陕西省政协信息化建设实施方案.doc

陕西省政协信息化建设实施方案陕西省政协信息中心西安未来国际软件有限公司二六年四月 目 录1.项目背景42.需求分析52.1.基础网络需求52.2.业务应用需求63.建设理念与原则63.1.建设理念63.2.建设原则74.陕西省电子政务统一平台84.1.统一平台简介85.总体方案95.1.总体方案描述95.2.基础网络平台105.2.1.网络系统设计原则115.2.2.网络结构125.2.3.内外网路由协议选择原则165.2.4.IP地址规划设计175.2.5.安全设计185.3.门户平台255.3.1.系统架构255.3.2.公众服务门户265.3.3.内部办公门户295.4.应用系统解决方案335.4.1.设计原则335.4.2.技术路线395.4.3.体系结构455.4.4.共享应用中间件465.4.5.重点应用775.5.数据中心解决方案1475.5.1.存储系统1485.5.2.数据备份系统1505.5.3.运行管理平台设计1536.实施方案1576.1.实施步骤1576.2.投资预算1581. 项目背景当前，信息技术已成为推进经济和社会发展的强大力量，信息化是经济和社会发展的大趋势。随着通信、信息技术的发展，电子政务建设已成为提升一个国家或地区综合竞争力的重要因素。中办、国办发200217号文国家信息化领导小组关于我国电子政务建设指导意见中提出，把电子政务建设作为今后一个时期我国信息化工作的重点，政府先行，带动国民经济和社会发展信息化。陕政办发200170号文关于陕西电子政务工程20012005年发展规划纲要的通知要求：“用3到5年时间，建成覆盖全省各级机关的电子政务网络系统。使机关内部办公网、与国际互联网相连的公众信息资源网、全省范围内统一专用的连接各级部门政务内网的宽带多媒体信息交换和资源平台、门类齐全的信息资源数据库群得到广泛应用”。中国人民政治协商会议陕西省委员会（以下简称为陕西省政协）作为中国人民爱国统一战线的组织，是中国共产党领导的多党合作和政治协商的重要机构。为适应当前经济形势和政治形势发展变化的要求，更好的完成政治协商、民主监督、参政议政的任务，需要建立自身的网络信息系统。2005年6月16日召开的陕西省信息化领导小组会议将陕西省政协的信息化建设列为陕西省电子政务统一平台建设的重要组成部分。陕西省政协作为的重要参政议政单位。担负对国家和地方的大政方针以及政治、经济、文化和社会生活中的重要问题在决策之前进行协商和决策执行过程中的重要问题进行协商。对国家宪法、法律和法规的实施，重大方针政策的贯彻执行，国家机关及其工作人员的工作，通过建议和批评进行监督。对人民群众关心、党政部门重视、政协有条件做的课题，组织调查和研究，积极主动地向党政领导机关提出建设性的意见等重要工作。陕西省政协电子政务网络的建设对陕西省电子政务的健全和发展具有重要意义。建设办公网络是陕西省政协政务系统办公网络化工作的需要。建设陕西省政协网络平台，是实现陕西省政协机关办公业务的电子化、自动化和网络化的基础条件。在网络平台的基础上，开发和运行陕西省政协机关办公信息系统，是实现机关办公内部信息交流的重要信息化建设。开发和运行陕西省政协门户网站，是省政协面向世界、面向社会公众的重要通道。建设陕西省政协办公网络的环境条件已经具备。随着科学技术的发展，计算机技术和网络技术近年来发展快速，网络构建已经具有相当成熟的技术水平，并且设备价格较以前大幅度降低，而性能却较以前大幅度提高。与此同时，省政协的各级领导和机关工作人员也在不断提高自身的计算机应用水平。这一切，都为省政协电子政务网络建设奠定了良好的物质和人员基础。在此背景下，西安未来国际软件有限公司与我省政协信息中心紧密配合、密切合作，在学习其他先进省份和城市政协信息化建设的基础上，对我省政协的信息化建设现状进行了充分的分析和论证，提出本整体解决方案。2. 需求分析在省政协相关人员的大力支持和积极配合下，政协信息中心和西安未来国际软件有限公司通过多种形式充分调研了省政协信息化建设的资源现状，并结合先进省份和城市在政协信息化建设方面所积累的丰富经验和已经取得的有效成果，对我省政协的信息化建设需求归纳为如下两个方面：2.1. 