采购清单及技术参数

采购清单及技术参数序号设备名称配置数量单位1业务区边界防火墙（核心产品）1．多核处理器硬件架构，标准机架式机箱，配置6个10/100/1000M自适应电口，2个SFP插槽，支持1个扩展槽，1个Console口，网络层吞吐量16G，并发连接≥400万，每秒新建连接数18万，本次配置三年入侵防御（IPS）特征库、病毒防护（AV）特征库授权及升级服务；

2．产品支持路由、透明、交换以及混合模式接入；支持静态路由、策略路由及动态路由，动态路由支持RIPv1/v2/ng，OSPFv2/v3，BGP4/4+协议；

3．支持通过绑定VLAN、VNI（VXLANNetworkIdentifier）、远程VTEP，手动管理VxLan网络；支持MAC、VNI、VTEP静态绑定；

4．支持基于策略的路由负载，支持根据应用和服务进行智能选路；

5．支持基于IPv4/v6地址、应用的会话限制，限制动作包括每IP新建、每IP并发、所有IP新建、所有IP并发，且可以基于安全域指定限制方向；注：其中不动产业务边界部署1台，不动产服务器边界部署2台，一张图服务器边界部署1台。4台2管理中心服务器▲机架式服务器；Intel10核-2.2GHzCPU*2；64GBDDR4内存；2*GE+2*10GE网口以太网卡；1GB缓存RAID卡，支持0/1/10；600GBSAS10Krpm硬盘*4；1+1冗余电源；含安装导轨；1台3日志审计系统▲1．设备要求：采用软硬件一体化，标准机架式设备，千兆电口≥6个。事件采集≥5000EPS，事件处理2000EPS，内置存储空间≥2T，配置≥50个授权节点；

2．审计范围：能够对企业和组织的IT资源中构成业务信息系统的各种网络设备、安全设备、安全系统、主机操作系统、数据库、中间件以及各种应用系统的日志、事件、告警等安全信息进行全面的审计；

3．资产管理：可按照设备资产重要程度和管理域的方式组织设备资产，提供便捷的添加、修改、删除、查询与统计功能；支持对资产日志进行过滤，设置允许接收和拒绝接收日志，并可以对资产设置一定时间范围内未收到事件后进行主动告警；

4．支持通过syslog、snmptrap、netflow等多种方式完成各种日志的收集功能；同品牌集中管理软件的事件采集性能不低于30000条/秒，事件处理性能不低于10000条/秒；

5．实时监视：支持实时的日志滚动显示，可通过雷达图等直观显示目前日志量和日志详细信息；支持自定义实时监视场景，提供可视化规则编辑视图，对关注的事件进行实时展示；

6．关联分析：可对不同类型设备的日志之间进行关联分析，支持递归关联，统计关联，时序关联，这几种关联方式能同时应用于一个关联分析规则；

7．告警管理：通过关联分析，对于发现的严重事件可以进行自动告警，告警内容支持用户自定义字段；告警方式包括邮件、短信、SNMPTrap、Syslog等；1台4运维审计系统▲1．采用专用千兆多核硬件平台和安全操作系统，标准机架式，千兆电口≥6个，扩展槽≥2个，内置硬盘≥2TB，授权50个被管资源数；

2．物理旁路部署，不影响原有业务访问；支持双机热备HA功能；支持分布式部署，可部署多台运维审计设备共同负载访问压力；

3．支持手机动态令牌验证功能，无需单独安装APP，支持绑定SSH公钥，实现免密码登录，无授权数量限制；

4．支持SSH、RDP、TELNET、VNC、FTP、SFTP、SCP、x11、Rlogin协议主机，支持发布MySQL、SQLServer、Oracle、IE、Firefox、Chrome、VNCClient、SecBrowser、VSphereClient类型的应用；

