IDC信息安全管控系统方案说明

精选优质文档-----倾情为你奉上精选优质文档-----倾情为你奉上专心---专注---专业专心---专注---专业精选优质文档-----倾情为你奉上专心---专注---专业

IDC管控系统介绍

IDC管控系统

方案说明

北京亚鸿世纪科技发展有限公司

目录

1.总体描述............................................................................................................4

IDC管控系统总体目标.................................................................................41.1

系统总体原则..............................................................................................41.2

1.2.1系统遵循法律法规....................................................................................4

1.2.2建设原则..................................................................................................5

2.系统介绍............................................................................................................6

技术原理......................................................................................................62.1

2.1.1综述.........................................................................................................6

2.1.2串接专用探针...........................................................................................7

2.1.3网络安全审计服务器................................................................................8

2.1.4IDC端安全审计管理系统服务器................................................................8

2.1.5IDC端不良信息分析模块..........................................................................9

2.1.6接入资源管理模块....................................................................................9

2.2软件系统逻辑结构图..................................................................................10

2.3系统功能....................................................................................................11

2.3.1安全审计（访问日志管理）....................................................................11

2.3.2资源管理（基础数据管理）....................................................................12

2/22

2.3.3违法网站管理.........................................................................................16

2.3.4信息安全管理.........................................................................................17

2.3.5统计分析................................................................................................19

2.3.6系统管理................................................................................................19

