信息安全等级保护方案设计

1、信息安全等级保护方案设计目 录 TOC o 1-3 h z u HYPERLINK l _Toc64973097 1概述 PAGEREF _Toc64973097 h 3 HYPERLINK l _Toc64973098 1.1编制背景 PAGEREF _Toc64973098 h 3 HYPERLINK l _Toc64973099 1.2编制目的 PAGEREF _Toc64973099 h 4 HYPERLINK l _Toc64973100 1.3等级安全体系设计目标 PAGEREF _Toc64973100 h 4 HYPERLINK l _Toc64973101 1.3.1总体目标

2、 PAGEREF _Toc64973101 h 4 HYPERLINK l _Toc64973102 1.3.2安全技术体系目标 PAGEREF _Toc64973102 h 5 HYPERLINK l _Toc64973103 2等保安全体系总体设计 PAGEREF _Toc64973103 h 5 HYPERLINK l _Toc64973104 2.1等级保护体系概述 PAGEREF _Toc64973104 h 6 HYPERLINK l _Toc64973105 2.1.1标准体系的组成与相互关系 PAGEREF _Toc64973105 h 6 HYPERLINK l _Toc64

3、973106 2.1.2标准体系的内容 PAGEREF _Toc64973106 h 6 HYPERLINK l _Toc64973107 2.1.3标准体系的主要特点 PAGEREF _Toc64973107 h 7 HYPERLINK l _Toc64973108 2.2等级化安全体系设计方法 PAGEREF _Toc64973108 h 8 HYPERLINK l _Toc64973109 2.2.1设计原则 PAGEREF _Toc64973109 h 8 HYPERLINK l _Toc64973110 2.2.2总体设计参考标准与规范 PAGEREF _Toc64973110 h

4、9 HYPERLINK l _Toc64973111 3安全保障技术体系详细设计 PAGEREF _Toc64973111 h 11 HYPERLINK l _Toc64973112 3.1网络安全设计 PAGEREF _Toc64973112 h 11 HYPERLINK l _Toc64973113 3.1.1网络基础设施安全 PAGEREF _Toc64973113 h 11 HYPERLINK l _Toc64973114 3.1.2网络边界安全 PAGEREF _Toc64973114 h 11 HYPERLINK l _Toc64973115 3.1.3统一安全认证与运维审计 PA

5、GEREF _Toc64973115 h 12 HYPERLINK l _Toc64973116 4产品选型与部署 PAGEREF _Toc64973116 h 13 HYPERLINK l _Toc64973117 4.1主要设技术指标要求建议 PAGEREF _Toc64973117 h 14 HYPERLINK l _Toc64973118 4.1.1路由器产品总体描述和性能要求 PAGEREF _Toc64973118 h 14 HYPERLINK l _Toc64973119 4.1.2防火墙产品总体描述和性能要求 PAGEREF _Toc64973119 h 15 HYPERLIN

6、K l _Toc64973120 4.1.3网络入侵防御系统总体描述和性能要求 PAGEREF _Toc64973120 h 16 HYPERLINK l _Toc64973121 4.1.4统一安全认证和运维审计系统总体描述和性能要求 PAGEREF _Toc64973121 h 19概述编制背景电子政务即政务信息化，是指国家机关在政务活动中，全面应用现代信息技术进行办公和管理，为社会公众提供服务。主要包括四方面内容：一是在因特网上发布政务信息，供公众了解和使用；二是通过因特网对政府与公众之间的事务进行互动处理；三是在政府机构内部实现办公自动化，提高政府机构办公效率；四是公务员从网络中获得机

7、构内部的工作信息和机构外部的业务信息，为日常的政务工作和领导决策提供服务。2006年5月，中共中央办公厅、国务院办公厅转发国家信息化领导小组关于推进国家电子政务网网络建设的意见（中办发【2006】18号），明确国家电子政务网络建设的目标是：用3年左右的时间，形成中央到地方统一的国家电子政务传输骨干网，建成基本满足各级政务部门业务应用需求的政务内网和政务外网，健全国家电子政务网络安全保障机制，完善国家电子政务网络管理体制，为电子政务发展提供网络支持。2007年3月5日，温家宝总理在全国人大五次会议上作政府工作报告时指出：“要以转变政府职能为核心，改进政府管理与服务方式，大力推进政务公开，加快电子

