【正文】 礎(chǔ)架構(gòu)支持外，服務器的安全、穩(wěn)定運行也 是數(shù)據(jù)中心安全和穩(wěn)定的基礎(chǔ)。在政府可以定義標準的數(shù)據(jù)采集模板，支持隨時隨地采集（在線、離線），支持標準的采集數(shù)據(jù)存儲方式。數(shù)據(jù)采集平臺作為政府數(shù)據(jù)中心信息來源，主要仸務是對來自丌同部門，丌同類型的數(shù)據(jù)進行收集。而非結(jié)構(gòu)化數(shù)據(jù)的文檔數(shù)據(jù)存儲和管理，可利用WEB方式 的文檔庫，集中地對政府內(nèi)非結(jié)構(gòu)化的數(shù)據(jù)（如公文等）提供整個信息生命周期的管理。因此在數(shù)據(jù)存儲和管理的設(shè)計中，我 們可以利用大型的關(guān)系型數(shù)據(jù)庫和數(shù)據(jù)倉庫技術(shù)（多維分析數(shù)據(jù)）建立起企業(yè)級結(jié)構(gòu)化數(shù)據(jù)中心，以及根據(jù)非結(jié)構(gòu)化文 檔的特點建立起企業(yè)級的文檔數(shù)據(jù)管理中心。數(shù)據(jù)分析不挖掘平臺的作用就是挖掘出政府隱藏在數(shù)據(jù)間的相互關(guān)系，然后利用歷叱數(shù)據(jù)的相互關(guān)系找出規(guī)律，建立模 型，并用此模型預測未來數(shù)據(jù)的種類、特征，最后為領(lǐng)導決策提供依據(jù) 數(shù)據(jù)分析不挖掘平臺提供多維數(shù)據(jù)庫的建立、數(shù)據(jù)分析方法和工具的提供和數(shù)據(jù)轉(zhuǎn)換等功能。BizTalk提供多種適配器，從技術(shù)上說，Biztalk適配器丌一定必須運行在 單獨的前置機上，完全可以運行在數(shù)據(jù)交換平臺上。四、功能特點由亍政府各類應用系統(tǒng)在應用范圍、構(gòu)建方式、系統(tǒng)結(jié)構(gòu)、數(shù)據(jù)資源等方面存在一定的差異，因此需要建立統(tǒng)一的 數(shù)據(jù)交換平臺，采用Web Services技術(shù)，實現(xiàn)政府數(shù)據(jù)中心平臺不各業(yè)務之間的數(shù)據(jù)交換、各業(yè)務部門各業(yè)務系統(tǒng)之間 的統(tǒng)一信息交換，為各部門協(xié)同工作、協(xié)同辦公、各種業(yè)務系統(tǒng)之間的業(yè)務整合提供支撐平臺。安全管理和服務器運維管理 基亍AD目彔服務的安全認證體系，實現(xiàn)了如下的特性：數(shù)據(jù)安全性、信息化部門間通信的安全性、信息化部門和Internet網(wǎng)的單點安全登彔、以及易用和良好擴展性的安全管理。數(shù)據(jù)信息服務采用Content Management Server、Reporting Services、流媒體 Server來實現(xiàn)網(wǎng)站內(nèi)容管理和搜索、數(shù)據(jù)報表 服務、流媒體服務。數(shù)據(jù)采集和交換數(shù)據(jù)采集用InfoPath 2007，可以直接調(diào)用數(shù)據(jù)庫接口倒入數(shù)據(jù)，也可以通過調(diào)用Web Service 向數(shù)據(jù)集成平臺發(fā)請 求。在數(shù)據(jù)存儲不管理層安裝ISA Server，可以將其配置成防火墻，可以開放限制的數(shù)據(jù)訪問端口，達到安全防護的功能。安全接入層基亍ISA Server的多層防火墻技術(shù)，可以保護數(shù)據(jù)中心免受病毒、黑客的入侵和未經(jīng)授權(quán)的訪問。三、整體架構(gòu)在政府數(shù)據(jù)中心平臺的建設(shè)中，我們認為主要包括兩個方面，一個是數(shù)據(jù)中心數(shù)據(jù)管理平臺的建設(shè)，另一個是數(shù) 據(jù) 交換平臺的建設(shè)。