IDC信息安全管控系统方案说明DOC.docx

1、IDC信息安全管控系统方案说明DOCIDC管控系统方案说明北京亚鸿世纪科技发展有限公司1.总体描述1.1IDC管控系统总体目标信息安全管理系统主要用于是实现互联网数据中心基础数据管理、上网日志管理、信息安全管理、违法网站管理等功能的信息安全管理系统，以满足监管机构的监管需求和IDC经营单位自身的信息安全管理需求。每个业务经营单位建设一个统一的ISMS，并与运营商监管机构建设的安全监管系统（SMCS）进行通信，实现监管机构的监管需求。1.2系统总体原则1.2.1系统遵循法律法规（1）中华人民共和国计算机信息系统安全保护条例；（2）公安部关于对与国际联网的计算机信息系统进行备案工作的通知，公通字1

2、9968号；（3）中华人民共和国国家标准计算机信息系统安全保护等级划分准则（GB 17859-1999）；（4）关于信息安全等级保护工作的实施意见，公通字200466号；（5）互联网安全保护技术措施规定，2005年中华人民共和国公安部第82号令发布，2006年3月1日施行）；（6）信息安全技术信息系统安全等级保护定级指南（报批稿）；（7）信息安全技术信息系统安全等级保护基本要求（报批稿）；（8）信息安全技术信息系统安全等级保护实施指南（报批稿）；（9）信息安全等级保护管理办法，公通字200743号。（10）工信部标准IDC/ISP信息安全管理系统技术要求（送审稿）（11）工信部标准IDC/IS

3、P信息安全管理系统接口规范（送审稿）1.2.2建设原则（1）规范性：严格遵循电信级技术规范和业务规范的要求，由集团进行整体规划与统一建设安排。（2）开放性：系统遵循开放性架构，采用开放的接口协议与开发平台，为用户提供统一的、开放的功能调用；业务维护和发展不依赖于设备厂商，能够保证业务的持续升级和发展；（3）安全性：系统按照电信级的应用进行设计，系统软硬件架构充分考虑整个系统运行的安全策略和机制；能够采用多种安全技术手段，为用户的业务开展提供完善的安全技术保障；（4）成熟性：采用成熟稳定并具有电信级运营实例的硬件平台和第三方软件。2.系统介绍2.1技术原理2.1.1综述系统采用软硬件相结合的方式

4、，可以实现对互联网不良信息的实时监控。本系统由分流设备、网络安全审计服务器、IDC端安全审计管理系统服务器组成。系统通过前端分流设备对网络数据的实时监测，把需审计的数据报文送至网络安全审计服务器，不良信息分析软件实现对网络安全审计服务器中不良信息进行分析，管理中心软件实现对网络安全审计专用设备的统一管理。部署图：2.1.2串接专用探针每一条GE链路上，分流设备串接（或者并接）在IDC机房的出口路由器至骨干网间的GE链路之间，监控全部的出口链路流量。分流设备采用高集成度的新一代多核处理器技术。在串接模式下能够控制上下行上下游设备流量传输，在断电、重启、故障或接口告警时自动切换到直通状态，不影响串

5、接链路上流量传输。分流设备通过端口与审计系统（网络安全审计服务器+IDC端安全审计管理系统服务器）相连接，通过分析筛选把审计系统需要审计和分析的网络数据传送给审计系统。审计系统从传入的数据包中获取IDC机房内的域名、IP等网络基础资源信息，对IDC的网络访问行为进行监控和过滤、根据预先设定的审计策略主动发现和过滤在这些行为中所包含的有害信息、及时发现监管范围内网站发布含有的反动、邪教、色情等不良信息网页内容。2.1.3网络安全审计服务器网络安全审计服务器与IDC端安全审计管理系统服务器对接，从IDC端安全审计管理系统服务器上获取更新后的基础信息和IDC端安全审计管理系统服务器下发的审计策略等数

6、据。网络安全审计服务器把从网络数据中获取的域名、IP等信息上传到IDC端安全审计管理系统服务器。网络安全审计服务器实现对网络数据包的解析，同时匹配审计策略产生报警记录，然后把数据上传到IDC端安全审计管理系统服务器。 每一台分流设备配置一台对应的网络安全审计专用设备。2.1.4IDC端安全审计管理系统服务器IDC端安全审计管理系统服务器收集网络安全审计服务器上传的域名、IP等动态获取的互联网基础资源信息。IDC端安全审计管理系统服务器提供统一的管理界面给用户，实现对机房、服务器、客户资料等基础资源数据的统一维护。IDC端安全审计管理系统服务器与通信管理局系统对接，接收管控策略，并上报数据。ID

