xx广播电视台全媒体融合生产平台二期安全设备项目投标方案技术部分.docx

xx广播电视台全媒体融合生产平台二期安全设备项目投标方案技术部分.docx

《xx广播电视台全媒体融合生产平台二期安全设备项目投标方案技术部分.docx》由会员分享，可在线阅读，更多相关《xx广播电视台全媒体融合生产平台二期安全设备项目投标方案技术部分.docx（33页珍藏版）》请在冰豆网上搜索。

xx广播电视台全媒体融合生产平台二期安全设备项目投标方案技术部分

XX广播电视台

全媒体融合生产平台二期

安全设备项目

【招标编号：

XXXXXX】

技

术

文

件

xxXX数码科技股份有限公司

第1章项目简介

第1节项目背景

全媒体融合生产平台是XX广播电视台为适应新媒体技术应用而构建的生产平台。

它可为XX广播电视台制播系统提供多种媒体素材来源，可以通过移动终端、网站、第三方软件等多种途径为台内网络制播系统提供文件、流媒体、视音频信号等多种形式的素材，具有媒体信息汇聚、分类、检索的功能，并且实现台内和分台、记者站等外延系统的素材交换。

全媒体融合生产平台是立足于XX台全台网外部资源汇聚以及业务生产支撑的系统，其主要面向对象为卫视、经视、都市等各生产系统。

全媒体融合生产平台已经上线半年多时间，在这期间，经过经视的试用，提出并修订了很多适应性功能，逐步满足了节目口具体业务人员的使用需求，但在一些诸如转码、流媒体发布等功能性环节，由于硬件设备的不足导致使用体验较慢的情况，本次的系统升级，旨在提升该类功能的整体处理能力，并面向台内高清化改造后的各个频道，提供高性能的额服务支撑，使平台逐步走向平稳和强大。

在安全层面，满足国家广电总局二级等保的实际要求，提升作为公共支撑平台的安全保障级别，确保全台文件化送播、全媒体应用安全。

第2节需求分析

（1）建立完善的访问控制体系，制定完善的访问控制策略，细粒度为端口级、单个用户。

（2）建立完善的审计、监控体系。

（3）建立完善的边界防御体系。

（4）建立完善的计算机病毒、恶意代码防护体系。

（5）建立完善的运维管理体系。

第3节设计原则

本方案将主要遵循统一规划、分步实施、立足现状、节省投资、科学规范、严格管理的原则进行安全体系的整体设计和实施，并充分考虑到先进性、现实性、持续性和可扩展性。

具体体现为：

●等级标准性原则

按照2013年等级保护测评和工信部安全检查，改造系统需要按照国家二级等级保护的要求进行保障，解决系统中存在的安全漏洞，为公共服务平台，乃至全媒体信息平台建设配套高安全设备，让全台网更好的为数字化制播管存服务.

●需求、风险、代价平衡的原则

对任一网络，绝对安全难以达到，也不一定是必要的。

应对一个网络进行实际分析（包括任务、性能、结构、可靠性、可用性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定安全策略。

●综合性、整体性原则

安全模块和设备的引入应该体现系统运行和管理的统一性。

一个完整的系统的整体安全性取决于其中安全防范最薄弱的一个环节，必须提高整个系统的安全性以及系统中各个部分之间的严密的安全逻辑关联的强度，以保证组成系统的各个部分协调一致地运行。

●易操作性原则

安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。

●设备的先进性与成熟性

安全设备的选择，既要考虑其先进性，还要考虑其成熟性。

先进意味着技术、性能方面的优越，而成熟性表示可靠与可用。

●无缝接入

安全设备的安装、运行，应不改变网络原有的拓扑结构，对网络内的用户应是透明的，不可见的。

同时，安全设备的运行应该不会对网络传输造成通信“瓶颈”。

●可管理性与扩展性

安全设备应易于管理，而且支持通过现有网络对网上的安全设备进行安全的统一管理、控制，能够在网上监控设备的运行状况，进行实时的安全审计。

●保护原有投资的原则

在进行信息安全体系建设时，应充分考虑原有投资，要充分利用已有的建设基础，规划整体安全体系。

第4节参考标准与规范

承包商在集成时应遵守相关技术标准和规范，包括但不限于下列各条。

1.4.1国家标准

序号

标准号

标准名称

1

GB/T7400.111999

数字电视术语

2

GB/T179532000

4:

