新华三政务云网络安全合规性技术实施指南

新华三集团北京总部北京市朝阳区广顺南大街8号院利星行中心1号楼邮编:100102杭州总部杭州市滨江区长河路466号邮编:310052Copyright©2019：紫光旗下新华三集团：紫光旗下新华三集团单位：国家信息中心信息的准确性不承担任何责任。新华三集团保留在没有任何通知或提示的情况下对本资料的内容进行修改的权利。CONTENTS73政务云网络安全能力总览94H3C优势能力总结政务云安全合规项目建设流程01术语和定义66准备阶段67实施阶段70验收阶段71运行阶段004编制目的04编制原则04编制依据05适用范围05规划范围方案44通信网络安全45区域边界安全48计算环境安全58安全管理中心06网络安全等级保护2.0要06网络安全等级保护2.0要求云计算服务安全审查要求国家电子政务行业安全要求32安全技术支撑体系33安全管理体系38安全服务体系务云网络安全合规性技术实施指南第一章术语和定义云网络安全合规性技术实施指南用于承载各级政务部门开展公共服务、社会管理的业务信息系统和数据,并满足跨部门业务协同、数据共享与交换等的需要，提供IaaS、PaaS和SaaS服务的云计算服务。国家电子政务外网是国家电子政务重要基础设施，是承载各级政务部门用于经济调节、市场监管、社会管理和公共服务等非涉及国家秘密的业务应用系统的政务公用网络。包括中央级政务自治区和新疆生产建设兵团的省级政务外网互联。中央城域网用于连接在京中央政务部门，并与中央广域网高速互联。地方政务外网由省、地(市)和县级广域网和相应的城域网构成。面向公众提供网络信息服务或支撑能源、通信、金融、交通、公用事业等重要行业运行的信息系统或工业控制系统；且这些系统一旦发生网络安全事故，会影响重要行业正常运行，对国家文化、国防、环境以及人民生命财产造成严重损失。云计算服务的提供商。为各级政务部门提供计算、存储、网络及安全等各类云计算基础设施资和处理、存储数据的各级政务部门。安全管理平台是通过采用多种技术手段，收集和整合各类网络设备、安全设备、操作系统等安全事件，并运用关联分析技术、智能推理技术和风险管理技术，实现对安全事件信息的深度分实现对安全风险进行统一监控分析和预警处理。把城市之间连接起来的宽带网络称广域网，政务外网从中央到各省的网络称为中央广域网、省到各地(市)网络称为省级广域网、地(市)到各县的广域网称为地(市)级广域网。实现国联网通。把同一城市内不同单位的局域网络连接起来的网络称为城域网，实现不同单位跨部门业务的数数据的互访、共享等，称为局域网。局域网是政务部门开展电子政务业务的基础，其安全、建所属单位自行负责。逻辑隔离是一种不同网络间的安全防护措施，被隔离的两端仍然存在物理上数据通道连线。一或双向。公用网络区采用统一分配的公共IP地址，是实现各部门、各地区互联互通，为跨地区、跨部是各级政务部门通过逻辑隔离安全接入互联网的网络区域，满足各级政务部门访问互联网的需要。同时也是移动办公的公务人员通过政务外网数字证书，经网关认证后安全接入政务外网的中央和地方分别管理各自的互联网出入口。02务云网络安全合规性技术实施指南安全管理区主要承载安全管理信息系统，对管辖范围内网络中部署的安全防护设备进行日志采集、关联分析、对网络病毒和攻击进行告警、对安全事故提出预警和采取措施的建议，定数字证书为实现双方安全通信提供了电子身份认证。在利用互联网、政务外网或局域网时，使用数字证书实现身份识别和电子信息加密。数字证书中含有密钥对(公钥和私钥)所有者的识别信息，通过验证识别信息的真伪实现对证书持有者身份的认证，数字证书包含公开密、签发者信息、有效期以及一些扩展信息的数字文件。根据网络在国家安全、经济建设、社会生活中的重要程度，以及其一旦遭到破坏、丧失功能或者数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩序、公共利益以及相关公民、法人和其他组织的合法权益的危害程度等因素，网络分为五个安全保护等级，这些相关工作定义为等级保护。随着新技术的发展，等级保护系列标准正在更新以适应新技术的发展，新的等级保护在本指南中统称为等级保护2.0。云网络安全合规性技术实施指南第二章概述编制目的该实施指南由紫光旗下新华三集团(以下简称“新华三”)结合自身在政务行业多年建设经验，以网络安全法为指导，以等级保护2.0相关要求为核心，同时结合党政部门云计算服务网络安全审查、国家电子政务外网政务云安全要求等相关标准规范，为政务云网络安全合规实施提供参考。使平台网络能够满足政务云网络安全合复杂的网络安全环境。编制原则■遵从性原则本文档的编制以网络安全法为指导，以公安部等级保护2.0相关要求为核心，同时结合中央网信办党政部门云电子政务外网政务云安全要求等相关标准规范要求。■适度安全原则指导的同时，也充分考虑了系统的可用性和维护的工作效率。■技术与管理并重的原则信息安全不是单纯的技术问题，须与管理有机融合才能获得最佳保护效果，本文档在给出技术配置指导的同时编制依据[2]信息安全技术网络安全等级保护基本要求(报批稿2018)[3]信息安全技术网络安全等级保护评测要求(报批稿2018)[4]信息安全技术网络安全等级保护定级指南试行稿(报批稿)外网安全等级保护实施指南外网安全接入平台技术规范[7]国家电子政务外网IPSecVPN安全接入技术要求与实施指南务外网跨区域的安全数据交换技术要求与实施指南算服务安全能力要求0304务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南标准、电子政务安全系列标准，还有目前制定中的关键信息基础设施保护、个人信息保护、大数据安全等标准。本文以网络安全法为指导，以公安部等级保护2.0相关要求为核心，整合等级保护、云计算服务网络安全审查、电子政务安全三个方面的内容，从而形成一体的政务云网络安全合规体系。后续将根据关键信息基础设施保护、相关标准的进展，进一步完善。本文参考标准及其关系框架如下图所示。系列标准《云计算服务安全能力要求》《云计算服务安全指南》《政务云安全要求》《国家电子政务外网等级保护实施指南》《国家电子政务外网等级保护基本要求》《国家电子政务外网局域网安全技术规范》《国家电子政务外网安全监测体系技术规范与实施指南》《国家电子政务外网安全管理系统技术要求与接口规范》《国家电子政务外网跨网数据安全交换技术要求与实施指南》标准《信息安全技术网络安全等级保护基本要求》《信息安全技术网络安全等级保护定级指南》《信息安全技术网络安全等级保护实施指南》《信息安全技术网络安全等级保护测评过程指南》《信息安全技术网络安全等级保护安全设计技术要求》《网络安全法》■图政务云网络安全合规标准框架本文档适用于新华三政务云平台及电子政务外网网络安全合规性建设，使平台网络能够满足政务云网络安全合本文档主要面向新华三政务云平台及电子政务外网的可研方案编制、规划设计人员。附录内容面向云平台的规员方案设计时提供政策条文依据。规划范围台为主，包括其承载网——电子政务外网，以省运维中心为规划重点。第三章政务云安全防护要求网络安全等级保护2.0要求随着我国信息技术的快速发展，特别是云计算、移动互联、物联网、大数据等新技术、新应用的出现给信息安全引入了新的安全威胁与风险。为加强对采用云计算、移动互联、物联网、大数据等新技术的等级保护对象的用安全满足等级保护合规要求，形成了等级保护系列扩展标准。2018年6月27日，公安部正式发布《网络安全等级保护条例(征求意见稿)》(以下称“《等保条例》”)，标志着《网络安全法》(以下称“《网安法》”)第二十一条所确立的网络安全等级保护制度有了具体的实施依据与有力抓手。