【正文】 系統培訓、試運行系統培訓、試運行系統終驗系統終驗；文檔交付。39 / 43系統安裝網絡改造；安全設備硬件安裝；網絡及安全策略配置。 項目實施計劃一覽表具體項目進度如下：序號 階段時間（月）具體內容 備注項目啟動系統原型部署；硬件設備采購。 客戶投訴制度、客戶投訴受理內容若對技術支持人員的工作態(tài)度、響應時間和服務結果表示不滿或存在爭執(zhí)，可以向系統集成商進行投訴，系統集成商相關部門應迅速調查，盡快反饋解決結果。定期與客戶溝通，主動給客戶打電話，了解系統的運行情況。指定專人值守熱線服務電話，以保證及時與客戶溝通，以最快的速度解決用戶所遇到的問題。所有支持人員必須經過嚴格的認定，并承諾遵守保密協定、遵守技術支持人員工作規(guī)范。如果在接到通知后的小時內未做出響應，必須對故障所造成的損失負責。如果在接到通知后的小時內未做出響應，必須對由于故障所造成的損失負責。系統維護期間，出現系統故障時立即響應，小時到達用戶現場，并提供現場技術支持服務。 快速現場服務在維護期內，系統驗收前，出現系統故障時，即時到達用戶故障現場并現場解決。36 / 4提供系統維護及安全性能設置方面的建議和支持。、隨時解答各種問題，以服務熱線形式提供服務。為達到以上目的，系統集成商必須滿足滿足以下要求。綜合日志審計系統臺個工作口，個管理口，個口；硬盤容量，可擴展為；日志容量：億條,網絡流量：；：秒單獨工作時個日志源作為中心使用時個日志源綜合日志審計系統臺個工作口，個管理口，個口；硬盤容量；日志容量：億條,網絡流量：；：秒同一局域網內臺許可，建議個日志源 技術力量和人員配置本項目的維護工作由系統集成商完成。邊界接入平臺集中監(jiān)控系統套設備包含個以太網網絡接口，支持光纖接口；并發(fā)連接數萬；日志采集能力條日志秒，具備 能力；日志存35 / 43儲能力萬條日志存儲。數據安全交換系統（前置）臺設備包含個以太網接口，個獨立帶外管理接口和個 接口，系統吞吐量≥，并發(fā)數≥，平均無故障工作時間＞。以標準方式處理以下元素：? 各種安全事件日志(攻擊、入侵、異常)? 各種行為事件日志(內控、違規(guī))34 / 43? 各種弱點掃描日志(弱點、漏洞)? 各種狀態(tài)監(jiān)控日志(可用性、性能、狀態(tài))? 安全視角的事件描述：事件目標對象歸類、事件行為歸類、事件特征歸類、事件結果歸類、攻擊分類、檢測設備歸類 項目設備總表序號 產品名稱 數量 單位 備注防火墻 臺設備配置個接口，提供≥個擴展模塊槽位，可擴展設備性能和千兆、萬兆接口，防火墻模塊吞吐量(字節(jié)）≥，且支持擴展到。 硬件系統采用模塊結構，保證系統內存、及儲存容量的擴展；硬件配置的升級不會引起軟件的修改和開發(fā)；每個組件都可以橫向擴展，通過增加設備滿足業(yè)務需求。先進的關聯算法關聯引擎采取設計，全內存運算方式保證了事件分析極高的效率和實時性。33 / 43標準化日志各種安全事件日志(攻擊、入侵、異常)、各種行為事件日志(內控、違規(guī))、各種弱點掃描日志(弱點、漏洞)、各種狀態(tài)監(jiān)控日志(可用性、性能、狀態(tài))、安全視角的事件描述：事件目標對象歸類、事件行為歸類、事件特征歸類、事件結果歸類、攻擊分類、檢測設備歸類。其他功能支持各種網絡部署需要，包括日志聚合、日志過濾、事件過濾、日志轉發(fā)、特殊日志格式支持(如單報文多事件)等。集中配置管理系統支持分布式部署，可以在中心平臺進行各種管理規(guī)則，各種配置策略自動分發(fā)，支持遠程自動升級等，極大的降低了分布式部署的難度，提高了可管理性。平臺管理器實現所監(jiān)控的信息資產的實時監(jiān)控、信息資產與客戶管理、解析規(guī)則與關聯規(guī)則的定義與分發(fā)、日志信息的統計與報表、海量日志的存儲與快速檢索以及平臺的管理。通信服務器可以接收多個采集器的日志；在32 / 43平臺尚未支持統一日志格式時，能夠根據要求，將定義的統一日志轉換為所需要的日志格式。 