基础网络需求1、根据国办第17号文件要求，并考虑到省政协的实际需求，省政协需要建设2套在物理上完全隔离的局域网：内网、外网。内网和外网为每一个工作人员提供桌面接入。2、省政协机关内网在横向上连接省委、省政协、省政府；在纵向上，上联全国政协，下联各地市政协。3、省政协内网与省电子政务专网通过统一接口接入。4、省政协外网通过统一出口，利用逻辑隔离手段接入互联网。5、省政协内、外网均支持音频、视频等多种通讯格式。6、配置政协网络覆盖范围的办公人员桌面终端。7、建设改造一定时期内能够支撑政协业务的中心机房。8、建设改造政协常委会会议室。2.2. 业务应用需求1、以服务政协委员为目的，建设省政协委员和提案管理信息系统。2、为提高政协内部协同办公效率，建设和完善省政协内部办公系统。3、以提高面向社会、公众服务能力为目的，完善和提升省政协门户网站。4、以省政协部门间共享信息资源为目的，建设省政协内网办公门户。5、建设视频点播系统，初步建设知识管理体系。6、为规范和提高政协委员会议效率，研发会议管理系统。3. 建设理念与原则陕西省政协电子政务网络的建设要满足省级电子政务网络的规划要求，依托省级统一平台基础传输网，建成上通省级电子政务主干网，下达辖区内各个市区的多媒体综合信息网络系统。注重应用系统和信息资源开发，开通网上综合业务，实现办公业务的规范化、电子化、网络化、协作化，全面提高工作质量和工作效率，改善政协提案质量，增强快速反应能力，为各级领导同志和工作部门提供多媒体通信服务、综合信息服务和决策支持服务，促进管理现代化、决策科学化。3.1. 建设理念充分运用现代信息技术，提高政协机关工作效率和服务质量，体现三个服务：为政协依法政治协商、民主监督、参政议政服务；为人民政治协商会议、常委会和专委会服务；为政协委员和委员提案服务。3.2. 建设原则电子政务工程建设是多层次、多部门参与的综合运用信息技术和管理科学的系统工程，必须按照“统一规划，突出重点，节约资金，安全保密”的原则，落实有关部门的建设任务以及建成后的运行工作责任。统一规划统筹建设政协信息化系统是是一项系统工程，覆盖范围广，条件要求高，必须统筹规划。系统建设规划和建设必须符合国家和我省电子政务有关文件的统一要求，统一标准。要遵循省信息化领导小组办公室的规划、部署，在技术路线、设计思路、接口标准、建设实施等重要方面与陕西省电子政务建设保持协调一致，在系统整体技术架构和应用建设上做到全省各地各级政协与省政协保持协调一致。政协信息化建设依是省级电子政务网络的基础组成部分，应充分结合我省电子政务主体企业西安未来国际软件有限公司的资源和技术优势，在信息化领导小组办公室和省政协相关办公室的统一指挥领导下有层次、分步骤的进行系统建设，避免重复劳动。互联互通资源共享政协信息化系统是全省信息化建设的一部分。政协信息化系统应该与省级电子政务统一平台和省委、政协、政府等省级机关的基础电子政务系统互联互通，充分利用已有信息资源，避免重复建设和盲目建设。省政协信息化的最终目标是要解决政协机构的部门间协同办公，为委员提供更好的信息服务。为此，必须始终关注并着力于解决异构系统、异构数据之间的资源共享问题，不但要解决已建系统之间的共享、交换，同时也要保证新建系统不产生新的“信息孤岛”突出重点节约资金以应用为主导，根据政协实际业务进行设计研发相关专有业务系统。突出建设当前急需、能够在较短时间内大幅提高工作效率的专有业务系统，作到投入产出周期短、效果明显。安全保密的原则在互联网接入的链路上，为保证安全应进行安装网络防火墙。在网络通信上保证内外网安全物理隔离；综合运用安全审计、安全保密检查和网络安全评估等先进技术，保证省政协电子政务系统的信息保密与安全；严格遵守国家有关安全保密规定，全面考虑灾难恢复和数据备份。4. 陕西省电子政务统一平台陕西省电子政务统一平台的建设目标，是依据国家关于电子政务建设的相应要求和规范标准，结合陕西省的特点，将电子政务统一平台建设成为国家电子政务在陕西的中心节点，省级六大政务部门之间、省与十一个市（区）之间政务信息传递枢纽。陕西省电子政务的统一平台，要面向陕西省省级政务部门领导，提供决策支持的基础支撑服务；面向全省各类电子政务应用，提供资源交换、共享与整合的基础支撑服务。