 8.3安全態(tài)勢分析能力 8.3.1資產(chǎn)態(tài)勢 8.3.2運行態(tài)勢 488.3.3預警態(tài)勢 8.3.4脆弱性態(tài)勢 98.3.5數(shù)據(jù)安全態(tài)勢 8.3.6安全事件態(tài)勢 9根據(jù)信息網(wǎng)安全建設總體思路和指導原則，以支撐新一代信息網(wǎng)業(yè)務應用為目標，以保護重要數(shù)據(jù)資產(chǎn)為核心，構(gòu)建一體化安全保障體系，形成覆蓋用戶側(cè)、跨網(wǎng)安全訪問與交換平臺、數(shù)據(jù)側(cè)、安全大數(shù)據(jù)的安全防護能力，實現(xiàn)“可知可信、可管可控、智能防護”的安全目標。省省網(wǎng)安全訪問與交換平臺激交聲安全用戶酸安全用戶入用戶創(chuàng)安全笛修準入外部端外部網(wǎng)格安全運行與防理激需安全監(jiān)翅側(cè)安全安全B密安全外據(jù)外出格匯量節(jié)點匯量節(jié)點共同按全訪姆與交煥平臺全安全站的與整擋數(shù)逐中心數(shù)據(jù)中心市部995同戶9跨網(wǎng)安全用戶訪問區(qū)跨網(wǎng)安全數(shù)據(jù)交換區(qū)黑址件所外期9惱跨網(wǎng)安全訪問與交換平臺電參移外生步現(xiàn)納址間地a跨網(wǎng)安全訪問與交換平臺跨網(wǎng)安全訪問與交換平臺安全運行與管理數(shù)據(jù)側(cè)安全入網(wǎng)絡用戶側(cè)安全2.1用戶側(cè)安全建設思路2.1.1PKI升級改造全國XX身份認證與訪問控制管理系統(tǒng)(PKI/PMI系統(tǒng))作為XX信息化中重要的安全基礎設施之一，解決了信息網(wǎng)警員用戶管理、身份認證、應用授權(quán)和責任認定等方面長期存在的不安全、不統(tǒng)一、不便管理等問題，突破了“信息孤島”的壁壘，實現(xiàn)了跨地區(qū)、跨部門的信息共享，促進了XX信息資源的高效應用，在保障XX信息化安全方面發(fā)揮了重要作用戶訪問應用、云平臺和云桌面必須經(jīng)過身份管理中心認證，用戶必須在身份管理中心中注冊并形成數(shù)字化身份，數(shù)字證書是重要的身份屬性，身份管理基礎設施要充分利用的XXPKI基礎設施和信任根，為每個用戶簽發(fā)數(shù)字證書，該數(shù)字證書能夠唯一標識一個合法用戶身份。證書驗證根據(jù)不同的身份對象有所差異，人員證書的驗證發(fā)生在用戶登錄過程，由身份管理中心完成，證書驗證需驗證證書的合法性和有效性。信息網(wǎng)用戶準入，用戶以持有USB-KEY的方式代表其擁有合法身份，用戶認證的時候,需要將該USB-KEY插入PC終端的USB端口，并由身份管理中心完成用戶的準入認證。信息網(wǎng)中存在大量的終端設備(PC終端、啞終端等),這些終端的安全狀況，直接影響了信息網(wǎng)的整體安全狀況。比如啞終端設備，在大部分情況下無人值守，攻擊者很容易將這些終端作為入侵的跳板，入侵到信息網(wǎng)絡，盜取信息網(wǎng)中的關(guān)鍵敏感須加強信息網(wǎng)的終端安全管理。為了切實加強網(wǎng)絡的安全性，落實“自主可控”,對于信息網(wǎng)內(nèi)辦公終端的選型，盡量確保選擇國產(chǎn)的終端設備。入網(wǎng)終端主要分兩類，通用PC類終端和啞終端。通用PC類終端：入網(wǎng)終端在接入網(wǎng)絡前，需要對PC類終端進行終端入網(wǎng)注冊。啞終端類型設備：啞終端設備需要通過白名單+流量基線的方式進行入網(wǎng)管理，傳統(tǒng)的白名單是通過IP和MAC的方式建立的，由于IP/MAC非常容易仿冒，因此需要能夠?qū)K端行為進行持續(xù)監(jiān)控，一旦發(fā)現(xiàn)終端異常，需要能夠及時告警和處置。終端入網(wǎng)注冊一方面是為了便于對終端進行實名化管理，另一方面，也為終端資產(chǎn)信息的收集和管理以及終端安全策略的執(zhí)行提供了基礎，通過加載設備證書的方式，進一步提升終端設備的可信能力。終端入網(wǎng)流程如下：1.終端向終端管理平臺上報終端使用者信息和終端資產(chǎn)信息，由終端管理平臺確認終端的合法性，完成終端入網(wǎng)注冊；2.終端管理平臺上報終端設備指紋，由身份管理中心確認終端是否合法，驗證通過后,會給終端頒發(fā)設備證書，終端安裝設備證書，由證書驅(qū)動完成證書安裝，終端驅(qū)動會將串口、并口、紅外以及1394等計算機接口。支持禁用某些端口，在一定程度上防范信息泄終端安全基線包括：身份鑒別、安全審計、訪問控制、資源控制、入侵防護5個部分。終端安全準入系統(tǒng)遵循終端注冊->身份認證->安全檢查->安全隔離/允許入網(wǎng)的控制流程，對于未通過安全檢查的終端，可以采用安全隔離手段將終端進行隔離，被隔離的終端只能訪問指定的安全控制域，避免因為不安全的終端接入網(wǎng)絡而造成的未知風險。終端安全加固根據(jù)《信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求》(GB/T22239-2008)、《XX信息網(wǎng)計算機操作系統(tǒng)安全配置基本要求》GA/T1252-2005用戶接入網(wǎng)終端應安裝經(jīng)國家有關(guān)部門檢測、認證的正版防病毒軟件，實時監(jiān)測各類非入侵行為，并保持及時更新系統(tǒng)補丁、封堵風險漏洞等功能。主要包括防病毒、系統(tǒng)安全加固、補丁管理、軟件安全管理、系統(tǒng)推送等。設備終端類型豐富，設備查找和維護困難，維護效率非常低，需要能夠?qū)θW(wǎng)資產(chǎn)進行可視化管理，提供統(tǒng)一的終端資產(chǎn)的維護和管理頁面。終端管理平臺提供進程黑白名單管理，如果發(fā)現(xiàn)某些必須運行的進程沒有運行，通過準入控制設備，可以阻止該終端接入網(wǎng)絡?？梢栽谥付ǖ臅r間段內(nèi)，禁止某些進程運行，規(guī)范員工的行為。并且提供審計功能，記錄進程開始的時間和結(jié)束的時間，供日后查詢使用。終端準入控制系統(tǒng)支持對全網(wǎng)用戶的認證情況進行記錄，可以詳細記錄用戶認證的時間、用戶名、認證類型、IP以及認證動作等。并且提供查詢接口，便于查詢特定用戶在特定時間段內(nèi)的上網(wǎng)情況。能夠?qū)θW(wǎng)的終端進行安全狀態(tài)監(jiān)控，包括終端的是否啟用了高危端口、是否感染了高危漏洞、是否使用了弱口令等，并能夠以可視化的形式通知管理員。終端管理平臺可對終端違規(guī)外聯(lián)、終端漏洞情況、用戶異常操作、應用軟件異常、病毒木馬入侵異常情況發(fā)現(xiàn)、分析和報警。終端管理平臺需要加強對啞終端的異常檢測能力，支持啞終端異常檢測能力，一旦發(fā)現(xiàn)終端異常，比如將啞終端替換成筆記本電腦，非法接入信息網(wǎng)等異常行為，系統(tǒng)能夠及時發(fā)現(xiàn)，告警，并進行自動隔斷或隔離處置，最大程度降低安全風險?，F(xiàn)階段的信息網(wǎng)，通常在網(wǎng)絡出口上部署了很多的安全設備，防范來自外部網(wǎng)絡的攻擊。但是內(nèi)部XX民警通過其他通道接入互聯(lián)網(wǎng)，往往會使得XX的這些安全設備投資形同虛設，加強對非法外聯(lián)的監(jiān)控，也是XX安全策略的一個重要組成部分，主要包括以下三個方1.撥號連接管理，禁止終端用戶使用撥號設備，防止終端繞過XX的監(jiān)管連接互聯(lián)網(wǎng)；2.禁止終端訪問互聯(lián)網(wǎng)，可以根據(jù)需要，阻斷終端的所有網(wǎng)絡訪問，并且記錄和審計終端訪問互聯(lián)網(wǎng)的事件；3.防止違規(guī)架設PROXY/路由器等外聯(lián)設備，當發(fā)現(xiàn)違規(guī)架設PROXY服務器，可以記錄違規(guī)信息。2.1.4PKI與終端安全準入對接通過與PKI/PMI系統(tǒng)簽發(fā)的數(shù)字證書相結(jié)合，可以實現(xiàn)信息安全的6個目標，為可靠性、可用性、真實性、保密性、完整性、不可抵賴性?！窨煽啃园ǎ和ㄐ趴煽啃?、人員可靠性?！窨捎眯裕壕W(wǎng)絡信息系統(tǒng)在需要時，允許授權(quán)用戶或?qū)嶓w使用的特性?！裾鎸嵭裕捍_保網(wǎng)絡信息系統(tǒng)的訪問者/被訪問者與其聲稱的身份是一致的；確保網(wǎng)絡信息系統(tǒng)操作的數(shù)據(jù)是真實有效的數(shù)據(jù)；確保網(wǎng)絡應用程序的身份和功能與其聲稱的身份和功能是一致的?！癖Ｃ苄裕悍乐咕W(wǎng)絡傳輸信息泄漏給非授權(quán)個人或?qū)嶓w，只允許授權(quán)用戶訪問的特性?！裢暾裕簜鬏斝畔⒃谖唇?jīng)合法授權(quán)時不能被改變的特性，也就是信息在生成、存儲或傳輸過程中保證不被偶然或蓄意地刪除、修改、偽造、亂序、插入等破壞和丟失的特性；要求保持信息的原樣，即信息的正確生成、正確存儲和正確傳輸。●不可抵賴性：在網(wǎng)絡信息系統(tǒng)的信息交互過程中所有參與者都不可能否認或抵賴曾經(jīng)完成的操作的特性。PKI/PMI系統(tǒng)提供的密碼技術(shù)目前系統(tǒng)支持簽發(fā)國際通用算法RSA算法，通過RSA可解決上述6大信息安全目標，系統(tǒng)可簽發(fā)用戶證書、站點證書、設備證書，密碼應用設備如VPN等可調(diào)用RSA標準接口或算法升級后的SKF標準接口實現(xiàn)證書的應用。使用數(shù)字證書可實現(xiàn)用戶強身份認證，增強系統(tǒng)安全性。使用摘要(HASH)算法，實現(xiàn)終端與設備之間傳輸數(shù)據(jù)的完整性保障。使用非對稱算法與對稱算法，實現(xiàn)傳輸數(shù)據(jù)的加密，防截獲、防假冒和防重用；使用非對稱算法實現(xiàn)數(shù)字簽名，實現(xiàn)操作抗抵賴；實現(xiàn)步驟第一步：終端準入系統(tǒng)與XX現(xiàn)有PKI/PMI系統(tǒng)進行接口對接，實現(xiàn)RSA算法證書可在用戶終端與服務端實現(xiàn)通信加密傳輸，并實現(xiàn)強身份認證。