福建省地面指挥所网络系统建设.docx
《福建省地面指挥所网络系统建设.docx》由会员分享，可在线阅读，更多相关《福建省地面指挥所网络系统建设.docx（38页珍藏版）》请在冰点文库上搜索。
福建省地面指挥所网络系统建设
福建省地面指挥所网络系统建设方案
一.项目概述
福建省地面指挥所为10层地面大楼，其人防信息系统参照一等人防指挥工程进行设计。
根据人防业务需求设置4套网络，分别是人防指挥网、政务内网、政务外网和办公网。
其中指挥网和政务内网按照涉密网设计。
二.网络系统设计原则
遵循“投资合理、规划统一”的原则，充分考虑系统设计的整合性和性价比，既能符合和保证用户的投资利益，又能为网络智能系统发展应用提供整体、坚实的安全基础。
遵循“立足现在、适度超前”的原则，技术上以最新的国际标准为依据，结构上应能根据业务发展变化的需要灵活调整和扩展，保证整个综合布线系统既能支持实际应用需求，又能充分考虑技术的先进性以支持未来高速网络应用的发展。
网络总体设计、建设的原则：
1、开放性：
当前计算机技术的发展日新月异，各种硬件和软件产品层出不穷。
但总体上看，整个计算机仍然在开放式系统的概念下不断趋于统一，新模式主要有如下特点：
开放式系统越来越为广大用户所接受，传统的封闭式厂商也开始走向开放式道路，开放式体系结构已经发展成为计算机技术的主流。
2、标准化
在方案设计中，所有计算机网络软硬件产品必须坚持标准化原则，遵从国际标准化组织所制订的各种国际标准及各种工业标准。
3、简洁性
对于网络系统，在设计过程中要考虑系统能够适应不断的新的发展需要，并使系统能适应多种硬件平台和多种网络结构，而且网络拓扑结构简洁，硬件和软件按需要能进行灵活的配置。
4、可扩展性
目前设计的网络系统不仅仅用于当前，同时在今后的一段时间内，将是人防指挥的主要系统。
因此，设计时一定得考虑将来的发展，除了当前设计得有一定的超前外，还需要考虑系统的可扩充性，易于系统以后的发展。
网络系统必须有足够的扩展性，使得将来增加信息点时，只需很少变动。
如当网络设备增加、通信网络升级时，所有设备要保证仍能继续使用，而不能以弃掉已有设备为升级的代价。
采用的产品具有充分的可扩充性及升级能力，具有足够的先进网络技术过渡的能力。
5、安全性
按照下列标准：
《计算机信息系统安全保护等级划分准则》（GB17859-1999）
《信息系统安全等级保护基本要求》等技术标准
《信息安全技术信息系统通用安全技术要求》（GB/T20271-2006）
《信息安全技术网络基础安全技术要求》（GB/T20270-2006）
《信息安全技术操作系统安全技术要求》（GB/T20272-2006）
《信息安全技术数据库管理系统安全技术要求》（GB/T20273-2006）
《信息安全技术服务器技术要求》
《信息安全技术终端计算机系统安全等级技术要求》（GA/T671-2006）等技术标准进行涉密网的建设。
硬件平台安全性：
当计算机的元器件突然发生故障，或计算机系统工作环境设备突然发生故障时，计算机系统能继续工作或迅速恢复。
网络通迅系统安全性：
网络的安全性主要包括采取以下安全措施：
认证措施，包括网点认证和人员认证；数据保密措施如传输加密；存取控制措施如防止非法操作。
操作系统安全性：
即通过注册、安全事件审计、资源隔离等方式使用户的行为具有个体可查性，实施存取限制，保护数据防止被别的用户读取或破坏。
数据库安全性：
数据库要有以下安全机制：
磁盘镜像、数据备份、恢复机制、事务日志、内部一致性检查、锁机制以及审计机制等安全保障体制，确保数据库的安全。
应用软件系统的安全性：
认同用户和鉴别，确认用户的真实身份，防止非法用户进入系统。
存取控制，当用户已注册登录后，核对用户权限，根据用户对该项资源被授予的权限对其进行存取控制。
审计，系统能记录用户所进行的操作及其相关数据，能记录操作结果，能判断违反安全的事件是否发生，如果发生则能记录备查。
保障数据完整性，对数据库操作保证数据的一致性和数据的完整性。
6、技术先进性
网络系统不能够一经实现即落后，应当保证5年先进水平，只有这样才能在计算机技术迅速发展的今天不落伍，不会在竞争激烈的今天，因计算机技术的不足而影响工作的进行开展。
采用先进而成熟的网络技术和产品，适应大量数据和多媒体信息传输、处理、交换的需要，使网络系统具有较强的生命力。
7、实用性