8、政务和政府网站建设”。2007年4月5日，温家宝总理签署国务院第492号令，公布中华人民共和国政府信息公开条例（以下简称条例），自2008年5月1日起正式实施。为了保证公众方便、及时获取政府信息，条例对信息公开的方式作了明确规定：第一，行政机关应当将主动公开的政府信息通过政府公报、政府网站、新闻发布会以及报刊、广播、电视等等便于公众知晓的方式公开；第二，行政机关根据需要设立公共查阅室、资料索取点、信息公告栏、电子信息屏等场所、设施公开政府信息。2007年8月4日，国务院办公厅下发了关于做好施行中华人民共和国政府信息公开条例准备工作的通知（国办发200754号），以下简称通知），明确要求，要充分

9、发挥政府网站公开政府信息的平台作用，各级政府网站要成为政府信息公开的第一平台。本次公安、地税等无线专网客户通过XX与国家电子政务外网相连，了贯彻国家对电子政务信息系统安全保障工作的要求以及等级化保护“坚持积极防御、综合防范”的方针，全面提高信息安全防护能力，无线专网建设需要进行整体安全体系规划设计及特殊网站安全保护设计，全面提高信息安全防护能力，创建安全健康的网络环境，保护国家利益，促进电子政务外网信息化的深入发展。编制目的根据XX的现状和将来的应用需求，并结合公安部关于等级化保护的相关要求，而制定针对性的技术方案与管理方案，可为XX的等级化安全体系改造和加固提供参考和实施依据。本文将主要阐述

10、和针对XX的改造和信息安全体系的规划设计。项目的主要内容是XX的总体信息安全体系安全改造，包括以下几个方面：建设XX网络安全基础设施；边界安全保护；等级安全体系设计目标根据对信息系统的全面了解，并结合国家的相关政策标准，信息安全建设目标如下。总体目标 为了落实关于信息安全等级保护工作的实施意见（公通字【2004】66号）和关于开展信息系统安全等级保护基础调查工作的通知（公信安【2005】1431号），实施符合国家标准的安全等级保护体系建设，通过对安全等级划分，合理调配财力资源、信息科技资源、业务骨干资源等，重点确保核心信息资产的安全性，从而使重要信息系统的安全威胁最小化，达到网络信息安全投入的

11、最优化。实现如下总体安全目标：（1）依据信息系统所包括的信息资产的安全性、信息系统主要处理的业务信息类别、信息系统服务范围以及业务对信息系统的依赖性等指标，来划分信息系统的安全等级。（2）通过信息安全需求分析，判断信息系统的安全保护现状与国家等级保护基本要求之间的差距，确定安全需求，然后根据信息系统的划分情况、信息系统定级情况、信息系统承载业务情况和安全需求等，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施规划，以指导后续的信息系统安全建设工程实施。（3）达到公安部关于信息系统安全保护等级保护相关要求。安全技术体系目标按照公安部和相关国家部门关于信息系统在物理、网络安全运行、信息

12、保密和管理等方面的总体要求，科学合理评估信息系统风险，协助合理确定安全保护等级，在此基础上科学规划设计一整套完整的安全体系改造加固方案。该安全体系需要全面保卫网络和基础设施、边界和外部接入、计算环境、支持性基础设施、数据和系统等方面内容，实现信息资源的机密、完整、可用、不可抵赖和可审计性，基本做到“进不来、拿不走、改不了、看不懂、跑不了、可审计、打不垮”。具体包括：保障基础设施安全，保障网络周边环境和物理特性引起的网络设备和线路的持续使用。保障网络连接安全，保障网络传输中的安全，尤其保障网络边界和外部接入中的安全。保障应用系统安全，保障应用程序层对网络信息的保密性、完整性和信源的真实的保护和鉴