第二步：將設計更多的設備，參與證書應用，實現(xiàn)設備與設備間的通信加密，設備身份認證。第三步：PKI/PMI算法升級后，實現(xiàn)國密證書的適配，將原有支持RSA算法證書的設備全部支持SM2國密算法證書。2.2用戶側(cè)安全建設拓撲顯制分流器流量探針2.3.1PKI升級改造PKI/PMI系統(tǒng)在進行國密算法應用的過程中，應保證不影響現(xiàn)有系統(tǒng)使用，重點保障其兼容性。主要體現(xiàn)幾個方面：統(tǒng)同時制發(fā)SM2算法和RSA算法數(shù)字證書。現(xiàn)有數(shù)據(jù)兼容?，F(xiàn)有PKI/PMI系統(tǒng)的用戶數(shù)據(jù)、密鑰數(shù)據(jù)、證書數(shù)據(jù)、權(quán)限數(shù)據(jù)和審計數(shù)據(jù)等信息，均為XX內(nèi)部重要的信息資源，能為大數(shù)據(jù)分析審計提供支撐，在國產(chǎn)算法升級過程中，需完全兼容現(xiàn)有數(shù)據(jù)，保證各系統(tǒng)數(shù)據(jù)的繼承性。證書業(yè)務兼容。PKI/PMI系統(tǒng)算法升級后，不能影響各市、區(qū)、縣或其他行業(yè)XX如邊防、消防等節(jié)點的證書業(yè)務，保證XX國密算法數(shù)字證書的分階段應用。業(yè)務訪問兼容。PKI/PMI系統(tǒng)國密算法升級后，不能影響現(xiàn)有全國XX用戶對信息系統(tǒng)的業(yè)務訪問。安全改造接口兼容。為降低對信息系統(tǒng)的影響，信息系統(tǒng)安全改造接口應盡量保持兼容，使信息系統(tǒng)零改造或少改造，實現(xiàn)信息系統(tǒng)的平滑過渡。采用對終端準入控制、安全管理、設備管控、行為管控、安全審計、惡意代碼防護等防護手段，實現(xiàn)終端的安全防護，保障終端系統(tǒng)、終端數(shù)據(jù)、終端人員行為的安全。用戶側(cè)的所有終端都納入進行統(tǒng)一管控，須遵循統(tǒng)一的終端安全管理策略。終端準入采用“戶籍化”管理機制，為終端設備頒發(fā)設備證書，結(jié)合802.1X、IP/MAC綁定、流量基線等技術(shù)實現(xiàn)終端設備的網(wǎng)絡準入控制。通過終端準入管理系統(tǒng)和身份管理中心實現(xiàn)全網(wǎng)的終端設備統(tǒng)一安全管理，及時發(fā)現(xiàn)非法終端和非法用戶，提高終端安全管控能力。入網(wǎng)終端主要分兩類，包括啞終端和PC類終端。對于啞終端，延續(xù)原有的MAC、IP作為入網(wǎng)身份，同時疊加終端流量基線和行為基線合法性檢查手段，建立終端身份檔案，確保所有接入新一代信息網(wǎng)的終端持續(xù)可信。對于PC類終端需要進行統(tǒng)一的注冊管理，身份管理中心為該類設備頒發(fā)數(shù)字證書作為入網(wǎng)身份證明。復用用戶匯聚節(jié)點安全準入能力。用戶匯聚節(jié)點(路由交換設備)在客戶端形式多樣的網(wǎng)絡環(huán)境中，由于不同客戶端支持的接入認證方式有所不同，有的客戶端只能進行MAC地址認證(比如打印機終端),有的客戶端進行802.1X認證，有的用戶主機通過Web訪問進行Portal認證。為了靈活適應這種網(wǎng)絡環(huán)境的多認證需求，用戶匯聚節(jié)點(路由交換設備)應支持多認證的統(tǒng)一部署方式，使得用戶可以選擇任何一種適合的認證機制來進行認證，且只需要通過一種方式的認證即可實現(xiàn)IPS、流量分析、沙箱檢測、數(shù)據(jù)防泄漏等各類檢測設備針對流量的安全檢測需求，可通過配置一臺高性能的TAP復制分流器對重要的網(wǎng)絡節(jié)點鏡像的流量進行采集和復制，把流量均衡分散到多個出接口，轉(zhuǎn)發(fā)給IPS、流量分析、沙箱檢測、數(shù)據(jù)防泄漏等各類檢測設備的安全檢測引擎進行數(shù)據(jù)分析，維持同源同宿，保證用戶數(shù)據(jù)和會話的完整性。通過五元組過濾規(guī)則以及特征碼過濾規(guī)則對某項業(yè)務流量或協(xié)議進行數(shù)據(jù)包的過濾和多重復制，分發(fā)到不同的安全檢測引擎當中。部署IPS是信息網(wǎng)安全監(jiān)測分析體系中重要的一環(huán)，它運行于安全檢測區(qū)內(nèi)，通過實時監(jiān)聽網(wǎng)絡數(shù)據(jù)流能夠及時識別網(wǎng)絡中發(fā)生的入侵行為，并實時報警并且進行有效攔截防將IPS旁路部署在用戶匯聚節(jié)點，可以有效的對節(jié)點流量進行動態(tài)的入侵行為的檢測，對訪問狀態(tài)進行檢測、對通信協(xié)議和應用協(xié)議進行檢測、對內(nèi)容進行深度的檢測。在信息網(wǎng)用戶匯聚節(jié)點旁路部署流量分析系統(tǒng)進行流量的實施監(jiān)測和預警。流量分析系統(tǒng)采用先進的檢測技術(shù)體系，基于狀態(tài)的應用層協(xié)議分析技術(shù)，使系統(tǒng)能夠準確快速地檢測各種攻擊行為。流量分析日志可與信息網(wǎng)中的入侵檢測、各類資產(chǎn)、威脅情報等聯(lián)動，分析某一端口的訪問頻率、離散度，建立流量對比基線、行為對比基線，進而探測端口異常行為、發(fā)現(xiàn)非法遠程訪問及各類違規(guī)接入。還可用于解析常見的各類網(wǎng)絡層協(xié)議，提取訪問關(guān)系信息；能夠解析常見的應用層協(xié)議，能夠識別通訊數(shù)據(jù)的具體內(nèi)容。通過部署沙箱檢測系統(tǒng)為警務應用提供降低未知威脅和針對性攻擊風險所需的全網(wǎng)范圍的可見性、洞察力和控制力。通過實時監(jiān)測和動態(tài)分析技術(shù)，提供偵測、發(fā)現(xiàn)、和抵抗這些攻擊所需的深入分析和行動情報。沙箱檢測系統(tǒng)集成網(wǎng)絡封包、應用內(nèi)容、文件過濾、云計算安全、動態(tài)模擬分析等多種檢測引擎，可以在威脅生命周期的各個階段，識別標準安全防御所無法檢測的惡意內(nèi)容、可疑通訊與攻擊行為，從而以最低的誤判率和最大的覆蓋范圍提供最佳的檢測。通過對惡意文件和隱蔽式攻擊行為的檢測和深入分析，在不斷發(fā)展的網(wǎng)絡環(huán)境中，沙箱檢測系統(tǒng)可為警務應用提供檢測高未知威脅和針對性攻擊所需的可見性和情沙箱檢測系統(tǒng)可與流量分析日志、威脅情報、入侵檢測日志等進行聯(lián)動，為信息網(wǎng)提供開放且可擴展的自定義動態(tài)沙盒分析，在第一時間保護XX網(wǎng)免于APT與針對性攻擊的危害。數(shù)據(jù)防泄露系統(tǒng)采用業(yè)界先進的內(nèi)容指紋匹配、計算機視覺、語義分析等核心智能算法，同時結(jié)合先進的多核高速數(shù)據(jù)包并發(fā)處理技術(shù)，研發(fā)而成的企業(yè)級數(shù)據(jù)防泄露系統(tǒng)。立足于用戶內(nèi)部網(wǎng)絡，建立起以數(shù)據(jù)內(nèi)容為核心的智能識別策略和集中安全管理為顯著特征的全方位數(shù)據(jù)內(nèi)容智能識別體系。通過深度內(nèi)容分析和事務安全關(guān)聯(lián)分析來識別、監(jiān)視和保護靜止、移動和使用中的數(shù)據(jù)，并能聯(lián)動其它傳統(tǒng)安全產(chǎn)品形成整體數(shù)據(jù)安全解決方案，滿足客戶的全方位安全需求。部署日志審計系統(tǒng)，對用戶終端的日志進行統(tǒng)一收集、統(tǒng)一化處理，并上報安全大數(shù)據(jù)平臺，實現(xiàn)進一步的安全關(guān)聯(lián)分析。漏洞掃描設備能夠通過綜合運用多種手段(主機存活探測、智能端口檢測等)全面、快速、準確的發(fā)現(xiàn)被掃描網(wǎng)絡中的存活主機，準確識別其屬性，包括主機名稱、設備類型、端口情況、操作系統(tǒng)以及開放的服務等，為進一步脆弱性掃描做好準備。設備提供探測未知資產(chǎn)功能，針對一個IP段進行自動漏洞掃描，自動針對在線的IP地址的主機進行漏洞掃描，使用ARP、ICMP、TCP、UDP等多種協(xié)議測試在線主機是否存活，并提供在線主機漏洞掃描功能。聯(lián)動，可用于發(fā)現(xiàn)XX網(wǎng)中各類非法遠程控制行為，及時發(fā)現(xiàn)并阻斷該行為。6跨網(wǎng)安全訪問與交換平臺安全方案在接入網(wǎng)中，由跨網(wǎng)安全訪問與交換平臺實現(xiàn)數(shù)據(jù)匯聚節(jié)點與用戶匯聚節(jié)點的安全互聯(lián)，實現(xiàn)XX用戶、外部用戶和網(wǎng)絡的安全接入。3.1跨網(wǎng)安全訪問與交換平臺安全建設思路跨網(wǎng)安全交換和訪問平臺需要實現(xiàn)對接入用戶的統(tǒng)一身份管理、授權(quán)和訪問控制，對用戶、設備和應用采用精細授權(quán)和動態(tài)精準鑒權(quán)，實現(xiàn)用戶對應用和數(shù)據(jù)的安全訪問。同時跨網(wǎng)安全交換和訪問平臺還需實現(xiàn)對電子政務外網(wǎng)、各部委專線網(wǎng)絡以及互聯(lián)網(wǎng)中的業(yè)務系統(tǒng)接入數(shù)據(jù)匯聚節(jié)點，與數(shù)據(jù)中心進行數(shù)據(jù)交換及用戶訪問。接入用戶宣云酒準入以證身切管理權(quán)雙贈里和交換平臺安全管其帥散據(jù)中心酸服務IDSWAF流短探針檢沙幅跨網(wǎng)安全訪問本級數(shù)據(jù)中心公安骨干網(wǎng)接入網(wǎng)絡8戶訪問流量通過骨干網(wǎng)繞行安全平臺流向數(shù)據(jù)匯聚節(jié)點。