中信登方案总体设计0527.docx

1、中信登方案总体设计0527中国信托登记有限责任公司信息系统网络拓扑和规划说明恒生电子第一章项目概述项目背景第二章网络整体设计概要4整体架构设计遵循原则 设计理念 网络安全设计要点 数据中心设计要点 区域划分 4 4整体网络结构图第三章设计重要意义（实现需求目标）7链路负载（负载均衡） 网络攻击及入侵（入侵防御系统防护） 入侵检测 事件监控 流量分析 防病毒 安全区域划分和隔离（防火墙） 反病毒 内容过滤 NAT 日志 VPN 网关（SSLVPN） 安全 加密算法有效性 访问权限最小化 数据库审计（数据脖安全审计） 运维安全管控（堡垒机） 统一运维 “、网络基础监控11*#*1010101010

2、第一章项目概述1.1、 项目背景中国信托登记有限责任公司（以下简称中国信登”）是经过国务院批准 设立的，由银监会管理的专业信托服务机构，是全国唯一一家经银监会授权开 展全国信托产品登记及流通转让等服务的非银行金融机构。中国信登设立后 主要从事以下几个方面的业务：信托产品信息、受益权信息及其变动情况的登 记；信托受益权账户的设立和管理；信托产品的发行、交易、结算、信息披露； 与信托登记有关的信息查询，咨询和培训服务以及银监会批准的其他业务。第二章网络整体设计概要2.1、 整体架构设计遵循原则2.2、 设计理念整体架构以科学、安全、适用、绿色节能为原则进行规划和设计；网络架构依据可靠性、安全性、可

3、互连性、可扩充性、可兼容性，并 考虑未来系统的发展与变迁，易于扩展、升级和维护等原则设计；安全设计符合二级等保相关安全验收标准，达到数据传输安全、网络 系统所连接的设备安全，做到有攻击信息中断阻隔、恶意代码植入等 破坏数据安全的攻击行为。核心系统远程访问采用加密、高可用集群、冗余控制器存储，避免数 据丢失、篡改、窃取等带来的风险。达到业务不间断运行，高效运营 和保护信息资产的安全。2.3、 网络安全设计要点采用双线路冗余互为备份提供可持续不间断服务；采用异构两级防火墙安全过滤与隔离；采用负载链路均衡设备，达到高访问的链路均衡； Q0S保证与入侵检测、入侵防御、防止网页篡改等安全；核心防火墙拥有

4、抗病毒模块及入侵特征库进行有效防毒病毒入侵，保 障核心系统数据安全；核心交易系统采用国家相关认证的SSLVPN进行登录认证；运维保障，采用通过国家认证运维审计堡垒机；A数据库采用，安全审计产品，对SQL、访问行为等进行有效记录和告警 或阻断；2.4、 数据中心设计要点数据库采用4路高可用X86服务器组成集群；存储采用冗余控制器、冗余电源设计，达到高可用性；同机房采用高可用X86服务器作为生产库备份，采用0RACEL_DG,对数 据进行备份；异地采用数据库定时定人定岗进行离线备份，实现核心业务数据同城2 份异地1份；业务系统服务器采用VMWARE虚拟化组，提高硬件资源高可用、业务横 向拓展易部署

5、、避免故障单节点；业务系统采用软件负载，提高业务访问体验度，防止单点故障，提高业 务访问连续性；2.5、 区域划分整个系统分为，核心业务区、核心数据库区、DMZ区、运维管理区、设 备管理区、开放仿真测试区、外联区（银监局、信托公司、银行）等VLAN；各个区域之间通过防火墙进行主机加端口进行策略限制，所有区域相 互访问时通过核心防火墙之间做业务策略精确到主机与端口；对业务操作人员在核心防火墙开放对应资源策略，对操作人员分角色、 分资源、分账号、分权限进行业务系统运维，堡垒机进行审计；办公区通过专线到IDC生产中心机房，同时两端进行防火墙进行限制， 开启策略防护，运维人员、业务审核人员均在不同区域

6、，同时业务审核 人员主机是专网专用与0A系统是独立隔离，无交叉或者数据交互；系统帐号、数据库帐号、堡垒机帐号、网络设备帐号等进行分层级进行 授权，角色不同，所维护的帐号也不同，同时密码强制要求定期更改， 且长度均有高要求（字母数字特殊字符且超过8位）；核心数据库采用AB岗位进行授权维护和日常操作，对增删等动作进行多级审核授权评估后执行;2.6. 整体网络结构图第三章设计重要意义（实现需求目标）3.1、 链路负载（负载均衡）避免出现链路单点故障，保证链路接入的高可用性，用户都采用不同运营 商的多条链路接入，采用链路负载均衡产品，提高业务系统连续性，同时其中 一条链路出现故障时不影响业务对外提供服

7、务，交易不会中断，同时对于后续 两地三中心（双活两中心）打下良好的网络架构基础。3.2、 网络攻击及入侵（入侵防御系统防护）互联时代催生了黑客群体利益的变化，其攻击方式也发生了很大的改变。 溢出攻击、木马、蠕虫、DDOS等传统安全威胁，用户安全意识的逐步提高、 关键业务的安全防护措施不断完善，黑客攻击目标趋向于从传统直接攻击服 务器转向攻击安全较薄弱的内网客户端，以客户端为跳板再向服务器渗透，保 障内网客户端的安全已经成为安全架构设计重点。当客户遇到互联网的非法攻击和入侵的时候，势必对网上应用和交易系 统产生影响，造成访问效率下降、网络拥堵等状况，采用主动式入侵防御系统 利用高可靠识别攻击，精