5．支持用户的IP地址（黑名单或白名单）和MAC地址限制（黑名单或白名单）限制，非法地址无法登陆；支持用户的批量修改，包括重置密码、移动部门、更改角色、修改多因子配置、修改有效期、修改IP限制、修改MAC限制；

6．无需安装任何客户端，便可windows、linux、MACOS等类操作系统登录堡垒机，并访问管理资源；1台5数据库审计系统▲1．专用硬件平台和安全操作系统，系统内嵌数据库；基于B/S管理架构，标准机架式设备，千兆自适应电口≥6个，接口板卡扩展槽≥2个，内置存储空间≥2TB，事件处理≥15000条/秒；

2．系统支持分布式部署方式，并支持数据库审计集中管理功能，可快速查看所有审计系统的状态、风险状态等，方便区域性管理及防护策略的落实；

3．支持B/S、C/S应用系统三层架构http应用审计，可提取包括应用系统的应用层帐号、数据库帐号、操作系统用户名、客户端主机名、客户端IP、客户端MAC等身份信息，精确定位到人，并可获取XML返回结果；

4．产品资质要求：公安部《计算机信息系统专用产品销售许可证》数据库审计增强型。（提供以上资质证书复印件）1台6主机防护系统▲1．采用B/S架构管理端，具备设备分组管理、策略制定下发、全网健康状况监测、统一漏洞修复、网络流量管理、终端软件管理、硬件资产管理以及各种报表和查询等功能；本次配置授权为300个Windows终端许可及20个WindowsServer许可（为满足采购人后续系统扩容的需求，要求主机防护系统还需要支持Linux操作系统以及中标麒麟、银河麒麟等国产操作系统），提供三年系统管理、资产管理、日志报表、设备联动、病毒防护、补丁管理、运维管控（内网终端违规接入外网自动阻断网络连接）等升级服务；

2．按终端维度展示终端的硬件、软件、操作系统、网络、进程等信息；可监控CPU温度、硬盘温度和主板温度；支持终端软、硬件变更审计，资产清单报表；支持统计指定分组或全网的终端扫描数、终端管理软件安装数、未安装终端数及安装率；支持自动发现设备的IP-MAC地址的绑定；支持插件清理，按插件显示展示全网存在的插件和涉及的终端，可清理指定或全部插件、加入信任；按终端显示展示全网每个终端存在的插件，可清理插件；

3．展示全网终端健康状态、报警信息，可方便的查看不健康、亚健康终端列表；展示全网终端病毒库日期比例，可方便的查看全网终端病毒库的情况展示指定时间段内指定终端修复漏洞，病毒查杀，木马查杀的情况；要求支持邮件报警，可以设定多种触发条件，满足条件后自动发送邮件到相关人；支持大数据引擎系统，可将全网终端日常运维数据汇聚存储分析，并根据客户运维管理所需的要求定制报表；

4．要求产品具备主动防御技术，要求产品具备应用级沙箱技术；支持Linux、国产操作系统杀毒；支持浏览器防护，对篡改浏览器设置的恶意行为进行有效防御，并可以锁定默认浏览器设置、要求能够支持XP系统的漏洞利用防御，尤其对通过文件漏洞（尤其是0day漏洞）的攻击行为进行有效检测与防御、对敲诈者病毒提供防护机制；1套7安全准入系统▲1．机架式国产化网络准入管理硬件设备；标准机架式结构；标准配置6个1000MBASE-T接口；每秒事务数（TPS)：≥800（次/秒），最大吞吐量：≥300Mbps；配备≥300点的终端认证用户许可；

2．能够实时监测并发现接入内网的PC、平板电脑、智能手机、IP设备等终端，能够在第一时间隔离阻断并通知管理员；配备认证引导和准入管理；

3．须原生支持802.1x标准协议，无需第三方RADIUS服务器支持；配备基于多厂商VirtualGateway的VLAN隔离技术，实现无客户端环境下端口级准入控制；配备基于策略路由技术的准入控制模式，入网设备在访问网内关键资源时，将被强制隔离、引导至认证管理页面，同时交换机接口动态VLAN下发、端口隔离模式的网络边界管理；