2.4系统高稳定性、高可靠性的实现方式.........................................................22

3/22

1.总体描述

1.1IDC管控系统总体目标

信息安全管理系统主要用于是实现互联网数据中心基础数据管理、上网日志管

理、信息安全管理、违法网站管理等功能的信息安全管理系统，以满足监管机构的监

管需求和IDC经营单位自身的信息安全管理需求。每个业务经营单位建设一个统一的

ISMS，并与运营商监管机构建设的安全监管系统（SMCS）进行通信，实现监管机

构的监管需求。

1.2系统总体原则

1.2.1系统遵循法律法规

（1）《中华人民共和国计算机信息系统安全保护条例》；

（2）《公安部关于对与国际联网的计算机信息系统进行备案工作的通知》，公

通字〔1996〕8号；

（3）《中华人民共和国国家标准计算机信息系统安全保护等级划分准则》（GB

17859-1999）；

（4）《关于信息安全等级保护工作的实施意见》，公通字[2004]66号；

（5）《互联网安全保护技术措施规定》，2005年中华人民共和国公安部第82号

令发布，2006年3月1日施行）；

（6）《信息安全技术信息系统安全等级保护定级指南（报批稿）》；

（7）《信息安全技术信息系统安全等级保护基本要求（报批稿）》；

4/22

（8）《信息安全技术信息系统安全等级保护实施指南（报批稿）》；

（9）《信息安全等级保护管理办法》，公通字[2007]43号。

（10）工信部标准《IDC/ISP信息安全管理系统技术要求（送审稿）》

（11）工信部标准《IDC/ISP信息安全管理系统接口规范（送审稿）》

1.2.2建设原则

（1）规范性：严格遵循电信级技术规范和业务规范的要求，由集团进行整体规

划与统一建设安排。

（2）开放性：系统遵循开放性架构，采用开放的接口协议与开发平台，为用户

提供统一的、开放的功能调用；业务维护和发展不依赖于设备厂商，能够保证业务的

持续升级和发展；

（3）安全性：系统按照电信级的应用进行设计，系统软硬件架构充分考虑整个

系统运行的安全策略和机制；能够采用多种安全技术手段，为用户的业务开展提供完

善的安全技术保障；

（4）成熟性：采用成熟稳定并具有电信级运营实例的硬件平台和第三方软件。

5/22

2.系统介绍

2.1技术原理

2.1.1综述

系统采用软硬件相结合的方式，可以实现对互联网不良信息的实时监控。

本系统由分流设备、网络安全审计服务器、IDC端安全审计管理系统服务器组

成。系统通过前端分流设备对网络数据的实时监测，把需审计的数据报文送至网络安

全审计服务器，不良信息分析软件实现对网络安全审计服务器中不良信息进行分析，

管理中心软件实现对网络安全审计专用设备的统一管理。

部署图：

6/22

INTERNET

2*GE链路

光保护Bypass设备（串接）*2

Router

Rtouer

数据探针

信息安全管理系统

FW

服务器

SMMS系统

FW

交换机

IDCServer群

GE链路

通信接口

本期新增设备

以太网链路

2.1.2串接专用探针

每一条GE链路上，分流设备串接（或者并接）在IDC机房的出口路由器至骨干网

间的GE链路之间，监控全部的出口链路流量。

分流设备采用高集成度的新一代多核处理器技术。在串接模式下能够控制上下行

上下游设备流量传输，在断电、重启、故障或接口告警时自动切换到直通状态，不影

响串接链路上流量传输。

分流设备通过端口与审计系统（网络安全审计服务器+IDC端安全审计管理系统服

务器）相连接，通过分析筛选把审计系统需要审计和分析的网络数据传送给审计系

7/22

统。审计系统从传入的数据包中获取IDC机房内的域名、IP等网络基础资源信息，对

IDC的网络访问行为进行监控和过滤、根据预先设定的审计策略主动发现和过滤在这

些行为中所包含的有害信息、及时发现监管范围内网站发布含有的反动、邪教、色情

等不良信息网页内容。

2.1.3网络安全审计服务器

网络安全审计服务器与IDC端安全审计管理系统服务器对接，从IDC端安全审计

管理系统服务器上获取更新后的基础信息和IDC端安全审计管理系统服务器下发的审

计策略等数据。

网络安全审计服务器把从网络数据中获取的域名、IP等信息上传到IDC端安全审

计管理系统服务器。

网络安全审计服务器实现对网络数据包的解析，同时匹配审计策略产生报警记

录，然后把数据上传到IDC端安全审计管理系统服务器。每一台分流设备配置一台对应的网络安全审计专用设备。

2.1.4IDC端安全审计管理系统服务器

IDC端安全审计管理系统服务器收集网络安全审计服务器上传的域名、IP等动态

获取的互联网基础资源信息。

IDC端安全审计管理系统服务器提供统一的管理界面给用户，实现对机房、服务

器、客户资料等基础资源数据的统一维护。

IDC端安全审计管理系统服务器与通信管理局系统对接，接收管控策略，并上报

数据。