网络的建设要强调网络系统与网络应用并重，以应用推动建设，信息资源的开发、利用和效果。
产品应选择主流产品，并且具有成熟、稳定、实用的特点。
能充分满足日常使用、科学决策、对外交流、以及信息自动化管理等各方面的需要。
8、网络可靠性
网络可靠性需要从以下方面来保证：
设备的硬件制造品质与运行软件的成熟性。
网络设备必须选用已经证实，并在实际应用中得到普遍应用的产品，只有这样，才可能提供不间断运行的能力。
网络产品应具备在线热更换的能力，当某一板卡出现故障时，应能带电更换，而不需进行停机操作。
9、易维护管理性
网络管理应走向科学化，采用先进的网络管理系统，实现“在网络中心即能实时控制、监测整个系统的运行状况，能够自动发现故障点”的目标，并具有良好的人-机操作界面。
10、保护投资
在网络方案设计时充分考虑现有的硬件和软件资源，尽量把各期投资和未来发展的兼容性容于系统方案中。
三.涉密网系统设计原则
1、国家规范
《涉及国家秘密的信息系统分级保护技术要求》（BMB17-2006）
本标准规定了涉密信息系统的等级划分准则和相应等级安全保密技术要求。
《涉及国家秘密的信息系统分级保护管理规范》（BMB20-2007）
该标准规定了涉密信息系统分级保护管理过程、管理要求和管理内容.
《涉及国家秘密的信息系统分级保护测评指南》（BMB22-2007）
该标准规定了涉密信息系统分级保护测评工作流程、测评内容、测评方法和测评结果判定准则
《涉及国家秘密的信息系统分级保护方案设计指南》（BMB23-2008）
该标准规定了涉密信息系统分级保护方案应包括的主要内容，适用于涉密信息系统建设使用单位和集成资质单位对涉密信息系统分级保护方案的设计，也可用于保密工作部门对涉密信息系统的审批管理
《涉及国家秘密的信息系统审批管理规定》
本规定适用于涉密信息系统投入使用的审批管理
《信息系统安全等级保护基本要求》
《信息系统安全等级保护实施指南》
本标准规定了信息系统安全等级保护实施的过程，适用于指导信息系统安全等级保护的实施。
《信息系统安全等级保护定级指南》
《互联网安全保护技术措施规定》（公安部令第82号）
本标准规定保障互联网网络安全和信息安全、防范违法犯罪的技术设施和技术方法。
《信息安全等级保护管理办法》
《信息系统安全等级保护测评准则》
本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求，包括第一级、第二级、第三级和第四级信息系统安全控制测评要求和系统整体测评要求。
本标准没有规定第五级信息系统安全控制测评的具体内容要求。
2、等级分类
第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
3、涉及国家秘密信息系统的分级保护管理
涉密信息系统按照所处理信息的最高密级，由低到高分为秘密、机密、绝密三个等级。
涉密信息系统建设使用单位应当在信息规范定密的基础上，依据涉密信息系统分级保护管理办法和国家保密标准BMB17-2006《涉及国家秘密的计算机信息系统分级保护技术要求》确定系统等级。
涉密信息系统建设使用单位应当将涉密信息系统定级和建设使用情况，及时上报业务主管部门的保密工作机构和负责系统审批的保密工作部门备案，并接受保密部门的监督、检查、指导。
涉密信息系统建设使用单位应当依据涉密信息系统分级保护管理规范和技术标准，按照秘密、机密、绝密三级的不同要求，结合系统实际进行方案设计，实施分级保护，其保护水平总体上不低于国家信息安全等级保护第三级、第四级、第五级的水平。
涉密信息系统使用的信息安全保密产品原则上应当选用国产品，并应当通过国家保密局授权的检测机构依据有关国家保密标准进行的检测，通过检测的产品由国家保密局审核发布目录。
涉密信息系统建设使用单位在系统工程实施结束后，应当向保密工作部门提出申请，由国家保密局授权的系统测评机构依据国家保密标准BMB22-2007《涉及国家秘密的计算机信息系统分级保护测评指南》，对涉密信息系统进行安全保密测评。
涉密信息系统建设使用单位在系统投入使用前，应当按照《涉及国家秘密的信息系统审批管理规定》，向设区的市级以上保密工作部门申请进行系统审批，涉密信息系统通过审批后方可投入使用。
已投入使用的涉密信息系统，其建设使用单位在按照分级保护要求完成系统整改后，应当向保密工作部门备案。
国家和地方各级保密工作部门依法对各地区、各部门涉密信息系统分级保护工作实施监督管理，并做好以下工作：
