【正文】 CPU:Intel x86,CompatiblesCPU:Alpha CPU,CompatiblesCPU:IBM CPU,CompatiblesCPU:HP CPU,CompatiblesCPU:Sparc CPU,CompatiblesIntranet/Extranet Server,Proxy ServerCPU:x86 主頻500Mhz 以上CPU:Intel x86,Compatibles在安全策略的實(shí)施過程中，我們先采用TEST模式，就可以檢查設(shè)置的安全策略是否會(huì)影響業(yè)務(wù)的正常運(yùn)行，是否真正保障系統(tǒng)的安全等等?？梢燥@示遠(yuǎn)程站點(diǎn)的系統(tǒng)信息：n 遠(yuǎn)程系統(tǒng)信息n 遠(yuǎn)程系統(tǒng)磁盤信息n 網(wǎng)絡(luò)狀態(tài)n 系統(tǒng)信息n 登錄信息(reboot, shutdown 等)黑客侵入系統(tǒng)后試圖通過非法結(jié)束系統(tǒng)，如關(guān)機(jī)或重啟的方式，來導(dǎo)致系統(tǒng)不能正常工作，SNUMEN 可以防止未經(jīng)授權(quán)的超級(jí)用戶中斷系統(tǒng)，只有獲得認(rèn)證的用戶才能結(jié)束系統(tǒng)。SNUMEN可以同時(shí)管理不同操作系統(tǒng)的服務(wù)器，并且在不同操作系統(tǒng)中功能完全一致，顯示了良好的跨平臺(tái)性。并且SNUMEN支持各種第三方安全審計(jì)軟件。日志審計(jì)和日志管理對(duì)于IBM服務(wù)器會(huì)起到重要作用，SNUMEN擁有獨(dú)立的日志審計(jì)系統(tǒng)，通過方便的檢索可以方便安全管理員的工作。這時(shí)，網(wǎng)絡(luò)級(jí)IPS不會(huì)對(duì)這個(gè)用戶的任何操作做出響應(yīng)，因?yàn)樗恰罢！钡卿?。同時(shí)，如果網(wǎng)絡(luò)IPS規(guī)則應(yīng)對(duì)不好，還會(huì)造成大量的合法IP地址被屏蔽。在報(bào)警條件中添加相應(yīng)的報(bào)警規(guī)則，SNUMEN可對(duì)入侵行為和違反安全策略的用戶（程序）進(jìn)行阻斷。c)限制用戶的登錄段SNUMEN可以對(duì)用戶的登錄時(shí)間段進(jìn)行限制，這些策略包括用戶在一周中的哪天可以登錄，一天中的某個(gè)時(shí)間段可以登錄，以及某個(gè)特定的時(shí)間段可以登錄。SNUMEN 提供對(duì)登錄服務(wù)的限制，這些服務(wù)包括 ”telnet”、 ”ftp”、 ”rlogin”、”dtlogin”。通過SNUMEN向用戶頒發(fā)的數(shù)字簽名證書，只有通過數(shù)字簽名證書認(rèn)證的用戶可以使用特權(quán)程序。 控制－特權(quán)程序控制控制執(zhí)行文件時(shí)UID變化的文件。 如果對(duì)運(yùn)行這種程序所需的文件設(shè)置了訪問權(quán)限，程序無(wú)法被訪問，因此會(huì)無(wú)法正常運(yùn)行。被保護(hù)的進(jìn)程可以正?；虍惓Ｍ顺觯遣荒鼙环鞘跈?quán)的用戶(包括root)殺死。傳統(tǒng)的Unix沒有對(duì)進(jìn)程的保護(hù)措施。進(jìn)程被SNUMEN 保護(hù)后， 除通過電子簽名認(rèn)證過程并取得認(rèn)證的安全管理員之外，任何人都無(wú)法停止相應(yīng)程序的運(yùn)行。（c）多樣的Operation Control 功能(控制17個(gè)以上的 Permission)，控制17個(gè)以上的訪問控制。限制訪問資產(chǎn)的方式。SNUMEN 可以控制多達(dá)17種的系統(tǒng)調(diào)用，SNUMEN將對(duì)照相應(yīng)的列表實(shí)現(xiàn)對(duì)用戶的控制。n 創(chuàng)建的用戶名至少與其他用戶名有多少個(gè)字符的區(qū)別。