智慧检察院建设方案

智慧检察院建设方案智慧检察院建设方案联通（山东）产业互联网派出办事处2019年11月目录TOC\o"1-2"\h\u1228一、项目背景 项目背景为实现信息化引领检察工作科学发展的目标，深化移动互联技术在办公检察中的应用，根据《山东检察大数据实施纲要》等文件精神，人民检察院通过采购信息化服务平台，结合应用软件、信息安全、信息服务等信息化技术，建设人民检察院检务通平台，实现检察院智慧办公，为检察院的各项业务开展提供全面的信息化支撑。目前检察院内部业务应用系统众多，每个系统均拥有大量的数据信息，同时，这些系统大部分只能在单位的内部网中访问，即使有些系统可以在单位外部访问，一般也是通过有线互联网的形式，当人员离开办公室或处在没有互联网接入点、没有计算机的情况下，就没有办法使用这些系统和数据，进而无法保证信息资源获取的时效性。其次，这些系统之间往往相互独立，数据分布在孤立的各个系统中，没有统一的展现形式，无形中限制了数据的进一步统一使用和统计分析。另外，目前现有应用系统的使用模式，基本上是由使用人员发起与系统之间的交互过程，而很少能够由系统主动发起与使用人员的交互，以完成信息的及时推送。如对企业领导关心的每日业务简要，在每天下班后需要其登入系统才能及时获取，而不是系统主动发送。检察院检务通平台项目将建设一个运行稳定、适应长远发展的网络和办公系统，实现网络办公、网络沟通、网络审批、知识管理、网络决策的信息化建设思路，实现信息高效传递、无纸化协同办公、远程移动办公，科学规范管理，使各级部门的工作效率明显提高，使法制工作更加简化，使信息获取更加容易，使决策制定更加准确；使得管理应得更加灵活、更加科学，从而最终提高网络办公信息化、高效化、智能化、规范化。

需求分析根据前期走访调研，沟通交流人民检察院系统在自动化办公及信息化平台建设方面的需求。目前在检察院系统中，信息化平台的建设是解决问题的关键，对于信息化平台功能的具体功能，做如下梳理：通知公告。公告通知功能可根据单位要求，可后台设置人员发布权限，支持按部门、岗位、人员等多范围发布，相关人员也可通过后台查看通知公告的查阅情况，哪些人已读，哪些人未读，对于未读人员可以发送二次提醒。发布内容支持超级链接、附件上传等。即时通讯。软件提供IM即时通讯工具，可实现开机自动登录，任务自动提醒，支持文件/消息的即时与离线传送，语音交流等功能；IM交流的内容在服务器端有数据备份，有权限的人可以进行查询。移动端即时通讯聊天工具同电脑端是同步的。基于检察院组织架构，为检察院内部员工提供了微信、qq式沟通。即时通讯支持单聊，群聊（群组、讨论组）同时支持普通消息和文件消息的撤回功能，提升组织沟通效率。OA精灵群聊窗口中群发邮件功能，打开邮件发送窗口，将群用户列表中的人员自动添加到接收人中。办公用品。办公用品信息维护，如办公电脑、电话、纸张、笔记本、圆珠笔、打印耗材等这些物品信息维护、采购入库、申请使用或领用审批等，可与办公用品申请流程业务引擎完美结合，发起办公用品申请，通过流程多级审批，审批通过后数据写到办公用品模块，方便对办公使用情况统计分析，形成办公用品管理台账。车辆管理。车辆信息管理、车辆保养维护、车辆维护提醒、车辆保险提醒设置、车辆合理调配、充分利用，车辆使用冲突协调、车辆使用记录等，可与车辆使用申请流程引擎结合使用，发起车辆申请，通过流程多级审批，审批通过后数据回写到车辆模块，方便根据车辆、申请人、部门多维度的用车分析。文档管理。发布可以公开的通知、文件、学习材料等。共享时代，文档作为见证检察院历程的“年轮”，成为检察院协作、价值沉淀越来越重要的一环。通过聚集碎片化知识，网络检察院无形财富，让检察院的“年轮”健康“生长”，守护检察院的智慧结晶，构建检察院知识库，形成检察院知识积累、共享、利用、创新平台，例如：各项制度、检察院发展文件、各类模板、各部门报告计划、新职工知识地图、人才培训知识地图等，知识库需满足后台可根据实际情况批量给相关人员开放对应权限。事项申请（请假）网上考勤。管理员可设置不同事项，系统根据不同事项产生具体流程，并最后汇总为流程图。支持在PC端连接打印机打印流程图、汇总表等。应用价值：流程管理是OA系统核心功能，可设置多类别多节点审批，如行政类流程、人事类流程、财务费用流程、日常办公类、订单合同类流程、业务类相关流程等，加上移动版随时随地审批和消息推送提醒，实现检察院智能化规范化移动化流程审批，同时提高办公速度和效率，节省办公时间和成本。流程的设置操作必须要简单易上手，方便后期的流程增加及修改完善。PC端考勤、移动考勤定位拍照上传，满足办公室用户和在外做业务用户不同签到需求，可以导入传统的考勤机数据或集成考勤机数据等，实现现代与传统方式考勤数据融合统一，同时结合假期管理和流程审批应用，实现请假、出差、外出、加班、调休多级审批需求，审批通过后流程数据回写到考勤模块，实现考勤数据统一完整，方便人事管理考勤统计和用户查看自己考勤信息。

