【正文】 ........... 售后服務(wù)與技術(shù)支持規(guī)范 .................................................................................. 項目實施計劃一覽表 ..................................................................................................0 / 43第 1 章 概述 項目名稱項目名稱：順德區(qū)行政服務(wù)中心網(wǎng)絡(luò)安全升級改造項目 項目性質(zhì)項目性質(zhì)：新建 項目承擔(dān)單位及負(fù)責(zé)人項目承擔(dān)單位：佛山市順德區(qū)行政服務(wù)中心單位負(fù)責(zé)人：暨耀峰項目負(fù)責(zé)人：鄭金文 項目建設(shè)方案編制依據(jù)本次項目建設(shè)主要依據(jù)國內(nèi)外信息化建設(shè)的發(fā)展?fàn)顩r，國家以及國信辦提出的信息化發(fā)展戰(zhàn)略，國務(wù)院、廣東省人民政府和順德區(qū)委、區(qū)政府提出的行政審批制度改革以及信息化建設(shè)總體規(guī)劃和要求，國家信息安全等級保護(hù)制度以及順德區(qū)行政服務(wù)中心信息化建設(shè)現(xiàn)狀及未來的建設(shè)需要進(jìn)行規(guī)劃?？偼顿Y概算約萬元。 行政服務(wù)中心網(wǎng)絡(luò)安全改造：對行政服務(wù)中心現(xiàn)有防火墻進(jìn)行升級改造，提高網(wǎng)絡(luò)處理性能和虛擬化功能，支持教育網(wǎng)的安全接入。4 / 43第 2 章 現(xiàn)狀、必要性和需求分析 項目建設(shè)背景順德區(qū)行政服務(wù)中心于年月正式運(yùn)行，是提供區(qū)級行政審批服務(wù)的綜合平臺。每年辦理審批業(yè)務(wù)達(dá)到萬筆次。 信息化現(xiàn)狀及存在的問題 網(wǎng)絡(luò)現(xiàn)狀 目前順德行政服務(wù)中心從系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)的劃分可依據(jù)安全域的不同進(jìn)行劃分，即分為與互聯(lián)網(wǎng)相關(guān)的互聯(lián)網(wǎng)接入?yún)^(qū)，如網(wǎng)站、外部前置數(shù)據(jù)庫、文件服務(wù)器、各個與網(wǎng)站相關(guān)的業(yè)務(wù)模塊應(yīng)用系統(tǒng)等，采用防火墻等安全技術(shù)手段與互聯(lián)網(wǎng)進(jìn)行邏5 / 43輯隔離。拓?fù)浣Y(jié)構(gòu)見下圖：、圖：順德區(qū)行政服務(wù)中心網(wǎng)絡(luò)現(xiàn)狀 應(yīng)用現(xiàn)狀（一） 應(yīng)用功能現(xiàn)狀順德區(qū)行政審批管理信息系統(tǒng)（以下簡稱“系統(tǒng)” ）于年開始建設(shè)，年投入使用。其中：臺作為數(shù)據(jù)庫雙機(jī)熱備，臺作為應(yīng)用服務(wù)器，臺作為數(shù)據(jù)交換服務(wù)器和臺數(shù)據(jù)庫作測試用。要滿足這些技術(shù)要求，就必須對現(xiàn)有網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全改造，支撐行政服務(wù)中心為市民和政府部門提供更安全、高效的信息交換平臺。針對此類靜態(tài)數(shù)據(jù)文件的業(yè)務(wù)，需要采用單向或雙向同步的方式，即數(shù)據(jù)同步交換需求。8 / 43第 3 章 可行性分析 技術(shù)可行性分析隨著信息技術(shù)、網(wǎng)絡(luò)技術(shù)、安全技術(shù)和通訊技術(shù)的發(fā)展，更高的處理能力、更深度的安全檢測功能、更高的網(wǎng)絡(luò)帶寬、更低的價格，為我們建設(shè)網(wǎng)絡(luò)安全提供了強(qiáng)大的支持。