南充市公安局 信息网边界接入平台建设项目政府采购 竞争性谈判文件南充市政府采购中心 2011年元月 第一部分 谈判邀请函 南充市政府采购中心受南充市财政局的委托,拟对南充市公安局信息网边界接入平台建设项目进行竞争性谈判.由于本项目的特殊性,经政府采购监管部门批准,拟决定邀请已通过公安部测试的边界接入平台产品生产商在四川的代理商参加竞争性谈判. 一、采购编号:NCTP11N001 二、采购项目:南充市公安局信息网边界接入平台建设项目政府采购 三、资金来源:财政预算 四、采购项目简介:信息网边界接入平台建设(详见谈判文件). 五、报价人应具备的资格条件: 邀请已通过公安部测试的边界接入平台产品生产商在四川的代理商:成都翰东科技有限公司、四川川大能士信息安全有限公司、成都康赛电子科大信息技术有限公司参加谈判; 六、供应商家数计算: 所报产品为同一品牌同一型号的视为一家,如果有多家供应商以同一品牌同一型号产品参加报价的,应作为一个报价人计算,以符合谈判文件要求的最低报价者为该品牌及型号产品的唯一有效报价人. 七、资格审查: 除明确要求在购买谈判文件时需提供的资格证明文件外,本项目报价供应商的资格条件在谈判时进行审查.供应商应在报价文件中按谈判文件的规定和要求附上所有的资格证明文件,要求提供的复印件必须加盖单位印章,并在必要时提供原件备查.若提供的资格证明文件不全或不实,将导致其报价或成交资格被取消,并按政府采购法的相关规定予以处理. 八、谈判文件发售时间、地点: 谈判文件自2011年1月17日至2011年1月21日9:00- 18:00(上班时间,节假日除外)在南充市市政府新区二号楼市政府采购中心407室购买.谈判文件售价:人民币150元/份(谈判文件售后不退, 报价资格不能转让). 供应商购买谈判文件时须携带公司组织机构代码证(原件)、税务登记证(原件)、营业执照副本(原件)以及上述文件的复印件(加盖公章).参加本项目报价的负责人,如不是企业法人代表,还需携带法人委托书.上述要求和证照要同时具备. 九、报价截止时间:2011年1月25日上午9:30分(北京时间). 报价文件必须在报价截止时间前送达谈判地点.逾期送达或密封和标注不符合谈判文件规定的报价文件恕不接受.本次谈判不接受邮寄的报价文件. 十、谈判地点:南充市市政府新区二号楼二楼会议室. 十一、谈判保证金:壹万伍仟元正. 十二、本谈判邀请函在四川政府采购网上以公告形式发布. 采购中心联 系人:杜女士 联系电话:0817-2221768 传真:0817-2221768 地址:南充市市政府新区二号楼 邮编:637000 采购单位联系人及电话:吴女士 0817—2808367 二一一年一月十三日 NCTP11N001号谈判情况一览表 序号 内容1项目名称:南充市公安局信息网边界接入平台建设项目政府采购 2 采购方式:竞争性谈判 3 组织谈判机构:南充市政府采购中心 地址:南充市财政局4楼407室电话:0817-2221768 传真:0817-2226108 4 谈判保证金形式:银行转帐或电汇 (拒收现金) 谈判保证金转帐或汇入下列帐户: 收款单位:南充市政府采购中心 帐号:0511001710015030 开户行:南充市商行营业部 交款截止时间:2011年1月24日17时5报价有效期:60 天6报价文件份数:正本一份、副本五份 7 报价文件递交至:南充市财政局二楼会议室 8 采购编号:NCTP011N001号9谈判地点:南充市财政局二楼会议室 第二部分 谈判须知 一、合格供应商的要求: 已通过公安部测试的边界接入平台产品生产商在四川的代理商:成都翰东科技有限公司、四川川大能士信息安全有限公司、成都康赛电子科大信息技术有限公司参加谈判; 二、谈判规定 (1)参加谈判的供应商应于2011年1月25日上午9: 30分以前到达谈判地点; (2)报名截止时间:2011年1月21日下午5:30时(北京时间); (3)谈判开始时间:2011年1月25日上午9: 30分(北京时间); (4)参加谈判的供应商的报价应包括运输、安装、调试等全部税费,并提供税务发票; 三、履约保证金 (1)成交人的谈判保证金直接转为履约保证金; (2)用于保护采购人免受供应商不全面履行合同而造成的风险和损失; (3)金额为人民币15000.00元(壹万伍仟元整); (4)成交人拒交履约保证金或拒签合同的,将被取消成交供应商资格,并按采购法相关规定进行处罚; (5)成交人不按合同履约的,履约保证金将不予退还; (6)成交人按要求合同执行完毕,达到采购人要求即无息退还履约保证金. 四、项目完成时间:2011年月日前完成安装调试. 五、合同签订及款项支付 (1)政府采购合同由采购人和成交人签订,送政府采购监管部门审核确认后执行. (2)本项目设备安装完毕,由南充市公安局组织相关技术人员、纪检人员按审核的合同验收确认. (3)凭南充市公安局验收证明,由南充市政府采购中心向供应商支付90%货款,设备正常运行12个月无质量问题后,于七个工作日内向供应商付清余款. 六、谈判费用 供应商应承担参与谈判与自身有关的一切费用,无论谈判结果如何,采购人及代理机构对上述费用不承担任何责任与义务. 第三部分 谈判(一)谈判小组 1南充市政府采购中心根据谈判内容组建谈判小组,其成员由采购人代表和有关方面专家组成三人谈判小组.谈判小组负责对所有谈判文件及谈判情况进行审查、质疑、比较、评定. 2、谈判小组成员评审工作在谈判小组内独立进行.供应商对南充市政府采购中心或谈判小组或小组成员施加影响的任何行为,都将导致其谈判资格的取消. (二)谈判程序及内容 1、南充市政府采购中心按照规定的时间和地点组织谈判. 2、根据报名供应商家数,至少确定三家供应商参加谈判. 3、谈判须由供应商法人代表或法人授权代表(具有授权委托书,出示身份证复印件及原件备查)参加,并签名报到以证明其出席谈判,否则视为弃权.每一家供应商参加谈判的人员最多为2人. 4、谈判过程中如有供应商退出谈判,则视为该供应商弃权,谈判仍可继续进行. 5、谈判按下列程序进行: (1)供应商谈判代表递交报价文件并签到.供应商报价文件的内容应包括下列内容: A、供应商基本情况; B、供应商应提供如下谈判证明文件,供谈判小组审查. 企业组织机构代码证(原件)、营业执照副本(原件)、税务登记证(原件)、安全产品需提供厂商(已通过公安部测试的)关于本项目的授权书 (原件)及上述证件加盖公章的复印件、法人代表委托书原件(提供法人身份证复印件,被委托人身份证复印件).供应商递交的谈判文件复印件必须按序胶装成册. C、供应商在售后服务方面的措施及其承诺; D、报价明细表; E、供应商需要说明的其他内容; (2)供应商谈判代表抽签确定谈判顺序; (3)宣布本次政府采购竞争性谈判的监督人员、主持人、工作人员名单以及评选原则和办法等事项.供应商可当场对需回避人员提出回避意见和理由,对所提需回避的人员进行核实确认后,该人员必须回避. (4)宣布第一轮谈判报价,供应商退场,谈判小组评审供应商递交的报价文件; (5)谈判小组根据评审情况,对需要补充的要求进行说明; (6)采取背靠背方式,对报价情况及安装、售后服务方面的措施及其承诺等方面进行谈判(可反复多次),参加谈判的供应商从第二轮起可根据具体情况书面调整其报价及服务承诺(签名并加盖公章), 但下一轮的报价不得高于上一轮的报价, 谈判小组应保证每个参与谈判的供应商机会均等,供应商自动放弃谈判机会的除外; (7)供应商针对谈判的情况进行书面承诺; (8)谈判小组根据谈判情况及供应商的书面承诺进行评审; (9)在所有参与此次谈判的供应商均已结束以上程序后,各供应商最后一次以书面形式确认最终报价; (10)谈判小组按最低价原则,推荐符合采购要求的成交人 (三)评选原则及办法 1、谈判小组按公开、公平、公正的原则对待所有供应商; 2、采用相同的程序和标准,对所有供应商的报价审查评比; 3、严格按照谈判文件规定的评审要求和标准进行; 4、本次谈判采用最低价法: 以供应商的最终报价为依据,在最终报价中以报价最低的供应商为成交供应商. 第四部分 确定成交人 (一)成交条件 成交人要具备以下条件: 承诺符合谈判文件的要求; 通过谈判小组评审; 能有效地履行合同; 符合其他要素的需求. (二)成交通知 1、确定成交人后,南充市政府采购中心以书面形式向成交人发出《成交通知书》;同时告知其他参加谈判的供应商. 2、成交通知书对采购人和成交人具有法律效力. 3、南充市政府采购中心将不对成交和未成交的原因作任何解释. 4、《成交通知书》将作为签订合同的依据.并作为合同的一个组成部分. 5、在《成交通知书》发出至合同签订期间,若出现成交人确有伪造成交资格或其他致使成交人已实质性地丧失履约能力的事由时,南充市政府采购中心可取消其成交资格,并没收其谈判(履约)保证金. 第五部分 信息网边界接入平台方案(社会企事业单位接入) 见下页 目录项目建设背景 13 第2章 市局应用现状及建设需求 14 2.1 南充市公安局接入业务现状 14 2.2 市局接入业务需求 14 第3章 边界接入平台方案设计 16 3.1 接入平台建设目标 16 3.2 接入平台建设依据 16 3.3 接入平台设计原则 17 3.3.1 符合性原则 17 3.3.2 统一规划和建设、分步实施原则 17 3.4 接入平台体系结构 17 3.4.1 平台体系结构 17 3.4.2 平台安全体系 19 3.5 技术要求 21 3.5.1 接入终端技术要求 21 3.5.2 链路安全技术要求 21 3.5.3 网络安全技术要求 22 3.5.4 主机安全技术要求 24 3.5.5 应用安全技术要求 25 3.5.6 安全监控管理要求 25 3.5.7 设备安全要求 27 3.6 性能设计 29 3.6.1 链路带宽 29 3.6.2 业务并发数 31 3.6.3 吞吐量 31 3.7 扩展设计 32 3.7.1 业务扩展 32 3.7.2 性能扩展 32 3.8 稳定可靠性设计 33 第4章 边界接入平台技术方案 34 4.1 社会企事业单位接入链路 34 4.1.1 路由接入区 35 4.1.2 边界保护区 37 4.1.3 应用服务区 39 4.1.4 安全隔离区 39 4.1.5 安全监测与管理区 42 4.1.6 业务接入描述 43 4.2 平台扩容 44 第5章 边界接入平台日常管理 45 5.1 平台接入业务管理 45 5.2 安全管理制度 46 5.3 平台运维管理 47 5.3.1 日常运行管理 47 5.3.2 机房管理 48 5.3.3 系统资产管理 48 5.3.4 人员管理要求 48 第6章 方案建设内容 50 项目建设背景 随着计算机和网络技术在公安及相关行业的广泛应用,为了更好地服务公安管理、服务现实斗争需要,这就要求公安机关加强与政府部门之间的信息交换与共享,如人口管理、电子监察、政法信息共享等业务都需要实现公安部门与政府不同部门之间的数据交换与共享;同时公安部门所需的许多社会信息都需要相关单位采集,如旅馆住宿人员信息、印章制作信息、二手机动车信息、网吧信息等.以上需求都需要实现公安信息通信网(以下简称公安网)与其它网络之间进行数据交换,而按照公安部网络安全管理要求,公安网不能与其它网络物理链接.为解决公安网络与其它网络之间的数据交换与共享,公安部"金盾工程二期"进行了整体规划和部署,要求各地建设公安信息网边界接入平台(以下简称边界接入平台).公安部于2007年制订了《公安信息通信网边界接入平台安全规范》(以下简称《安全规范》),规范了公安信息通信网的边界接入方式,明确了安全技术要求和安全管理要求,并对符合《安全规范》的产品进行专门的检测认证. 为了实现南充市公安局与政府部门之间数据交换及社会信息采集,按照公安部《安全规范》的要求,结合南充市公安局实际工作的需要,设计建设南充市公安局边界接入平台,为开展信息交换共享提供高效、安全的网络接入和数据交换服务. 市局应用现状及建设需求 南充市公安局接入业务现状 按照《安全规范》要求,接入业务按链路分为三类:社会企事业单位接入、党政军机关单位接入、公安机关驻地外接入.南充市公安局目前已开展的业务中,这三类接入链路都有相应的应用需求. 目前与"社会企事业单位接入"链路相关的业务有旅店业住宿人员登记、印章业管理、新车选号等系统需要从外部行业单位采集数据信息,其他后期可能会扩展的业务包括行业场所从业人员管理、驾驶员体检数据采集以及网吧数据采集等. 南充市公安局现有接入业务基本通过网闸接入公安网.社会企事业客户端直接通过VPN或者VPDN线路接入,与应用服务区内的业务前置机进行通讯,业务数据在前置机落地之后,利用网闸提供的数据库同步和文件同步功能,摆渡到公安网中.为了实现这种接入方式,几乎给每一个接入业务都分别配置了一台网闸,即一个业务对应一台网闸. 市局接入业务需求 为了搭建南充市公安局边界接入平台,在与市局信息通信处、安全科等相关单位调研的基础上,了解南充市公安局业务发展需求,结合《安全规范》,设计了南充市公安局边界接入平台社会企事业单位接入、党政军机关单位接入以及公安机关驻地外接入三条链路.同时考虑新建设的链路中改造、整合原有的接入应用,同时必须考虑南充市公安局未来业务发展的需要,以保证系统稳定、安全、高效运行. 