《等保条例》共八章七十三条，包括总则、支持与保障、网络的安全保护、涉密网络的安全保护、密码管理、监督管理、法律责任和附则。相较于2007年实施的《信息安全等级保护管理办法》(以下称“《管理办法》”)所确立的等级保护1.0体系，《等保条例》在国家支持、定级备案、密码管理等多个方面进行了更新与完善，适应了现阶段网络安全的新形势、新变化以及新技术、新应用发展的要求，标志着等级保护正式迈入2.0时代。等级保护定级指南是依据等级保护相关政策文件，综合考虑保护对象在国家安全、经济建设、社会生活中的重要程度，以及保护对象遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的护对象安全保护等级的方法。■等级保护对象的级别由两个定级要素决定：■等级保护对象定级的一般流程如下：■定级指南中对受侵害的客体以及侵害程度的划分进行了详细的定义，具体定级划分请参照以下表格：体侵害程度害重损害人和其它组织的合法权益、公共利益■表等保2.0体系下定级要素与安全保护等级的关系0506务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南根据《信息安全等级保护管理办法》、《信息安全技术网络安全等级保护基本要求(报批稿)》等规定，已运营的二级以上信息系统应当在安全保护等级确定后30日内，新建第二级以上信息系统应当在投入运行后30具体的备案流程：由用户先行确定定级对象及初步的等级，并根据业务及系统实际情况，自行或者委托第三方机构(如测评机构、安全服务公司等)填报《信息系统安全等级保护备案表》及其附表并递交至属地网安部门。网安部门根据申报材料及初步审查情况，对不符合等保要求的，会要求备案单位进行整改，整改合格(测评结果合格)的，颁发《信息系统安全等级保护备案证明》。测评)。但是，如果用户的网络系统发生变更或者定级变更的，应当办理变更手续或者重新办理备案。■通用要求安全物理环境主要针对环境安全防范与物理环境相关的威胁，保护系统、建筑以及相关的基础设施。从物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护等几个方面来考虑。政务云平台针对物理损害和物理访问风险都需实施较完善的物理安全控制措施，同时通过完善的管理及风险的有效控制考虑到如何避免由于自然灾害(洪水、地震等)及不可抗因素造成的业■云计算扩展要求础设施位于中国境内。■通用要求按照标准，安全通信网络需要考虑网络架构、通信传输、可信验证三个方面。其面向对象是政务行业的整体网络和平台(如政务云和电子政务外网)，要求网络架构和通信传输网的建设需要达到符合业务高峰期的要求，以及做到冗余部署；在通信过程需要采用校验技术或密码技术保证数据的完整性或整个报文的保密性；为了提高网络的安全性和可靠性，在规划网络安全建设的时候采用安全域的规划概念，一旦某个区域出现问题，可以散，将威胁降到最低程度。■云计算安全扩展要求按照标准，云计算安全扩展要求部分对安全通信网络的要求主要在网络架构方面。要求确保云计算平台不承载高于其安全保护等级的业务应用系统，即租户业务系统的定级结果不高于云平台的定级结果；同时需要实现不同云服务客户虚拟网络之间的隔离，云平台管理流量与租户业务流量分离；云平台应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或在云平台选择第三方安全服务，也就是说仅具备保护平台自身要为租户提供可以选择的安全服务能力。■通用要求按照标准要求，安全区域边界部分包括边界防护、访问控制、入侵防范、恶意代码和垃圾邮件、安全审计、可信验证。对政务行业的整体网络和平台(如政务云和电子政务外网)的要求体现在以下方面：互联网边界：公网区基于互联网向公众及企业用户提供政府外部门户及网上办公功能，系统边界直接面向社系统可能面临的安全风险较大。政务外网边界：政务外网面向全市政府机构及行局单位提供应用服务，存在不同应用职能、承载不同信息客，需要对公务人员登陆应用进行身份认证和权限控制。政务外网公共区和互联网公网区之间边界：外网公共区服务器与公网区服务器服务的对象、部署的应用和数据的安全要求都不同，且存在数据交换的应用需求，因此公网区与外网公共区存在安全边界防护需求。必须针健、可靠、安全的保护措施。最后应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。应支持租户收集和查看与本租户资源相关的审计信息；应保证云服务商对云服务客户通信网络的访问操作可被租户审计。安全通信网络设置审计机制，并对确认的违规行为进行报警。■云计算安全扩展要求按照标准要求，云计算安全扩展要求对安全区域边界部分的控制点主要在：访问控制、入侵防范、安全审计三在政务云环境下应在虚拟化网络边界和不同等级的网络区域边界部署访问控制机制，并设置访问控制规则；应能检测到云服务客户发起的和对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等。时进行客户相关操作进行安全审计等。■通用要求网络设备、操作系统、数据库管理系统的等设备和计算本身的安全性是至关重要的。安全计算环境需要考虑身护等十一方面。随着政务行业“智慧政务”的发展，对政务行业安全计算环境要求部分提出了新的要求。首先是用户登录应用，对于不同权限的用户访问应用应做到最小授权原则，对于访问控制的粒度需要达到进程级，未达到防范入侵的要求需要做到：最小化组件安装：关闭不必要的端口：限定管理终端位置：发现漏洞、修补漏洞：重要节点的攻击监控和报警：再者，安全审计需要覆盖到每一个用户，审计维度包括日期、时间、用户、事件类型、事件计数据的完整性，最后，政务数据的存储和传输都需要采用密码技术进行保护。0708务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南对于重要的系统管理数据和敏感的业务数据应采用加密或其他有效措施实现传输保密性和存储保密性，等保三级系统要求具备重要数据本地和异地备份，应提供异地实时备份功能，利用通信网络将重要数据实时备份至备系统的热冗余，保证系统的高可用性。■云计算扩展要求按照标准要求，云计算安全扩展要求对安全计算环境部分的控制点主要在：身份鉴别、访问控制、镜像和快照数据备份恢复、剩余信息保护六个方面。在政务云环境中应满足：当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问。云服务商的云存储服务应保证云服务客户数据存在若干个可用的副本，各副本之间的内容应保持一致；应为云服务客户将业务系统及数据迁移到其他云计算平台和本地系统提供技术手段，并协助完成迁移过程。应能检测虚拟机之间的资源隔离失效，并进行告警；应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告警；应能够检测恶意代情况，并进行告警。，应能够继续提供一部分功能，保证能够实施必要的措施。利用通信网络将重要数据实时备份至备份场地，重要证系统的高可用性。■通用要求安全管理中心是整个网络平台的大脑核心，具有对全网安全态势及运维态势分析展示的功能，在安全管理中心计管理、安全管理、集中管控四个方面。在政务网安全管理中心的建设中应对系统管理员、审计管理员、安全管理员的身份鉴别进行重点建设，同时对三个管理权限人员的行为和记录结果进行分析。对全网的网络链路、安全设备、网络设备和服务器进行统一监分析的日志等结果进行统一分析展示。