虛擬防火墻的很多安全功能超過了傳統(tǒng)防火墻。為了實現(xiàn)這一建設(shè)目標(biāo)，行政服務(wù)審批系統(tǒng)的網(wǎng)上申請、網(wǎng)上審批、信息查詢等互聯(lián)網(wǎng)業(yè)務(wù)需要打破互聯(lián)網(wǎng)區(qū)域與政務(wù)審批應(yīng)用服務(wù)系統(tǒng)之間的信息孤島，需要在互聯(lián)網(wǎng)區(qū)域與行政審批應(yīng)用系統(tǒng)之間進(jìn)行安全數(shù)據(jù)交換，建設(shè)成一個數(shù)據(jù)可信、鏈路可信、網(wǎng)絡(luò)可信、應(yīng)用可信、計算可信的具有良好擴(kuò)展性的安全數(shù)據(jù)交換平臺。佛山市順德區(qū)行政服務(wù)中心承載著教育網(wǎng)與電子政務(wù)網(wǎng)兩張網(wǎng)絡(luò)，隨著近幾年互聯(lián)網(wǎng)的快速發(fā)展，目前教育網(wǎng)出口帶寬已達(dá)到，而電子政務(wù)網(wǎng)出口帶寬已達(dá)到，原有出口設(shè)備已承載不了如此大的流量，因此需要對原有出口設(shè)備進(jìn)行升級改造。、統(tǒng)一標(biāo)準(zhǔn)，資源共享按照統(tǒng)一的標(biāo)準(zhǔn)與規(guī)范，加強(qiáng)網(wǎng)絡(luò)基礎(chǔ)、業(yè)務(wù)系統(tǒng)和信息資源建設(shè)與整合，促進(jìn)互聯(lián)互通、信息共享，使有限的資源發(fā)揮最大效益。內(nèi)外網(wǎng)數(shù)據(jù)信息交換的安全原則和要求體現(xiàn)在如下幾個方面：建立統(tǒng)一的安全隔離數(shù)據(jù)交換平臺，業(yè)務(wù)內(nèi)網(wǎng)核心服務(wù)通過統(tǒng)一、唯一出口實現(xiàn)與外部主機(jī)、網(wǎng)絡(luò)間的可信信息交換，統(tǒng)一管理，執(zhí)行統(tǒng)一的安全策略，實現(xiàn)內(nèi)部網(wǎng)信息和外部應(yīng)用數(shù)據(jù)交換的高度可控性。該防護(hù)體系的核心是將原來一張網(wǎng)分離為兩張網(wǎng)，兩網(wǎng)數(shù)據(jù)交換通過強(qiáng)邊界防護(hù)措施實現(xiàn)信息安全防護(hù)，內(nèi)外網(wǎng)再細(xì)化安全域設(shè)計，進(jìn)一步實現(xiàn)各安全域內(nèi)部的防護(hù)措施（如：本項目所涉及的審計產(chǎn)品） ，下面針對本項目核心部分的技術(shù)路線進(jìn)行描述如下：12 / 43 提供七層訪問控制接入平臺功能模塊內(nèi)部含有基于規(guī)范檢查機(jī)制，可實現(xiàn)對協(xié)議包的細(xì)粒度解析和安全檢查，保護(hù)文件傳輸、數(shù)據(jù)庫傳輸包括自定義協(xié)議等協(xié)議傳輸?shù)膶影踩^濾能力?？煽刂平尤胂到y(tǒng)的總流量上限，到上限后不接受新用戶的連接，可設(shè)置單一業(yè)務(wù)的流量上限。可是硬盤是讀寫裝置，很難從硬件上對數(shù)據(jù)流向進(jìn)行控制，因此無法保證數(shù)據(jù)流向的可靠，進(jìn)而無法保證阻止信息攻擊也無法保證檢查的有效性。為了防止驅(qū)動程序被破壞，我們將驅(qū)動程序進(jìn)行了固化，在系統(tǒng)啟動時在內(nèi)存中運(yùn)行。 采用多核平臺硬件芯片實現(xiàn)平臺高性能由于行政服務(wù)中心網(wǎng)絡(luò)分離設(shè)計后內(nèi)外網(wǎng)并發(fā)量、交換流量都非常大，考慮將來的業(yè)務(wù)延展性，需要技術(shù)上保證平臺能實現(xiàn)或接近“實時” 。