2:

2数字分量图像信号的接口

3

GB/T184722001

数字编码彩色电视用测试信号

4

GB/T50311－2000

建筑与建筑群综合布线系统工程设计规范

5

GB/T50312－2000

建筑与建筑群综合布线系统工程施工与验收规范

6

GB/T179001999

网络代理服务器的安全技术要求

7

GB/T180181999

路由器安全技术要求

8

GB/T180191999

信息技术包过滤防火墙安全技术要求

9

GB/T180201999

信息技术应用级防火墙安全技术要求

1.4.2行业标准

序号

标准号

标准名称

1

GY/T1341998

数字电视图像质量主观评价方法

2

GY/T1552000

高清晰度电视节目制作及交换用视频参数值

3

GY/T1562000

演播室数字音频参数

4

GY/T1572000

演播室高清晰度电视数字视频信号接口

5

GY/T1582000

演播室数字音频信号接口

6

GY/T1592000

4:

4:

4数字分量视频信号接口

7

GY/T1602000

数字分量演播室接口中的附属数据信号格式

8

GY/T1622000

高清晰度电视串行接口中作为附属数据信号的24比特数字音频格式

9

GY/T1632000

数字电视附属数据空间内时间码和控制码的传输格式

10

GY/T1672000

数字分量演播室的同步基准信号

11

GY/T1872002

多通路音频数字串行接口

12

GY/T1922003

数字音频设备的满度电平

13

GY/T1932003

数字音频系统同步

14

GY/Z1992004

广播电视节目资料分类法

15

GY/T202.12004

广播电视音像资料编目规范第1部分：

电视资料

16

GY/T202.22007

广播电视音像资料编目规范第2部分：

广播资料

17

GY/T2122005

标准清晰度数字电视编码器、解码器技术要求和测量方法

18

GY/T2192006

广播报时信号嵌入时间码规范

19

GY/T2242007

数字视频、数字音频电缆技术要求和测量方法

1.4.3其他相关标准

●中共中央办公厅、国务院办公厅[2002]17号文《国家信息化领导小组关于我国电子政务建设指导意见》

●ISO17799/BS7799：

《信息安全管理惯例》

●1999GB17859-1999（中华人民共和国国家标准）计算机信息系统安全保护等级划分准则

●公安部《信息安全等级保护管理办法》

●公安部《信息系统安全等级保护实施指南》

●公安部《信息系统安全等级保护定级指南》

●公安部《信息系统安全等级保护基本要求》

●公安部《信息系统安全等级保护测评准则》

●……..

