学海网

星安县财政局信息化安全解决方案
目 录
1. 项目背景 1
1.1 项目背景 1
1.2 系统建设范围 1
1.3 网络安全防范体系设计准则 1
2. 风险分析 3
2.1 网络基础架构风险分析 3
2.2 操作系统的安全风险分析 4
2.3 应用的安全风险分析 4
2.4 管理的安全分析 4
3. 网络安全解决方案 5
3.1 防火墙实现功能 5
3.2 安全防毒网关 6
3.3 核心交换机 7
3.4 出口产品综述 8
3.4.1 防火墙 8
3.4.2 UTM综合网关 9
3.4.3 防火墙和UTM体系架构说明 9
3.4.4 关键技术 13
4. 业务系统高可用解决案 25
4.1 服务器虚拟化的优势 25
4.2 虚拟化解决方案描述 26
4.3 服务器虚拟化搭建 28
4.4 服务器虚拟化管理 30
5. 财政数据保护解决方案 32
5.1 数据安全背景与分析 32
5.2 数据集中备份系统建设目标 34
5.3 数据集中份系统解决方案设计 35
5.3.1 数据集中备份系统架构 35
5.3.2 数据集中备份系统概述 35
5.3.3 备份模式 37
5.4 备份系统的备份策略 38
5.4.1 需要备份的内容 38
5.4.2 备份策略 38
5.4.3 灾难恢复策略 39
5.4.4 Oracle数据库备份与恢复 41
5.4.5 SQL Server数据库的备份及恢复 42
5.4.6 Lotus Domino数据库的备份及恢复 43
5.4.7 DB2数据库备份与恢复 44
5.5 备份系统管理 44
5.5.1 建立备份系统岗位职责 44
5.5.2 数据恢复的管理 45
5.5.3 备份介质管理 46
5.5.4 数据恢复的周期性演练制度 46
5.6 IT运维系统 47
5.6.1 首页个性化定制 47
5.6.2 全面的基础资源管理 48
5.6.3 灵活的拓扑功能 49
5.6.4 智能的告警管理 51
5.6.5 易用的性能管理 52
5.6.6 强大的配置管理 53
5.6.7 丰富的VLAN管理 55
5.6.8 实用的IP/MAC管理 55
5.6.9 专业的虚拟化网络管理 57
5.6.10 丰富的报表管理 58
5.6.11 专业的网络分级分权管理 58
5.6.12 IT资源深度管理的承载平台 59
6. 机房建设系统解决方案 59
6.1 信息中心机房总体规划理念 59
6.1.1 机房概述 59
6.1.2 设计思想 59
6.1.3 设计依据 60
6.2 信息中心机房总体规划方案 60
6.2.1 总体布局原则 60
6.2.2 平面布局总体设计 60
6.3 信息中心机房系统总体设计方案 61
6.3.1 工程概况 61
6.3.2 建设范围 61
6.3.3 机房装修系统 61
6.3.4 机房电气系统 63
6.3.5 UPS电源系统 64
6.3.6 防雷接地系统 65
6.3.7 FM200气体消防系统 65
6.3.8 机房空调系统 66
6.3.9 机房KVM系统 66
6.3.10 电气工程 67
6.3.11 机房UPS系统 68
6.3.12 防雷及接地系统要求 69
6.3.13 空调工程 69
6.3.14 综合布线系统 69
6.3.15 安保系统 70
7. 产品清单 70




1. 项目背景
1.1 项目背景
近年来，随着全省“金财工程”建设的不断推进，各级财政部门结合财政改革的需要分别建立了有关业务专网系统。按照功能设计和目前运行的情况看，财政业务专网覆盖各级政府财政管理部门、财政资金使用部门以及人民银行、商业银行，全面支持部门预算管理、国库集中支付、非税收入管理和办公自动化等应用，已成为财政和财务管理的重要组成部分。当前，由于财政业务专网的网络结构复杂，接入的单位和部门点多面广，特别是财政资金的收付大都通过网络进行数据传输，网络安全已成为日常工作中不容忽视的问题。2008年按照全省“金财工程”建设规划，在各级财政部门的共同努力下，全省财政广域网建设工作已基本完成，实现了省、市、县三级财政部门的大联网。全省财政系统联网后，网络安全建设和安全管理更加突出，一个地方出现安全漏洞，将影响整个网络的安全。为确保全省各项财政业务的顺利运行和财政资金的安全，全面推进“非税收入刷卡缴款”和“公务卡结算”等财政改革工作。我县根据省级要求，结合本县实际情况，总结共有以下几个信息安全方面的建设需要加强。
