【文章內(nèi)容簡介】 方式，降低改造成本、實現(xiàn)建設過程從繁亂到有序，帶來更簡化的建設方式，降低運維難度、實現(xiàn)整體體系從封閉到開放，形成更良性的運營環(huán)境，增加信息化生態(tài)的可持續(xù)性。校園服務總線建設內(nèi)容如下：服務集成工具：采用高性能、高可用性的商業(yè)中間件，解決異構系統(tǒng)集成時相互調(diào)用的協(xié)議、格式不同的轉換問題，解決大并發(fā)情況下服務負載、服務緩存的問題，并實現(xiàn)服務流程的可視化編排，保證服務調(diào)用、服務交互時的穩(wěn)定性和安全性。服務注冊工具：校園服務總線需要提供接口供開發(fā)人員注冊服務，僅需提供服務的相關元信息及WSDL文件，即可實現(xiàn)注冊步驟。而WSDL文件格式的基本驗證部分需要自動完成，后期將要求服務提供者附加范例代碼。其中的從屬系統(tǒng)標簽則用于服務分組。對于restful形式的服務，需要提供詳細的參數(shù)信息或提供對于restful服務的輸入和輸出實例實現(xiàn)注冊。服務查看與搜索：對于服務的操作及其參數(shù)信息，校園服務總線提供頁面展示服務詳細信息。對于服務的搜索，平臺會提供服務分類的基礎模板，系統(tǒng)管理員可以對其進行擴展，第三方可根據(jù)服務分類進行搜索。注冊狀態(tài)查看：校園服務總線具有一定的開放性，但并不代表所有的服務都可注冊上來，所以注冊服務的過程需要人工審核的步驟。而開發(fā)人員則可在注冊狀態(tài)查看功能模塊查看到已注冊服務的當前狀態(tài)（審核通過、未審核、審核中）申請服務授權：校園服務總線提供接口供開發(fā)人員為所開發(fā)應用申請服務的授權，申請以應用為單位。在該頁面，開發(fā)人員可看到所有服務的列表，僅需簡單勾選，即可實現(xiàn)申請步驟。API服務監(jiān)控：校園服務總線提供對平臺及服務所運行服務器的監(jiān)控功能?？紤]到平臺本身的運行狀態(tài)對其上運行的服務及應用有著極重要的影響，對其的監(jiān)控必不可少，但對高校硬件的監(jiān)控本就存在一套體系，所以校園服務總線僅提供平臺硬件的關鍵性能監(jiān)控，即對校園服務總線運行起關鍵性影響的指標（如CPU占用和內(nèi)存使用情況）服務注冊審核：系統(tǒng)管理員根據(jù)服務注冊信息來確定是否審核通過該服務的注冊，比如考慮該服務的功能是否合理，后期還將考慮該服務是否應該注冊在該系統(tǒng)下。提供給系統(tǒng)管理員的信息具體包括服務名稱、服務所屬應用/模塊、接口人等。當前審核狀態(tài)則包括審核中和未審核。 信息化數(shù)據(jù)中心安全建設內(nèi)容云計算系統(tǒng)具有傳統(tǒng)IT系統(tǒng)的一些特點，從上面的安全域劃分結果可以看到，其在外部接口層、核心交換層的安全域劃分是基本相同的，針對這些傳統(tǒng)的安全區(qū)域仍舊可以采用傳統(tǒng)的安全措施和方法進行安全防護。如下圖所示：當然，從上面的安全域劃分結果可以看到，相對于傳統(tǒng)的網(wǎng)絡與信息系統(tǒng)來講，云平臺由于采用了虛擬化技術，在計算服務層、資源層的安全域劃分與傳統(tǒng)IT系統(tǒng)有所不同，這主要體現(xiàn)在虛擬化部分，即生產(chǎn)區(qū)、非生產(chǎn)區(qū)、管理區(qū)、支撐服務區(qū)、堡壘區(qū)、DMZ區(qū)等。這里主要論述和說明生產(chǎn)區(qū)的安全建設。非生產(chǎn)區(qū)和管理區(qū)、DMZ區(qū)類似，不在累贅說明： 數(shù)據(jù)中心業(yè)務生產(chǎn)區(qū)安全生產(chǎn)區(qū)部署了虛擬化主機、軟件平臺、應用層，應基于虛擬化技術實現(xiàn)，因此其安全防護應考慮虛擬化安全、網(wǎng)絡安全、主機安全、應用安全、數(shù)據(jù)安全等內(nèi)容。