APlAPl訪問控制區(qū)接入用戶本級數(shù)據(jù)中心50愛n跨同安全訪問區(qū)B圖睪書血NGFW戶2、XX網(wǎng)用戶通過用戶匯聚節(jié)點連接到跨網(wǎng)安全訪問區(qū)，通過抗D設備及NGFW設備進入到數(shù)據(jù)域。外部用戶訪問業(yè)務流程鵲網(wǎng)安全訪問區(qū)鵲網(wǎng)安全訪問區(qū)0WAF空量保葉檢畫箱本級鼓據(jù)中心云函津入認證身切管理權(quán)陽管?API訪問控制區(qū)戶0o外合國密算法；問控制區(qū)；到數(shù)據(jù)域。用戶訪問業(yè)務防護能力訪問通道防火墻用于保證業(yè)務訪問網(wǎng)絡通道僅允許用戶訪問流量的進入和業(yè)務系統(tǒng)的部終端獲得。IPS、WAF、流量分析、沙箱檢測、數(shù)據(jù)防泄漏等各類檢測設備針對流量的安全檢測需求，可通過配置一臺高性能的TAP復制分流器對重要的網(wǎng)絡節(jié)點鏡像的流量進行采集和復制，把流量均衡分散到多個出接口，轉(zhuǎn)發(fā)給IPS、WAF、流量分析、沙箱檢測、數(shù)據(jù)防泄漏等各類檢測設備的安全檢測引擎進行數(shù)據(jù)分析，維持同源同宿，保證用戶數(shù)據(jù)和會話的完整性。通過五元組過濾規(guī)則以及特征碼過濾規(guī)則對某項業(yè)務流量或協(xié)議進行數(shù)據(jù)包的過濾和多重復制，分發(fā)到不同的安全檢測引擎當中。部署IPS是信息網(wǎng)安全監(jiān)測分析體系中重要的一環(huán)，它運行于安全檢測區(qū)內(nèi)，通過實時監(jiān)聽網(wǎng)絡數(shù)據(jù)流能夠及時識別網(wǎng)絡中發(fā)生的入侵行為，并實時報警并且進行有效攔截防護。將IPS旁路部署在跨網(wǎng)安全訪問與交換平臺核心交換機，可以有效的對節(jié)點流量進行動態(tài)的入侵行為的檢測，對訪問狀態(tài)進行檢測、對通信協(xié)議和應用協(xié)議進行檢測、對內(nèi)容進行深度的檢測。Web應用防護系統(tǒng)，簡稱WAF,通過執(zhí)行一系列針對HTTP/HTTPS的安全策略來專門為Web應用提供保護的一款產(chǎn)品。針對數(shù)據(jù)域內(nèi)大量的Web應用進行防護，預防SQL注入、網(wǎng)頁篡改、網(wǎng)頁掛馬等安全事件的發(fā)生。流量分析在信息網(wǎng)跨網(wǎng)安全訪問與交換平臺核心交換機旁路部署流量分析系統(tǒng)進行流量的實施監(jiān)測和預警。流量分析系統(tǒng)采用先進的檢測技術(shù)體系，基于狀態(tài)的應用層協(xié)議分析技術(shù)，使系統(tǒng)能夠準確快速地檢測各種攻擊行為。流量分析日志可與信息網(wǎng)中的入侵檢測、各類資產(chǎn)、威脅情報等聯(lián)動，分析某一端口的訪問頻率、離散度，建立流量對比基線、行為對比基線，進而探測端口異常行為、發(fā)現(xiàn)非法遠程訪問及各類違規(guī)接入。還可用于解析常見的各類網(wǎng)絡層協(xié)議，提取訪問關(guān)系信息；能夠解析常見的應用層協(xié)議，能夠識別通訊數(shù)據(jù)的具體內(nèi)容。通過部署沙箱檢測系統(tǒng)為警務應用提供降低未知威脅和針對性攻擊風險所需的全網(wǎng)范圍的可見性、洞察力和控制力。通過實時監(jiān)測和動態(tài)分析技術(shù)，提供偵測、發(fā)現(xiàn)、和抵抗這些攻擊所需的深入分析和行動情報。沙箱檢測系統(tǒng)集成網(wǎng)絡封包、應用內(nèi)容、文件過濾、云計算安全、動態(tài)模擬分析等多種檢測引擎，可以在威脅生命周期的各個階段，識別標準安全防御所無法檢測的惡意內(nèi)容、可疑通訊與攻擊行為，從而以最低的誤判率和最大的覆蓋范圍提供最佳的檢測。通過對惡意文件和隱蔽式攻擊行為的檢測和深入分析，在不斷發(fā)展的網(wǎng)絡環(huán)境中，沙箱檢測系統(tǒng)可為警務應用提供檢測高未知威脅和針對性攻擊所需的可見性和情沙箱檢測系統(tǒng)可與流量分析日志、威脅情報、入侵檢測日志等進行聯(lián)動，為信息網(wǎng)提供開放且可擴展的自定義動態(tài)沙盒分析，在第一時間保護XX網(wǎng)免于APT與針對性攻擊的危害。數(shù)據(jù)防泄漏數(shù)據(jù)防泄露系統(tǒng)采用業(yè)界先進的內(nèi)容指紋匹配、計算機視覺、語義分析等核心智能算法，同時結(jié)合先進的多核高速數(shù)據(jù)包并發(fā)處理技術(shù)，研發(fā)而成的企業(yè)級數(shù)據(jù)防泄露系統(tǒng)。立足于用戶內(nèi)部網(wǎng)絡，建立起以數(shù)據(jù)內(nèi)容為核心的智能識別策略和集中安全管理為顯著特征的全方位數(shù)據(jù)內(nèi)容智能識別體系。通過深度內(nèi)容分析和事務安全關(guān)聯(lián)分析來識別、監(jiān)視和保護靜止、移動和使用中的數(shù)據(jù)，并能聯(lián)動其它傳統(tǒng)安全產(chǎn)品形成整體數(shù)據(jù)安全解決方案，滿足客戶的全方位安全需求。云桌面以服務器虛擬化為基礎，允許多個用戶桌面以虛擬機的形式獨立運行，同時共享CPU、內(nèi)存、網(wǎng)絡連接和存儲器等底層物理硬件資源。這種架構(gòu)將虛機彼此隔離開來，同時可以實現(xiàn)精確的資源分配，并能保護用戶免受由其他用戶活動所造成的應用程序崩潰和操作系統(tǒng)故障所帶來的影響。云桌面各部件簡要介紹如下：●云終端云終端通過桌面接入網(wǎng)關(guān)代理訪問對應的桌面，同桌面接入網(wǎng)關(guān)之間采用SSL加密的虛擬桌面接入?yún)f(xié)議進行信息傳遞，可以通過策略開放或者禁止GA網(wǎng)終端PC上USB等外設至虛擬機的重新定向；用戶通過在終端上輸入域用戶名和密碼訪問對應桌面?！褡烂孳浖烂孳浖苑掌魈摂M化為基礎，允許多個用戶桌面以虛擬機的形式獨立運行，同時共享CPU、內(nèi)存、網(wǎng)絡連接和存儲器等底層物理硬件資源。這種架構(gòu)將虛擬機彼此隔離開來，同時可以實現(xiàn)精確的資源分配，并能保護用戶免受由其他用戶活動所造成的應用程序崩潰和操作系統(tǒng)故障所帶來的影響。桌面云軟件采用特有桌面協(xié)議，并可將授權(quán)用戶安全連接至集中式虛擬桌面。桌面云提供一個完整的端到端桌面虛擬化解決方案，此解決方案不僅能增強控制能力和可管理性，還可以提供與PC一致的桌面體驗。用戶能夠通過桌面云安全而方便地訪問虛擬桌面，升級和修補工作都從單個控制臺集中進行，數(shù)據(jù)保留在數(shù)據(jù)中心內(nèi)不外流。桌面虛擬化方案具備下可信API代理與基礎支撐區(qū)中的身份管理中心結(jié)合，驗證終端設備、人員身份、應用身份的可信；可信API代理與安全基礎設施結(jié)合，實現(xiàn)應用的訪問權(quán)限控制。遵循“先驗證設備、用戶，后訪問業(yè)務”的設計原則，構(gòu)建基于統(tǒng)一安全策略和數(shù)據(jù)驅(qū)動的動態(tài)多維訪問控1.訪問代理接收用戶接入網(wǎng)終端發(fā)送的訪問請求，在終端經(jīng)過認證授權(quán)后，考慮負載、地域、權(quán)限等多方面因素，選擇支持該服務的服務器，代替終端來請求服務，并將結(jié)果返回給終端。數(shù)據(jù)業(yè)務網(wǎng)的應用和數(shù)據(jù)對終端不可見。2.訪問控制可信API代理與終端之間進行雙向設備認證?？尚臕PI代理檢查用戶是否已通過用戶認證、是否具有服務的訪問權(quán)限，若檢查權(quán)限通過，則繼續(xù)訪問服務，應用服務收到來自可信網(wǎng)關(guān)的請求，同樣結(jié)合安全基礎設施對用戶的服務、功能、數(shù)據(jù)訪問權(quán)限進行檢查核驗；若用戶未通過認證，則可信接入網(wǎng)關(guān)結(jié)合身份管理中心，完成用戶認證，并獲取用戶的訪問權(quán)限；若用戶權(quán)限不足，則可信接入網(wǎng)關(guān)向用戶反饋訪問失敗信息。電子政務外網(wǎng)、各部委專線網(wǎng)絡以及互聯(lián)網(wǎng)中的業(yè)務系統(tǒng)，通過跨網(wǎng)安全訪問與交換平臺接入數(shù)據(jù)匯聚節(jié)點，與數(shù)據(jù)中心進行數(shù)據(jù)交換及用戶訪問。同時，通過網(wǎng)絡控制手段，禁止外網(wǎng)地址及其流量進入到骨干網(wǎng)。本地系統(tǒng)間的數(shù)據(jù)交換流量，在本地接入網(wǎng)的數(shù)據(jù)匯聚節(jié)點內(nèi)部實現(xiàn)快速高效的交換。其他數(shù)據(jù)中心公安骨干網(wǎng)其轉(zhuǎn)教斑就聚節(jié)點本級數(shù)據(jù)中心其他數(shù)據(jù)中心公安骨干網(wǎng)其轉(zhuǎn)教斑就聚節(jié)點本級數(shù)據(jù)中心為了保證XX網(wǎng)內(nèi)數(shù)據(jù)交換通暢，此類數(shù)據(jù)交換經(jīng)過安全平臺。外部網(wǎng)數(shù)據(jù)交換業(yè)務流程騁網(wǎng)安全交換騁網(wǎng)安全交換區(qū)拾本級數(shù)據(jù)中心②NGFw1、市局同其他專網(wǎng)進行數(shù)據(jù)交換，通過專用的線路，同用戶鏈路進行區(qū)分，嚴格控制接入據(jù)交換服務區(qū)；3、依據(jù)不同的數(shù)據(jù)類別，分別進入數(shù)據(jù)交換鏈路或視頻交換鏈路，通過安全隔離交換，進入數(shù)據(jù)匯聚節(jié)點。數(shù)據(jù)交換業(yè)務防護能力訪問通道防火墻用于保證業(yè)務訪問網(wǎng)絡通道僅允許用戶訪問流量的進入和業(yè)務系統(tǒng)的應答流量。根據(jù)可靠性要求，訪問通道防火墻采用冗余部署，保證網(wǎng)絡可靠性。集傳統(tǒng)防火墻、入侵防御、防病毒等多種功能于一身，實現(xiàn)高性能IPSec、L2TP、GREVPN、SSLVPN等功能。