前置數(shù)據(jù)交換系統(tǒng)進(jìn)行認(rèn)證，認(rèn)證通過后，由安全數(shù)據(jù)交換系統(tǒng)通過私有協(xié)議下載數(shù)據(jù)，通過私有協(xié)議由隔離網(wǎng)閘進(jìn)行數(shù)據(jù)擺渡，后置認(rèn)證服務(wù)器與后置數(shù)據(jù)交換服務(wù)器系統(tǒng)完成認(rèn)證后，繼而由數(shù)據(jù)安全交換系統(tǒng)通過私有協(xié)議上傳到應(yīng)用系統(tǒng)；反之亦然。 數(shù)據(jù)安全交換功能設(shè)計（）結(jié)構(gòu)化數(shù)據(jù)交換? 支持主流數(shù)據(jù)庫交換，如、 、等；? 支持主流操作系統(tǒng)，如、等；? 支持全表同步、增量同步、全表更新以及標(biāo)記同步等功能，可實現(xiàn)增加、刪除、修改等增量的識別和數(shù)據(jù)同步；? 支持一對一、一對多、多對一的同步方式；? 可以針對表中指定的字段或指定字段的特定閥值進(jìn)行條件同步，在標(biāo)記同步模式支持自定義標(biāo)記的字段名稱和字段類型；? 支持 、 、等各大字段類型進(jìn)行同步；? 支持、 、數(shù)據(jù)庫間的異構(gòu)同步，同樣在異構(gòu)環(huán)境中支持大字段數(shù)據(jù)同步，支持全表更新同步、增量更新同步等操作；? 支持單向、雙向同步功能；? 具有數(shù)據(jù)傳輸完整性保障機(jī)制；? 具有詳細(xì)的日志記錄，包括數(shù)據(jù)抽取日志，數(shù)據(jù)加載日志等信息。提供與應(yīng)用系統(tǒng)間的自動對賬功能，能夠?qū)γ咳諗?shù)據(jù)信息進(jìn)行日結(jié)對賬，并自動實現(xiàn)系統(tǒng)間的數(shù)據(jù)補(bǔ)錄，保證應(yīng)用系統(tǒng)信息完整性；?支持通過瀏覽器可以查看應(yīng)用交付拓?fù)浣Y(jié)構(gòu)及應(yīng)用情況；?系統(tǒng)采用圖形化配置界面，提供相關(guān)系統(tǒng)參數(shù)的配置頁面，通過頁面進(jìn)行存儲軟件的配置，配置項包括：基礎(chǔ)參數(shù)、運(yùn)行參數(shù)、數(shù)據(jù)庫連接、服務(wù)等；?系統(tǒng)提供頁面查詢服務(wù)狀態(tài)，可以對服務(wù)的啟動、關(guān)閉、重啟等操作；?系統(tǒng)提供日志查看、下載功能，通過監(jiān)控頁面及時查詢應(yīng)用交付日志信息；?支持用戶權(quán)限管理，支持不同用戶可以使用不同功能； 數(shù)據(jù)安全交換模塊設(shè)計數(shù)據(jù)安全交換系統(tǒng)包含數(shù)據(jù)庫數(shù)據(jù)交換、文件數(shù)據(jù)交換和授權(quán)代理三個模塊體系。參數(shù)包括：傳輸?shù)刂?、傳輸端口、傳輸方式、?yīng)用名、是否可用、源文件目錄、是否刪除源目錄文件、傳輸頻率、文件目標(biāo)目錄。源端開始傳輸文件及文件時戳目標(biāo)端接收文件后，查找是否存在該文件，如果目標(biāo)端存在該比對源端文件時戳和目標(biāo)文件時戳，如果源端時間早，則放棄處理；如果源端時間晚則替換文件；如果不存在則直接寫文件。此種方式適合數(shù)據(jù)量小，實現(xiàn)簡單的同步方式。c) 標(biāo)記同步程序依靠數(shù)據(jù)庫表中指定的字段標(biāo)識數(shù)據(jù)的變化，用戶的程序在修改數(shù)據(jù)庫內(nèi)容時，在該字段中寫入相應(yīng)的內(nèi)容標(biāo)識該條記錄的變化。22 / 43授權(quán)訪問模塊默認(rèn)情況下是關(guān)閉的，及在管理員沒有做配置時是不允許內(nèi)外網(wǎng)之間有訪問的，此處可以根據(jù)需要單獨啟動，應(yīng)用代理可對頁面內(nèi)容進(jìn)行腳本、內(nèi)容、 、控制；支持交互式動態(tài)頁面訪問；支持對用戶的認(rèn)證功能在代理服務(wù)啟動的情況下，同時需要有相應(yīng)的資源，代理用戶，并且資源和代理用戶之間以配置關(guān)聯(lián)關(guān)系，用戶需要在中加入代理服務(wù)器和端口，才能訪問到平臺另外一端的服務(wù)。