IDC端安全审计管理系统服务器提供机房业务管理功能页面，支持机房业务处

理。

IDC端安全审计管理系统服务器提供报警日志、审计日志统一查询页面。

8/22

通过IDC端安全审计管理系统服务器的分级管理机制，实现未来系统的持续扩容

性。新增IDC链路时，只需要部署相应的网络安全审计专用设备和串接专用探针，通

过网络安全审计服务器与IDC端安全审计管理系统服务器对接，从而实现与原有系统

的互通和一致性，必要时增加IDC端安全审计管理系统服务器即可。

2.1.5IDC端不良信息分析模块

IDC端不良信息分析模块安装在IDC端安全审计管理系统服务器上。

IDC端不良信息分析模块主要负责对HTTP网页访问内容关键字进行报警匹配。

网络安全审计服务器将网络数据中获取的URL和HTTP内容关键字传递给IDC端不良

信息分析模块，IDC端不良信息分析模块将匹配结果返回给网络安全审计服务器，最

后通过报警管理页面展示报警结果。

2.1.6接入资源管理模块

接入资源管理模块安装在IDC端安全审计管理系统服务器上。

接入资源管理模块实现对IDC机房内所有物理资源和逻辑资源信息的定义和维

护。

9/22

软件系统逻辑结构图

2.2

不良信息分析模块

备案信息系统

域名/IP封堵指令

网络安全审计服务器IDC端安全审计管理系统服务器

机

增集统域内

房

值数中计名容

未注未注

封

资

业据管分备审未注审计行为

册域册服

堵

源

务统理析案计册IP策略审计

名报务报

模

管

处计控模接日报警应用日志

警模警模

块

理

理模制块口志模块模块模块

块块

模

模

块模模模模

分

块

块

块块块块

流

设

备

数据包解析模块

网

络

系语

网络

数

审计统义报警

业务系统

数据

数据包解析模块

据

报警信息入库模块

策略管识信息

处理配置

抓包

处

管理理别管理

模块模块

模块

理

模块模模模块

模

块块

数据处理模块

块

数据库

图1：逻辑架构图

从上图可以看出，本解决方案包括分流设备，网络安全审计服务器、IDC端安全

审计管理系统服务器。

网络数据的获取、过滤与解析：分流设备获取网络数据包后经过数据包过滤，过

滤干扰的数据包和不需审计的相关协议数据包，将审计系统所需数据镜像到指定的网

络安全审计服务器。网络安全审计服务器的网络数据抓包模块接收网络数据包后传递

给数据包解析模块进行网络数据解析。

审计策略下发管理：IDC端安全审计管理系统服务器审计策略管理模块将审计策

略下发到网络安全审计服务器，网络安全审计服务器在网络数据包解析时，将及时匹

配审计策略并产生不良信息的报警记录。

10/22

域名、IP的封堵处理：IDC端安全审计管理系统服务器提供对不良信息的域名、

IP提供下发封堵指令的功能，用户向分流设备下发指定域名、IP封堵指令，使分流设

备在及时发现这些域名、IP的同时及时能对其进行封堵。

2.3系统功能

2.3.1安全审计（访问日志管理）

ISMS应对IDC的双向流量数据进行监测，并进行日志记录，形成访问日志。访问

日志记录包括源/目的IP，源/目的端口、源/目的MAC、源/目的账号、主叫电话号码、

访问域名、URL以及采集时间，对属于公共信息的数据还应留存相关内容。访问日志

应可根据时间、IP、域名、关键词进行查询。

行为审计

网页访问

对外部访问IDC机房内网页的行为进行安全审计并产生访问日志数据，用户可以

对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以根据工作需要自定

义日志数据的留存时间。

邮件访问

对外部访问IDC机房内的邮件服务器进行邮件发送和接收行为进行安全审计并产

生访问日志数据。用户可以根据工作需要自定义日志数据的留存时间。

文件传输

对外部访问IDC机房内的FTP服务器，上传文件的行为进行安全审计并产生访问

日志数据，用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可

以根据工作需要自定义日志数据的留存时间。

远程登录

11/22

对外部访问IDC机房内的服务器，进行远程登录的行为进行安全审计并产生访问

日志数据，用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可

以根据工作需要自定义日志数据的留存时间。

内容审计

网站网页内容审计

网络安全审计服务器通过设置监控关键字，将串接专用探针所采集到的网站网页

内容中与该关键字匹配的网页提交给网络安全审计服务器进行报警以便人工进行研判

以审计该页面内容是否违规。

网页发贴

对外部访问IDC机房内的WEB服务器进行网页发帖行为进行安全审计并产生访问

日志数据，并能审计到发贴的内容。用户可以对日志数据进行查询，本系统支持灵活

多样的查询条件。用户可以根据工作需要自定义日志数据的留存时间。