采用雙主控高可靠架構(gòu)。防火墻可根據(jù)數(shù)據(jù)包的源/目標地址、協(xié)議類型、源/目標端口以及網(wǎng)絡協(xié)議等對數(shù)據(jù)包進行訪問控制，可實現(xiàn)基于策略的HTTP、FTP、源。利用NAT地址轉(zhuǎn)換功能，防火墻還可保證邊界接入平臺應用服務區(qū)內(nèi)的主機地址不被外部終端獲得。復制分流器IPS、WAF、流量分析、沙箱檢測、數(shù)據(jù)防泄漏、數(shù)據(jù)庫審計等各類檢測設備針對流量的安全檢測需求，可通過配置一臺高性能的TAP復制分流器對重要的網(wǎng)絡節(jié)點鏡像的流量進行采集和復制，把流量均衡分散到多個出接口，轉(zhuǎn)發(fā)給IPS、WAF、流量分析、沙箱檢測、數(shù)據(jù)防泄漏、數(shù)據(jù)庫審計等各類檢測設備的安全檢測引擎進行數(shù)據(jù)分析，維持同源同宿，保證用戶數(shù)據(jù)和會話的完整性。通過五元組過濾規(guī)則以及特征碼過濾規(guī)則對某項業(yè)務流量或協(xié)議進行數(shù)據(jù)包的過濾和多重復制，分發(fā)到不同的安全檢測引擎當中。部署IPS是信息網(wǎng)安全監(jiān)測分析體系中重要的一環(huán)，它運行于安全檢測區(qū)內(nèi)，通過實時監(jiān)聽網(wǎng)絡數(shù)據(jù)流能夠及時識別網(wǎng)絡中發(fā)生的入侵行為，并實時報警并且進行有效攔截防護。將IPS旁路部署在跨網(wǎng)安全訪問與交換平臺核心交換機，可以有效的對節(jié)點流量進行動態(tài)的入侵行為的檢測，對訪問狀態(tài)進行檢測、對通信協(xié)議和應用協(xié)議進行檢測、對內(nèi)容進行深度的檢測。Web應用防護系統(tǒng)，簡稱WAF,通過執(zhí)行一系列針對HTTP/HTTPS的安全策略來專門為Web應用提供保護的一款產(chǎn)品。針對數(shù)據(jù)域內(nèi)大量的Web應用進行防護，預防SQL注入、網(wǎng)頁篡改、網(wǎng)頁掛馬等安全事件的發(fā)生。在信息網(wǎng)跨網(wǎng)安全訪問與交換平臺核心交換機旁路部署流量分析系統(tǒng)進行流量的實施監(jiān)測和預警。流量分析系統(tǒng)采用先進的檢測技術(shù)體系，基于狀態(tài)的應用層協(xié)議分析技術(shù)，使系統(tǒng)能夠準確快速地檢測各種攻擊行為。流量分析日志可與信息網(wǎng)中的入侵檢測、各類資產(chǎn)、威脅情報等聯(lián)動，分析某一端口的訪問頻率、離散度，建立流量對比基線、行為對比基線，進而探測端口異常行為、發(fā)現(xiàn)非法遠程訪問及各類違規(guī)接入。還可用于解析常見的各類網(wǎng)絡層協(xié)議，提取訪問關(guān)系信息；能夠解析常見的應用層協(xié)議，能夠識別通訊數(shù)據(jù)的具體內(nèi)容。沙箱檢測通過部署沙箱檢測系統(tǒng)為警務應用提供降低未知威脅和針對性攻擊風險所需的全網(wǎng)范圍的可見性、洞察力和控制力。通過實時監(jiān)測和動態(tài)分析技術(shù)，提供偵測、發(fā)現(xiàn)、和抵抗這些攻擊所需的深入分析和行動情報。沙箱檢測系統(tǒng)集成網(wǎng)絡封包、應用內(nèi)容、文件過濾、云計算安全、動態(tài)模擬分析等多種檢測引擎，可以在威脅生命周期的各個階段，識別標準安全防御所無法檢測的惡意內(nèi)容、可疑通訊與攻擊行為，從而以最低的誤判率和最大的覆蓋范圍提供最佳的檢測。通過對惡意文件和隱蔽式攻擊行為的檢測和深入分析，在不斷發(fā)展的網(wǎng)絡環(huán)境中，沙箱檢測系統(tǒng)可為警務應用提供檢測高未知威脅和針對性攻擊所需的可見性和情沙箱檢測系統(tǒng)可與流量分析日志、威脅情報、入侵檢測日志等進行聯(lián)動，為信息網(wǎng)提供開放且可擴展的自定義動態(tài)沙盒分析，在第一時間保護XX網(wǎng)免于APT與針對性攻擊的危害。數(shù)據(jù)防泄露系統(tǒng)采用業(yè)界先進的內(nèi)容指紋匹配、計算機視覺、語義分析等核心智能算法，同時結(jié)合先進的多核高速數(shù)據(jù)包并發(fā)處理技術(shù)，研發(fā)而成的企業(yè)級數(shù)據(jù)防泄露系統(tǒng)。立足于用戶內(nèi)部網(wǎng)絡，建立起以數(shù)據(jù)內(nèi)容為核心的智能識別策略和集中安全管理為顯著特征的全方位數(shù)據(jù)內(nèi)容智能識別體系。通過深度內(nèi)容分析和事務安全關(guān)聯(lián)分析來識別、監(jiān)視和保護靜止、移動和使用中的數(shù)據(jù)，并能聯(lián)動其它傳統(tǒng)安全產(chǎn)品形成整體數(shù)據(jù)安全解決方案，滿足客戶的全方位安全需求。數(shù)據(jù)庫審計通過部署數(shù)據(jù)庫審計設備，提升日常業(yè)務系統(tǒng)運維的水平，實現(xiàn)信息系統(tǒng)計算環(huán)境數(shù)據(jù)庫日志信息的集中管理，全面掌握計算環(huán)境運行過程中出現(xiàn)的隱患，通過數(shù)據(jù)庫安全事件報警和報表的方式，有效把握運維工作的重點，進一步增強系統(tǒng)安全運維工作的主動性，保障系統(tǒng)的正常運行。同時，有效規(guī)避日志信息分散存儲存在的非法刪除風險，確保安全事故處置的取證工作。數(shù)據(jù)庫審計設備通過監(jiān)測及采集信息系統(tǒng)中的數(shù)據(jù)庫增刪改查和系統(tǒng)訪問行為、系統(tǒng)運行日志等各類信息，經(jīng)過規(guī)范化、過濾、歸并和告警分析等處理后，以統(tǒng)一格式的日志形式進行集中存儲和管理，同時保留原始的日志信息和日志格式，以便事后分析取證，結(jié)合豐富的日志分析綜合顯示功能，實現(xiàn)對信息系統(tǒng)安全狀況的全面管理。對XX業(yè)務系統(tǒng)數(shù)據(jù)庫操作的事件、行為、狀態(tài)的實時采集、實時分析、異常報警、集中存儲和進行事中監(jiān)控、事后分析，同時也支持分布式、跨平臺的統(tǒng)一的日志綜合分析與管理，對各類網(wǎng)絡設備、安全設備、操作系統(tǒng)、WEB服務、中間件、數(shù)據(jù)庫和其它應用進行全 安全隔離與交換作為外部網(wǎng)絡與新一代信息網(wǎng)進行連(1)社會企事業(yè)單位接入業(yè)務允許的業(yè)務操作方式為數(shù)據(jù)交換。(2)黨/政/軍機關(guān)接入業(yè)務允許的業(yè)務操作方式為數(shù)據(jù)交換。(3)XX機關(guān)駐地外接入業(yè)務允許的業(yè)務操作方式為數(shù)據(jù)交換。(4)視頻專網(wǎng)視頻接入業(yè)務允許的業(yè)務操作方式為：視頻單向傳入，只能由XX信息(5)互聯(lián)網(wǎng)數(shù)據(jù)單向采集業(yè)務允許的業(yè)務操作為：由數(shù)據(jù)報送終端通過互聯(lián)網(wǎng)采集鏈(1)數(shù)據(jù)交換系統(tǒng)(2)視頻交換系統(tǒng)實現(xiàn)視頻傳輸網(wǎng)與信息網(wǎng)的網(wǎng)絡隔離，切斷所有基于網(wǎng)絡協(xié)議的連接；支持多種視頻(3)單向傳輸系統(tǒng)單向傳輸系統(tǒng)實現(xiàn)信息網(wǎng)與互聯(lián)網(wǎng)之間的物理單向隔離，并(4)前后置服務器集群訪問通道防火墻用于保證業(yè)務訪問網(wǎng)絡通道僅允許用戶訪問流量的進入和業(yè)務系統(tǒng)的應答流量。根據(jù)可靠性要求，訪問通道防火墻采用冗余部署，保證網(wǎng)絡可靠性。集傳統(tǒng)防火墻、入侵防御、防病毒等多種功能于一身，實現(xiàn)高性能IPSec、L2TP、GREVPN、SSLVPN等功能。采用雙主控高可靠架構(gòu)。防火墻可根據(jù)數(shù)據(jù)包的源/目標地址、協(xié)議類型、源/目標端口以及網(wǎng)絡協(xié)議等對數(shù)據(jù)包進行訪問控制，可實現(xiàn)基于策略的HTTP、FTP、源。利用NAT地址轉(zhuǎn)換功能，防火墻還可保證邊界接入平臺應用服務區(qū)內(nèi)的主機地址不被外部終端獲得。通過部署堡壘機，解決運維人員針對賬號難管理，身份難識別，權(quán)限難控制，操作過程難監(jiān)控，事件責任難定位等問題。堡壘機集賬號、認證、授權(quán)、審計為一體的設計理念，實現(xiàn)對信息網(wǎng)的網(wǎng)絡設備、數(shù)據(jù)庫、安全設備、主機系統(tǒng)、中間件等資源統(tǒng)一運維管理和審計，實現(xiàn)運維人員整個操作過程可管、可控、可見、可審，為數(shù)據(jù)中心運維構(gòu)建一套事前預防、事中監(jiān)控、事后審計完善的運維管理體系。系統(tǒng)對所有服務器、網(wǎng)絡設備賬號的集中管理?？梢酝瓿蓪~號整個生命周期的監(jiān)控和管理，降低管理大量用戶賬號的難度和工作量。同時，通過統(tǒng)一的管理還能夠發(fā)現(xiàn)賬號中存在的安全隱患，并且制定統(tǒng)一的、標準的用戶賬號安全策略。堡壘機提供統(tǒng)一的認證接口，支持多種認證方式。如密碼、usbkey、動態(tài)口令、證書等份的合法性統(tǒng)一管理和驗證，提高認證靈活性和安全性。堡壘機提供統(tǒng)一的界面，對相應用戶、角色及行為和資源進行授權(quán)，支持基于時間、操作等的細粒度授權(quán)，最大限度保護網(wǎng)絡信息的安全。細粒度的命令策略是命令的集合，用來分配給具體的安全人員限制其系統(tǒng)行為，管理員根據(jù)其自身的角色為其指定相應的控制策略來限定用戶，提高系統(tǒng)的安全性。