《信息安全管控系统方案说明DOC.doc》由会员分享，可在线阅读，更多相关《信息安全管控系统方案说明DOC.doc（26页珍藏版）》请在金锄头文库上搜索。
1、信息安全管控系统方案说明DOC管控系统 IDC管控系统方案说明 目录 1.总体描述 (4) 1.1IDC管控系统总体目标 (4) 1.2系统总体原则 (4) 1.2.1系统遵循法律法规 (4) 1.2.2建设原则 (5) 2.系统介绍 (6) 2.1技术原理 (6) 2.1.1综述 (6) 2.1.2串接专用探针 (7) 2.1.3网络安全审计服务器 (8) 2.1.4IDC端安全审计管理系统服务器 (8) 2.1.5IDC端不良信息分析模块 (9) 2.1.6接入资源管理模块 (9) 2.2软件系统逻辑结构图 (10) 2.3系统功能 (11) 2.3.1安全审计访问日志管理 (11) 2.
2、3.2资源管理基础数据管理 (12) 2.3.3违法网站管理 (16) 2.3.4信息安全管理 (17) 2.3.5统计分析 (19) 2.3.6系统管理 (19) 2.4系统高稳定性、高可靠性的实现方式 (22) 信息安全管理系统主要用于是实现互联网数据中心基础数据管理、上网日志管理、信息安全管理、违法网站管理等功能的信息安全管理系统，以满足监管机构的监管必须求和IDC经营单位自身的信息安全管理必须求。每个业务经营单位建设一个统一的ISMS，并与运营商监管机构建设的安全监管系统SMCS进行通信，实现监管机构的监管必须求。 1.2.1 系统遵循法律法规 1中华人民共和国计算机信息系统安全保护条
3、例； 2公安部关于对与国际联网的计算机信息系统进行备案工作的通知，公通字19968号； 3中华人民共和国国家标准计算机信息系统安全保护等级划分准则GB 17859-1999； 4关于信息安全等级保护工作的实施看法，公通字200466号； 5互联网安全保护技术措施规定，2005年中华人民共和国公安部第82号令公布，2006年3月1日施行； 6信息安全技术信息系统安全等级保护定级指南报批稿； 7信息安全技术信息系统安全等级保护基本要求报批稿； 8信息安全技术信息系统安全等级保护实施指南报批稿； 9信息安全等级保护管理办法，公通字200743号。 10工信部标准IDC/ISP信息安全管理系统技术要求
4、送审稿 11工信部标准IDC/ISP信息安全管理系统接口规范送审稿 1.2.2 建设原则 1规范性：严格遵循电信级技术规范和业务规范的要求，由集团进行整体规划与统一建设安排。 2开放性：系统遵循开放性架构，采纳开放的接口协议与开发平台，为用户提供统一的、开放的功能调用；业务维护和发展不依赖于设备厂商，能够确保业务的继续升级和发展； 3安全性：系统按照电信级的应用进行制定，系统软硬件架构充分合计整个系统运行的安全策略和机制；能够采纳多种安全技术手段，为用户的业务展开提供完善的安全技术确保； 2.1.1 综述 系统采纳软硬件相结合的方式，可以实现对互联网不良信息的实时监控。 本系统由分流设备、网络
5、安全审计服务器、IDC端安全审计管理系统服务器组成。系统通过前端分流设备对网络数据的实时监测，把必须审计的数据报文送至网络安全审计服务器，不良信息分析软件实现对网络安全审计服务器中不良信息进行分析，管理中心软件实现对网络安全审计专用设备的统一管理。 布暑图： 封堵模块网络数据处理模块 网络安全审计服务器 数据处理模块 报警信息入库模块 数据包解析模块 网络 数据 抓包 模块 未注 册域 名报 警模 块 未注 册服 务报 警模 块 增 值 业 务 处 理 模 块 未注 册IP 报警 模块 数 据 统 计 模 块 IDC端安全审计管理系统服务器 内 容 审 计 日 志 模 块 统 计 分 析 模
6、块 模 块 集 中 管 理 控 制 模 块 系统 配置 模块 域 名 备 案 接 口 模 块 语 义 识 别 模 块 系 统 管 理 模 块 报警 信息 管理 模块 机 房 资 源 管 理 模 块 行为 审计 日志 模块 业务 处理 模块 审计 策略 管理 模块 域名/IP封堵指令 备案信息系统 数据库 数据包解析模块 审计 策略 应用 模块 分 流 设 备 不良信息分析模块 2.1.2 串接专用探针 每一条GE链路上，分流设备串接或者并接在IDC机房的出口路由器至骨干网间的GE链路之间，监控全部的出口链路流量。 分流设备采纳高集成度的新一代多核处理器技术。在串接模式下能够控制上下行上下游设备
7、流量传输，在断电、重启、故障或接口告警时自动切换到直通状态，不影响串接链路上流量传输。 分流设备通过端口与审计系统网络安全审计服务器+IDC端安全审计管理系统服务器相连接，通过分析筛选把审计系统必须要审计和分析的网络数据传送给审计系 统。审计系统从传入的数据包中获取IDC机房内的域名、IP等网络基础资源信息，对IDC的网络访问行为进行监控和过滤、依据预先设定的审计策略主动发现和过滤在这些行为中所包涵的有害信息、及时发现监管范围内网站公布含有的反动、邪教、色情等不良信息网页内容。 2.1.3 网络安全审计服务器 网络安全审计服务器与IDC端安全审计管理系统服务器对接，从IDC端安全审计管理系统服