建设方案检务通平台依托于阿里云服务器，建设一个运行稳定、适应长远发展的网络和办公系统，实现网络办公、网络沟通、网络审批、知识管理、网络决策的信息化建设思路，实现信息高效传递、无纸化协同办公、远程移动办公，科学规范管理，使各级部门的工作效率明显提高，使法制工作更加简化，使信息获取更加容易，使决策制定更加准确；使得管理应得更加灵活、更加科学，从而最终提高网络办公信息化、高效化、智能化、规范化。平台架构根据办公自动化的要求和信息化服务平台的特征，认真分析人民检察院单位现有的IT应用和将来的应用基础，以流程为导航，表单为呈现，提升公文的流转效率，实现办公自动化的大规模应用，通过“产品+定制”的方式完成贵单位检务通平台信息化建设。检务通平台是以开放、先进的Internet/Web技术为核心的新一代信息处理集成系统，以成熟的计算机技术为依托，通过平台建设，在单位内部实现信息资源共享和流通，提高单位信息化水平。检务通平台网络办公系统技术平台构架如下。检务通平台客户端采用B/S（浏览器/服务器）操作方式，操作系统支持WindowsXP、Win7、Win10等常见操作系统，浏览器支持IE、360浏览器、谷歌浏览器等。PC客户端包括OA功能和即时通讯工具，手机端支持安卓系统和苹果系统。检务通平台网络架构图如下。平台功能性能检务通平台网络智能办公系统采用基于WEB的单位计算，主HTTP服务器采用先进的Apache服务器，性能稳定可靠。平台网络智能办公系统采用领先的B/S(浏览器/服务器)操作方式，使得网络办公不受地域限制。检务通平台网络智能办公系统集成了包括电子邮件、短信息、公告通知、个人考勤、日程安排、工作日志、通讯簿、工作流、公告通知管理、投票管理、人力资源管理、考勤管理、工作计划、工资上报、绩效考核、会议管理、车辆管理、图书管理、讨论区、文件柜、网络硬盘、系统日志、电话区号查询、邮政编码查询等60余个极具实用价值的功能模块，充分满足贵单位在日常办公中的需求。（1）通知公告。公告通知功能可根据单位要求，可后台设置人员发布权限，支持按部门、岗位、人员等多范围发布，相关人员也可通过后台查看通知公告的查阅情况，哪些人已读，哪些人未读，对于未读人员可以发送二次提醒。发布内容支持超级链接、附件上传等。通达OA提供的公告通知功能可根据单位要求，可后台设置权限哪些人员可发布，支持按部门、岗位、人员等多种范围发布，相关人员也可通过后台查看通知公告的查阅情况，发布内容支持超级链接、附件上传等。（2）即时通讯。软件提供IM即时通讯工具，可实现开机自动登录，任务自动提醒，支持文件/消息的即时与离线传送，语音交流等功能；IM交流的内容在服务器端有数据备份，有权限的人可以进行查询。移动端即时通讯聊天工具同电脑端是同步的。基于检察院组织架构，为检察院内部员工提供了微信、qq式沟通。即时通讯支持单聊，群聊（群组、讨论组）同时支持普通消息和文件消息的撤回功能，提升组织沟通效率。OA精灵群聊窗口中群发邮件功能，打开邮件发送窗口，将群用户列表中的人员自动添加到接收人中。电脑端：发送信息、语音、图片、文件、建群、建讨论组、群发邮件、信息撤回、信息已读未读提醒等等均可以。移动端：发送信息、语音、图片、文件、信息撤回、信息已读未读提醒等均可以。（3）办公用品。办公用品信息维护，如办公电脑、电话、纸张、笔记本、圆珠笔、打印耗材等这些物品信息维护、采购入库、申请使用或领用审批等，可与办公用品申请流程业务引擎完美结合，发起办公用品申请，通过流程多级审批，审批通过后数据写到办公用品模块，方便对办公使用情况统计分析，形成办公用品管理台账。（4）车辆管理。车辆信息管理、车辆保养维护、车辆维护提醒、车辆保险提醒设置、车辆合理调配、充分利用，车辆使用冲突协调、车辆使用记录等，可与车辆使用申请流程引擎结合使用，发起车辆申请，通过流程多级审批，审批通过后数据回写到车辆模块，方便根据车辆、申请人、部门多维度的用车分析。（5）文档管理。发布可以公开的通知、文件、学习材料等。共享时代，文档作为见证检察院历程的“年轮”，成为检察院协作、价值沉淀越来越重要的一环。通过聚集碎片化知识，网络检察院无形财富，让检察院的“年轮”健康“生长”，守护检察院的智慧结晶，构建检察院知识库，形成检察院知识积累、共享、利用、创新平台，例如：各项制度、检察院发展文件、各类模板、各部门报告计划、新职工知识地图、人才培训知识地图等，知识库需满足后台可根据实际情况批量给相关人员开放对应权限。后台按照类别创建不同的文件夹，先对文件夹资料根据实际情况分配对应权限，可以批量设置对应的访问、编辑、删除、下载、评论等。（6）事项申请（请假）网上考勤。管理员可设置不同事项，系统根据不同事项产生具体流程，并最后汇总为流程图。支持在PC端连接打印机打印流程图、汇总表等。应用价值：流程管理是OA系统核心功能，可设置多类别多节点审批，如行政类流程、人事类流程、财务费用流程、日常办公类、订单合同类流程、业务类相关流程等，加上移动版随时随地审批和消息推送提醒，实现检察院智能化规范化移动化流程审批，同时提高办公速度和效率，节省办公时间和成本。流程的设置操作必须要简单易上手，方便后期的流程增加及修改完善。工作流是通达OA最强大的功能之一，常见的功能有智能表单设计，支持在线设计表单，包含十八种表单控件，实现复杂数据的录入，设计思想处于国内领先地位；支持表单复制功能，简化表单制作程序；支持外部数据源；支持表单网页手写签章，一经授权，不限点数；支持表单版本管理；支持表单排序，管理操作一步到位；支持表单与流程的分类管理；支持表单与流程的导入导出操作；支持自由流程、固定流程和柔性流程；支持自动生成工作名称/文号，支持自定义工作名称/文号的生成规则；设计向导模式，提供设计思路，简化工作流设计过程；图形化流程制作页面，无需代码基础，即可完成流程制作；支持流程分支设置，支持通过条件自由控制流程走向；支持子流程设置包含流程数据校验功能；支持流程附带公共附件，并允许设置对公共附件的详细权限；支持流程权限设置，包括管理权限、监控权限、查询权限、点评权限支持流程查询模板定义；支持版式文件应用，可实现精确打印与套打；支持流程定时发起；允许按人员、部门、角色设定经办权限；允许针对每个步骤设置可写字段；支持流程自动选人支持流程插件，为工作流与其他模块的数据交互提供平台；支持会签，会签人可以填写各自的会签意见和上传私有附件；可监控流程的办理过程，查看各步骤办理状态和办理时间；传递流程，支持由首先接收者办理；添加重要级别的概念，办理人可以根据级别进行流程的优先办理；流转过程可通过内部事务提醒、手机短信，internet邮件提醒办理人；全面的流程数据管理，支持表单与数据同步调整，适应发展变化；允许将某一工作流程定义为独立的系统菜单，便于操作；支持工作流超时提示与催办提醒；支持超时工作统计分析；支持非超时执行中的工作的催办提醒；支持工作流数据归档与归档流程查询，提升操作速度；业务引擎实现工作流与系统内置部分模块数据的整合；数据源为提取常用数据开放了便捷的通道；所有对流程的操作都写入日志记录。流程流转的可视化避免普通OA系统中审批流程的不可追踪、不可监控。提供图形化表单设计器，快速建立各种业务表单。图形化流程设计器，快速对复杂业务流程建模。PC端考勤、移动考勤定位拍照上传，满足办公室用户和在外做业务用户不同签到需求，可以导入传统的考勤机数据或集成考勤机数据等，实现现代与传统方式考勤数据融合统一，同时结合假期管理和流程审批应用，实现请假、出差、外出、加班、调休多级审批需求，审批通过后流程数据回写到考勤模块，实现考勤数据统一完整，方便人事管理考勤统计和用户查看自己考勤信息。外勤员工可以在手机上进行打卡、考勤，还可以查看自己的考勤、请假记录。支持设置考勤地点和办公Wifi，精细化管理。可以预设有效的考勤范围100米~3000米。可以同时设置不同的考勤地点。可以根据WiFi进行考勤，并且支持关联多个WiFi，并且添加WiFi的MAC地址。如果检察院有同名的WiFi，通达OA打开是以MAC地址作为考勤条件。平台的安全性检务通平台采用基于WEB的单位计算，技术上采用PHP+MYSQL+JAVA，属于完全自主开发，其主HTTP服务器采用Apache服务器，性能稳定可靠。数据存取集中控制，避免了数据泄漏的可能。另外，检务通平台内置的NTKO安全签名印章组件，能有效提高文档安全性检务通平台采用多层次的安全体系结构，保证数据和应用的安全性。数据和文件采用加密传输和存储，保证了数据访问和存储安全。产品采用了多种防范技术，有效防止页面缓存、URLGET请求、Cookies等方式的数据泄露以及脚本注入、SQL注入、SQLUnion攻击等方式的代码攻击，最大限度的保证了系统数据的安全。系统应用层采用多级权限控制机制、完善的登陆验证机制、完备的日志审计等功能保证了应用的安全性。具体分以下几方面：1、密码单向加密存储，不会发生泄漏检务通平台的登录密码采用UNIX系统安全的单向加密算法加密存储，不支持反向解密，即便是数据库管理员也无法获取登录密码的明文。2、登录账号支持和Windows域用户绑定检务通平台的账号和域用户绑定，在登录时使用域账号和密码进行身份验证，由Windows系统保障用户账号和登录密码的安全。3、输入数据严格校验，防止SQL注入的发生检务通平台通过升级系统架构，将所有输入数据进行严格校验和过滤，阻止SQL注入和XSS攻击的发生。4、附件文件支持加密存储,内部员工也无法泄漏经过加密的文件只能在登录检务通平台后进行查阅，内部员工直接从服务器上拷贝泄露出去的文件是无法打开的，这样就保证了文件存储的安全。5、数据在网络中的传输支持https加密协议除了系统自身安全外，数据在服务器与客户端之间网络传输的安全也至关重要。检务通平台使用符合国家标准和国际标准的数字证书对网络传输数据进行加密和解密，确保传输过程的安全。平台的兼容性检务通平台采用当代最新技术，建立一种新概念的、开放的现代管理和办公环境，它以TCP/IP、广域网互连、路由、防火墙和网络管理技术为核心，建立一个安全可靠的网络应用平台。检务通平台经过多年的改进，客户端支持各类操作系统，兼容各种应用程序和杀毒软件。同时，采用国际标准的技术，包括标准安全算法和通信协议、标准软硬件接口等保证系统和其他产品的兼容性，能够适应在不同软硬件环境之下都能够正常运行。平台的WEB服务器采用Apache+Nginx的双引擎，系统运行高速、稳定、可靠；数据库采用Oracle提供的Mysql企业级数据库，令数据存储和访问更高效。其次，平台支持目前所有的主流浏览器（IE9及以上、搜狗、谷歌、360、火狐等等），无需进行单独配置即可在web直接进行操作。同时，平台采用先进的NTKO插件，可以实现和OFFICE软件的无缝对接，可以直接在线编辑officeword文档、excel文档和ppt文档，并可留痕以备查询。另外，检务通平台采用先进的即时通讯极光推送功能，在客户端可以实现和任意浏览器的兼容效果，保证审批通知、消息提醒及时的推送给相关人员审批查阅，大大的提高工作效率和体验的舒适度。检务通平台有一个重要的思想是安全技术的兼容性，由于不同的实施单位或多或少都有一定的安全防范措施，因此，检务通平台在设计过程中，注重和主流安全产品的兼容性。目前检务通平台的安全措施都能够和目前主流、标准的安全技术和产品兼容。平台的可扩展性检务通平台采用开放的系统平台构架，30~70%的源代码开放，柔性化的二次开发平台，完善的二次开发技术支持，支持企业个性化需求，提供应用扩展的无限可能，支持企业私有云的部署。1、在本地有项目实施及二次开发的技术团队，能根据用户需求进行个性化二次开发；2、提供二次开发的标准文档，并提供二次开发深入培训，方便用户自行二次开发；3、在对方系统开放数据接口并提供技术支持的情况下，支持与其它业务系统整合，实现单点登陆应用；4、在对方系统开放数据接口或开放数据字典的情况下，支持从其它系统提取数据，并在检务通平台系统模块中呈现；5、遵循通用的国际或行业标准，开放的系统平台设计需具有良好的扩展性，允许扩充新的功能模块，能够方便集成不同系统的数据至本系统中，以适应未来发展；6、在系统管理模块中，系统将会提供工作流定制工具、报表定制工具等多种系统自定义工具，通过这些自定义工具，单位内的工作人员能够自行对系统进行扩展和增加应用功能，从而使系统保持强大的系统扩展性和灵活性。其中的流程管理基于流转引擎，完全可以根据客户的需要定义出各种流程，并且完全不需要编写代码。

