共享平台与视频安全接入方案同名11025.docx

1、共享平台与视频安全接入方案同名11025共享平台与视频安全接入方案(同名11025)1 建设背景随着贵州省毕节市公安局公安信息化建设的不断深入开展，公安机关对外交换和共享信息的接入业务需求日益强烈。结合自身公安信息化建设现状和发展需要，减少重复投资，建设贵州省毕节市公安局部门间共享平台（以下简称“共享平台”），满足公安机关通过公安信息通信网开展对外数据交换、查询比对、Web访问等工作需要。通过共享平台的建设为部门间信息共享等业务提供集中的安全运行基础设施，实现对接入业务的注册、监控与审计等安全管理，保障共享平台与公安信息通信网的安全。共享平台是金盾工程二期重点建设的“三大平台”之一，公安部关于

2、稳步开展公安信息资源共享服务工作的通知（公信通2007187号）及关于“部门间信息共享与服务平台”建设应用的指导意见（公科信201219号）的要求，共享平台的核心功能主要包括两个方面：一是方便可靠地获取外部信息，将其它政府部门、社会单位向公安机关提供的信息传输到共享平台上，并根据公安业务应用的需要将相关信息转送到公安信息网内加以综合应用；二是安全可控地对外提供信息服务，将需要对外共享的信息从公安信息网内抽取同步到共享平台上，以应用接口、web访问、数据交换等方式对外提供信息共享服务。共享平台应严格按照公安信息通信网边界接入平台安全规范(试行)的要求进行网络互连和安全运行。同时毕节市公安机关可利

3、用的视频监控资源越来越多，但出于安全和应用方面的考虑，外网及社会专网视频资源没有接入公安内网，由此造成使用上的不便和资源的浪费。现在毕节市公安局为实现“资源共享、互联互控”、“视频监管一网控”，需依据公安部公安信息通信网边界接入平台安全规范（试行）-视频接入部分建设视频接入链路。通过该链路的建设满足外部视频资源与公安网视频资源有机联网、整合共享，并且有效管理、灵活调用，同时满足下列需求：实时观看外网视频监控探头信息、实现对外网视频监控探头的控制、对视频接入业务进行集中监控、管理与审计。本方案中术语和定义与公安信息通信网边界接入平台安全规范（简称安全规范）、关于稳步开展公安信息资源共享服务工作的

4、通知（公信通2007187号）、关于“部门间信息共享与服务平台”建设应用的指导意见（公科信201219号）、公安信息通信网边界接入平台安全规范（试行）-视频接入部分一致。2 业务需求2.1 项目现状为了满足社会面与公安信息通信网进行信息采集与交换的业务需求。贵州省毕节市公安局已经建设了边界接入平台中的社会企事业接入链路、党政军机关接入链路、公安驻地外接入链路，该边界接入平台解决了公安边界接入业务的部分业务需求，取得了良好效益，发挥了重要作用。随着毕节市公安局信息化建设的发展，现需要建设贵州省毕节市公安局部门间共享平台以及视频接入链路，主要增加公安机关及直属单位对外数据交换、查询比对、Web访问

5、业务，以及外网视频资源安全接入公安内网，以满足日益增长业务需求。2.2 共享平台需求2.2.1 功能需求分析贵州省毕节市公安局共享平台主要需要对党政军部门和经批准的党政军用户等接入对象提供查询比对、数据交换和Web访问等功能。上述接入对象采用专线安全线路方式与贵州省毕节市公安局共享平台进行链接，在接入链路上不采用其他非安全的接入链路方式（如无线、互联网链路等），从链路层面保障共享平台的安全性。查询比对功能通过数据交换方式实现其他部门、机构等对共享平台内的公安信息资源进行安全查询及比对功能，及时返回查询比对结果，并同时支持单条和批量的查询比对业务。数据交换功能通过数据交换方式采集其他部门、机构的