4．配备终端入网IE重定向引导，当用户访问网页时能够自动转向到指定的页面或地址，并支持http代理及多重重定向引导，配备设置第二重定向地址及其要管理的终端网段；可根据用户的实际环境自定义用户重定向引导。能通过浏览器完成身份认证、控件安装、设备注册、安全检查、检查结果展现等全流程引导管理；

5．支持用户在认证页面自行进行账号的申请。用户可自行提交用户名、密码、姓名、电话、部门、E-Mail等信息。管理员审核通过后，用户即可使用该账号进行认证。有效解决用户账号和密码创建和分发的困难。1台8业务系统灾备一体机▲1．机架式设备，600W电源，64位多核处理器，内存16GB，6个热插拔盘位，提供2个千兆以太网接口，备份存储裸容量≥24TB；

2．支持通用RAID0、1、5、6、50、60等多种RAID方式，同时要求具备三重奇偶校验技术，支持任意三块硬盘同时损坏数据不丢；

3．支持目标端在线重复数据删除功能，在数据存储时实时完成重复数据删除处理，不占用额外硬盘空间，不增加后期处理操作，不占用数据源端服务器处理资源；

4．支持远程复制功能，复制细粒度为块级别，复制策略可设置为实时复制、定时复制等策略，支持在本地直接管理远程容灾设备的复制任务。支持一对一、多对一、级联复制等复制方式；

5．支持Windows、Linux及Unix操作系统下的文件或数据库在线备份；支持人大金仓、达梦、南大通用GBase、神通、TRS等国产数据库备份及恢复功能；

6．支持Oracle、OracleRAC的备份，在数据库服务器上无需安装任何客户端程序，即可实现数据备份。支持采用多通道备份方式，实现单一备份任务可并行多条备份通道进行数据备份，最大发挥高速网络（如万兆）和存储性能；

7．支持远程备份功能，采用对等多主控模式，各主控能独立工作；并可实现一对一、一对多、多对一、多对多的远程备份容灾方式；注：不动产业务系统1台，国土“一张图”系统1台。2台9不动产汇聚交换机▲1．交换容量≥5.9Tbps，转发性能≥160Mpps；

2．MAC地址≥64K，IPv4FIB表≥16K，

3．支持双机堆叠，且双机堆叠后所有设备采用统一的转发表项；

4．支持静态路由、RIPv1/2、RIPng、OSPF、OSPFv3、ISIS、BGP、VRRP等协议；

5．支持MPLS、MPLSL2VPN、MPLSL3VPN、MPLSTE、三层组播，并提供国际权威机构测试报告；

6．支持防CPU攻击和MACsec功能；

7．配置交流电源，24个10/100/1000Base-T以太网端口，4个100/1000SFP，4个千兆SFP，2个QSFP+堆叠口。注：针对不动产业务系统部署2台。2台10业务接入交换机▲1．交换容量≥3Tbps，转发性能≥95Mpps；

2．MAC地址≥16K，VLAN支持4k；

3．支持与现有服务器区的华为交换机进行堆叠，堆叠后所有设备采用统一的转发表项，保留测试权利；

4．支持与现有核心交换机之间实现纵向虚拟化技术；

5．支持静态路由、RIPv1/2、RIPng、OSPF、OSPFv3、ISIS、BGP、VRRP等协议；

6．支持openflow和支持MACsec功能；

7．配置：交流电源，24个10/100/1000Base-T以太网端口，4个千兆SFP端口。注：其中不动产业务区部署1台，一张图业务区部署1台，规划业务区部署1台。3台11机房地板改造机房面积约50㎡，更换部分已破损防静电地板约65块，将老旧爱默生UPS主机报废并拆除，电池具有铅酸腐蚀性，拆除后交甲方按报废处置，并对机房卫生进行全部清理等工作。静电地板主要技术要求：