目前需要改造、整合现有的应用系统:旅店业和印章管理业,交警的社会业务,社会治安管理相关数据,GPS信息采集等.以保证现有的应用系统在新链路上正常运行. 根据南充市公安局业务发展需要,通过该链路还将运行机动车修理信息采集;二手车过户选号;驾驶员信息变更、换证预约、考试预约;二手手机信息采集;GPS信息采集等相关业务. 边界接入平台方案设计 接入平台建设目标 针对目前各种信息采集、互通业务,设计一个技术先进、安全可靠、切实可行、管理方便的安全技术方案.建设公安网边界接入的统一平台体系,保证公安网的保密性、完整性和可用性,以及边界接入业务的可管理性、可控性.保障边界接入公安网的安全,以及相关网络和信息资源的安全,同时保证边界接入工作的高效稳定运行,解决和提高公安业务工作、信息共享、服务群众的能力和水平. 接入平台建设依据 本方案依据以下文件或规范设计: 《公安信息通信网边界接入平台安全规范(试行)》; 《关于印发<公安信息通信网边界接入平台安全规范(试行)>的通知》(公信通[2007]191号); 《关于稳步开展公安信息资源共享服务工作的通知》(公信通[2007]189号); 《关于进一步加强公安信息通信网日常安全管理工作机制建设的通知》(公信通传发[2008]109号); 《关于公安信息通信网边界接入平台建设有关问题的通知》(公信通传发[2008]296号); 《通过公安部组织测试的接入平台厂商名单》; 《通过公安部组织测试的接入平台安全产品名单》. 接入平台设计原则 符合性原则 建设方案必须符合《安全规范》的要求,建设单位通过公安部信息安全等级保护评估中心的测评,具备《测评报告》,其它安全设备的选型符合《通过公安部组织测试的接入平台安全产品名单》的要求. 统一规划和建设、分步实施原则 接入平台安全建设是一个复杂的系统工程,需统一规划.根据业务工作的实际需要来决定当前建设的重点,分期分批地实施,使整个边界接入的建设成为一个模块化、持续发展的过程.根据南充市公安局的情况,先建设社会企事业单位接入、党政军机关接入、公安机关驻地外接入三条链路,以后随着需求的发展,逐步开展视频图像、互联网数据导入等链路的接入与改造. 接入平台体系结构 平台体系结构 边界接入平台系统采用一级管理模式,即在公安机关信息中心建设边界接入平台系统,系统的体系结构如下图所示: 接入对象为社会企事业单位,社会企事业单位接入业务允许的业务操作方式为数据交换. 南充市公安局现有的业务包括从广泛的社会网络和信息中采集与公安工作相关的信息,完善信息数据,为进一步提高信息研判的准确度打好基础;以及为市委市政府、政法等政府部门实现数据共享服务,并且由于公安信息网内网具有的八大资源库资源优势,可为省内多个政府部门共享全省的基础信息数据;以及公安局驻地外用户的接入需求. 外部接入链路主要包括专线,拨号两类. 接入平台由路由接入区、边界保护区、应用服务区、安全隔离区和安全监测与管理区五部分组成. 公安信息通信网内公安PKI/PMI系统提供接入平台相关的认证和授权等服务.公安信息通信网内应用信息系统及数据库提供与接入平台相关的信息服务.接入对象采用不同的外部链路接入方式,通过接入平台与公安信息通信网内相关应用系统与数据库进行信息交换. 平台安全体系 接入平台安全体系由三重防护体系、两个基础设施构成,结构如下图所示: 三重防护体系由应用环境安全、应用区域边界安全和链路与网络通信安全三部分构成. 1、 应用环境安全 主要指接入平台的终端和用户来源可信、可监控,接入平台的硬件配置、操作系统、关键应用程序等方面安全可靠、实现应用环境安全的各类安全和保护措施统称为安全加置,安全加固主要有两类:一类是基于可信计算技术的可信计算机,用于高安全等级的终端(或服务器);一类是基于操作系统加固软件、安全应用系统并结合硬件外设(标识用户身份)的安全增强措施,针对一般安全级别的终端(或服务器). 2、 应用区域边界安全 主要涉及各类接入业务在接入平台过程中网络和系统的边界安全方面,主要通过身份认证,访问控制等安全技术措施,实现粗粒度控制下合法访问者对网络和系统的访问. 3、链路与网络通信安全 主要涉及各类接入业务在接入平台过程中链路及网络安全方面,主要采用数据机密性与完整性安全保护技术,建立端到端传输的安全机制. 两个基础设施主要由公安PKI/PMI基础设施、安全检测与管理基础设施两部分构成. 1、公安PKI/PMI基础设施 具有公安数字证书的产生、管理、存储、分发和撤销等功能,是实现对接入平台党/政/军机关、公安机关驻地外接入点用户等接入对象的身份认证、授权管理、访问控制等安全机制的基础. 2、安全监测与管理基础设施 实现对整个接入平台及其接入业务的注册、监控与审计、其功能主要由接入平台的集中监控与审计系统实现. 技术要求 接入终端技术要求 接入终端技术要求 接入终端在联接接入平台同时不得联接互联网或其他网络 必须进行设备认证,认证方式可以采用MAC/IP地址绑定、硬件特征码、设备证书等,未通过认证设备必须阻断 必须进行用户身份认证,认证方式可采用口令、硬件数字证书、动态令牌等;推荐使用数字证书等高强度身份认证方式 必须实现通信内容的机密性与完整性保护 链路方式如果采用普通电话拨号、ADSL拨号等时,并未采用电话拨号回拨认证、VPDN等链路安全机制的情况下,接入终端必须经过安全加固,否则不能直接与接入平台建立连接 接入终端上安装的接入业务应用程序必须完善自身的安全性和健壮性 应接受接入平台的监控管理 链路安全技术要求 外部接入链路的技术要求 边界接入平台的外部接入链路分为两类,分别是专线和拨号. 专线是指采用公安自建的或运营商提供的专用通信线路、带宽接入,其端点物理位置固定,电路专用,例如专用光缆、公安专用ADSL虚电路等. 拨号是指有线拨号,例如固定电话拨号(PSTN)、ADSL等.其特点为通过公共通信网进行,中间链路存在共享. 社会企事业单位外部终端与接入平台间可以使用的外部通信链路包括专线和拨号两种,采用拨号类接入的在外部通信链路上必须采用VPDN或者电话拨号回拨认证等链路安全机制保证链路安全. 党政军机关应采用专线作为外部通信链路. 公安机关驻地外终端与接入平台间可以使用的外部通信链路包括专线和拨号两种,采用拨号类接入的在外部通信链路上必须采用VPDN或者电话拨号回拨认证等链路安全机制保证链路安全. 接入平台边界 接入平台与运营商网络之间必须以专线方式连接,链路设备之间要进行相互认证. 接入平台内部 接入平台内部链路应严格专用,不允许用于其他用途. 接入平台内部为不同接入对象提供服务的链路必须根据接入对象安全级别和业务操作方式(数据交换或授权访问)加以区分.社会企事业单位接入提供服务的链路、党政军机关提供服务的链路、公安机关驻地外链路全部都要物理隔离. 对于数据交换业务,建议区分数据流入和流出链路. 接入平台内用于入侵保护或者集中监控的各种检测设备不能造成平台内部链路的旁路. 网络安全技术要求 身份认证要求 对社会企事业单位外部终端必须进行身份认证,认证协议应基于安全的双向认证协议(如IKE或SSL握手协议); 对党政军机关外部终端必须进行身份认证,身份认证基于公安机关颁发的定制类型数字身份证书,认证协议应基于安全的双向认证协议. 对公安机关驻地外终端必须进行身份认证,身份认证基于公安机关颁发的警用数字身份证书,认证协议应基于安全的双向认证协议. 访问控制要求 未通过身份认证的外部终端不能进入平台访问. 外部终端的网络连接终止于接入平台内,无法直接访问公安信息通信网或与公安信息通信网交换信息. 通过身份认证的外部终端只能访问平台内的指定设备,并且只能进行允许的操作,非授权的访问应被阻断. 机密性和完整性要求 在网络传输过程中,外部终端与接入平台间通信内容必须实现机密性保护. 在网络传输过程中,必须保证传输过程中报文的完整性,并具备防止重发攻击、篡改和伪造等功能. 对于专线接入情况,在接入对象可信程度较高条件下,机密性和完整性保护措施可相对降低. 入侵防范要求 对源/目标地址及端口进行控制,实现会话状态检测及内部网络地址隐藏. 能够实时发现入侵行为及病毒、蠕虫传播,并及时报警. 网络设备安全要求 对登录网络设备的用户进行身份认证,身份认证方式应具有足够强度.同时对网络设备管理员的登录地址、登录时间长度等进行限制,不允许远程登录. 对于关键网络设备的管理,应将管理数据流与业务数据流分离;应开启关键网络设备安全审计功能,配置日志服务器.安全审计的内容应记录系统内重要的安全相关事件,包括登录事件、配置更改等. 应及时更新网络设备的操作系统,关闭不必要的服务. 可用性保障要求 网络拓扑结构设计中关键节点采用冗余技术,避免存在网络单点故障. 关键网络设备和服务器设备建议采用硬件冗余、软件配置等技术手段提供系统的高可用性. 主机安全技术要求 主机是指接入平台内提供各类型应用服务及数据存储的服务器(包括应用前置机、数据库前置机和文件前置机等)或管理终端(包括集控系统管理终端等). 主机操作系统应选择具有长期补丁更新支持的正版软件,应遵循最小安装的原则,即仅安装需要的组件和应用程序,并保持系统补丁及时得到更新.安装经国家有关部门认证、许可的正版防病毒软件,并通过接入平台内设置防病毒服务器或手工下载来及时更新防病毒软件版本和病毒库. 对登录系统的用户进行身份认证,身份认证方式(如口令)具有足够强度.应禁止远程登录,启动登录失败处理功能.并严格限制帐户的访问权限. 开启系统安全审计功能,安全审计的内容应记录系统内重要的安全相关事件,包括重要用户行为、系统资源的异常使用和重要系统命令的使用等. 应用安全技术要求 应用安全技术要求分为对数据交换方式的安全要求和对授权访问方式的安全要求两类. 数据交换应用安全要求 在与公安信息通信网进行数据交换之前,接入平台必须对接入业务的数据流量先实现通信协议的剥离,并按照业务预先注册的数据格式要求,对数据的类型、格式进行严格检查,对数据内容进行过滤,限制所有不符合要求的数据传入接入平台. 公安信息通信网内及接入平台内接入业务应用信息系统应完善自身的安全性和健壮性,尽量确保通过接入平台的业务信息数据的机密性、完整性. 必须实现应用级日志记录,并报送集中监控与管理系统. 授权访问应用安全要求 必须实现应用级身份认证、访问控制和授权管理,并能依据安全策略细粒度控制访问范围、应用类型和内容,防止敏感信息的泄漏,使用可信边界安全网关实现以上功能. 必须不影响公安信息通信网内信息资源及应用系统基于公安PKI/PMI系统的认证、授权、审计等工作的正常运行.并且,公安信息通信网内及通过接入平台的接入业务应用信息系统应完善自身的安全性和健壮性. 必须实现应用级日志记录,并报送集中监控与管理系统. 安全监控管理要求 平台监控管理要求分为两个部分:平台自身的安全监控管理功能和接入平台级联上报功能.各监管系统建立数据库存储管理、监控及审计信息,并将各类信息级联上报至公安部. 接入平台安全监管功能设计包括以下几个部分:注册信息管理、运行监控管理和安全审计管理. 注册信息管理 注册信息管理部分提供边界接入不同层次(接入终端、平台、链路、业务、使用单位等)的信息注册和管理功能.包括对接入终端信息、接入平台信息、链路信息、业务信息、使用单位信息、平台运行信息等进行注册管理,以及根据实际应用需求从不同层次配置的安全策略管理. 运行监控管理 运行监控管理部分主要根据接入平台以及业务注册过程中配置的安全策略提供安全管理功能.主要包括实时监控接入终端的安全状况、网络连接情况、系统和业务应用的运行情况;实时监控接入平台的运行状况,并实现对监测信息、报警信息、安全事件信息等数据的查询和统计,监控接入平台当前运行总体情况;用户监控,即登录状态、操作行为、访问资源等;异常监控,包括异常用户、流量、设备等信息;按时间段、应用系统、用户单位分析统计用户信息、流量信息、异常信息;及时生成网络流量信息的报表. 安全审计管理 安全审计管理部分提供针对用户、业务应用系统、设备等的安全审计功能,以及对异常事件的追踪.主要包括:用户行为审计,即用户信息、访问的资源、访问的时间等;业务应用系统审计,即应用系统信息,数据传输流量、传输时间、传输单位等;设备运行审计;异常行为审计等;按时间段、应用系统、用户单位分析统计用户行为、业务应用系统数据传输、异常行为. 级联上报设计 接入平台级联上报功能主要将本地接入平台、接入业务及使用单位等注册管理基本信息,以及运行状态和安全审计基本信息定时上报给上级接入平台,从而为上级接入平台对本地接入平台的注册管理、运行状态、安全审计等方面信息的浏览、综合查询及统计分析提供所必须的数据.级联方式如下图所示. 其他管理要求 所有接入平台的业务必须在监管系统注册后方可投入运行. 所有接入平台的业务运行流量必须受到监管系统实时监控. 防火墙、可信边界安全网关、入侵检测系统、安全隔离设备、数据交换服务器等设备的运行管理日志必须发送给监管系统统一处理. 设备安全要求 接入平台内所有的安全设备都应满足国家或公安行业相关的技术标准和要求,具备国家相应权威部门出具的产品证书和安全检测报告,并在检测报告允许的范围内使用,关键安全设备必须接受监管系统的监管和审计. 安全隔离设备的要求: 应满足《GA 370-2001端设备隔离部件安全技术要求》和国家保密标准《涉及国家秘密信息系统安全隔离和信息交换产品技术要求》,并经公安部批准同意使用. 