6、批量数据；通过数据交换向其他部门、机构提供批量数据。数据交换支持的数据类型包括：结构化数据库数据、非结构化数据（以文件型为主）等。Web访问功能指的是经批准的党政军用户通过政法数字证书，以授权访问方式访问共享平台内对外开放的Web网站（页）等。2.2.2 性能需求分析毕节市公安局共享平台性能需求主要体现在数据流量、关键设备性能和平台整体性能等方面，在满足性能要求的同时，具备一定的容量扩展性。数据流量：其中查询比对类业务服务总流量要求为1000笔/秒，数据交换类业务预计业务流量为400Mbps，Web访问类业务预计业务流量为400Mbps。关键设备性能：关键性安全设备在整个共享平台中发挥着重要的

7、安全重用，其中查询比对类业务具有数据包小、并发大、延时低的特点，同时考虑突发大并发情况，关键安全设备的并发连接数应达到40万以上，最大并发连接数应大于50 万。平台整体性能需保障平台基本性能及以后的扩展性，平台所有链路，尤其是数据交换链路需采用双千兆带宽，关键设备均采用千兆级以上设备。确保数据交换链路上的数据交换系统及网闸在不影响传输性能和数据传输质量的前提下，在支持多个接入业务的同时进行数据交换。毕节市公安局共享平台在业务峰值时段，各设备的CPU、内存利用率低于70%。共享平台在满足数据量、并发连接数和链路带宽等要求的同时不影响平台整体传输性能和数据传输质量，并预留一定的扩展性。同时，共享平

8、台需要确保接入业务的可靠性和稳定性，在紧急状态下，应具备一定处突及部分应用优先处理的能力。2.2.3 安全需求分析安全需求主要体现在接入终端安全需求、服务器安全需求、网络安全需求、应用安全需求和数据安全需求等方面。接入终端安全：对查询比对类、数据交换类业务的接入终端进行备案登记，支持对接入终端进行安全状况检测，防止安全不达标的终端设备接入。在Web访问类接入终端上安装终端安全监控和“一机两用”客户端，对接入终端的外设、进程等加强安全管理以及对接入终端的违规外联加强安全监测。服务器安全：为确保共享平台内重要服务器自身的强壮性和安全性，对这些服务器都进行必要的安全加固或安全加强。网络安全：共享平台

9、在网络层划分不同的安全域，不同安全域间具有明显的边界，采用必要的安全隔离设备，对接入平台与公安信息通信网之间进行安全隔离。可采用VPN方式对数据或链路进行加密以对信息安全有特殊需求的信息传输进行安全保障。同时，共享平台应对平台内应用服务进行网络级访问控制，并对病毒木马、黑客入侵、抗DDoS攻击、漏洞扫描、异常流量等网络安全威胁具有监测和防护能力。2.2.4 管理需求分析贵州省毕节市公安局共享平台是个复杂的安全系统，为了更好的发挥平台作用，保护公安网内资源安全，满足对共享平台的运行维护，需对共享平台进行有效的管理。根据共享平台运行管理要求，依据“统一接入管理、统一运行监控、统一安全审计、统一策略

10、部署”的原则。对共享平台所有传输信息实现集中安全监测和审计，对各类异常报警信息进行分析。对共享平台中的各类安全事件进行及时发现和定位，控制并消除各类安全威胁和隐患。对共享平台进行集中监控和审计管理，实现注册审核、平台运行、设备维护、报警处置、审计分析、数据通报等一系列管理功能，提供监控平台整体运行状况服务。2.2.5 扩展需求分析共享平台是一个复杂的系统，接入业务是个逐步接入的过程。共享平台方案需具备可扩展性。在满足基本要求的前提下，主要满足平台在性能、功能、业务数、应用种类及存储等方面的扩展和延伸。2.3 视频接入需求2.3.1 功能需求分析毕节市公安局公安信息通信网视频接入业务主要是实现公

11、安外网视频资源经视频接入链路安全可靠接入公安内网，实现从公安内网授权访问外网视频资源。该类业务具有以下特点： 实时监控：公安内网用户实时浏览外部视频信息； 探头控制：内网终端可操控外部的探头，使探头上下左右移动，前后调节，以观察不同范围； 视频调阅：公安用户调阅外部视频服务器上的存储的历史视频信息。2.3.2 性能需求分析视频接入链路在性能上必须满足毕节市公安局视频接入业务的接入要求，主要体现在链路带宽、同时在线的用户数、业务数和网络吞吐量等方面。2.3.3 安全需求分析视频信息接入在外部与公安内网进行信息传输的同时，将面临许多安全问题，如原来利用外网发动攻击的黑客也有可能通过伪装视频流方式传