n 密碼中出現(xiàn)的數(shù)字的最少數(shù)量。n 試圖更改密碼的次數(shù)。這些口令質(zhì)量控制規(guī)則如下：n 一旦口令被更改，那么該口令將在多少時(shí)間內(nèi)不允許再次更改。SNUMEN在內(nèi)核層基于證書進(jìn)行認(rèn)證，提高安全強(qiáng)度，所以為控制安全管理員配置的文件要用安全管理員發(fā)行的證書得到認(rèn)證。SNUMEN通過接管系統(tǒng)所有訪問控制權(quán)限，實(shí)際上取消了“超級(jí)用戶”（root）權(quán)限，通過使用數(shù)字簽名證書認(rèn)證機(jī)制，達(dá)到用戶認(rèn)證目的。嚴(yán)格分開系統(tǒng)管理員和安全管理員的權(quán)限，以控制系統(tǒng)管理員的權(quán)限，來防止內(nèi)外人員通過非法獲得系統(tǒng)管理員權(quán)限破壞文件系統(tǒng)信息。SNUMEN是國(guó)內(nèi)第一家自主知識(shí)產(chǎn)權(quán)支持跨平臺(tái)的系統(tǒng)保護(hù)（安全操作系統(tǒng)）產(chǎn)品，SNUMEN能夠提升每個(gè)系統(tǒng)的安全性，以滿足整個(gè)業(yè)務(wù)的安全需求。除此之外，在服務(wù)器安裝SNUMEN后，系統(tǒng)無(wú)需重啟，避免了服務(wù)器重啟所產(chǎn)生的不必要損失。但是單獨(dú)的口令不能帶來充分的保護(hù)，它們很容易被共享和猜出來。 產(chǎn)品特色及功能當(dāng)防火墻、入侵檢測(cè)、VPN等網(wǎng)絡(luò)級(jí)安全產(chǎn)品不能滿足日益受到威脅的內(nèi)網(wǎng)核心安全時(shí)，SNUMEN作為系統(tǒng)級(jí)系統(tǒng)保護(hù)產(chǎn)品可以保證內(nèi)網(wǎng)核心服務(wù)器的安全。系統(tǒng)入侵檢測(cè)產(chǎn)品作為應(yīng)用層產(chǎn)品出于本身安全性考慮以及功能上無(wú)法到達(dá)系統(tǒng)保護(hù)的功能。當(dāng)用戶或程序執(zhí)行一個(gè)與安全有關(guān)的系統(tǒng)調(diào)用時(shí)，SNUMEN系統(tǒng)調(diào)用代碼會(huì)檢查SNUMEN數(shù)據(jù)庫(kù)。 技術(shù)原理信達(dá)的SNUMEN作為操作系統(tǒng)級(jí)系統(tǒng)保護(hù)產(chǎn)品，是在不改變操作系統(tǒng)內(nèi)核的情況下，對(duì)核心服務(wù)器進(jìn)行保護(hù)。目前常見的IBM服務(wù)器解決措施：主要采用防火墻、入侵檢測(cè)系統(tǒng)、防病毒等安全產(chǎn)品。在具備這些品質(zhì)的基礎(chǔ)之上，p5570 旨在以合理的成本為任何規(guī)模的企業(yè)提供企業(yè)級(jí)的隨需應(yīng)變計(jì)算能力，而且不會(huì)降低可用性、性能或安全性。 CoD 開關(guān)使得公司能夠根據(jù)需要每隔一天激活一次處理器或內(nèi)存。 試用 CoD 提供了一次性的無(wú)需額外費(fèi)用的 30 天試用期，它允許客戶使用其服務(wù)器上未處于活動(dòng)狀態(tài)的處理器容量。共享的處理器池能夠在分配給共享池的分區(qū)之間，不間斷地自動(dòng)均衡處理能力，從而提高了吞吐量和利用率。動(dòng)態(tài)邏輯分區(qū)幫助分配系統(tǒng)資源（處理器、內(nèi)存和 I/O）以便對(duì)不斷變化的工作負(fù)載需求進(jìn)行更快的且不間斷的響應(yīng)。 入門級(jí)系統(tǒng)帶來突破性技術(shù)。另外，在單個(gè) HPC 群集中可以包含多達(dá) 64 個(gè) p5570 系統(tǒng)。構(gòu)建塊模塊通過具有全總線速度的獨(dú)特電纜系統(tǒng)相連接。這些功能還有助于提高處理器和系統(tǒng)組件的系統(tǒng)利用率，從而允許企業(yè)以較小的系統(tǒng)滿足他們的計(jì)算需求。