具备以下安全功能: 应采用三部件架构安全隔离设备 采用专用硬件和专用通信协议 协议中断、信息落地.所有过往的流量都被剥离通信协议,还原为应用层信息 防范各类攻击和信息泄露 可信边界安全网关的要求: 应满足《GA 246.1-1999计算机信息系统安全产品第一部分:安全功能检测身份鉴别类》和国家保密标准《涉及国家秘密的信息系统安全中间件产品技术要求》,并经公安部批准同意使用. 具备以下安全功能: 基于公安数字证书的身份认证 基于802.1x协议的链路认证 基于终端特征的设备认证 基于细粒度授权管理策略的公安信息通信网内信息资源及应用系统强制访问控制. 不影响公安信息通信网内信息资源及应用系统基于公安PKI/PMI系统的认证、授权、审计等工作的正常运行. 支持应用代理. 数据交换系统的要求: 数据交换系统指专门用于业务数据检查、业务存取控制及分发的软硬件系统. 具备如下安全功能: 设备本身具有很强的安全性,采用硬件专用设备形式并进行安全加固; 区分连接内外网链路的接口; 根据安全策略主动获取来自前置机群的数据; 验证数据源和数据完整性,以及根据业务规则检查数据类型、格式、内容,过滤不符合安全策略的数据. 性能设计 作为公安网与外部业务接入的边界接入平台,在性能上需满足目前的业务需求外,还需对将来的业务扩展留下充足的空间.在性能设计上主要体现在平台链路带宽、在线/并发用户数和网络吞吐量等方面. 链路带宽 对于边界接入平台,链路带宽分为外部链路和内部链路两个部分. 外部链路 外部链路分为接入平台端和客户端两个部分. 边界接入平台端的外部链路主要有两类物理接入链路:社会企事业单位接入和公安及党政军接入链路.而针对不同类的接入,外部链路可选运营商提供的多种接入方式. 由于边界接入的业务是在平台建设过程/完毕后逐个增设,因此,外部链路的带宽可根据接入业务的实际状况逐步增加,有条件的地方也可在先期建设时一步到位.外部链路建议先期建设百兆带宽,后期根据情况增加到千兆或以上. 对于各类客户端,由于所有的信息传输都经过加密,因此对终端接入的带宽要求比普通的网络接入要高.建议采用1Mb以上的接入带宽. 内部链路 边界接入平台是公安网与外网唯一通道,将来接入业务会逐渐增加,因此在内部链路上皆采用千兆链路,如用户有特殊情况/要求,也可建设百兆链路.在平台内部链路上的通用网络设备及网络环境皆采用千兆的设备架设.以满足将来的业务扩展和升级,保护投资. 带宽估算方式 以下给出带宽的初步的估算方式. 接入的应用可分为面向链接的和不面向链接的.如B/S方式的应用,由于采用的是HTTP协议,不是常链接的,对资源要求少;而对于C/S应用,由于其是常链接的,因此其占用带宽资源较多.一般采用B/S方式估算,如果同时在线用户数为10*n,对于B/S类应用实际的并发在线用户数可以总用户数的1/10计.则同时并发在线用户数为n,假设各个用户业务要求的带宽为200Kb,则总带宽要求为:200Kb * n = 0.2*n Mb.因此,一个真千兆的接入链路,可承载5000个用户的并发,相当于可同时支撑50000个用户. 若总用户数超过50000个,则由于目前架设高于千兆链路环境成本较高,则可通过分流用户或增设其它链路来实现大用户量的业务接入. 业务并发数 从链路带宽的分析中可知,真千兆的并发业务数极限为5000.因此,在实际使用中需少于这个数目.由于设备的性能参数是在实验室环境下测出来,在实际工作环境中存在偏差,在进行设备选型时,设备的性能参数的最高值必须在这个值左右或以上. 吞吐量 从上述分析中可知,内部链路带宽采用千兆链路. 对于授权访问类应用,其吞吐量性能与业务情况实时挂钩.而对数据交换类业务,如果业务总需求高于链路的吞吐量设计,则可通过以下方式进行解决: 一、负载均衡技术 这是一个最容易想到的方案,也是最行之有效的.然而,从目前的实际情况来看并不存在这样的必要性:所有业务不是马上就可以一步实施到位的;不是所有的业务都需要准实时交换的,通过人为的规划,可以将各种业务按要求进行划分,错开时间高峰以满足应用要求. 二、空间换性能 采取用空间换性能的策略.所有交换的数据信息在平台的业务主链路上只是暂存.因此,在数据采集和数据交换的过程中,可以提供一定大的存储空间,暂存不需要及时发送的数据,而等系统空闲时再将其转发. 综上所述,为了更好地支撑将来业务的接入,整个平台采用千兆设备架设. 扩展设计 平台设计考虑一定的灵活性和可扩展性.整个方案在设计时考虑将来的扩展,主要体现在业务扩展和性能扩展上. 业务扩展 业务的应用类型主要分为B/S方式和C/S方式(两者皆有的混合方式).边界接入平台中面对外界接入的安全设备都无缝兼容此两类应用.出于安全上的设计,对此两类业务的唯一限制是业务的发起端必需是客户端,以防止内网主动发起请求而造成的内网数据外泄. 对于业务扩展,增加业务的方式主要有两种:第一种方式是在原有硬件的基础上增加新的应用服务;第二种方式是增设新的应用服务器以支撑新的应用. 对于第一种方式,对边界接入平台现有架构或硬件设备无任何更改,只需在原有的硬件上增加相应的应用服务就可以支撑新的业务扩展. 对于第二种方式,边界接入平台的整体架构不变,只需在相应区域增设新的应用服务器,在新的应用服务器上安装新的应用服务就可支撑新的业务扩展. 因此,边界接入平台可很好支持业务扩展. 性能扩展 边界接入业务是个逐步增长的过程,随着业务增加,原来设计的平台性能可能不能满足要求,因此要求边界接入平台方案在性能上具有一定的可扩展性. 对于性能扩展,主要从链路性能和设备性能两个方面进行考虑.对于链路性能,首次建设时就采用千兆链路,所有的网络通信设备也采用千兆设备.在平台的关键设备设计与选型上,所有的设备都支持负载均衡技术.若由于平台内关键设备的性能影响了平台的整体性能,可通过负载均衡设备来实现设备性能扩展. 稳定可靠性设计 从以下几点对边界接入平台稳定性进行设计. 1. 接入平台设计选用成熟的专用以及通用网络设备,设备经过长期测试,稳定性强. 2. 接入平台使用的内外网数据交换系统采用事务处理确认机制和数据回滚机制设计,只有目标点可达时,才进行传输,实现数据高效、稳定、完整地交换. 3.接入平台使用的关键设备如可信边界安全网关和数据交换系统等采用可靠、稳定性设计,均支持双机热备,对当前系统参数备份设计等保障整个接入平台的稳定性. 边界接入平台技术方案 社会企事业单位接入链路 社会企事业单位接入业务包括:旅店业、印章业、机动车修理业、报废车拆解业、印刷业、爆炸物管理业等社会有关单位为公安机关系统上报信息的业务;同时也包括银行、保险、电信运营商等社会行业单位与公安机关共享信息的业务.主要是从社会其它行业单位采集信息,或进行交互式应用(如网上申报或者审批业务),利用运营商提供的VPDN网络,将各个行业单位的客户端电脑接入公安外网.在接入公安外网时通过三层交换机进行链路区分,为每一个接入业务分配不同的VLAN,每个VLAN的终端不能互相访问,以防止不同业务应用之间相互干扰.另外为了使整个系统更加稳定可靠,对可信网关和防火墙均可使用负载均衡,保证了整条链路的冗余性.对于社会企事业这一类业务操作方式为数据交换,主要采用数据库同步模式或文件同步模式. 路由接入区 该区域实现各个外部链路与接入平台间连接.要求业务应用系统承建商在建设时遵循《安全规范》及本方案要求. 该区域主要安全功能为:实现路由访问控制,将来自不同接入对象或不同外部链路的数据流按照接入平台的安全策略加以区分. 终端安全管理 对于社会企事业单位接入终端: 加强终端设备上用户的身份认证强度,通过可信边界安全网关可实现用户名/口令方式的认证,以及扩展支持双因素身份认证,即可以通过颁发数字证书来认证客户端身份. 加强终端设备的设备认证功能,通过获取终端设备IP、MAC、主板、CPU、硬盘序列号等信息对设备进行唯一性认证;检查和控制远程终端设备的安全性(包括操作系统版本、是否安装病毒防护工具等),远程终端必须符合预定义的安全策略才能连接安全网关,并通过安全网关的授权访问内部资源. 应用访问控制:根据用户身份进一步控制用户可访问的应用和可进行的操作,支持B/S、C/S等多种结构业务系统,通过可信网关实现单点登录和零业务改造. 安全审计:记录每台终端的操作行为;终端设备及用户的操作行为将受到平台集控系统的监管审计,包括终端的健康状况、安全状况、网络通信等,并可进行统计分析、报警. 链路安全 根据《安全规范》要求,本方案中外部社会企事业单位接入终端接入要求使用VPDN及专线接入方式,实际应用多数采用VPDN. 对于VPDN接入方式,目前运营商多数提供基于ADSL的VPDN接入方式,该方式使用一次拨号拨入虚拟专网,不分配互联网地址,也不提供互联网接入路由出口,从而保证与互联网络的隔离.外部终端使用VPDN方式拨入运营商虚拟专网后,从运营商以专线方式连接边界接入平台前端防火墙设备. 专线接入方式由于使用了专用物理链路,从电路上保证了与其他网络之间的隔离,其安全性更有保障. 外部终端与接入平台之间的数据通信,均通过可信边界安全网关实现.外部终端与可信边界安全网关建立连接,通过认证检测,此时外部终端所有与平台之间的网络通信使用基于SSL加密的方式进行,杜绝数据被窃听及篡改,进一步提高在链路传输过程中的安全性. 边界保护区 该区域主要实现对接入平台的边界保护. 该区域主要安全功能为:实现网络身份认证.访问控制和权限管理;数据机密性和完整性保护;防御网络攻击和嗅探. 边界保护区主要设备包括:防火墙、三层交换机、可信边界安全网关、入侵保护设备(IDS/IPS)等. 防火墙 防火墙可根据数据包的源/目标地址、协议类型、源/目标端口以及网络协议等对数据包进行访问控制,可实现基于策略的HTTP、FTP、TELNET、SMTP、POP3等透明代理和深度过滤,能确保终端用户合法有效地使用各种网络资源. 利用NAT地址转换功能,防火墙还可保证边界接入平台应用服务区内的主机地址不被外部终端获得,以及通过基于IP地址、服务类型、时间段等定义的带宽分配策略,保障平台前置应用服务器的带宽使用,保护用户带宽投资. 可信边界安全网关 可信边界安全网关,主要用于外部网络终端设备以及用户的认证授权管理;所有的外部终端用户通过VPDN/专线链路,经防火墙访问可信边界安全网关.经终端设备认证、身份证书认证验证成功后与可信边界安全网关建立链路通道.网关系统根据对不同用户的授权提供相应的服务,用户只能看到并且只能访问已授权的服务,网关并且对用户终端系统进行安全检查和监控.用户终端和安全网关建立安全链路后,用户终端的其他网络的链接将自动被终止. 链路建立后,社会企事业单位用户启动具体的应用,经可信边界安全网关权限检查通过后,访问平台内相应的前置服务器,实现与前置服务器间的数据交换业务. 入侵保护 入侵检测系统(IDS)/入侵防御系统(IPS)是实时的网络违规自动识别和响应系统.它运行于边界保护区内,通过实时监听网络数据流,识别,记录入侵和破坏性代码流,寻找网络违规模式和未授权的网络访问尝试.该系统安装于防火墙后,可以对攻击防火墙本身的数据流进行响应,同时可以对穿透防火墙进行攻击的数据流进行响应. 由于终端设备与网关之间使用了SSL链路加密技术,故该设备部署位置对经过可信网关后的数据内容进行检查过滤. 三层交换机 利用三层网络交换机可根据接入应用进行路由选择和虚拟专网的划分,保证不同业务应用通道之间的相互隔离. 一般根据不同业务划分不同的VLAN,每个VLAN分别连接相关的业务前置机、数据库或者文件服务器,各业务之间不能互相访问.同时设置一个公用的VLAN,该VLAN连接集控系统探针、安全数据交换系统. 公用VLAN与每个VLAN之间通过IP路由可以实现数据流转,其他VLAN之间路由禁止.并设置ACL访问控制列表,只允许公用VLAN向每个VLAN发起访问请求,其他禁止.保证每个业务之间相对独立,一旦某个业务的前置机感染病毒木马不能通过局域网迅速传播,可确保所有业务的数据交换安全. 应用服务区 该区域主要处理各类与应用相关的操作,是公安信息通信网对外信息服务,信息采集,数据交换的中间区域.区域内的服务器设备一般由业务应用系统承建商提供,但要求按照《安全规范》及本方案要求进行配置管理. 该区域主要安全功能为:作为接入终端网络连接的终点,实现应用级身份认证、访问控制、应用代理、数据暂存等功能;防止对公安信息通信网的非法访问和信息泄露、对此区域,应加强对服务器等设备的安全保护,应具有病毒、木马防护功能,防止病毒传播与非法控制. 根据实际业务需求,应用服务区放置了相应业务应用的前置服务器(包括应用服务器、WEB服务器、数据库服务器、文件服务器等).作为外部终端网络连接的终点,提供给终端用户应用代理、数据暂存等功能服务. 根据业务应用的具体要求,各前置服务器尽可能采用经过安全加固的Linux操作系统及可信服务器设备,通过裁剪Linux系统的方式对前置机操作系统进行安全加固,卸载所有不必要的应用程序和服务;或使用其他最小化安装的操作系统;关闭所有非必要开放的对外端口,特别是远程控制服务端口,并且对操作系统及时进行补丁更新;并安装病毒查杀系统软件,通过定期的手动病毒库升级保障业务应用区安全;关闭系统中guest用户,对系统用户设置强口令认证;开启系统审计等. 