13、别，防止和抵御各种安全威胁和攻击手段，在一定程度上弥补和完善现有操作系统和网络信息系统的安全风险。安全管理体系保障，根据国家有关信息安全等级保护方面的标准和规范要求，结合实际，建立一套切实可行的安全管理体系。等保安全体系总体设计本章将对进行总体设计，在总体设计时，将首先描述等保体系和安全要求分析，其次遵循等保体系标准作为设计方法，并根据等级保护安全要求进行安全体系总体设计。等级保护体系概述标准体系的组成与相互关系信息安全等级保护标准由运行过程控制标准、评测过程控制标准、构建过程控制标准、基础标准（GB17859）组成。其中，基础性标准包括：（1）GB178591999计算机信息系统安全保护等级

14、划分准则，是其他标准的基础；（2）信息系统安全等级保护实施指南，为等级保护的实施提供指导。构建过程控制标准包括：（1）技术要求标准；（2）产品要求标准。测评过程控制标准包括（1）系统测试与评估标准；（2）产品测试域评估标准。过程控制标准包括：（1）工程管理标准，为管理工程实施提供指导；（2）系统管理标准，对系统运行过程的管理提供指导；（3）监督、检查管理标准，为按等级保护要求对信息系统的构建、测评、运行过程进行监督、检查、管理提供指导。标准体系的内容标准体系的基本思想概括为：以信息安全的五个属性为基本内容，从实现信息安全的五个层面，按照信息安全五个等级的不同要求，分别对安全信息系统的构建过程、

15、测评过程和运行过程进行控制和管理，实现对不同信息类别按不同要求进行分等级安全保护的总体目标，如下图所示。图表 STYLEREF 1 s 2 SEQ 图表 * ARABIC s 1 1等级保护基本思想和分级、分层及控制过程图表 STYLEREF 1 s 2 SEQ 图表 * ARABIC s 1 2等级保护五个层面内容和系统安全运行及安全防护标准体系的主要特点（1）完备性：对信息安全的五个属性，从五个层面、按五个等级确定安全功能要求和安全保证要求：对安全系统的构建、测评、运行三个过程进行全面控制。（2）整体保护性：实现信息的保密性、完整性和可用性（包括抗抵赖性、可控性和可操作性等），以及系统安全

16、运行控制。（3）技术先进性：标准体系是在充分了解国际上当前信息安全技术及其标准发展的基础上，汲取先进的安全技术确定，并与国际接轨。（4）实用性：充分考虑到我国信息技术的发展和信息安全的现状，从制定可行的信息系统安全方案出发，适用于我国信息安全等级管理的需要。（5）前瞻性和可扩展性：标准体系所确定的技术和管理，具有一定的前瞻性，并可根据信息安全技术的发展改进和扩展。（6）具有充分的法律依据和执法保证：147号令、27号文件明确规定我国信息安全实施等级保护：执行过程控制标准适用于安全等级管理对安全系统及安全产品从设计、实现、检测、评估到监督、检查的管理需要：有相应的执法人员（如电子警察）确保等级保

17、护的贯彻执行。等级化安全体系设计方法设计原则在规划、建设、使用、维护整个项目的过程中，本方案将主要遵循统一规划、分步实施、立足现状、节省投资、科学规范、严格管理的原则进行安全体系的整体设计和实施，并充分考虑到先进性、现实性、持续性和可扩展性。具体体现为：等级标准性原则构建这样庞大的系统，必须坚持遵循相关的标准。本方案从设计到产品选型都遵循国家等级保护三级相关标准。需求、风险、代价平衡的原则对任一网络，绝对安全难以达到，也不一定是必要的。应对一个网络进行实际分析(包括任务、性能、结构、可靠性、可用性、可维护性等)，并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，