(1)上表面粘接HPL,具有耐久性防静电性能，胶层粘接牢固均匀，采用自动喷胶设备，机械设备自动滚压。

(2)地板的面板、底板采用优质的冷轧合金钢板，底板为深拉伸钢板，一次整体拉伸成形，自动多头点焊机将面板和底板点焊组成地板基体。

(3)地板表面粘贴高耐磨、抗污染、防静电性能优良的高压层装饰板，四周镶钳PVC导电塑料边条。

(4)地板的电性能：温度为15-30℃，相对湿度30-75%时，地板的系统电阻值为1×107-1×1010Ω。

(5)地板的耐磨性能：支架达到上3mm下2mm横梁标准1.0mm。地板表面覆盖层材料为高耐磨三聚氰胺高压层装饰贴面（HPL），其耐磨大于3000转，厚度大于1.0mm。

(6)地板的燃烧性能：地板表面覆盖层材料及边缘装饰材料使用阻燃材料，其燃烧性能达到A级。1项12机房消防系统本机房消防工程应包括两个部分：火灾自动报警系统；七氟丙烷无管网安装方式气体灭火系统，机房区50㎡。

1、消防报警系统，报警区域：机房场所

（1）本机房消防报警设计为区域式报警系统，为一个独立消防系统。

（2）根据GB50116-2013《火灾自动报警系统设计规范》规定，安装消防火灾自动消防报警系统设备；

（3）本机房等气体保护区内设置报警，采用烟感与温感双路监测；其中一路报警，发出警告，并启动被保护区的警铃，两路均报警，则启动气体灭火装置（可延时30S），实施灭火；

（4）消防通道处门均向疏散方向(走廊)开启。机房区出口处设计安全出口标志灯，机房内安装消防应急照灯及排烟设备以满足GB50116-2013《火灾自动报警系统设计规范》规定；

（5）电源采用市电和消防主机自备电源供电方式，符合GB50116-98《火灾自动报警系统设计规范》规定。

2、消防灭火系统

（1）设计保护对象机房共1个防护区，采用全淹没无管网七氟丙烷气体灭火系统，即在一分钟内喷射一定浓度的七氟丙烷并使其均匀地充满整个保护区，将保护区内的火扑灭；

（2）无管网气体灭火系统设计充装压力为2.5MPa(表压)；设计灭火药剂在8s内喷放完毕；

（3）灭火系统的控制方式为自动、电气手动、机械应急手动，在保护区外设置手动控制盒。保护区无人时，应采用自动控制方式，即自动控制报警，发出火警信号，自动启动灭火系统进行灭火；在保护区有人工作或值班时，应采用手动控制，即出现火情经手动启动，发出火警信号，启动灭火系统进行灭火。自动、手动控制系统的转换，可在控制柜上实现；当保护区发生火情，系统电源或电气控制部分出现故障，不执行灭火命令时，可采用机械应急手动控制方式，手动控制必须在提前关闭影响灭火效果的设备。通知并确认人员已经撤离后方可实施；当火灾报警时，在灭火系统喷放灭火剂前发现不需要启动灭火系统进行灭火的情况时，可按下紧急停止按钮阻止灭火指令的发出；

（4）对保护区的要求：保护区为独立区域；保护区的围护结构及门窗的耐火极限不低于0.5h，围护结构及门的允许压强不小于1200Pa；释放七氟丙烷前，停止一切影响灭火效果的设备；保护区的通风系统在喷放七氟丙烷灭火剂前关闭，并设置防火阀门，关闭通风口；保护区外设置光报警及气体释放信号标志，保护区内设置声光报警；在释放灭火剂前，发出火灾警报，火灾报警至释放灭火剂的延时时间为30秒，以保证人员从保护区撤离；在释放七氟丙烷灭火剂时及灭火后废气排尽前不允许有人停留在保护区内。为保证灭火的可靠性，在灭火剂释放之前或同时，应保证切断电源，关闭、停止一切影响灭火效果的设备；保护区应有排风设备，释放灭火剂后，应将废气排尽，人员方可进入，如需提前进入，须带消防呼吸面罩；灭火系统的使用环境温度为-10至49℃；