第2章方案详细设计

第1节功能要求设计

2.1.1UTM统一安全网关

（1）支持对HTTP、FTP、SMTP、POP3、IMAP协议的病毒检测和过滤功能。

（2）支持对文件感染型病毒、蠕虫病毒、脚本病毒、宏病毒、木马、恶意软件等的过滤，病毒库数量不少于60万。

（3）对于HTTP协议和邮件协议，提供信息替换功能，用以通知用户病毒被阻断，管理员可以自行设置替换信息。

（4）支持病毒库自动升级和手工导入。

（5）防病毒网关病毒库，不同于主机、终端防病毒软件病毒库。

2.1.2堡垒机

（1）三权分立

●用户多角色划分：

系统需提供用户管理员、配置管理员、审计管理员、普通用户等多种角色；

（2）分布式管理

●支持分布式部署，可以通过统一的数据中心采集各个独立引擎的日志。

总部总控制台能够适时监控分布式部署引擎的系统状态以及账号信息、策略、报表和审计事件。

●审计引擎统一管理、至少支持2个以上的引擎同时管理，审计数据统一存储、查询、分析、统计

（3）多级管理

●下级控制台可以设置接受上级管理

●上级控制台可以查看所有下级的拓扑和状态

●上级控制台可以为下级生成报表

●上级控制台可以为下级下发审计对象

（4）日志维护

●可对审计日志按照时间段进行备份

●可对审计日志进行自动和手工备份

（5）系统升级

●支持堡垒机系统的升级管理

（6）用户帐号实名制

●可以根据具体的维护人员添加唯一与其身份对应的用户，实现维护人员身份的唯一性管理

（7）用户状态

●可以设定活动、禁用两种用户帐号状态，当用户在一定时间内连续输错密码时，可以自动禁用该用户帐号

（8）用户身份认证

●支持静态密码认证方式

●支持双因素认证方式

（9）帐号有效期控制

●可以通过配置用户帐号的密码有效期，使用户帐号在到期之后停止使用

（10）密码托管

●通过对目标设备密码的托管，实现对后台设备的自动登录

（11）密码维护

●支持系统管理员和认证用户的密码安全性设置，包括长度、复杂度等

●灵活可配置的密码修改策略；

（12）权限管理

●支持黑名单（不可以执行）和白名单（只允许执行）

●对于用户权限定义精确到命令级

●对于关键的Telnet服务器，可以配置权限用户登录后自动执行命令集

●可以对用户访问权限进行查看、变更、删除等操作

（13）访问策略定义

●可实现基于访问IP、用户账号、目标设备、目标服务、系统帐号、具体操作、时间设定比较详细的访问策略

●不符合访问策略的操作可以被阻断

●每个访问策略可以支持多个访问规则

（14）操作规则定义

●对于文件操作，能够定义文件目录名、操作类型、命令响应时间、返回码等（非正则表达式模式）

●对于命令行操作：

能够定义用户名、操作命令、命令响应时间、返回码等（非正则表达式模式）

●对于图形操作：

能够定义用户名、访问源主机等（非正则表达式模式）

●对于数据库操作：

能够定义数据库操作类、表、视图、索引、触发器、存储过程、域、Schema、游标、事物、响应时间、返回行数、操作成功失败等各种对象（非正则表达式模式）

（15）实时监控

●可对RDP、VNC、Telnet、SSH等协议进行实时监控

●对于实时监控的会话，可以手动进行阻断

（16）系统对操作响应

●记录审计事件

●记录会话数据

●忽略

●实时阻断

●界面告警

●Syslog告警

●SNMPtrap告警

●邮件告警

（17）查询条件

●所有操作均支持按时间、级别、源\目的IP、源\目的MAC、协议名、源\目的端口为条件进行审计日志查询

（18）命令操作搜索

●搜索关键词支持正则表达式；

（19）图形操作搜索

●可以以键盘输入的内容为关键字进行搜索；

（20）数据库操作搜索

●支持按数据库名、数据库表名、字段值、数据库登陆账号、数据库操作命令、数据库返回码、SQL响应时间、数据库返回行数作为查询和统计条件

（21）操作和会话关联

●搜索结果与操作会话关联，实现快速定位

（22）命令操作

●支持命令操作会话的完整回放

（23）图形操作

●支持图形操作的回放

●支持倍速回放