安全隔离区 该区域实现公安信息通信网与应用服务区的安全隔离与信息交换. 该区域主要安全功能为:实现公安信息通信网与应用服务区的安全网络隔离;根据安全策略,对出入公安信息通信网的数据分别进行协议剥离.格式检查和内容过滤,实现公安信息通信网和应用服务区之间的安全数据交换. 安全隔离区主要设备包括:安全隔离网闸、数据交换系统等. 安全隔离网闸 安全隔离网闸实现公安信息网与外部网络之间的安全隔离,同时在内外网数据交换系统之间摆渡数据信息.使用串联方式与数据交换系统前后置服务器连接部署. 国保金泰网闸设备采用2+1硬件结构并具备自主知识产品的硬件隔离模件,自主研发生产的基于映射GAP技术的高速数据隔离交换卡,采用安全定制的系统,采用专用通信协议进行数据摆渡.保证对所有过往的流量都剥离了通信协议,所有协议剥离和再生过程都接受安全审计,并且具有防范各种网络协议攻击的能力,能实现确保公安内网安全前提下的数据安全交换,满足信息采集要求.该产品获得国家知识产权局专利证书、军用信息安全产品认证等证书. 数据交换系统 数据交换系统是交换平台与外部网络业务交换数据的唯一入口.数据交换系统:包括TAS、UAS服务器,用于内外网之间的数据交换,实现对交换数据的内容检查过滤.它部署数据库、文件、数据流等应用服务接口. 数据交换系统使用基于证书认证的方式建立可信安全数据通道. 数据交换系统在内部可信任端配置管理,只外网非可信端不存储任何配置信息,确保配置不被恶意篡改,配置信息不泄漏. 数据交换系统对数据通信内容进行加密及数字签名,保证数据通信的机密性和完整性. 数据交换系统支持数据库、文件之间的模糊格式同步交换,可根据用户配置将文件内容识别并写入数据库,或按照用户指定格式将数据库数据导出为文件. 数据交换系统支持任务级负载均衡,在多套并行数据交换系统之间自动分配任务负载,并在一套系统出现故障时自动进行切换调度. 数据交换系统支持集群交叉数据同步,在一次配置中将多个源端数据采集、整合副分发到多个目的端. 数据交换系统使用主动获取的方式连接内外网数据服务器,根据系统管理员配置进行数据获取及摆渡,同时对数据内容进行深层次细粒度的过滤检查,可匹配正则表达式,可对内容过滤,可对大字段内容检查,查杀病毒. 数据交换系统提供高级任务调度功能,包括:任务带宽调度,任务执行周期/频率调度,任务优先级调度等,为重要业务应用的可靠执行提供技术手段支持. 数据交换系统支持图形化系统负载监视,并提供SNMP方式向外提供系统负载监控信息. 数据交换系统提供极高的数据交换性能,数据库同步可达2000条/秒,文件同步交换可达300Mbps. 提供行级数据交换日志(Syslog),实现数据交换行为追溯,对非法操作、异常行为做到有据可查. 实现由内部监管系统对外部网络、应用、设备的监管,以及日志收集. 安全监测与管理区 该区域实现整个接入平台的安全监测,管理与维护. 该区域主要安全功能为:对接入平台运行情况进行安全监测与审计;对接入平台及业务信息进行注册管理,各种安全策略管理,流量监测,统计分析,安全审计等;接入平台内网络设备,安全设备的配置管理及日常运行维护;补丁升级,漏洞扫描与病毒防范. 集控系统 包括集控系统以及后台日志存储系统服务器,部署于公安信息网内,用于整个平台系统所有网络、应用、终端监管,同时对系统用户行为进行审计;以及实现平台级联功能;平台监管系统主要是对:注册信息管理,运行监控管理,安全审计管理. 平台内部所有设备日志信息(Syslog)收集展现,以及其他支持Syslog日志的应用服务系统. 通过SNMP方式对网络设备负载及运行状态进行实时监控,快速发现定位网络故障节点,延长系统连续运行时间. 通过ICMP及Telnet对特殊设备及应用进行监控. 提供集中图形界面对平台系统内设备、应用、用户状态进行展现,提高运维效率.图形界面支持拓扑图方式及机柜平面图方式. 提供远程调试界面接口,可在内网集控系统中远程调试外部网络中防火墙、IDS等设备,提供管理便利. 系统内置级联上报功能,按照公安部技术规范定义开发,兼容多个厂商平台系统. 集控探针 集控探针配合集控系统从平台外部网络采集设备运维信息并提供给集控系统进行展现分析.并与数据交换系统完整集成,无需单独开放传输链路,安全、高效,避免设备运维过程中引入新的安全隐患. 业务接入描述 此处以旅店业系统及印章业系统接入边界接入平台为例进行描述. 旅店业系统 旅店业流动人口信息管理系统是为了加强对旅店业流动人口信息的管理,在打击犯罪中充分发挥旅店业流动人口信息的实效性优势而建设的.系统一般采用B/S或C/S结构,通过平台终端管理系统在客户终端设备(一般为普通PC机)上端安装专用客户端软件,结合平台下发USB-KEY数字证书通过证书与业务系统相绑定的方式将入住人员信息提交到公安外网(应用服务器区).这些信息将最终通平台数据交换系统交换到各地方公安局信息中心的内部网络数据库或文件服务器中,以进行进一步处理(如启动报警系统及追逃系统). 平台中的运行过程如下:①首先旅店业客户端通过ADSL VPDN或其他方式接入到平台外部,登录可信网关认证授权,然后可连接旅店业系统前置服务器,通过业务系统自身提供的身份认证等方式后,将入住旅客的信息提交到旅馆业系统服务器中以数据库或文件的方式进行存储;②平台数据交换系统根据系统管理员的配置,连接到旅馆业系统服务器的数据库或者文件服务,将入住旅客的信息实时的同步到公安信息网内部旅店业后置服务器中;进行其他的信息比对工作;自此数据交换平台工作完成. 印章业系统 印章业接入的方式主要通过拨号VPDN或专线的形式连接到公安信息网,然后通过网闸进行数据交换工作.在接入平台建设中,无须对现有的业务应用系统进行改造,这种方案设计完全符合公安部业务应用系统"零改造"的要求.为了响应公安部和省公安厅关于加强终端管理的要求,在平台建设中需要对每一个终端认证,然后通过可信边界网关对用户和终端进行认证和授权,只有认证和授权通过的终端用户方能提交数据信息到应用服务器区.最后通过安全接入平台的数据交换系统对数据进行内容过滤、格式检查、病毒查杀,最终完成数据安全的交换工作. 平台扩容 平台建成后将进入应用期,随着公安信息化建设的进一步深入,将会有越来越多的边界接入业务应用通过平台交换数据、提供服务,为了满足后续业务扩充的支持,平台系统建设中就充分考虑了将来系统扩容的需求. 数据交换系统可随着应用的增加并行多套实现大数据吞吐率,可实现负载均衡,为系统提供容错和稳定性支持. 授权访问功能可根据业务带宽需求使用多台可信网关设备组成集群负载,提供超越常规的带宽支持. 边界接入平台日常管理 平台接入业务管理 党/政/军机关和社会企事业单位的接入业务必须为公安部批准同意的业务范围.具体参照《关于稳步开展公安信息资源共享服务工作的通知〉》(公信通[2007]187号)及公安部其它有关通知执行.凡超过公安部批准范围各地开展的接入业务,均一律视为公安信息通信网严重违规予以断开,并追究相关部门领导的责任. 接入业务经过审批后,必须按照《办法》(附表3 )的要求填报边界接入注册登记表. 信息中心负责核实所有接入业务的审批、注册信息,经核实后,再按注册登记表中的项目内容逐一在接入平监管系统上进行注册备案,并按流程接入平台,纳入日常运行的监控管理. 接入业务投入运行后,其业务内容必须与其注册信息一致,接入业务内容,方式,范围发生变化时,应重新进行审批,注册和备案,具体流程同上. 通过安全监控,审计等技术手段发现接入业务的违规行为及异常情况时,应及时调查和取证,并按照公安信息通信网安全案(事)件处理流程进行处理. 安全管理制度 物理安全方面,建立接入平台安全管理制度,对有关人员,设备和物品的进出,以及机房环境安全等方面的管理做出规定. 网络及系统安全方面,应建立健全网络及系统安全管理制度,采用统一的安全管理策略: 规范网络设备操作流程,关键操作应建立复核机制,建立详细的操作日志,并及时备份参数文件. 规范故障处理流程,建立详细的故障日志(包括故障发生的事件,范围,现象,处理结果和处理人员等内容). 规范网络管理的日常巡检流程. 制定规范化的日常操作流程,在操作系统,数据库和应用系统管理方面建立相应的操作规范和访问控制策略. 建立变更管理制度,变更管理的申报和审批程序应文档化,变更方案经过评审,审批后方可实施. 在应急事件处理方面,应根据事件的等级制定相应的应急预案: 规定故障紧急处理程序和系统恢复程序. 从人力,设备,技术和财务等方面确保应急预案的执行有足够的资源保障. 针对应急预案进行专项培训和演练,并根据实际情况更新应急预案内容. 平台运维管理 日常运行管理 信息中心具体负责本级接入平台的日常运行,维护、安全监测等方面的管理工作. 按照公安信息通信网运行管理有关文件的规定和要求,建立健全本地接入平台运维管理制度和工作机制. 信息通信部门应明确接入平台运行管理部门和职责,配备适当数量的管理员,制定接入平台日常支行维护管理制度,并形成健全的日常工作机制,保障公安信息通信网边界接入安全. 各级公安信息中心要建立日常巡检机制,确保接入平台运行正常.管理员每日对接入平台设备状态、网络流量、应用及系统运行等情况进行巡检,分析各类设备日志及管理审计报表、及时发现异常情况,并根据报警提示采取相应的处理措施. 信息中心应做好接入平台故障和灾难应急响应措施预案,对重要数据要定期备份.建立起对违规行为等安全事件进行鉴别、取证、攻击者追踪等紧急响应处理流程和工作机制,将安全事件造成的损失降至最低. 信息通信部门负责对接入平台定期进行安全检查和监督,尽早发现存在的安全隐患,并要求及时解决. 因日常管理不严,导致接入平台安全隐患,并影响接入业务正常开展的,要对负责人予以通报批评,并追究相关人员责任. 机房管理 原则上应设立专用机构或区域为接入平台建设场所. 机房应安装门禁系统,防止非法进入.机房应利用光、电等技术设置机房的防盗报警系统,保证能够及时发现进入机房的盗窃和破环行为,并且相关电子记录应完备、清晰,妥善存放.便于检查并保存足够长的时间,便于审计和追查. 机房应分区域管理,区域和区域之间采取物理隔离防火措施.将接入平台的重要设备与其他设备隔离开.应将主要设备进行固定,并设置明显的不易移去的标记. 系统资产管理 资产包括接入平台相关的数据,软硬件设备,设施,存储介质和文档等. 接入平台所有设备纳入公安机关资产管理,不得交与其他单位托管. 建立相关资产的安全管理制度,编制并保存相关的资产,资产所属关系、安全级别和所处位置等信息的资产清单.同时,应根据资产的重要程度对各类资产进行定制赋值或标识管理.根据资产的价值选择相应的管理措施. 人员管理要求 接入平台配备的安全管理人员,应经过严格审查,定期进行考核,保持相对稳定,并报同级信息通信部门备案. 安全管理人员包括安全管理员和安全审计员,并由不同人员担任. 安全管理员负责日常安全管理和维护工作,其岗位职责包括:接入平台各类设备的管理和维护,接入业务的登记注册,接入用户及其权限的授予,对接入操作的实时监控和安全事件的处理,定期进行病毒检测,系统漏洞扫描及补丁更新. 安全审计员负责对接入业务操作日志和系统运行日志进行安全审计跟踪,监测和调查安全漏洞. 必须制定并实施安全培训和教育计划,定期对安全管理人员以及其他从事接入平台操作的工作人员进行安全培训和教育. 安全管理人员调离时,必须严格办理调离手续,认真进行工作交接,交回有关钥匙和证件,退还技术手册,软件及有关资料等,接任者应更换系统口令,并撤换其用过的所有账号. 方案建设内容 序号 设备/系统名称 描述 数量 1 安全数据交换系统 分别部署在两个网络之间,通过网闸连接两个网络中应用服务器传输数据 1 2 可信边界安全网关 对整个内外网数据交换平台的业务、应用、终端、服务器、网络设备监管 1 3 集控探针 实现用户认证、安全接入等功能 1 4 集中监控审计系统 设备状态获取以及设备管理,不允许与内部网络之间存在任何网络连接 1 5 安全隔离网闸 实现平台内外网之间安全隔离数据交换 1 6 防火墙 划分安全域,实现访问控制、地址转换、带宽控制、日志记录及审计等功能 1 7 入侵检测系统 实时检测接入平台网络攻击并提供解决建议 1 8 杀毒软件 50用户(1系统中心+5服务器+50客户端) 1 9 三层网络交换机 24 个10/100/1000以太网端口,4 个SFP千兆光口 2 10 防病毒服务器 英特尔至强处理器E5520,DDR3 ECC1066 /1333MHz 8G,集成2个千兆网卡,3个146GB SAS硬盘,19寸标准机架式设备,有冗余电源. 1 11 应用服务器 2*Intel 4核E7420处理器,DDR3 ECC1066 /1333MHz 8G,集成2个千兆网卡,3个146GB SAS硬盘,19寸标准机架式设备, 光驱:DVD;有冗余电源 2 12 管理终端 英特尔双核处理器E5500(2.8G 2M缓存),2G DDRII 667内存,320G SATAII硬盘,19英寸LCD 2 13 服务器机柜 19英寸、42U标准机柜,含液晶显示器、8口KVM切换器、键盘、鼠标,黑色,载重层板3块,四个风扇,万能电源插座1个114 网络机柜 19英寸、42U标准机柜(600*800*2045),黑色,载重层板1块,四个风扇,万能电源插座1个1
下载该文档
文档格式：DOC