7、C端安全审计管理系统服务器提供机房业务管理功能页面，支持机房业务处理。IDC端安全审计管理系统服务器提供报警日志、审计日志统一查询页面。通过IDC端安全审计管理系统服务器的分级管理机制，实现未来系统的持续扩容性。新增IDC链路时，只需要部署相应的网络安全审计专用设备和串接专用探针，通过网络安全审计服务器与IDC端安全审计管理系统服务器对接，从而实现与原有系统的互通和一致性，必要时增加IDC端安全审计管理系统服务器即可。2.1.5IDC端不良信息分析模块IDC端不良信息分析模块安装在IDC端安全审计管理系统服务器上。IDC端不良信息分析模块主要负责对HTTP网页访问内容关键字进行报警匹配。网络安

8、全审计服务器将网络数据中获取的URL和HTTP内容关键字传递给IDC端不良信息分析模块，IDC端不良信息分析模块将匹配结果返回给网络安全审计服务器，最后通过报警管理页面展示报警结果。2.1.6接入资源管理模块接入资源管理模块安装在IDC端安全审计管理系统服务器上。接入资源管理模块实现对IDC机房内所有物理资源和逻辑资源信息的定义和维护。2.2软件系统逻辑结构图图1：逻辑架构图从上图可以看出，本解决方案包括分流设备，网络安全审计服务器、IDC端安全审计管理系统服务器。网络数据的获取、过滤与解析：分流设备获取网络数据包后经过数据包过滤，过滤干扰的数据包和不需审计的相关协议数据包，将审计系统所需数据

9、镜像到指定的网络安全审计服务器。网络安全审计服务器的网络数据抓包模块接收网络数据包后传递给数据包解析模块进行网络数据解析。审计策略下发管理：IDC端安全审计管理系统服务器审计策略管理模块将审计策略下发到网络安全审计服务器，网络安全审计服务器在网络数据包解析时，将及时匹配审计策略并产生不良信息的报警记录。域名、IP的封堵处理：IDC端安全审计管理系统服务器提供对不良信息的域名、IP提供下发封堵指令的功能，用户向分流设备下发指定域名、IP封堵指令，使分流设备在及时发现这些域名、IP的同时及时能对其进行封堵。2.3系统功能2.3.1安全审计（访问日志管理）ISMS应对IDC的双向流量数据进行监测，并

10、进行日志记录，形成访问日志。访问日志记录包括源/目的IP，源/目的端口、源/目的MAC、源/目的账号、主叫电话号码、访问域名、URL以及采集时间，对属于公共信息的数据还应留存相关内容。访问日志应可根据时间、IP、域名、关键词进行查询。2.3.1.1行为审计网页访问对外部访问IDC机房内网页的行为进行安全审计并产生访问日志数据，用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以根据工作需要自定义日志数据的留存时间。邮件访问对外部访问IDC机房内的邮件服务器进行邮件发送和接收行为进行安全审计并产生访问日志数据。用户可以根据工作需要自定义日志数据的留存时间。文件传输对外部访问IDC机

11、房内的FTP服务器，上传文件的行为进行安全审计并产生访问日志数据，用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以根据工作需要自定义日志数据的留存时间。远程登录对外部访问IDC机房内的服务器，进行远程登录的行为进行安全审计并产生访问日志数据，用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以根据工作需要自定义日志数据的留存时间。2.3.1.2内容审计网站网页内容审计网络安全审计服务器通过设置监控关键字，将串接专用探针所采集到的网站网页内容中与该关键字匹配的网页提交给网络安全审计服务器进行报警以便人工进行研判以审计该页面内容是否违规。网页发贴对外部访问IDC机房

12、内的WEB服务器进行网页发帖行为进行安全审计并产生访问日志数据，并能审计到发贴的内容。用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以根据工作需要自定义日志数据的留存时间。BBS访问对外部访问IDC机房内的BBS站点进行BBS访问的网络行为进行安全审计并产生访问日志数据，并能审计到BBS贴的内容。用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以根据工作需要自定义日志数据的留存时间。2.3.2资源管理（基础数据管理）实现对IDC机房内所有资源类信息的定义和维护，并提供灵活多样的查询条件。2.3.2.1机房（基础数据）管理提供新增、修改、删除及维护机房、机柜、机