陕西省电子政务统一平台，要达到将省级政务部门、各市（区）独立的网络、业务系统整合，实现同一平台上传递、交换和共享信息，确保各类政务资源的可互连、可访问、可交换、可共享、可整合的建设要求。4.1. 统一平台简介陕西省电子政务统一平台，是支撑陕西省的政务信息资源导航、交换、共享、整合及电子政务应用的开放性公共基础设施。陕西省电子政务统一平台是在网络基础设施、信任和授权服务基础设施的基础上，承载最终电子政务应用的软、硬件综合平台。电子政务统一平台的主要特点是开放性、基础性和规范化。开放性主要体现为"四无关"，即与具体业务应用无关、与计算机系统无关、与数据库管理系统无关、与网络系统无关；基础性指平台提供对各类电子政务应用都具有支撑作用的基础信息和基础服务；而规范化是指平台提供统一的框架、协议、标准和规范。陕西省电子政务统一平台基于公用基础通信设施所构建的电子政务城域网、广域网，充分整合、集成、利用现有信息网络资源，建设覆盖全省各级政务部门的网络平台和服务体系。其技术业务包括政务网络的完善与接入、门户网站集群的地址与域名管理、共享公共数据库，各部门、行业的应用系统搭载、安全保障系统等。其服务功能包括为各部门提供网络接入服务、数据管理、安全认证、冗灾备份、应用支撑和安全保障等，为各个业务应用系统及门户网站提供技术支撑，实现跨部门、跨地区共享信息资源。5. 总体方案5.1. 总体方案描述根据陕西省电子政务建设整体规划，我省将在充分整合、利用已有存量资源的基础上，将原分属两个机构管理、运行的内、外网机房集成、扩充、提升为全省电子政务中心平台，包括电子统一网络平台、信息交换互联互通平台、安全和应用支撑平台、门户平台，形成全省统一的电子政务网络中心、信息交换共享中心、安全中心、中心网站、数据存储中心、灾备中心和管理中心，将为全省电子政务系统提供跨部门跨地域的信息交换与共享。当然，包括省政协与其它省级机关、各地市政协之间的数据交换与共享。陕西省电子政务中心平台也为全省的电子政务建设提供统一的PKI、PMI基础设施，统一的时间源服务、密码服务等等，按照分级管理的原则形成全省统一的用户管理和授权管理体系。陕西省电子政务中心平台还提供统一的门户平台，可为省委、省政协、省政府、省政协及省级部门、单位提供门户网站的托管服务。陕西省电子政务中心平台还将统一部署网上协同的办公业务资源系统，为省委、省政协、省政府、省政协及省级部门、单位提供最基本的日常办公业务服务。陕西省政协信息化建设将充分依托陕西省统一电子政务平台及电子政务中心提供的各项服务，同时按照我省信息化建设的要求，建设具有政协特色的信息化工程。信息化建设是一项系统工程，不是简单的网络工程、系统集成或者软件系统的开发，信息化建设是一项综合的软、硬件系统集成，涉及网络技术、存储技术、数据库技术、软件技术等等信息技术的各个方面。然而所有这些技术的应用都是为着上述的总体建设目标以及建设原则。从总体的角度来看，政协信息化建设实际上包括四个方面的共作：建立适合的统一技术标准和规范；建设统一网络平台；建设统一的基础平台；在上述底层基础设施的支撑下建设面向最终用户的、符合用户需求的内、外网应用。总体体系结构如下图所示：内、外网应用系统统一基础网络平台信息交换互联互通平台统一的安全与应用支撑平台统一的标准与规范图 41 陕西省政协信息化建设总体框架统一的技术标准和规范是实现信息化建设总体目标的前提。统一的标准和规范保证了信息化建设中的各个平台、应用系统具有足够的开放性，使异构系统之间的信息交换和协同工作成为可能。统一的基础网络平台是政协信息化建设的重要基础设施，为互联互通提供了物理和网络上的保证。政协信息化建设中的网络平台根据秘密等级以及应用系统的用途分为内网和外网。内网主要运行政协机关的内部办公系统，外网主要运行为社会公众提供服务的各个服务系统。安全和应用支撑平台、信息共享互联互通平台共同组成基础支撑平台。在利用省电子政务统一平台的基础上，只需建设用于政协系统内部信息交换与共享的信息交换互联互通平台；同时，作为全省统一用户管理和授权管理的子节点，只需建设以省政协为根、可以与全省用户树即权限树相衔接的省政协统一用户管理和授权管理，实现政协内部的单点登录，同时为全省统一的用户管理和授权管理打下基础。