更新时间：2014-08-20
下载次数：0
点击次数：1
南充市公安局 信息网边界接入平台建设项目政府采购 竞争性谈判文件南充市政府采购中心 2011年元月 第一部分 谈判邀请函 南充市政府采购中心受南充市财政局的委托,拟对南充市公安局信息网边界接入平台建设项目进行竞争性谈判.由于本项目的特殊性,经政府采购监管部门批准,拟决定邀请已通过公安部测试的边界接入平台产品生产商在四川的代理商参加竞争性谈判. 一、采购编号:NCTP11N001 二、采购项目:南充市公安局信息网边界接入平台建设项目政府采购 三、资金来源:财政预算 四、采购项目简介:信息网边界接入平台建设(详见谈判文件). 五、报价人应具备的资格条件: 邀请已通过公安部测试的边界接入平台产品生产商在四川的代理商:成都翰东科技有限公司、四川川大能士信息安全有限公司、成都康赛电子科大信息技术有限公司参加谈判; 六、供应商家数计算: 所报产品为同一品牌同一型号的视为一家,如果有多家供应商以同一品牌同一型号产品参加报价的,应作为一个报价人计算,以符合谈判文件要求的最低报价者为该品牌及型号产品的唯一有效报价人. 七、资格审查: 除明确要求在购买谈判文件时需提供的资格证明文件外,本项目报价供应商的资格条件在谈判时进行审查.供应商应在报价文件中按谈判文件的规定和要求附上所有的资格证明文件,要求提供的复印件必须加盖单位印章,并在必要时提供原件备查.若提供的资格证明文件不全或不实,将导致其报价或成交资格被取消,并按政府采购法的相关规定予以处理. 八、谈判文件发售时间、地点: 谈判文件自2011年1月17日至2011年1月21日9:00- 18:00(上班时间,节假日除外)在南充市市政府新区二号楼市政府采购中心407室购买.谈判文件售价:人民币150元/份(谈判文件售后不退, 报价资格不能转让). 供应商购买谈判文件时须携带公司组织机构代码证(原件)、税务登记证(原件)、营业执照副本(原件)以及上述文件的复印件(加盖公章).参加本项目报价的负责人,如不是企业法人代表,还需携带法人委托书.上述要求和证照要同时具备. 九、报价截止时间:2011年1月25日上午9:30分(北京时间). 报价文件必须在报价截止时间前送达谈判地点.逾期送达或密封和标注不符合谈判文件规定的报价文件恕不接受.本次谈判不接受邮寄的报价文件. 十、谈判地点:南充市市政府新区二号楼二楼会议室. 十一、谈判保证金:壹万伍仟元正. 十二、本谈判邀请函在四川政府采购网上以公告形式发布. 采购中心联 系人:杜女士 联系电话:0817-2221768 传真:0817-2221768 地址:南充市市政府新区二号楼 邮编:637000 采购单位联系人及电话:吴女士 0817—2808367 二一一年一月十三日 NCTP11N001号谈判情况一览表 序号 内容1项目名称:南充市公安局信息网边界接入平台建设项目政府采购 2 采购方式:竞争性谈判 3 组织谈判机构:南充市政府采购中心 地址:南充市财政局4楼407室电话:0817-2221768 传真:0817-2226108 4 谈判保证金形式:银行转帐或电汇 (拒收现金) 谈判保证金转帐或汇入下列帐户: 收款单位:南充市政府采购中心 帐号:0511001710015030 开户行:南充市商行营业部 交款截止时间:2011年1月24日17时5报价有效期:60 天6报价文件份数:正本一份、副本五份 7 报价文件递交至:南充市财政局二楼会议室 8 采购编号:NCTP011N001号9谈判地点:南充市财政局二楼会议室 第二部分 谈判须知 一、合格供应商的要求: 已通过公安部测试的边界接入平台产品生产商在四川的代理商:成都翰东科技有限公司、四川川大能士信息安全有限公司、成都康赛电子科大信息技术有限公司参加谈判; 二、谈判规定 (1)参加谈判的供应商应于2011年1月25日上午9: 30分以前到达谈判地点; (2)报名截止时间:2011年1月21日下午5:30时(北京时间); (3)谈判开始时间:2011年1月25日上午9: 30分(北京时间); (4)参加谈判的供应商的报价应包括运输、安装、调试等全部税费,并提供税务发票; 三、履约保证金 (1)成交人的谈判保证金直接转为履约保证金; (2)用于保护采购人免受供应商不全面履行合同而造成的风险和损失; (3)金额为人民币15000.00元(壹万伍仟元整); (4)成交人拒交履约保证金或拒签合同的,将被取消成交供应商资格,并按采购法相关规定进行处罚; (5)成交人不按合同履约的,履约保证金将不予退还; (6)成交人按要求合同执行完毕,达到采购人要求即无息退还履约保证金. 四、项目完成时间:2011年月日前完成安装调试. 五、合同签订及款项支付 (1)政府采购合同由采购人和成交人签订,送政府采购监管部门审核确认后执行. (2)本项目设备安装完毕,由南充市公安局组织相关技术人员、纪检人员按审核的合同验收确认. (3)凭南充市公安局验收证明,由南充市政府采购中心向供应商支付90%货款,设备正常运行12个月无质量问题后,于七个工作日内向供应商付清余款. 六、谈判费用 供应商应承担参与谈判与自身有关的一切费用,无论谈判结果如何,采购人及代理机构对上述费用不承担任何责任与义务. 第三部分 谈判(一)谈判小组 1南充市政府采购中心根据谈判内容组建谈判小组,其成员由采购人代表和有关方面专家组成三人谈判小组.谈判小组负责对所有谈判文件及谈判情况进行审查、质疑、比较、评定. 2、谈判小组成员评审工作在谈判小组内独立进行.供应商对南充市政府采购中心或谈判小组或小组成员施加影响的任何行为,都将导致其谈判资格的取消. (二)谈判程序及内容 1、南充市政府采购中心按照规定的时间和地点组织谈判. 2、根据报名供应商家数,至少确定三家供应商参加谈判. 3、谈判须由供应商法人代表或法人授权代表(具有授权委托书,出示身份证复印件及原件备查)参加,并签名报到以证明其出席谈判,否则视为弃权.每一家供应商参加谈判的人员最多为2人. 4、谈判过程中如有供应商退出谈判,则视为该供应商弃权,谈判仍可继续进行. 5、谈判按下列程序进行: (1)供应商谈判代表递交报价文件并签到.供应商报价文件的内容应包括下列内容: A、供应商基本情况; B、供应商应提供如下谈判证明文件,供谈判小组审查. 企业组织机构代码证(原件)、营业执照副本(原件)、税务登记证(原件)、安全产品需提供厂商(已通过公安部测试的)关于本项目的授权书 (原件)及上述证件加盖公章的复印件、法人代表委托书原件(提供法人身份证复印件,被委托人身份证复印件).供应商递交的谈判文件复印件必须按序胶装成册. C、供应商在售后服务方面的措施及其承诺; D、报价明细表; E、供应商需要说明的其他内容; (2)供应商谈判代表抽签确定谈判顺序; (3)宣布本次政府采购竞争性谈判的监督人员、主持人、工作人员名单以及评选原则和办法等事项.供应商可当场对需回避人员提出回避意见和理由,对所提需回避的人员进行核实确认后,该人员必须回避. (4)宣布第一轮谈判报价,供应商退场,谈判小组评审供应商递交的报价文件; (5)谈判小组根据评审情况,对需要补充的要求进行说明; (6)采取背靠背方式,对报价情况及安装、售后服务方面的措施及其承诺等方面进行谈判(可反复多次),参加谈判的供应商从第二轮起可根据具体情况书面调整其报价及服务承诺(签名并加盖公章), 但下一轮的报价不得高于上一轮的报价, 谈判小组应保证每个参与谈判的供应商机会均等,供应商自动放弃谈判机会的除外; (7)供应商针对谈判的情况进行书面承诺; (8)谈判小组根据谈判情况及供应商的书面承诺进行评审; (9)在所有参与此次谈判的供应商均已结束以上程序后,各供应商最后一次以书面形式确认最终报价; (10)谈判小组按最低价原则,推荐符合采购要求的成交人 (三)评选原则及办法 1、谈判小组按公开、公平、公正的原则对待所有供应商; 2、采用相同的程序和标准,对所有供应商的报价审查评比; 3、严格按照谈判文件规定的评审要求和标准进行; 4、本次谈判采用最低价法: 以供应商的最终报价为依据,在最终报价中以报价最低的供应商为成交供应商. 第四部分 确定成交人 (一)成交条件 成交人要具备以下条件: 承诺符合谈判文件的要求; 通过谈判小组评审; 能有效地履行合同; 符合其他要素的需求. (二)成交通知 1、确定成交人后,南充市政府采购中心以书面形式向成交人发出《成交通知书》;同时告知其他参加谈判的供应商. 2、成交通知书对采购人和成交人具有法律效力. 3、南充市政府采购中心将不对成交和未成交的原因作任何解释. 4、《成交通知书》将作为签订合同的依据.并作为合同的一个组成部分. 5、在《成交通知书》发出至合同签订期间,若出现成交人确有伪造成交资格或其他致使成交人已实质性地丧失履约能力的事由时,南充市政府采购中心可取消其成交资格,并没收其谈判(履约)保证金. 第五部分 信息网边界接入平台方案(社会企事业单位接入) 见下页 目录项目建设背景 13 第2章 市局应用现状及建设需求 14 2.1 南充市公安局接入业务现状 14 2.2 市局接入业务需求 14 第3章 边界接入平台方案设计 16 3.1 接入平台建设目标 16 3.2 接入平台建设依据 16 3.3 接入平台设计原则 17 3.3.1 符合性原则 17 3.3.2 统一规划和建设、分步实施原则 17 3.4 接入平台体系结构 17 3.4.1 平台体系结构 17 3.4.2 平台安全体系 19 3.5 技术要求 21 3.5.1 接入终端技术要求 21 3.5.2 链路安全技术要求 21 3.5.3 网络安全技术要求 22 3.5.4 主机安全技术要求 24 3.5.5 应用安全技术要求 25 3.5.6 安全监控管理要求 25 3.5.7 设备安全要求 27 3.6 性能设计 29 3.6.1 链路带宽 29 3.6.2 业务并发数 31 3.6.3 吞吐量 31 3.7 扩展设计 32 3.7.1 业务扩展 32 3.7.2 性能扩展 32 3.8 稳定可靠性设计 33 第4章 边界接入平台技术方案 34 4.1 社会企事业单位接入链路 34 4.1.1 路由接入区 35 4.1.2 边界保护区 37 4.1.3 应用服务区 39 4.1.4 安全隔离区 39 4.1.5 安全监测与管理区 42 4.1.6 业务接入描述 43 4.2 平台扩容 44 第5章 边界接入平台日常管理 45 5.1 平台接入业务管理 45 5.2 安全管理制度 46 5.3 平台运维管理 47 5.3.1 日常运行管理 47 5.3.2 机房管理 48 5.3.3 系统资产管理 48 5.3.4 人员管理要求 48 第6章 方案建设内容 50 项目建设背景 随着计算机和网络技术在公安及相关行业的广泛应用,为了更好地服务公安管理、服务现实斗争需要,这就要求公安机关加强与政府部门之间的信息交换与共享,如人口管理、电子监察、政法信息共享等业务都需要实现公安部门与政府不同部门之间的数据交换与共享;同时公安部门所需的许多社会信息都需要相关单位采集,如旅馆住宿人员信息、印章制作信息、二手机动车信息、网吧信息等.以上需求都需要实现公安信息通信网(以下简称公安网)与其它网络之间进行数据交换,而按照公安部网络安全管理要求,公安网不能与其它网络物理链接.为解决公安网络与其它网络之间的数据交换与共享,公安部"金盾工程二期"进行了整体规划和部署,要求各地建设公安信息网边界接入平台(以下简称边界接入平台).公安部于2007年制订了《公安信息通信网边界接入平台安全规范》(以下简称《安全规范》),规范了公安信息通信网的边界接入方式,明确了安全技术要求和安全管理要求,并对符合《安全规范》的产品进行专门的检测认证. 为了实现南充市公安局与政府部门之间数据交换及社会信息采集,按照公安部《安全规范》的要求,结合南充市公安局实际工作的需要,设计建设南充市公安局边界接入平台,为开展信息交换共享提供高效、安全的网络接入和数据交换服务. 市局应用现状及建设需求 南充市公安局接入业务现状 按照《安全规范》要求,接入业务按链路分为三类:社会企事业单位接入、党政军机关单位接入、公安机关驻地外接入.南充市公安局目前已开展的业务中,这三类接入链路都有相应的应用需求. 目前与"社会企事业单位接入"链路相关的业务有旅店业住宿人员登记、印章业管理、新车选号等系统需要从外部行业单位采集数据信息,其他后期可能会扩展的业务包括行业场所从业人员管理、驾驶员体检数据采集以及网吧数据采集等. 南充市公安局现有接入业务基本通过网闸接入公安网.社会企事业客户端直接通过VPN或者VPDN线路接入,与应用服务区内的业务前置机进行通讯,业务数据在前置机落地之后,利用网闸提供的数据库同步和文件同步功能,摆渡到公安网中.为了实现这种接入方式,几乎给每一个接入业务都分别配置了一台网闸,即一个业务对应一台网闸. 市局接入业务需求 为了搭建南充市公安局边界接入平台,在与市局信息通信处、安全科等相关单位调研的基础上,了解南充市公安局业务发展需求,结合《安全规范》,设计了南充市公安局边界接入平台社会企事业单位接入、党政军机关单位接入以及公安机关驻地外接入三条链路.同时考虑新建设的链路中改造、整合原有的接入应用,同时必须考虑南充市公安局未来业务发展的需要,以保证系统稳定、安全、高效运行. 