通過堡壘機對運維操作人員的操作行為進行全程跟蹤和記錄，基于訪問來源、目標資源、操作時長、操作內(nèi)容等多維度生成審計日志，并可根據(jù)關(guān)鍵字進行模糊查詢?；胤殴δ鼙ＷC對用戶的操作行為進行完整回溯，并且能夠基于屏幕文字內(nèi)容、標題窗口、鍵盤輸入、鼠標單、雙擊的記錄進行定位回放，定位回放無延遲。通過堡壘機可以定期自動修改目標設備密碼功能。支持Windows、Linux/Unix、網(wǎng)絡設備、數(shù)據(jù)庫等，并可基于改密后發(fā)送密碼信封、信封文件加密、密碼復雜度控制、自動密碼恢復、改密周期等屬性制定詳細的改密策略，具備靈活性和可靠性。堡壘機可通過建立詳細的運維審計日志目錄來發(fā)現(xiàn)XX網(wǎng)中各類破壞系統(tǒng)的行為，以及控制XX網(wǎng)中各類非法權(quán)限獲取行為。通過采集可信運維代理日志、設備日志、管理服務器日志等方式，實現(xiàn)對跨網(wǎng)安全訪問與交換平臺運維操作行為的審計分析，對違規(guī)和異常行為進行告警。通過部署沙箱檢測系統(tǒng)為警務應用提供降低未知威脅和針對性攻擊風險所需的全網(wǎng)范圍的可見性、洞察力和控制力。通過實時監(jiān)測和動態(tài)分析技術(shù)，提供偵測、發(fā)現(xiàn)、和抵抗這些攻擊所需的深入分析和行動情報。沙箱檢測系統(tǒng)集成網(wǎng)絡封包、應用內(nèi)容、文件過濾、云計算安全、動態(tài)模擬分析等多種檢測引擎，可以在威脅生命周期的各個階段，識別標準安全防御所無法檢測的惡意內(nèi)容、可疑通訊與攻擊行為，從而以最低的誤判率和最大的覆蓋范圍提供最佳的檢測。通過對惡意文件和隱蔽式攻擊行為的檢測和深入分析，在不斷發(fā)展的網(wǎng)絡環(huán)境中，沙箱檢測系統(tǒng)可為警務應用提供檢測高未知威脅和針對性攻擊所需的可見性和情報。沙箱檢測系統(tǒng)可與流量分析日志、威脅情報、入侵檢測日志等進行聯(lián)動，為信息網(wǎng)提供開放且可擴展的自定義動態(tài)沙盒分析，在第一時間保護XX網(wǎng)免于APT與針對性攻擊的危害。漏洞掃描設備能夠通過綜合運用多種手段(主機存活探測、智能端口檢測等)全面、快速、準確的發(fā)現(xiàn)被掃描網(wǎng)絡中的存活主機，準確識別其屬性，包括主機名稱、設備類型、端口情況、操作系統(tǒng)以及開放的服務等，為進一步脆弱性掃描做好準備。設備提供探測未知資產(chǎn)功能，針對一個IP段進行自動漏洞掃描，自動針對在線的IP地址的主機進行漏洞掃描，使用ARP、ICMP、TCP、UDP等多種協(xié)議測試在線主機是否存活，并提供在線主機漏洞掃描功能。4.1數(shù)據(jù)中心安全建設思路數(shù)據(jù)中心安全分為數(shù)據(jù)中心出口安全及數(shù)據(jù)中心內(nèi)部安全。在數(shù)據(jù)中心出口交換機旁路冗余部署防火墻設備，重點根據(jù)IP、協(xié)議、端口號、服務、用戶等信息判斷信息的敏感程度，在防火墻設備配置安全策略，采用IPSec/SSL等加密手段實現(xiàn)對信息傳輸?shù)陌踩Ｕ?。?shù)據(jù)中心內(nèi)網(wǎng)絡安全設計，重點是解決數(shù)據(jù)中心內(nèi)不同業(yè)務區(qū)之間網(wǎng)絡安全問題。數(shù)據(jù)中心根據(jù)業(yè)務需求進行不同安全區(qū)域劃分，采用安全資源池中的安全服務，來實現(xiàn)各安全區(qū)域間安全隔離與防護。4.2數(shù)據(jù)中心安全建設拓撲用戶側(cè)用戶側(cè)跨網(wǎng)安全訪問與交換平臺數(shù)據(jù)側(cè)酸取要節(jié)點應用服務器應用服務器應用服務器4.3數(shù)據(jù)中心安全建設內(nèi)容訪問通道防火墻用于保證業(yè)務訪問網(wǎng)絡通道僅允許用戶訪問流量的進入和業(yè)務系統(tǒng)的應答流量。根據(jù)可靠性要求，訪問通道防火墻采用冗余部署，保證網(wǎng)絡可靠性。集傳統(tǒng)防火墻、入侵防御、防病毒等多種功能于一身，實現(xiàn)高性能IPSec、L2TP、GREVPN、SSLVPN等功能。采用雙主控高可靠架構(gòu)。防火墻可根據(jù)數(shù)據(jù)包的源/目標地址、協(xié)議類型、源/目標端口以及網(wǎng)絡協(xié)議等對數(shù)據(jù)包進行訪問控制，可實現(xiàn)基于策略的HTTP、FTP、源。利用NAT地址轉(zhuǎn)換功能，防火墻還可保證邊界接入平臺應用服務區(qū)內(nèi)的主機地址不被外部終端獲得。通過采集可信運維代理日志、設備日志、管理服務器日志等方式，實現(xiàn)對帶外管理網(wǎng)絡運維操作行為的審計分析，對違規(guī)和異常行為進行告警。通過部署堡壘機，解決運維人員針對賬號難管理，身份難識別，權(quán)限難控制，操作過程難監(jiān)控，事件責任難定位等問題。堡壘機集賬號、認證、授權(quán)、審計為一體的設計理念，實現(xiàn)對信息網(wǎng)的網(wǎng)絡設備、數(shù)據(jù)庫、安全設備、主機系統(tǒng)、中間件等資源統(tǒng)一運維管理和審計，實現(xiàn)運維人員整個操作過程可管、可控、可見、可審，為數(shù)據(jù)中心運維構(gòu)建一套事前預防、事中監(jiān)控、事后審計完善的運維管理體系。系統(tǒng)對所有服務器、網(wǎng)絡設備賬號的集中管理?？梢酝瓿蓪~號整個生命周期的監(jiān)控和管理，降低管理大量用戶賬號的難度和工作量。同時，通過統(tǒng)一的管理還能夠發(fā)現(xiàn)賬號中存在的安全隱患，并且制定統(tǒng)一的、標準的用戶賬號安全策略。堡壘機提供統(tǒng)一的認證接口，支持多種認證方式。如密碼、usbkey、動態(tài)口令、證書等多種單因子或雙因子認證，并支持聯(lián)動AD份的合法性統(tǒng)一管理和驗證，提高認證靈活性和安全性。堡壘機提供統(tǒng)一的界面，對相應用戶、角色及行為和資源進行授權(quán)，支持基于時間、操作等的細粒度授權(quán)，最大限度保護網(wǎng)絡信息的安全。細粒度的命令策略是命令的集合，用來分配給具體的安全人員限制其系統(tǒng)行為，管理員根據(jù)其自身的角色為其指定相應的控制策略來限定用戶，提高系統(tǒng)的安全性。通過堡壘機對運維操作人員的操作行為進行全程跟蹤和記錄，基于訪問來源、目標資源、操作時長、操作內(nèi)容等多維度生成審計日志，并可根據(jù)關(guān)鍵字進行模糊查詢。回放功能保證對用戶的操作行為進行完整回溯，并且能夠基于屏幕文字內(nèi)容、標題窗口、鍵盤輸入、鼠標單、雙擊的記錄進行定位回放，定位回放無延遲。通過堡壘機可以定期自動修改目標設備密碼功能。支持Windows、Linux/Unix、網(wǎng)絡設備、數(shù)據(jù)庫等，并可基于改密后發(fā)送密碼信封、信封文件加密、密碼復雜度控制、自動密碼恢復、改密周期等屬性制定詳細的改密策略，具備靈活性和可靠性。堡壘機可通過建立詳細的運維審計日志目錄來發(fā)現(xiàn)XX網(wǎng)中各類破壞系統(tǒng)的行為，以及控制XX網(wǎng)中各類非法權(quán)限獲取行為。通過部署數(shù)據(jù)庫審計設備，提升日常業(yè)務系統(tǒng)運維的水平，實現(xiàn)信息系統(tǒng)計算環(huán)境數(shù)據(jù)庫日志信息的集中管理，全面掌握計算環(huán)境運行過程中出現(xiàn)的隱患，通過數(shù)據(jù)庫安全事件報警和報表的方式，有效把握運維工作的重點，進一步增強系統(tǒng)安全運維工作的主動性，保障系統(tǒng)的正常運行。同時，有效規(guī)避日志信息分散存儲存在的非法刪除風險，確保安全事故處置的取證工作。數(shù)據(jù)庫審計設備通過監(jiān)測及采集信息系統(tǒng)中的數(shù)據(jù)庫增刪改查和系統(tǒng)訪問行為、系統(tǒng)運行日志等各類信息，經(jīng)過規(guī)范化、過濾、歸并和告警分析等處理后，以統(tǒng)一格式的日志形式進行集中存儲和管理，同時保留原始的日志信息和日志格式，以便事后分析取證，結(jié)合豐富的日志分析綜合顯示功能，實現(xiàn)對信息系統(tǒng)安全狀況的全面管理。對XX業(yè)務系統(tǒng)數(shù)據(jù)庫操作的事件、行為、狀態(tài)的實時采集、實時分析、異常報警、集中存儲和進行事中監(jiān)控、事后分析，同時也支持分布式、跨平臺的統(tǒng)一的日志綜合分析與管理，對各類網(wǎng)絡設備、安全設備、操作系統(tǒng)、WEB服務、中間件、數(shù)據(jù)庫和其它應用進行全蜜罐系統(tǒng)以偽裝技術(shù)為基礎，在用戶內(nèi)部網(wǎng)絡中部署與真實資產(chǎn)相似的“陷阱”欺騙攻擊者。一般情況下，攻擊者通過外部安全防御系統(tǒng)的缺陷，滲透到內(nèi)部網(wǎng)絡時，會搜索、攻擊及竊取用戶的核心資產(chǎn)。而蜜罐系統(tǒng)部署后，具備高度偽裝性的蜜罐節(jié)點，能夠欺騙攻擊者將其作為攻擊目標，并誘騙攻擊者持續(xù)地將其他蜜罐節(jié)點作為后續(xù)攻擊目標。所有蜜罐節(jié)點將組成高仿真“陷阱”網(wǎng)，延緩攻擊時間，使得蜜罐系統(tǒng)能夠記錄更多的攻擊信息，第一時間反饋給安全響應團隊，為團隊爭取更多的時間應對攻擊，保護真實資產(chǎn)。此外，陷阱網(wǎng)將記錄攻擊者的攻擊路徑，使所有攻擊有跡可循，能及時溯源和追蹤。漏洞掃描設備能夠通過綜合運用多種手段(主機存活探測、智能端口檢測等)全面、快速、準確的發(fā)現(xiàn)被掃描網(wǎng)絡中的存活主機，準確識別其屬性，包括主機名稱、設備類型、端口情況、操作系統(tǒng)以及開放的服務等，為進一步脆弱性掃描做好準備。 