信息安全管理系统建设实施方案.pdf

WORD 资料.可编辑XXXXXX 有限公司有限公司信息安全管系统信息安全管系统建设方案建设方案天津市国瑞数码安全系统有限公司天津市国瑞数码安全系统有限公司二一三八月二一三八月专业技术.整理分享WORD 资料.可编辑目录目录1 12 23 3项目背景和必要性项目背景和必要性 . 3 . 3系统现状和需求分析系统现状和需求分析. . 5. 5建设方案建设方案 . 6. 63.13.2建设原则 . 6系统设计 . 83.2.1系统总体逻辑架构 .83.2.2 IDC信息安全管系统架构 .113.2.3系统部署及网络扑 .123.2.3.1总体网络部署. 123.2.3.2系统管端部署. 133.2.3.3执单元（EU）部署. 153.2.4项目实施所需资源 . 错误！未定义书签。错误！未定义书签。3.3建设内容 . 163.3.1 ICP/IP地址备案管系统.163.3.1.1待办事宜.163.3.1.2ICP 备案管 . 163.3.1.3IP 备案管 . 183.3.1.4未备案网站管. 193.3.1.5黑名单管. 193.3.1.6数据导入导出. 193.3.1.7用户授权管. 193.3.1.8系统管.203.3.2 IDC信息安全管系统 .203.3.2.1基础数据上报. 203.3.2.2基础数据监测. 203.3.2.3访问日志管. 213.3.2.4违规网站管. 213.3.2.5信息监测发现. 213.3.2.6综合管控管. 223.3.2.7管局指管. 223.3.2.8统计查询管. 233.3.2.9用户授权管. 233.3.2.10系统管 . 233.3.3接入资源管系统 .233.3.3.1物资源管. 233.3.3.2逻辑资源管. 243.3.3.3客户信息管. 243.3.3.4资源间的关联. 243.3.3.5资源信息统计. 253.3.3.6日志管.253.3.3.7用户授权管. 26专业技术.整理分享WORD 资料.可编辑3.3.3.8系统管.263.43.53.63.7与管局备案系统的集成方案. 26与 SMMS 系统的对接方案 . 26与电信业务市场综合管系统的对接方案. 27安全可靠性设计 . 273.7.1系统安全概述.273.7.1.1系统安全概述. 273.7.1.2安全设计目标. 28系统安全体系架构 .29安全防护.293.7.3.1物安全.293.7.3.2网络安全.303.7.3.3操作系统安全. 323.7.3.4用户认证与授权. 323.7.3.5通信安全.323.7.3.6数据存储安全. 333.7.3.7可审计性.333.7.3.8设备冗余.333.7.3.9灾难备份.34安全管.343.7.23.7.33.7.44 45 5预期工期预期工期 . 37. 37软硬件清单软硬件清单 . .错误！未定义书签。专业技术.整理分享WORD 资料.可编辑1 1 项目背景和必要性项目背景和必要性近来，国家断加大对互联网的监管和治工作。中央针对加强互联网管工作，先后下发中办发2004 32 号、中办发 2010 24 号，中发 201111 号、工信部电管2009672 号、工信部电管2009188 号、工信部通保2011 280 号等，明确职责分工、强化互联网管要求。2011 ，中央在 关于加强和创新社会管的意见（中发201111 号）中明确要求加强网络技术手段和管建设，完善网上有害信息的监测和查处机制，提高发现和处置能。201211 月，工信部发布关于进一步规范因特网数据中心（IDC）业务和因特网接入服务（ ISP）业务市场准入工作的实施方案（工信部电管函2012552 号，以下简称实施方案）。实施方案要求：“申请 IDC 和 ISP业务的企业，应建设独并具有以下功能的IDC 和 ISP 企业资源和业务管系统：建设企业端互联网网站备案管系统，记录并及时变所接入网站的主体信息、联系方式和接入信息等，并实现与部、网站备案管系统的连接。建设企业接入资源管平台，记录接入资源的分配、使用、出租、转让等信息，对接入资源异常使用实日常发现、分析和处置，并实现与部电信业务市场综合管系统的连接。按照互联网数据中心和互联网接入服务信息安全管系统技术要求和互联网数据中心和互联网接入服务信息安全管系统接口规范等标准要专业技术.整理分享WORD 资料.可编辑求，建设 IDC 和 ISP 信息安全技术管手段，具备基础数据管、访问日志管、违法违规网站及违法信息发现处置等技术能。