18、确定安全策略。综合性、整体性原则安全模块和设备的引入应该体现系统运行和管理的统一性。一个完整的系统的整体安全性取决于其中安全防范最薄弱的一个环节，必须提高整个系统的安全性以及系统中各个部分之间的严密的安全逻辑关联的强度，以保证组成系统的各个部分协调一致地运行。易操作性原则安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。设备的先进性与成熟性安全设备的选择，既要考虑其先进性，还要考虑其成熟性。先进意味着技术、性能方面的优越，而成熟性表示可靠与可用。无缝接入安全设备的安装、运行，应不改变网络原有的拓扑结构，对网络内的用户应是透明的，不可见的。同时，安全设备的运行应该不会

19、对网络传输造成通信“瓶颈”。可管理性与扩展性安全设备应易于管理，而且支持通过现有网络对网上的安全设备进行安全的统一管理、控制，能够在网上监控设备的运行状况，进行实时的安全审计。保护原有投资的原则在进行信息安全体系建设时，应充分考虑原有投资，要充分利用已有的建设基础，规划其整体安全体系和灾难恢复系统。总体设计参考标准与规范总体设计参考了以下标准与规范：中共中央办公厅、国务院办公厅 200217号文国家信息化领导小组关于我国电子政务建设指导意见ISO17799/BS7799：信息安全管理惯例1999 GB17859-1999 （中华人民共和国国家标准）计算机信息系统安全保护等级划分准则公安部信息安

20、全等级保护管理办法公安部信息系统安全等级保护实施指南GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南公安部信息系统安全等级保护测评准则ISO/IEC TR 13335系列标准信息系统安全保障理论模型和技术框架IATF理论模型及方法论第 PAGE 14 页 共 NUMPAGES 22 页安全保障技术体系详细设计网络安全设计网络基础设施安全基础设施安全就是网络平台子系统的安全。在方案设计中，需考虑出口区域路由器、防火墙、入侵防御等设备的冗余。降低设备单点故障的风险。同时需要对网络设备进行如访问控制列

21、表（ACL）等安全配置。网络边界安全边界安全措施是任何一个信息系统的基本安全措施，也是保障安全的第一步。边界安全措施主要包括两个方面：边界的定义、边界的隔离和访问控制。边界定义安全访问控制的前提是必须合理的建立安全域，根据不同的安全需求建立不同的安全域。安全域的建立可以从物理上和逻辑上分别划分安全域。在物理上将信息系统从地域上独立出来，划分不同物理区域。在逻辑上将信息系统或用户分组，指定不同的访问权限。安全域边界定义对目前及日后安全运行都是非常重要的因素，同时也是建立等级保护安全保障体系的基础措施。只有合理的划分了安全域，才能有效的采取系统分域技术手段保证安全。边界隔离和访问控制安全域定义完成

22、后，就是如何设计各安全域间的边界控制问题。一般对于边界的控制主要有两种，物理隔离和逻辑隔离。针对网络的信息交换需求，安全域间通过防火墙实现边界隔离。这是用在信任网络和不信任网络之间的一种访问控制技术。利用防火墙的目的主要有两个：一是控制用户与外部网络用户之间的相互访问，规划网络的信息流向；另一个目的是起到一定的隔离作用，一旦某外部发生安全事故，避免波到。入侵防御系统防火墙作为企业级安全保障体系的第一道防线，已经得到了非常广泛的应用，但是各式各样的攻击行为还是被不断的发现和报道，这就意味着有一类攻击行为是防火墙所不能防御的，比如说应用层的攻击行为。想要实现完全的入侵防御，首先需要对各种攻击能准确

23、发现，其次是对攻击进行实时的阻断与响应。防火墙等访问控制设备没有能做到完全的协议分析，仅能实现较为低层的入侵防御，对应用层的攻击以及其他非法行为无法进行判断，而入侵检测等旁路设备由于部署方式的局限，在发现攻击后无法及时切断可疑连接，都达不到完全防御的要求。想要实现完全的入侵防御，就需要将完全协议分析和在线防御相融合，这就是入侵防御系统（IDP）。入侵防御系统以在线方式部署，实时分析链路上的传输数据，对隐藏在其中的攻击行为进行阻断，专注的是深层防御、精确阻断，这意味着入侵防御系统是作为安全防御工具存在，解决用户面临的实际应用上的难题，进一步优化用户网络的风险控制环境。因此，在出口区域部署入侵防御