p5570 基于具有同步多線程、獨(dú)特的可伸縮性和構(gòu)建塊封裝技術(shù)的 IBM POWER5? 處理器，非常適合于服務(wù)器整合項(xiàng)目、數(shù)據(jù)庫(kù)與應(yīng)用程序服務(wù)、電子商務(wù)以及部門或地區(qū)服務(wù)器的部署。每模塊 2 個(gè)集成的內(nèi)部 Ultra320 SCSI 控制器（可選 RAID）（每 16 路 8 個(gè) Ultra320 控制器）?2GB 到 256GB ? 硬件摘要?多達(dá) 20 個(gè)可選的 I/O 擴(kuò)展抽屜?64 位 POWER6? 處理器的技術(shù)? 為用戶可編寫的CLUSTERAWARE的應(yīng)用提供64位‘CLIENT INFO’編程接口216。 新增應(yīng)用可靠性分析工具，使用戶可更好的衡量系統(tǒng)和應(yīng)用的“有效運(yùn)行時(shí)間”216。IP alias的使用去掉了以前版本中的service IP的數(shù)量不能超過物理網(wǎng)卡的數(shù)量的限制。3. 不需要定義HWAT(hardware address takeover)。 高可用性減少了由已知事件和意外事件引起的運(yùn)行中斷在HACMP/ES 5版本中，提供了新增功能 IPAT through IP aliasing，對(duì)我們十分有用。 增強(qiáng)的客戶尋呼功能支持216。 為HAView 和HATivoli集群管理提供了更高的安全性216。216。HACMP是利用網(wǎng)絡(luò)來偵測(cè)主機(jī)及網(wǎng)卡的狀況，搭配AIX所提供的硬盤鏡向等功能，在主機(jī)、網(wǎng)卡、硬盤控制卡、硬盤或網(wǎng)絡(luò)發(fā)生故障時(shí)，自動(dòng)切換到另一套備用元件上重新工作；若是主機(jī)故障還切換至備份機(jī)上繼續(xù)應(yīng)用系統(tǒng)的運(yùn)行。HACMP簡(jiǎn)介各廠商現(xiàn)有的UNIX服務(wù)器一般都擁有很高的可靠性，在這一點(diǎn)上IBM的P系列服務(wù)器表現(xiàn)尤為突出。當(dāng)整個(gè)節(jié)點(diǎn)發(fā)生故障時(shí)，HACMP將故障節(jié)點(diǎn)的serviceIPaddress轉(zhuǎn)移到備份節(jié)點(diǎn)上，使網(wǎng)絡(luò)上的client仍然使用這個(gè)IP地址，這個(gè)過程稱為IP地址接管(IPAT)，如下圖所示。u 網(wǎng)絡(luò)故障如果發(fā)往nodeA上的service和standby網(wǎng)卡上的KA包全都丟失，而RS232上的KA仍然存在，那么HACMP斷定nodeA仍然正常，是網(wǎng)絡(luò)發(fā)生故障。其過程如下圖所示。如下圖所示，一旦節(jié)點(diǎn)加入了cluster（即該節(jié)點(diǎn)上的HACMP已正常運(yùn)行），該節(jié)點(diǎn)上的各個(gè)網(wǎng)卡、RS232串口和TargetModeSSA或SCSI就會(huì)不斷地接收并發(fā)送KeepAlive信號(hào)包，KA的參數(shù)是可調(diào)的，針對(duì)以太網(wǎng)，當(dāng)處于normal狀態(tài)時(shí)，如果12個(gè)包丟失后HACMP確認(rèn)對(duì)方網(wǎng)卡、或網(wǎng)絡(luò)、或節(jié)點(diǎn)發(fā)生故障。非TCP/IP網(wǎng)絡(luò)用來為HACMP對(duì)cluster中的各節(jié)點(diǎn)進(jìn)行監(jiān)控而提供的一個(gè)替代TCP/IP的通訊路徑，它可以是用RS232將各節(jié)點(diǎn)連接起來，也可以是將各節(jié)點(diǎn)的SCSI卡或SSA卡設(shè)置成TargetMode方式。下面詳細(xì)介紹IBM的HACMP的工作原理及應(yīng)用范圍。