xxxx 作为申请 IDC 业务许可的企业，须实国家关于互联网管的有关要求，对企业网络信息安全保障依法实施监督管，尽快建相关系统，维护互联网网络信息安全。专业技术.整理分享WORD 资料.可编辑2 2 系统现状和需求分析系统现状和需求分析目前，xxxxxx 主要提供互联网云平台服务，尚没有建设实施方案中要求的 3 套业务管系统。xxxxxx 拥有 IDC 机房有 5 个 ，现状如下：石家庄联通信息中心机房：机房出入口总带宽是为 1G。温州电信十分局机房：机房出入口总带宽是为 1G。京APNIC 兆维机房：机房出入口总带宽是为 1G。成电信西信机房：机房出入口总带宽是为1G。广州电信七星岗机房：机房出入口总带宽是为 1G。根据建设需求，本期项目需要建设实施方案中要求的 3 套业务管系统，并全覆盖技术管控 IDC 机房的 2G 带宽。专业技术.整理分享WORD 资料.可编辑3 3 建设方案建设方案3.13.1 建设原则建设原则根据国家相关规范和项目建设需求，在本项目建设中，遵循如下建设原则：旧性旧性本项目建设充分考虑对现有应用系统的影响，通过模块化设计，内部功能高集中，外部各模块低关联，保证现有应用系统改动最小，并最大程的用已有系统。先进性先进性本项目建设中充分考虑实用和技术发展的趋势，平台服务器采用 LINUX 操作系统，平台服务器上的软件采用 JAVA 技术开发，整体开发架构合先进，即保证前端管方快速的需求，又能够使后台服务稳定、具有高的性能。系统建设选择的网络设备、服务器设备、数据库、操作系统以及 Web 应用服务器采用目前业界主的产品和技术。开放性开放性本项目的开放性表现在互操作能方面，项目建设应支持相关的国家和国际标准，支持多种平台和应用。安全可靠性安全可靠性本项目系统对系统的安全性、可靠性具有很高的要求。系统数据库中的敏专业技术.整理分享WORD 资料.可编辑感信息，网络中传输的备案信息、网站信息等数据，均需要进安全保护。系统的设计开发充分用认证技术、加密技术对数据进防护，并使用访问控制手段对外部访问进限制，最大程上确保系统的安全性。同时，系统必须要建完善的数据备份、系统备案与恢复机制，保证整个系统可用性和可靠性。标准化标准化系统的运支持标准的操作系统和服务器硬件环境，系统支持标准的密码算法、认证算法和数据压缩算法，支持标准的 XML 文件格式定义。本项目整体 JAVA 语言开发，通信协议采用标准的 TCP/IP。可扩展性可扩展性考虑到系统将来的变化，系统应具有好的扩展性。第一，在体系结构上应具有可伸缩性，以适应扩大业务范围和增加多种应用的需要，特别是系统硬件和软件应采用模块化的可扩展结构。第二，模块之间和本系统与外部系统之间通过标准接口交互。本项目系统的设计，关键服务如 Web 服务、数据库服务等，均可实现在线增加服务器，以提供大的服务能；系统提供的数据压缩、数据加密和消息认证等算法均可进扩展，以增加好的算法支持；系统定义的数据传输格式，使用 XML 文件，可以方进业务增减而无须改变通信程序。兼容性兼容性本系统必须兼容现有系统原有的必备功能及业务数据，并制定有效的系统整合策。操作性操作性系统必须坚持操作性原则，简单、用，高效、快捷，用户需要解专业技术.整理分享WORD 资料.可编辑其中的具体技术细节，通过系统提供的 WEB 管界面就能实现其管功能。可维护性可维护性系统应具备好的可维护性。系统的软、硬件系统具有好的模块化结构，保证系统设计的合性，配置相关的管手段。合法性合法性选用的产品符合国家的相关法、法规。3.23.2 系统设计系统设计3.2.13.2.1系统总体逻辑架构系统总体逻辑架构整个系统建设从逻辑功能上来讲，自上而下划分为四个层次：展现层、业务层、数据层、接口层等构成，其逻辑结构如下图所示。专业技术.整理分享WORD 资料.可编辑图：xxxxx 互联网云平台综合监管系统的逻辑结构如上图所示，系统由展现层、服务层、数据层、接口层等构成。展现层展现层是用户进策配置、结果查询、数据报备、安全管控、数据统计分析和导出等操作的管维护界面。 系统用户通过展现层进业务操作。专业技术.整理分享WORD 资料.可编辑业务层业务层为展现层提供网站备案管、 接入资源管、信息安全管等的业务集合。业务层是连接展现层和数据层的纽带， 通过业务层实现策的下发、报备和发现的基础资源信息入库、 综合管控信息入库、 同步的数据入库等。