虛擬化安全虛擬化安全主要涉及虛擬化組件及其管理的安全，包括了虛擬化操作系統(tǒng)、虛擬化交換機、虛擬主機、虛擬存儲及虛擬化安全管理系統(tǒng)的安全。網(wǎng)絡安全網(wǎng)絡安全主要涉及防火墻、異常流量檢測和清洗、網(wǎng)絡入侵檢測、惡意代碼防護、VPN接入、安全審計等內(nèi)容。防火墻及邊界防護安全域需要隔離，并需要采取訪問控制措施對安全域內(nèi)外的通信進行有效管控。通常可采用的措施有VLAN、網(wǎng)絡設備ACL、防火墻、IPS設備等，這里主要對防火墻的功能、部署進行說明網(wǎng)絡異常流量監(jiān)測與分析云計算中心部署的應用和業(yè)務非常豐富，如基于流媒體的音視頻服務， VPN業(yè)務等等，必然會受到各種網(wǎng)絡攻擊，如DDOS，進而出現(xiàn)大量異常流量。在這種流量成分日益復雜，異常流量海量涌現(xiàn)的情況下，對網(wǎng)絡流量進行實時監(jiān)測和分析，從而全面了解流量的各種分布以及變化趨勢就顯得十分必要了。流量統(tǒng)計分析 流量統(tǒng)計分析的任務是實時監(jiān)控進出云計算中心流量的地域分布，應用組成分布、變化趨勢，并生成相應的統(tǒng)計報表。統(tǒng)計對象的粒度可以為IP地址、IP地址段、用戶（用IP地址或地址段的組合來定義）。流量的地域分布顯示對某個主機（或地址段、用戶）的訪問流量來自哪些地域。流量統(tǒng)計結果對流量工程具有很重要的參考價值。應用組成分布顯示云計算中心內(nèi)部各種業(yè)務的開展情況，結合地域分布的信息，也可以指導流量工程。流量的變化趨勢顯示流量隨時間的變化規(guī)律以及峰值時段對帶寬的占用情況，這些數(shù)據(jù)有助于進行云計算中心容量規(guī)劃。雙向異常流量監(jiān)測 異常網(wǎng)絡流量分析系統(tǒng)應對網(wǎng)絡中的由內(nèi)至外、由外至內(nèi)的流量進行雙向監(jiān)測，即可監(jiān)測外發(fā)異常流量，也可監(jiān)測外來異常流量； 異常流量定位 異常網(wǎng)絡流量分析系統(tǒng)應對網(wǎng)絡中的流量進行持續(xù)監(jiān)控和實時分析，并對異常流量進行及時的發(fā)現(xiàn)、告警和定位，使網(wǎng)管人員能夠準確的發(fā)現(xiàn)異常流量進入網(wǎng)絡的端口和攻擊目標；異常流量分析 對于云平臺，其數(shù)據(jù)流量較大，且內(nèi)置的虛擬交換機可以直接輸出Netflow數(shù)據(jù)流，因此建議在云計算中心采用基于流（FLOW）信息的流量分析產(chǎn)品。網(wǎng)絡入侵檢測云計算對外提供服務，完全面向互聯(lián)網(wǎng)，所面臨的威脅被無限放大，在云計算中心網(wǎng)絡出口采用入侵檢測機制，收集各種信息，由內(nèi)置的專家系統(tǒng)進行分析，發(fā)現(xiàn)其中潛在的攻擊行為。由網(wǎng)絡入侵檢測系統(tǒng)捕獲分析網(wǎng)絡中的所有報文，發(fā)現(xiàn)其中的攻擊企圖，根據(jù)事先制定的策略通知管理員或自行采取保護措施。應用安全Web應用防護云計算中心一般都是采用Web的方式來對外提供各類服務，特別是在Web ，75%以上的攻擊都瞄準了網(wǎng)站（Web）。這些攻擊可能導致云計算服務提供商遭受聲譽和經(jīng)濟損失，可能造成惡劣的社會影響。Web應用防護技術通過深入分析和解析HTTP的有效性、提供安全模型只允許已知流量通過、應用層規(guī)則、基于會話的保護，可檢測應用程序異常情況和敏感數(shù)據(jù)（如信用卡、網(wǎng)銀帳號等）是否正在被竊取，并阻斷攻擊或隱蔽敏感數(shù)據(jù)，保護云計算平臺的Web服務器，確保云計算平臺Web應用和服務免受侵害。數(shù)據(jù)安全對于數(shù)據(jù)安全，需要涉及數(shù)據(jù)的產(chǎn)生、傳輸、存儲、使用、遷移、銷毀以及備份和恢復的全生命周期，并在數(shù)據(jù)的不同生周期階段采用數(shù)據(jù)分類分級、標識、加密、審計、擦除等手段。