解决方案云主机人民检察院检务通平台建设依托于阿里云服务器，阿里云服务器是一种简单高效、安全可靠、处理能力可弹性伸缩的计算服务。其管理方式比物理服务器更简单高效。用户无需提前购买硬件，即可迅速创建或释放任意多台云服务器。云服务器能够快速构建更稳定、安全的应用，降低开发运维的难度和整体IT成本。基于一般业务下的法务通平台建设，云服务器的具体参数如下：vCpu8核系统内存32G数据盘1T操作系统Windowsserver2012或2016数据库MYSQL宽带10M终端APP检务通平台系统支持移动端和PC端操作使用，其中，终端APP支持安卓及ios系统使用。终端APP具体参数如下：硬件配置操作系统版本安卓系统7.0以上版本，ios支持9.0以上版本内存安卓4G内存以上，ios系统不限。存储无要求，存储不满即可操作系统安卓系统、IOS系统网路环境1M独享带宽或10M共享带宽、4G信号OA在现有综合办公平台的基础上在业界率先推出支持Android,iphone等移动设备的OA精灵客户端，通过PC版OA与手机版OA相结合的做法，实现PC与手机的优势互补，极大的方便用户。手机客户端支持安卓、IOS版本。手机客户端支持消息离线推送、邮件收发、公告通知及内部新闻查看工作流新建、办理及转交等工作，支持WORD及PDF文档在线阅读，支持各种数据统计分析报表查阅等功能。终端APP具有丰富的移动办公功能，统一即时通讯、群组聊天、消息回执、消息漫游，手机填报和查看报表，定位考勤、手机签章等。终端设备法务通平台终端设备支持安卓、ios等系统，可参考以下终端设备参数：华为Mate20规格参数品牌华为型号Mate20屏幕尺寸6.53英寸CPU主频2×CortexA762.6GHz+2×CortexA761.92GHz+4×CortexA551.8GHz运行内存6GB设备内存128G电池容量4000mAh前置摄像头2400万像素后置摄像头（3个）1200万+1600万+800万像素是否支持全网通支持全网通通信流量套餐检务通平台支持移动终端使用，需要购买国内通用4G流量套餐。为了使客户享受更优质的服务，中国联通将为客户提供国内流量放心用的服务，同时，包含国内通话时间及短信服务。目前联通现网具备1800MHz、2100MHz多频建网能力，且在密集城区、郊区进行全方位覆盖。经过测试，终端数据传输的切换成功率达到99.6%以上，截至目前，山东联通公司共建设有LTEFDD室外基站5.1万个，室内覆盖1.6万栋建筑物，市区、县城、乡镇镇区实现了连续面覆盖，高铁、动车线、高速公路基本实现了全程连续覆盖，行政村覆盖率达到83%，面积覆盖率达到86%，人口覆盖率达到94%。全国：2018年底将达4G

95万站，4G人口覆盖率86%，口碑场景整体覆盖达标率75%，城区路面及浅层覆盖基本完善，所有乡镇实现标志性覆盖，行政村覆盖率62%，3A以上景区，跨省高铁、机场高速等重要交通线基本实现连续覆盖，3A以上景区，跨省高铁、机场高速等重要交通线基本实现连续覆盖。山东省城市道路测试平均下载速率65Mbps以上，可以确保网络覆盖和网络下载速率达到客户要求。除了强大的4G网络外，截至目前，联通山东省内共建设有WCDMA室外基站4.5万个，室内覆盖2.3万栋建筑物，市区、县城、乡镇镇区实现了连续面覆盖，高铁、动车线、高速公路基本实现了全程连续覆盖，行政村覆盖率达到87%，面积覆盖率达到86%，人口覆盖率达到92%。全国：3G

85万站，3G人口覆盖率90%，行政村覆盖率87%。目前，联通3G的下载速率峰值可达42M。因此在3G的网络状态下也能满足贵单位工作使用要求。

主要技术指标软件提供IM即时通讯工具，可实现开机自动登陆，任务自动提醒，支持文件/消息的即时与离线传送，语音交流等功能；IM交流的内容在服务器端有数据备份，有权限的人可以进行查询。免费提供手机移动办公，手机客户端支持安卓、IOS版本。手机客户端支持消息离线推送、邮件收发、公告通知及内部新闻查看工作流新建、办理及转交等工作，支持WORD及PDF文档在线阅读，支持各种数据统计分析报表查阅等功能。移动端即时通讯移动端即时通讯聊天工具同电脑端是同步的，可以进行聊天、语音、图片、文件的传送，极大的方便同事之间交流和沟通。

移动考勤所有人员可以在手机上进行打卡、考勤，还可以查看自己的考勤、请假记录。移动审批手机表单设计器，自己定制更易用的移动审批体验；一键转交，移动审批新标杆；丰富的表单控件和流程条件，易用性与专业性兼顾；工作流程不再因出差而耽搁；