12、输蠕虫、木马等病毒，进而攻击内网；一些用户试图通过接入通道访问非授权资源；内网中某些中病毒的计算机，可能将内部人口及治安等重要且敏感信息泄露出去，进而直接影响公安工作的正常开展。为此，视频接入链路通过采用视频安全接入系统，针对视频码流和视频信令的不同特性，在安全性上采用不同的策略，实现视频控制信令双向传输，视频数据单向传输，为视频接入提供了一条安全、高效的接入通道，保证了视频信息安全、可靠地传输。2.3.4 管理需求分析根据公安网视频安全接入的运行管理要求，提供对视频接入应用和运行情况的监测、审计和管理，实现外网视频资源安全可靠的采集进入公安内网。2.3.5 扩展需求分析视频接入链路是个逐步接

13、入的过程，需具备可扩展性。主要需满足链路在性能、功能、业务数、应用种类等各方面的扩展和延伸。3 总体设计3.1 设计目标针对共享平台各类业务与视频接入需求，设计一个技术先进、安全可靠、切实可行、管理方便的安全技术方案。建设贵州省毕节市公安局共享平台与视频接入链路，保障公安网的保密性、完整性和可用性，接入业务的可管理性、可控性；保障视频资源的有机联网、整合共享、有效管理、灵活调用；保障边界接入公安网的安全，以及相关网络和信息资源的安全；同时保障边界接入工作的高效稳定运行，解决和提高公安业务工作、信息共享、服务的能力和水平。3.2 设计思想根据实际情况，充分认识到安全在边界接入中的重要性，正确处理

14、发展与安全的关系，综合平衡成本与效益，建立安全、可靠、实用的贵州省毕节市公安局部门间信息共享平台和视频安全接入链路。3.3 设计依据本方案依据以下文件或规范设计： 关于印发的通知（公信通2007191号）； 关于稳步开展公安信息资源共享服务工作的通知（公信通2007189号）； 关于做好社区和农村警务室接入公安信息网安全工作的通知（公信通200715号）； 关于进一步加强公安信息通信网日常安全管理工作机制建设的通知（公信通传发2008109号）； 关于公安信息通信网边界接入平台建设有关问题的通知（公信通传发2008296号）； 关于“部门间信息共享与服务平台”建设应用的指导意见（公科信2012

15、19号）； 公安信息通信网边界接入平台安全规范（试行）-视频接入部分。3.4 总体架构设计共享平台与视频接入链路依据安全规范，主要基于三重防护体系、两个基础设施的安全体系，构建路由接入区、边界保护区、安全隔离区、安全监测与管理区等五个不同的安全区域，构成分区域、分层次的纵深安全防御体系。3.4.1 安全体系接入平台安全体系设计由三重防护体系设计、两个基础设施设计构成。图31接入平台安全体系图三重防护体系设计：即应用环境安全设计、应用区域边界安全设计和网络通信安全设计。应用环境安全设计：即确保终端和用户来源可信、可监控设计，操作系统安全加固设计，关键应用程序安全设计。应用区域边界安全设计：主要涉及网络及应用系统边界安全方面，通过身份认证、访问控制技术，确保对应用系统的访问是通过细粒度控制下的合法访问者。链路与网络通信安全设计：主要涉及链路及网络安全方面，采用数据机密性与完整性保护技术，建立端到端传输的安全机制。两个基础设施设计：即公安PKI/PMI基础设施，安全监测与管理基础设施。公安PKI/PMI基础设施设计：实施公安数字身份证书的产生、管理、存储、分发和撤销等功能，是实现接入平台身份认证、授权管理、访问控制策略等安全机制的基础。安全监测与管理基础设施设计：实现整个平台的安全监测、管