1.2 系统建设范围
本项目信息化安全建设范围包括以下系统：
网络出口安全建设
服务器应用系统高可用建设
数据保护措施建设
机房改造建设
1.3 网络安全防范体系设计准则
1．网络信息安全的木桶原则
网络信息安全的木桶原则是指对信息均衡、全面的进行保护。“木桶的最大容积取决于最短的一块木板”。网络信息系统是一个复杂的计算机系统，它本身在物理上、操作上和管理上的种种漏洞构成了系统的安全脆弱性，尤其是多用户网络系统自身的复杂性、资源共享性使单纯的技术保护防不胜防。攻击者使用的“最易渗透原则”，必然在系统中最薄弱的地方进行攻击。因此，充分、全面、完整地对系统的安全漏洞和安全威胁进行分析，评估和检测（包括模拟攻击）是设计信息安全系统的必要前提条件。安全机制和安全服务设计的首要目的是防止最常用的攻击手段，根本目的是提高整个系统的"安全最低点"的安全性能。
2．网络信息安全的整体性原则
要求在网络发生被攻击、破坏事件的情况下，必须尽可能地快速恢复网络信息中心的服务，减少损失。因此，信息安全系统应该包括安全防护机制、安全检测机制和安全恢复机制。安全防护机制是根据具体系统存在的各种安全威胁采取的相应的防护措施，避免非法攻击的进行。安全检测机制是检测系统的运行情况，及时发现和制止对系统进行的各种攻击。安全恢复机制是在安全防护机制失效的情况下，进行应急处理和尽量、及时地恢复信息，减少供给的破坏程度。
3．安全性评价与平衡原则
对任何网络，绝对安全难以达到，也不一定是必要的，所以需要建立合理的实用安全性与用户需求评价与平衡体系。安全体系设计要正确处理需求、风险与代价的关系，做到安全性与可用性相容，做到组织上可执行。评价信息是否安全，没有绝对的评判标准和衡量指标，只能决定于系统的用户需求和具体的应用环境，具体取决于系统的规模和范围，系统的性质和信息的重要程度。
4．标准化与一致性原则
系统是一个庞大的系统工程，其安全体系的设计必须遵循一系列的标准，这样才能确保各个分系统的一致性，使整个系统安全地互联互通、信息共享。
5．技术与管理相结合原则
安全体系是一个复杂的系统工程，涉及人、技术、操作等要素，单靠技术或单靠管理都不可能实现。因此，必须将各种安全技术与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合。
6．统筹规划，分步实施原则
由于政策规定、服务需求的不明朗，环境、条件、时间的变化，攻击手段的进步，安全防护不可能一步到位，可在一个比较全面的安全规划下，根据网络的实际需要，先建立基本的安全体系，保证基本的、必须的安全性。随着今后随着网络规模的扩大及应用的增加，网络应用和复杂程度的变化，网络脆弱性也会不断增加，调整或增强安全防护力度，保证整个网络最根本的安全需求。
7．等级性原则
等级性原则是指安全层次和安全级别。良好的信息安全系统必然是分为不同等级的，包括对信息保密程度分级，对用户操作权限分级，对网络安全程度分级（安全子网和安全区域），对系统实现结构的分级（应用层、网络层、链路层等），从而针对不同级别的安全对象，提供全面、可选的安全算法和安全体制，以满足网络中不同层次的各种实际需求。
8．动态发展原则
要根据网络安全的变化不断调整安全措施，适应新的网络环境，满足新的网络安全需求。
9．易操作性原则
首先，安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。其次，措施的采用不能影响系统的正常运行。
.............