数据层数据层主要功能用来保存系统中的相关数据，具体包括：接入商数据机房、服务器、互联网出入口等资源数据ICP 数据IP 数据基础资源监测数据信息监测数据访问日志数据管控数据用户信息数据用户权限数据管策数据系统配置数据接口层接口层主要功能是实现与外部系统的接口。具体包括：与管局安全监管中心（SMMS）的接口专业技术.整理分享WORD 资料.可编辑与管局ICP/IP 地址备案管系统的接口与工信部电信业务市场综合管系统的接口与平台用户的接口根据系统的同类型集成的方式可能同，接口的表现形式也一样，这的接口只是逻辑上的接口。如， 与平台用户的接口仅仅是用户与系统的人机界面接口，而需要有单独的接口。3.2.23.2.2IDCIDC 信息安全管系统架构信息安全管系统架构IDC 信息安全管系统（Information Security Management System，简称ISMS）包括控制单元（Control Unit，简称 CU）和执单元（Execution Unit，简称 EU）两个部分。CU 负责与监管机构建设的安全监管系统（SMMS）进通信，接收来自SMMS的管指，并根据要求向 SMMS 上报数据， 同时 CU 将管指分发给EU 执，并接收 EU 对指的执结果和日志记录，实现对本单位各执点的EU 进集中管，完成管指的调、转发和执及数据的汇总、分析和预警。EU 捕获网络数据，识别数据包采用的网络协议，对所监测线主机的应用服务、网络代服务、网站域名、用户上网信息等进发现并及时上报CU，并响应 CU 的指，协议阻断违规网站/网页，使网站丧失服务功能。ISMS 的控制单元与执单元之间、以及ISMS 与 SMMS 之间的关系如下图所示：专业技术.整理分享WORD 资料.可编辑IDC/ISPIDC/ISP经营者经营者控制单元（CU）请求结果请求结果电信管理部门电信管理部门执行单元（EU）.信息安全管理接口(ISMI)执行单元（EU）安全监管系统安全监管系统（SMMSSMMS）信息安全管理系统信息安全管理系统（ISMS）图 ISMS 与 SMMS 之间的关系3.2.33.2.3系统部署及网络扑系统部署及网络扑3.2.3.13.2.3.1总体网络部署总体网络部署本项目系统的部署包括两个部分：一是部署系统管端（包括ICP/IP 备案管、控制单元（CU）和接入资源管）相关配套设备，二是在IDC 机房部署执单元（EU）配套设备。系统管端和EU 通过内网加密通信。专业技术.整理分享WORD 资料.可编辑3.2.3.23.2.3.2系统管端部署系统管端部署图：系统管端部署网络扑图项目系统管端（包括 ICP/IP 备案管、控制单元（CU）和接入资源管）的配套设备包括：信息填报服务器（可选）、分析处/接口服务器、管服务器、数据库服务器、磁盘阵、交换机、防火墙等。根据保护对象、防护措施、安全策以及网络应用需求等方面存在的差异，系统部署包括三个安全区：外网 DMZ 区、内网业务区、内网数据区。为保证系统的安全和高效的数据传输效，三个区的服务器均通过VLAN 或防火墙进逻辑隔离。只有外网DMZ 区允许来自互联网的数据交互，其他两个区允许从互联网进访问，且只允许外网DMZ 区内的相关服务来读取数据。同安全区的用户/服务器用户进通信要严格限制访问的类型、端口、IP 地址。系统通过互联网与通信管局侧SMMS 系统进连接，通过内网与EU（IDC 管控设备）进连接。专业技术.整理分享WORD 资料.可编辑外网 DMZ 区外网 DMZ 区的主要功能是向管局侧系统上报的数据，并提供数据采集和分析处服务。外网 DMZ 区包括：信息填报服务器（可选） 、分析处/接口服务器 1 台。分析处/接口服务器上主要部署与外部系统通信的接入服务和数据采集 /预处服务。信息填报服务器是可选服务器， 主要提供ICP备案数据及基础数据填报服务，满足网站主办者自报备网站备案信息的需要和IDC/ISP 互联网填报基础数据的需要，用户可根据需要选择配备。内网业务区内网业务区的主要功能是系统台提供用户管、授权管、应用服务、审计等基础业务的支撑和服务。内网业务区包括：管服务器1 台。管服务器上主要部署ICP/IP 备案管系统的Web 应用服务、接入资源管系统的Web 应用服务和 IDC 信息安全管系统的Web 应用服务。内网数据区内网数据区的主要功能是汇集系统全部数据和文件，进分析处、存储，并提供数据支撑服务。内网数据区包括：数据库服务器1 台、磁盘阵1 台。数据库服务器及磁盘阵采用Raid 技术，充分保证数据存储的安全可靠。