■云计算安全扩展要求心的要求主要体现在集中管控部分。在政务云环境下，应能对物理资源和虚拟资源按照策略做统一管理调度与分配；应保证云计算平台管理流量与云服务客户业务流量分离；应根据云服务商和云服务客户的职责划分，收集各自控制部分的审计数据并实现各自的集中审计；应根据云服务商和云服务客户的职责划分，实现各自控制部分，包括虚拟化网络、虚拟机、虚的集中监测。■通用要求总体来说可以将安全管理体系分为四层，第一层是安全方针政策，是一个机构安全工作的总体目标，属于战略高度的；第二层是安全管理制度，是对安全管理活动中的各类管理内容进行规定和约束的，属于战役高度的；第三层是技术标准及规范，是对具体管理行为进行规范化操作流程的规定；第四层是具体流程、表单及记录，09是技术管理规范在实际运行的过程中产生的相关表单及记录，第三层及第四层属于战术层的。一个四层的管理制度才是一个完善、完整的安全管理制度，有目标、有方法、有记录。有好的管理制度是第一步，把管理制度，不能让管理制度成为摆设，只靠技术没有管理的安全一定是做不好的。■通用要求成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导担任或授权；制定文件明确安职责、分工和技能要求。是系统日常运行、系统漏洞和数据备份等。■通用要求■通用要求开发、外包软件开发、工程实施、测试验收、系统交付、等级评测、服务供应商选择等方面。从工程实施的前、中、计到验收评测完整的工程周期角度进行系统建设管理。■云计算扩展要求相应等级的安全保护能力；则、的相关重要信息；；务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南取有关措施对风险进行控制；■通用要求根据基本要求进行信息系统日常运行维护管理，利用管理制度以及安全管理中心进行，包括：环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、■云计算扩展要求境内，境外对境内云计算平台实施运维操作应遵循国家相关规定。按照《网络安全等级保护条例》(征求意见稿)要求：第三级以上网络的运营者应当每年开展一次网络安全等级测评，发现并整改安全风险隐患，并每年将开展网络安全等级测评的工作情况及测评结果向备案的公安机关根据整改内容，测评机构会对测评对象进行测评，对于符合测评要求的政务云或政务网，测评机构会出具测评，明示信息系统安全等级及测评结果。测评过程需要网络整改建设方配合测评机构，内容包括：网络环境的梳理、策略说明、管理制度说明，记录测提出的高危、中危、低危风险进行评判并再整改。按照《网络安全等级保护条例》(征求意见稿)要求：网络运营者应当每年对本单位落实网络安全等级保护制展一次自查，发现安全风险隐患及时整改，并向备案的公安机关报告。求要求服务商主要供应链企业(包括软、硬件提供商，系统开发商、系统集成商等)、主要人员(开发人员、运维人员、管理人员、采购人员等)符合安全可控的要求。虚拟化平台等满足信息安全技术要求，无不安全的访问接口、系统漏洞等。要求服务商服务体系中的各类角色(包括管理员、维护人员、用户等)均有完善的鉴权机制和管理机制。的配置管理受控、可靠。过程、工具、人员受控、可靠。系统要求的灾备系统，并有完善的应急响应制度与演练机制。，具有完善的日志管理、告警管理等能力。监控分的系统脆弱性评估、漏洞扫描，并开展制度性的持续监控。善的人员管理制度、培训制度。可靠，安保系统完善。要求政务云是承载各级政务部门门户网站、政务业务应用系统和数据的云计算基础设施，用于政务部门公共服务、简、优化、整合，并通过信息化手段在政务上实现各种业务流程办理和职能服务。政务云的建设有利于减少各部门分散建高资源利用率和减少行政支出等优势。，子政务活动。国家电子政务外网是按照中办发〔2002〕17号文件和〔2006〕18号文件要求建设的我国电子政务重要公共基础设施，是服务于各级党委、人大、政府、政协、法院和检察院等政务部门，满足其经济调节、市场监管、社会管理和公共服务等方面需要的政务公用网络。政务外网支持跨地区、跨部门的业务应用、信息共享和业务政务外网由广域骨干网和城域网组成，纵向分为中央、省、市、县四级。各级政务部门根据业务需要分别接入务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南政务云网络安全建设主要参照《国家电子政务外网标准政务云安全要求》，该要求适用政务云规划设计、设备选型、建设实施、运行维护和管理。为各级政务部门建设政务云提供指导和参考。规定了云服务客户及政务云。国家电子政务外网网络安全方面主要参照《国家电子政务外网安全等级保护基本要求》、《国家电子政务外网安全等级保护实施指南》、《国家电子政务外网跨网数据安全交换技术要求与实施指南》、《国家电子政务外■政务云安全总体要求a务云上，不得部署在公有云上；b保护；级等保的测评。c)政务云上承载互联网门户网站及部署在互联网上的信息系统计算和网络资源，从云计算核心交换机以下，在物理上(宿主机和交换机)与其他VPC分开部署，根据系统预设的调度策略进行资源调度和迁移。对于已建的政务云，应对互联网VPC的业务实时监测、控制和管理，尤其是对跨VPC数据共享与交换访问控制的实当将互联网业务区独立建设一套云资源。条件有限的情况下，至少保证接入网络及计算资源独立。针对互联网VPC业务及跨网数据交换平台应予以重点监控。d区，并对管理员操作进行审计。要求业务流量与管理流量分开，资源的管理和控制；也就是云管理平台进行分配，并按照不同的租户账户进行操作日志的记录。云平台对各类资源的管理流量必须和政务云的业务流量分别属于不同的网络(如，属于不同的VLAN)。e)云服务方应提供对各信息系统的核心或敏感数据加密存储的功能，应按照国家密码管理有关规定使用和管理解读：云管理平台须提供符合国密算法的身份识别与访问管理(IAM：IdentityandAccessManagement)手段。提供符合国密算法的数据及存储加密手段。f)应对云服务客户管理员账户及政务云的管理数据单独加密存储，重点保护。其密钥的使用和管理应符合国家志、资g)重要部门的信息系统在分地域部署云计算基础设施时，可将计算、网络和存储设施采用分布式部署方式部署h)明确远程管理责任，云服务方需要对计算资源进行远程管理时，云管理单位有权对所有远程维护和诊断活动解读：云管理单位须具备对云服务方远程运维管理行为的监测手段。包括对VPN行为进行监测(如，收集VPN接入设备日志)，所有运维管理操作应通过云平台管理及堡垒机操作(如，收集堡垒机操作日志，区分远程运维与本地运维账号并赋予不同权限)。i)云计算环境应具备基于行为的实时安全监控、策略控制、安全事件主动发现和预警、态势感知及安全事件及j云服务客户安全情况及资源使用率情况的报告；k监控异常情况并预警；l)政务云应具备分级管理和控制的能力，VPC内部信息系统之间的访问控制及数据使用等管理权限应开放给的能力；全监管平台实现。m)所有应用系统正式迁移或部署到政务云上前应进行测试、其应用系统源代码的定制化部分应向政务云管理n)云服务客户拥有本单位VPC内部信息系统和数据完整的使用权和管理权。■政务云技术架构要求政务云IaaS平台各云服务客户的业务应用系统根据自身信息系统的安全要求确定信息系统安全保护的等级，不同安全级别的保护。物理平台安全环境安全、设备安全、介质安全、冗余备份及隔离等基本安全防护要求应按国标《信息安全技术信息系统安全等级保护基本要求》(GB/T22239)中的相关要求执行。