共享平台与视频安全接入方案.docx

1、共享平台与视频安全接入方案毕节市公安局公安网边界接入平台（部门间信息共享平台、视频接入链路）建设方案上海辰锐信息科技公司2013年10月1 建设背景随着贵州省毕节市公安局公安信息化建设的不断深入开展，公安机关对外交换和共享信息的接入业务需求日益强烈。结合自身公安信息化建设现状和发展需要，减少重复投资，建设贵州省毕节市公安局部门间共享平台（以下简称“共享平台”），满足公安机关通过公安信息通信网开展对外数据交换、查询比对、Web访问等工作需要。通过共享平台的建设为部门间信息共享等业务提供集中的安全运行基础设施，实现对接入业务的注册、监控与审计等安全管理，保障共享平台与公安信息通信网的安全。共享平台

2、是金盾工程二期重点建设的“三大平台”之一，公安部关于稳步开展公安信息资源共享服务工作的通知（公信通2007187号）及关于“部门间信息共享与服务平台”建设应用的指导意见（公科信201219号）的要求，共享平台的核心功能主要包括两个方面：一是方便可靠地获取外部信息，将其它政府部门、社会单位向公安机关提供的信息传输到共享平台上，并根据公安业务应用的需要将相关信息转送到公安信息网内加以综合应用；二是安全可控地对外提供信息服务，将需要对外共享的信息从公安信息网内抽取同步到共享平台上，以应用接口、web访问、数据交换等方式对外提供信息共享服务。共享平台应严格按照公安信息通信网边界接入平台安全规范(试行)

3、的要求进行网络互连和安全运行。同时毕节市公安机关可利用的视频监控资源越来越多，但出于安全和应用方面的考虑，外网及社会专网视频资源没有接入公安内网，由此造成使用上的不便和资源的浪费。现在毕节市公安局为实现“资源共享、互联互控”、“视频监管一网控”，需依据公安部公安信息通信网边界接入平台安全规范（试行）-视频接入部分建设视频接入链路。通过该链路的建设满足外部视频资源与公安网视频资源有机联网、整合共享，并且有效管理、灵活调用，同时满足下列需求：实时观看外网视频监控探头信息、实现对外网视频监控探头的控制、对视频接入业务进行集中监控、管理与审计。本方案中术语和定义与公安信息通信网边界接入平台安全规范（简

4、称安全规范）、关于稳步开展公安信息资源共享服务工作的通知（公信通2007187号）、关于“部门间信息共享与服务平台”建设应用的指导意见（公科信201219号）、公安信息通信网边界接入平台安全规范（试行）-视频接入部分一致。2 业务需求2.1 项目现状为了满足社会面与公安信息通信网进行信息采集与交换的业务需求。贵州省毕节市公安局已经建设了边界接入平台中的社会企事业接入链路、党政军机关接入链路、公安驻地外接入链路，该边界接入平台解决了公安边界接入业务的部分业务需求，取得了良好效益，发挥了重要作用。随着毕节市公安局信息化建设的发展，现需要建设贵州省毕节市公安局部门间共享平台以及视频接入链路，主要增加

5、公安机关及直属单位对外数据交换、查询比对、Web访问业务，以及外网视频资源安全接入公安内网，以满足日益增长业务需求。2.2 共享平台需求2.2.1 功能需求分析贵州省毕节市公安局共享平台主要需要对党政军部门和经批准的党政军用户等接入对象提供查询比对、数据交换和Web访问等功能。上述接入对象采用专线安全线路方式与贵州省毕节市公安局共享平台进行链接，在接入链路上不采用其他非安全的接入链路方式（如无线、互联网链路等），从链路层面保障共享平台的安全性。查询比对功能通过数据交换方式实现其他部门、机构等对共享平台内的公安信息资源进行安全查询及比对功能，及时返回查询比对结果，并同时支持单条和批量的查询比对业