BBS访问

对外部访问IDC机房内的BBS站点进行BBS访问的网络行为进行安全审计并产生

访问日志数据，并能审计到BBS贴的内容。用户可以对日志数据进行查询，本系统支

持灵活多样的查询条件。用户可以根据工作需要自定义日志数据的留存时间。

2.3.2资源管理（基础数据管理）

实现对IDC机房内所有资源类信息的定义和维护，并提供灵活多样的查询条件。

机房（基础数据）管理

提供新增、修改、删除及维护机房、机柜、机位资料，并提供图形化的操作页

面，支持在机位上查询服务器信息，并能关联看到服务器详情和服务器下的IP地址信

息。实现对机房中机柜的租用或者是托管资料的维护，能对托管的机柜实现与客户的

12/22

关联管理，避免该机柜再划分给其他客户，同时支持该机柜下的服务器自动归于机柜

对应的客户。具体信息包括：

机房信息：机房编号，机房地址，机房分类分级，机房建设类型，机架总

数；

互联网出入口信息：互联网出入口编号、IP、带宽；

路由器信息：路由器编号，路由器端口信息（含端口IP、数据流方向等）；

IP段信息：IP地址段编号，起始IP地址，终止IP地址，IP地址使用方式；

服务器信息：服务器编号，位置，服务器分类分级、域名列表、IP，服务内

容，协议类型，服务端口列表。

在机房规划和提供托管服务时，应按照其中托管的网站及信息系统的重要程度及

机房所在区域进行分类分级分区域管理。

客户（基础数据）管理

提供对电信业务涉及的客户资料管理；

提供新增客户资料、查询系统中已经定义及维护的客户资料；

显示出当前客户下的域名、服务等情况，实现了对查询客户资料的变动情况。具

体数据包括：

用户单位信息：用户编码，单位名称、属性、证件类型和证件号码，投资者

或上级主管部门，通信地址；

网站信息：网站名称，备案登记类型及备案号，建站方式，网站分类分级，

首页地址，域名，接入服务提供单位；

资源使用信息：所占用机房编号，资源分配时间，IP地址转换关系，所使用

的服务器编号，交换机端口及网络带宽；

13/22

安全员信息：姓名、证件类型及证件号码、联系电话、Email地址。

IDC端安全审计管理系统服务器实现资源的集中管理，包括添加、删除和修改、

上报资源信息数据

合作伙伴管理

对合作伙伴资料进行管理，实现对合作伙伴资料的新增、修改、删除。

IP分配管理

根据客户申请资料，实现对机房中IP进行IP段划分和单个IP地址的申请分配，并

能实现IP地址的自动回收处理；

能方便地查阅到已用IP和未用IP地址，或者是已用IP地址段和未用IP地址段的情

况；

在IP地址划分时提供智能提示功能，告诉用户哪些IP（IP地址段）已经分配（或

者预分配）给客户，从而不能再进行分配。

域名管理

根据客户申请域名资料，实现对域名的新增、修改、删除的管理；

支持按照客户、IP或者域名来查询某个或者某些域名，并能实现对域名的封堵和

取消封堵；系统自动对未注册的域名进行实时报警。

设备管理

根据客户的业务申请情况，实现对托管或者租用的服务器等设备进行集中管理，

提供了对服务器下IP地址的管理；

自动呈现服务器下的域名和服务的清单；

14/22

实现了对服务器的搬入、搬出、更换的业务，并支持查询相应操作的历史记录详

情。

服务管理

根据客户申请服务资料，实现对服务的新增、修改、删除的管理；

支持按照客户资料、IP或者端口来查询某个或者某些服务信息；

自动对未注册的服务进行实时报警。

设备类型管理

支持对进入系统的服务器进行类型定义，如：数据库服务器、WEB服务器等，方

便对服务器进行分类管理。

在服务器规划和提供托管服务时，应按照其上托管的网站及信息系统的重要程度

及其所属机房所在区域进行分类分级分区域管理。

设备业务类型管理

支持对进入系统的服务器从业务应用的角度进行定义，如：托管、租用、其它

等。

0域名分类分级分区域管理

支持用户自己实现对录入系统中的域名进行分类的定义管理。网站及信息系统的

分类分级分区域管理。

应按照网站或信息系统的重要程度及其所属区域进行分类分级分区域管理。

对网站及信息系统至少应分为“重要”和“其他”两级，其中涉及国计民生的网

站或信息系统（包括税务、海关、电力、银行、证券、保险、铁路、民航、教育（各

15/22

级招生报考网站）、其它政府网站及业务系统、对公众提供域名注册和域名解析的系

统等）属于“重要”级，除此之外的网站及信息系统属于“其他”级。

1客户资料导入导出

提供单独的客户资料导入导出功能，导入功能用于系统初始化或者是已经存放在

外部EXCEL文件中的大量客户资料进行批量导入处理，减少手工录入的工作量。同时

作为单独的功能方便进行权限的管理。

2设备资料导入导出

提供单独的设备资料导入导出功能，导入功能用于系统初始化或者是已经存放在

外部EXCEL文件中的大量设备资料进行批量导入处理，减少手工录入的工作量。同时

作为单独观念能方便的进行权限管理。

3基础数据监测