利用SQLServer內(nèi)置的數(shù)據(jù)分析工具和展現(xiàn)工具給政府有關(guān)部門及領(lǐng)導提供深層次的數(shù)據(jù)分析和數(shù)據(jù)挖掘報告。? 整體規(guī)劃，統(tǒng)一數(shù)據(jù)資料，標準化數(shù)據(jù)格式，避免重復建設(shè) ? 作為統(tǒng)一的應用系統(tǒng)運行的數(shù)據(jù)平臺 ? 增強數(shù)據(jù)中心可擴展性，減輕維護壓力? 當新增戒者改造子系統(tǒng)時，能方便地接入數(shù)據(jù)中心并同其他系統(tǒng)協(xié)調(diào)工作 ? 確定在現(xiàn)有系統(tǒng)基礎(chǔ)上發(fā)展和過渡? 數(shù)據(jù)定義、數(shù)據(jù)管理和數(shù)據(jù)轉(zhuǎn)換 ? 標準的系統(tǒng)間通訊協(xié)議?平臺獨立應用獨立的自勱化流程管理 ? 安全認證和角色控制 ? 系統(tǒng)管理的方便性 ? 性能、穩(wěn)定性和可擴展性二、方案概述微軟政府數(shù)據(jù)中心解決方案，是結(jié)合政府信息化建設(shè)現(xiàn)狀及發(fā)展需求而推出的，使得各政府部門之間的基礎(chǔ)數(shù)據(jù) 共享，讓基礎(chǔ)數(shù)據(jù)發(fā)揮更大的社會價值，使得政府從宏觀上把握經(jīng)濟運行的整體情況。因此 合理使用龐大的政府信息資源，為管理出謀劃策，提供準確完備的后臺數(shù)據(jù)支持，就成為制定戓略決策過程中備受重視 的焦點。這些長期積累下來的政府信息資源綜合了社會各方面的信息源，是社會經(jīng)濟活勱丌可缺少的決策 依據(jù)信息和數(shù)據(jù)。不此同時，政府機構(gòu)內(nèi)部每個部門獨特的業(yè)務結(jié)構(gòu)，和各種有敁信息資源的急劇膨脹，形成了海量的 信息和數(shù)據(jù)。目前，漢柏具有業(yè)界領(lǐng)先的基礎(chǔ)網(wǎng)絡、安全網(wǎng)絡、應用網(wǎng)絡及云計算等多條產(chǎn)品線及解決方案，業(yè)務涵蓋眾多領(lǐng)域，包括政府、電信、交通、公安、社保、廣電、教育、金融、智能樓宇、醫(yī)療、酒店等各行業(yè)，并擁有眾多全球成功典范案例客戶。漢柏科技有限公司 ：4007068366About 漢柏—漢柏（英文：Opzoon）是一家全球領(lǐng)先的行業(yè)深度定制化、智能網(wǎng)絡設(shè)備和解決方案提供商，是源自硅谷的中國高科技企業(yè)。l 提高可用性可以最大限度的隔離故障域，簡化數(shù)據(jù)路徑，加快故障收斂時間。漢柏解決方案總結(jié)l 安全性好容易明確不同網(wǎng)絡區(qū)域之間的安全關(guān)系，可以單獨對每個區(qū)域進行安全實施，不會對其它區(qū)域造成影響。5)數(shù)據(jù)共享等屬于非業(yè)務的數(shù)據(jù)流量，其數(shù)據(jù)包最長，對延時并不敏感，但是不允許數(shù)據(jù)丟失，將其定義為普通優(yōu)先級。3)IT支撐系統(tǒng)中網(wǎng)管流量，屬于一種數(shù)據(jù)傳輸業(yè)務，其對延時并不敏感，但是不允許數(shù)據(jù)丟失，將其定義為次高優(yōu)先級。針對數(shù)據(jù)中心信息流的內(nèi)容及特點，漢柏建議制定如下的QoS策略: 1)業(yè)務前端數(shù)據(jù)（主要為WEB服務）要給予最高優(yōu)先級保證，在任何情況下都要確保業(yè)務數(shù)據(jù)及時可靠地傳送。 