6、务。数据交换功能通过数据交换方式采集其他部门、机构的批量数据；通过数据交换向其他部门、机构提供批量数据。数据交换支持的数据类型包括：结构化数据库数据、非结构化数据（以文件型为主）等。Web访问功能指的是经批准的党政军用户通过政法数字证书，以授权访问方式访问共享平台内对外开放的Web网站（页）等。2.2.2 性能需求分析毕节市公安局共享平台性能需求主要体现在数据流量、关键设备性能和平台整体性能等方面，在满足性能要求的同时，具备一定的容量扩展性。数据流量：其中查询比对类业务服务总流量要求为1000笔/秒，数据交换类业务预计业务流量为400Mbps，Web访问类业务预计业务流量为400Mbps。关键

7、设备性能：关键性安全设备在整个共享平台中发挥着重要的安全重用，其中查询比对类业务具有数据包小、并发大、延时低的特点，同时考虑突发大并发情况，关键安全设备的并发连接数应达到40万以上，最大并发连接数应大于50 万。平台整体性能需保障平台基本性能及以后的扩展性，平台所有链路，尤其是数据交换链路需采用双千兆带宽，关键设备均采用千兆级以上设备。确保数据交换链路上的数据交换系统及网闸在不影响传输性能和数据传输质量的前提下，在支持多个接入业务的同时进行数据交换。毕节市公安局共享平台在业务峰值时段，各设备的CPU、内存利用率低于70%。共享平台在满足数据量、并发连接数和链路带宽等要求的同时不影响平台整体传输

8、性能和数据传输质量，并预留一定的扩展性。同时，共享平台需要确保接入业务的可靠性和稳定性，在紧急状态下，应具备一定处突及部分应用优先处理的能力。2.2.3 安全需求分析安全需求主要体现在接入终端安全需求、服务器安全需求、网络安全需求、应用安全需求和数据安全需求等方面。接入终端安全：对查询比对类、数据交换类业务的接入终端进行备案登记，支持对接入终端进行安全状况检测，防止安全不达标的终端设备接入。在Web访问类接入终端上安装终端安全监控和“一机两用”客户端，对接入终端的外设、进程等加强安全管理以及对接入终端的违规外联加强安全监测。服务器安全：为确保共享平台内重要服务器自身的强壮性和安全性，对这些服务

9、器都进行必要的安全加固或安全加强。网络安全：共享平台在网络层划分不同的安全域，不同安全域间具有明显的边界，采用必要的安全隔离设备，对接入平台与公安信息通信网之间进行安全隔离。可采用VPN方式对数据或链路进行加密以对信息安全有特殊需求的信息传输进行安全保障。同时，共享平台应对平台内应用服务进行网络级访问控制，并对病毒木马、黑客入侵、抗DDoS攻击、漏洞扫描、异常流量等网络安全威胁具有监测和防护能力。2.2.4 管理需求分析贵州省毕节市公安局共享平台是个复杂的安全系统，为了更好的发挥平台作用，保护公安网内资源安全，满足对共享平台的运行维护，需对共享平台进行有效的管理。根据共享平台运行管理要求，依据

10、“统一接入管理、统一运行监控、统一安全审计、统一策略部署”的原则。对共享平台所有传输信息实现集中安全监测和审计，对各类异常报警信息进行分析。对共享平台中的各类安全事件进行及时发现和定位，控制并消除各类安全威胁和隐患。对共享平台进行集中监控和审计管理，实现注册审核、平台运行、设备维护、报警处置、审计分析、数据通报等一系列管理功能，提供监控平台整体运行状况服务。2.2.5 扩展需求分析共享平台是一个复杂的系统，接入业务是个逐步接入的过程。共享平台方案需具备可扩展性。在满足基本要求的前提下，主要满足平台在性能、功能、业务数、应用种类及存储等方面的扩展和延伸。2.3 视频接入需求2.3.1 功能需求分

11、析毕节市公安局公安信息通信网视频接入业务主要是实现公安外网视频资源经视频接入链路安全可靠接入公安内网，实现从公安内网授权访问外网视频资源。该类业务具有以下特点： 实时监控：公安内网用户实时浏览外部视频信息； 探头控制：内网终端可操控外部的探头，使探头上下左右移动，前后调节，以观察不同范围； 视频调阅：公安用户调阅外部视频服务器上的存储的历史视频信息。2.3.2 性能需求分析视频接入链路在性能上必须满足毕节市公安局视频接入业务的接入要求，主要体现在链路带宽、同时在线的用户数、业务数和网络吞吐量等方面。2.3.3 安全需求分析视频信息接入在外部与公安内网进行信息传输的同时，将面临许多安全问题，如原