系统对机房内的IP使用方式及对应域名进行监测，同时对机房内的应用服务以及

服务访问量进行监测统计。监测信息应定时上报并接受SMCS的查询。

监测数据包括：

IP地址异常监测：IP、登记使用方式、登记网站域名、异常类型（使用方式

或登记域名异常）、实际使用方式、实际网站域名、发现时间

服务访问量信息：域名，IP，服务内容，协议类型，统计起始时间，统计结

束时间，访问次数；

应用服务监测：域名、IP、服务内容、协议类型、端口、发现时间。

2.3.3违法网站管理

系统提供对违法网站的发现、处置及上报操作，支持在IDC端直接对违法网站进

行阻断，并对违法网站的域名、IP、服务内容、违法类型以及当前状态（自动封堵、

指令封堵或未封堵）进行日志记录，定时/定期/及时上报。

16/22

阻断URL管理

新增及维护待阻断URL列表信息，并支持下发到相关专用设备进行及时阻断。

阻断提示信息设置

设置各用于阻断的监控设备阻断提示信息，使监控设备在落实阻断时根据配置内

容推送出相应的提示信息。

2.3.4信息安全管理

系统对IDC网络中传输的数据进行检查，发现网络中的不良信息等，记录源/目的

IP等信息，并根据已设置的策略进行处理，上报监测日志及过滤日志等信息。相关的

监测信息数据可根据SMCS策略要求上报给SMCS。

监测功能

ISMS应根据监测指令对IDC的双向流量数据进行监测，对监测过程中发现的不良

信息等对象进行日志记录，形成监测日志。监测功能应能根据IP地址、域名、URL地

址、关键词、端口、协议类型等条件设置监测规则。监测日志记录包括源/目的IP，源

/目的端口、源/目的MAC、源/目的账号、主叫电话号码、访问域名、URL、采集时间

以及触发监测动作的监测指令标识。对于属于公共信息的数据还应留存代理类型、代

理IP、代理端口、协议类型、网络操作类型、标题、内容、附件文件。

策略配置

实现相关管理部门对上网行为内容监控的要求，实现对分网络应用协议下的账号

和内容关键字的布控要求，系统根据布控的内容实现对网络数据流的内容匹配，在符

合布控要求的情况下自动产生报警记录，通过维护终端界面提示告警，同时支持通过

邮件的形式将报警内容发送至预置号的责任人。

实时报警

对当日产生的未人工查阅过的报警记录进行集中显示，并提供滚动显示。

17/22

历史审计报警

提供对历史的所有保留的报警记录进行灵活的查询，系统提供丰富多样的查询条

件。并能追溯查询到详细的审计日志信息。

黑名单功能（封堵及管控）

系统根据SMCS下发的黑名单指令对IDC的双向流量数据进行过滤，对监测过程

中发现的不良信息等对象进行阻断操作，并进行日志记录，形成过滤日志。黑名单功

能应能根据IP地址、域名、URL地址、关键词、端口、协议类型等条件设置过滤规

则。过滤日志记录包括源/目的IP，源/目的端口、源/目的MAC、源/目的账号、主叫电

话号码、访问域名、URL、采集时间以及触发过滤动作的黑名单指令标识。

IP/IP段封堵

可以接收并实时下发通信管理局平台的IP/IP段封堵指令，接受到封堵指令的IDC

将指令即时生效，在指定机房内实现对设定的IP/IP段的实时封堵。

端口/端口段封堵

可以接收并实时下发通信管理局平台的端口/端口段封堵指令，接受到封堵指令的

IDC将指令即时生效，在指定机房内实现对设定的端口/端口段的实时封堵。

URL封堵

可以接收并实时下发通信管理局平台的url封堵指令，接受到封堵指令的IDC将指

令即时生效，在指定机房内实现对设定的url的实时封堵。

域名封堵

可以接收并实时下发通信管理局平台的域名封堵指令，接受到封堵指令的IDC将

指令即时生效，在指定机房内实现对设定的域名的实时封堵。

18/22

白名单功能

系统对匹配白名单规则的数据不进行监测、过滤。白名单功能应能根据IP地址、

域名、端口条件设置白名单规则。

2.3.5统计分析

系统对基础数据进行统计分析，按照日、周、月等周期及服务内容、分布区域、

用户类别、使用方式等条件，提供多种数据分析报告。

ISMS应对上网日志、监测日志、过滤日志记录进行分析，按照日、周、月等周

期及日志类别、管理指令、安全级别等方式提供多种数据分析报告。

网站排名

对IDC机房内的网站进行访问量的排名，以便及时掌握各网站的活跃情况。

网址类型排名

对IDC机房内的网址类型下的网站的访问进行访问量的排名，以便及时掌握到各

网址分类的活跃情况。

虚拟主机访问量排名

对IDC机房内的虚拟主机进行访问量的排名，以便及时掌握到各虚拟主机的活跃

情况。

2.3.6系统管理

权限管理

系统实现对系统管理人员、操作人员、维护人员的身份认证和权限管理，根据不

同的角色授予相应的权限，未经授权的用户不得使用本系统的功能。系统各相关功能

实体的操作和使用权限可根据各省主管单位具体要求，通过权限功能予以授权和划

19/22

分，可以做到对于同一系统中的不同功能实体授权给不同的管理者操作与管理，以及

在同一功能实体中对不同的使用者