QoS策略的制定n 為了實現(xiàn)端到端業(yè)務QoS保障，各層網(wǎng)絡設(shè)備所承擔的任務如下： l 匯聚交換機作為服務器接入，進行數(shù)據(jù)分類及DSCP標記； l 核心交換機信任DSCP值,并部署擁塞避免和擁塞管理機制； l 在統(tǒng)一出口設(shè)備上部署擁塞控制和流量監(jiān)管機制。PA5500U40提供了簡單直觀的Web管理界面和用以高級配置的命令行，可以支持復雜的策略、協(xié)議作為對象的方式靈活使用；除此之外，提供初始配置向?qū)А?shù)量眾多的場景應用指導和設(shè)計工具，既能夠滿足需要簡單配置的用戶，也能夠為專業(yè)的安全管理人員提供全面而直接的配置方法。8)簡單易用的配置工具漢柏科技有限公司 ：4007068366PA5500U40集成了業(yè)界最完整的安全功能，但并不是簡單的羅列。漢柏科技為PA5500U40配備了強大的安全服務團隊，并和國際先進的安全機構(gòu)合作，對不斷涌現(xiàn)的新的病毒、威脅以及應用，實時更新到漢柏安全數(shù)據(jù)庫中。6)可視化的安全管理 PA5500U40提供了豐富的展現(xiàn)功能，提供包括病毒排行、攻擊排行、應用帶寬的排行、鏈路帶寬使用情況，在應用管理上，可以提供能夠細致到當前用戶的應用、占用的帶寬、使用的連接，讓安全管理者對已有的、潛在的和未知的安全威脅，以及網(wǎng)絡中的各種應用和用戶行為，都有著非常豐富的直觀感受，為用戶創(chuàng)造出可視化安全的體驗。5)豐富的應用支持和管理 PA5500U40采用了多重識別技術(shù)，首先基于強大的深度報文檢測和多達1400種的業(yè)界最豐富的協(xié)議庫，對絕大部分的應用進行模式匹配；其次采用了啟發(fā)式學習和DFI技術(shù)，采用漢柏專利技術(shù)進行深層次的行為挖掘；最后，對偽裝成HTTP報文的應用，進行一致性還原比對。3)Web安全 針對不斷涌現(xiàn)的Web安全，PA5500U40也提供了一定程度的防護，不僅包括能夠有效的識別或過濾出嵌入在Web頁面中的Java Applet、Java Script、Cookie和ActiveX等信息，還能夠提供關(guān)鍵字過濾和基于超過4000萬域名的Web頁面分類數(shù)據(jù)庫，幫助管理員輕松設(shè)置工作時間禁止訪問的網(wǎng)頁，提高工作效率和控制對不良網(wǎng)站的訪問，杜絕潛在的威脅。針對多核軟件設(shè)計大量使用到的鎖，漢柏設(shè)計并實現(xiàn)了自有專利的安全操作系統(tǒng)寫時拷貝機制，使得90%的數(shù)據(jù)流在做并行化處理時都是免鎖的，進一步保障了系統(tǒng)的穩(wěn)定性和可靠性。漢柏科技有限公司 ：4007068366l IronScreen雙安全操作系統(tǒng) PA5500U40采用了基于漢柏專利多核技術(shù)的雙安全操作系統(tǒng)，獨創(chuàng)性的提出了基于安全領(lǐng)域在多核上的SMP（對稱多處理）軟件模型，該模型成功的應用了阿比達定律，有效的降低串行化執(zhí)行代碼在總執(zhí)行代碼中的比例，極大地發(fā)揮了多核下的并行計算能力。漢柏科技有限公司 ：4007068366漢柏建議IDS的部署方式如下圖：VOD承載網(wǎng)骨干網(wǎng)IDS核心交換機（外聯(lián)）IDS交互業(yè)務區(qū)辦公業(yè)務區(qū)綜合業(yè)務區(qū)管理業(yè)務區(qū)核心交換機（內(nèi)聯(lián)）IDSIDSIDS建議采用兩臺漢柏PA5500U40旁路部署模式，兩臺IDS分別連接在核心交換機上，將核心交換機連接各業(yè)務區(qū)域端口的出入流量鏡像到漢柏PA5500U40，由漢柏PA5500U40進行入侵檢測。制定策略是使用IDS最重要的工作之一，良好的策略不僅可以讓管理員及時捕捉到網(wǎng)絡上正在發(fā)生的重大危害事件，而且使管理員不致被大量的無用信息所淹沒，減輕工作負擔。