12、来利用外网发动攻击的黑客也有可能通过伪装视频流方式传输蠕虫、木马等病毒，进而攻击内网；一些用户试图通过接入通道访问非授权资源；内网中某些中病毒的计算机，可能将内部人口及治安等重要且敏感信息泄露出去，进而直接影响公安工作的正常开展。为此，视频接入链路通过采用视频安全接入系统，针对视频码流和视频信令的不同特性，在安全性上采用不同的策略，实现视频控制信令双向传输，视频数据单向传输，为视频接入提供了一条安全、高效的接入通道，保证了视频信息安全、可靠地传输。2.3.4 管理需求分析根据公安网视频安全接入的运行管理要求，提供对视频接入应用和运行情况的监测、审计和管理，实现外网视频资源安全可靠的采集进入公安

13、内网。2.3.5 扩展需求分析视频接入链路是个逐步接入的过程，需具备可扩展性。主要需满足链路在性能、功能、业务数、应用种类等各方面的扩展和延伸。3 总体设计3.1 设计目标针对共享平台各类业务与视频接入需求，设计一个技术先进、安全可靠、切实可行、管理方便的安全技术方案。建设贵州省毕节市公安局共享平台与视频接入链路，保障公安网的保密性、完整性和可用性，接入业务的可管理性、可控性；保障视频资源的有机联网、整合共享、有效管理、灵活调用；保障边界接入公安网的安全，以及相关网络和信息资源的安全；同时保障边界接入工作的高效稳定运行，解决和提高公安业务工作、信息共享、服务的能力和水平。3.2 设计思想根据实

14、际情况，充分认识到安全在边界接入中的重要性，正确处理发展与安全的关系，综合平衡成本与效益，建立安全、可靠、实用的贵州省毕节市公安局部门间信息共享平台和视频安全接入链路。3.3 设计依据本方案依据以下文件或规范设计： 关于印发的通知（公信通2007191号）； 关于稳步开展公安信息资源共享服务工作的通知（公信通2007189号）； 关于做好社区和农村警务室接入公安信息网安全工作的通知（公信通200715号）； 关于进一步加强公安信息通信网日常安全管理工作机制建设的通知（公信通传发2008109号）； 关于公安信息通信网边界接入平台建设有关问题的通知（公信通传发2008296号）； 关于“部门间信

15、息共享与服务平台”建设应用的指导意见（公科信201219号）； 公安信息通信网边界接入平台安全规范（试行）-视频接入部分。3.4 总体架构设计共享平台与视频接入链路依据安全规范，主要基于三重防护体系、两个基础设施的安全体系，构建路由接入区、边界保护区、安全隔离区、安全监测与管理区等五个不同的安全区域，构成分区域、分层次的纵深安全防御体系。3.4.1 安全体系接入平台安全体系设计由三重防护体系设计、两个基础设施设计构成。图31接入平台安全体系图三重防护体系设计：即应用环境安全设计、应用区域边界安全设计和网络通信安全设计。应用环境安全设计：即确保终端和用户来源可信、可监控设计，操作系统安全加固设计

16、，关键应用程序安全设计。应用区域边界安全设计：主要涉及网络及应用系统边界安全方面，通过身份认证、访问控制技术，确保对应用系统的访问是通过细粒度控制下的合法访问者。链路与网络通信安全设计：主要涉及链路及网络安全方面，采用数据机密性与完整性保护技术，建立端到端传输的安全机制。两个基础设施设计：即公安PKI/PMI基础设施，安全监测与管理基础设施。公安PKI/PMI基础设施设计：实施公安数字身份证书的产生、管理、存储、分发和撤销等功能，是实现接入平台身份认证、授权管理、访问控制策略等安全机制的基础。安全监测与管理基础设施设计：实现整个平台的安全监测、管理与运行维护。3.4.2 体系结构3.4.2.1