车辆、会议室、办公用品的申请手机上就可以完成会议、车辆和办公用品的管理和申请

电子邮件可随时随地查看内外部邮件，写邮件更加方便快捷，支持图片和附件的上传下载，文档图片的在线浏览及保存。

性能详细说明云主机云主机服务允许用户自由选择不同标准规格云主机，可根据需要选择操作系统种类、VCPU数量、内存容量、系统盘容量，实现对云主机的灵活定制和动态创建；可以通过Web控制台对云主机进行创建、开机、关机、重启、续订、退订等操作；允许根据需要对云主机弹性扩展内存和系统盘容量；可实时查看VCPU使用率、内存使用率、磁盘读写、网络流量等云主机重点性能指标情况。弹性云主机Web控制台支持多种操作系统弹性云主机支持主流的Windows和Linux操作系统，允许自定义个性化模板，部分操作系统列表下图所示：支持多种规格云主机规格为虚拟机的配置模板，定义了虚拟机的CPU数量（vCPUs）、内存容量（Memory_MB）、磁盘容量（Disk）及临时磁盘（Ephemeral）、Swap分区等一些参数。弹性云主机允许根据不同需求选择标准配置或自定义配置，动态升级vCPU和内存配置。也允许从两个维度扩展业务服务能力，一个维度是在现有弹性云主机上扩展vCPU、内存、磁盘，另一个维度是在弹性负载均衡支持下按现有弹性云主机规格扩展弹性云主机数量，快速提升业务服务能力，其中标准的云主机规格下图所示：弹性云主机配置可以在web控制台上可以通过下图所示界面进行云主机规格的选择和定制。弹性云主机配置选择支持快照功能快照用于捕捉硬盘在某一个时刻的状态，未来可以随时恢复到这个状态。可以采用快照方式备份当前使用的弹性云主机。备份方式支持全量快照和增量快照，同时还支持定义周期性自动快照。快照功能原理：底层在创建虚拟机时，会根据其选用的镜像，创建一个基础缓存镜像文件，以便于让所有使用同一镜像的虚拟机不必多次全量拷贝源镜像；之后在基础缓存镜像文件的基础上，创建增量镜像文件，即虚拟机的系统磁盘。增量快照：通过对增量镜像文件做快照及备份，即完成了对虚拟机的增量快照及备份，因为增量镜像文件相对源镜像文件要小得多，所以增量快照功能完成的速度较快，但是不可独立恢复。全量快照：将增量快照及备份与基础缓存镜像文件转换合并起来，就完成了对虚拟机的全量快照及备份，因为基础缓存镜像文件较大，所以全量快照功能完成的速度较慢，但是可以独立恢复。支持自定义镜像镜像，是指云主机所使用的根分区或系统盘，可以快速地通过镜像复制出一台云主机，免除传统冗长的装机过程。同时还支持制作镜像快照，对云主机进行备份快照，该快照还能像普通镜像一样随时创建新的云主机使用。云平台允许自行制作标准格式的系统镜像，上传到云平台后，经过简单配置即可以展示在网站上供选择创建基于自定义个性化模板的弹性云主机。目前支持的镜像格式有iso、qcow2、qcow、raw、vmdk等多种模式，常用为qcow2格式的镜像。当镜像制作完成后，将上传到镜像库中，由镜像管理服务模块来管理所有的镜像。支持配置动态伸缩平台支持对云主机配置的动态伸缩，通过修改云主机初始的规格来修改云主机的当前配置，可以修改的主要项包括：内存容量（可增减）、VCPU数量（可增减）、磁盘容量（仅增）。动态升级时先关闭虚拟机，之后在启动时将应用新的规格作为配置模板。支持故障切换系统支持当一个计算节点发生故障时，将其上的虚拟机资源自动/手动迁移至安全的计算节点上。故障切换是虚拟机在宿主机崩溃时，因为使用的分布式存储，虚拟机的跟分区/系统盘及块存储设备在安全的节点可用，可以将虚拟机在安全节点重新启动并恢复。云主机故障迁移示意图云存储沃云整体存储架构系统概述沃云分布式云存储是为企业提供革命性符合成本效益的高性能存储平台。本系统的设计原则如下：必须考虑到支持TB、PB、EB级的容量无缝扩展；必须考虑到支持线性的扩展；必须考虑到存储的可靠性和容错性；必须考虑到存储分层和自动负载均衡；必须考虑到存储的初建成本和扩容成本；必须考虑到异地数据容灾，保证最终用户数据的安全性；必须考虑到不被硬件厂商锁定；必须考虑到运维人员的维护复杂度，降低运维成本；必须考虑到同既有的应用程序集成，降低集成复杂度；基于上述设计原则，沃云分布式云存储系统采用先进的分布式对象存储设计，同时整合文件存储、块存储和对象存储三种技术，为各种不同类型的客户应用提供适合其需求的存储服务。系统整体架构如下图所示：沃云分布式云存储系统整体架构3种类型访问接口该套分布式对象存储系统为访问提供3种类型的接口，即S3存储接口、iSCSI/FC接口、NFS/CIFS接口。可以根据需要使用3种接口的任意一种进行访问。丰富的管理分发功能支持策略管理，如分发、QoS和存储分层；提供详尽的监控和报告；数据监控和自动修复功能；根据策略进行对象分发、对象复制和对象再平衡。高可用性多层级的可用性设计。每台节点均可支持RAID阵列，确保节点内部数据安全和高可用。同时分布式存储集群支持实时多副本功能。数据在集群中实时保存n份副本，可确保任意(n-1)台节点出现故障，数据依旧安全且可访问。多数据中心的不同云存储集群间支持数据互备互援，确保发生人力不可控的灾难时，数据依旧安全。卓越的存储性价比支持数据去重、数据压缩和SSD加速功能。可有效节省存储空间，提高存储服务的成本优势，同时在可控的成本范围内大幅提升存储性能。开放的存储硬件选择底层采用开发式的X86系统构架，用户可根据情况选择适合自己的X86硬件架构。沃云存储部署架构如下图所示：沃云存储部署架构图存储网络：用于OSD节点间的存储数据的副本复制，数据修复和群集状态监测。业务网络：用于对存储的请求，如创建数据，修改数据、查询数据和删除数据。OSD群集：根据对业务和性能的需求不同，设计划分为3个存储池，即对象存储池、块存储池和文件存储池。网关群集：根据服务的对象不同，设计划分为2个存储网关群集，即对象存储网关群集、块\文件存储网关群集。系统组成沃云分布式对象存储主要分为三大组件：对象存储设备（OSD）：可以支持PB级数据对象的池和统一存储资源。存储网关（Gateway）：为其他应用程序或设备提供一个支持标准的文件系统协议的挂接点，以支持iSCSI、CIFS和NFS标准传输协议。远程复制服务器（RRS）：将数据从一个群集复制到另一个群集。系统功能特点去中心化采用去中心化的设计。无需特定管理节点。此设计不但大幅降低了存储集群管理的复杂度更大大的提高了可用性及可扩充性。节点与节点中间采用端到端的通讯协议，借此能达到几乎无限的节点扩充性。元数据也是分布到每个节点中并被数据实时复制给保护，无元数据单一节点失效的问题。这样的设计可以让单一集群的最大存储容量可以在单一命名空间里扩充到百PB级。存储节点和存取节点可分离式设计在使用网络共享存储时，常遇到的一个场景是存储资源还够用但是网络资源不够了而导致整体效能遭遇瓶颈，这在传统存储常见到的就是机头(controller)的网络资源有限制。存储采用了存储节点和存取节点可分离设计。在需要时可以单独扩充存取节点以提高存储传输效能。此一设计让分布式云存储系统可以更弹性，更有效的使用预算，达到绿色IT。沃云分布式存储技术原理如下：沃云分布式存储技术原理任何时刻，任意节点失效皆不会影响资料安全及一致性动态副本机制，自我修复确保资料安全性热点数据加速存储可以使用SSD支持热点数据加速的功能。在许多的应用场景如流媒体，或虚拟化，有些热点数据会一再的被读取。这些热点数据通常是一个文件中的某些特定区块，或是某些卷的特定区块。存储可以将常被存取的区块使用快速的存储设备像是SSD来做数据快取。让这些热点数据可以快速的从SSD被读取而无需到传统的磁盘中重复的读取。此一热点数据加速功能还可以搭配分离式存取节点，将热点数据放在离客户端最近的存取节点，进而增加数据读取的效率。存储分层随着集群的陆续扩充，集群中可能混杂了各个不同性能的节点或是单个节点中也会有不同效能的存储设备。一般常见的分布式存储会将数据平均的分布在每个节点上，如此整体的存储效能会被较慢的存储节点给拖慢。存储能够让管理者将不同效能的存储做分层，让需要高效能存储性能的数据存在高效能的节点上。如此可以有效率的使用不同性能的存储在不同的应用场景上。存储分层原理图实时副本及自我修复当数据被分布到许多的存储节点时，数据的安全性及可用性会随着节点的增加而降低。因此实时数据的副本抄写是一个分布式存储的必要功能。本系统采用强一致性的写入策略，即只有当所有的副本写入完成，客户端才会受到写入成功的响应，如下图。这一策略确保写入数据的一致性和完整性。实时副本及自我修复原理图存储在实时数据副本上提供了更多的管理弹性，可让管理者根据数据的重要性配置不同的副本数。而且此副本数还可以在线动态的调整。让管理者可以有效的利用存储资源来保护重要的资料。当集群中有节点失效时存储特有的自我修复功能可以把失效节点中的数据再其他节点上再生成另一个副本，以维持管理者希望的副本数目。此一自我修复功能不但减少管理者的负担，更可以大幅提高整体SLA确保数据不会因为连续的硬件故障而丢失。实时副本弹性管理图标准存储协议存储支持标准SAN和NAS协议，无需安装客户端，无兼容性问题。可以直接使用CIFS／NFS实现海量共享存储。另外也支持RESTfulAPI如AmazonS3,OpenStackswift跟WebDAV。安全机制数据隔离机制：沃云分布式云存储提供多的数据隔离机制。系统可为每位用户创建相互独立的存储池。存储于不同存储池中的数据彼此不会产生任何交叠。同时可为用户的存储池配置专用的存储网关，即用户仅可以通过配置的专用网关才可以访问相应的数据存储池中的数据。确保不同用户从数据访问通路以及数据底层存储都完全做到数据安全隔离。多级访问安全机制：使能够灵活的控制访问自己数据的人员、方式、时间以及位置。四种安全访问机制：四种安全访问机制图通道安全：使用HTTPS协议通过SSL加密终端节点将数据安全地上传/下载。在用户检索数据时，将自动进行解密。提供对静态数据加密的多种选项：如果您希望管理自己的加密密钥，则可以使用加密客户端等客户端加密库先对数据加密，再将其上传到存储。如果让资源池平台为您管理加密密钥，则可以使用服务器端加密(SE)。使用SE，您只需在写入数据元时另外添加一个请求标头，即可对上传数据加密。审计：能够记录对资源所做的请求。让对自己的存储资源本身，或者在其中的数据进行监控和审计。针对用户的沃云存储段提出的相关请求，创建相应访问日志记录。服务器访问日志可捕获对存储段或其中的数据元发出的所有请求。易于管理无需另外安装管理服务器，即可提供容易使用的Web管理界面。提供图形化的管理界面监控各节点的使用状态并在侦测到异常时采用email警示。系统会在侦测下列情况并且提供email警示。沃云存储服务支持主流的开源数据库，同时支持Oracle等关系型数据库的数据迁移，提供完整的存储协议支持：提供AmazonS3,OpenStackswift,Webdav,CIFS,NFS,iSCSI,FC等标准存储协议，让使用者现有应用能完整且无接缝迁移。可保存各种类型的数据对象，不限文件数目和大小，通过分布式架构支持大规模的请求处理与数据传输，存储容量无限制。通过分布式架构支持大规模的请求处理与数据传输，确保对象存储服务的高可用性，存储容量和服务规模没有任何限制，系统规模可以水平扩展。沃云存储服务性能数据安全隔离沃云分布式云存储提供多的数据隔离机制。系统可为每位用户创建相互独立的存储池，存储于不同存储池中的数据彼此不会产生任何交叠。同时可为用户的存储池配置专用的存储网关，即用户仅可以通过配置的专用网关才可以访问相应的数据存储池中的数据，确保不同用户从数据访问通路以及数据底层存储都完全做到数据安全隔离，实现针对IP地址、用户、用户组等设置访问权限的控制。分布式存储性能以下性能测试报告是4节点分布式存储集群上用以下硬件测试出来的效能。SuperMicro2U12BayCPU:

SandyB.R6CE5-26302.3G15M7.2GT95Wx2RAM:

16GBDDR3-16002Rx4ECCREGDIMMx9HDD:

Seagate3.5"3.0TBSATAIII,7.2KRPMx12NIC:

STDDual-port10GEthernetwithSFP+W/CDRx2SSD:PCI-basedSSD(FusionIO)Raid6IOPS测试性能使用8台虚机，在虚机内执行IOMeter做IOPS的测试：Throughput测试性能ParametersResultVM1100%read1MBsequential10GBdisksize235MB/sVM2100%read1MBsequential10GBdisksize248MB/sVM3100%read1MBsequential10GBdisksize49MB/sVM4100%read1MBsequential10GBdisksize221MB/sVM5100%read1MBsequential10GBdisksize233MB/sVM6100%read1MBsequential10GBdisksize212MB/sVM7100%read1MBsequential10GBdisksize244MB/sVM8100%read1MBsequential10GBdisksize234MB/s平均值：234.5MB/sParametersResultVM1100%write1MBsequential10GBdisksize211MB/sVM2100%write1MBsequential10GBdisksize206MB/sVM3100%write1MBsequential10GBdisksize203MB/sVM4100%write1MBsequential10GBdisksize214MB/sVM5100%write1MBsequential10GBdisksize200MB/sVM6100%write1MBsequential10GBdisksize207MB/sVM7100%write1MBsequential10GBdisksize219MB/sVM8100%write1MBsequential10GBdisksize208MB/s平均值：208.5MB/s沃云存储服务特性数据存储备份分布式存储集群支持实时多副本功能。数据在集群中实时保存n份副本，可确保任意(n-1)台节点出现故障时数据依旧安全且可访问，多数据中心的不同云存储集群间支持数据互备互援，确保发生人力不可控的灾难时数据依旧安全。例如联通沃云呼和浩特云数据中心存储池配置3个副本。沃云存储数据会自动生成数据副本，保障由于意外的硬件设备故障导致数据丢失。如果数据出现损坏，沃云存储会根据数据副本对数据自我修复。沃云存储为用户提供快照功能，以便根据需要，对自己的数据进行快照，并根据需要进行快照数据还原。沃云存储通过远程数据备份机制来实现灵活可靠的灾难备份和恢复，保障数据安全。沃云三种云存储产品比较：存储类型弹性块存储文件存储对象存储访问方式本地虚拟磁盘远程文件系统HTTP访问，通过标准AmazonS3接口与云主机绑定绑定不绑定不绑定性能情况带宽高、延时小、I/O高带宽高、延时较大,随机小I/O低-易扩充性低高高应用场景局域网、对性能要求高，频繁的数据修改和读取，如数据库。局域网，文件共享程度高，对性能要求不高，海量数据存储。广域网，可随时通过Internet直接访问和修改存储数据。沃云三种云存储产品对比图支持多主机访问文件存储技术是将分布独立的数据整合为大型集中化管理的数据中心，以面向多个不同弹性云主机提供访问。文件存储类似于一个专用的文件服务器，为数据存档和备份提供安全耐用的大规模数据存储服务，且可以无限扩容。低成本文件存储没有前期投资负担，无需自己部署和维护自己的文件存储系统，只需按已使用的容量付费，因而节省了资金。安全性文件以多副本方式存储，可防止文件因单点故障导致无法及时访问或丢失损坏，同时也存储在一个设施内的多个设备上。无限扩展文件存储提供基于分布式架构的大规模数据存储服务，可进行扩展以满足的不断增长且通常无法预测的存储要求，文件存储会根据客户的存储容量自动扩展，文件存储的容量没有上限。挂载多个存储实例弹性块存储提供了持久化的、独立于主机生命周期的、高可用的块存储设备服务，弹性块存储可以挂载在任意一个运行中的主机上，弹性块存储结合弹性云主机使用，使数据更安全、更具灵活性，特别适合需要建立数据库、文件系统或可访问原始数据块级存储的应用，节约成本无需采购存储设备，存储空间可自由定制，产生的费用按弹性块存储的使用时间和使用容量来计算。灵活部署创建后即可对弹性块存储进行挂载实现快速部署，每块弹性块存储可以挂载到任意一台云主机上，两者具有不同的生命周期，当云主机被删除时，弹性块存储数据仍然存在，并可以挂载到其它的云主机上继续使用。按需使用可申请多个弹性块存储，每块弹性块存储申请的最大空间可至2T，可以随着业务的增大对块存储弹性扩展存储空间，也可以为主机挂载更多的弹性块存储，不再使用时可通过简单的web操作进行删除。安全可靠7x24小时贴心服务，每份弹性块存储数据在后台都存有多分冗余并实时同步，保证安全及传输效率。云安全虚拟化安全产品虚拟安全网关虚拟安全网关的设计是基于成熟的安全操作系统TOS,可以为用户提供TOS硬件网关产品所有的安全功能，包括访问控制、攻击防御、病毒防御、应用控制、身份认证、日志审计等，同时对系统进行深度优化和改造以减少开启各安全引擎后带来的性能降低，保证用户网络的安全性。虚拟安全网关核心技术及实现此解决方案是将TOS系统软件作为一个虚拟机来运行，通过对Vswitch的配置调整将需要进行安全检查的流量指向虚拟安全网关来完成相应的安全检查和流量监控审计等；并针对vmware的虚拟网卡驱动进行优化，使TOS系统在虚拟化平台上依然具有硬件防火墙的性能。VEB解决方案采用此方案的优势主要有：基于主机安装和管理，虚拟机无需安装代理多层次分级别的安全防护实现网络流量可视化和可审计化各虚拟机间报文转发性能高，延迟低节省接入层物理交换设备与现有标准兼容性好集中管理在虚拟化产品和技术广泛部署和使用后，各种设备的管理和状态监控问题也日益突出，沃云虚拟安全网关产品的推出，使得集中管理对于虚拟机的数据访问和运行状态的监控也变为可行。集中管理不仅可以对传统的网络设备、安全设备进行统一管理和监控，对的虚拟安全网关产品也可以进行统一管理、部署、监控和策略下发。另外通过对全网设备集中的管理和监控、攻击行为的分析后，找出安全威胁和漏洞，发现网络脆弱点和安全短板，加强安全策略的应用并检验安全策略应用效果，从而构成安全闭环。集中审计同样由于虚拟安全网关产品的推出，使得安全审计也成为可能，虚拟机之间的所有访问日志和安全性问题都可以通过虚拟安全网关以日志形式发送到外部服务器，由外部的集中审计产品来完相关的审计和报表的生成处理。集中授权对于来自虚拟机外部和内部的访问授权也是虚拟安全网关产品的一个重要功能，未经认证的用户访问不同虚拟机资源时必须经过虚拟安全网关的认证后才可以访问相关指定资源，认证服务器可以统一部署、集中认证。