3、验收

消防系统按招标文件安装完毕后，经第三方有权检测机构检测并通过验收后交付投入使用；

包括但不限于设备安装、调试等费用计入投标报价中，采购人不接受任何变更。1项13机房动环监控系统机房集中监控系统：包含以下各子系统：串口服务器一台；监控系统软件组态平台；支持电话语音报警、短信报警、短信查询与定时报平安系统、电子邮件/微信报警系统等；1、功能要求如下:（1）供配电监测：可测量任何制式的全部相电压/线电压、电流、功率、电能、功率因数、频率等34个参数。

（2）UPS监测：对机房内UPS电源的各部件工作状态、运行参数等进行实时监测；

（3）精密空调监测：对机房内空调的运行状态进行实时监测（厂家提供协议）。安装定位式漏水监测设备，保证机房设备的稳定运行；

（4）温湿度监测：在机房的各个重要部位安装温湿度传感器，采用液晶显示，吸顶安装或墙面安装，美观大气，额定电压：12VDC，测量范围：-20℃～70℃，0～100%RH，精度：±0.5℃、±3%RH。2、机房新增防盗监测功能：对机房内重要区域安装吸顶式红外探测器实时监测机房的人体入侵情况。1项14机房UPS系统扩容现有易事特EA66100主机一套，增加一台电池柜及一组电池组（标配的32节12V/100AH免维护铅酸蓄电池），并接入现有主机中，满足等保中应急储备电量不小于2小时的要求；UPS电池需多提供两节电池（随机抽取）供甲方、县信息办测试容量和破坏性检测，电池内不应含有与制造电池原料无关的材料（如玻璃，沙石，石灰等）。1项15机房线路整改对1楼、5楼机房内线路进行整改：1、对大楼弱电系统600多信息点进行检测，并将信息点不通的模块进行更换，保障每个房间信息点（包括网络信息点和电话信息点）的正常使用。1楼、5楼机房内信息点按楼层及内外网分开。按综合布线标准进行施工，统筹规划，保证线路清晰及便于查找问题。具体整改：（1）线路按综合布线标准上架并打上对应永久性标签，并与网络、通信供应商做好衔接工作；（2）更换各办公室损坏的墙插网络接口模块并打上对应标签；（3）整改过程中充分利旧现有机房的网络设备；整改中需要增加的机柜，配线架，跳线、光纤、线槽、ODF、模块、面板、电话配线架、电话跳线等未考虑到的材料、施工费等均含在总报价中。（4）对5楼非自然资源局的其他单位线路一并规整到位。（5）改善机房现有环境，使其满足测评相关要求。2、现有机柜内只有UPS电，没有市电，每个机柜内增加市电供电，把原有双电源设备，分别接入UPS和市电双供电模式。增加8个PDU和电源线等。3、为杜绝机房线路安全隐患，需对机房强电线路统一规划设计，按综合布线标准重新排布，按标准的要求分开走线。1项16安全服务针对现有业务系统进行整体的安全服务，包括如下内容：

1．漏洞扫描服务：系统和网络进行安全扫描，从内网和外网两个角度来查找网络结构、网络设备、服务器主机、数据和用户账号/口令等安全对象目标存在的安全风险、漏洞和威胁；