24、系统，可以有效阻止攻击行为。统一安全认证与运维审计由于设备和服务器众多，系统管理员压力太大等因素，越权访问、误操作、滥用、恶意破坏等情况不可避免，这些会严重影响整个系统的运行效能，并对客户声誉造成重大影响。另外黑客的恶意访问也有可能获取系统权限，闯入部门或企业内部网络，造成不可估量的损失。因此需提高系统运维管理水平，跟踪服务器上用户的操作行为，防止黑客的入侵和破坏，提供控制和审计依据，降低运维成本，满足等保三级标准要求。因此，需在部署统一安全认证与运维审计系统，扮演看门者的职责，对所有网络设备和服务器的访问请求都要从这扇大门经过。系统提供集中统一的安全管理平台，使得系统和安全管理人员可以对支撑

25、系统的用户和各种资源进行集中管理、集中权限分配、集中审计，从技术上保证支撑系统安全运行。产品选型与部署建议中，采用主流成熟性的技术和产品，通过使用路由器、入侵防御、统一安全认证与运维审计、防火墙边界访问控制及安全管理平台等安全措施，并运用切实的安全控制策略和安全服务手段，为网络的安全运行、系统可靠性运行和数据信息安全保密性提供一套安全保障防御体系。同时，由于出口采用万兆链路，出口涉及的路由器、防火墙、入侵防御等产品都需为万兆规格产品。PAGE 主要设技术指标要求建议此处针对一些重要的产品给出建议性的技术指标要求。路由器产品总体描述和性能要求总体描述路由器作为与外部网络互连的出口节点设备，承担与

26、外部网络互访数据流的汇聚集中转发相关要求指标项参数要求性能指标交换容量160Gbps 包转发率120Mpps 整机业务载板插槽2个；业务载板子插槽4个整机支持96个千兆以太路由接口 要求支持路由与转发硬件分离，设备内置NAT、IPSec、L2TP、GRE等业务分布式功能特性支持MPLS，MPLS VPN、IPSEC VPN、GRE VPN支持基于IPFIX国际标准网络流量报文统计功能，可以针对不同的流信息进行独立的数据统计支持静态路由、等价路由、策略路由；支持RIPv1/v2、BGPv4、BGP4+等路由协议设备内置状态防火墙、URL过滤、高性能ACL等多种安全特性。 支持高性能的NAT功能，

27、在启用策略路由、NAT，并且启用超过1000条ACL的情况下，业务端口仍然能够达到线速转发性能，吞吐率100%，NAT新建连接数不少于20万/秒，最大并发连接数不低于200万支持双引擎热备功能，主备引擎切换时，不影响单业务卡内的数据转发，单卡内数据转发不丢包，跨业务卡数据转发切换丢包时间5ms支持在启用QoS、ACL、OSPF、BFD等功能应用场景下，可实现800路分支机构的汇聚能力，满足双向数据转发不丢包，且路由器的CPU利用率低于10%支持高精度的层次化QoS队列调度策略，实际误差应不超过0.1%防火墙产品总体描述和性能要求总体描述防火墙是边界保护的基本手段，是保障网络安全的必须采用的方法

28、之一。根据对网络的安全保护要求，在出口区域需使用防火墙实现边界保护。相关要求主要从性能、设备安全性、可靠性、可管理性、安全防护能力、日志审计能力等方面考虑。防火墙产品选型具体建议如下所示：类别功能和性能指标要求基本参数硬件架构硬件要求采用专用架构平台，采用多核的处理芯片物理端口数至少8个万兆SFP+接口，16个千兆电口，16个千兆光口每秒新建连接数250000最大并发连接12000000吞吐量80GAV吞吐量11GIPS吞吐量13G安全特性安全功能支持状态检测包过滤、应用层检测，能够有效的进行边界隔离，支持对常见的应用层协议进行监控支持透明模式和路由模式进行部署，支持虚拟防火墙功能支持反垃圾邮