實 現 信 息 資 產 （ 網 絡 設 備 、 安 全 設 備 、 主 機 、 應 用 及 數 據 庫 ）的 日 志 獲 取 ， 并 通 過 預 置 的 解 析 規(guī) 則 實 現 日 志 的 解 析 、 過 濾 及 聚 合 ， 同 時 可 將收 集 的 日 志 通 過 轉 發(fā) 功 能 轉 發(fā) 到 其 它 網 管 平 臺 等 。 同 時 提 供 集 中 化 的 統 一 管 理 平 臺 ， 將 所 有 的日 志 信 息 收 集 到 平 臺 中 ， 實 現 信 息 資 產 的 統 一 管 理 、 監(jiān) 控 資 產 的 運 行 狀 況 ， 協助 用 戶 全 面 審 計 信 息 系 統 整 體 安 全 狀 況 。虛擬防火墻技術的出現彌補了防火墻產品在數據中心虛擬化應用中的局限性，與其他虛擬化網絡設備相輔相成，可以很好的緩解數據中心組網環(huán)境中各的獨立安全策略需求所帶來的網絡拓撲復雜、網絡結構擴展性差、管理復雜、用戶安全部署成本高等幾大問題，很好的滿足數據中心新業(yè)務模型所帶來的新需求，在構建數據中心虛擬一體化的同時提供了豐富的業(yè)務安全能力。隨著業(yè)務的發(fā)展，當用戶業(yè)務劃分發(fā)生變化或者產生新的業(yè)務部門時，可以通過添加或者減少防火墻實例的方式十分靈活的解決后續(xù)網絡擴展問題，在一定程度上降低了網絡安全部署的復雜度。多個邏輯防火墻可以單獨配置不同的安全策略，同時默認情況下，不同的虛擬防火墻之間是默認隔離的。虛擬防火墻具有如下技術特點：　每個虛擬防火墻獨立維護一組安全區(qū)域；　每個虛擬防火墻獨立維護一組資源對象（地址地址組，服務服務組等） ；　每個虛擬防火墻獨立維護自己的包過濾策略；　每個虛擬防火墻獨立維護自己的策略、策略、策略；　可限制每個虛擬防火墻占用資源數，如防火墻以及 數目。? 虛擬防火墻技術虛擬防火墻是一個邏輯概念，該技術可以在一個單一的硬件平臺上提供多個防火墻實體，即把一臺防火墻設備在邏輯上劃分成多臺虛擬防火墻，每臺虛擬防火墻都可以被看成是一臺完全獨立的防火墻設備，可擁有獨立的管理員、安全策略、用戶認證數據庫等。例如，對于同一個地址產生的不同流量，用戶可以基于應用分類結果指定流量的優(yōu)先級。結合應用，可提供另一層的流量控制。30 / 43將角色鑒別以及 結合使用，可以很容易地為關鍵用戶控制流量并區(qū)分流量優(yōu)先級。首先根據流量的應用類型對流量進行識別和標記。? 靈活高效的帶寬管理功能可以提供智能應用識別( )功能，稱為。? 高可靠和高可擴展性具有良好的可擴展性，通過全并行全冗余架構，提供極佳的高可靠和高可擴展能力。 非結構化數據交換架構設計針對結構化數據交換應用場景，可采用內外網數據安全交換平臺數據庫同步功能，功能由內網緩存服務器、應用數據安全交換單元（內網） 、安全隔離網閘、應用數據安全交換單元（外網） 、外網緩存服務器實現，結構化數據交換主要依托以下邏輯架構，如圖所示：外網緩存服務器外網應用系統安全隔離網閘內網緩存服務器內網應用系統數據安全交換平臺 ( 非結構化數據交換 )應用數據安全交換單元（外網）應用數據安全交換單元（內網）圖 . 非結構化數據交換結構非結構化數據以文件同步方式進行內外網數據交換，文件類型如文檔文件、音視頻文件、辦公文件等主流文件類型，業(yè)務流程圖可參考下圖所示：28 / 43外網應用系統 數據安全交換平臺 內網應用系統（ 2 ） 向外網緩存服務器寫入文件鏡像數據 （ F T P 、 S M B ）（ 3 ） 數據庫同步 ， 方向可控 ， 支持同構異構 ， 表可控 ， 字段可控（ 5 ） 向內網數據庫寫入文件鏡像數據 （ F T P 、 S M B ）內網文件服務器外網文件服務器（ 1 ） 生成文件數據 ，寫入外網文件服務器（ 4 ） 從內網緩存服務器讀取文件鏡像數據 （ F T P 、 S M B ）圖 . 非結構化數據交換流程流程描述如下：1) 外網應用系統生成文件數據，寫入外網文件服務器，同時把需要同步的文件（以下稱“文件鏡像數據”）寫入外網緩存服務器；2) 數據安全交換平臺完成文件同步，把“ 文件鏡像數據”同步到內網緩存服務器； 3) 內網應用系統從內網緩存服務器讀取“ 文件鏡像數據”并把文件數據寫入內網文件服務器；4) 反之亦然。