ISP边界安全务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南政务云与互联网服务提供商(ISP)的边界安全防护应由云服务提供商负责，并满足信息安全等级保护对三级系统的防护标准，同时采取有效措施及基于行为和实时的监控手段，保证政务云、互联网门户网站、的安全。电信运营商专线接入通过互联网实现移动智能终端安全接入政务云时，应部署安全接入平台，如使用电信运营商的VPDN专线时，云服务提供商应负责维护和管理，并满足如下a)安全接入平台的要求可参照《国家电子政务外网安全接入平台技术规范》(GW0202-2014)；b可实现政务人员通过移动网络访问政务云相关业务的指定终端的需求。解读：专线接入业务须依托电子政务外网安全接入平台，并对已有的VPN接入系统提出改造需求(如，将VRF实例对应至政务云内各个委办局租户)。若现有安全接入平台不能够满足政务云安全需求，则需要对平台进行升级改造。完成SSLVPN、IPsecVPN，专线等接入方式到云平台的访问。互联网边界防护a)应提供异常流量清洗服务，具备防范来自互联网的DDoS攻击、webshell攻击、木马病毒等各类恶意攻击。同时，外部和内部网络应提供冗余连接和带宽b)应具有基于恶意行为攻击实时监控和安全态势感知能力；对跨境数据传输等异常情况进行拦截、告警并；c)应能对云主机主动散播和被操纵主机的被动有害信d)应具有对未知威胁进行检测发现的能力，并且具有对web应用安全漏洞进行检测发现和攻击防御的e)应能对已发现的攻击行为制定并执行安全策略，发现问题及时通知信息系统的责任单位并配合采取措a)应提供异常流量清洗服务抗DDoS设备，采用串行方式部署在互联网出口的最外侧，若设备性能不足，通过公方式弥补b势感知能力d具有未知威胁检测能力c)应能对云主机行为监测安全态势感知平台，配合流量探针(异常流量监控)，数据安全探针(数据泄露监控)，安全沙箱探针(未知威胁监控)，漏洞扫描完善的监控体系e)应能对已发现的攻击行为制定并执行安全通过态势感知平台，对已发生的安全事件生分配给对应的责任人进行处理网络安全a测等要求按等级保护第三级要求中的网络与通信部分的要求执行；b)提供网络访问控制使云服务客户实现网络分段和隔离，包括网络过滤功能，禁止云服务客户的远程管理能够访问到非其VPC的IP地址；c云平台之间的远程数据传输应采取保护和隔离措施；d)除了部署传统的基于特征库的防御手段外，政务云环境应具备针对APT、零日漏洞利用、定向攻击等高级e)应具备防火墙与安全监控系统的联动与防火墙策略迁移的能力，以方便云服务客户违规行为的及时阻断、清f)除了部署传统的基于特征库的防御手段外，政务云环境还需要具备基于大数据技术的威胁检测、判断和关联；IP地址、邮件、文件、域名、受威胁资产等多个维度)。a)访问控制、攻击防范、网络审计、安全检政务云的区域边界及主干链路需要部署防火墙、IPS设备实现相应的安全区域边界防护b)提供租户网络访问控制，保证VPC之间政务云为每租户提供边界防火墙(为保证性能稳定性，建议使用专用硬件虚拟防火墙实现)c)数据远程传输保护远程访问需要通过VPN，且VPN需要满足d)APT、0-Day等未知威胁防护能力云平台需要部署未知威胁发现系统或态势感现威胁及漏洞的实时发现防护通过对《信息安全技术网络安全等级保护定级指南》(报批稿)、《信息安全技术网络安全等级保护基本要求》 (报批稿)进行分析，一方面云平台与云租户系统安全应分别单独定级、建设、测评；另一方面，云平台除了保障自身安全外，还应为租户提供安全能力。因此，政务云需通过将提供给租户的安全服务能力和云平台的深度整合，建立统一的云安全资源池，并将安全资源按需分配给租户使用。建成面向租户的安全服务化能力，不但为云服务提供商带来增值服务产品，帮助云服务提供商提供更多的价值，而且为上云租户系统提供丰富的安全服务套餐组合，为租户提供相应等级的安全保护能力，从而加快业务上云步伐。具体分析如下：平台整网设备流量分析安全态势全网感知平台整网设备流量分析安全态势全网感知务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南平台与租户单独定级，区别防护标准原文：在云计算环境中，应将云服务方侧的云计算平台单独作为定级对象定级，云租户侧的等级保护对象。云服务商需向租户提供安全防护能力标准原文：应选择安全合规的云服务商，其所提供的云平台应为其所承载的业务应用系统提供相应等级的安全允许租户云上定制安全服务标准原文：具有根据云服务客户业务需求自主设置安全策略集的能力；应提供开放接口或开放性安全服务，允产品或在云平台选择第三方安全服务。/租户管理分离租户的安全需求在于服务，需要针对租户提供满足其安全管理需求和合规性目的的安全服务，并需要提供各类型的安全服务来满足租户差异化的安全需求。通过用户权限分离机制，满足安全资源隔离机制，不同租户只能用安全、安全管理及网络安全等为租户建设的安全能力。国家电子政务外网等级保护基本要求■广域网各级政务外网广域网内主要传输电子政务的数据、视频、图像等相关业务。跨部门及跨省、跨地区的业务协同及信息共享的系统，可以直接在政务外网的广域网上传输业务信息，政务外网可通过MPLSVPN或其他安全技术手段，对不同的业务或信息系统进行隔离。政务外网中央级和省级广域网内原则上不承载传输直接访问互联网的业务，接入政务外网的政务部门访问互联网时，应由当地城域网负责。省级以下广域网是否承载访问互联网的业务，可根据自身的实际情况来确定，原则上互联网出入口应属地化。如果地(市)级政务外网的互联网出口统一集中，县级政务外网及以下接入单位区分访问互联网的业务与电子政务业务(数据、视频、图像等)，并应采用QoS保障机制，优先保证各级电。安全防护要求广域网的网络设备应支持MPLSVPN，不允许串接安全设备，安全手段以监测为主，广域网网络设备应具备流量分析设备进行分析监测。需要关注：，其带宽至少为历史峰值的1.5倍；应采用物理路由分离的两条骨干链路来提供“1+1”的网络保护方式，两条链路在技术和性能等方面应保地(市)级及以上网络设备应支持MPLSVPN的业务，并保证国家相关业务部门到省、地(市)、县业应保证国家、省、地(市)广域网的高速畅通，不允根据国家有关互联网出口属地化原则，政务外网中央网的流量。；应能够根据记录数据进行分析，并生成审计报表，相■城域网政务外网的城域网通过专线连接到本地各政务部门的局域网络，城域网内应采用VPN技术来保证不同业务之间的有效隔离，并在汇聚层设备上增加相应的边政务外网城域网为各政务部门提供统一的互联网接入服务时，应通过MPLSVPN或其他网络隔离技术，区分访问互联网业务和电子政务业务并做好相应的安全防护工作，统一接入到当地的互联网服务提供商 (ISP)同时应采用有效的QoS保障机制，优先保证电子政务业务传输带宽和质量。安全防护要求结构安全和访问控制。网络结构方面：设备冗余，具备QOS和流量管理策略访问控制方面：根据业务不同在边界防火墙上配置相应访问控制策略，保证数据和信息系统的安全；跟城域网连接的不同区域的边界都应部署防火墙实现相应的访问控制；公用网络区域互联网接入区的数据交换需要通过网闸进行强逻辑隔离。区■图广域网及城域网安全示意图要关注：的QoS和流量管理策略，保证重要信息系统和数据具有较高的优先级；、SDH设备、MSTP多业务传输平台等)，可与IP承载网同步定级，级一致。