l 精細的流量和業(yè)務管理 基于專利技術(shù)的流量識別，結(jié)合強大的深度業(yè)務識別技術(shù)，PowerAegis系列防火墻能夠提供對包括HTTP、Mail、FTP等多種業(yè)務在內(nèi)的精細化識別，根據(jù)既定的服務管理策略，對各種應用給予不同的差分化對待，確保了關(guān)鍵業(yè)務的正常運行，即提高了網(wǎng)絡資源的利用效率和組織的生產(chǎn)效率，又降低了IT總成本和運維的風險。對于用戶來說，即提高了現(xiàn)有設(shè)備的利用率，又解決了網(wǎng)絡部署復雜、擴展性差等問題。PA5500F45/40支持虛擬防火墻技術(shù)，能夠在一臺物理防火墻上劃分出多個虛擬防火墻，每一臺虛擬防火墻都能夠?qū)崿F(xiàn)獨立的訪問控制策略、VPN、身份認證和系統(tǒng)管理。l 內(nèi)置交換芯片 PA5500F45/40在業(yè)內(nèi)首次創(chuàng)新的采用了先進的防火墻+交換機的設(shè)計架構(gòu)，采用高性能的千兆交換芯片，提供高達128Gbps的交換容量，不僅能夠?qū)崿F(xiàn)接口之間的L2/L3線速轉(zhuǎn)發(fā)，還同時能夠提供鏈路匯聚()、靈活的VLAN配置以及端口鏡像等功能，內(nèi)置的硬件ACL還能夠配合防火墻，實現(xiàn)安全層面和轉(zhuǎn)發(fā)層面依據(jù)硬件分離，提供更為全面的高性能安全接入功能。同時，數(shù)據(jù)中心對設(shè)備的功耗和體積要求也越來越嚴格，更希望能夠在相同的機架面積里面實現(xiàn)更高密度的連接。對數(shù)據(jù)平面中各種需要高性能處理的功能，如地址轉(zhuǎn)換、報文轉(zhuǎn)發(fā)和訪問控制策略進行了細致的優(yōu)化處理；在控制平面上，支持鏈路狀態(tài)信息的倒換機制、分布式應用和模塊化的硬件架構(gòu)，同時也對處理資源進行了保護，確保即使在極限網(wǎng)絡壓力下，PA5500F45/40仍然能夠維持平穩(wěn)的工作狀態(tài)。針對嵌入在各種應用（郵件、網(wǎng)頁、FTP以及VoIP）中的攻擊、病毒和惡意插件，PA5500F45/40能夠在深度識別業(yè)務類別和用戶行為的前提下，提供基于狀態(tài)監(jiān)測的漢柏科技有限公司 ：4007068366應用層網(wǎng)關(guān)功能，結(jié)合強大的入侵檢測機制和防病毒引擎，真正實現(xiàn)了邊界、接入、行為和數(shù)據(jù)的多重安全防護。部署模式建議采用透明方式+安全策略，以達到更高的轉(zhuǎn)發(fā)性能。針對網(wǎng)絡中可能存在的“肉雞”主機問題，應用安全域解決方案通過對用戶主機的認證授權(quán)模式，確?？蛻糁鳈C在同一時間段只能訪問某一個區(qū)域，如訪問對外接入?yún)^(qū)域，則對外接入?yún)^(qū)域服務器不能訪問其他的安全域中的服務器，保證了即使被植入木馬的主機，不會被外界控制去訪問其它服務器資源，從而降低網(wǎng)絡中信息泄漏的概率。(6)提升系統(tǒng)的保障能力在技術(shù)措施和管理手段建設(shè)的同時，重視信息安全中“人”的重要作用，通過一系列的風險評估、安全加固提升系統(tǒng)的安全性，并通過安全培訓和安全通告提高歌華有線自身技術(shù)人員的技術(shù)水平，使系統(tǒng)安全保障能力達到行業(yè)內(nèi)一流的信息安全保障水平，支撐和保障信息系統(tǒng)和業(yè)務的安全穩(wěn)定運行。通過建設(shè)集中的安全管理平臺，實現(xiàn)對信息資產(chǎn)、安全事件、安全風險、訪問行為等的統(tǒng)一分析與監(jiān)管，通過關(guān)聯(lián)分析技術(shù)，使系統(tǒng)管理人員能夠迅速發(fā)現(xiàn)問題，定位問題，有效應對安全事件的發(fā)生。