17、 共享平台体系结构根据需求分析及公安部相关规范的要求，贵州省毕节市公安局共享平台在体系结构设计上由路由接入区、边界保护区、应用服务区、安全隔离区、安全监测与管理区等五部分组成，如下图：图32边界接入平台体系结构图3.4.2.1.1 路由接入区该区域实现各个外部链路与接入平台间连接。该区域主要安全功能为：实现路由访问控制，将来自不同接入对象或不同外部链路的数据流按照接入平台的安全策略加以区分。3.4.2.1.2 边界保护区该区域主要实现对接入平台的边界保护。该区域主要安全功能为：实现网络级身份认证、访问控制和权限管理，数据机密性和完整性保护，防御网络攻击和嗅探。3.4.2.1.3 应用服务区该区

18、域主要处理各类与应用相关的操作，是公安网对外信息发布、信息采集、数据交换的中间区域。该区域主要安全功能为：作为外部终端网络连接的终点，实现应用级身份认证、访问控制、应用代理、数据暂存等功能，防止对公安网的非法访问和信息泄露。对此区域，应加强对服务器等设备的安全保护，应具有病毒、木马防护功能，防止病毒传播与非法控制。3.4.2.1.4 安全隔离区该区域实现公安网与应用服务区的安全隔离与信息交换。该区域主要安全功能为：实现公安网与应用服务区的安全网络隔离，根据安全策略，对出入公安网的数据分别进行协议剥离、格式检查和过滤，实现公安网和应用服务区之间的安全数据交换，保障公安网的安全。3.4.2.1.5

19、 安全监测与管理区该区域实现整个接入平台的安全监测、管理与维护。该区域主要安全功能为：对接入平台运行情况进行安全监测与审计，对接入平台及业务信息进行注册管理、各种安全策略管理、流量监测、统计分析、安全审计等；对接入平台内网络设备、安全设备进行配置管理及日常运行维护，补丁升级、漏洞扫描与病毒防范。3.4.2.2 视频接入体系结构根据视频安全接入的业务需求及公安部相关规范的要求，视频安全接入链路在体系结构上由路由接入区、边界保护区、应用服务区、安全隔离区、安全监测与管理区等五部分组成。如图所示：图33视频接入链路体系结构图3.4.2.2.1 路由接入区该区域实现各个外部接入链路与视频安全接入链路前

20、端设备的连接。该区域主要安全功能为：实现路由访问控制，将来自不同接入对象或不同外部链路的数据流按照相关安全策略加以区分。3.4.2.2.2 边界保护区该区域主要实现对边界接入平台视频安全接入链路的边界保护。该区域主要安全功能为：实现网络级身份认证、访问控制和权限管理，数据机密性和完整性保护，防御网络攻击和嗅探。3.4.2.2.3 应用服务区该区域主要处理各类与应用相关的操作，是公安信息通信网对外信息发布、信息采集、数据交换的中间区域。该区域主要安全功能为：作为外部终端网络连接的终点，实现应用级身份认证、访问控制、应用代理、数据暂存等功能，防止对公安信息通信网的非法访问和信息泄露。对此区域，应加

21、强对服务器等设备的安全保护，应具有病毒、木马防护功能，防止病毒传播与非法控制。3.4.2.2.4 安全隔离区该区域实现公安信息通信网与应用服务区的安全隔离与信息交换。该区域主要安全功能为：实现公安信息通信网与应用服务区的安全网络隔离，根据安全策略，对出入公安信息通信网的数据分别进行协议剥离、格式检查和过滤，实现公安信息通信网和应用服务区之间的安全数据交换，保障公安信息通信网的安全。3.4.2.2.5 安全监测与管理区该区域实现整个视频安全接入链路的安全监测、管理与维护。该区域主要安全功能为：对视频接入链路的运行情况进行安全监测与审计，对接入平台及业务信息进行注册管理、各种安全策略管理、流量监测