代理支持基于的應(yīng)用代理，滿足多種基于的應(yīng)用需求。不支持通過走協(xié)議以及非協(xié)議通過，不允許文件傳輸、交互或者數(shù)據(jù)總線通過裝置。即使數(shù)組中包含不可變的對象（如字符串），也要返回一個副本這樣調(diào)用者不能修改數(shù)組中的字符串。（8）無用代碼處理將（除啟動應(yīng)用程序的 () 方法之外的） () 方法、未使用的方法以及死代碼從應(yīng)用程序代碼中除去。按照具體問題具體對待的原則，在確定哪些變量特別重要因而應(yīng)該聲明為 時，應(yīng)該將編碼的方便程度及成本同安全性需要加以比較。25 / 433）為了保護(hù)虛擬機(jī)外的字節(jié)流，可以對序列化包產(chǎn)生的流進(jìn)行加密。所有的方法都能被重寫。 非結(jié)構(gòu)化數(shù)據(jù)交換架構(gòu)設(shè)計針對結(jié)構(gòu)化數(shù)據(jù)交換應(yīng)用場景，可采用內(nèi)外網(wǎng)數(shù)據(jù)安全交換平臺數(shù)據(jù)庫同步功能，功能由內(nèi)網(wǎng)緩存服務(wù)器、應(yīng)用數(shù)據(jù)安全交換單元（內(nèi)網(wǎng)） 、安全隔離網(wǎng)閘、應(yīng)用數(shù)據(jù)安全交換單元（外網(wǎng)） 、外網(wǎng)緩存服務(wù)器實現(xiàn)，結(jié)構(gòu)化數(shù)據(jù)交換主要依托以下邏輯架構(gòu)，如圖所示：外網(wǎng)緩存服務(wù)器外網(wǎng)應(yīng)用系統(tǒng)安全隔離網(wǎng)閘內(nèi)網(wǎng)緩存服務(wù)器內(nèi)網(wǎng)應(yīng)用系統(tǒng)數(shù)據(jù)安全交換平臺 ( 非結(jié)構(gòu)化數(shù)據(jù)交換 )應(yīng)用數(shù)據(jù)安全交換單元（外網(wǎng)）應(yīng)用數(shù)據(jù)安全交換單元（內(nèi)網(wǎng)）圖 . 非結(jié)構(gòu)化數(shù)據(jù)交換結(jié)構(gòu)非結(jié)構(gòu)化數(shù)據(jù)以文件同步方式進(jìn)行內(nèi)外網(wǎng)數(shù)據(jù)交換，文件類型如文檔文件、音視頻文件、辦公文件等主流文件類型，業(yè)務(wù)流程圖可參考下圖所示：28 / 43外網(wǎng)應(yīng)用系統(tǒng) 數(shù)據(jù)安全交換平臺 內(nèi)網(wǎng)應(yīng)用系統(tǒng)（ 2 ） 向外網(wǎng)緩存服務(wù)器寫入文件鏡像數(shù)據(jù) （ F T P 、 S M B ）（ 3 ） 數(shù)據(jù)庫同步 ， 方向可控 ， 支持同構(gòu)異構(gòu) ， 表可控 ， 字段可控（ 5 ） 向內(nèi)網(wǎng)數(shù)據(jù)庫寫入文件鏡像數(shù)據(jù) （ F T P 、 S M B ）內(nèi)網(wǎng)文件服務(wù)器外網(wǎng)文件服務(wù)器（ 1 ） 生成文件數(shù)據(jù) ，寫入外網(wǎng)文件服務(wù)器（ 4 ） 從內(nèi)網(wǎng)緩存服務(wù)器讀取文件鏡像數(shù)據(jù) （ F T P 、 S M B ）圖 . 