数据库服务器上主要部署 ICP/IP 备案管系统的数据库、接入资源管系统的数据库和 IDC 信息安全管系统的数据库。注：本案中的防火墙需要做 NAT，使外网 DMZ 交换机上连接的 2 台服务器能专业技术.整理分享WORD 资料.可编辑够连接互联网。3.2.3.33.2.3.3执单元（执单元（EUEU）部署）部署执单元（EU）配套设备包括： 5 台探针执单元的部署方式为： 在机房出入口，对 IDC 机房核心交换/核心由器的上联链进双向分光，然后通过端口镜像的方式分入探针（EU） 。 探针（EU）监控网络，实时监测监控网络数据信息并将发现的有关信息通过互联网加密上报到控制单元（ CU） ，控制单元（CU）汇集各机房上报的网络信息并进统一管。实时监测用户的访问请求，记录访问日志，并依据当前的策协议阻断违规网站/网页，使其丧失服务功能。图 执单元EU 部署网络扑图专业技术.整理分享WORD 资料.可编辑3.33.3 建设内容建设内容根据需求分析， 为达到相关管部门的管要求，本期项目的建设内容如下：在业务系统方面， 新建 ICP/IP 地址备案管系统，记录并及时变所接入网站的主体信息、联系方式和接入信息等。新建 IDC 信息安全管系统（ISMS） ，覆盖监管 xxxxx 上海 IDC 机房共 20G 带宽，具备基础数据管、访问日志管、违法违规网站及违法信息发现处置等技术能；新建接入资源管系统，记录接入资源的分配、使用、出租、转让等信息，对接入资源异常使用实日常发现、分析和处置。在系统集成方面， 实现 ICP/IP 地址备案管系统与部网站备案管系统的连接；实现接入资源管系统与部电信业务市场综合管系统的连接；实现 IDC 信息安全管系统与通信管局SMMS 的对接。在相应配套设施方面， 建设防火墙、 管服务器、 分析处/接口服务器、数据库服务器、磁盘阵、交换机、EU 探针等硬件设备。3.3.13.3.1ICP/IPICP/IP 地址备案管系统地址备案管系统3.3.1.13.3.1.1待办事宜待办事宜对登录系统的当前账号，显示其待办的相关事项在首页。3.3.1.23.3.1.2ICPICP 备案管备案管为接入服务提供者 ICP 报备单位提供 ICP 备案的录入、核实、审批、变、注销、退回处、黑名单、未备案网站、核查结果、查询、统计等管功能。为接入商提供接入的用户， 即网站主办者， 提供 ICP 备案的自录入、 注销、进查询、个人信息维护等管功能，帮助网站主办者在企业系统完成备案。专业技术.整理分享WORD 资料.可编辑支持接入商内部多级报备管，实现ICP 报备实时动态新，确保ICP 报备信息的准确性。3.3.1.2.13.3.1.2.1主体备案管主体备案管主体信息的备案信息添加、修改、删除的管。3.3.1.2.23.3.1.2.2网站备案管网站备案管网站信息的备案信息添加、修改、删除的管。3.3.1.2.33.3.1.2.3接入备案管接入备案管接入信息的备案信息添加、修改、删除的管。3.3.1.2.43.3.1.2.4退回处管退回处管对于审核通过的信息进捷的再处提交的数据管功能。3.3.1.2.53.3.1.2.5备案内审管备案内审管对于 ICP 信息的层级审核，内部回退，审批的管功能。3.3.1.2.63.3.1.2.6公共备案查询公共备案查询可在系统内部对公共查询进集中调用，可进批查询功能。3.3.1.2.73.3.1.2.7备案数据分配备案数据分配对于现有存数据，可进对已建账号的绑定，分配。专业技术.整理分享WORD 资料.可编辑3.3.1.2.83.3.1.2.8备案数据回收备案数据回收对于由于操作失误导致的错误数据分配功能，进数据定向回收。3.3.1.33.3.1.3IPIP 备案管备案管为接入服务提供者 IP 报备单位提供 IP 地址来源、IP 地址分配及使用信息、IP 地址广播信息、自带 IP 地址信息、IP 地址信息等的录入、修改、删除、分配、内部审核、退回处、查询、统计等管功能。支持接入商内部多级报备管，实现IP 报备实时动态新，确保IP 报备信息的准确性。3.3.1.3.13.3.1.3.1来源信息管来源信息管对于 IP 的来源信息进录入、变及注销等操作。3.3.1.3.23.3.1.3.2分配信息管分配信息管对 IP 新的自用、已分配、再分配等多种数据信息状态进新增、修改、删除等信息的管。3.3.1.3.33.3.1.3.3广播信息管广播信息管对广播数据进添加、修改、删除的信息操作。