（一）指导、监督和检查分级保护工作的开展；
（二）指导涉密信息系统使用单位规范信息定密，合理确定系统保护等级；
（三）参与涉密信息系统分级保护方案论证，指导建设使用单位做好保密设施的同步规划设计；
（四）依法对涉密信息系统集成资质单位进行监督管理；
（五）严格进行系统测评和审批工作，监督检查涉密信息系统建设使用单位分级保护管理制度和技术措施的落实情况；
（六）加强涉密信息系统运行中的保密监督检查。
对秘密级、机密级信息系统每两年至少进行一次保密检查或者系统测评，对绝密级信息系统每年至少进行一次保密检查或者系统测评；
（七）了解掌握各级各类涉密信息系统的管理使用情况，及时发现和查处各种违规违法行为和泄密事件。
四.设计目标
（1）万兆核心，千兆到桌面；
（2）建设四套网络分别为指挥网、政务内网、政务外网、办公网，而且4套网络物理隔离，防止机密信息泄露；
（3）指挥网、政务内网设计为涉密网，设计满足国家有关涉密网安全要求；
（4）政务外网、办公网设计为非涉密网，为连接互联网预留接口，在网络边界放置安全设备，保护网络的安全避免来自外部的攻击。
（5）网络链路进行屏蔽设计，防止电磁干扰、防止通过电磁波数据窃取，保护数据传输的安全。
（6）产品选用世界上最先进的、行业技术领先的厂家的产品，为用户构建先进、可靠、安全的网络。
五.指挥网设计方案
五.1.设计方案
1、用户需要：
（1）构建独立的网络，不与其它网络连接，按照涉密网的要求设计；
（2）要求千兆到桌面万兆上连核心；
（3）地上指挥网与地下指挥网互联互通互备，系统、设备、链路不存在单点故障；
2、指挥网连接点位统计表
共计41个点位，具体位置如下：
房间编号
房间名称
点位数量
514
副主任办公室
1
515
副主任办公室
1
516
副主任办公室
1
517
副主任办公室
1
518
主任办公室
1
601
机要室
2
611
副指挥长办公室
1
612
副指挥长办公室
1
613
副指挥长办公室
1
614
指挥长办公室
1
701
首长休息室
1
706
有线程控交换室（计算机室）
2
707
卫星通信室
6
708
控制室
8
709
计算机编程机房
6
710
有线配线控制室（有线通信室）
2
711
服务器机房（通信电源及蓄电池室）
4
713
无线机房
1
3、我方的设计：
（1）采用两层网络架构模式，分为核心层和接入层，使网络扁平化，网络尽量减少中间环节，处理效率更高，网络物理隔离，设备选用世界第一品牌CISCO的产品。
（2）核心交换机采用思科万兆交换机CISCO4900M，数量1台，标配8个万兆端口。
（4）接入交换机采用CISCO2960S-24TD-L，数量2台，可满足41个点位的主机上连，并为将来的扩展预留接口，2台CISCO2960S-24TD-L通过万兆端口连接到核心交换机CISCO4900M。
（5）依据国家保密局《计算机信息系统国际联网保密管理规定》中明确要求，按照第5级涉密网设计。
五.2.产品选型
五.2.1.交换机产品选型和配置
（1）核心交换机选型
思科作为路由交换产品的世界第一品牌，交换机产品具有卓越的性能，CISCO4900M，作为核心设备广泛应用于军工、电信、政府、企业，我方为用户选用思科产品为用户的系统平台保驾护航。
（2）核心交换机配置
WS-C4900M：
数量1台，标配2个万兆端口。
配置清单：
产品配置
规格参数
数量
WS-C4900M
Basesystemwith8X2portsand2halfslots
1
S49MES-15002SG
CiscoCAT4900MIOSENTERPRISESERVICESW/OCRYPTO
1
PWR-C49M-1000AC
4900MACpowersupply,1000watts
1
X2-10GB-LR=
10GBASE-LRX2Module
2
CiscoCatalyst4900M系列交换机是一个第二到四层固定配置交换机系列，可以为架顶式服务器交换和分支核心部署提供卓越的性能。
CiscoCatalyst4900M系列能够以小巧的2RU外型，提供高性能和与分组大小无关的低延时，以及媒体灵活性。
CiscoCatalyst4900M系列交换机可以提供与分组大小无关的低延时和线速交换
●可提供多达24个万兆以太网端口（X2）
●冗余的内部交流或直流电源，配备可热插拔的风扇架
●光纤端口上具有SFP或者X2灵活性，能提供多种布线距离