29、件功能，支持用户信誉库功能在传统三层防火墙功能基础上具备IPS、Web过滤防护、杀毒、VPN，行为控制、数据防泄漏、广域网加速等功能模块。 其中要求应用识别库超过3000个，要求IPS特征库超过7000个，病毒特征库超过200万个支持Web Cache以及对常见协议CIFS/FTP/MAPI/HTTP/HTTPS/TCP等加速的WAN链路加速功能支持URL过滤，对用户web行为进行过滤，保护用户免受攻击；要求能够自定义URL， 脚本过滤能够阻断Java Applet, Cookies, Active X。支持单臂模式的URL检测。WEB分类库类别78个产品资质产品资质计算机信息系统安全专用产品

30、销售许可证国家信息安全认证产品型号证书支持下一代互联网IPV6技术，具有IPV6 Ready Logo Certified Phase-2证书网络入侵防御系统总体描述和性能要求总体描述防火墙的边界保护是安全域边界的基本保护措施，通过防火墙的控制列表可以把非法的用户和访问行为杜绝与安全域外，但防火墙无法实现对合法用户或者合法的访问行为中所包含的入侵攻击行为进行控制，通过部署入侵防御系统，可以弥补防火墙的不足之处。因此，必须采用入侵防御系统实现与防火墙的互补，构建主动的防护体系。相关要求产品指标项技术参数要求硬件特性标准的2U机箱规格； 全模块化产品；支持扩展插槽3个；支持扩展千兆光口数24个；支

31、持扩展千兆电口数24个；整机支持最大千兆接口数24个；支持冗余电源，保留测试权利；USB 2.0接口2个；性能参数最大吞吐量12Gbps；最大并发连接数700万；每秒新建连接数130000；部署方式支持串接、旁路、混合模式部署工作模式支持IPS模式，IPS监视模式，IDS监视模式，混合模式，Forward模式检测识别支持基于协议异常、会话状态和七层应用行为等的攻击识别功能；支持对VLAN、MPLS、ARP、TCP、UDP、RPC、WCCP、GRE、IPV6、QinQ等多种协议的分析功能；支持自定义检测方向，进行针对性检测功能；攻击防护支持对病毒、蠕虫、木马、间谍软件、广告软件、可疑代码、端口扫

32、描、非法连接、SQL注入、XSS跨站脚本等多种攻击的防护；可防范三至七层DoS/DDoS攻击；可防范IP Spoofing攻击IPv4和IPv6安全及流控要求支持IPv4和IPv6的双栈，支持IPv6下的各种隧道，支持基于 IPV6 的探测碎片攻击和协议确认技术，设备管理、安全策略、报表和告警均支持IPv4和IPv6具备基于IPV6的安全防御功能，可防御包括DDos、缓冲区溢出（Buffer Overflow）、Web Attacks等多种IPv6环境下的网络攻击具备基于 IPv6的应用带宽和流量控制功能,可以在IPv6的环境下对相关网络应用带宽和流量进行管控IM等软件管理支持对IM软件包括登

33、录、发信息、传文件、语音、视频各种动作分别控制支持对网络视频、P2P下载、炒股软件、网络游戏等进行限制非法代理软件管理支持对VNN、SoftEther、Hamachi、TinyVPN、PacketiX、HTTP-Tunnel、Tor等流行的虚拟隧道的以及自由门、无界、花园等非法代理类软件的管控攻击特征库升级方式内置攻击特征库3000种，全面兼容CVE标准；可自定义入侵攻击和应用软件的特征攻击特征库可支持手动和在线更新；Web访问过滤功能支持基于URL、内容等制定黑白名单来对Web访问进行过滤；带宽限流功能支持针对VLAN、IP地址、应用等进行网络传输带宽和网络传输总量限流；设备可靠性支持双机热