5.2. 基础网络平台陕西省政协网络系统将根据中办发200217号文件对电子政务网络建设的要求：电子政务网络由政务内网和政务外网构成，两网之间物理隔离，政务外网与互联网之间逻辑隔离。内网主要提供内部办公与数据共享，外网主要能有效地与国内公用网、相关专用网和国际互连网互连。1、局域网主干使用光纤布线，支持千兆到万兆传输，百兆或千兆到桌面。2、局域网安全建立有效的防火墙、IDS、防病毒和授权、查验、审计系统。3、局域网内部数据采用双服务器热备份、磁盘镜像技术与磁带机备份或异地备份等方式来保证数据的安全。4、采用开放软件平台，统一网络管理，对局域网设备进行管理和配置。5、各个部门之间将按照策略、协议、端口等要求划分安全子网。5.2.1. 网络系统设计原则1、高性能：系统具有较高的吞吐能力，即在网络设备和链路上每秒中传输的比特位 （Bps）和处理能力（PPS），网络各层均不存在阻塞，具备土发流量的承受能力。在实际的设计中，必须考虑连接速率和并发事务处理状态2、可扩展性：能够适应系统规模的扩大，一方面能够保证系统能通过更大的设备实现纵深扩展，另一方面保证系统能通过多台设备实现横向扩展。在实际设计过程中，考虑采用模块化、层次化设计以及负载均衡的设计。3、高可靠性：系统能够在基础结构的各个层面为用户提供会话和服务的连续访问的能力。在出现故障时，基础结构能够保持网络会话状态；当前用户能够连接到系统服务。在实际设计中，必须考虑冗余网络设备和网络路径来消除单点故障，出现故障时，网络能够绕开故障设备，来做出迅速响应。确保layer-2协议（STP）正常运行，不造成长时间的停滞。确保layer-3协议在IP传输失败时能够快速的收敛并重新路由；设备必须具备状态判断和故障转移的能力，保证应用程序会话不会超时而造成用户会话丢失。 4、安全性：系统具有网络和系统的全方位安全性保护。在实际设计中，必须考虑边界安全措施，在边界设备上设置安全服务来防范恶意活动，跟踪用户会话状态，并在会话结束时终止连接；身份验证必须是所有请求的第一个任务，确定请求的源发性以及授权的提供者，控制请求可以访问的内容和服务；通过VPN提供设备和用户验证、数据加密传输，保证数据的源发性、保密性和完整性；通过入侵检测保证在出现攻击时，自动断开连接；通过安全监控提供例行扫描，检测并报告任何潜在的安全漏洞，以便进行修补，在发现攻击时，以便发出告警并终止攻击；部署多层病毒防御体系，实现病毒检测、隔离和杀灭；架构数据备份系统，保证关键应用数据的灾难恢复。5、可管理性：建立全面的网络管理方案，实现整个网络运行状况的监控和检测，合理分配网络资源，确定网络故障。在实际设计中，必须考虑网络管理系统能够在关键点收集统计包括流量、RMON和SNMP 的原始数据，为网络优化提供依据；提供设备配置、故障管理、性能管理、计帐和安全管理。5.2.2. 网络结构5.2.2.1. 陕西省政协基础网络结构陕西省政协网络系统将根据中办发200217号文件对电子政务网络建设的要求：电子政务网络由政务内网和政务外网构成，两网之间物理隔离，政务外网与互联网之间逻辑隔离。内网主要提供内部办公与数据共享，外网主要能有效地与国内公用网、相关专用网和国际互连网互连。省政协机关宝鸡市政协省检察院省高院咸阳市政协西安市政协省级政务专网其它地市政协省委全国政协省政府雁塔区政协户县政协其它区县政协市级级政务专网县级政务专网图表 51陕西省政协信息化建设网络架构图1、局域网主干使用光纤布线，支持千兆到万兆传输，百兆或千兆到桌面。2、局域网安全建立有效的防火墙、IDS、防病毒和授权、查验、审计系统。3、局域网内部数据采用双服务器热备份、磁盘镜像技术与磁带机备份或异地备份等方式来保证数据的安全。4、采用开放软件平台，统一网络管理，对局域网设备进行管理和配置。5、各个部门之间将按照策略、协议、端口等要求划分安全子网。5.2.2.2. 陕西省政协内网网络架构及技术实现图 44 陕西省政协内网结构1、局域网设备部署及选型陕西省政协内网局域由网络核心层、汇聚接入层和向上接入层构成。