产品特性：
转发带宽（Gbps）：
320
每秒分组数（Mpps）：
250
支持的MAC地址：
55,000
支持的路由：
256,000
板载内存（DRAM）：
512MB
10GbE密度：
24
千兆以太网GBIC/SFP密度：
32
10GbEXENPAK/X2端口密度：
24
10/100/1000密度：
40
最大功耗（瓦）：
1000
交流/直流支持：
AC/DC
规格（高×宽×长）：
3.5×17.2×17.9英寸
（3）接入交换机选型和配置
选用CISCO的二层交换机，WS-C2960S-24TD-L。
具体配置如下：
WS-C2960S-24TD-L：
数量2台，每台配置1个万兆端口。
产品配置
规格参数
数量
WS-C2960S-24TD-L
Catalyst2960S24GigE,2x10GSFP+LANBase
2
SFP-10G-LR=
10GBASE-LRSFPModule
2
设计后的拓扑图如下：
五.2.2.内网安全选型和配置
我方选用北信源公司的产品，北信源是国内最具权威的内网安全管理厂家，其产品具有军工认证资质，产品广泛应用于国家保密局、军工、航天、政府等单位。
我方的设计是在指挥网的41台主机上都安装北信源的内网安全管理系统，防止机密信息泄露，保护网络安全。
它对计算机信息系统中的所有网络资源（包括数据库、主机、操作系统、安全设备等）进行安全审计，记录所有发生的事件，提供给系统管理员作为系统维护以及安全防范的依据。
北信源产品功能介绍如下：
包括：
基本产品包、终端桌面管理产品包、终端安全管理产品包、网络主机运维产品包、非法外联管理产品包。
1、产品基本功能
终端基本管理
1）终端注册管理
2）IP和MAC绑定管理
3）禁止修改网关、禁用冗余网卡管理
4）未注册终端拒绝入网管理（软阻断技术）
IT资产管理
1）硬件资产管理
2）软件资产管理
3）软、硬件设备信息变更管理
事件报表及报警处置
1）终端信息数据统计分类管理
2）图形化信息数据输出管理
3）用户自定义组态报表输出及查询管理
4）报警结果处置管理
5）安全事件源远程阻断管理
6）联动处置接口管理
非法外联管理
1）网络内部终端非法外联互联网行为监控
2）网络内部终端非法接入其它网络行为监控
3）离网终端非法外联互联网行为监控
4）非法外联行为告警和网络锁定
5）未注册终端非法接入内网行为管理
6）非法外联行为取证
第三方接口联动
1）PKI/CA认证联动接口
2）防火墙联动接口
3）网管软件联动接口
4）安全管理平台联动接口
5）其它第三方接口
2、主机监控审计系统
1）上网访问行为审计和控制：
以黑白名单的方式对用户的网页访问行为进行控制；
可对用户上网访问的网页等进行审计和记录。
2）文件保护及审计
3）网络文件输出审计：
对主机通过共享文件等方式进行的文件输出行为进行审计和记录。
4）邮件审计：
根据策略对主机发送的邮件进行控制。
并审计发送的邮件地址、IP等信息进行控制审计和记录
5）打印审计：
根据策略对主机打印行为进行监控审计，防止非授权的信息被打印。
还可以备份打印内容。
6）文件涉密信息检查：
根据用户自主设定的涉密信息查询条件，设定对指定目录或盘符下的指定类型文件进行内容检查，检查其是否包含涉密内容
7）用户权限审计：
审计用户权限更改及操作系统内用户增加和删除。
8）各自独立的权限分配体系：
提供系统管理员、系统审核员（安全员）和系统审计员和一般操作员权限，分别进行不同的管理操作。
9）系统日志审计：
不同权限管理员在Web控制台对终端用户的日志（系统日志、应用日志、安全日志等）进行远程读取查看。
3、终端安全登录与监控审计系统
通过硬件（USBKey）和软件（USBKeyClient）相结合的方式实现了物理身份与数字身份的双重认证。
通过将USBKey与操作系统不同权限用户的绑定，实现对USBKey的权限划分。
由于USBKey本身的唯一性，从而保证了Windows系统用户本身的唯一性。
4、移动存储介质使用管理系统
移动存储介质，如U盘、移动硬盘等，作为数据交换的主要手段之一，移动存储介质正成为数据和信息的重要载体，移动存储设备在给我们带来极大方便的同时，也给我们带来了不少的安全隐患，主要如下：
1）涉密计算机接入非涉密移动存储设备；
2）非涉密计算机使用涉密移动存储设备；
3）移动存储介质的数据交互审计；