目前需要改造、整合现有的应用系统:旅店业和印章管理业,交警的社会业务,社会治安管理相关数据,GPS信息采集等.以保证现有的应用系统在新链路上正常运行. 根据南充市公安局业务发展需要,通过该链路还将运行机动车修理信息采集;二手车过户选号;驾驶员信息变更、换证预约、考试预约;二手手机信息采集;GPS信息采集等相关业务. 边界接入平台方案设计 接入平台建设目标 针对目前各种信息采集、互通业务,设计一个技术先进、安全可靠、切实可行、管理方便的安全技术方案.建设公安网边界接入的统一平台体系,保证公安网的保密性、完整性和可用性,以及边界接入业务的可管理性、可控性.保障边界接入公安网的安全,以及相关网络和信息资源的安全,同时保证边界接入工作的高效稳定运行,解决和提高公安业务工作、信息共享、服务群众的能力和水平. 接入平台建设依据 本方案依据以下文件或规范设计: 《公安信息通信网边界接入平台安全规范(试行)》; 《关于印发<公安信息通信网边界接入平台安全规范(试行)>的通知》(公信通[2007]191号); 《关于稳步开展公安信息资源共享服务工作的通知》(公信通[2007]189号); 《关于进一步加强公安信息通信网日常安全管理工作机制建设的通知》(公信通传发[2008]109号); 《关于公安信息通信网边界接入平台建设有关问题的通知》(公信通传发[2008]296号); 《通过公安部组织测试的接入平台厂商名单》; 《通过公安部组织测试的接入平台安全产品名单》. 接入平台设计原则 符合性原则 建设方案必须符合《安全规范》的要求,建设单位通过公安部信息安全等级保护评估中心的测评,具备《测评报告》,其它安全设备的选型符合《通过公安部组织测试的接入平台安全产品名单》的要求. 统一规划和建设、分步实施原则 接入平台安全建设是一个复杂的系统工程,需统一规划.根据业务工作的实际需要来决定当前建设的重点,分期分批地实施,使整个边界接入的建设成为一个模块化、持续发展的过程.根据南充市公安局的情况,先建设社会企事业单位接入、党政军机关接入、公安机关驻地外接入三条链路,以后随着需求的发展,逐步开展视频图像、互联网数据导入等链路的接入与改造. 接入平台体系结构 平台体系结构 边界接入平台系统采用一级管理模式,即在公安机关信息中心建设边界接入平台系统,系统的体系结构如下图所示: 接入对象为社会企事业单位,社会企事业单位接入业务允许的业务操作方式为数据交换. 南充市公安局现有的业务包括从广泛的社会网络和信息中采集与公安工作相关的信息,完善信息数据,为进一步提高信息研判的准确度打好基础;以及为市委市政府、政法等政府部门实现数据共享服务,并且由于公安信息网内网具有的八大资源库资源优势,可为省内多个政府部门共享全省的基础信息数据;以及公安局驻地外用户的接入需求. 外部接入链路主要包括专线,拨号两类. 接入平台由路由接入区、边界保护区、应用服务区、安全隔离区和安全监测与管理区五部分组成. 公安信息通信网内公安PKI/PMI系统提供接入平台相关的认证和授权等服务.公安信息通信网内应用信息系统及数据库提供与接入平台相关的信息服务.接入对象采用不同的外部链路接入方式,通过接入平台与公安信息通信网内相关应用系统与数据库进行信息交换. 平台安全体系 接入平台安全体系由三重防护体系、两个基础设施构成,结构如下图所示: 三重防护体系由应用环境安全、应用区域边界安全和链路与网络通信安全三部分构成. 1、 应用环境安全 主要指接入平台的终端和用户来源可信、可监控,接入平台的硬件配置、操作系统、关键应用程序等方面安全可靠、实现应用环境安全的各类安全和保护措施统称为安全加置,安全加固主要有两类:一类是基于可信计算技术的可信计算机,用于高安全等级的终端(或服务器);一类是基于操作系统加固软件、安全应用系统并结合硬件外设(标识用户身份)的安全增强措施,针对一般安全级别的终端(或服务器). 2、 应用区域边界安全 主要涉及各类接入业务在接入平台过程中网络和系统的边界安全方面,主要通过身份认证,访问控制等安全技术措施,实现粗粒度控制下合法访问者对网络和系统的访问. 3、链路与网络通信安全 主要涉及各类接入业务在接入平台过程中链路及网络安全方面,主要采用数据机密性与完整性安全保护技术,建立端到端传输的安全机制. 两个基础设施主要由公安PKI/PMI基础设施、安全检测与管理基础设施两部分构成. 1、公安PKI/PMI基础设施 具有公安数字证书的产生、管理、存储、分发和撤销等功能,是实现对接入平台党/政/军机关、公安机关驻地外接入点用户等接入对象的身份认证、授权管理、访问控制等安全机制的基础. 2、安全监测与管理基础设施 实现对整个接入平台及其接入业务的注册、监控与审计、其功能主要由接入平台的集中监控与审计系统实现. 技术要求 接入终端技术要求 接入终端技术要求 接入终端在联接接入平台同时不得联接互联网或其他网络 必须进行设备认证,认证方式可以采用MAC/IP地址绑定、硬件特征码、设备证书等,未通过认证设备必须阻断 必须进行用户身份认证,认证方式可采用口令、硬件数字证书、动态令牌等;推荐使用数字证书等高强度身份认证方式 必须实现通信内容的机密性与完整性保护 链路方式如果采用普通电话拨号、ADSL拨号等时,并未采用电话拨号回拨认证、VPDN等链路安全机制的情况下,接入终端必须经过安全加固,否则不能直接与接入平台建立连接 接入终端上安装的接入业务应用程序必须完善自身的安全性和健壮性 应接受接入平台的监控管理 链路安全技术要求 外部接入链路的技术要求 边界接入平台的外部接入链路分为两类,分别是专线和拨号. 专线是指采用公安自建的或运营商提供的专用通信线路、带宽接入,其端点物理位置固定,电路专用,例如专用光缆、公安专用ADSL虚电路等. 拨号是指有线拨号,例如固定电话拨号(PSTN)、ADSL等.其特点为通过公共通信网进行,中间链路存在共享. 社会企事业单位外部终端与接入平台间可以使用的外部通信链路包括专线和拨号两种,采用拨号类接入的在外部通信链路上必须采用VPDN或者电话拨号回拨认证等链路安全机制保证链路安全. 党政军机关应采用专线作为外部通信链路. 公安机关驻地外终端与接入平台间可以使用的外部通信链路包括专线和拨号两种,采用拨号类接入的在外部通信链路上必须采用VPDN或者电话拨号回拨认证等链路安全机制保证链路安全. 接入平台边界 接入平台与运营商网络之间必须以专线方式连接,链路设备之间要进行相互认证. 接入平台内部 接入平台内部链路应严格专用,不允许用于其他用途. 接入平台内部为不同接入对象提供服务的链路必须根据接入对象安全级别和业务操作方式(数据交换或授权访问)加以区分.社会企事业单位接入提供服务的链路、党政军机关提供服务的链路、公安机关驻地外链路全部都要物理隔离. 对于数据交换业务,建议区分数据流入和流出链路. 接入平台内用于入侵保护或者集中监控的各种检测设备不能造成平台内部链路的旁路. 网络安全技术要求 身份认证要求 对社会企事业单位外部终端必须进行身份认证,认证协议应基于安全的双向认证协议(如IKE或SSL握手协议); 对党政军机关外部终端必须进行身份认证,身份认证基于公安机关颁发的定制类型数字身份证书,认证协议应基于安全的双向认证协议. 对公安机关驻地外终端必须进行身份认证,身份认证基于公安机关颁发的警用数字身份证书,认证协议应基于安全的双向认证协议. 访问控制要求 未通过身份认证的外部终端不能进入平台访问. 外部终端的网络连接终止于接入平台内,无法直接访问公安信息通信网或与公安信息通信网交换信息. 通过身份认证的外部终端只能访问平台内的指定设备,并且只能进行允许的操作,非授权的访问应被阻断. 机密性和完整性要求 在网络传输过程中,外部终端与接入平台间通信内容必须实现机密性保护. 在网络传输过程中,必须保证传输过程中报文的完整性,并具备防止重发攻击、篡改和伪造等功能. 对于专线接入情况,在接入对象可信程度较高条件下,机密性和完整性保护措施可相对降低. 入侵防范要求 对源/目标地址及端口进行控制,实现会话状态检测及内部网络地址隐藏. 能够实时发现入侵行为及病毒、蠕虫传播,并及时报警. 网络设备安全要求 对登录网络设备的用户进行身份认证,身份认证方式应具有足够强度.同时对网络设备管理员的登录地址、登录时间长度等进行限制,不允许远程登录. 对于关键网络设备的管理,应将管理数据流与业务数据流分离;应开启关键网络设备安全审计功能,配置日志服务器.安全审计的内容应记录系统内重要的安全相关事件,包括登录事件、配置更改等. 应及时更新网络设备的操作系统,关闭不必要的服务. 可用性保障要求 网络拓扑结构设计中关键节点采用冗余技术,避免存在网络单点故障. 关键网络设备和服务器设备建议采用硬件冗余、软件配置等技术手段提供系统的高可用性. 主机安全技术要求 主机是指接入平台内提供各类型应用服务及数据存储的服务器(包括应用前置机、数据库前置机和文件前置机等)或管理终端(包括集控系统管理终端等). 主机操作系统应选择具有长期补丁更新支持的正版软件,应遵循最小安装的原则,即仅安装需要的组件和应用程序,并保持系统补丁及时得到更新.安装经国家有关部门认证、许可的正版防病毒软件,并通过接入平台内设置防病毒服务器或手工下载来及时更新防病毒软件版本和病毒库. 对登录系统的用户进行身份认证,身份认证方式(如口令)具有足够强度.应禁止远程登录,启动登录失败处理功能.并严格限制帐户的访问权限. 开启系统安全审计功能,安全审计的内容应记录系统内重要的安全相关事件,包括重要用户行为、系统资源的异常使用和重要系统命令的使用等. 应用安全技术要求 应用安全技术要求分为对数据交换方式的安全要求和对授权访问方式的安全要求两类. 数据交换应用安全要求 在与公安信息通信网进行数据交换之前,接入平台必须对接入业务的数据流量先实现通信协议的剥离,并按照业务预先注册的数据格式要求,对数据的类型、格式进行严格检查,对数据内容进行过滤,限制所有不符合要求的数据传入接入平台. 公安信息通信网内及接入平台内接入业务应用信息系统应完善自身的安全性和健壮性,尽量确保通过接入平台的业务信息数据的机密性、完整性. 必须实现应用级日志记录,并报送集中监控与管理系统. 授权访问应用安全要求 必须实现应用级身份认证、访问控制和授权管理,并能依据安全策略细粒度控制访问范围、应用类型和内容,防止敏感信息的泄漏,使用可信边界安全网关实现以上功能. 必须不影响公安信息通信网内信息资源及应用系统基于公安PKI/PMI系统的认证、授权、审计等工作的正常运行.并且,公安信息通信网内及通过接入平台的接入业务应用信息系统应完善自身的安全性和健壮性. 必须实现应用级日志记录,并报送集中监控与管理系统. 安全监控管理要求 平台监控管理要求分为两个部分:平台自身的安全监控管理功能和接入平台级联上报功能.各监管系统建立数据库存储管理、监控及审计信息,并将各类信息级联上报至公安部. 接入平台安全监管功能设计包括以下几个部分:注册信息管理、运行监控管理和安全审计管理. 注册信息管理 注册信息管理部分提供边界接入不同层次(接入终端、平台、链路、业务、使用单位等)的信息注册和管理功能.包括对接入终端信息、接入平台信息、链路信息、业务信息、使用单位信息、平台运行信息等进行注册管理,以及根据实际应用需求从不同层次配置的安全策略管理. 运行监控管理 运行监控管理部分主要根据接入平台以及业务注册过程中配置的安全策略提供安全管理功能.主要包括实时监控接入终端的安全状况、网络连接情况、系统和业务应用的运行情况;实时监控接入平台的运行状况,并实现对监测信息、报警信息、安全事件信息等数据的查询和统计,监控接入平台当前运行总体情况;用户监控,即登录状态、操作行为、访问资源等;异常监控,包括异常用户、流量、设备等信息;按时间段、应用系统、用户单位分析统计用户信息、流量信息、异常信息;及时生成网络流量信息的报表. 安全审计管理 安全审计管理部分提供针对用户、业务应用系统、设备等的安全审计功能,以及对异常事件的追踪.主要包括:用户行为审计,即用户信息、访问的资源、访问的时间等;业务应用系统审计,即应用系统信息,数据传输流量、传输时间、传输单位等;设备运行审计;异常行为审计等;按时间段、应用系统、用户单位分析统计用户行为、业务应用系统数据传输、异常行为. 级联上报设计 接入平台级联上报功能主要将本地接入平台、接入业务及使用单位等注册管理基本信息,以及运行状态和安全审计基本信息定时上报给上级接入平台,从而为上级接入平台对本地接入平台的注册管理、运行状态、安全审计等方面信息的浏览、综合查询及统计分析提供所必须的数据.级联方式如下图所示. 其他管理要求 所有接入平台的业务必须在监管系统注册后方可投入运行. 所有接入平台的业务运行流量必须受到监管系统实时监控. 防火墙、可信边界安全网关、入侵检测系统、安全隔离设备、数据交换服务器等设备的运行管理日志必须发送给监管系统统一处理. 设备安全要求 接入平台内所有的安全设备都应满足国家或公安行业相关的技术标准和要求,具备国家相应权威部门出具的产品证书和安全检测报告,并在检测报告允许的范围内使用,关键安全设备必须接受监管系统的监管和审计. 安全隔离设备的要求: 应满足《GA 370-2001端设备隔离部件安全技术要求》和国家保密标准《涉及国家秘密信息系统安全隔离和信息交换产品技术要求》,并经公安部批准同意使用. 