网络核心层由两台高性能、高可靠的三层交换机组成，两交换机之间通过千兆以太通道互连。具体设备可以选择美国CISCO公司的CAT4506交换机，也可以选择国产华为S6506交换机。该设备采用双热备交换处理板卡，双热备电源以保证设备的安全运行，在每台设备上配置一块24口的千兆光接口模块，以提供到楼层交换机的连接；配置一块24口的10/100/1000电口板卡，以提供到数据服务器、防火墙、入侵检测等设备的连接。 网络汇聚接入层是将网络的汇聚层和接入层合并到一起，提供到各个部门的接入工作。汇聚接入层设备将选择华为的S3500等系列的交换机，冗余电源配置。向上接入层主要提供到陕西省电子政务专网的接入，通过防火墙、入侵检测和数字证书等安全手段保证在外出差人员能够随时访问办公资源。通过使用互备防火墙，可以有效的控制外部用户随意访问省政协内部资源。2、数据中心描述内网数据应用区主要是办公应用服务器及数据存储设备、公文交换服务器及存储设备和档案服务器及存储设备。这些应用服务器可以组成SAN模式 ，共享一套存储和备份系统。内网网管区主要是省政协内网交换设备的管理和配置以及主机设备、存储设备的管理。内网多媒体区主要给政协内部人员提供网上影视、网上电教和网络会议。3、内网安全设计为省政协内部资源的安全性，可以在网络层部署NIDS，检测和诊断网络入侵。在主机上可以安装HIDS，检测和诊断主机入侵。对于外部用户要访问内部资源可使用数字证书和安全认证来确认用户身份。在政协整个内网部署一套网络防病毒软件，如趋势科技网络版，解决病毒问题。5.2.2.3. 陕西省政协外网网络结构图 45 陕西省政协外网网络结构1、局域网设备部署及选型陕西政协局域网外网也有核心层、汇聚接入层和向上接入层组成。网络核心层由两台高性能、高可靠的三层交换机组成，两交换机之间通过千兆以太通道互连。具体设备可以选择美国CISCO公司的CAT4506交换机，也可以选择国产华为S6506交换机。该设备采用双热备交换处理板卡，双热备电源以保证设备的安全运行，在每台配置一块24口的千兆光接口模块，以提供到楼层交换机的连接；配置一块24口的10/100/1000电口板卡，以提供到WEB、MAIL等服务器、防火墙、入侵检测等设备的连接。 网络汇聚接入层是将网络的汇聚层和接入层合并到一起，提供到各个部门的接入工作。汇聚接入层设备将选择类似华为的S3500系列交换机，冗余电源配置。S3528P交换机能提供4个向上连接的千兆光口，24口的10/100M端口。每台S3552P交换机通过两条光纤分别连接核心层的两台S6506,提供链路冗余。向上接入层主要提供到陕西省电子政务外网的接入和互联网的连接。通过防火墙将省政协外网与互联网逻辑隔离。 5.2.3. 内外网路由协议选择原则1、路由协议的开放性开放性的路由协议保证了不同厂商的支持；保证网络的互通性和扩充能力和选择空间。2、网络的拓扑结构和收敛时间网络拓扑结构直接影响协议的选择。例如RIP不支持分层次的路由信息计算，对复杂网络的适应能力较弱。路由协议还必须支持网络拓扑的变化，在拓扑发生变化时，无论是对网络中的路由本身，网络设备的管理都要使影响最小。3、网络节点数量和路由表的大小不同的协议对于网络规模的支持能力有所不同，需要按需求适当选择，有时还需要采用一些特殊技术解决适应网络规模方面的扩展性问题。路由表的大小直接影响着路由器的正常运行，正确的选择路由协议和路由策略能够减低路由器的CPU和内存的负担。保证系统的正常和稳定运行。4、与其他网络的互连要求通过划分成相对独立管理的网络区域，可以减少网络间的相关性，有利于网络的扩展，路由协议要能支持减少网络间的相关性，是通常划分为一个自治系统（AS），在AS之间需要采用适当的区域间路由协议。必要时还要考虑路由信息安全因素和对路由交换的限制管理。5、管理和安全上的要求在满足功能需求的情况下尽可能简化管理。为了实现比较完善的管理和安全功能，路由协议对策略的支持。通常BGP、OSPF、EIGRP等路由协议适合于大型网络中，通过对快速收敛、VLSM、路由汇总、路由验证、部分更新、负载平衡、路由分层、带宽和CPU资源消耗等方面的分析对比。