4）外来移动存储介质随意接入问题；
5）移动存储介质丢失导致信息泄漏；
6）移动存储介质的使用信息无法追踪审计问题；
7）移动存储介质接入区域限制和控制问题；
8）病毒、恶意代码通过移动存储介质传播问题。
5、安全U盘系统
1）采用专用控制模块防止U盘介质非授权格式化；
2）从原理上杜绝病毒自动传播，防止病毒拷入U盘导致病毒传播；
3）支持基于角色的细粒度强访问控制机制，采用可定制的数据访问和审计策略，提供数据的多级多域安全防护；
4）采用安全容器技术，实现信息的存储和传输安全，保证信息内容本身的应用审计安全；
5）可对信息的分发路径进行全程跟踪，结合自主采集的多维主机指纹采集技术，从而对通过Ｕ盘的数据交换行为进行全方位的细粒度审计；
6）审计信息记录在U盘本地的审计区，以供分析；
7）支持设备和主机的双向认证，防止主观和客观的数据非法访问；
8）一体化管理平台，便于U盘集中分发和管理。
6、存储介质信息消除系统
系统能够保证存储在主机上的重要数据的安全，通过反复对文件磁道的改写和重写，对主机上用户想要删除的数据文件进行不可恢复的彻底粉碎，最终达到不可恢复的目的。
本系统采用数据防护算法和硬件验证技术，避免了存储数据的非法存取和意外泄漏，具有以下功能：
1）文件粉碎：
对单个文件（文件夹）及多个文件（文件夹）进行彻底粉碎。
2）分区粉碎：
可对主机中所选择的分区进行不可恢复的彻底粉碎。
3）磁盘粉碎：
可对主机中所选择的磁盘进行不可恢复的彻底粉碎。
7、补丁及文件分发管理系统
近些年来，蠕虫病毒和木马病毒的频繁爆发给全球网络运行乃至经济都造成了严重影响，之所以这些蠕虫能造成如此危害，是因为利用了操作系统或者应用程序的漏洞。
补丁的安装普遍会遇到以下的问题：
消除漏洞的根本办法就是安装软件补丁，每一次大规模蠕虫病毒的爆发，都提醒人们要居安思危，打好补丁，做好防范工作——补丁越来越成为安全管理的一个重要环节。
系统功能描述：
1）互联网补丁自动下载；
2）补丁完整性和安全性测试；
3）补丁增量更新导入；
4）补丁库建立和分类；
5）终端漏洞自动检测；
6）补丁策略制定分发和自动分发；
7）终端补丁流量控制和代理转发技术；
8）漏洞情况
9）补丁安装情况汇总统计；
10）文件分发安装结果统计。
汇总统计；
8、网络接入控制管理系统
网络接入控制管理系统可以保护整个企业内部网络，它包括可管理的（企业台式机、手提电脑、服务器）以及不可管理的（外部访客、合作伙伴、客户）终端。
能够强制提升企业网络终端的安全。
系统功能描述
1）802.1x接入认证管理；
2）未注册终端接入访问区域限制（通过vlan限制）；
3）未安装杀毒软件等必备软件自动安装下载管理；
4）未打补丁终端接入限制；
5）运行不可信进程、服务、注册表终端接入限制；
6）未达到预定义安全级别的终端接入访问区域限制；
六.政务内网设计方案
六.1.设计方案
1、用户需要：
（1）构建独立的网络，不与其它网络连接，按照涉密网的要求设计；
（2）要求千兆到桌面万兆上连核心；
2、政务内网连接点位统计表
共计288个点位，具体位置如下：
房间编号
房间名称
政务内网
102
办公室
4
106
办公室
4
107
办公室
4
203
办公室
4
207
办公室
4
208
办公室
4
209
办公室
4
210
办公室
4
211
办公室
4
212
办公室
4
213
办公室
4
217
办公室
4
218
办公室
4
302
办公室
4
303
办公室
4
304
办公室
4
305
办公室
4
306
办公室
4
307
办公室
4
308
办公室
4
309
办公室
4
310
办公室
4
311
办公室
4
312
办公室
4
313
办公室
4
314
办公室
4
315
办公室
4
316
办公室
4
317
办公室
4
401
办公室
4
402
办公室
4
403
办公室
4
404
办公室
4
405
办公室
4
406
办公室
4
407
办公室
4
409
办公室
4
410
办公室
4
411
办公室
4
412
办公室
4
413
办公室
4
414
办公室
4
415
办公室
4
416
办公室
4
417
办公室
4
418
办公室
4
419
办公室
4
420
办公室
4
421
办公室
4
422
办公室
4
501
办公室
4
502
办公室
4
503
办公室
4
504
办公室
4
升级会员 