IInternet安全防护数据中心数据中心互联网跨网数据安全交换系统安全接入平台城域网委办局单位局域网外网业务DMZ区户划图委办局用户区2联网出入口务外网路由器防火墙IDS/IPS抗DDOSVPN网关备心统络区数据中心换台DNS等公共网络施据中心换机入区入器中心安管中心RA系统地(市)外网安全防护数据中心数据中心互联网跨网数据安全交换系统安全接入平台城域网委办局单位局域网外网业务DMZ区户划图委办局用户区2联网出入口务外网路由器防火墙IDS/IPS抗DDOSVPN网关备心统络区数据中心换台DNS等公共网络施据中心换机入区入器中心安管中心RA系统地(市)外网务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南安全防护要求安全防护要求局域网的安全建设主要关注点是防止终端一机多用，避免委办局终端同时可以访问互联网和电子政务外网，并应的边界隔离手段。城域网应支持MPLSVPN技术，按接入业务的需要和数据交换与共享的要求区分不同的网络区域；业务业务VPN认证鉴权系统安全管理中心建业务专网病毒扫描和审计。■局域网局域网通常是由各政务部门自行管理的网络，用以连接终端、服务器、存储设备及业务信息系统等。局域网是政务部门连接政务外网的主要载体。其所有网络设备、终端、服务器、各类应用软件及系统安全保障均由局域。，对政务外网功能区的划分可以有所不同，其功能区域划分示意如下图所示。门非专线接入移动办公上报数据外网路由器干外网路由器干■图局域网安全示意图PSTNVPDNWAF防篡改IDC/IPS根据《国家电子政务外网安全等级保护基本要求》中局域网内的终端如既能访问政务外网的业务、又能访问互联网，各政务部门可根据自身业务的重要性，采取技术措施，逐步达到控制该终端访问互联网，其现通过接入互联网侧的防火墙的访问控制策略对该终端通过对终端硬盘分区，加密保存业务数据或相关工作文档，通过安全软件，当进行工作文档编写、数据处通过插入USBKey时自动断开该终端的互联网连接，；可采用虚拟终端等的技术，保证同一台终端不能同时。公用网络区各部门、各地区互联互通的网络区域，为政务部门公共服务及开展跨部门、跨地区的业务应用、协同和数据共享提供支撑平台。此外该区域还提供政务外网的要求互联网用户不能直接访问这个区域的数据和信息事业事业网20Internet政府部门非专线接入移动办公数据上报入平台VPE/VPNFWFWFWIPSWAF络区数据中心扫描DBASLB知络区管理中心■图公用网络区安全示意图安全标准要求根据《国家电子政务外网安全等级保护基本要求》中公用网络区的主要网络设备应具备设备冗余、链路冗余等保护措施，应满足各类业务带宽、稳定性、可靠通过互联网或其他公众通信网络对公用网络区的信息IP全措施；公用网络区与互联网接入区采用MPLSVPN进行逻当公用网络区的主机/服务器需要从互联网接入区获全措施。■安全接入平台安全接入平台是政务外网安全接入的技术保障基础，提供了移动/PC终端和政务外网各类接入业务授权访问的安全技术平台，对各类接入业务进行注册、监应用等方面采取必要的安全技术和管控措施，在实现接入业务授权访问的同时，保障国家电子政务外网的安全防护要求互联网抗DDOS抗DDOSLLBFWACGInternet政府部门非专线接入移动办公数据上报入平台VPE/VPNFWFWFWIPSWAF络区数据中心扫描DBASLB知络区管理中心■图公用网络区安全示意图安全标准要求根据《国家电子政务外网安全等级保护基本要求》中公用网络区的主要网络设备应具备设备冗余、链路冗余等保护措施，应满足各类业务带宽、稳定性、可靠通过互联网或其他公众通信网络对公用网络区的信息IP全措施；公用网络区与互联网接入区采用MPLSVPN进行逻当公用网络区的主机/服务器需要从互联网接入区获全措施。■安全接入平台安全接入平台是政务外网安全接入的技术保障基础，提供了移动/PC终端和政务外网各类接入业务授权访问的安全技术平台，对各类接入业务进行注册、监应用等方面采取必要的安全技术和管控措施，在实现接入业务授权访问的同时，保障国家电子政务外网的安全防护要求互联网抗DDOS抗DDOSLLBFWACGIPS核心交换安全管理统一认证区VPN网关统一LB集群区安全网闸网闸公用网络区公用网络区务云网络安全合规性技术实施指南云网络安全合规性技术实施指南根据《GW0202-2014国家电子政务外网安全接入平台技术规范》中对安全接入平台安全的要求，重点统一入口WEB统一入口WEB门户统一客户端网关接入入口集群身份认证VPN集群身份认证传输加密权限控制用户管理统用户管理用户集中认证访问权限统一控制配置管理管理与审计配置管理平台监测安全审计病毒检测安全防护病毒检测访问控制入侵检测与防御■互联网区政务部门通过逻辑隔离安全接入互联网的网络区域，满足政务部门利用互联网开展公共服务、社会管理、政务业务需要。安全防护要求互联网出口的安全是重中之重，应保证互联网出口具有两个及以上的运营商出口，且能够做到链路负载均衡；另外出口应具备足够的防攻击手段；最后互联网级的安全能力。根据《国家电子政务外网安全等级保护基本要求》中：应选用二个及以上电信运营商或互联网业务提供商 (ISP)作为访问互联网的出口在采用主备方式或负载均衡等方式时，不同链路的安该保持一致应能有效防止以下攻击行为：病毒攻击、端口扫描、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、SOQ注入、跨站攻击和网络蠕虫攻击等应具备流量分析控制、异常告警等功能，能区分各类HTTP、FTP、TELNET、SMTP、POP3、P2P议并进行过滤应具备监测检测恶意代码并实时告警的功能，在有条件的情况下，应能与防火墙、入侵检测等安全防护设有效阻止敏感信息的泄漏通过互联网等公众通信网接入政务外网的各类移动业务，应尽量与政务部门访问互联网的出口业务分开，安全接入平台应由IPSecVPN网关、VPN服务网关、基于LDAP或RADIUS的认证服务器、VPN管理服务器等诸多安全软、硬件共同构建而成。IPSIPS/IDSWAFFWSLBDBA漏洞扫描互联网数据中心统一Portal流量采集认证服务器服务器城域网LBLB■图安全接入平台安全示意图■图互联网出口安全示意图22务云网络安全合规性技术实施指南■专用网络区是为有特定安全需求的部门或业务设置的网络区域，实现本部门内的全国性业务在政务外网上开展，保证与不同部门业务应用系统的相互隔离，非本部门用户和互联网用户不能直接访问这个区域的数据和信息安全防护要求专用网络区的边界应有防火墙做边界访问控制，且终端接入需要采用政务行业CA数字证书认证。根据《国家电子政务外网安全等级保护基本要求》中在接入边界处设置网关或防火墙等边界访问控制设非法用户业务流的进入应具有网络流量控制能力，防止由于资源挤占而影响息系统和网管信息的正常传送通过互联网或其他公众通信网络接入VPN时，应采用政务外网数字证书、加密传输、安全网关等安全技专用网络区内的信息系统的安全等级，相关的访问控相应部门自行确定。■管理区管理区是电子政务外网的逻辑区域，主要职能是对政务外网的网络运行状况及安全状况进行监测，提高运感知。安全防护要求根据网络业务及安全自身的需要，将网络管理系统、安全管理系统、电子认证服务等信息系统部署在管理区，并设置与之相适应的访问控制策略。安全等级保护确定为第三级的政务外网，应建立网络安全态势感提出安全整改建议，对于安全事件和网络攻击等应能实时告警，应能联动，防止网络攻击等事件的进一步扩大，积极有效地保护政务外网的安全。