13、位资料，并提供图形化的操作页面，支持在机位上查询服务器信息，并能关联看到服务器详情和服务器下的IP地址信息。实现对机房中机柜的租用或者是托管资料的维护，能对托管的机柜实现与客户的关联管理，避免该机柜再划分给其他客户，同时支持该机柜下的服务器自动归于机柜对应的客户。具体信息包括：机房信息：机房编号，机房地址，机房分类分级，机房建设类型，机架总数；互联网出入口信息：互联网出入口编号、IP、带宽；路由器信息：路由器编号，路由器端口信息（含端口IP、数据流方向等）；IP段信息：IP地址段编号，起始IP地址，终止IP地址，IP地址使用方式；服务器信息：服务器编号，位置，服务器分类分级、域名列表、IP，服

14、务内容，协议类型，服务端口列表。在机房规划和提供托管服务时，应按照其中托管的网站及信息系统的重要程度及机房所在区域进行分类分级分区域管理。2.3.2.2客户（基础数据）管理提供对电信业务涉及的客户资料管理；提供新增客户资料、查询系统中已经定义及维护的客户资料；显示出当前客户下的域名、服务等情况，实现了对查询客户资料的变动情况。具体数据包括：用户单位信息：用户编码，单位名称、属性、证件类型和证件号码，投资者或上级主管部门，通信地址；网站信息：网站名称，备案登记类型及备案号，建站方式，网站分类分级，首页地址，域名，接入服务提供单位；资源使用信息：所占用机房编号，资源分配时间，IP地址转换关系，所使

15、用的服务器编号，交换机端口及网络带宽；安全员信息：姓名、证件类型及证件号码、联系电话、Email地址。IDC端安全审计管理系统服务器实现资源的集中管理，包括添加、删除和修改、上报资源信息数据2.3.2.3合作伙伴管理对合作伙伴资料进行管理，实现对合作伙伴资料的新增、修改、删除。2.3.2.4IP分配管理根据客户申请资料，实现对机房中IP进行IP段划分和单个IP地址的申请分配，并能实现IP地址的自动回收处理；能方便地查阅到已用IP和未用IP地址，或者是已用IP地址段和未用IP地址段的情况；在IP地址划分时提供智能提示功能，告诉用户哪些IP（IP地址段）已经分配（或者预分配）给客户，从而不能再进行

16、分配。2.3.2.5域名管理根据客户申请域名资料，实现对域名的新增、修改、删除的管理；支持按照客户、IP或者域名来查询某个或者某些域名，并能实现对域名的封堵和取消封堵；系统自动对未注册的域名进行实时报警。2.3.2.6设备管理根据客户的业务申请情况，实现对托管或者租用的服务器等设备进行集中管理，提供了对服务器下IP地址的管理；自动呈现服务器下的域名和服务的清单；实现了对服务器的搬入、搬出、更换的业务，并支持查询相应操作的历史记录详情。2.3.2.7服务管理根据客户申请服务资料，实现对服务的新增、修改、删除的管理；支持按照客户资料、IP或者端口来查询某个或者某些服务信息；自动对未注册的服务进行实

17、时报警。2.3.2.8设备类型管理支持对进入系统的服务器进行类型定义，如：数据库服务器、WEB服务器等，方便对服务器进行分类管理。在服务器规划和提供托管服务时，应按照其上托管的网站及信息系统的重要程度及其所属机房所在区域进行分类分级分区域管理。2.3.2.9设备业务类型管理支持对进入系统的服务器从业务应用的角度进行定义，如：托管、租用、其它等。2.3.2.10域名分类分级分区域管理支持用户自己实现对录入系统中的域名进行分类的定义管理。网站及信息系统的分类分级分区域管理。应按照网站或信息系统的重要程度及其所属区域进行分类分级分区域管理。对网站及信息系统至少应分为“重要”和“其他”两级，其中涉及国

18、计民生的网站或信息系统（包括税务、海关、电力、银行、证券、保险、铁路、民航、教育（各级招生报考网站）、其它政府网站及业务系统、对公众提供域名注册和域名解析的系统等）属于“重要”级，除此之外的网站及信息系统属于“其他”级。2.3.2.11客户资料导入导出提供单独的客户资料导入导出功能，导入功能用于系统初始化或者是已经存放在外部EXCEL文件中的大量客户资料进行批量导入处理，减少手工录入的工作量。同时作为单独的功能方便进行权限的管理。2.3.2.12设备资料导入导出提供单独的设备资料导入导出功能，导入功能用于系统初始化或者是已经存放在外部EXCEL文件中的大量设备资料进行批量导入处理，减少手工录入