具备以下安全功能: 应采用三部件架构安全隔离设备 采用专用硬件和专用通信协议 协议中断、信息落地.所有过往的流量都被剥离通信协议,还原为应用层信息 防范各类攻击和信息泄露 可信边界安全网关的要求: 应满足《GA 246.1-1999计算机信息系统安全产品第一部分:安全功能检测身份鉴别类》和国家保密标准《涉及国家秘密的信息系统安全中间件产品技术要求》,并经公安部批准同意使用. 具备以下安全功能: 基于公安数字证书的身份认证 基于802.1x协议的链路认证 基于终端特征的设备认证 基于细粒度授权管理策略的公安信息通信网内信息资源及应用系统强制访问控制. 不影响公安信息通信网内信息资源及应用系统基于公安PKI/PMI系统的认证、授权、审计等工作的正常运行. 支持应用代理. 数据交换系统的要求: 数据交换系统指专门用于业务数据检查、业务存取控制及分发的软硬件系统. 具备如下安全功能: 设备本身具有很强的安全性,采用硬件专用设备形式并进行安全加固; 区分连接内外网链路的接口; 根据安全策略主动获取来自前置机群的数据; 验证数据源和数据完整性,以及根据业务规则检查数据类型、格式、内容,过滤不符合安全策略的数据. 性能设计 作为公安网与外部业务接入的边界接入平台,在性能上需满足目前的业务需求外,还需对将来的业务扩展留下充足的空间.在性能设计上主要体现在平台链路带宽、在线/并发用户数和网络吞吐量等方面. 链路带宽 对于边界接入平台,链路带宽分为外部链路和内部链路两个部分. 外部链路 外部链路分为接入平台端和客户端两个部分. 边界接入平台端的外部链路主要有两类物理接入链路:社会企事业单位接入和公安及党政军接入链路.而针对不同类的接入,外部链路可选运营商提供的多种接入方式. 由于边界接入的业务是在平台建设过程/完毕后逐个增设,因此,外部链路的带宽可根据接入业务的实际状况逐步增加,有条件的地方也可在先期建设时一步到位.外部链路建议先期建设百兆带宽,后期根据情况增加到千兆或以上. 对于各类客户端,由于所有的信息传输都经过加密,因此对终端接入的带宽要求比普通的网络接入要高.建议采用1Mb以上的接入带宽. 内部链路 边界接入平台是公安网与外网唯一通道,将来接入业务会逐渐增加,因此在内部链路上皆采用千兆链路,如用户有特殊情况/要求,也可建设百兆链路.在平台内部链路上的通用网络设备及网络环境皆采用千兆的设备架设.以满足将来的业务扩展和升级,保护投资. 带宽估算方式 以下给出带宽的初步的估算方式. 接入的应用可分为面向链接的和不面向链接的.如B/S方式的应用,由于采用的是HTTP协议,不是常链接的,对资源要求少;而对于C/S应用,由于其是常链接的,因此其占用带宽资源较多.一般采用B/S方式估算,如果同时在线用户数为10*n,对于B/S类应用实际的并发在线用户数可以总用户数的1/10计.则同时并发在线用户数为n,假设各个用户业务要求的带宽为200Kb,则总带宽要求为:200Kb * n = 0.2*n Mb.因此,一个真千兆的接入链路,可承载5000个用户的并发,相当于可同时支撑50000个用户. 若总用户数超过50000个,则由于目前架设高于千兆链路环境成本较高,则可通过分流用户或增设其它链路来实现大用户量的业务接入. 业务并发数 从链路带宽的分析中可知,真千兆的并发业务数极限为5000.因此,在实际使用中需少于这个数目.由于设备的性能参数是在实验室环境下测出来,在实际工作环境中存在偏差,在进行设备选型时,设备的性能参数的最高值必须在这个值左右或以上. 吞吐量 从上述分析中可知,内部链路带宽采用千兆链路. 对于授权访问类应用,其吞吐量性能与业务情况实时挂钩.而对数据交换类业务,如果业务总需求高于链路的吞吐量设计,则可通过以下方式进行解决: 一、负载均衡技术 这是一个最容易想到的方案,也是最行之有效的.然而,从目前的实际情况来看并不存在这样的必要性:所有业务不是马上就可以一步实施到位的;不是所有的业务都需要准实时交换的,通过人为的规划,可以将各种业务按要求进行划分,错开时间高峰以满足应用要求. 二、空间换性能 采取用空间换性能的策略.所有交换的数据信息在平台的业务主链路上只是暂存.因此,在数据采集和数据交换的过程中,可以提供一定大的存储空间,暂存不需要及时发送的数据,而等系统空闲时再将其转发. 综上所述,为了更好地支撑将来业务的接入,整个平台采用千兆设备架设. 扩展设计 平台设计考虑一定的灵活性和可扩展性.整个方案在设计时考虑将来的扩展,主要体现在业务扩展和性能扩展上. 业务扩展 业务的应用类型主要分为B/S方式和C/S方式(两者皆有的混合方式).边界接入平台中面对外界接入的安全设备都无缝兼容此两类应用.出于安全上的设计,对此两类业务的唯一限制是业务的发起端必需是客户端,以防止内网主动发起请求而造成的内网数据外泄. 对于业务扩展,增加业务的方式主要有两种:第一种方式是在原有硬件的基础上增加新的应用服务;第二种方式是增设新的应用服务器以支撑新的应用. 对于第一种方式,对边界接入平台现有架构或硬件设备无任何更改,只需在原有的硬件上增加相应的应用服务就可以支撑新的业务扩展. 对于第二种方式,边界接入平台的整体架构不变,只需在相应区域增设新的应用服务器,在新的应用服务器上安装新的应用服务就可支撑新的业务扩展. 因此,边界接入平台可很好支持业务扩展. 性能扩展 边界接入业务是个逐步增长的过程,随着业务增加,原来设计的平台性能可能不能满足要求,因此要求边界接入平台方案在性能上具有一定的可扩展性. 对于性能扩展,主要从链路性能和设备性能两个方面进行考虑.对于链路性能,首次建设时就采用千兆链路,所有的网络通信设备也采用千兆设备.在平台的关键设备设计与选型上,所有的设备都支持负载均衡技术.若由于平台内关键设备的性能影响了平台的整体性能,可通过负载均衡设备来实现设备性能扩展. 稳定可靠性设计 从以下几点对边界接入平台稳定性进行设计. 1. 接入平台设计选用成熟的专用以及通用网络设备,设备经过长期测试,稳定性强. 2. 接入平台使用的内外网数据交换系统采用事务处理确认机制和数据回滚机制设计,只有目标点可达时,才进行传输,实现数据高效、稳定、完整地交换. 3.接入平台使用的关键设备如可信边界安全网关和数据交换系统等采用可靠、稳定性设计,均支持双机热备,对当前系统参数备份设计等保障整个接入平台的稳定性. 边界接入平台技术方案 社会企事业单位接入链路 社会企事业单位接入业务包括:旅店业、印章业、机动车修理业、报废车拆解业、印刷业、爆炸物管理业等社会有关单位为公安机关系统上报信息的业务;同时也包括银行、保险、电信运营商等社会行业单位与公安机关共享信息的业务.主要是从社会其它行业单位采集信息,或进行交互式应用(如网上申报或者审批业务),利用运营商提供的VPDN网络,将各个行业单位的客户端电脑接入公安外网.在接入公安外网时通过三层交换机进行链路区分,为每一个接入业务分配不同的VLAN,每个VLAN的终端不能互相访问,以防止不同业务应用之间相互干扰.另外为了使整个系统更加稳定可靠,对可信网关和防火墙均可使用负载均衡,保证了整条链路的冗余性.对于社会企事业这一类业务操作方式为数据交换,主要采用数据库同步模式或文件同步模式. 路由接入区 该区域实现各个外部链路与接入平台间连接.要求业务应用系统承建商在建设时遵循《安全规范》及本方案要求. 该区域主要安全功能为:实现路由访问控制,将来自不同接入对象或不同外部链路的数据流按照接入平台的安全策略加以区分. 终端安全管理 对于社会企事业单位接入终端: 加强终端设备上用户的身份认证强度,通过可信边界安全网关可实现用户名/口令方式的认证,以及扩展支持双因素身份认证,即可以通过颁发数字证书来认证客户端身份. 加强终端设备的设备认证功能,通过获取终端设备IP、MAC、主板、CPU、硬盘序列号等信息对设备进行唯一性认证;检查和控制远程终端设备的安全性(包括操作系统版本、是否安装病毒防护工具等),远程终端必须符合预定义的安全策略才能连接安全网关,并通过安全网关的授权访问内部资源. 应用访问控制:根据用户身份进一步控制用户可访问的应用和可进行的操作,支持B/S、C/S等多种结构业务系统,通过可信网关实现单点登录和零业务改造. 安全审计:记录每台终端的操作行为;终端设备及用户的操作行为将受到平台集控系统的监管审计,包括终端的健康状况、安全状况、网络通信等,并可进行统计分析、报警. 链路安全 根据《安全规范》要求,本方案中外部社会企事业单位接入终端接入要求使用VPDN及专线接入方式,实际应用多数采用VPDN. 对于VPDN接入方式,目前运营商多数提供基于ADSL的VPDN接入方式,该方式使用一次拨号拨入虚拟专网,不分配互联网地址,也不提供互联网接入路由出口,从而保证与互联网络的隔离.外部终端使用VPDN方式拨入运营商虚拟专网后,从运营商以专线方式连接边界接入平台前端防火墙设备. 专线接入方式由于使用了专用物理链路,从电路上保证了与其他网络之间的隔离,其安全性更有保障. 外部终端与接入平台之间的数据通信,均通过可信边界安全网关实现.外部终端与可信边界安全网关建立连接,通过认证检测,此时外部终端所有与平台之间的网络通信使用基于SSL加密的方式进行,杜绝数据被窃听及篡改,进一步提高在链路传输过程中的安全性. 边界保护区 该区域主要实现对接入平台的边界保护. 该区域主要安全功能为:实现网络身份认证.访问控制和权限管理;数据机密性和完整性保护;防御网络攻击和嗅探. 边界保护区主要设备包括:防火墙、三层交换机、可信边界安全网关、入侵保护设备(IDS/IPS)等. 防火墙 防火墙可根据数据包的源/目标地址、协议类型、源/目标端口以及网络协议等对数据包进行访问控制,可实现基于策略的HTTP、FTP、TELNET、SMTP、POP3等透明代理和深度过滤,能确保终端用户合法有效地使用各种网络资源. 利用NAT地址转换功能,防火墙还可保证边界接入平台应用服务区内的主机地址不被外部终端获得,以及通过基于IP地址、服务类型、时间段等定义的带宽分配策略,保障平台前置应用服务器的带宽使用,保护用户带宽投资. 可信边界安全网关 可信边界安全网关,主要用于外部网络终端设备以及用户的认证授权管理;所有的外部终端用户通过VPDN/专线链路,经防火墙访问可信边界安全网关.经终端设备认证、身份证书认证验证成功后与可信边界安全网关建立链路通道.网关系统根据对不同用户的授权提供相应的服务,用户只能看到并且只能访问已授权的服务,网关并且对用户终端系统进行安全检查和监控.用户终端和安全网关建立安全链路后,用户终端的其他网络的链接将自动被终止. 链路建立后,社会企事业单位用户启动具体的应用,经可信边界安全网关权限检查通过后,访问平台内相应的前置服务器,实现与前置服务器间的数据交换业务. 入侵保护 入侵检测系统(IDS)/入侵防御系统(IPS)是实时的网络违规自动识别和响应系统.它运行于边界保护区内,通过实时监听网络数据流,识别,记录入侵和破坏性代码流,寻找网络违规模式和未授权的网络访问尝试.该系统安装于防火墙后,可以对攻击防火墙本身的数据流进行响应,同时可以对穿透防火墙进行攻击的数据流进行响应. 由于终端设备与网关之间使用了SSL链路加密技术,故该设备部署位置对经过可信网关后的数据内容进行检查过滤. 三层交换机 利用三层网络交换机可根据接入应用进行路由选择和虚拟专网的划分,保证不同业务应用通道之间的相互隔离. 一般根据不同业务划分不同的VLAN,每个VLAN分别连接相关的业务前置机、数据库或者文件服务器,各业务之间不能互相访问.同时设置一个公用的VLAN,该VLAN连接集控系统探针、安全数据交换系统. 公用VLAN与每个VLAN之间通过IP路由可以实现数据流转,其他VLAN之间路由禁止.并设置ACL访问控制列表,只允许公用VLAN向每个VLAN发起访问请求,其他禁止.保证每个业务之间相对独立,一旦某个业务的前置机感染病毒木马不能通过局域网迅速传播,可确保所有业务的数据交换安全. 应用服务区 该区域主要处理各类与应用相关的操作,是公安信息通信网对外信息服务,信息采集,数据交换的中间区域.区域内的服务器设备一般由业务应用系统承建商提供,但要求按照《安全规范》及本方案要求进行配置管理. 该区域主要安全功能为:作为接入终端网络连接的终点,实现应用级身份认证、访问控制、应用代理、数据暂存等功能;防止对公安信息通信网的非法访问和信息泄露、对此区域,应加强对服务器等设备的安全保护,应具有病毒、木马防护功能,防止病毒传播与非法控制. 根据实际业务需求,应用服务区放置了相应业务应用的前置服务器(包括应用服务器、WEB服务器、数据库服务器、文件服务器等).作为外部终端网络连接的终点,提供给终端用户应用代理、数据暂存等功能服务. 根据业务应用的具体要求,各前置服务器尽可能采用经过安全加固的Linux操作系统及可信服务器设备,通过裁剪Linux系统的方式对前置机操作系统进行安全加固,卸载所有不必要的应用程序和服务;或使用其他最小化安装的操作系统;关闭所有非必要开放的对外端口,特别是远程控制服务端口,并且对操作系统及时进行补丁更新;并安装病毒查杀系统软件,通过定期的手动病毒库升级保障业务应用区安全;关闭系统中guest用户,对系统用户设置强口令认证;开启系统审计等. 