3.3.1.3.43.3.1.3.4大段资源管大段资源管可对大段资源的信息进集中分配管。专业技术.整理分享WORD 资料.可编辑3.3.1.3.53.3.1.3.5可用资源管可用资源管可对于没有分配出去的资源进可用资源查看并进分配操作的管功能。3.3.1.3.63.3.1.3.6分配信息审核分配信息审核对于同级别或者用户组提交的报备信息进审核的管操作，实现内部多级管。3.3.1.43.3.1.4未备案网站管未备案网站管对于管局系统下发的未备案网站名单进信息显示的管功能。3.3.1.53.3.1.5黑名单管黑名单管对管局系统下发的黑名单进信息显示管功能。3.3.1.63.3.1.6数据导入导出数据导入导出可对 ICP/IP 地址等基础录入数据进批导入，免去每条数据需要手动填写的麻烦。可实现对于系统内的常用数据进导出。3.3.1.73.3.1.7用户授权管用户授权管实现系统用户的统一身份认证、 集中用户管、资源的统一管以及集中授权管和集中审计管。系统中同功能单元的操作和使用权限可通过权限功能予以授权和划分， 同时在同一功能单元中可对同的使用者授权同的管和操专业技术.整理分享WORD 资料.可编辑作权限。未经授权的用户得使用本系统的相应功能。3.3.1.83.3.1.8系统管系统管为保障系统正常、稳定、有效、安全地运，系统提供本身的集中配置管，包括：系统基本设置、通信参数配置、系统日志等，并对系统、服务程序的运状态进实时监控。3.3.23.3.2IDCIDC 信息安全管系统信息安全管系统IDC 信息安全管系统主要实现基础数据管、访问日志管、信息安全管、 违法网站管等功能，以满足 IDC/ISP 经营单位自身的信息安全监管需求和监管机构的监管需求。其主要功能如下：3.3.2.13.3.2.1基础数据上报基础数据上报实现基础数据的集中管，包括基础数据导入、添加、删除/修改和上报等。基础数据包括：IDC/ISP 经营单位信息、机房和 IDC/ISP 用户数据。基础数据新后增上报，将含修改内容的记录上报给SMMS，SMMS 可对基础数据进查询。3.3.2.23.3.2.2基础数据监测基础数据监测系统能够对机房内网络协议、网站、应用服务、IP 地址等进采集、监测，并对机房内的应用服务访问进统计。此外， 系统对机房内的 IP 使用方式进监测，能够实时发现未报备 IP 地址专业技术.整理分享WORD 资料.可编辑接入、发现实际使用情况与报备符的IP。对发现异常的 IP 地址记录：IP、登记使用方式、登记域名、异常类型（使用方式或登记域名异常）、实际使用方式、实际域名、发现时间等监测信息。采集、监测及统计信息及时上报，并供 SMMS 查询。3.3.2.33.3.2.3访问日志管访问日志管系统对 IDC/ISP 的上数据进监测，并记录和统计访问信息，形成访问日志，并供 SMMS 查询，以事后IDC 机房的用户为审计分析。访问日志至少包括源/目的 IP，源/目的端口、访问时间，属于HTTP 协议的存URL。访问日志查询、统计支持时间、IP 及 URL 等组合查询、统计条件。访问日志存时间要求满足互联网信息服务管办法。3.3.2.43.3.2.4违规网站管违规网站管系统提供违法违规网站的发现、 处置及上报功能，并记录违法违规网站的域名、IP、服务内容、违法违规类型以及当前状态（已处置或未处置）、处置人账号、处置时间，定时上报给 SMMS(上报周期为日)，并供 SMMS 查询。3.3.2.53.3.2.5信息监测发现信息监测发现系统能够根据监测指对IDC/ISP 的双向数据进监测，对发现的违法信息进记录，形成监测日志，并及时上报给SMMS。支持根据 IP 地址、域名、URL 地址、违法关键词等条件设置监测规则。专业技术.整理分享WORD 资料.可编辑监测日志记录包括源/目的 IP，源/目的端口、违法信息、采集时间以及触发监测动作的监测指标识，对HTTP 协议还记录 URL，存在代为的记录代类型、代IP。对于监测发现的服务器及网络中的信息，除监测日志信息外，存相关内容数据的镜像，并以醒目方式标识信息。3.3.2.63.3.2.6综合管控管综合管控管系统根据过滤指对IDC/ISP 的双向数据进监测，对发现的违法信息进过滤处置，并进记录，形成过滤日志，及时上报给SMMS。支持根据 IP 地址、域名、URL 地址、关键词等条件设置过滤规则。杜绝未备案先接入、黑名单网站再次接入，有效实“先备案后接入、“谁经营，谁负责的原则。已隔离的未备案网站，一经备案自动解除隔离。