19、的工作量。同时作为单独观念能方便的进行权限管理。2.3.2.13基础数据监测系统对机房内的IP使用方式及对应域名进行监测，同时对机房内的应用服务以及服务访问量进行监测统计。监测信息应定时上报并接受SMCS的查询。监测数据包括：IP地址异常监测：IP、登记使用方式、登记网站域名、异常类型（使用方式或登记域名异常）、实际使用方式、实际网站域名、发现时间服务访问量信息：域名，IP，服务内容，协议类型，统计起始时间，统计结束时间，访问次数；应用服务监测：域名、IP、服务内容、协议类型、端口、发现时间。2.3.3违法网站管理系统提供对违法网站的发现、处置及上报操作，支持在IDC端直接对违法网站进行阻断，

20、并对违法网站的域名、IP、服务内容、违法类型以及当前状态（自动封堵、指令封堵或未封堵）进行日志记录，定时/定期/及时上报。2.3.3.1阻断URL管理新增及维护待阻断URL列表信息，并支持下发到相关专用设备进行及时阻断。2.3.3.2阻断提示信息设置设置各用于阻断的监控设备阻断提示信息，使监控设备在落实阻断时根据配置内容推送出相应的提示信息。2.3.4信息安全管理系统对IDC网络中传输的数据进行检查，发现网络中的不良信息等，记录源/目的IP等信息，并根据已设置的策略进行处理，上报监测日志及过滤日志等信息。相关的监测信息数据可根据SMCS策略要求上报给SMCS。2.3.4.1监测功能ISMS应根

21、据监测指令对IDC的双向流量数据进行监测，对监测过程中发现的不良信息等对象进行日志记录，形成监测日志。监测功能应能根据IP地址、域名、URL地址、关键词、端口、协议类型等条件设置监测规则。监测日志记录包括源/目的IP，源/目的端口、源/目的MAC、源/目的账号、主叫电话号码、访问域名、URL、采集时间以及触发监测动作的监测指令标识。对于属于公共信息的数据还应留存代理类型、代理IP、代理端口、协议类型、网络操作类型、标题、内容、附件文件。策略配置实现相关管理部门对上网行为内容监控的要求，实现对分网络应用协议下的账号和内容关键字的布控要求，系统根据布控的内容实现对网络数据流的内容匹配，在符合布控要

22、求的情况下自动产生报警记录，通过维护终端界面提示告警，同时支持通过邮件的形式将报警内容发送至预置号的责任人。实时报警对当日产生的未人工查阅过的报警记录进行集中显示，并提供滚动显示。历史审计报警提供对历史的所有保留的报警记录进行灵活的查询，系统提供丰富多样的查询条件。并能追溯查询到详细的审计日志信息。2.3.4.2黑名单功能（封堵及管控）系统根据SMCS下发的黑名单指令对IDC的双向流量数据进行过滤，对监测过程中发现的不良信息等对象进行阻断操作，并进行日志记录，形成过滤日志。黑名单功能应能根据IP地址、域名、URL地址、关键词、端口、协议类型等条件设置过滤规则。过滤日志记录包括源/目的IP，源/

23、目的端口、源/目的MAC、源/目的账号、主叫电话号码、访问域名、URL、采集时间以及触发过滤动作的黑名单指令标识。IP/IP段封堵可以接收并实时下发通信管理局平台的IP/IP段封堵指令，接受到封堵指令的IDC将指令即时生效，在指定机房内实现对设定的IP/IP段的实时封堵。端口/端口段封堵可以接收并实时下发通信管理局平台的端口/端口段封堵指令，接受到封堵指令的IDC将指令即时生效，在指定机房内实现对设定的端口/端口段的实时封堵。URL封堵可以接收并实时下发通信管理局平台的url封堵指令，接受到封堵指令的IDC将指令即时生效，在指定机房内实现对设定的url的实时封堵。域名封堵可以接收并实时下发通信