●支持回放全屏显示

●回放时可显示键盘和鼠标操作内容

（24）审计报表

●支持生成各种格式的审计报表，包括PDF、Word、Excel、HTML等格式

●系统自带多种报表模板

●系统支持自定义报表

●支持报表按日、周、月自动生成，并且可自动邮件发送给相关管理人员

2.1.3入侵检测系统

（1）攻击检测能力

●事件分析功能要求采用高级模式匹配及先进的协议分析技术对网络数据包进行分析。

协议覆盖面广，事件库完备，能够对缓冲区溢出、网络蠕虫、木马软件、间谍软件等各种攻击行为进行检测

●具备基于原理的Web漏洞检测能力，精确识别SQL注入攻击，提供对重点服务器的入侵保护

●支持对国内常见木马/p2p/IM/网络游戏以及其他违规行为的检测和发现

●具备碎片重组、TCP流重组、统计分析能力；具备分析采用躲避入侵检测系统技术的通信数据的能力；

●采用基于行为分析的检测技术，对0day攻击能够很好防范。

具备协议自识别功能

●具备规则用户自定义功能，可以对应用协议进行用户自定义，并提供详细协议分析变量

（2）响应方式

●应提供多种事件合并条件，避免事件风暴的产生

●应支持下列实时响应方式：

实时告警、屏幕报警/声音报警、邮件报警、SNMP报警、自定义程序报警等

（3）日志与报表

●应支持多种数据库类型，支持独立的日志报表模块部署。

同时提供专门的数据库维护功能

●具备自定义报表功能，支持交叉统计和多元组合查询详细事件，支持导出为WORD\EXCEL\PDF\HTML等常用公文处理格式

（4）策略功能

●应提供按照检测对象、攻击类型等分类的默认内置检测模版，且默认模版不可修改；提供向导化的策略编制方式

●提供动态策略调整功能，对一些频繁出现的低风险事件，自动调整其响应方式

（5）管理功能

●应具备集中管理功能，可实现分布部署、集中式安全监控管理和配置管理，日志报表模块可独立部署，适合大规模部署环境

●各组件间（管理平台与引擎等）使用加密信道通信

●简便易用的GUI管理界面，要求能够对显示窗口进行自定义

●具有设备的拓扑显示功能，可以在界面上以图形化的方式显示当前的部署拓扑

●同时支持多个用户监测台的设置，支持至少8个以上的多用户监测台设置

（6）用户管理

●对授权用户根据角色进行授权管理，提供用户登录身份鉴别和防暴力猜解；可以严格按权限来进行管理

●要求对用户分级，并能够调整对不同用户的具体权限，提供不同的操作。

对各级权限的用户行为进行审计

（7）升级管理

●具备独立的升级管理中心，可对控制中心和设备进行升级

●控制中心可以统一对下级控制台和设备进行升级

●可手动、自动执行产品升级

●公司网站提供产品离线升级包下载

●应保证每周一次的规则库升级，重大安全事件随时更新

（8）产品安全性

●需保证通信安全

●需保证设备自身安全

●应提供可扩展的用户身份鉴别方式接口，为增加用户身份鉴别强度提供支持

2.1.4终端安全管理

（1）事件管理

●要支持路由器、交换机、防火墙等主流设备，采集方式至少要支持sylog、snmp、VIP、XML、ODBC、netflow等通用协议进行信息采集

●具备很强的扩展性，能够方便的支持现有及未来的各类设备；对新设备的定制支持时间小于5个工作日

●事件显示内容包括：

事件类型、事件名称、报警级别、来源IP、目的IP、设备类型、设备来源IP、接收时间等

●事件过滤条件可以按照以下属性建立：

事件类型、事件原生ID、源IP地址、源端口、源MAC地址、目的IP地址、目的端口、目的MAC地址等

●事件合并条件可以按照以下属性建立：

事件类型、事件原生ID、源IP地址、源端口、源MAC地址、目的IP地址、目的端口、目的MAC地址等

●可以采用多个查询条件进行查询，如“设备IP”、“设备类型”、“发生时间”等

●安全事件提供基于知识库的关联，能够将信息安全事件与现有知识库进行关联

●安全事件提供基于资产的关联，可以将当前发生的信息安全事件与预先定义的信息安全资产进行相关，从而不仅可以有效判断事件的优先级，还能够协助评估当前资产遭到威胁的状况