过滤日志记录包括源/目的 IP，源/目的端口、违法信息、采集时间以及触发过滤动作的过滤指标识，对HTTP 协议还记录 URL，存在代为的记录代类型、代IP。系统还提供黑白名单管功能，用户可针对IP 地址、域名等设置白名单，系统对匹配白名单规则的数据进监测、过滤。用户可针对域名、IP 地址、URL 等用户可设置黑名单，匹配命中的数据均被根据策处置（阻断、通知等）。3.3.2.73.3.2.7管局指管管局指管系统对管局SMMS 下发至本企业的各种指，包括：管指、查询指、新指和基础数据指，提供指同步、查询、查看、下发，以及指执状专业技术.整理分享WORD 资料.可编辑态和结果的查询等管功能。3.3.2.83.3.2.8统计查询管统计查询管对基础资源数据、信息监测数据、违法违规网站信息、访问日志信息、过滤处置信息等，支持按照日、月、季、等周期提供多种数据分析报告。统计报表的显示形式可为数据表、 饼状图、柱状图或曲线图等形式灵活显示。3.3.2.93.3.2.9用户授权管用户授权管实现系统用户的统一身份认证、 集中用户管、资源的统一管以及集中授权管和集中审计管。系统中同功能单元的操作和使用权限可通过权限功能予以授权和划分， 同时在同一功能单元中可对同的使用者授权同的管和操作权限。未经授权的用户得使用本系统的相应功能。3.3.2.103.3.2.10 系统管系统管为保障系统正常、稳定、有效、安全地运，系统提供本身的集中配置管，包括：系统基本设置、通信参数配置、执单元管、系统日志等，并对系统、服务程序的运状态进实时监控。3.3.33.3.3接入资源管系统接入资源管系统3.3.3.13.3.3.1物资源管物资源管实现物资源的报备和管。物资源包括：机房、机架柜、网络设备、主专业技术.整理分享WORD 资料.可编辑机服务器。支持对物资源信息进新增、删除、修改、查看等操作，具体如下：a) 对机房信息进新增、删除、修改和查看等操作。b) 对机架柜进新增、删除、修改、查看、预和取消预等操作。d) 对网络设备进新增、删除、修改、查看、上架和下架等操作。d) 对机架柜上的主机服务器进新增、删除、修改、查看、上架和下架等操作。3.3.3.23.3.3.2逻辑资源管逻辑资源管实现对逻辑资源的报备和管，包括：a) 对IP地址段进新增、删除、修改、查看、预和分配等操作。3.3.3.33.3.3.3客户信息管客户信息管系统可以对客户信息进登记、注销、修改和查看等操作；或者通过其他方式（如从企业已有的客户管系统）获取对客户信息的登记、注销、修改等操作结果，并可查看客户信息的内容。3.3.3.43.3.3.4资源间的关联资源间的关联系统可以根据业务出租、业务续租、业务变、业务转让、业务退租等同的业务状态，建、变、解除物资源、逻辑资源和客户信息三者间的关联关系，从而反映接入资源的使用情况。专业技术.整理分享WORD 资料.可编辑3.3.3.53.3.3.5资源信息统计资源信息统计对基础资源数据支持按照日、月、季、等周期和条件，提供多种数据分析报告。包括：a) 统计本企业的IDC机房数、机房建筑面积、每个机房的机架柜总数、每个机房的机架柜使用数、机房所在城市及相关信息；b) 统计本企业的IP地址总数、IP地址使用数、虚拟主机数及相关信息；c) 统计本企业的ICP用户数、 ISP用户数、 IDC用户数、 专线用户数、其他用户数及相关信息等。统计报表的显示形式可为数据表、 饼状图、柱状图或曲线图等形式灵活显示。3.3.3.63.3.3.6日志管日志管系统提供完备的日志管功能，包括资源分配日志，异常处日志，系统日志等。并且提供对日志的查询、统计和维护功能。查询到的日志能够输出到文件中进保存。3.3.3.6.13.3.3.6.1资源分配日志资源分配日志资源分配日志记录资源的日常分配， 做到所有资源的可追溯性，可以查询到所有接入资源的使用情况。3.3.3.6.23.3.3.6.2异常处日志异常处日志异常处以日志的方式进管。专业技术.整理分享WORD 资料.可编辑3.3.3.6.33.3.3.6.3系统日志系统日志系统日志记录系统用户的所有对资源的增、删、改及访问操作，同时还提供系统自身运情况日志，可以方的追溯到每个用户的操作记录。3.3.3.73.3.3.7用户授权管用户授权管实现系统用户的统一身份认证、 集中用户管、资源的统一管以及集中授权管和集中审计管。系统中同功能单元的操作和使用权限可通过权限功能予以授权和划分， 同时在同一功能单元中可对同的使用者授权同的管和操作权限。