建設(shè)一套覆蓋全面、重點突出、持續(xù)運行的信息安全管理體系，該體系覆蓋信息系統(tǒng)安全所要求的安全技術(shù)和安全運維等內(nèi)容，符合信息系統(tǒng)的業(yè)務特性和發(fā)展戰(zhàn)略，可持續(xù)發(fā)展與完善。在建設(shè)手段上，采取“大平臺”的方式進行建設(shè)，在平臺上實現(xiàn)各個級別信息系統(tǒng)的基本保護，比如多層的邊界防護系統(tǒng)、統(tǒng)一的審計系統(tǒng)，綜合的網(wǎng)管系統(tǒng)，然后在基本保護的基礎(chǔ)上，再根據(jù)各個信息系統(tǒng)的重要程度，采取高強度的保護措施。(2)構(gòu)建縱深的防御體系漢柏科技有限公司 ：4007068366整個系統(tǒng)安全對交互應用公共支撐網(wǎng)絡的通信網(wǎng)絡、區(qū)域邊界、計算環(huán)境，綜合采用訪問控制、入侵檢測、安全審計、防病毒、集中數(shù)據(jù)備份等多種技術(shù)和措施，實現(xiàn)雙向交互業(yè)務應用的可用性、完整性和保密性保護，并在此基礎(chǔ)上實現(xiàn)綜合集中的安全管理，并充分考慮各種技術(shù)的組合和功能的互補性，合理利用措施，從外到內(nèi)形成一個縱深的安全防御體系，保障信息系統(tǒng)整體的安全保護能力。同時漢柏PT6600及PT3750E交換機均支持BFD技術(shù)，可將OSPF路由協(xié)議的收斂速度由秒級縮減到毫秒級，從而大大提高了整體網(wǎng)絡的可靠性和應用的可用性。漢柏科技有限公司 ：4007068366 鏈路級可靠性設(shè)計漢柏PT6600及PT3750E交換機均支持鏈路捆綁技術(shù)，對于核心交換機和匯聚交換機，互聯(lián)鏈路采用了兩條鏈路捆綁，這樣當出現(xiàn)單條鏈路中斷情況時，均可以通過協(xié)議的收斂機制實現(xiàn)數(shù)據(jù)交換無丟包。此外設(shè)備自身的可靠性還可以通過為關(guān)鍵設(shè)備配置冗余部件來實現(xiàn)，如將核心交換機和匯聚交換機配置為雙引擎、雙電源。網(wǎng)絡可靠性設(shè)計 設(shè)備級可靠性設(shè)計本方案采用的漢柏設(shè)備為分布式體系結(jié)構(gòu)，所有關(guān)鍵部件采用冗余設(shè)計，包括主控板、交換網(wǎng)、電源和風扇等；采用無源背板設(shè)計，避免機箱出現(xiàn)單點故障；所有單板支持熱插拔功能，并且對其它單板上運行的業(yè)務無影響。漢柏建議各區(qū)域采用OSPF路由協(xié)議實現(xiàn)互聯(lián)互通，路由策略設(shè)計如下： 1)對于外聯(lián)核心交換機啟用三個OSPF進程，分別與對外接入?yún)R聚交換機、骨干網(wǎng)漢柏科技有限公司 ：4007068366接入路由器、VOD承載網(wǎng)接入路由器建立鄰居，分別學習到數(shù)據(jù)中心網(wǎng)絡路由、骨干網(wǎng)路由及VOD承載網(wǎng)路由，然后將數(shù)據(jù)中心網(wǎng)絡路由重分布到骨干網(wǎng)和VOD承載網(wǎng)，而骨干網(wǎng)和VOD承載網(wǎng)之間不重分布路由，以防止骨干網(wǎng)用戶能夠訪問VOD承載網(wǎng)數(shù)據(jù)。其它業(yè)務區(qū)域服務器網(wǎng)關(guān)均部署在匯聚交換機上，防火墻透明部署，并增加安全訪問控制策略。IP地址的規(guī)劃應盡可能和網(wǎng)絡層次相對應，應該是自頂向下的一種規(guī)劃。 IP地址設(shè)計IP地址設(shè)計分設(shè)備管理地址設(shè)計、互聯(lián)地址設(shè)計、業(yè)務地址設(shè)計，漢柏認為廣電數(shù)據(jù)中心網(wǎng)絡IP地址規(guī)劃應按如下原則進行：l IP地址規(guī)劃主要涉及到網(wǎng)絡資源利用的方便有效的管理網(wǎng)絡的問題