22、、统计分析、安全审计等；对视频接入链路内网络设备、安全设备进行配置管理及日常运行维护，补丁升级、漏洞扫描与病毒防范。该区域对视频安全接入链路运行安全监测与审计的功能统一由“集中监”控管理与审计系统实现。3.5 监测与管理区设计3.5.1 探针及监管功能设计贵州省毕节市公安局共享平台与视频接入链路的监测与管理区域主要实现对本级平台整体运行状况的集中监管、安全审计、注册管理与级联监控等功能。3.5.2 级联监控管理设计按安全规范要求，需对共享平台与视频接入链路进行级联监控。通过部、省、市三级平台级联监控体系提供各边界接入平台的运行维护情况、日常业务流量、安全状况等动态信息，为深入分析接入平台及业务

23、运行状态与安全趋势提供依据。依据级联的统一规范和接口，在部、省、市三级边界接入平台间逐步开展和实现主动双向式监管。上级边界接入平台可通过监控级联接口，主动监测下级边界接入平台中各关键节点的各种详细基础数据。同时，部、省、市三级单位关于接入平台业务管理流程也通过此监控接口来实现双向的信息交互等。4 总体方案结合项目需求，本项目主要需建设毕节市公安局部门间信息共享平台与视频安全接入链路。其中部门间共享平台建设在已经建设的党政军机关接入链路上，实现党政军机关各部门与公安网的信息共享；视频接入链路建设实现外网视频资源安全可靠地采集进入公安网。具体方案网络拓扑图如下：图41总体方案图如图4-1，从逻辑上

24、，将边界接入平台划分三大区域：终端接入区、边界平台区和公安网。其中边界平台区又划分为路由接入区、边界保护区、应用服务区、安全隔离区和安全监管区。社会企/事业单位终端采用VPDN链路，经可信边界安全网关(TBSG)，将数据报送给社会企/事业接入的前置服务器，然后经数据交换系统将信息交换到公安网。需要对外发布数据通过数据交换系统交换到平台区域，再通过TBSG交换到外网以提供外网服务。党/政/军机关终端通过专线经TBSG、数据交换系统等安全设备与公安网实现授权访问和数据交换业务。公安机关驻地外终端通过VPDN/专线经TBSG与公安网进行通信，实现授权访问业务。外网视频数据通过专线经视频安全接入系统单

25、向传输进入公安网，实现信令双向传输，视频单向传输。共享平台建设在党政军机关接入链路上，提供查询比对、数据交换和Web访问三类业务应用的安全支撑，每类业务根据不同的接入模式和安全需求提供不同安全防护措施。5 功能设计5.1 共享平台功能设计5.1.1 查询比对类通过查询比对接入链路，向党政军用户提供对共享平台内公安信息资源的安全查询和比对功能，并及时返回查询比对结果，支持单条和批量比对业务。查询比对类接入链路系统功能如下： 查询比对的数据经防火墙、可信边界安全网关、交换机等到共享平台区域，经共享平台内的应用服务处理后，将查询比对结果交换、反馈给终端用户； 部署在共享平台内的防病毒服务器安装网络版

26、防病毒软件，对共享平台内的服务器和客户端提供病毒查杀和防护等； 接入链路的路由接入区、边界保护区、应用服务区及安全隔离区的运行状态、设备状态、链路状态、关键安全设备运行信息等通过探针实现抓取，并报送给公安网中的集中监控与审计系统。5.1.2 数据交换类数据交换类主要实现党政军用户需要与共享平台进行双向批量安全交换数据，数据类型支持结构化数据库数据和非结构化的以文件型为主的数据，以支撑业务的开展。由于信息来源的多样性，决定了采集来的信息的多样性，即有数据库记录方式的，又有文件方式的。同时，目的端对数据的要求也是多样的。因此实现数据交换的系统即要满足简单的数据库和文件同步外，还需支撑较为复杂的数据