未经授权的用户得使用本系统的相应功能。3.3.3.83.3.3.8系统管系统管为保障系统正常、稳定、有效、安全地运，系统提供本身的集中配置管，包括：系统基本设置、通信参数配置等，并对系统、服务程序的运状态进实时监控。3.43.4 与管局备案系统的集成方案与管局备案系统的集成方案根据工业和信息化部ICP/IP地址/域名信息备案管系统企业系统接口规范 ，实现本项目系统与管局侧备案管系统的对接。3.53.5 与与 SMMSSMMS 系统的对接方案系统的对接方案根据互联网数据中心和互联网接入服务信息安全管系统接口规范 ，实现本项目系统与管局侧的SMMS的对接。专业技术.整理分享WORD 资料.可编辑3.63.6 与电信业务市场综合管系统的对接方案与电信业务市场综合管系统的对接方案根据 部电信业务市场综合管信息系统与企业资源管平台间接口规范，实现本项目系统与部电信业务市场综合管信息系统的对接。3.73.7 安全可靠性设计安全可靠性设计3.7.13.7.1系统安全概述系统安全概述3.7.1.13.7.1.1系统安全概述系统安全概述本项目系统中传输着管控指、监测数据、访问日志等敏感信息，因此，系统的总体安全性十分重要。互联网云平台综合监管系统安全主要由四个方面组成：即物安全、网络安全、信息安全、安全管。1物安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪为导致的破坏过程。它主要包括：环境安全、设备安全、媒体安全等三个方面。2网络安全：系统（主机、服务器）安全、防病毒、系统安全检测、入侵检测（监控） 、审计分析、网络运安全、备份与恢复应急、局域网、子网安全访问控制（防火墙） 、网络安全检测等。3信息安全主要涉及到信息传输的安全、信息存储的安全以及对网络传输信息内容的审计三个方面。4安全管包含人员的管、安全管制制定，安全教育培训等。专业技术.整理分享WORD 资料.可编辑3.7.1.23.7.1.2安全设计目标安全设计目标互联网云平台监管项目系统安全系统建设应在物安全、网络安全、信息安全、安全管四个方面分别进，通过安全建设，使整个网络能面对目前和未来一段时期内的安全威胁，实现对全网安全状况的统一监控和管，好地保障整个网络的正常运。1建完整的安全体系，将网络系统建设成为一个基于统一平台上的，能够对系统安全状态集中监管的系统，主要包含网络中的主机设备、网络设备、存储设备、备份设备、数据库管、中间件、应用软件等，保障互联网云平台综合监管系统的正常运。2建网络系统整体病毒防范体系，实现当业务网络和内部用户网络遭受病毒的攻击时，确保网络平台的安全健壮性。3实现对网络的安全访问控制，防止非法访问与破坏，同时具有严密的跟踪审计功能和分析处能。4实现网络信息的安全性。信息的安全性包括数据的完整性和安全性，系统应设置周密的数据摘要和数字签名系统，防止数据传输过程中被窃取或篡改。5保证各应用系统和数据库的资源安全。对网络中的各应用系统和数据库资源进保护，确保网络中有关工作的顺开展。6建设网络安全检测监控系统，实时监测网络运状况，提供快速响应故障的手段，同时系统应具有较强的网络入侵检测和监控预警能。7建网络的安全评估体系。8建完善网络安全管体系。专业技术.整理分享WORD 资料.可编辑3.7.23.7.2系统安全体系架构系统安全体系架构互联网云平台监管项目系统的安全体系架构由安全防护和安全管组成。安全防护主要是指如何恰当的选用当前各种安全技术体系构建整个系统安全。安全管贯穿于上述各个模块和系统中， 实践表明仅有安全技术防范，而无严格的安全管体系相配套，是难以保障系统安全的。必须制定一系安全管制，对安全技术和安全设施进管。从全局管角来看，要制定全局的安全管策；从技术管角来看，要实现安全的配置和管；从人员管角来看，要实现统一的用户角色划分策，制定一系的管制规范，并进人员安全培训。上述所有模块与系统均构架运于国家有关计算机安全法与政策、安全标准和规范及相关规定基础之上。3.7.33.7.3安全防护安全防护本方案从物安全、 网络安全、 操作系统安全、 用户认证与授权、 通信安全、存储安全、可审计性、设备冗余、灾难备份等方面全面保障系统的安全性。3.7.3.13.7.3.1物安全物安全为保证信息网络系统的物安全，除在网络规划和场地、环境等要求之外，还要防止系统信息在空间的扩散。 