8、务器上获取更新后的基础信息和IDC端安全审计管理系统服务器下发的审计策略等数据。 网络安全审计服务器把从网络数据中获取的域名、IP等信息上传到IDC端安全审计管理系统服务器。 网络安全审计服务器实现对网络数据包的解析，同时匹配审计策略产生报警记录，然后把数据上传到IDC端安全审计管理系统服务器。 每一台分流设备配置一台对应的网络安全审计专用设备。 2.1.4 IDC端安全审计管理系统服务器 IDC端安全审计管理系统服务器收集网络安全审计服务器上传的域名、IP等动态获取的互联网基础资源信息。 IDC端安全审计管理系统服务器提供统一的管理界面给用户，实现对机房、服务器、客户资料等基础资源数据的统一
9、维护。 IDC端安全审计管理系统服务器与通信管理局系统对接，接收管控策略，并上报数据。 IDC端安全审计管理系统服务器提供机房业务管理功能页面，支持机房业务处理。 IDC端安全审计管理系统服务器提供报警日志、审计日志统一查询页面。 通过IDC端安全审计管理系统服务器的分级管理机制，实现将来系统的继续扩容性。新增IDC链路时，只必须要布暑相应的网络安全审计专用设备和串接专用探针，通过网络安全审计服务器与IDC端安全审计管理系统服务器对接，从而实现与原有系统的互通和一致性，必要时增加IDC端安全审计管理系统服务器即可。 2.1.5 IDC端不良信息分析模块 IDC端不良信息分析模块安装在IDC端安
10、全审计管理系统服务器上。 IDC端不良信息分析模块主要负责对HTTP网页访问内容关键字进行报警匹配。网络安全审计服务器将网络数据中获取的URL和HTTP内容关键字传递给IDC端不良信息分析模块，IDC端不良信息分析模块将匹配结果返回给网络安全审计服务器，最后通过报警管理页面展示报警结果。 2.1.6 接入资源管理模块 接入资源管理模块安装在IDC端安全审计管理系统服务器上。 接入资源管理模块实现对IDC机房内所有物理资源和逻辑资源信息的定义和维护。 分 流 设 备 图1：逻辑架构图 从上图可以看出，本解决方案包括分流设备，网络安全审计服务器、IDC端安全审计管理系统服务器。 网络数据的获取、过
11、滤与解析：分流设备获取网络数据包后经过数据包过滤，过滤干扰的数据包和不必须审计的相关协议数据包，将审计系统所必须数据镜像到指定的网络安全审计服务器。网络安全审计服务器的网络数据抓包模块接收网络数据包后传递给数据包解析模块进行网络数据解析。 审计策略下发管理：IDC端安全审计管理系统服务器审计策略管理模块将审计策略下发到网络安全审计服务器，网络安全审计服务器在网络数据包解析时，将及时匹配审计策略并产生不良信息的报警记录。域名、IP的封堵处理：IDC端安全审计管理系统服务器提供对不良信息的域名、IP提供下发封堵指令的功能，用户向分流设备下发指定域名、IP封堵指令，使分流设备在及时发现这些域名、IP
12、的同时及时能对其进行封堵。 2.3.1 安全审计访问日志管理 ISMS应对IDC的双向流量数据进行监测，并进行日志记录，形成访问日志。访问日志记录包括源/目的IP，源/目的端口、源/目的MAC、源/目的账号、主叫 号码、访问域名、URL以及采集时间，对属于公共信息的数据还应留存相关内容。访问日志应可依据时间、IP、域名、关键词进行查询。 2.3.1.1 行为审计 网页访问 对外部访问IDC机房内网页的行为进行安全审计并产生访问日志数据，用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以依据工作必须要自定义日志数据的留存时间。 邮件访问 对外部访问IDC机房内的邮件服务器进行邮件
13、发送和接收行为进行安全审计并产生访问日志数据。用户可以依据工作必须要自定义日志数据的留存时间。 文件传输 对外部访问IDC机房内的FTP服务器，上传文件的行为进行安全审计并产生访问日志数据，用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以依据工作必须要自定义日志数据的留存时间。 远程登录 对外部访问IDC机房内的服务器，进行远程登录的行为进行安全审计并产生访问日志数据，用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以依据工作必须要自定义日志数据的留存时间。 2.3.1.2 内容审计 网站网页内容审计 网络安全审计服务器通过设置监控关键字，将串接专用探针所采集
14、到的网站网页内容中与该关键字匹配的网页提交给网络安全审计服务器进行报警以便人工进行研判以审计该页面内容是否违规。 网页发贴 对外部访问IDC机房内的WEB服务器进行网页发帖行为进行安全审计并产生访问日志数据，并能审计到发贴的内容。用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以依据工作必须要自定义日志数据的留存时间。 BBS访问 对外部访问IDC机房内的BBS站点进行BBS访问的网络行为进行安全审计并产生访问日志数据，并能审计到BBS贴的内容。用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以依据工作必须要自定义日志数据的留存时间。 2.3.2 资源管理基础数据管理 实现对IDC机房内所有资源类信息的定义和维护，并提供灵活多样的查询条件。