选择BGP作为Internet出口路由协议，OSPF作为数据中心内部和数据中心互联主流路由协议。5.2.4. IP地址规划设计为了实现较高的性能和可伸缩性，既要有效地利用地址空间，同时能满足路由协议的要求，提高路由算法的效率，加快路由变化的收敛速度，建议采取有效的层次化和结构化的地址分配方案。IP地址分配技术采用可变长子网掩码技术（VLSM）、路由汇总技术（Route Summarization）和CIDR技术。采用VLSM技术可节约地址空间；保证网络设计的灵活性。但要避免子网重叠分配。采用路由总结（Route Summarization或Route Aggregation）和CIDR可以缩减路由表大小，降低路由器内存的使用，并减少路由协议产生的网络数据流量。具体分配时，采取按位标志的方法进行分配。5.2.4.1. 规划设计原则 唯一性：一个IP网络中不能有两个主机采用相同的IP地址简单性：地址的分配应该简单，避免在主干上采用复杂的掩码方式。连续性：为同一个网络区域分配连续的网络地址，便于采用汇总及CIDR技术缩减路由表的表项，提高路由器的处理效率。可扩展性：为一个网络区域分配的网络地址应该具有一定的容量，便于主机数量增加时仍然能够保持地址的连续性。灵活性：地址分配不应该基于某个网络路由策略的优化方案，应该便于多数路由策略在该地址分配方案上实现优化。层次性：地址的分配应该有层次，某个局部的变动不要影响上层、全局。网络内应按工作内容划分成不同网段即子网以便进行管理。5.2.4.2. IP地址分配IP地址分为公网IP地址和私有IP地址两部分。公网IP地址由省政协向ISP或NIC申请，在申请IP地址时应充分考虑其扩展性。私有IP地址由省政协自行设计，使用采用RFC 1597保留的地址空间。1、内网各个层的IP分配核心层交换机和防火墙之间、防火墙与边界接入路由器之间的连接（可以采用全网状连接），每组直连端口需要两个IP地址，分配只有个公网IP地址的子网，掩码为255.255.255.252。边界接入路由器的广域网IP有省电子政务专网和国办分配。建议所有网络设备设置Loop back端口（路由器ID）或管理VLAN（交换机ID），其IP地址用作该设备的网管地址。该地址空间采用私有IP空间。2、外网各个层的IP分配采用私有IP地址，通过防火墙作地址转换（NAT）。实现与Internet和边界网络的信息交换。站点托管用户（Web Hosting）、应用托管用户（ASP）、应用区和网络管理区服务器建议采用私有IP地址，通过核心层交换机实现地址转换（NAT），多台服务器可以使用一个公网IP地址作为服务器群的虚拟IP地址，这样不但节省公网IP地址空间，同时提高了网络安全性。建议所有网络设备设置Loop back端口（路由器ID）或管理VLAN（交换机ID），其IP地址用作该设备的网管地址。该地址空间采用私有IP空间。5.2.5. 安全设计重要的网络资产鉴别、风险的准确评估、可能的影响分析、可能的威胁来源及系统存在的弱点分析是设计网络安全方案和确立安全策略的依据和基础。其中网络资产包括网络主机（如PC机、包括主机操作系统、应用和数据）、联网设备（如路由器、交换机和防火墙）、网络数据（传输在网络上的数据）。5.2.5.1. 安全风险、弱点和威胁1、政协数据中心网络安全风险和弱点如下表：风险弱点数据存储和传输电磁干扰和辐射搭线窃听和数据截取人为破坏和线路老化人为的误操作管理漏洞配置漏洞网络设备IP地址欺骗拒绝服务非法访问渗透攻击源路由攻击系统配置漏洞系统后门系统设计漏洞管理漏洞系统软件病毒入侵数据包监视和截取内部网络暴露IP和MAC地址欺骗用户名和口令窃取非法访问数据包序列号攻击路由攻击渗透攻击反弹攻击拒绝服务系统配置漏洞系统后门系统设计漏洞系统安全级别低邮件病毒网页浏览和下载管理漏洞数据备份和恢复漏洞身份认证和授权控制漏洞应用系统病毒入侵业务信息被监听或修改用户名和口令窃取窃取PIN/密钥等敏感数据非法访问拒绝服务渗透攻击反弹攻击成功提交业务的事后抵赖系统配置漏洞系统后门系统设计漏洞邮件病毒网页浏览和下载管理漏洞内部管理系统安全员、系统管理员、网络管理员、操作员、软硬件维护人员、信息存储介质保管员等蓄意破坏、操作失误、失职管理漏洞网络体系结构内部入侵者扫描外部入侵者扫描拒绝服务渗透式攻击源路由攻击数据包传输超时造成丢弃单点故障线路监听和数据篡改数据删除安全域/网段划分不合理不同安全域缺乏有效的隔离不同安全域路由不正确网络容量和带宽不足网络缺乏冗余机制表 41 省政协安全风险与弱点分析表2、安全威胁数据中心安全威胁主要来源于以下几个方面： 物理环境和恶意破坏者是整个网络系统安全的前提。