24、管理局平台的域名封堵指令，接受到封堵指令的IDC将指令即时生效，在指定机房内实现对设定的域名的实时封堵。2.3.4.3白名单功能系统对匹配白名单规则的数据不进行监测、过滤。白名单功能应能根据IP地址、域名、端口条件设置白名单规则。2.3.5统计分析系统对基础数据进行统计分析，按照日、周、月等周期及服务内容、分布区域、用户类别、使用方式等条件，提供多种数据分析报告。ISMS应对上网日志、监测日志、过滤日志记录进行分析，按照日、周、月等周期及日志类别、管理指令、安全级别等方式提供多种数据分析报告。2.3.5.1网站排名对IDC机房内的网站进行访问量的排名，以便及时掌握各网站的活跃情况。2.3.5.

25、2网址类型排名对IDC机房内的网址类型下的网站的访问进行访问量的排名，以便及时掌握到各网址分类的活跃情况。2.3.5.3虚拟主机访问量排名对IDC机房内的虚拟主机进行访问量的排名，以便及时掌握到各虚拟主机的活跃情况。2.3.6系统管理2.3.6.1权限管理系统实现对系统管理人员、操作人员、维护人员的身份认证和权限管理，根据不同的角色授予相应的权限，XX的用户不得使用本系统的功能。系统各相关功能实体的操作和使用权限可根据各省主管单位具体要求，通过权限功能予以授权和划分，可以做到对于同一系统中的不同功能实体授权给不同的管理者操作与管理，以及在同一功能实体中对不同的使用者授权不同的管理和操作权限及能

26、够访问的数据类别。系统对SMCS下发的指令进行分级管理，未经SMCS许可的指令和数据内容，禁止SMCS之外的用户进行查看。角色管理对需要使用系统的用户进行角色划分并进行相应的管理；对角色涉及的功能权限进行管理。用户管理对需要使用系统的用户进行集中管理，设置用户的登录密码和对应的角色，实现对其功能权限进行管理。2.3.6.2状态监测系统要能动态监测域名备案检索进程或线程的执行状态；系统要能动态监测内容采集和低俗内容检索进程或线程的执行状态；系统要能动态显示各服务器节点的进程占用资源情况和状态，显示各服务器硬盘空间、CPU和内存占用情况、显示存储空间占用情况、显示数据库的空间占用情况等；在状态监测

27、的界面，提供面向最高管理员的进程控制界面，允许管理员启动、暂停、停止各个进程，查看进程的详细状态。2.3.6.3系统日志对用户登录、退出系统的操作日志进行记录，对系统进入某个功能进行记录。便于系统管理员掌握各操作用户在何时登录系统，何时进入某个功能菜单，何时退出系统进行安全检查。2.3.6.4数据备份支持对系统中的配置管理数据和上网行为审计数据进行备份的FTP服务器地址配置、备份服务器登录账号和密码的配置。2.3.6.5登录控制对访问系统的终端设备的访问权限通过IP地址来实现，系统支持设置能登录的IP列表和拒绝登录的IP列表；设置后只有能登录的IP列表中的终端机器才能登录系统的管理页面，否则不

28、能登录；若没有设置则默认是所有机器都可以访问。2.3.6.6网络配置对审计设备需要审计的IP地址（或者是IP地址段）进行配置，在配置范围内IP对应的机器被访问才进行安全审计并能支持审计报警处理，没有纳入的IP地址则不进行监控。2.3.6.7白名单管理提供定义白名单管理功能，为那些不需要监控的IP设置为白名单。2.3.6.8升级管理对系统升级涉及的信息进行相关配置，配置后则能实现自动升级或者手动升级，以此获取系统开发商对系统的最新版本。2.3.6.9运行维护对各审计设备进行集中管理，可以查阅到各审计设备的运行状况。实现各子系统、组件程序的集中配置管理，对各系统、服务程序的运行状态进行实时监控，为系统的正常运行提供保障。2.3.6.10短信平台参数配置提供连接短信平台接口的相关参数配置功能。2.4系统高稳定性、高可靠性的实现方式系统具备连续7*24小时不间断工作的能力。系统提供了守护进程，针对系统中的设备运行状态、软件运行状态提供自动监测功能。在软件故障情况下，系统能自动识别并自动守护修复、自动纠错，在系统日志中能记录异常状态。系统在断电重启的情况下，软件能自动运行，在1秒内自动接管所有的运行业务。系统提供了全自动升级功能，对于软件的故障和功能完善远程进行自动升级操作。