随着云计算和虚拟化普及，越来越多的企业和用户开始将云定义为IT系统面向未来转型的重要方向，随之而来的虚拟化安全也面临着严峻的考验。中国联通凭借着敏锐的市场洞察力和深厚的技术积累，推出的虚拟化整体安全解决方案，使用户在充分发挥虚拟化所带来的优势，实现经营成本的降低的同时，为用户保障各业务系统的安全稳定运行。其他安全产品网络安全审计沃云平台提供完善的日志审计体系，不论是四川省政务云外部应用云平台还是内部应用云平台在核心区均配置日志审计服务器，日志审计的范围包括通讯日志、访问日志、内容日志等。 沃云平台日志的收集审计记录包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息，通过系统中独立的的监控日志系统实现。沃云平台的日志分析体系也通过日志审计服务器来进行，并生成审计报表，通过系统中独立的的安全审计系统实现。 沃云平台通过边界防火墙、入侵检测和VPN通道，确保日志审计服务器不会被侵入，并规定日志审计服务器操作权限实施必须经两个岗位确认，确保单人的误操作导致数据损坏或丢失。VPN安全接入沃云平台会对非授权设备私自联到内部网络的行为进行排查，并通过端口控制来准确定出位置，并依据云平台安全管理机制对非授权接入设备的通讯进行有效阻断；为四川省政务云提供服务的机房本身只有指定机房维护人员可以进入；而四川省政务云各办公地点访问请求，则通过部署MAC地址绑定和防止ARP欺骗的安全设备进行接入控制；VPN接入的远程终端，通过物理的动态密码口令卡限制其访问。沃云平台通过云内提供的SSLVPN集中器为远程VPN拨入终端用户提供SSLVPN通道，实现对内网业务系统的访问控制。通信保密性，通过网络分区设计和各个专线的接入实现。云提供远程专线接入，四川省政务云及其下属各级机构的终端用户采用四川省政务云内网接入实现对内网的访问，同时配合本项目软件开发部分开发的系统进行通信完整性、保密性的保证。此外，通信完整性和应用系统关系密切，应用系统的服务器端和客户间的通信在应用系统开发中采用SSL通讯加密和数字证书技术，实现通信保密和抗抵赖能力。入侵防御系统沃云平台在网络边界处通过部署在内外部核心区的入侵检测系统监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。通过在网络边界部署入侵防护系统来实现对网络攻击的防范；为安全管理中心提供重要的安全事件数据，为整体的安全态势分析和安全事件的事后取证和定位提供重要依据。这里针对业务服务器区域边界，入侵防护系统将执行以下的安全策略：1、防范网络攻击事件：入侵防护系统采用细粒度检测技术，协议分析技术，误用检测技术，协议异常检测，可有效防止各种攻击和欺骗。针对端口扫描类、木马后门、缓冲区溢出、IP碎片攻击等，入侵防护系统可在网络边界处进行监控和阻断。2、防范拒绝服务攻击：入侵防护系统在防火墙进行边界防范的基础上，工作在网络的关键环节，能够应付各种SNA类型和应用层的强力攻击行为,包括消耗目的端的各种资源如网络带宽、系统性能等攻击，主要防范的攻击类型有TCPFlood，UDPFlood，SYNFlood，PingAbuse等；3、审计、查询策略：入侵防护系统能够完整记录多种应用协议（HTTP、FTP、SMTP、POP3、TELNET等）的内容。记录内容包括，攻击源IP、攻击类型、攻击目标、攻击时间等信息，并按照相应的协议格式进行回放，清楚再现入侵者的攻击过程，重现内部网络资源滥用时泄漏的保密信息内容。同时必须对重要安全事件提供多种报警机制。4、网络检测策略：在检测过程中入侵防护系统综合运用多种检测手段，在检测的各个部分使用合适的检测方式，采取基于特征和基于行为的检测，对数据包的特征进行分析，有效发现网络中异常的访问行为和数据包；5、监控管理策略：入侵防护系统提供人性化的控制台，提供初次安装探测器向导、探测器高级配置向导、报表定制向导等，易于用户使用。一站式管理结构，简化了配置流程。强大的日志报表功能，用户可定制查询和报表。6、异常报警策略：入侵防护系统通过报警类型的制定，明确哪类事件，通过什么样的方式，进行报警，可以选择的包括声音、电子邮件、消息。7、阻断策略：由于入侵防护系统串联在保护区域的边界上，系统在检测到攻击行为后，能够主动进行阻断，将攻击来源阻断在安全区域之外，有效保障各类业务应用的正常开展，这里包括数据采集业务和信息发布业务；边界防护系统部署效果：通过在网站发布服务器区域边界部署防火墙、入侵防护系统、防病毒网关系统来实现对网络攻击的防范，即可以有效检测并实时阻断隐藏在海量网络中的病毒、攻击与滥用行为，也可以对分布在网络中的各种流量进行有效管理，从而达到对网络架构防护、网络性能保护和核心应用防护。数据库安全审计沃云平台通过在内部应用云平台及外部应用云平台部署专门的日志审计服务器和数据库审计服务器为应用系统提供覆盖到每个用户的安全审计功能，配合本项目第一包的软件开发部分，对应用系统重要安全事件进行审计。通过专门部署在安全管理区内的上述日志审计服务器和数据库审计服务器，保证公众用户或一般内网用户（信任用户）无法单独中断审计进程，无法删除、修改或覆盖审计记录。上述日志审计服务器和数据库审计服务器负责的审计记录的内容包括事件的日期、时间、发起者信息、类型、描述和结果等。通过上述日志审计服务器和数据库审计服务器可提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。堡垒机网络审计系统是安全管理体系的重要组成部分，部署在单位的内部网络中，用于保护单位内部资源和网络的安全性。网络审计系统应用了目前先进的技术作为支持，针对企业内部核心服务器、网络设备和应用进行保护，对此类资产的常用访问方式进行监控和审计，例如对字符终端、图形终端等访问方式进行监控和审计，实现对用户行为的控制、追踪、判定，满足四川省政务云网络对安全性的要求。防火墙通过在门户网站网络各个节点执行隔离和访问控制措施，将大大提升计算环境的安全性，有效防范非法的访问。采用防火墙实现基于数据包的源地址、目的地址、通信协议、端口、流量、用户、通信时间等信息，执行严格的访问控制。功能及策略1、安全域隔离：防火墙部署接入交换机之后，并提供多个端口，分别连接在DMZ区和内部局域网核心交换机上。2、访问控制策略：防火墙工作在不同安全区域之间，对各个安全区域之间流转的数据进行深度分析，依据数据包的源地址、目的地址、通信协议、端口，进行判断，确定是否存在非法或违规的操作，并进行阻断，从而有效保障了各个重要的计算环境。3、会话监控策略：在防火墙配置会话监控策略，当会话处于非活跃一定时间或会话结束后，防火墙自动将会话丢弃，访问来源必须重新建立会话才能继续访问资源。4、网络防攻击控制策略：防止ARP欺骗，防冲击波等。实现效果：满足等级保护的访问控制，结构安全等基本要求。防病毒网关与主机、服务器防病毒软件不同，防病毒网关运行在区域边界上，分析进入网络的来自互联网和内部网络的数据包，对其中的恶意代码进行查杀，防止病毒在网络中的传播。有些病毒在网络中传播（比如蠕虫病毒），在没有感染到主机时，对网络已经造成危害，而病毒过滤模块针对这些病毒产生的扫描数据包，在边界处就过滤了这些无用的数据包，从而为网络创造一个安全的环境。