网络周边环境和物理特性、恶意破坏者使网络设备和线路不可用，而造成网络系统的不可用。 Internet用户和黑客政协外网通过与INTERNET直接或间接互联，提供基于WEB的应用服务。外部黑客通过嗅探程序来探测扫描网络及操作系统存在的安全漏洞，包括网络IP地址、操作系统的类型、开放TCP端口号和服务、系统保存用户名和口令等安全信息的关键文件，并通过相应攻击程序向内网进行渗透攻击或窃取数据。外部黑客利用木马由内向外进行反弹攻击，内部用户在网页浏览和下载、接收外来恶意电子邮件时，被植入木马。木马程序通过反向连接穿透网络防火墙，对内部主机进行控制。 内部职工对自身企业网络结构和应用的高度熟悉的内部员工是系统安全威胁的主要来源。内部各级网络中，不同应用系统之间的简单隔离和控制、配置漏洞导致的关键业务应用和办公应用受到局域网上一些无关用户的非法访问。各级网络之间不同网络用户对其他网络的攻击。低权限用户假冒高权限用户登录服务器并删除、修改数据。内部恶意用户利用木马、偷窃、窥视、诱骗和破译等手段获取高权限用户名和口令，进而登录并破坏服务器数据。对这种攻击采用高强度身份认证，通过控制登录和在线时间、登录物理位置进行防范。高权限用户对服务器数据进行非法破坏，并修改日志信息消除痕迹。对这种攻击可通过分权管理和行为监管防范，在登录和修改数据库时，必须有三个不同权限管理用户口令才可以进行。内部不同业务IP地址假冒，因此在内部网络中，加装防火墙，更严格地实现不同等级的访问权限；在交换机或防火墙上实施MAC地址与IP地址绑定，防止即插即用的网络访问。另外，对网络进行动态的监测。 计算机病毒计算机病毒主要包括四种类型：文件嵌入病毒、木马病毒、蠕虫病毒和脚本病毒。其中文件嵌入病毒是通过计算机用户使用非法软件传播，具有一定的复制功能，具有传播性；木马病毒是黑客利用系统漏洞或用户操作不当进入用户系统，暴露用户敏感信息或接受远程控制；蠕虫病毒利用网络缺陷和协议漏洞进行繁殖的病毒程序；脚本病毒通过网页利用脚本进行破坏的病毒，对系统设置进行恶意配置或恶意调用系统。5.2.5.2. 安全体系模型和安全机制网络安全体系模型是以安全策略为中心，包括安全防御、安全管理、安全检测、实时监测和安全响应为内容的安全体系。安全策略定义和制定可以接入企业网络的技术，以及信息资源必须遵守的行为。通过安全策略的制定，提供了：1、网络基础设施中实施安全特性的框架2、审查已有网络安全性的程序3、合法行为的基准在安全策略中，包含了三个主要要素：身份，完整性及审计。身份包括鉴别和授权。鉴别确定了访问资源的用户身份和用户位置，授权确定了用户的权限；完整性包括了网络基础设施的安全(物理及逻辑接入)，周界安全和数据保密性；审计是为了检验安全基础设施的有效性，及时发现恶意入侵行为的措施，可能的特殊问题以及对安全策略的执行等。总体的安全体系模型如下图所示：图 4-6 安全体系模型5.2.5.3. 安全策略1、边界路由器边界路由器是保护内部网络免受攻击的第一道防御体系，主要功能是：保证内、外部路由的准确选择和出入境流量的畅通。保护防火墙免受直接的攻击。将日志事件发送到日志服务器。在边界路由器上主要实施以下策略：通过安全配置，消除配置漏洞，保护边界路由器本身免受入侵和攻击入境过滤只允许入境的访问到达内部特定服务器的特定地址和特定端口。不允许 ICMP 通过路由器。阻塞 ping 命令和相似的功能。阻塞任何以内部网段地址入境的数据流，防止地址欺骗。阻塞采用周知端口的易受攻击的服务进入的流量（In-Bound）。阻塞源路由包。出境过滤对于边界路由器内部接口IN方向的流量（In-Bound）。确保基于分配给内部网络的有效地址访问外部网络，防止内部DDOS或非授权流量发送出去。禁止外部网络具有登录路由器的能力。