2．风险评估服务：通过模拟黑客可能使用的攻击方式和漏洞挖掘行为，对信息系统安全进行深入的评估，发现目前网络和业务系统的脆弱性、可能造成的影响；

3．安全加固服务：根据漏洞检测、风险评估、基线核查等安全评估的结果，结合不同的网络设备、安全产品、操作系统和应用系统的安全特性，对加固对象进行修补加固；

4．安全巡检服务：中标供应商在项目质保期间根据需要每季度须为采购人提供不少于1次的安全巡检服务，出具书面巡检报告；如遇突发情况，中标供应商应无条件提供应急服务（接电话后3小时内到达现场）。

5．新业务上线检测服务：运维期间针对采购人新上线的业务系统进行合规性检查，使其满足等级保护的防护要求；

6．安全培训服务：为了提高采购人的安全防护意识，中标供应商在验收前须为采购人提供不少于2次的安全培训服务；

7．制度完善服务：中标供应商需结合实际情况，为采购人提供满足等级保护测评要求的相关安全管理制度；

注：安全服务以通过等级保护测评为验收依据。3年采购清单及技术要求中的其他要求详见建设方案，建设方案如下：第一章项目概述1.1、项目名称当涂县自然资源和规划局不动产登记及国土资源“一张图”信息系统安全等级保护建设项目服务采购1.2、项目建设方案编制依据1）互联网+政务服务”技术体系建设指南2）政务信息资源类规范、标准3）《中华人民共和国网络安全法》（2017年6月1日）4)《网络安全等级保护管理条例》（征求意见稿）5)《网络安全等级保护定级指南》（GB/T22240-2019）6)《网络安全等级保护基本要求》（GB/T22239-2019）7)《网络安全等级保护安全设计技术要求》（GB/T25070-2019）8)《网络安全等级保护实施指南》（GB/T25058-2019）9)《信息安全风险评估规范》（GB/T20984-2007）10)《电子信息系统机房设计规范》（GB/T50174-2008）11)《计算机场地安全要求》（GB/T9361-2006）1.3、项目概况1.3.1、项目背景网络安全等级保护制度是我国关于信息安全的基本政策，《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发(2003)27号）明确要求我国信息安全保障工作实行等级保护制度。2007年6月发布的关于印发《信息安全等级保护管理办法》的通知(公通字(2007)43号）进一步强调了开展网络安全等级保护工作的重要意义，规定了实施网络安全等级保护制度的原则、内容、职责分工、基本要求和实施计划，部署了实施网络安全等级保护工作的操作办法。2017年6月国家颁布实施《中华人民共和国网络安全法》，正式将网络安全等级保护制度写进国家法律，要求网络系统的使用者、管理者、运营者按照网络安全等级保护制度的要求，履行安全保护义务。这从法治层面进一步推动网络安全等级保护制度的落实。2019年5月，网络安全等级保护制度2.0标准正式发布，实施时间为2019年12月1日,等级保护正式进入2.0时代。等级保护2.0更加注重全方位主动防御、动态防御、整体防控和精准防护，除了基本要求外，还增加了对使用了云计算、移动互联、物联网、工业控制和大数据等新技术的保护对象全覆盖。等保2.0标准的发布，对加强国家及全社会网络安全保障工作，提升网络安全保护能力具有重要意义。随着当涂县自然资源和规划局信息化建设的不断深入，对信息系统的依赖越来越强，自然资源不动产登记和国土资源“一张图”等重要信息系统能否安全正常地运行直接关系到国家安全、公共利益和社会秩序。2020年1月，我局委托第三方等级保护测评机构，对重点应用系统进行等级保护预测评，测评结果与等级保护基本要求存在较大差距，主要体现在：缺少相关安全设备、相关系统安全配置不达标、安全管理制度流程或执行记录与等保要求存在差异。