防病毒网关与部署在网站服务器上的防病毒软件相配合，从而形成覆盖全面，分层防护的多级病毒过滤系统，防病毒网关执行以下的安全策略：功能及策略1、病毒过滤策略：防病毒网关对SMTP、POP3、IMAP、HTTP和FTP等应用协议进行病毒扫描和过滤，通过恶意代码特征过滤，对病毒、木马、蠕虫以及移动代码进行过滤、清除和隔离，有效地防止可能的病毒威胁，将病毒阻断在敏感数据处理区域之外。2、恶意代码防护策略：防病毒网关支持对数据内容进行检查，可以采用关键字过滤，URL过滤等方式来阻止非法数据进入敏感数据处理区域，同时支持对Java等小程序进行过滤等，防止可能的恶意代码进入敏感数据处理区；此外，防火墙也支持对移动代码如Vbscript、JAVAscript、ActiveX、Applet的过滤，能够防范利用上述代码编写的恶意脚本。3、蠕虫防范策略：防病毒网关可以实时检测到日益泛滥的蠕虫攻击，并对其进行实时阻断，从而有效防止信息网络因遭受蠕虫攻击而陷于瘫痪。4、病毒库升级策略：防病毒网关支持自动和手动两种升级方式，在自动方式下，系统可自动到互联网上的厂家网站搜索最新的病毒库和病毒引擎，进行及时的升级。5、日志策略：防病毒网关提供完整的病毒日志、访问日志和系统日志等记录，这些记录能够被部署在三级计算环境中的日志审计系统所收集。实现效果满足等级保护恶意代码防护的基本要求。Web应用防火墙Web服务还是要对外开放的，也就是说HTTP及HTTP服务的端口需要开放，只要WEB服务开放，WEB系统就会出现诸多WEB层面的安全问题。Web应用防火墙的就是解决这方面的难题，从应用层面阻止web攻击行为。在网站前端边界部署web应用防火墙，它能阻止的攻击包括：SQL注入攻击XSS攻击盗链攻击爬虫恶意扫描保护Web服务器的相关重要配置文件不被篡改；防止挂马攻击或后门程序运行。网闸按照等级保护基本要求应按照信息系统的业务类别、安全等级保护等因素，划分为不同的安全域；在本方案中，网闸采用双机热备的方式部署于托管云域与私有云域的边界连接处，将整个网络有效地进行安全域隔离，可以实现所需要的安全控制、防病毒、抗拒绝服务攻击。网闸的主要功能包括安全Web浏览功能网闸的Web浏览有两种工作状态：客户端保护状态和服务端保护状态。Web客户端保护状态的主要目的是保护内网用户不受到外网Web站点上有害内容的侵扰，本工作状态对应于受控通道的代理工作模式；而服务端保护状态的主要目的是保护内网Web服务器不受外来访问的恶意攻击，本工作状态对应于受控通道的转发工作模式。除了基本的配置之外，网闸的该业务功能加入了多种安全策略供管理员配置，具体包括：支持Http和Https协议；支持访问控制对象：源地址、目标地址、源端口、目的端目、域名、URL、访问方式、时间等；支持脚本过滤，如Javascript、Applet、Activex等；支持基于用户名、口令的认证机制；支持关键字过滤（采用自主研发的下推自动机的高效过滤算法）；支持网页获取方式和提交方式控制。安全邮件收发功能网闸在处理邮件相关协议时，可将其看作一个安全的邮件信息交换平台，用户可以使用常见的邮件客户端工具（如outlook和foxmail）来设置在互联网上的公共邮箱，以便实现邮件信息交换。网闸的业务功能的处理中加入了多种保护邮件的策略设置，具体包括：支持POP3、SMTP协议；支持邮件的主题及内容过滤，可以有效地防止内部机密信息的泄漏；支持邮件大小控制，可限制大附件的邮件；支持邮件附件类型的控制；支持邮件中可执行的脚本过滤；支持发送地址、收件地址过滤；限制垃圾邮件，保护用户不受垃圾邮件的干扰；支持IP、MAC等地址过滤；支持邮件病毒查杀功能。FTP文件交换功能网闸提供的FTP协议通道主要保护内网FTP服务器不受攻击。除受控通道的基本安全支持外，FTP协议还可对使用FTP通道传输的内容进行过滤，包括病毒等恶意代码的查杀。支持主动模式和被动模式；支持FTP命令过滤；支持文件类型、文件大小的控制；支持文件内容过滤；支持病毒查杀；IP地址、MAC等地址过滤。数据库访问功能网闸的数据库访问功能提供在内外网隔离的环境下，实现内外网之间的数据库访问。支持常见数据库的访问，如Oracle、SqlServer、DB2、SyBase、MySql等；支持Sql语句控制；支持IP地址、MAC等地址过滤；支持操作时间限制，设定特定时间访问数据库操作。文件同步功能网闸的文件同步功能能够实现两个网络间的文件实时交换功能，可跨平台部署。基于专用客户端提供安全的文件同步功能，占用系统资源少，文件交换效率高，不会频繁的进行磁盘扫描；支持windows平台和linux平台；同步传输方向可控，双向或单向；支持实时扫描传输；支持一对多或多对一传输；支持目录内子目录同步，至多支持32级目录；支持中文文件名或目录同步；支持文件类型控制；文件大小过滤；文件内容过滤；支持病毒查杀。数据库同步功能网闸的数据库同步功能通过灵活的同步机制，保证不同安全等级网络中的数据库中数据的实时同步更新，具体包括：支持各种同构或异构的关系数据库之间的数据交换，如Oracle、Sybase、SQLServer、DB2等，另外，还支持数据库到文件、文件到数据库、文件到文件的数据交换；支持异构数据结构以及代码语义的转换规则定义，并实现源数据到目标数据之间的实时数据交换，支持数据整合业务；支持数据一对一、一对多、多对多的单向或双向交换和同步，支持实时交换或定时同步的策略定义；支持数据库记录以增量方式、全表复制方式、标识方式同步；支持二进制普通文件、图片、文本文件等大字段同步；采用XML技术，具有可配置性。可以通过标准定义、规则定义、通道定义和路由定义进行个性化的数据交换策略定义。网页防篡改系统针对系统需要对众多用户提供访问服务，这类系统均为web系统。由于这些系统会连接互联网，自然带来很多的不安全隐患，为了保障WEB系统的安全性，需要部署主页防篡改系统，实现对发布网站的实时监控，一旦发现网站内容被非法更改，可立即恢复。部署位置为门户网站及所有的web应用系统上。采用管理区域的一个虚拟主机安装安理中心。在服务器上安装监控Agent。在虚拟主机安装管理客户端防篡改管理客户端实现对网站的管理，包括手工同步、删除文件、上传文件、下载文件。将可信备份目录与监控发布端目录进行同步，此后所有的网站内容更新和维护均在备份端实现，系统将会自动将备份端内容自动增量同步至发布目录。被保护目录的下面某个子文件夹需要进行日常维护，或网站日志文件，这部分被认为是动态变化的，需要在被保护目录里面加以排除。流量控制系统联通沃云流量控制系统主要功能是应用流量监控分析，通过透明部署后，能够实时显示整网的网络应用情况，并能够根据网络应用做多层次应用的带宽管理，其中包括带宽限制、带宽预留、带宽保证三种机制，是新一代应用层流量管理系统。联通沃云流量控制系统在实际应用中，对大流量环境，着力表现为P2P流量的精细化管理；而对于政府网络，更偏重于流量的优先级分配及对视频、P2P的限制，同时兼顾对各种事件进行关联管理；对于有少量P2P控制需求的企业应用来说，对P2P的控制精度要求不是很高，更强调带宽保证及业务的优先级保证。联通沃云流量控制系统不但能准确识别各种应用及流量，而且对流量可进行精细化的管理，为用户提供了应用监视、流量分析、流量管理、流量统计、流量管理控制等功能，是一套真正改善用户网络性能的整体解决方案。