并实现全网23根据《国家电子政务外网安全等级保护基本要求》中根据网络结构、管理分界，原则上采用国家、省二级或国家、省、地(市)三级分域分级的管理方式，根设置分级权限，实现对网络的灵活管理应绘制与当前运行情况相符的网络拓扑结构图、有相应的网络配置表，包含设备IP地址等主要信息，并、妥善保管并做好备份，且不得对外公开网管网络应与电子政务业务网络逻辑隔离，确保网管全对重要主机/服务器的运行状况(如CPU利用率、内存使用情况等)进行监测；网络管理系统应对同一管理员采用两种或两种以上组术进行身份鉴别安全管理系统(或平台)可与安全防护设备、网关、审计系统等，作为一个信息系统的整体，按信息系统护的要求实施保护应按日、周、月、季、年或按管理部门的要求出具安全运行报告，并对相关病毒攻击、信息安全事件提出对网络及管辖区域内安全风险提出预警、对安全运行势进行分析等应具备异构安全管理系统的互联功能，实现相关管理数据的共享、分析，为全网的安全事件应急响应、安警提供技术支撑IPsecVPN安全接入要求根据《国家电子政务外网IPSecVPN安全接入技术要求与实施指南》要求各级政务部门可以通过互联网IPSecVPN接入政务外网，尤其是不具备专线接入政务外网条件的政务部门以及一些偏远地区，以保证各项业务的贯通，同时实现不同部门不同业务的安全另一方面，众多政务部门均有人员出差或移动办公的需求，部分政务部门需要相应群体的公众或企业机构上报相关数据，这就要求政务外网为移动办公用户提供IPSecVPN接入服务。政务外网IPSecVPN体系建设主要满足如下需求：a)纵向互通：各下级政务部门通过IPSecVPN与b)横向互通：各政务部门通过IPSecVPN与有业c)移动办公接入：各政务部门移动办公用户和上报数据的单位、公众用户通过IPSecVPN系统安全接d)安全隔离：各级政务部门及移动办公用户的互联网IPSecVPN接入体系与政务外网骨干网上的MPLSVPN体系安全对接，一一映射，以保证本部门的数据通过互联网IPSecVPN接入政务外网之后，只能按照需求进入该部门所属的MPLSVPN通道，安全接入平台要求根据《国家电子政务外网安全接入平台技术规范》要求，由于数据中心需要支持政务服务、企业服务和公共服务，因而需要数据中心网络支持IPsecVPN、SSLVPN等多种安全访问方式，支持如下多种类型政府部门用户(包括办公网用户、远程办公用户、移运维管理人员：负责云平台维护管理的人员，如系统管理员、数据库管理员、网络管理员、存储管理员、业务应用管理员等，以及安全厂商的应急运维管理人容：a)统一入口：通过WEB门户提供安全接入所需的注册、审核、软件下载等功能，为用户提供PC机、移b)VPN网关集群：提供终端到网关或网关到网关的务云网络安全合规性技术实施指南汇聚实现VPN网关集群；c)统一认证：为安全接入的身份认证和权限控制提供支撑，提供用户集中认证、用户管理、访问权限统一d安全接入平台的运行情况监测、e)安全防护：为安全接入平台提供访问控制、入侵检全防护功能。统一入口WEB门户统统一入口WEB门户统一客户端网关接入入口集群身份认证VPN网集群身份认证传输加密权限控制用户管理用户管理用户集中认证访问权限统一控制配置管理管理与审计配置管理平台监测安全审计病毒检测安全防护病毒检测访问控制入侵检测与防御■图安全接入平台要求安全监测体系要求电子政务外网及政务云对集中的全监测管理的建设需■海量的安全事件淹没了真正的安全威胁在信息系统的运行过程中，信息网络每天都会产生上几十万、甚至上百万条的各种日志和报警信息，而同时这些信息格式不同、技术特征不同，使得的技术人员根本没有足够的时间和精力去分析和处理这些日志信息，真正的安全威胁就像大海里的一根针一样难以■复杂、多变的安全管理24监交互展示脆弱性流量态势风险资产合规事件状态配置核查安全策略安全态势网络行为脆弱性......监测数据集中采集、存储、转发监交互展示脆弱性流量态势风险资产合规事件状态配置核查安全策略安全态势网络行为脆弱性......监测数据集中采集、存储、转发设备状态异常流量监测拒绝服务攻击网络链路互联网行为设备故障脆弱性监测运维审计认证与授权监测......综合日志性能与可用性流量安全风险合规性安全管理析设备/系统配置系统运行状态病毒与木马数据交换网站安全内容等级保护政务外网规范信息安全管理系统信息技术基础架构库......标准制度务云网络安全合规性技术实施指南目前电子政务外网和政务云的安全系统会涉及到很多设备，如：网络设备、安全设备以及各种应用软件系统，而它们都有各自独立的部署方式和运行机制，这样就使得在配置、监控等环节面临着众多技术难题，特别是难以从全局的风险角度(特别是很多业务应用都涉及到多个网段、多个设备，多个系统的现状)去安全策略管理不一致性，以及应用安全管理变化的不可预见性等，因而要实现统一、协调相关的各种安全资源就需要一种有效的技术平台作为安全支撑，而这正是作为电子政务外网和政务云安全需求的根源是目前电子政务外网和政务云提高整体安全水平着重需要■安全技术人员的匮乏电子政务外网和政务云负担着全市/省业务体系，大大超出了目前电子政务外网和政务云现有技术人员的支撑范围。而由各种网络设备所产生的大量警报信息和复杂的安全管理流程更是增加了技术管理员人的工作量，并对其专业的安全技能要求更高了，不仅是网络的专家，还要是系统的、应用的以及各种安全技术的专家使电子政务外网和政务云技术人员储备出现严重的不足，特别是随着电子政务外网和政务云应用的不断拓展，单纯依靠人员或专家的自身能力来解决问题已经成为制约整个电子政务外网和政务云发展的重■缺乏整体安全风险的集中监控安全是整体的，它涉及到整个电子政务外网和政务云的信息系统，虽然在电子政务外网和政务云的建设过程中，投入了大量的人力、物力和财力建设网络安全防护体系，但这些并不意味着的网络就已经变得十分安全和坚固了，特别是在二级网络和终端网络，常常受到着来自于病毒、黑客、网络蠕虫、恶意软件和那些心怀不轨的人对攻击。如何在核心网络进行集中的安全监控，如何能够实时地掌握电子政务外网和政务云中各个部门、各个网段、各个，从而减少响应时间达到将风险影响程度降到最低，最大程度的减少网络安全事故、减少由于网络安全事故造成的损失或者避免发生网络安全事故是当前中之重。■繁琐、低效的安全响应处理措施和流程当出现安全问题，比如说电子政务外网和政务云遭受蠕虫病毒感染时，往往进行病毒的检查、杀毒等安全措施，但经常发现病毒总是清除不了，重复性杀毒工作很多，员工仍然经常通过很多非法途径感染病毒且觉得无所谓，好的经验和方法不能形成大家和各级单位处理的规范等问题，这样使得技术人员的安全响应■难以理解的原始数据报告作为电子政务外网和政务云的主管单位来说，经常想了解目前整体的安全情况和下一步安全建设的依据，但往往只能面对下级技术部门所提供的一大堆数据技术资料，根本无法做出正确的分析和安排，使得的安全建设不能有效得不到上层的理解和支持等；同时其它部门对其数据的要求和目的也会有差别，因此如何提供知识化、基于特定部门和应用系统的角色化报告是整个电子政务外网和政务云目前和将来发展中一个根据《国家电子政务外网安全监测体系技术规范与实施指南》要求，国家电子政务外网安全监测体系技术业务区域网络监测包括公用网络区、互联网接入区、专用网络区监测，业务监测包含基础支撑系统、业务监测内容包括设备与系统配置监测、设备状态监测、设备故障监测、系统运行状态监测、异常流量监测、脆弱性监测、病毒与木马监测、拒绝服务攻击监测、运维审计监测、数据交换监测、网络链路监测、认证务云网络安全合规性技术实施指南性能与可用性分析、安全管理分析、安全策略分析、风险分析、脆弱性分析、安全态势分析等技术，对监测内容进行综合分析，同时实现安全态势、知识库等d)交互展示层：根据决策者、管理人员和运维人员不领导IT主管维护人员同的需求和关注重点，将系统的风险、安全态势、脆弱性、流量、合规性等统计分析结果以报表、图形等e)标准制度：安全监测体系所涉及的信息系统要符合国家安全等级保护的相关要求和标准规范以及国家电子政务外网相关标准规范，同时在运维过程中遵循信息安全管理体系、信息技术基础架构库等体系要求，提升运维与管理水平。