在全球范圍已安裝幾萬(wàn)套，在中國(guó)也有數(shù)千套的安裝量。. 數(shù)據(jù)庫(kù)系統(tǒng)HACMP架構(gòu)設(shè)計(jì)IBM的高可用性群集多處理（HACMP）是一種可以將RS/6000服務(wù)器連接起來的高可用的群集的應(yīng)用。Linux和WindowsSNUMEN是國(guó)內(nèi)一家自主知識(shí)產(chǎn)權(quán)支持跨平臺(tái)的系統(tǒng)保護(hù)（安全操作系統(tǒng)）產(chǎn)品，它在操作系統(tǒng)的安全功能之上提供了一個(gè)安全保護(hù)層，通過從內(nèi)核層截取文件訪問控制方式，加強(qiáng)操作系統(tǒng)安全性。安裝與卸載安裝不修改操作系統(tǒng)內(nèi)核，安裝與卸載不需重啟系統(tǒng)?！锇踩阅芴峁┒褩Ｒ绯霰Ｗo(hù)功能，以抵御常見的緩沖區(qū)溢出攻擊；提供主機(jī)防火墻與入侵防護(hù)功能，支持對(duì)TCP、UDP以及ICMP協(xié)議的雙向過濾，能夠識(shí)別入侵行為或違反安全策略的操作，并自動(dòng)做出阻斷、報(bào)警等響應(yīng)；提供口令質(zhì)量控制功能，可以限制口令的最大最小長(zhǎng)度、特殊字符的最少數(shù)量、口令使用期限等屬性。l 提供小型機(jī)和內(nèi)網(wǎng)核心系統(tǒng)防護(hù)軟件的原廠商安裝服原。l 按光纖存儲(chǔ)、局域網(wǎng)接口數(shù)量及規(guī)格配置長(zhǎng)度不小于15米的光纖連接線。l 小型機(jī)TPCC值必須是網(wǎng)站公開發(fā)布的測(cè)試值，如所投標(biāo)機(jī)型無(wú)測(cè)試，則以該產(chǎn)品同等次機(jī)型為依據(jù)，并按線性推算。小型機(jī)采購(gòu)項(xiàng)目技術(shù)方案 第54頁(yè)小型機(jī)采購(gòu)項(xiàng)目技術(shù)建議書目 錄1. 概述 12. 總體技術(shù)要求 13. 技術(shù)建議方案 3. 小型機(jī)選型 3. 內(nèi)網(wǎng)核心系統(tǒng)防護(hù)軟件選型 4. 數(shù)據(jù)庫(kù)系統(tǒng)HACMP架構(gòu)設(shè)計(jì) 5. IBM Power 570（9117MMA）介紹 10 一般特性 10 硬件摘要 11 P5 570規(guī)格 15. SNUMEN系統(tǒng)簡(jiǎn)介 17 產(chǎn)品背景 17 技術(shù)原理 18 產(chǎn)品特色及功能 18 SNUMEN系統(tǒng)功能 20 系統(tǒng)運(yùn)行環(huán)境 28. 服務(wù)器配置清單 294. 項(xiàng)目實(shí)施及驗(yàn)收 33 項(xiàng)目實(shí)施計(jì)劃 33 項(xiàng)目實(shí)施計(jì)劃原則 33 項(xiàng)目實(shí)施計(jì)劃要求 33 項(xiàng)目組人員 34 項(xiàng)目實(shí)施內(nèi)容 34 項(xiàng)目實(shí)施進(jìn)度 35 系統(tǒng)測(cè)試及驗(yàn)收 35 系統(tǒng)測(cè)試 35 系統(tǒng)驗(yàn)收 35 培訓(xùn)計(jì)劃 36 培訓(xùn)目標(biāo) 37 培訓(xùn)內(nèi)容 375. 技術(shù)支持及售后服務(wù)體系 40 服務(wù)目的 40 服務(wù)內(nèi)容 40 保修范圍 41 保修方式 42 故障響應(yīng)時(shí)間 42 針對(duì)中煙小型機(jī)采購(gòu)項(xiàng)目的售后服務(wù)承諾 43 43 44 50 產(chǎn)品保修詳細(xì)列表 516. 機(jī)房環(huán)境 52. 機(jī)房環(huán)境要求 52. 機(jī)房電氣及承重要求 52. 機(jī)房通訊要求 52. 機(jī)房工作環(huán)境要求 52. 機(jī)房裝機(jī)前要求 53 1. 