（11）注入保護在使用外來數據生成數據庫查詢語句時，必須對外部數據進行有效性檢查和危險字符過濾，避免出現數據庫注入問題。所有的方法都能被重寫。如果決定加密，應該管理好密鑰，密鑰的存放地點以及將密鑰交付給反序列化程序的方式等。25 / 433）為了保護虛擬機外的字節(jié)流，可以對序列化包產生的流進行加密。如果資源，如文件句柄，不被聲明為，該對象在序列化狀態(tài)下可能會被修改，從而使得被反序列化后獲取對資源的不當訪問。按照具體問題具體對待的原則，在確定哪些變量特別重要因而應該聲明為 時，應該將編碼的方便程度及成本同安全性需要加以比較。應該使用“”或“” 類代替 () 方法以測試應用程序的功能。（8）無用代碼處理將（除啟動應用程序的 () 方法之外的） () 方法、未使用的方法以及死代碼從應用程序代碼中除去。（7）硬編碼敏感數據 將敏感數據保存在屬性文件中，無論什么時候需要這些數據，都可以從該文件讀取。即使數組中包含不可變的對象（如字符串），也要返回一個副本這樣調用者不能修改數組中的字符串。（5）空指針引用在使用或引用對象前，要先對其進行檢查，判斷其是否為空。不支持通過走協議以及非協議通過，不允許文件傳輸、交互或者數據總線通過裝置。 關鍵特性設計 應用代碼安全規(guī)范設計接入內外網數據安全交換平臺的應用系統應遵循以下代碼安全規(guī)范，在提高應用系統安全性的同時，確保應用系統數據可正常通過內外網數據安全交換平臺進行數據交互：（1）采用標準驅動程序23 / 43 應用服務器通過內外網數據安全交換平臺連接數據庫時必須使用數據庫自帶的標準驅動（常見為 或者）。代理支持基于的應用代理，滿足多種基于的應用需求。代理支持數據庫應用代理，包括 、 、 、等數據庫的數據應用代理功能，實現對數據庫的安全訪問，支持原地址黑白名單控制，并徹底保障數據庫本身的安全。22 / 43授權訪問模塊默認情況下是關閉的，及在管理員沒有做配置時是不允許內外網之間有訪問的，此處可以根據需要單獨啟動，應用代理可對頁面內容進行腳本、內容、 、控制；支持交互式動態(tài)頁面訪問；支持對用戶的認證功能在代理服務啟動的情況下，同時需要有相應的資源，代理用戶，并且資源和代理用戶之間以配置關聯關系，用戶需要在中加入代理服務器和端口，才能訪問到平臺另外一端的服務。（）授權訪問功能設計使用了線程池技術及通道復用技術，減少系統資源浪費，有效實現高性能的負載。c) 標記同步程序依靠數據庫表中指定的字段標識數據的變化，用戶的程序在修改數據庫內容時，在該字段中寫入相應的內容標識該條記錄的變化。一旦表中出現數據變化，觸發(fā)器將捕獲到數據的變化，并將其提取出來。此種方式適合數據量小，實現簡單的同步方式。數據庫傳輸模塊實現文件的讀取、傳輸、接收等功能，數據庫輸入接口接收數據庫傳輸模塊傳輸的數據流，并通過平臺傳輸給數據庫輸出接口，輸出接口將數據流傳輸給目標端的數據庫傳輸模塊，數據庫傳輸模塊接收數據流后保存數據。源端開始傳輸文件及文件時戳目標端接收文件后，查找是否存在該文件，如果目標端存在該比對源端文件時戳和目標文件時戳，如果源端時間早，則放棄處理；如果源端時間晚則替換文件；如果不存在則直接寫文件。源端探針將內存結構中的所有信息發(fā)送到目標端，目標端根據接收的信息去對應的目標文件目錄比對文件名及時戳，如果存在文件：則查看源比目標早或者晚，早則查看下一個文件，晚則查看操作類型，如果為刪除操作，則直接刪除目標文件，如果操作為修改則設置為需要傳輸，將其寫入目標端新的內存結果中；如果文件不存在也設置為需要傳輸，且將其寫入目標端新的內存結果中。參數包括：傳輸地址、傳輸端口、傳輸方式、應用名、是否可用、源文件目錄、是否刪除源目錄文件、傳輸頻率、文件目標目錄。文件探針模塊實現文件的讀取、傳輸、接收等功能，文件輸入接口接收文件探針模塊傳輸的數據流，并通過平臺傳輸給文件輸出接口，輸出接口將數據流傳輸給目標端的文件探針模塊，文件探針模塊接收數據流后保存文件。提供與應用系統間的自動對賬功能，能夠對每日數據信息進行日結對賬，并自動實現系統間的數據補錄，保證應用系統信息完整性；?支持通過瀏覽器可以查看應用交付拓撲結構及應用情況；?系統采用圖形化配置界面，提供相關系統參數的配置頁面，通過