审计人员业务部门......公用网络区互联网接入区专用网络区业公用网络区互联网接入区专用网络区业务区域网络监测基础支撑系统业务系统托管业务业务监测网络监测广域广域网城域城域网局域网动动力环境、网络设备、安全设备、操作系统、应用系统、数据库等■图安全监测体系技术要求地市级以上云计算服务提供部门，应建立网络安全监测预警和信息通报制度，对其负责的政务云应开展安全监工作。第三级及以上政务云服务提供部门，也应建立健全网络安全监测预警和信息通报制度，按照规定向同级公安机告网络安全事件。有行业主管部门的，同时向行业主管部门报送和报告。行业主管部门应当建立健全本行业、本领域的网络安全监测预警和信息通报制度，按照规定向同级网信部门、警信息，报告网络安全事件。2526务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南■监测体系的建立制度，提高监测能力，自主监测涉及本组织管理范围内的信息。2.确定监测对象、监测指标、监测频率，监测对象包括系统运行状态、网络、人员行为、物理环境和策略运行3.监测政务云基础设施运行、操作、故障维护等行为，并留存相关日志，尤其要对远程运维的行为进行严格的信息。4.定期对监测情况进行安全评估，向相关人员或角色报告政务云基础设施安全状态。■预警通报制度的建立政务云基础设施运营者应以适当的方式参与本行业、本领域的政务云基础设施网络安全监测预警和信息通报制部门发布的安全风险、预警信息和应急防范措施建议。警信息并提出适当的处置建议。据本组织信息通报制度要求，向相关人员、角色和部门通报安全预警信息和建议。及时响应安全预警信息和建议，如无法响应应说明原因。政务云基础设施运营者应根据政务云基础设施网络安全信息通报制度的要求，按照国家网络安全事件应急预案通报工作的责任部门、负责人和联络人。时汇总本组织内部不同部门、不同渠道掌握的网络安全信息。明确本组织信息报送项目。信息和预警信息，其中：a)事件信息指已经发生的网络安全事件信息，事件信息通报内容主要包括事件统计情况、造成的危害、影响程。b预警信息是指存在潜在安全威胁或隐患但尚未造成实际危害和影响的信息，或者对事件信息分析后得出的预度、应对措施及建议等。5.明确具体分级标准，将预警信息分为四级，分别对应发生或可能发生特别重大、重大、较大和一般网络安全■信息共享制度的建立政务云基础设施经营者应:安全风险、预警信息和应急防范措施建议。2.建立本组织的安全监测信息共享和分析中心，收集网络威胁迹象信息或防护措施并进行分析，必要时与行业对共享或接收网络威胁迹象信息或防护措施进行授权。4.在监控信息系统、实施防护措施、提供或接收网络威胁迹象信息和防护措施时，应实施安全控制，以保护上施免受未授权访问或获取。5.在信息共享前，使用技术手段直接删除与网络安全威胁无直接关系的、共享时已知晓是具体人员个人信息或息。限制信息使用目的，对威胁信息的披露、留存与使用仅用于网络安全保护目的。安全管理系统技术要求设应实现如下技术要求：b)提供针对安全日志的海量信息数据存储与检索能力，实现各类原始日志与各类分析数据的安全存储与快速c)具备关联分析、风险评估、趋势分析等综合分析能力，能从被攻击的角度关联资产的脆弱性和重要程度，从管理能力；d)提供全面完整、可定制的集中监测与展示工作界面与报表，可按照用户要求，提供多种形式的直观事件展现e与预警、应急处理与响应的工作平台；f)提供决策辅助与态势分析功能，实现对安全态势的掌控；通过对各类安全数据的加工、存储、深层分析为安跨网数据安全交换技术要求根据《国家电子政务外网跨网数据安全交换技术要求与实施指南》要求，跨网数据安全交换系统主要针对政务2728库服务器务器体服务器服务器VPN1(公用网络区)换对象外交库服务器务器体服务器服务器VPN1(公用网络区)换对象外交换服务器单向光闸网闸内交换服务器安全交换系统务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南查等安全措施实现两个不同网络业务区服务器之间数据同步的平台。电子政务外网区和电子政务互联网区之间数据交换隔离的需求：政务外网区服务器与政务互联网区服务器服务的对象、部署的应用和数据的安全要求都不同，且存在数据交换的应用需求，这两种跨网络区域的数据交换需要采用安全数据交换平台来实现，因此必须针对电子政务外网、电子政务互联网边界处设计强健、可靠、安全。VPN2(互联网接入区)库服务器务器体服务器服务器换对象■图跨网交换平台技术架构要求局域网安全技术要求a等级保护相关标准进行安全防护；c符合以下要求：根据不同业务安全需求，进行边界安全防护；第四章政务云安全整体设计框架■互联网业务区主要为公众和企业提供互联网门户网站服务和电子政务服务，由于门户网站群分属各不同的政务部门，其安全系统可根据不同的安全级别进行分等级防护。■公共业务区主要实现跨部门、跨地区的信息共享，数据交换及业务协同，提供政务部门内部的公共服务。禁止从互联网直接访问本区域的各信息系统和数据，与部门业务区逻辑隔离并应做好相应的访问控制，本区域部署的信息系统等级保护要求进行分级并实施保护。■部门业务区主要承载各云服务客户部署或迁移的业务系统，云服务客户可按要求部署在不同的VPC，VPC之间采用VPN技术隔离，应根据业务系统的安全等级进行防护。可按云服务客户对信息系统的安全要求分为二级信息系统等级保护区域和三级信息系统等级保护区域，若云服务客户同时拥有二级业务和三级业务，应确保不同等控制策略。■存储资源池云计算中的存储池一般是以存储块或分布式存储方式，将数据离散的存储在资源池中，并按要求可对相关敏感数据进行加密存储，并将互联网区的业务和政务业务在计算资源及网络资源物理分开，如存储资源需要共用，储资源池进行统一管理和调度。■云资源管理区为整个政务云系统提供云资源管理和物理资源抽象，以及日常运维所必须的运维系统和认证管理系统。通过资源管理区实现对各类云资源的实时监控、管理、预警和应急处置，并对虚拟机迁移、资源弹性扩展、业务使用时监控和审计。政务云将通过构建三大体系形成安全能力。即在通过构建安全技术支撑体系、安全管理体系和安全服务体系的安全防护；体系。为云平台提供预防、检测、防护和响应安全能力。局域网与其他专有网络出口边界安全防护应遵循专网的安全要求。d要安全隔离与控制措施；防护与准入控制；对移动智能终端接入进行安全防护与准入控制。局域网内对外提供服务节点应进行安全防护。2930等级保护要求合规必备的安全能力理全安全组织、安全运营、安全监管风险评估与监控安全审计管理安全安全检测资源池安全防护资源池原办公网隔离区域原DMZ区域GAPDC核心DC核心WAFBorderBorder LB资源池Spine(RR) 安全监控区 Spine(RR)镜像流量认证堡垒机vSwitchWebDBAPP物理机物理机物理机负载均衡等级保护要求合规必备的安全能力理全安全组织、安全运营、安全监管风险评估与监控安全审计管理安全安全检测资源池安全防护资源池原办公网隔离区域原DMZ区域GAPDC核心DC核心WAFBorderBorder LB资源池Spine(RR) 安全监控区 Spine(RR)镜像流量认证堡垒机vSwitchWebDBAPP物理机物理机物理机负载均衡防火墙vSwitchIPSvFWvLB生产终端接入办公vOA(NFV)EVPN/Vxlan数据库审计入侵检测系统未知威胁防护网络行为审计漏扫LeafLeafServiceLeaf物理机杀毒NFV及软件资源核心交换区核心交换区原办公网防火墙、IPS、AV、LLB管理流量 网站监控、防篡改租户漏扫(软件)器区池将政务云的安全分为平台及租户安全，按照等级保护要求平台的安全建设依据标准进行，通过硬件资源的虚拟提供稳定可靠的安全扩展能力。