非結(jié)構(gòu)化數(shù)據(jù)交換流程流程描述如下：1) 外網(wǎng)應(yīng)用系統(tǒng)生成文件數(shù)據(jù)，寫入外網(wǎng)文件服務(wù)器，同時把需要同步的文件（以下稱“文件鏡像數(shù)據(jù)”）寫入外網(wǎng)緩存服務(wù)器；2) 數(shù)據(jù)安全交換平臺完成文件同步，把“ 文件鏡像數(shù)據(jù)”同步到內(nèi)網(wǎng)緩存服務(wù)器； 3) 內(nèi)網(wǎng)應(yīng)用系統(tǒng)從內(nèi)網(wǎng)緩存服務(wù)器讀取“ 文件鏡像數(shù)據(jù)”并把文件數(shù)據(jù)寫入內(nèi)網(wǎng)文件服務(wù)器；4) 反之亦然。? 靈活高效的帶寬管理功能可以提供智能應(yīng)用識別( )功能，稱為。30 / 43將角色鑒別以及 結(jié)合使用，可以很容易地為關(guān)鍵用戶控制流量并區(qū)分流量優(yōu)先級。例如，對于同一個地址產(chǎn)生的不同流量，用戶可以基于應(yīng)用分類結(jié)果指定流量的優(yōu)先級。虛擬防火墻具有如下技術(shù)特點：　每個虛擬防火墻獨立維護(hù)一組安全區(qū)域；　每個虛擬防火墻獨立維護(hù)一組資源對象（地址地址組，服務(wù)服務(wù)組等） ；　每個虛擬防火墻獨立維護(hù)自己的包過濾策略；　每個虛擬防火墻獨立維護(hù)自己的策略、策略、策略；　可限制每個虛擬防火墻占用資源數(shù)，如防火墻以及 數(shù)目。隨著業(yè)務(wù)的發(fā)展，當(dāng)用戶業(yè)務(wù)劃分發(fā)生變化或者產(chǎn)生新的業(yè)務(wù)部門時，可以通過添加或者減少防火墻實例的方式十分靈活的解決后續(xù)網(wǎng)絡(luò)擴(kuò)展問題，在一定程度上降低了網(wǎng)絡(luò)安全部署的復(fù)雜度。 同 時 提 供 集 中 化 的 統(tǒng) 一 管 理 平 臺 ， 將 所 有 的日 志 信 息 收 集 到 平 臺 中 ， 實 現(xiàn) 信 息 資 產(chǎn) 的 統(tǒng) 一 管 理 、 監(jiān) 控 資 產(chǎn) 的 運(yùn) 行 狀 況 ， 協(xié)助 用 戶 全 面 審 計 信 息 系 統(tǒng) 整 體 安 全 狀 況 。通信服務(wù)器可以接收多個采集器的日志；在32 / 43平臺尚未支持統(tǒng)一日志格式時，能夠根據(jù)要求，將定義的統(tǒng)一日志轉(zhuǎn)換為所需要的日志格式。集中配置管理系統(tǒng)支持分布式部署，可以在中心平臺進(jìn)行各種管理規(guī)則，各種配置策略自動分發(fā)，支持遠(yuǎn)程自動升級等，極大的降低了分布式部署的難度，提高了可管理性。33 / 43標(biāo)準(zhǔn)化日志各種安全事件日志(攻擊、入侵、異常)、各種行為事件日志(內(nèi)控、違規(guī))、各種弱點掃描日志(弱點、漏洞)、各種狀態(tài)監(jiān)控日志(可用性、性能、狀態(tài))、安全視角的事件描述：事件目標(biāo)對象歸類、事件行為歸類、事件特征歸類、事件結(jié)果歸類、攻擊分類、檢測設(shè)備歸類。 硬件系統(tǒng)采用模塊結(jié)構(gòu)，保證系統(tǒng)內(nèi)存、及儲存容量的擴(kuò)展；硬件配置的升級不會引起軟件的修改和開發(fā)；每個組件都可以橫向擴(kuò)展，通過增加設(shè)備滿足業(yè)務(wù)需求。數(shù)據(jù)安全交換系統(tǒng)（前置）臺設(shè)備包含個以太網(wǎng)接口，個獨立帶外管理接口和個 接口，系統(tǒng)吞吐量≥，并發(fā)數(shù)≥，平均無故障工作時間＞。綜合日志審計系統(tǒng)臺個工作口，個管理口，個口；硬盤容量，可擴(kuò)展為；日志容量：億條,網(wǎng)絡(luò)流量：；：秒單獨工作時個日志源作為中心使用時個日志源綜合日志審計系統(tǒng)臺個工作口，個管理口，個口；硬盤容量；日志容量：億條,網(wǎng)絡(luò)流量：；：秒同一局域網(wǎng)內(nèi)臺許可，建議個日志源 技術(shù)力量和人員配置本項目的維護(hù)工作由系統(tǒng)集成商完成。、隨時解答各種問題，以服務(wù)熱線形式提供服務(wù)。 快速現(xiàn)場服務(wù)在維護(hù)期內(nèi)，系統(tǒng)驗收前