另外，在采用了這些基礎防護技術措施之外，還應考慮數(shù)據(jù)庫審計、數(shù)據(jù)防泄露以及數(shù)據(jù)庫防火墻的手段，最大限度地保證云平臺中的數(shù)據(jù)安全。 數(shù)據(jù)中心運維管理區(qū)云平臺的管理運維人員、第三方運維人員以及租戶需要多云計算平臺的主機、應用及網(wǎng)絡設備進行管理、維護操作。為了發(fā)現(xiàn)和防止不當操作、越權操作的發(fā)生，需要對此類用戶進行認證、授權、訪問控制和審計。堡壘機就是完成上述功能的關鍵設備，典型應用場景如下圖所示：功能堡壘機可以提供一套先進的運維安全管控與審計解決方案，目標是幫助云計算中心運維人員轉變傳統(tǒng)IT 安全運維被動響應的模式，建立面向用戶的集中、主動的運維安全管控模式，降低人為安全風險，滿足合規(guī)要求，保障企業(yè)效益，主要實現(xiàn)功能如下：? 集中賬號管理 建立基于唯一身份標識的全局實名制管理，支持統(tǒng)一賬號管理策略，實現(xiàn)與各服務器、網(wǎng)絡設備等無縫連接；? 集中訪問控制 通過集中訪問控制和細粒度的命令級授權策略，基于最小權限原則，實現(xiàn)集中有序的運維操作管理，讓正確的人做正確的事；? 集中安全審計 基于唯一身份標識，通過對用戶從登錄到退出的全程操作行為進行審計，監(jiān)控用戶對目標設備的所有敏感操作，聚焦關鍵事件，實現(xiàn)對安全事件地及時發(fā)現(xiàn)預警，及準確可查 信息化系統(tǒng)管端安全建設內(nèi)容 安全設計根據(jù)多年的教育行業(yè)信息系統(tǒng)安全實踐經(jīng)驗，在深入理解國家法律法規(guī)和行業(yè)標準要求的基礎下，結合對客戶業(yè)務應用及安全技術的研究，為學?？偨Y出“網(wǎng)關控制+內(nèi)部安全管理”的合規(guī)信息系統(tǒng)管端管理安全方法論，來指導高校信息系統(tǒng)安全體系的建設。在此次方案中我們?yōu)橛脩籼峁┚W(wǎng)絡安全管理系統(tǒng)、下一代防火墻、web防火墻、網(wǎng)絡安全管理系統(tǒng)。我們推薦的安全產(chǎn)品有以下特點：安全產(chǎn)品產(chǎn)品概述網(wǎng)絡安全管理系統(tǒng)對高校上網(wǎng)網(wǎng)絡流量提供三步循環(huán)的解決方案——可視、可控、可追溯。– “可視”指深層分析網(wǎng)絡中運行的各種應用協(xié)議、網(wǎng)絡行為，從而完整的了解網(wǎng)絡帶寬的使用狀況。– “可控”指根據(jù)對網(wǎng)絡情況的了解，結合用戶的實際需求，提供最有效的控制策略，讓網(wǎng)絡資源得到最合理的利用。– “可追溯”指對全網(wǎng)的使用情況進行了詳細的記錄，并提供內(nèi)容檢索、模糊查詢、自動報表等功能，方便管理者跟蹤、追溯網(wǎng)絡的使用情況，幫助管理者定位網(wǎng)絡問題。下一代防火墻– 下一代防火墻不但可以提供基礎網(wǎng)絡安全功能，如狀態(tài)檢測、VPN、抗DDoS、NAT等；還實現(xiàn)了統(tǒng)一的應用安全防護，可以針對一個入侵行為中的各種技術手段進行統(tǒng)一的檢測和防護，如應用掃描、漏洞利用、Web入侵、非法訪問、蠕蟲病毒、帶寬濫用、惡意代碼等。– 邊界防火墻可以為不同規(guī)模的行業(yè)用戶的數(shù)據(jù)中心、廣域網(wǎng)邊界、互聯(lián)網(wǎng)邊界等場景提供更加精細、更加全面、更高性能的應用內(nèi)容防護方案。web防火墻為網(wǎng)關設備，防護對象為Web、Webmail服務器，可針對安全事件發(fā)生時序進行安全建模，分別針對安全漏洞、攻擊手段及最終攻擊結果進行掃描、防護及診斷，提供綜合Web應用安全解決方案。 安全部署216。 在網(wǎng)絡出口處部署網(wǎng)絡安全管理系統(tǒng)，對學校內(nèi)師生的無線和有線上網(wǎng)行為進行管理。