●能够实时给出高危害安全事件的列表

●事件按照威胁程度划分报警级别，报警级别按照5级划分

（2）域与资产管理

●能够支持多级树型的安全域（不小于10级），便于支持用户复杂的组织架构和网络架构

●支持多种资产属性的定义，至少包含：

资产名称、资产类型、IP地址信息、物理位置、CIA等

●支持针对资产的多种操作方式，至少包含：

新增、修改、批量修改、复制、粘贴、删除、导入、导出、查询等

●可以根据资产编号、ip等属性对资产进行查询

●可以查看资产的端口、漏洞信息

●支持自动发现资产功能

●可以配置资产所在地理位置，并且能在资产属性中配置资产所在地理位置

（3）风险管理

●能够提供符合BS7799/ISO17799标准的风险管理视图，实时分析重要资产和安全域（业务单元）的各类风险，风险级别按照5级进行划分

●能够关联出安全事件所影响到的信息资产

●根据资产的安全需求、资产面临的威胁进行综合评估，给出当前资产的风险状况，并且能够从保密性、可用性、完整性三个方面进行详细的风险展示

●能够根据资产风险的状况对资产进行评级、能够根据安全域风险的状况对安全域进行评级

●能够根据资产的风险状况进行排序，给出高风险资产清单

●能够根据安全域的风险状况进行排序，给出高风险安全域清单

●可以提供风险查询手段

●用户可以从资产风险追踪到相关的高风险事件，从而有效判断资产风险的来源，并进行正确的处理

●用户可以从安全域风险追踪到子域风险和子域所属资产风险，从而关联到相关的高风险事件，从而有效判断风险的来源，并进行正确的处理

（4）脆弱性管理

●能够将漏洞扫描软件的扫描结果导入系统

●内置对2种以上的主流漏洞扫描产品的支持，并提供统一的漏洞采集格式接口

●能够进行多次结果之间的对比分析

●能够将扫描结果与资产的原有属性进行比较，并给出冲突项提交用户确认

●支持资产的脆弱性管理，允许查看资产和安全域的脆弱性指标

●漏洞支持多种状态（误报、确认、已防范等），能够人工调整漏洞状态，进行漏洞跟踪

（5）响应管理

●可以提供多种响应方式，至少包括邮件、声音、工单、设备控制等

●可以自定义多种响应条件，响应条件至少包括源地址、源端口、目的地址、目的端口、事件类型等

●对于常见安全事件，可以提供应急响应预案和解决方案

（6）预警管理

●提供图形化安全预警功能

●安全预警形成统一的风险级别，为安全管理人员进行安全预警

●对于新漏洞、蠕虫，能够进行自动化处理

●能够宏观展示出当前信息系统的安全状态，安全状态分为3个安全级别

（7）宏观趋势分析

●能够提供地址熵、三元组、热点事件传播三种宏观分析模型

●建立一套可以从宏观上对网络安全状态及发展趋势进行描述的方法和展示形式，建立从整体上反应网络安全运行状态的指标变量

●关注目前最流行的攻击行为态势，关注热点事件的传播过程，对于已知和未知蠕虫事件的爆发过程能够进行准确描述；

●建立攻击行为中源地址、目的地址、攻击类型的三元组模型，反应当前流行的网络攻击态势

●通过观测热点事件的发展趋势，帮助管理员判断热点事件是否可能发展成为大规模网络安全事件，从而采取相应的防范措施

（8）流量管理

●支持netflow，可以通过netflow采集流量信息

●总流量分析：

对被监控网络内的总体流量进行实时计算分析，分析出当前流量是否异常

●协议流量分析：

对被监控网络内协议流量（TCP，UDP，ICMP，其他协议）进行实时计算分析，分析出当前各种协议流量是否异常

●端口流量分析：

对被监控网络内端口流量进行实时计算分析，分析出当前各种端口流量是否异常

●应用流量分析：

对被监控网络内应用流量进行实时计算分析，分析出当前各种应用流量是否异常

（9）基线管理

●系统提供各种分析模型的动态基线。

系统会通过自学习的过程为每个模型动态的建立起相应的基线，为每个模型分析安全态势提供了理论依据。