8應用安全(一)統(tǒng)一身份認證建設(二)統(tǒng)一身份認證管理(1)單點登錄：首先，將用戶重定向到訪問服務提供商的網(wǎng)站，服務提供商向用戶發(fā)(2)單點登出：用戶向身份認證服務器提出單點登出，認證服務器向用戶訪問的服務(3)新用戶注冊：如果用戶沒有在服務提供商或認證服務器進行過注冊，則此二者都(5)用戶名取消關(guān)聯(lián)：用戶可以在服務提供商或身份認證服務器處要求取消賬號關(guān)聯(lián)。(三)統(tǒng)一授權(quán)管理本方案中提供的細化到目錄、文件的用戶權(quán)限為基于角色的訪問控制。在統(tǒng)一身份管理平臺先將對應的用戶劃分到角色，再給角色分配相應的權(quán)限。本方案中基于角色的權(quán)限控制在統(tǒng)一認證平臺中建立，但在完成各業(yè)務系統(tǒng)用戶同步時同時進行角色的同步，將相應的角色同步到業(yè)務系統(tǒng)，并將相應業(yè)務系統(tǒng)以及業(yè)務系統(tǒng)功能模塊的權(quán)限同步到各業(yè)務系統(tǒng)，最終用戶是否有權(quán)限訪問業(yè)務系統(tǒng)以及業(yè)務系統(tǒng)功能模塊將在業(yè)務系統(tǒng)中完成。當用戶訪問業(yè)務系統(tǒng)時，在業(yè)務系統(tǒng)完成用戶的權(quán)限檢測(包括系統(tǒng)級權(quán)限檢測以及系統(tǒng)內(nèi)特定功能權(quán)限檢測)。(1)單點登錄：首先，將用戶重定向到訪問服務提供商的網(wǎng)站，服務提供商向用戶發(fā)送到認證服務器的認證，并對用戶獲得的認證結(jié)果進行驗證。(2)單點登出：用戶向身份認證服務器提出單點登出，認證服務器向用戶訪問的服務供應商發(fā)出注銷請求，使用戶登出使用的各種服務。(3)二次身份驗證：在應用內(nèi)針對特定功能進行應用內(nèi)二次身份認證?！耢o態(tài)授權(quán)體系及策略規(guī)劃：同等級別用戶可通過同等級通道訪問同等級或以下的相關(guān)應用或數(shù)據(jù)，同時基于詳細的分級原則，實現(xiàn)各級別用戶的細化靜態(tài)權(quán)限下發(fā)。如低等級用戶存在訪問高等級網(wǎng)絡或數(shù)據(jù)的場景下，需進行動態(tài)授權(quán)驗證。為加強動態(tài)授權(quán)易用性，特從用戶訪問需求控制、平臺智能準入，跟隨明細審計等三個角度加強動態(tài)授權(quán)易用。訪問需求控制：針對越級訪問需求，通過智能化手段形成越級訪問需求庫，統(tǒng)一實現(xiàn)越級訪問需求明確化需求，針對該類需求，如無特別問題，可簡易審批或直接通過。平臺智能準入：針對用戶建立可信機制，如用戶在數(shù)據(jù)訪問環(huán)節(jié)中未有不良記錄，可直接通過審批，如有不良記錄，需進行人員審批。跟隨審計：針對所有越級訪問用戶，需進行嚴密訪問審計，包括訪問路徑，訪問內(nèi)容，如有異常及時告警。系統(tǒng)安全需求首先通過EA模型針對業(yè)務系統(tǒng)的重要業(yè)務過程從業(yè)務層、信息層、中間組件層及基礎設施層，梳理出關(guān)鍵資產(chǎn)主要包含業(yè)務功能、用戶角色、數(shù)據(jù)、應用組件及支撐性基礎設施；其次根據(jù)相關(guān)資產(chǎn)類型制定出安全屬性要求，主要包括機密性、完整性、可用性、抗抵賴性及可追溯性；然后依據(jù)要求整理出適用于軟件開發(fā)應用安全控制點的Checklist表。通過安全保障對象、安全屬性及安全控制點三者之間的關(guān)系映射出具體的安全需求。最后針對逐個安全控制點進行風險評價。系統(tǒng)安全設計系統(tǒng)的安全設計應該盡量遵循一些基本的安全設計原則，這些原則是系統(tǒng)開發(fā)和軟件測試中有關(guān)安全經(jīng)驗的總結(jié)，可以用于指導安全開發(fā)人員(特別是軟件架構(gòu)師和設計師)開發(fā)更為安全的系統(tǒng)?！癖Ｗo最薄弱環(huán)節(jié)原則●縱深防御原則●職責權(quán)限分離原則●最小特權(quán)原則●默認故障處理保護原則●攻擊面最小化原則●經(jīng)濟機制原則●完全中立原則●心里可接受程度原則●公開設計原則●最少共享機制原則●隱私保護原則在系統(tǒng)安全設計階段，主要完成安全需求、安全技術(shù)在架構(gòu)及設計中具體體現(xiàn)，此階段非常關(guān)鍵，它從很大程度上將確定最終的信息系統(tǒng)的安全性。由于系統(tǒng)安全需求中，有一部分是屬于各個模塊或業(yè)務功能均需要使用到的，對于這部分需求，我們將其稱為公共安全需求，在系統(tǒng)安全設計過程中，可將其設計為公共的、可重復調(diào)用的安全組件，比如對輸入數(shù)據(jù)的安全過濾，對敏感信息的加密等等。系統(tǒng)安全編碼在系統(tǒng)安全編碼階段，主要是對前期安全需求、安全設計的具體落地，通過編寫相應的安全組件來實現(xiàn)相應的安全防護功能，其具體內(nèi)容來源于具體的安全設計內(nèi)容。在實現(xiàn)安全設計內(nèi)容的同時，編碼本身還需要遵循一定的安全編碼規(guī)范，包括基本代碼安全要求、代碼安全漏洞防范要求和Web編程安全要求等。系統(tǒng)安全測試系統(tǒng)安全測試分為白盒測試和黑盒測試，白盒測試主要采用源代碼審計的方式，黑盒測試主要采用滲透測試的方式。源代碼審計工作通過分析系統(tǒng)的源代碼，熟悉業(yè)務系統(tǒng)，從應用系統(tǒng)結(jié)構(gòu)方面檢查其各模塊和功能之間的關(guān)聯(lián)、權(quán)限驗證等內(nèi)容；從安全性方面檢查其脆弱性和缺陷。源代碼審計工作利用一定的編程規(guī)范和標準，針對應用程序源代碼，從結(jié)構(gòu)、脆弱性以及缺陷等方面進行審查，以發(fā)現(xiàn)當前系統(tǒng)中存在的安全缺陷以及代碼的規(guī)范性缺陷。滲透測試是模擬黑客的攻擊行為和過程，發(fā)現(xiàn)被測系統(tǒng)中可被利用的安全漏洞和隱患，識別各信息系統(tǒng)安全風險的直接或關(guān)聯(lián)影響。新系統(tǒng)上線安全評估主要涉及三個部門，建設部門、評估機構(gòu)、運維部門，建設部門新系統(tǒng)開發(fā)完畢后，準備上線前需向運維部門提出上線申請，對上線系統(tǒng)進行安全評估。評估的內(nèi)容包括網(wǎng)絡安全評估、安全基線核查、漏洞檢測、滲透測試、安全管理評估等。評估機構(gòu)檢測完畢后輸出安全評估報告；運維部門牽頭對評估報告進行評審，確定是否能夠上線，如果存在安全隱患，建設部門負責漏洞整改，整改完成后評估機構(gòu)進行二次評估，并出具二次評估報告，評估報告經(jīng)過三方評審通過后，系統(tǒng)試上線試運行。系統(tǒng)安全運維安全運維應適應系統(tǒng)迭代開發(fā)、灰度發(fā)布的開發(fā)模式，建立安全管理組織和安全管理制度體系，規(guī)范系統(tǒng)運維安全管理流程和工作機制。5.3應用攻擊防護WEB應用安全檢測行為的檢測能力；具備網(wǎng)絡資源濫用行為(如P2P上傳/下載、網(wǎng)絡游戲、視頻/音頻、網(wǎng)絡炒股)、網(wǎng)絡流量異常的檢測能力；具備對協(xié)議攻擊、手機病毒、僵木蠕威脅、隱蔽通道、未知漏洞、惡意代碼等高級持續(xù)性的網(wǎng)絡威脅檢測能力；具備對威脅的檢測、發(fā)現(xiàn)、預警、報告、展現(xiàn)五個維度進行閉環(huán)管理能力。具備HTTP/HTTPS流量分析能力，防護以WEB應用程序漏洞為主要目標的攻擊；具備WEB防護、Cookie篡改防護、網(wǎng)頁盜鏈防護等；具備WEB惡意代碼防護能力，如：網(wǎng)頁掛馬防具備對Web應用的SQL注入漏洞、命令注入、CRLF注入、LDAP注入、XSS跨站洞、路徑遍歷漏洞、信息泄漏漏洞、URL跳轉(zhuǎn)漏洞、文件包含漏洞、應用程序漏洞、文件上傳漏洞等進行檢測的能力。漏洞驗證具備針對已發(fā)現(xiàn)的Web應用的漏洞進行驗證的能力。網(wǎng)站安全監(jiān)控具備網(wǎng)站掛馬檢測、暗鏈檢測、敏感詞監(jiān)控、關(guān)鍵字監(jiān)控、WEB可用性監(jiān)控、等網(wǎng)站安應用弱口令防護具備應用資源弱口令核查能力，對弱口令進行全程跟蹤，形成弱口令識別、確認、整改、消除的動態(tài)閉環(huán)管理。審計用戶對應用的訪問，記錄業(yè)務用戶訪問WEB應用的各種行為，從中發(fā)現(xiàn)違規(guī)操作和越權(quán)訪問等安全風險。包括：業(yè)務操作審計、業(yè)務系統(tǒng)威脅發(fā)現(xiàn)與審計。9數(shù)據(jù)安全XX機關(guān)存儲大量有價值數(shù)據(jù)，數(shù)據(jù)安全防護防護是重要的安全建設內(nèi)容?；跀?shù)據(jù)生命周期的防御體系，保障數(shù)據(jù)不被外泄，包括主動外泄和被動外泄：架構(gòu)選擇存儲數(shù)距加傳輸銷毀膜寫6.1數(shù)據(jù)安全體系BB設世實分析爐的什額分而行汁樓頂新針對數(shù)據(jù)全生命周期提供相關(guān)安全防護手段，同時在數(shù)據(jù)管理及數(shù)據(jù)運維層面提供完整安全體系建設要求及標準。6.2數(shù)據(jù)分級分類(一)總體原則在使用數(shù)據(jù)分級分類進行權(quán)限控制時，按數(shù)據(jù)來源分類、協(xié)議類型分類、字段分類、數(shù)據(jù)分級等條件分別檢查權(quán)限。數(shù)據(jù)來源分類、協(xié)議類型分類、數(shù)據(jù)分級是記錄級權(quán)限控制，當有一個條件不滿足權(quán)限要求時，整條記錄均不得作為返回結(jié)果。字段分類是字段級權(quán)限控制，當某字段、字段關(guān)系權(quán)限不滿足權(quán)限要求時，該字段、部分字段關(guān)系不能作為返回結(jié)果。所有字段都應該支持授權(quán)，已做分類的字段或自行分類的字段必須做權(quán)限控制，不授權(quán)則沒有權(quán)限。