漏洞扫描系统联通沃云脆弱性扫描与管理系统是四川联通基于多年网络安全产品研发经验推出的包括应用检测、漏洞扫描、弱点识别、风险分析、综合评估的脆弱性扫描与管理评估产品。漏洞扫描系统不但可分析和指出有关网络的安全漏洞及被测系统的薄弱环节，给出详细的检测报告，并针对检测到的网络安全隐患给出相应的修补措施和安全建议。漏洞扫描系统为提高内部网络安全防护性能和抗破坏能力，检测评估已运行网络的安全性能，为网络系统管理员提供实时安全建议提供一种有效实用的脆弱性评估工具。漏洞扫描系统采用B/S设计架构，支持以独立或以分布的方式灵活的部署在客户的网络内。分布式部署支持两级和两级以上的分布式、分层部署，能够同时管理多个扫描引擎，并对扫描引擎的扫描结果信息可以集中查询、分析；支持上下级单位消息发布、接收，补丁发布，补丁下载等，漏洞扫描系统有利于网络管理员交流，共享补丁库，共享信息，保障整体安全。漏洞扫描系统采用先进的扫描引擎，集合了智能服务识别、多重服务检测、脚本依赖、脚本智能调度、信息动态抛出、安全扫描、优化扫描、拒绝服务脚本顺序扫描、断点恢复等先进技术，确保了扫描的高准确性、高速度。漏洞扫描系统的扫描引擎采用基于主机、目标的漏洞、网络、应用的检测技术，最大限度的增强漏洞识别的精度。漏洞扫描系统采用基于应用的检测技术，被动的非破坏性的办法检查应用软件包的设置，发现安全漏洞。采用基于主机的检测技术，被动的非破坏性的办法检测系统的内核，文件的属性，操作系统的补丁等问题。这种技术还包括口令解密，把一些简单的口令剔除。因此，这种技术可以非常准确的定位系统的问题，发现系统的漏洞。采用基于目标的漏洞检测技术，被动的非破坏性的办法检查系统属性和文件属性，如数据库，注册号等。通过消息文摘算法，对文件的加密数进行检验。技术实现通过在一个运行的闭环上，不断地处理文件，系统目标，系统目标属性，然后产生检验数，把这些检验数同原来的检验数相比较，发现改变即通知管理员。采用基于网络的检测技术，积极的非破坏性的办法来检验系统被攻击崩溃的可能性。利用一系列的脚本模拟对系统进行攻击的行为，然后对结果进行分析，针对已知的网络漏洞进行检验。网络检测技术常被用于发现一系列平台的漏洞，穿透实验和安全审计，使漏洞扫描系统成为辅助网络系统管理员进行穿透实验，安全审计，提供实时安全建议的有效脆弱性评估工具。安全管理平台联通沃云安全管理系统是针对新兴市场推出的一款全新产品。系统采用全新的架构设计，功能简洁、部署方便、使用简单。平台能够实时不间断的采集来自不同厂商的安全设备、网络设备、主机、操作系统、数据库以及各类业务系统的包括日志、运行状态等各类海量安全信息数据，并对海量原始数据进行高效存储，是一款针对政府、公安、金融、教育、能源、军工、医疗、大中小型企业等用户提供符合国家等保以及各种行业法律法规要求而量身打造的一款简单、易用的针对IT设备与系统的综合监控与审计系统。联通沃云安全管理系统采用全新的架构设计，功能简洁、部署方便、使用简单。此外，系统还提供强大的可扩展接口，不断扩展系统的安全信息收集与安全事件分析能力，实现了可持续发展，保障客户投资，是目前国内信息安全管理最佳轻量级解决方案。联通沃云安全管理系统基于SOA架构设计，采用B/S管理模式。整个系统由设备状态实时监视、数据采集与处理、海量数据高效数据存储、安全事件实时关联分析、安全事件告警响应、综合报表统计分析以及系统管理等子系统构成。灾备系统介绍沃云灾备软件系统共分为三部分：工作机模块、灾备机模块、控制机模块。工作机(Worknode)指的是用户的生产机，即常说的源端(Source)；灾备机(Backnode)指的是存放灾备数据的远程服务器，即常说的目标端(Target)；控制机(Ctrcenter)则指的是灾备软件系统的控制平台所属的服务器，在控制机上部署完灾备软件的控制模块后，由于灾备软件的控制模块是通过Web界面实现配置和管理的，所以任何一台主机只要能通过浏览器连接到控制机，则可进行相关的管理工作。核心功能镜像（Mirror）--初始化拷贝数据到灾备机/选择时间校验或严格校验方式比较两端数据，将剩余数据同步到灾备机。实时复制（Replication）--实时捕捉工作机监控目录的数据变化，将变化的数据以字节级同步到灾备机。定时备份（Backup）--在某个固定的时间定时备份需要保护的数据，如每天晚上12:00，每周五17：00对需要保护的数据进行备份，其他时间则不做备份。整机备份及恢复（FullServerBackup）--对整个生产系统进行备份保护，包括应用程序，数据，以及相关的所有配置信息等，异常时将备份恢复成一台新的服务器对外提供服务。恢复（Recovery）--恢复灾备机上的备份数据到任意一台工作机上，并支持CDP数据恢复，快照恢复。整机迁移恢复--i2利用实时数据移动和硬件无关的转换技术提供独创的迁移流程，操作系统、应用程序和数据都可以在不同厂商、型号和配置的服务器轻松移动，可迁移恢复到驱动、CPU和内存和生产服务器完全不同的物理或虚拟服务器上。I2在迁移过程中生产系统无需停机，且将数据从生产服务器镜像到新服务器过程中，对生产系统的正常操作无任何影响，且可在不影响生产系统正常运行的情况下，实时验证迁移是否成功。技术原理软件通过旁路式监听源端的数据变化，以字节级增量数据捕捉方式，将生产端变化的数据复制到灾备中心并将变化的数据实时地传输到任意距离外的灾备站点，且通过特有的数据序列化传输技术（DataOrderTransfer），严格保证生产系统和灾备中心数据的一致性和完整性。其具体实现原理如下图：相关技术特点打开文件的复制无需系统停机重启或应用暂停，i2也可部署，即在应用运行时在线部署i2软件。为此，i2专门研发了针对打开文件的灾备保护功能，通过该功能，灾备代理可随时部署，对生产系统无任何影响，保证了应用运行的连续性。如某些应用程序在使用其数据文件时，通常会以独占方式打开该文件，如Outlook、DB2等类型的应用均存在这种对文件的独占访问方式，在这种情况下，常规的备份程序（如系统自带备份工具）就无法打开该文件进行日常备份，i2则能透明地对打开文件进行灾备保护。数据DoT同步技术文件系统的I/O操作通常是要求序列化的，因此这些操作日志也必须保持它原有的操作次序，尤其针对特殊类型的数据文件，如数据库文件等，要求对数据的截获、传输、存储进行严格的按源序处理，否则将导致灾备后的数据库不可用，i2采用独有的DoT（DataOrderTransfer）技术，严格保证数据各个环节的按序传输和处理，从而保证数据的一致性。截获模块在I/O操作被截获时的次序是序列化的，在内核态的截获模块向用户态拷贝过程中或在网络传输的过程中由于拷贝的机制和线程调度的原因有可能导致这种次序被打乱，这种次序被打乱会破坏数据的一致性。源端工作机为保证I/O操作被截获时的次序真实正确地提供给灾备机，就需要在I/O操作被截获时为每个操作日志进行序列化排序，灾备机收到I/O操作日志后对个别乱序通过日志记录中的数字序号重新将I/O操作序列化，在和源端序列严格一致后再提交到灾备端写入。系统在线备份恢复与迁移系统在线备份是指在操作系统正在运行时将系统（包括应用及