27、交换功能。具备以下功能： 支持多种数据库交换模式，支持多数据库同步方式选择。包括全表同步、增量同步、列同步等； 文件交换方式包括文件夹新增同步、文件夹镜像同步、文件完全同步、文件同步后源端删除、文件同步后源端备份、双向文件同步等多种模式； 数据同步过滤功能，数据库双向交换，源与目标的同表双向同步； 支持数据分发，支持源数据库和源文件分发到不同的目标数据库或文件夹，支持文件与文件、文件与数据库、数据库之间的分发，并可设置分发条件； 支持同构数据库同步交换，异构数据库同步交换； 支持一对一、一对多、多对一等多种数据传输方式：如一份文本文件同时向文件服务器和数据库服务器发送； 实现数据交换业务的多种

28、调度策略：支持交换业务多级优先权调度；事件触发、时间触发、消息触发；定时、实时、轮询等； 提供数据可靠传输机制：发生网络阻塞，链路故障等时保障数据交换可靠传输； 数据传输完整性保证：发生网络阻塞/异常，链路故障等时保障交换数据的完整性； 方便、直观的管理、审计功能，支持故障报警和业务管控功能。5.1.3 Web访问类该链路主要实现经批准的外部用户安全接入到共享平台，访问相关资源的功能。其功能的实现步骤为： 经批准的外部用户使用其数字身份证书启动TBSG客户端，通过专线链路，经防火墙访问TBSG服务器； TBSG设备经接入终端设备认证、身份证书认证、CRL列表验证成功后与TBSG服务器建立链路通

29、道； 链路建立后，TBSG对用户访问权限进行验证，为用户分配共享平台资源访问权限； 经批准的外部用户就可以在授权访问内进行资源的访问，如同在共享平台访问业务一样的使用资源。5.2 视频接入功能设计视频安全接入链路拓扑如下：图51视频接入链路网络拓扑图视频接入链路实现将外网视频资源单向传输进入公安网，在公安内网访问相关视频资源的功能。其功能实现步骤如下： 管理员将需要接入的视频服务器设备注册到接入平台； 管理员将需要访问视频资源的用户注册到接入平台； 公安干警使用其公安数字身份证书，视频用户认证服务器对用户身份证书认证、CRL列表验证成功后，在客户端和视频用户认证服务器服务器之间建立通道； 启动

30、视频监控客户端，访问视频中心管理服务器； 公安干警就可以访问经过视频接入平台授权的外部视频资源，访问方式就如同在公安网访问视频资源业务一样的使用其他视频资源。6 安全设计6.1 共享平台安全设计6.1.1 查询比对类查询比对类接入链路的安全隔离区采用专用安全数据交换系统实现数据安全交换功能。该系统采用安全加固操作系统保障本身系统的安全性，同时，安全数据交换系统外侧的数据交换服务器进行安全加固进一步加强其系统及应用环境安全；安全数据交换系统实现数据安全同步、格式过滤、内容过滤和审计、流量管理及链路区分等功能。该链路的防火墙除了进行网络级防护外，对外部接入终端进行备案登记，终端MAC地址与IP绑定

31、，并对终端的运行状况进行检测，以避免不安全的设备接入。该链路上入侵防御系统（IPS）对外部终端可能存在的入侵行为进行检测、拦截，主动抵制入侵行为，同时通过安全数据交换系统的隔离交换功能（经网闸进行摆渡式交互），确保公安信息通信网在该链路上不存在非法入侵点，并实现公安信息通信网与其他非信任网络的安全隔离。接入终端安全：接入终端用户采用专线或VPDN方式接入到平台边界点，在物理上与其他网络进行隔离，在物理通道上保障信息传输的隔离性和安全性。并通过防火墙实现终端备案登记、MAC与IP绑定，并对接入终端安全状况进行检查，使不达标的设备无法接入。网络安全：在该链路上部署抗DDOS、防火墙、IPS等安全设备，对病毒木马、黑客入侵、DDOS攻击、异常流量等安全威胁进行监测和防护，实现对应用服务的网络层访问控制。采用安全隔离设备（安全数据交换系统间部署的隔离设备），实现接入平台与公安信息通信网之间的安全隔离。应用安全：专用安全设备安全数据交换系统通过配置接入IP、账号/用户名、密码等，实现应用级访问的控制，与链路其他安全设备一同形成立体的系统防护体系，防止非授权访问。数据安全：通过加密传输（需要共享平台