其它未進行分類的字段，默認已授權(quán)，也支持單獨權(quán)限控制。(二)數(shù)據(jù)分級數(shù)據(jù)分級是通過對數(shù)據(jù)內(nèi)容的敏感程度，對數(shù)據(jù)資源進行分級。數(shù)據(jù)級別的權(quán)限應按用戶進行分配。擁有某一級別數(shù)據(jù)訪問權(quán)限的用戶，可訪問數(shù)據(jù)級別低于該級別(含)的數(shù)據(jù)記錄。(三)數(shù)據(jù)校驗數(shù)據(jù)校驗是為保證數(shù)據(jù)的完整性進行的一種驗證操作。通常用一種指定的算法對原始數(shù)據(jù)計算出的一個校驗值，接收方用同樣的算法計算一次校驗值，如果兩次計算得到的檢驗值相同，則說明數(shù)據(jù)是完整的。保證了數(shù)據(jù)在抽取過程中的完整性檢查。6.3數(shù)據(jù)訪問控制用戶訪問云端資源需通過控制臺進行日常操作和運維，用戶與云產(chǎn)品對應關(guān)系采用對稱加密對實現(xiàn)身份抗抵賴。管理人員的平臺運維操作權(quán)限經(jīng)過多層安全審批并進行命令級規(guī)則固化，違規(guī)操作實時審計報警。(1)用戶分權(quán)用戶分權(quán)管理是指在信息系統(tǒng)運行維護過程中，不同權(quán)限的用戶只能對系統(tǒng)中與本警種相關(guān)的設備和數(shù)據(jù)進行操作和管理。針對不同單位及不同的業(yè)務職能，進行用戶分類，進而實現(xiàn)用戶分權(quán)。(2)用戶分類針對數(shù)據(jù)資產(chǎn)安全規(guī)劃，可以將用戶按照職能和單位分類。(3)鑒別機制應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別；應對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實現(xiàn)用戶身份鑒別；應提供用戶身份標識唯一和鑒別信息復雜度檢查功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用；應提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；應啟用身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)；多因素認證，例如，根據(jù)賬號、密碼、動態(tài)口令等手段對身份進行鑒別準入。(4)行為審計應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計；應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄；審計記錄的內(nèi)容至少應包括事件的日期、時間、發(fā)起者信息、類型、描述和結(jié)果等；應提供對審計記錄數(shù)據(jù)進行統(tǒng)計、查詢、分析及生成審計報表的功能。(5)賬號管理用戶賬號口令發(fā)放要嚴格保密，用戶必須及時更改初始口令；用戶賬號口令最小長度為6位，并具有一定復雜度；用戶賬號口令必須嚴格保密，并定期進行更改，密碼更新周期不得超過90天；嚴禁共享個人用戶賬號口令； (6)權(quán)限管理(7)網(wǎng)絡資源授權(quán)(8)計算資源授權(quán)(9)應用資源授權(quán)(10)數(shù)據(jù)資源授權(quán)(11)合規(guī)接入6.4數(shù)據(jù)采集安全6.5數(shù)據(jù)傳輸安全在數(shù)據(jù)傳輸、使用和訪問過程中，初步設計主要采用VPN、身份認證和訪問控制手段，保障各個平臺和業(yè)務系統(tǒng)到用戶之間傳輸通道的安全、數(shù)據(jù)完整性，防止數(shù)據(jù)丟失和泄露，各個平臺和業(yè)務系統(tǒng)內(nèi)部實現(xiàn)和綜合安全網(wǎng)關(guān)VPN子系統(tǒng)對接實現(xiàn)數(shù)據(jù)傳輸安全，對接安全支撐平臺實現(xiàn)身份認證、訪問控制。所有云端生產(chǎn)數(shù)據(jù)均采用碎片化分布式離散技術(shù)保存，數(shù)據(jù)被分割成許多數(shù)據(jù)片段后遵循隨機算法分散存儲在不同機架上，并且每個數(shù)據(jù)片段會存儲多個副本。云服務控制系統(tǒng)依據(jù)不同用戶ID隔離其云端數(shù)據(jù)，云存儲依據(jù)客戶對稱加密對進行云端存儲空間訪問權(quán)限控制，保證云端存儲數(shù)據(jù)的最小授權(quán)訪問。系統(tǒng)提供對重要數(shù)據(jù)的加密存儲的功能，通過加密的手段將數(shù)據(jù)存儲于數(shù)據(jù)庫的表中，對于文件數(shù)據(jù)則通過文件加密的方式存儲，防止信息泄露。建立對系統(tǒng)內(nèi)部軟件和數(shù)據(jù)的定期備份制度。對各類實時數(shù)據(jù)等經(jīng)常更新的動態(tài)數(shù)據(jù)，備份時間間隔應該比較短(如12或24小時),對批量更新類數(shù)據(jù)的備份時間間隔可適當延長(如1周或1個月),而對歷史類數(shù)據(jù)則可以取更長的時間間隔(如1個季度或半年)。為避免災害性備份資料毀損，采用虛擬帶庫進行關(guān)鍵數(shù)據(jù)的備份。根據(jù)數(shù)據(jù)中心數(shù)據(jù)的重要性以及災難影響，建設數(shù)據(jù)級的容災，在其它的機房部署存儲設備，防止災難造成數(shù)據(jù)丟失，確保數(shù)據(jù)的安全。6.7數(shù)據(jù)銷毀安全云平臺采用清零手段在用戶要求刪除數(shù)據(jù)或設備在棄置、轉(zhuǎn)售前將其所有數(shù)據(jù)徹底刪除。針對云計算環(huán)境下因大量硬盤委外維修或服務器報廢可能導致的數(shù)據(jù)失竊風險，數(shù)據(jù)中心全面貫徹替換磁盤每盤必消、消磁記錄每盤可查、消磁視頻每天可溯的標準作業(yè)流程，強化磁盤消磁作業(yè)視頻監(jiān)控策略，聚焦監(jiān)控操作的防抵賴性和視頻監(jiān)控記錄保存的完整性。數(shù)據(jù)的銷毀也是保證數(shù)據(jù)安全的一個非常重要的方面。最為常用的計算機刪除的方式并沒有將數(shù)據(jù)真正從計算機的硬盤上刪除，其刪除的只不過是文件的相應的索引；對磁盤進行格式化也是如此，磁盤的格式化僅僅是為操作系統(tǒng)創(chuàng)建一個新的索引，將磁盤的扇區(qū)標記為未使用過，經(jīng)過這樣刪除方式操作的數(shù)據(jù)一旦發(fā)生黑客的入侵采用一定的數(shù)據(jù)恢復方式就能夠?qū)⒋疟P上的數(shù)據(jù)恢復。對于較為敏感甚至是秘密級的數(shù)據(jù)，云計算服務提供商應采用磁盤擦寫的方式來完成對于數(shù)據(jù)的刪除，或者采用一定的數(shù)據(jù)銷毀的算法甚至是物理銷毀來對用 6.8數(shù)據(jù)安全審計內(nèi)部或外部用戶繞過表現(xiàn)層、應用層(中間處理層),對數(shù)據(jù)服務層進行非授權(quán)的直接絕大多數(shù)應用系統(tǒng)(包括C/S應用及內(nèi)部C如發(fā)生繞過應用系統(tǒng)，直接對數(shù)據(jù)庫應用系統(tǒng)數(shù)據(jù)進行非法修改和刪除，破壞關(guān)鍵應數(shù)據(jù)庫系統(tǒng)的合理配置是保證數(shù)據(jù)庫正常運行的基本條件，如發(fā)生管理員或入侵者非5、數(shù)據(jù)庫敏感數(shù)據(jù)訪問跟蹤 不同客戶數(shù)據(jù)的混合：數(shù)據(jù)尤其是保密/敏感數(shù)據(jù)不能在1)數(shù)據(jù)隔離與訪問控制保密要求的資源存在于同一個物理存儲介質(zhì)上，安全保密需求低的問敏感資源或者高安全保密應用/主機的信息，為了避免這種情況的發(fā)生，虛擬化管理軟件采用多種訪問控制管理手段對存儲資源進行隔離和訪問控制，保證只有號)與交換機物理端口綁定、交換機分區(qū)和邏輯單元屏蔽(LUNMasking)等方式實現(xiàn)。根全協(xié)議(FC-SP)實現(xiàn)主機認證；采用光纖交換機分區(qū)將連接在SAN網(wǎng)絡中的設備(主機和存儲)在邏輯上劃為不同的分區(qū)，使得不同區(qū)域內(nèi)的設備之間不能通過利用IPSAN交換機提供的802.1x認證，在用戶接入網(wǎng)絡時輸入用戶名和登錄密碼來識別備和主機服務器的操作系統(tǒng)(Windows或Linux)都提供針對不同用戶對不同文件和目錄授予不同的訪問權(quán)限的功能。在應用存儲虛擬化后，虛擬化管理軟件應能全面管理不同虛擬對象，如IPSAN和FCSAN、NAS等的訪問控制策略配置，通過上層應用封裝對用戶提供一致的管理界面，屏蔽底層對象的差異性。7.1平臺服務安全云平臺采用集群設計的方式，集群目的是使用戶可以像管理單個實體一樣輕松地管理多個主機和云主機，從而降低管理的復雜度，同時通過定時對集群內(nèi)的主機和云主機狀態(tài)進行監(jiān)測，如果一臺服務器主機出現(xiàn)故障，運行于這臺主機上的所有云主機都可以在集群中的其它主機上重新啟動，保證了數(shù)據(jù)中心業(yè)務的連續(xù)性。同時云平臺本身應該具備容器安全防護、主機安全基線和漏洞掃描等功能。7.2云平臺安全基礎設施服務安全安全域劃分對整個云計算中心環(huán)境進行安全域劃分，劃分原理依據(jù)安全訪問路徑和數(shù)據(jù)流的走向進行訪問類型的分類，從整個云計算的訪問路徑角度來看，整個云計算中心的訪問流量主要分為南北向流量和東西向流量，其中南北向流量主要指的是外部進入云計算環(huán)境內(nèi)的流量，同時也包括不同VPC之間的互訪流量；東西向流量一般情況下指的是同一VPC內(nèi)部的流量，主要依靠云計算平臺內(nèi)部的訪問控制列表方式進行控制。