34、备功能；支持软件Bypass功能； 支持硬件Bypass功能；一个接口故障，设备会将对应另一接口关闭；主备线路时，通过相连的HA接口传输各Session状态设备自身安全性设备自身采用加密通讯形式设备自身具有抗端口扫描功能设备自身具有限制访问IP、禁止ping等防护功能管理界面支持中文图形管理界面，支持集中管理和分级管理；数据镜像功能自身提供镜像物理接口，可将流经设备数据镜像到其他设备上进行分析 设备报表内置多样化的报表模版，支持自定义生成报表；支持自动定时生成报表，可利用邮件或FTP等形式定时外传报表，支持HTML、PDF、CSV等文件格式；告警方式支持控制台报警、邮件报警等产品资质中华人民共

35、和国公安部监制计算机信息系统安全专用产品销售许可证中华人民共和国公安部监制公安部信息安全产品检测中心测试报告要求报告内容中检验的产品类型为web过滤防护中华人民共和国国家版权局的计算机软件著作权登记证全球下一代互联网测试中心天地互连信息技术有限公司的ipv6 ready认证证书国家保密局涉密信息系统安全保密测评中心的涉密信息系统产品检测证书工业和信息化部电信传输研究所测试报告。统一安全认证和运维审计系统总体描述和性能要求总体描述统一安全认证与运维审计系统主要用于提高系统运维管理水平，跟踪服务器上用户的操作行为，防止黑客的入侵和破坏，提供控制和审计依据，降低运维成本，满足等保三级标准要求。相关要

36、求统一安全认证与运维审计系统系统的性能要求和指标需要能够满足以下几个方面：指标项技术参数要求硬件特征产品规格：2U机架式；千兆电口6个；独立管理接口1个；2个USB接口；1+1冗余电源；2T企业级硬盘；内存8G；模块化扩展插槽4个；支持万兆光接口扩展8个；支持千兆电口数最大扩展不少于38个； 支持千兆光口数最大扩展不少于32个性能参数自带设备管理数200个，最大可扩展至500个图形并发200，字符并发500系统架构要求业务数据采取轻型目录存储，支持多节点数据实时同步支持双网卡冗余（双网卡虚拟单Ip）支持active-stanby方式的HA部署支持集群部署。基础功能提供统一安全认证和运维审计系统

37、自身状态的监控功能，包括：cpu工作情况，内存使用情况，磁盘使用情况，网卡使用情况，统一安全认证和运维审计系统自身数据库工作情况，统一安全认证和运维审计系统自身WEB服务工作情况，统一安全认证和运维审计系统自身其他关键组件工作情况等。支持管理配置的批量功能，包括：批量自然人管理，批量资源管理，批量资源从帐号管理，批量授权管理，批量应用发布管理等，提供产品功能截图支持消息管理，可通过系统统一给各管理员和运维人员发布消息。支持工作计划管理，可自维护方式制定运维工作计划，并到期提醒，提供产品功能截图主账号管理支持主帐号的分组管理，分组可以树形方式展现，不限制分组层级数量支持主帐号的证书认证，可以灵活

38、配置主帐号的认证方式。统一安全认证和运维审计系统上定义主帐号时可以为主帐号生成证书，方便证书认证模式的部署和实施。也可以和其他认证方式结合，做组合认证，提高访问的安全性。主帐号支持从AD域内抽取，可方便主帐号的建立。资源管理支持资源的分组管理，分组可以树形方式展现，不限制分组层级数量，提供产品功能截图资源类型支持Windows主机、域控主机、域内主机、Unix主机、各种网络设备、安全设备、网元、数据库、WEB中间件等，提供产品功能截图资源管理协议支持SSH、TELNET、FTP、SFTP、VNC、XWINDOW、WINDOWS文件共享等协议。其中，SSH协议代理支持SecureCRT软件的Session Clone及Send To All等复杂的功能支持针对windows类型设备，统一安全认证和运维审计系统选择启用或者关闭某台设备的磁盘映射功能对于数据库、web、专用C/S客户端程序支持以应用发布的方式进行授权和审计。从帐号管理能够对各种资源上的帐号进行推