安全隔离区 该区域实现公安信息通信网与应用服务区的安全隔离与信息交换. 该区域主要安全功能为:实现公安信息通信网与应用服务区的安全网络隔离;根据安全策略,对出入公安信息通信网的数据分别进行协议剥离.格式检查和内容过滤,实现公安信息通信网和应用服务区之间的安全数据交换. 安全隔离区主要设备包括:安全隔离网闸、数据交换系统等. 安全隔离网闸 安全隔离网闸实现公安信息网与外部网络之间的安全隔离,同时在内外网数据交换系统之间摆渡数据信息.使用串联方式与数据交换系统前后置服务器连接部署. 国保金泰网闸设备采用2+1硬件结构并具备自主知识产品的硬件隔离模件,自主研发生产的基于映射GAP技术的高速数据隔离交换卡,采用安全定制的系统,采用专用通信协议进行数据摆渡.保证对所有过往的流量都剥离了通信协议,所有协议剥离和再生过程都接受安全审计,并且具有防范各种网络协议攻击的能力,能实现确保公安内网安全前提下的数据安全交换,满足信息采集要求.该产品获得国家知识产权局专利证书、军用信息安全产品认证等证书. 数据交换系统 数据交换系统是交换平台与外部网络业务交换数据的唯一入口.数据交换系统:包括TAS、UAS服务器,用于内外网之间的数据交换,实现对交换数据的内容检查过滤.它部署数据库、文件、数据流等应用服务接口. 数据交换系统使用基于证书认证的方式建立可信安全数据通道. 数据交换系统在内部可信任端配置管理,只外网非可信端不存储任何配置信息,确保配置不被恶意篡改,配置信息不泄漏. 数据交换系统对数据通信内容进行加密及数字签名,保证数据通信的机密性和完整性. 数据交换系统支持数据库、文件之间的模糊格式同步交换,可根据用户配置将文件内容识别并写入数据库,或按照用户指定格式将数据库数据导出为文件. 数据交换系统支持任务级负载均衡,在多套并行数据交换系统之间自动分配任务负载,并在一套系统出现故障时自动进行切换调度. 数据交换系统支持集群交叉数据同步,在一次配置中将多个源端数据采集、整合副分发到多个目的端. 数据交换系统使用主动获取的方式连接内外网数据服务器,根据系统管理员配置进行数据获取及摆渡,同时对数据内容进行深层次细粒度的过滤检查,可匹配正则表达式,可对内容过滤,可对大字段内容检查,查杀病毒. 数据交换系统提供高级任务调度功能,包括:任务带宽调度,任务执行周期/频率调度,任务优先级调度等,为重要业务应用的可靠执行提供技术手段支持. 数据交换系统支持图形化系统负载监视,并提供SNMP方式向外提供系统负载监控信息. 数据交换系统提供极高的数据交换性能,数据库同步可达2000条/秒,文件同步交换可达300Mbps. 提供行级数据交换日志(Syslog),实现数据交换行为追溯,对非法操作、异常行为做到有据可查. 实现由内部监管系统对外部网络、应用、设备的监管,以及日志收集. 安全监测与管理区 该区域实现整个接入平台的安全监测,管理与维护. 该区域主要安全功能为:对接入平台运行情况进行安全监测与审计;对接入平台及业务信息进行注册管理,各种安全策略管理,流量监测,统计分析,安全审计等;接入平台内网络设备,安全设备的配置管理及日常运行维护;补丁升级,漏洞扫描与病毒防范. 集控系统 包括集控系统以及后台日志存储系统服务器,部署于公安信息网内,用于整个平台系统所有网络、应用、终端监管,同时对系统用户行为进行审计;以及实现平台级联功能;平台监管系统主要是对:注册信息管理,运行监控管理,安全审计管理. 平台内部所有设备日志信息(Syslog)收集展现,以及其他支持Syslog日志的应用服务系统. 通过SNMP方式对网络设备负载及运行状态进行实时监控,快速发现定位网络故障节点,延长系统连续运行时间. 通过ICMP及Telnet对特殊设备及应用进行监控. 提供集中图形界面对平台系统内设备、应用、用户状态进行展现,提高运维效率.图形界面支持拓扑图方式及机柜平面图方式. 提供远程调试界面接口,可在内网集控系统中远程调试外部网络中防火墙、IDS等设备,提供管理便利. 系统内置级联上报功能,按照公安部技术规范定义开发,兼容多个厂商平台系统. 集控探针 集控探针配合集控系统从平台外部网络采集设备运维信息并提供给集控系统进行展现分析.并与数据交换系统完整集成,无需单独开放传输链路,安全、高效,避免设备运维过程中引入新的安全隐患. 业务接入描述 此处以旅店业系统及印章业系统接入边界接入平台为例进行描述. 旅店业系统 旅店业流动人口信息管理系统是为了加强对旅店业流动人口信息的管理,在打击犯罪中充分发挥旅店业流动人口信息的实效性优势而建设的.系统一般采用B/S或C/S结构,通过平台终端管理系统在客户终端设备(一般为普通PC机)上端安装专用客户端软件,结合平台下发USB-KEY数字证书通过证书与业务系统相绑定的方式将入住人员信息提交到公安外网(应用服务器区).这些信息将最终通平台数据交换系统交换到各地方公安局信息中心的内部网络数据库或文件服务器中,以进行进一步处理(如启动报警系统及追逃系统). 平台中的运行过程如下:①首先旅店业客户端通过ADSL VPDN或其他方式接入到平台外部,登录可信网关认证授权,然后可连接旅店业系统前置服务器,通过业务系统自身提供的身份认证等方式后,将入住旅客的信息提交到旅馆业系统服务器中以数据库或文件的方式进行存储;②平台数据交换系统根据系统管理员的配置,连接到旅馆业系统服务器的数据库或者文件服务,将入住旅客的信息实时的同步到公安信息网内部旅店业后置服务器中;进行其他的信息比对工作;自此数据交换平台工作完成. 印章业系统 印章业接入的方式主要通过拨号VPDN或专线的形式连接到公安信息网,然后通过网闸进行数据交换工作.在接入平台建设中,无须对现有的业务应用系统进行改造,这种方案设计完全符合公安部业务应用系统"零改造"的要求.为了响应公安部和省公安厅关于加强终端管理的要求,在平台建设中需要对每一个终端认证,然后通过可信边界网关对用户和终端进行认证和授权,只有认证和授权通过的终端用户方能提交数据信息到应用服务器区.最后通过安全接入平台的数据交换系统对数据进行内容过滤、格式检查、病毒查杀,最终完成数据安全的交换工作. 平台扩容 平台建成后将进入应用期,随着公安信息化建设的进一步深入,将会有越来越多的边界接入业务应用通过平台交换数据、提供服务,为了满足后续业务扩充的支持,平台系统建设中就充分考虑了将来系统扩容的需求. 数据交换系统可随着应用的增加并行多套实现大数据吞吐率,可实现负载均衡,为系统提供容错和稳定性支持. 授权访问功能可根据业务带宽需求使用多台可信网关设备组成集群负载,提供超越常规的带宽支持. 边界接入平台日常管理 平台接入业务管理 党/政/军机关和社会企事业单位的接入业务必须为公安部批准同意的业务范围.具体参照《关于稳步开展公安信息资源共享服务工作的通知〉》(公信通[2007]187号)及公安部其它有关通知执行.凡超过公安部批准范围各地开展的接入业务,均一律视为公安信息通信网严重违规予以断开,并追究相关部门领导的责任. 接入业务经过审批后,必须按照《办法》(附表3 )的要求填报边界接入注册登记表. 信息中心负责核实所有接入业务的审批、注册信息,经核实后,再按注册登记表中的项目内容逐一在接入平监管系统上进行注册备案,并按流程接入平台,纳入日常运行的监控管理. 接入业务投入运行后,其业务内容必须与其注册信息一致,接入业务内容,方式,范围发生变化时,应重新进行审批,注册和备案,具体流程同上. 通过安全监控,审计等技术手段发现接入业务的违规行为及异常情况时,应及时调查和取证,并按照公安信息通信网安全案(事)件处理流程进行处理. 安全管理制度 物理安全方面,建立接入平台安全管理制度,对有关人员,设备和物品的进出,以及机房环境安全等方面的管理做出规定. 网络及系统安全方面,应建立健全网络及系统安全管理制度,采用统一的安全管理策略: 规范网络设备操作流程,关键操作应建立复核机制,建立详细的操作日志,并及时备份参数文件. 规范故障处理流程,建立详细的故障日志(包括故障发生的事件,范围,现象,处理结果和处理人员等内容). 规范网络管理的日常巡检流程. 制定规范化的日常操作流程,在操作系统,数据库和应用系统管理方面建立相应的操作规范和访问控制策略. 建立变更管理制度,变更管理的申报和审批程序应文档化,变更方案经过评审,审批后方可实施. 在应急事件处理方面,应根据事件的等级制定相应的应急预案: 规定故障紧急处理程序和系统恢复程序. 从人力,设备,技术和财务等方面确保应急预案的执行有足够的资源保障. 针对应急预案进行专项培训和演练,并根据实际情况更新应急预案内容. 平台运维管理 日常运行管理 信息中心具体负责本级接入平台的日常运行,维护、安全监测等方面的管理工作. 按照公安信息通信网运行管理有关文件的规定和要求,建立健全本地接入平台运维管理制度和工作机制. 信息通信部门应明确接入平台运行管理部门和职责,配备适当数量的管理员,制定接入平台日常支行维护管理制度,并形成健全的日常工作机制,保障公安信息通信网边界接入安全. 各级公安信息中心要建立日常巡检机制,确保接入平台运行正常.管理员每日对接入平台设备状态、网络流量、应用及系统运行等情况进行巡检,分析各类设备日志及管理审计报表、及时发现异常情况,并根据报警提示采取相应的处理措施. 信息中心应做好接入平台故障和灾难应急响应措施预案,对重要数据要定期备份.建立起对违规行为等安全事件进行鉴别、取证、攻击者追踪等紧急响应处理流程和工作机制,将安全事件造成的损失降至最低. 信息通信部门负责对接入平台定期进行安全检查和监督,尽早发现存在的安全隐患,并要求及时解决. 因日常管理不严,导致接入平台安全隐患,并影响接入业务正常开展的,要对负责人予以通报批评,并追究相关人员责任. 机房管理 原则上应设立专用机构或区域为接入平台建设场所. 机房应安装门禁系统,防止非法进入.机房应利用光、电等技术设置机房的防盗报警系统,保证能够及时发现进入机房的盗窃和破环行为,并且相关电子记录应完备、清晰,妥善存放.便于检查并保存足够长的时间,便于审计和追查. 机房应分区域管理,区域和区域之间采取物理隔离防火措施.将接入平台的重要设备与其他设备隔离开.应将主要设备进行固定,并设置明显的不易移去的标记. 系统资产管理 资产包括接入平台相关的数据,软硬件设备,设施,存储介质和文档等. 接入平台所有设备纳入公安机关资产管理,不得交与其他单位托管. 建立相关资产的安全管理制度,编制并保存相关的资产,资产所属关系、安全级别和所处位置等信息的资产清单.同时,应根据资产的重要程度对各类资产进行定制赋值或标识管理.根据资产的价值选择相应的管理措施. 人员管理要求 接入平台配备的安全管理人员,应经过严格审查,定期进行考核,保持相对稳定,并报同级信息通信部门备案. 安全管理人员包括安全管理员和安全审计员,并由不同人员担任. 安全管理员负责日常安全管理和维护工作,其岗位职责包括:接入平台各类设备的管理和维护,接入业务的登记注册,接入用户及其权限的授予,对接入操作的实时监控和安全事件的处理,定期进行病毒检测,系统漏洞扫描及补丁更新. 安全审计员负责对接入业务操作日志和系统运行日志进行安全审计跟踪,监测和调查安全漏洞. 必须制定并实施安全培训和教育计划,定期对安全管理人员以及其他从事接入平台操作的工作人员进行安全培训和教育. 安全管理人员调离时,必须严格办理调离手续,认真进行工作交接,交回有关钥匙和证件,退还技术手册,软件及有关资料等,接任者应更换系统口令,并撤换其用过的所有账号. 方案建设内容 序号 设备/系统名称 描述 数量 1 安全数据交换系统 分别部署在两个网络之间,通过网闸连接两个网络中应用服务器传输数据 1 2 可信边界安全网关 对整个内外网数据交换平台的业务、应用、终端、服务器、网络设备监管 1 3 集控探针 实现用户认证、安全接入等功能 1 4 集中监控审计系统 设备状态获取以及设备管理,不允许与内部网络之间存在任何网络连接 1 5 安全隔离网闸 实现平台内外网之间安全隔离数据交换 1 6 防火墙 划分安全域,实现访问控制、地址转换、带宽控制、日志记录及审计等功能 1 7 入侵检测系统 实时检测接入平台网络攻击并提供解决建议 1 8 杀毒软件 50用户(1系统中心+5服务器+50客户端) 1 9 三层网络交换机 24 个10/100/1000以太网端口,4 个SFP千兆光口 2 10 防病毒服务器 英特尔至强处理器E5520,DDR3 ECC1066 /1333MHz 8G,集成2个千兆网卡,3个146GB SAS硬盘,19寸标准机架式设备,有冗余电源. 1 11 应用服务器 2*Intel 4核E7420处理器,DDR3 ECC1066 /1333MHz 8G,集成2个千兆网卡,3个146GB SAS硬盘,19寸标准机架式设备, 光驱:DVD;有冗余电源 2 12 管理终端 英特尔双核处理器E5500(2.8G 2M缓存),2G DDRII 667内存,320G SATAII硬盘,19英寸LCD 2 13 服务器机柜 19英寸、42U标准机柜,含液晶显示器、8口KVM切换器、键盘、鼠标,黑色,载重层板3块,四个风扇,万能电源插座1个114 网络机柜 19英寸、42U标准机柜(600*800*2045),黑色,载重层板1块,四个风扇,万能电源插座1个1