概述某有限責(zé)任公司本次招標(biāo)的品目二中擬采購(gòu)2臺(tái)小型機(jī)及服務(wù)，并且在2臺(tái)小型機(jī)上部署2套內(nèi)網(wǎng)核心系統(tǒng)防護(hù)軟件。l 所提供的2臺(tái)小型機(jī)必須為同一品牌，且所配置的CPU、內(nèi)存、I/O接口卡、磁帶機(jī)、光驅(qū)必須為同一型號(hào)規(guī)格，其組件必須支持互換。l 所有設(shè)備必須為標(biāo)準(zhǔn)19英寸機(jī)架設(shè)備，必須配置小型機(jī)原廠標(biāo)準(zhǔn)42U機(jī)柜，機(jī)柜內(nèi)部必須提供至少兩路電源，單個(gè)機(jī)柜（含安裝在內(nèi)部的小型機(jī)等設(shè)備）總重量不得超過10u00公斤，機(jī)柜接入電源必須為220V交流電源。l 投標(biāo)人應(yīng)明確說明硬件設(shè)備的接地要求、接地方式、供電方式、環(huán)境溫度、濕度及其他相關(guān)要求。. 內(nèi)網(wǎng)核心系統(tǒng)防護(hù)軟件選型內(nèi)網(wǎng)核心系統(tǒng)防護(hù)軟件★指標(biāo)必須滿足,否則視為廢標(biāo)招標(biāo)要求★數(shù)量2套★權(quán)限控制支持基于數(shù)字簽名的強(qiáng)身份認(rèn)證，接管系統(tǒng)原有的訪問控制權(quán)限機(jī)制，接管root賬戶的權(quán)限，支持依據(jù)用戶、組、文件、任務(wù)、權(quán)限等配置安全策略，支持對(duì)用戶操作權(quán)限進(jìn)行細(xì)致劃分，控制每個(gè)用戶所使用的資源。操作系統(tǒng)平臺(tái)支持Linux、Solaris、HPUX、AIX、Compaq Tru6Windows。其它界面友好，易于安裝、配置和管理；提供中文文檔資料。Tru64以及RedHat在本次中煙采購(gòu)的兩臺(tái)P570小型機(jī)上，我們推薦部署的是信達(dá)公司的SNUMEN做為內(nèi)網(wǎng)核心系統(tǒng)防護(hù)軟件。HACMP是IBM在92年推出的軟件技術(shù)。可以相信，在本次項(xiàng)目建設(shè)中，IBM 的HACMP一定能滿足客戶的應(yīng)用需求。TCP/IP網(wǎng)絡(luò)即client訪問的公共網(wǎng)，如果是一個(gè)并行數(shù)據(jù)庫(kù)環(huán)境，那么還必需一個(gè)不允許client訪問的私網(wǎng)，用以lockmanager對(duì)數(shù)據(jù)進(jìn)行協(xié)同工作。u 網(wǎng)卡故障在HACMP的群集結(jié)構(gòu)中，除了TCP/IP網(wǎng)絡(luò)以外，還有一個(gè)非TCP/IP網(wǎng)絡(luò)，即通過RS232串口連接，它實(shí)際上是一根“心跳”線，專門用來診測(cè)是節(jié)點(diǎn)死機(jī)還是僅僅是網(wǎng)絡(luò)發(fā)生故障。此時(shí)nodeA上的clustermanager(HACMP的“大腦”)會(huì)產(chǎn)生一個(gè)swapadapter的事件，并執(zhí)行該事件的script（HACMP中提供了大部分通用事件的scripts，它們是用標(biāo)準(zhǔn)的AIX命令和HACMP工具來寫的）。網(wǎng)卡互換(swapadapter)通常在幾秒內(nèi)就可完成，以太網(wǎng)為3秒，并且這種轉(zhuǎn)換對(duì)應(yīng)用和client來說是透明的，只發(fā)生延遲但連接并不中斷。此時(shí)將有資源的接管發(fā)生，即放在共享磁盤陳列上的資源將由備份節(jié)點(diǎn)接管，接管包括一系列操作：Aquiredisks，VaryonVG，Mountfilesystems，ExportNFSfilesystems，AssumeIPnetworkAddress，Restarthighlyavailableapplications，其中，IP地址接管