务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南云计算服务安全云计算服务安全能力要求安全组织与安全组织与人员开发与供应链安全配置管理与维护开发安全应用安全开发工具安全、API安全保护授权、CA、应用漏洞管理、监控PaaS全访问控制系统与通信保护租户隔离资源独立分卷存储安全目录虚拟化防病毒、系统漏洞管理分域分级租户隔离IaaS全数据安全基础设施数据安全基础设施安全访问控制抽象安全主机安全应急与灾备边界安全物理与环境保护物理安全互联网安全防护互联网安全防护同步内网安全防护HA、集群、冗余、备份安全云边界防护物理平台安全，监控系统、门禁、电源等支撑体系安全技术支撑体系从分层、纵深防御思想出发，根据层次分为网络安全、虚拟化安全、主机安全、应用安全、安全资源池几个层面，用来指导政务云平台安全整体解决方案的设计。■网络安全政务云网络提供面向互联网的业务承载，面临着黑客入侵、病毒入侵、网络攻击及内部管理等多种安全威胁，需要提供完善的网络边界安全防护方案，实现对整个云平台中承载的所有应用的安全防护。保障政务云系统网络的安全可靠运行。进行政务云网络内外南北向和云内间东西向的安全隔离，保证网络通信的正常进行，以及保障在网络上传输的信息的安全。主要技术措施包括防火墙、虚拟防火墙、入侵检测和防御、防病毒网关、隔■虚拟化安全租户在利用虚拟化技术带来好处的同时，也带来新的安全风险。首先是虚拟层能否真正地把虚拟机和主机、虚拟机和虚拟机之间安全地隔离开来，这一点正是保障虚拟机安全性的根本。另外预防云内部虚拟机之间的恶意攻击，传统意义上的网络安全防护设备对虚拟化层防护已经不能完全满足要求。需要通过虚拟化层安全技术来保障政务云的虚拟化环境的安全，虚拟化安全层包括针对虚拟化平台各类安全技术措施，由虚拟化平台自身实现，包括虚拟资源隔离、云平台安全加固、VPC、VDC、安全组等。■主机安全云平台环境中使用了大量OS、DB、Web中间件等公共应用软件，很容易遭受病毒入侵、漏洞攻击、木马等安全威胁，从而影响系统运营。主机安全包括云平台针对各类服务器的安全防护措施，保障操作系统平台的安主机入侵防护、防病毒软件、主机安全加固等各类主机安全措施。■应用安全云平台的应用系统在向外提供业务的时候，也有可能遭受来自外部的高危应用安全威胁，如SQL注入，跨站点攻击等，为了保障业务的正常运行，需要对政务云的应用系统进行安全防护。应用层安全主要保护政务云中■数据安全从而影响其云上业务系统的可靠性和安全性。政务云保障不同租户之间的数据隔离及安全共享，从数据传输加密、存储网络隔离、数据安全擦除、容灾备份等技术手段加强数据安全保护，并通过数据库审计系统对访问数位审计。■安全管理中心政务云安全管理中心是确保云平台整体安全运行的重点，包括解决政务云环境中不断发展的网络威胁和漏洞的32人员组织人员组织务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南主要通过安全信息与事件管理、安全合规性管理、漏洞脆弱性管理等方面进行技术手段加强，实现对云平台的■安全资源池云租户安全是云数据中心区别于传统数据中心安全业务部署与管理的关键需求，涉及云租户应用系统的安全运行防护、云租户间安全隔离、云租户主机安全防护、云租户漏洞扫描等多个方面。为应对云租户安全，提供安全服务目录，让租户可以从云平台获得一站式安全服务功能，避免安全成为业务上云的障碍，提升租户向云平建设统一的安全资源池，为租户提供服务化的安全功能。云租户系统的安全运行防护能力包括网络安全、主机安全、应用安全、安全管理多个方面，云化的安全防护能力能够根据云租户的安全防护需求灵活调度，全面满全运行防护需求。理体系构建安全管理体系是信息安全体系协同工作的高效和有序性的重要保障，与技术体系、服务体系密切结合，共同保障业务系统安全、高效运行。本方案中参照国家网络安全等级保护规范覆盖到安全策略和管理制度、安全信息资产管理，安全事件管理，人员安全管理、身份与访问控制管理等关键安全管理流程，并结合现有政务云运维体系构筑政务云安全管理体系，进行深度定制化开发，确保安全管理体系与现有政务云运维流程体系深度政务云安全管理体系主要从云安全组织架构与责任划分、云安全管理策略、云安全管理制度与流程规范、云安信息安全管理体系设计严格按照招标文件要求，参照《信息安全技术网络安全等级保护基本要求》(GBT22239-2018)(2018报批稿)、《信息安全技术网络安全等级保护定级指南》、《信息安全技术云计算服务安全能力要求》(GBT31168-2014)、《信息安全技术云计算服务安全指南》(GBT31167-2014)、《关于加强党政部门云计算服务网络安全管理的意见》(中网办发文[2014]14号)进行信息安全管理体系设计。在以上文件要求基础上，本方案还遵循国家电子政务外网等级保护一系列标准要求，包括《国家电子政务外网安全等级保护实施指南》(GW0104-2014)、《国家电子政务外网安全接入平台技术规范》(GW0202-2014)、国家电子政务外网IPSecVPN安全接入技术要求与实施指南(GW0201-2011)、《国家电子政务外网跨区域的安全数据交换技术要求与实施指南》，保证信息安全管理体系符合国家电子政务外网相关安全分■安全责任实体定义其他组织也应承担安全责任。因此，云计算安全措施的实施主体有多个，各类主体的安全责任因不同的云计算云服务提供方主要提供云平台服务，承担设施层、硬件层和资源抽象控制层的安全责任。局委办租户方承担自己局委办客户端、部署的虚拟机、操作系统、运行环境和应用系统的安全，对这些计算资源的操作、更新、配置的安全和可靠性负责。云服务方对局委办上线的虚拟机及应用的安全检查、监控、维政务云监管方作为政务云的监督管理方在日常的安全运维工作中主要担负安全规章，流程，人员的监督。政全策略云平台安全应用安全数据安全人员管理物理安全安全管理制度与流安全管理制度与流程规范 文件权限 账号管理 口令管理 日志配置 IP协议 安全管理基线■图政务云安全管理体系图事件的考核。安全服务方负责为云服务方提供并落地云平台安全加固方案及安全防护方案，为云租户提供服务化的安全防管理方提供支撑管理要求、监督要求落地的安全管控平台。义维护局委办内部网络、终端以及云上的主方监督、通报，提高整体应用与安全能力。为服务，保障资源高效可用；保障租户业务安提供对云平台的安全支撑。云服务提供商和3334务云网络安全合规性技术实施指南务云网络安全合规性技术实施指南义连接到OA等系统处理户，使用终端连接到业务系统处理政门办云上的主机安全健康运行，维护更新护方，确保政务外网及各内部终端护统的技术支持，解决业务系门管国家相关法律法规的相关监门提供业务运营和运维，保障平台安全高门，人员员施人员。人员解决的安全事件提供技术支。■安全组织架构安全组织架构是一个由三方(即局委办租户、云服务提供商以及监管部门)共同组成的联合安全组织。该组织以云平台服务商为主要责任人，政府作为监管部门，决策一二级安全事件的处理；云服务商、