所以對整個云計算環(huán)境的安全域劃分方式如下圖：流量分析服務DPI服務防火墻服務網(wǎng)絡防毒服務DLP服務●使得單一業(yè)務也需要完成虛擬設備的完整配置流程，無法對租戶實現(xiàn)安全資源的服●無法對安全業(yè)務的實施效果進行可視化的監(jiān)控。安全云從邏輯控制層的角度出發(fā)，屏蔽底層技術(shù)細節(jié)，將各類安全能力從單純的產(chǎn)品配置轉(zhuǎn)變?yōu)榉栈渲?，將繁瑣的安全業(yè)務重新進行定義，從用戶業(yè)務的角度出發(fā)，將安全能力的配置抽象為必要的邏輯實現(xiàn)?；贠penStack架構(gòu)，定義各類標準安全服務，并關(guān)聯(lián)OpenStack所標識的租戶邊界“網(wǎng)關(guān)”節(jié)點，實現(xiàn)租戶的流量的牽引與安全能力編排，同時，針對第三方安全控制器及安全設備也可通過標準接口進行適配，納入到安全云的安全能力體系中。通過對認證模塊的調(diào)用及虛擬機列表的讀取，完成云管理平臺到安全云的平滑單點登錄及對象操作。7.2.3核心能力對于租戶/業(yè)務管理員而言，業(yè)務上線過程中所面臨的繁瑣安全配置往往是掣肘業(yè)務上線速度的主要原因，在面向?qū)ο蟮腎T架構(gòu)中，這個問題更為突出。對于動輒管理數(shù)百個業(yè)務系統(tǒng)的IT管理員而言，如何快速且準確的針對業(yè)務特點進行安全業(yè)務配置，無疑是一個安全云架構(gòu)將改進傳統(tǒng)安全業(yè)務的配置方式。在傳統(tǒng)模式下，每一個安全能力，都要對被保護對象進行多方面的定義，配置邏輯從網(wǎng)絡層至應用層都不可或缺，但此種方式無法適應在云環(huán)境中的無界網(wǎng)絡，對租戶的配置對象無法進行統(tǒng)一的引用。在安全云架構(gòu)中，所定義的對象(資產(chǎn))可以被所有安全服務進行調(diào)用?？啥x的對象 (資產(chǎn))包括DNS域名、IP地址/地址段，應用協(xié)議、特征字段等多種元素。不同的安全服務類型，可以靈活選擇不同的防護對象(資產(chǎn))。通過調(diào)用OpenStack的標準接口，安全云能夠動態(tài)的對虛擬機列表及租戶(業(yè)務)網(wǎng)關(guān)列表進行同步，確保租戶(業(yè)務)管理在配置過程中能夠準確的對相應資產(chǎn)進行防護。從根本上解決安全業(yè)務能力同租戶對應的問題，極大的降低安全配置的復雜度。在完成防護對象(資產(chǎn))的選取之后，安全云也對各個安全業(yè)務的配置邏輯進行統(tǒng)一抽象，從安全業(yè)務使用者的角度重新設計，并將相關(guān)配置操作轉(zhuǎn)換為OpenStack可以識別的安全業(yè)務插件，通過插件接口對實際的安全能力進行配置下發(fā)，最終完成安全業(yè)務快速自動化 方案，也能滿足《信息安全技術(shù)網(wǎng)絡安全等級保護基本要求》中關(guān)于云安全的能力要求。地址轉(zhuǎn)換負載均衡入侵防御抗DDoS防病毒負載均衡抗DDoS安全容器服務一基于Docker的獨立安全平臺有獨立的日志發(fā)送、獨立的策略配置、獨立的硬件資源防護類安全能力通過同租戶在OpenSt 數(shù)據(jù)防泄漏數(shù)據(jù)庫審計多業(yè)務/多租戶-安全態(tài)勢感知服務多業(yè)務/多租戶-安全態(tài)勢感知服務鏡像分流應用監(jiān)控數(shù)據(jù)防泄漏數(shù)據(jù)庫審計主機安全加固漏洞掃描APT檢測主機安全加固漏洞掃描基于租戶標簽的流量分發(fā)根據(jù)不同的VPC,將流量對應到不同的檢 多業(yè)務/多租戶-安全態(tài)勢感知服務租戶-2雙網(wǎng)卡審計部署管理網(wǎng)段多業(yè)務/多租戶-安全態(tài)勢感知服務息安全技術(shù)網(wǎng)絡安全等級保護基本要求》中所強調(diào)的技術(shù)重點。傳統(tǒng)技術(shù)無法對租戶的日安全狀態(tài)可視化通過安全大數(shù)據(jù)的建設，健全安全組織、完善制度規(guī)范、夯實防護技術(shù)、創(chuàng)新服務模式、強化運維能力、探索新技術(shù)應用，信息網(wǎng)基本形成由安全組織體系、安全管理體系、安全技術(shù)體系、安全服務體系、安全運維體系和安全創(chuàng)新體系組成的六位一體“安全新生態(tài)”,滿足信息網(wǎng)網(wǎng)絡安全“可知、可管、可控、可信”的需求，實現(xiàn)“碎片式安全向一體化安全、被動防御向主動防御、傳統(tǒng)安全向新興安全”轉(zhuǎn)變，為XX警務信息化保駕護航。公安信息網(wǎng)安全監(jiān)測大款配平臺(公安部公安信息網(wǎng)安全監(jiān)測大款配平臺(公安部5齡常行為應用2里10同結(jié)博里人安全事件專家分析前華升所底瞑整3族隊程0預出奶前活外安士病男識界安堂器題安全計率臺熱男信息網(wǎng)安全大數(shù)據(jù)平臺，以數(shù)據(jù)采集為基礎，數(shù)據(jù)分析為主線，安全監(jiān)測應用為目標，通過建立信息網(wǎng)安全大數(shù)據(jù)平臺，全面整合各類安全防護手段的安全數(shù)據(jù)，利用大數(shù)據(jù)分析挖掘技術(shù)，實現(xiàn)威脅發(fā)現(xiàn)、精準預警和態(tài)勢感知。建立安全事件的快速反映和聯(lián)動查處機制，力爭把各類網(wǎng)絡攻擊活動消滅在萌芽狀態(tài)，變靜態(tài)防護為動態(tài)監(jiān)測，變多個單點防護為綜合防控和整體防范，逐步形成事前預警、事中取證、事后查處的新型安全監(jiān)測工作按照“主動防御、技管并重”的原則，在信息網(wǎng)骨干節(jié)點部署安全監(jiān)測設備，采集日志信息、流量數(shù)據(jù)，形成安全資源庫；建設以大數(shù)據(jù)分析系統(tǒng)為基礎的態(tài)勢感知系統(tǒng)及安全監(jiān)測能力，整合現(xiàn)有碎片化管理能力，全面檢測信息網(wǎng)安全事件、感知安全風險，形成安全管理及分析體系建設，滿足對安全大數(shù)據(jù)的基本需求，為各局屬單位提供安全運維、態(tài)勢感知、應急響應、重大活動保障等安全技術(shù)支撐。8.3安全態(tài)勢分析能力網(wǎng)絡安全態(tài)勢感知在安全告警事件的基礎上提供統(tǒng)一的網(wǎng)絡安全高層視圖，使安全管理員能夠快速準確地把握網(wǎng)絡當前的安全狀態(tài)，并以此為依據(jù)采取相應的措施。網(wǎng)絡安全態(tài)勢感知的關(guān)鍵在于采集和分析日志采集器和流量采集器提供的數(shù)據(jù)，并將這些分析后的安全信息以恰當?shù)姆绞匠尸F(xiàn)出來，從而使網(wǎng)絡管理者能夠迅速把握復雜、動態(tài)的安全態(tài)勢。網(wǎng)絡安全態(tài)勢感知依托于大數(shù)據(jù)分析技術(shù)，通過分析引擎協(xié)同工作，建議相關(guān)安全業(yè)務模型，提供資產(chǎn)態(tài)勢、運行態(tài)勢、預警態(tài)勢、脆弱性態(tài)勢、數(shù)據(jù)安全態(tài)勢、安全事件態(tài)勢6大態(tài)勢服務。構(gòu)建網(wǎng)絡安全態(tài)勢感知系統(tǒng)，通過專業(yè)的網(wǎng)絡流量數(shù)據(jù)包采集工具，獲取網(wǎng)絡運行數(shù)據(jù)，基于大數(shù)據(jù)分析技術(shù)，進行專業(yè)的數(shù)據(jù)統(tǒng)計和算法分析，進行可視化展示，支撐業(yè)務的發(fā)展。資產(chǎn)態(tài)勢能夠?qū)Ω黝愘Y產(chǎn)的區(qū)域、類型、重要程度進行統(tǒng)計，數(shù)據(jù)源包括對設備的類型、版本、運行狀態(tài)進行識別，對資產(chǎn)的安全狀況進行分析，包括資產(chǎn)存在的威脅、脆弱性、類型、數(shù)量等。圍繞著用戶、資產(chǎn)和業(yè)務的關(guān)聯(lián)，聚焦資產(chǎn)或業(yè)務的狀態(tài)監(jiān)控、性能監(jiān)控、配置基線管理、運維告警和故障診斷，結(jié)合大數(shù)據(jù)的分析方法，全面感知和監(jiān)控資產(chǎn)的運營狀態(tài)和安全指數(shù)，為運維決策和聯(lián)動響應提供可視化的呈現(xiàn)和簡易化的操作；為后續(xù)的安全運維業(yè)務的開展提供支撐。通過對歷史事件的時域頻域的分析，找出歷史規(guī)律，自動發(fā)現(xiàn)異常，全面覆蓋所有數(shù)據(jù)，進行歷史數(shù)據(jù)進行基線學習，無需設定固定閾值，對于報警及異常事件，主動利用場景規(guī)則進行識別并找出關(guān)聯(lián)指標和事件，進行問題根源追溯，通過對日志的整合分析，進行診斷、聚類，對比和規(guī)律挖掘。●資產(chǎn)異常事件管理模塊基于大數(shù)據(jù)分析技術(shù)的工單系統(tǒng)，實現(xiàn)資產(chǎn)異常事件處理閉環(huán)，將事件發(fā)生的時間，地點，資產(chǎn)信息，責任人等參數(shù)，作為工單進行下發(fā)?！褓Y產(chǎn)態(tài)勢可視化管理模塊基于XX部規(guī)范，展示獲取資產(chǎn)的總數(shù)，按區(qū)域、類型、重要程度分布進行展示，對每個資產(chǎn)的類別，型號，版本等信息進行展示，對資產(chǎn)提供服務的IP地址及端口信息進行展示，對資產(chǎn)的安全狀況進行展示。運行態(tài)勢能夠?qū)崿F(xiàn)對全網(wǎng)的拓撲結(jié)構(gòu)，包括資產(chǎn)連接情況，資產(chǎn)屬性等信息進行收集，全面感知和監(jiān)控資產(chǎn)的運行狀態(tài)和安全指數(shù)，采集的數(shù)據(jù)包括但不僅限于在線情況，CPU使用情況，內(nèi)存使用情況，網(wǎng)絡使用情況，健康度等。運行態(tài)勢由安全運維監(jiān)控