基线的学习周期用户可以根据自己的需要来配置。

（10）关联分析

●能够提供规则关联分析方法

●能够提供漏洞关联分析方法

●能够提供统计关联分析方法

●能够内置不低于20条的关联分析规则库

●可以自定义关联分析后事件名称、级别、ip地址等

●关联结果可以通过函数表达式自动生成

●可以按照源地址、源端口、目的地址、目的端口、事件类型、事件级别等条件设置关联条件

（11）知识管理

●能够提供SOC事件库、原始设备事件库、案例库、安全策略管理、安全公告、处置预案库、漏洞库、安全链接等知识库功能

●能够提供设备原始事件库、安全策略文档库、安全公告库、处置预案库、报表模板库、预警信息库、TSOC漏洞库、工作流程库、设备控制功能及脚本库、关联分析规则库等知识库的定期更新

●对SOC事件能够分类，要求能够达到9大类、95小类，大类至少包含病毒木马、扫描探测、应用漏洞等

●支持安全策略文档的上传、下载、发布等管理操作

●同一个安全策略文档可以以多种格式进行上传和发布

●提供基于关键字的安全策略的搜索和关联

（12）工作流管理

●支持用户自定义工作流，提供图形化的工作流定制界面

●可以支持流程的属性扩展

●能够提供接口与响应模块连接

●支持工作流的导入导出

（13）设备管理

●支持telnet和ssh方式对设备进行控制

●内置了对防火墙、路由器、交换机、Linux操作系统、Windows操作系统等设备的支持，并可以根据用户实际需要进行扩展

●支持用户定制设备控制命令

●提供脚本的管理和搜索功能

●能与响应模块相连接，实现自动控制设备

（14）用户管理

●支持用户与用户组管理，一个用户可以属于多个用户组

●应具备针对多用户、多资产对象、多域对象的灵活的权限设置

●应支持集中的用户认证

●应该采用三权分立的管理体制，要求默认设置用户管理系统管理员、系统管理员、审计管理员

（15）报表管理

●可以提供风险报表、事件报表、资产报表、脆弱性报表、管理设备报表、用户报表、工单报表、定制报表

●应支持具备交互操作的动态报表

●能够定期从报表系统生成信息安全报告

●报表系统支持用户自定义，即允许用户根据自己的需求定制化报表

（16）系统管理

●能够监控系统自身组件的健康状况

●能够监控数据库健康状况

●能够制定自动、手动等多种方式的日志维护任务

●能够提供系统软件的自动、手动升级功能

●能够通过全局策略控制安全事件是否进行预警、风险计算、关联分析等

（17）综合显示

●能够提供柱状图、折线图、饼状图等宏观展示的仪表盘，帮助用户全面直观地了解各类安全信息和系统信息

●可以按域查看事件的实时收集情况及资产风险值TOP10和资产脆弱性TOP10的图表

●能够结合电子地图进行展示，在地图上显示IP信息、运行状态、风险状况、安全事件等信息

2.1.5业务网审计引擎

（1）网页过滤

（2）网络应用控制

●标准应用协议：

HTTP（S），SMTP，POP3，IMAP4，FTP，TELNET，SSH等

●IM：

QQ，MSN，飞信，Yahoo!

Messenger，Skype等

●P2P：

BT，eMule/eDonkey，迅雷，Gnutella，PP点点通，XX下吧，Winny等

●网络游戏：

联众世界，魔兽世界，梦幻西游，中国游戏中心，新浪游戏，征途，游戏茶苑等

●网络电视：

PPStream，PPLive，费点，Sopcast，TVKoo，MOP，搜狐TV，UUSee，土豆，优酷等

●炒股软件：

大智慧，指南针，同花顺，证券之星，通达信，江海证券，国泰君安等

●流媒体：

RealMedia，WinMedia等

●隐患服务：

Windows文件共享，基于RPC协议的若干服务，VNC，MSSQL等

（3）内容审计和过滤

●邮件审计内容：

邮件收发时间、用户名称、发送邮箱地址、接收邮箱