计算机系统通过电磁辐射使信息被截获而失秘的案已经很多， 在论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原显示给计算机系统信息的保密工作带来极大的危害。 为防专业技术.整理分享WORD 资料.可编辑止系统中的信息在空间上的扩散，通常是在物上采取一定的防护措施，来减少或干扰扩散出去的空间信号。通常采取的防范措施主要是：1对主机房及重要信息存储、收发部门进屏蔽处，即建设一个具有高效屏蔽效能的屏蔽室，用它来安装运主要设备，以防止磁鼓，磁带与高辐射设备等的信号外泄。为提高屏蔽室的效能，在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计，如信号线、电话线、空调、消防控制线，以及通风波导，门的关起等。2对本地网、局域网传输线传导辐射的抑制。由于电缆传输辐射信息的可避免性， 现均采用光缆传输的方式，大多数均在 Modem 出来的设备用光电转换接口，用光缆接出屏蔽室外进传输。3对终端设备辐射的防范。终端机尤其是 CRT 显示器，由于上万伏高压电子的作用， 辐射有极强的信号外泄，但又因终端分散使用宜集中采用屏蔽室的办法来防止， 故现在的要求除在订购设备上尽选取低辐射产品外，目前主要采取主动式的干扰设备如干扰机来破坏对应信息的窃复。3.7.3.23.7.3.2网络安全网络安全防火墙防护防火墙防护防火墙保护是网络安全性设计中重要的一环，本方案中通过部署防火墙，将互联网云平台监管项目系统的相关硬件设备隔离起来， 既限制外部网络对系统的非授权访问，又限制内部用户对外部的非授权访问。访问策访问策为保障系统安全，系统从逻辑上划分为对外服务区和内部服务区，对外服专业技术.整理分享WORD 资料.可编辑务区允许来自互联网的数据交互； 内部数据区允许从互联网进访问，只允许对外服务区内的服务区来读取数据。同安全区的用户/服务器用户进通信要严格限制访问的类型、端口、IP 地址。网络防病毒网络防病毒威胁网络安全的因素除恶意攻击外，计算机病毒也是常见的因素。本方案建议项目系统中的所有主机设备需要用网络防病毒产品，建网络病毒防护体系。在防病毒选型部署管上采取“点“线 “面的体部署方式，即采用多层次的防病毒防范体系。从防病毒部署上“点即在关键的网络核心点上部署防病毒系统； “线即在安装各种类型操作系统和应用的服务器上部署防病毒系统； “面即在所有联网客户端部署防病毒系统。从防病毒管上“点即各个安装防病毒软件的客户端； “线即按单位机构划分“点的集合；“面即囊括所有“点 “线的全集，换话就是全网统一管、单位部门自主管、个人自主负责的方式进防病毒管。入侵检测入侵检测入侵检测系统（简称“IDS ）是一种对网络传输进即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备，IDS 是一种积极主动的安全防护技术。 本项目建议采用入侵检测系统， 以提高项目系统的安全抗攻击能。扫描扫描检测和安全风险评估技术，因其可预知主体受攻击的可能性以及将要发生的为和产生的后果，而受到网络安全业界的重视。这一技术的应用可帮助识专业技术.整理分享WORD 资料.可编辑别检测对象的系统资源，分析这一资源被攻击的可能指数，解支撑系统本身的脆弱性，评估所有存在的安全风险。网络可能存在如下：系统设置配置当使得普通用户权限过高管员由于操作当给系统安装后门程序系统本身或应用程序存在可被用的对于网络安全来说，安全性取决于所有安全措施中最薄弱的环节，及时有效的弥补系统存在的，是系统安全稳定运的前提。本方案建议采用网络扫描工具、系统扫描工具、实时扫描工具来进检测。3.7.3.33.7.3.3操作系统安全操作系统安全建议本项目所有服务器均采用 Linux 操作系统。所有服务器均仅开放必须的网络服务，如备案系统应用软件服务端口、SSH。所有操作系统均需要定期进安全加固。3.7.3.43.7.3.4用户认证与授权用户认证与授权系统采用基于角色的授权管，并坚持最小权限原则，以减少用户越权进业务操作的现象，最大程的保证系统的安全。3.7.3.53.7.3.5通信安全通信安全互联网云平台监管项目系统服务器之间除使用数据加密技术对通信数据进专业技术.整理分享WORD 资料.可编辑保护外，还对通信的双方（主要是请求方）进身份认证。用户可以使用浏览器访问互联网云平台监管项目系统 WEB 服务。系统采用IP 限定、电子钥匙和数字证书对用户进双因素身份认证，确保只有授权的用户才能使用系统功能。管局和企业之间的数据传输由接口服务器进。管局-企业通