216。 在核心交換機與內(nèi)網(wǎng)用戶之間部署防火墻，為高校辦公用戶及服務器提供安全服務。216。 部署web應用防火墻，對高校數(shù)據(jù)中心的內(nèi)的web服務器、郵件服務器提供安全防護。4 高校信息化系統(tǒng)安全服務需求 風險評估機制2016年度信息安全風險評估將參照《XX市信息安全風險評估實施指南》和《GB/T209842007 信息安全技術信息安全風險評估規(guī)范》，通過深入了解高校信息系統(tǒng)情況，分析信息系統(tǒng)可能面臨的威脅，存在的弱點，以及弱點被襲擊或帶來破壞的可能性及影響，對當前信息系統(tǒng)的安全風險進行分析和定義，采用專業(yè)漏洞檢測工具和工作模版，從風險管理角度，運用科學的方法和手段，根據(jù)聯(lián)合檢查要求，系統(tǒng)地分析信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施；為防范和化解信息安全風險，將風險控制在可接受的水平，從而最大限度地為保障信息安全提供科學依據(jù)。評估對象高校所有信息系統(tǒng)資產(chǎn)、內(nèi)網(wǎng)及外網(wǎng)服務器、網(wǎng)絡設備、安全設備評估依據(jù)1) XX市關于開展信息安全風險評估工作的實施意見（深科信[2006]268號）2) 《XX市信息安全風險評估實施指南》3) 《信息安全技術信息安全風險評估規(guī)范》（GB/T 209842007）4) 《信息系統(tǒng)安全等級保護基本要求》（GB/T 222392008）5) 用戶自身業(yè)務安全需求評估流程評估內(nèi)容評估信息系統(tǒng)存在的高中低風險的數(shù)量、可能性、影響。主要從安全技術和安全管理兩個角度：1) 安全技術l 物理安全信息系統(tǒng)機房在物理位置選擇、出入管理、動力環(huán)境等方面采取的措施是否有效。圖:物理環(huán)境脆弱性識別示意圖l 網(wǎng)絡層安全信息系統(tǒng)網(wǎng)絡架構設計是否安全合理；網(wǎng)絡訪問控制是否嚴格有效；網(wǎng)絡安全審計是否有效；是否存在“非法外聯(lián)”行為；網(wǎng)絡入侵防范措施是否有效；惡意代碼防范措施是否有效。網(wǎng)絡設備、安全設備配置是否安全、有效；圖:網(wǎng)絡層脆弱性識別示意圖l 主機系統(tǒng)層安全（針對操作系統(tǒng)、數(shù)據(jù)庫、中間件）是否能對主機系統(tǒng)用戶設置恰當?shù)纳矸蓁b別手段；后臺維護人員的權限是否是最小授權；后臺維護人員的邏輯訪問路徑是否可信；安全審計記錄是否完整；入侵防范措施、惡意代碼防范是否充分有效；主機系統(tǒng)資源使用是否可控。l 應用層安全（針對應用軟件）是否能對應用軟件用戶設置恰當?shù)纳矸蓁b別手段；用戶訪問權限是否是最小授權；安全審計記錄是否完整；剩余信息是否能夠被釋放或重新分配；是否能保證通信過程中的完整性、保密性；是否能保證交易的抗抵賴性；是否能保證軟件容錯；應用系統(tǒng)資源使用是否可控；是否存在代碼安全缺陷。l 數(shù)據(jù)安全2) 安全管理l 安全管理組織機構是否有恰當?shù)陌踩芾斫M織架構；與信息安全相關的授權審批、審核檢查流程是否存在并能夠有效組織實施。l 安全管理制度是否有恰當?shù)陌踩芾碇贫润w系；安全管理制度體系的制定、審批、維護流程是否存在并能夠有效組織實施。l 人員安全管理信息系統(tǒng)后臺維護技術人員在錄用、在職、離崗時是否采取了恰當?shù)陌踩芾矸绞?；是否對從事信息安全崗位的人員采取了信息安全考核；是否對第三方人員訪問內(nèi)部系統(tǒng)采取了安全控制措施；是否能夠采取各種措施提高技術人員的安全意識。l 系統(tǒng)建設管理是否對信息系統(tǒng)建設各個階段包括方案設計、產(chǎn)品采購、軟件開發(fā)、工程實施、測試驗收、系統(tǒng)交付等進行安全控