8、确判断入侵及攻击行为并作出相应的反应来解决客 户遇到的上述问题。3.2.1、 入侵检测NIDS提供实时的入侵检测，通过与防火墙联动、TCP K订ler、发送邮 件、日志数据库记录、打印机输出、运行用户自定义命令等方式进行 报警及动态防护；3.2.2、 事件监控NIDS系统会对网络流量进行监控，对P2P下载、IM即时通讯、网络 游戏、在线视频等严重滥用网络资源的事件提供告警和记录；3. 2.3. 流量分析 NIDS对网络进行流量分析，实时统计出当前网络中的各种协议报文流量；3.2.4. 防病毒 NIDS可对HTTP、SMTP、POP3、FTP等多种协议类型的近百万种病毒进 行查杀，包括木马、蠕虫

9、、宏病毒、脚本病毒等，同时可对多线程并 发、深层次压缩文件等进行有效控制和查杀；3.3,安全区域划分和隔离（防火墙）客户在数据中心根据不同的安全级别划分出不同的访问区域，不同的区 域之间互相访问需要通过安全设备进行隔离，根据不同的安全级别设定策略 进行访问控制，通过多种检测机制，发现攻击流量，实时进行阻断，提髙应用系统的安全性。两层防火墙架构设计（异构设计.有效阻断攻击）3.3.1. 反病毒利用专业的智能感知引擎和不断更新的病毒特征库实现对病毒的检测和处理;3.3.2、 内容过滤 支持 HTTP、FTP、SMTP、POP3、NFS、SMB、IMAP、RTMPT 和 FLASH 等 常见的文件传

10、输协议；支持对以上协议传输的常见文档文件内容进行基于关键字的过滤；支持对HTTP和FTP的协议內容进行基于关键字的过滤；3.3.3、 NAT支持对报文源、目的IP地址和端口进行转换；支持将私网IP地址和端口映射为公网IP地址和端口，使內网服务器 可以对外提供网络服务；支持对多通道协议报文的载荷中协商的IP地址和端口进行自动转换;3.3.4、 日志支持流量日志、威胁日志、URL日志、内容日志、邮件过滤日志、操 作日志、系统日志、用户活动日志、策略命中日志等多种日志类型供 管理员查看，帮助管理员掌握网络事件；3.4、 VPN 网关（SSLVPN）信托公司终端的安全性和易用性，采用SSLVPN的接入

11、方式，通过USBkey 硬件证书+PIN码+系统一人一帐号三层认证，方可进入核心预登记系统，同时 密码并设置策略定期更改，提高数据系统安全准入访问，满足用户接入数据中 心安全。3.4.1、 安全端到端的安全防护体系，业内领先加密技术，多种认证方式、主从绑 定等特色功能，保证用户身份安全、终端/数据安全、传输安全、应 用权限安全和审计安全；3.4.2、 加密算法有效性 根据不同业务的安全级别，提供AES、3DES、RSA、RC4、MD5及国密 SMI、SM2、SM3、SM4等加密算法进行选择,保障数据的安全性;3.4.3、 访问权限最小化提供基于URL授权的细粒度访问权限控制，让用户只能访问同一

12、台 Web服务器上的有限页面，防止非法接入用户找到SQL注入漏洞页面; 同时深信服提供主从账号绑定功能，将SSL VPN与业务系统的帐号做 唯一绑定，防止内部用户主越权访问；3. 5、 数据库审计（数据库安全审计）客户在数据中心的建设过程中最重要的就是核心业务系统，它包含了至 关重要的应用系统服务器和核心数据，在核心业务系统中一般采用三层部署 的标准架构，Web服务器-应用服务器-数据库，Web防火墙对Web服务器进行 安全保护，避免针对服务器应用层和源代码风险的攻击，数据库安全审计平台 对各类数据库操作，数据表调用和修改的动作进行审计和告警，保证在数量繁 多的用户访问数据库的情况下行为能够进

13、行审计。高效的源头跟踪能力，系统能够针对用户网络环境中出现的指定帐号（比 如Root、DBA）、指定应用程序（比如SQLPLUS. PL/SQL）,进行随时触发、 随时跟踪，减少审计事件过多带来的管理负担。3.6、 运维安全管控（堡垒机）3. 6.1、 统一运维是针对业务环境下的用户运维操作进行控制和审计的合规性管控系统。 它通过对自然人身份以及资源、资源账号的集中管理建立自然人一资源一资 源账号”对应关系，实现自然人对资源的统一授权，同时，对授权人员的运维 操作进行记录、分析、展现，以帮助內控工作事前规划预防、事中实时监控、 违规行为响应、事后合规报告、事故追琮回放，加强内部业务操作行为监管、 避免核心资产（服务器、网络设备、安全设备等）损失、保障业务系统的正常 运营。3.6.2、 网络基础监控网络运维监控，采用第三方软件进行部署，运维人员通过监控平台掌握硬 件运行情况，同时故障节点出现时，会通过邮件方式提醒运维人员。