用 Tacacs+/Radius等安全技术来保护和管理对路由器控制台的访问。2、内外部防火墙2台防火墙采用冗余模式, 实现负载均衡和失效转移。防火墙用于隔离外部公网和边界网络，避免外部客户与边界网络中的服务器直接连接，以保证网络层和传输层的安全性。防火墙的入境端口上通过ACL技术限制来自外部的访问只能到达WEB服务器的虚拟地址。防火墙的入境端口上通过ACL技术限制只有SSL、Http、Https访问进入防火墙。来自外部的访问通过动态路由协议到达防火墙。3、内、外网核心交换机在内外网络中，进行VLAN划分，将同一业务功能区服务器划分到一个VLAN中，实现不同业务功能区的逻辑隔离。通过ACL技术实现不同VLAN之间的访问控制。通过ACL技术限制只允许应用服务器与后台数据库服务器之间进行通信。通过外部核心交换机实现出入境访问流量的NAT。4、NIDS在外网网络区部署入侵检测系统。将NIDS探测器连接到交换机的SPAN目标端口，将连接要检测的端口作镜像， NIDS检测边界是否遭遇攻击并将其终止。5、病毒防御内网网络防病毒方案建议采用多层次结构、智能化、全自动、集中管理、强制策略执行以及多平台支持的病毒防御体系，在网络结构的每一个层次、每一个平台、每一种环境下都相应的对其进行防病毒保护。建议采用趋势科技防毒墙服务器版Server Protect。ServerProtect本身是一个多层结构的软件。包括三个模块：Information Server (IS)，Normal Server (NS)，Management Console (MC)。NS是安装在每台文件服务器上的防毒模块，IS是所有NS的集中管理模块，可安装在某一台服务器上；MC是给管理员使用的管理界面模块，可安装在任何一台机器上。在病毒防御服务器上部署ServerProtect信息服务器及管理控制台（SP Information Server & Management Console），作为Server protect的管理中心，实现所有服务器的防病毒策略部署和病毒代码、引擎的升级、病毒疫情管理、集中式病毒扫描、事件报告和防毒配置。在各台需要保护的Windows 2000和Linux系统的服务器上部署Normal Server (NS) ，提供全面性的病毒防护。可选安装TMCM代理程序，Server protect就能够被整合在TMCM的管理体系中，并且能够通过TMCM得到“病毒爆发抑制策略”。Server protect应用该策略能够有选择性的关闭某些病毒攻击网络，服务器和客户机的端口，或共享文件夹。从而保护网络中的服务器群，在最新的病毒码没做出来之前不被新病毒攻击。6、流量分析基于SNMP，实现网络流量的分析和统计。通过监控系统网络管理平台软件集成的流量分析模块，实现不同线路的利用情况，不同资源的利用情况。检测网络设备端口流量变化，它使得网络管理者能够直观地观测设备流量的变化，从而对网络设备进行有效的管理。通过网络设备内嵌智能Agent，对需要经过复杂计算的性能数据主动进行监视，在超出阈值时自动上报告警。同时通过第三方的基于开放源码的分析软件ethereal，对网络数据包进行深层次的拆包和分析，以便故障诊断。7、认证服务认证服务主要对通过Internet访问和模拟拨号进入内部应用系统的管理员进行认证和授权。认证服务器软件建议采用freeradius。freeradius作为网络中的用户管理核心，支持与网络设备配合完成终端用户的认证、授权、计费等功能，实现网络的可管理、高安全。5.3. 门户平台门户是政协以社会群众为对象，提供信息和服务的窗口，是综合评价信息化建设成效的重要切入点。门户网站建设是信息化建设中具有基础性、公益性的重要建设项目。门户网站作为整个信息化建设的基础。门户根据具体服务对象的不同可以分为公众服务门户和内部办公门户，公众服务门户是针对广大社会群众提供的服务性、宣传性的网站，而内部办公门户是集成各部门业务系统的统一入口的网站。下面将分别进行介绍。5.3.1. 系统架构门户架构设计如下图所示：图 41省政协门户架构该平台提供了多种数据信息源的处理，在统一的PKI/PMI安全体系的认证，以及