当涂县自然资源和规划局网络安全防护体系急需参照等级保护标准进行整改建设。1.3.2、建设目标结合不动产登记和国土资源“一张图”信息系统的实际情况，按照《信息系统等级保护安全设计技术要求》和《信息系统安全等级保护基本要求》等相关要求，通过落实安全责任制，开展管理制度建设、技术措施建设，落实等级保护制度的各项要求，当涂县自然资源和规划局信息系统整网参照三级标准建设，规划标准参照三级安全架构模型进行设计，使不动产登记信息系统达到三级要求，国土资源“一张图”信息系统达到二级要求，系统安全管理水平明显提高，安全保护能力明显增强，安全隐患和安全事故明显减少，有效保障我局信息化建设健康发展，维护社会秩序和公共利益。本项目建设将完成以下目标：1、建立全面合规的等保体系以当涂县自然资源和规划局信息系统现有基础设施，建设并完成满足等级保护三级系统基本要求的网络信息系统。确保当涂县自然资源和规划局信息系统的整体信息化建设符合相关要求并且整体网络的安全防护水平迈向新的台阶。2、建立安全管理组织机构成立当涂县自然资源和规划局信息安全工作领导小组，局长为安全责任人，信息中心负责拟定实施当涂县自然资源和规划局不动产系统和一张图系统等级保护的具体方案，并制定相应的岗位责任制，确保信息安全等级保护工作顺利实施。3、建立完善的安全技术防护体系根据信息安全等级保护的要求，建立满足等级保护三级要求的安全技术防护体系。4、建立健全信息系统安全管理制度根据信息安全等级保护三级的要求，制定各项信息系统安全管理制度，对安全管理人员或操作人员执行的重要管理操作建立操作规程和执行记录文档。5、制定保障业务不中断的应急预案应急预案是安全等级保护的重要组成部分，按可能出现问题的不同情形以及问题出现时对系统影响程度的深浅来制定相应的应急措施，同时需要组织当涂县自然资源和规划局定期演练已建立的应急预案，提升应急事件的应对效率和意识。6、组织安全技术和意识培训通过合理、有效、深入、系统的安全知识和安全防范意识培训，进一步提升管理维护人员安全防范意识，为信息化技术人员提供信息安全相关专业技术知识培训。1.3.3、项目建设内容考核情况无1.3.4、项目建设的意义和必要性、项目建设的意义当涂县自然资源和规划局的信息化历经多年发展，当前信息化基础建设以及业务系统目前已趋于完善，以不动产登记系统和一张图业务系统为核心的关键业务其中不动产登记系统更是为广大人民群众和上级政府提供了重要的基础数据服务，但相比较下，信息安全的建设水平却存在滞后现象，而随着近年来国家层面对网络安全的重视，以及《网络安全法》和《网络安全技术信息安全等级保护基本要求》条例的发布和实施，网络安全问题被提升到一个战略层面，也成为了各单位负责人以及单位信息化负责人必须要做的基本工作，等级保护的作为国家的一项标准，对于完善信息安全法律法规和标准体系，提高单位的安全建设的整体水平，增强信息系统安全保护的整体性、针对性和时效性具有非常重要的意义。、现状及问题描述.1、系统架构描述当涂县自然资源和规划局通过光纤与市局专网、县电子政务网、县住建局、乡镇国土所实现业务交互，现网拓扑结构如下图所示：当涂县自然资源和规划局网络现状.2、系统设备描述目前内网中有一台边界防火墙、一台出口路由器、两台华为核心交换机、一台不动产汇聚交换机，一台一张图业务交换机，不动产业务服务器五台、数据库服务器两台，一台浪潮的光纤交换机和一台华为的存储设备；四台一张图业务服务器，一台一张图存储系统；四台规划局的服务器及一台存储系统也安装在了资源局的机房中；不动产汇聚交换机与县局电子政务网进行了互联；不动产汇聚交换机通过一台网闸与前置机相连，和住建部门之间进行数据交换；内网中接入交换机集中分布在1楼机房和5楼机房，通过光纤双上行至内网核心交换机；由于采购时间较早，仅有的网神防火墙型号已经停产，相关特征库无法升级，产品也已经继续续保；除防火墙外，网络中安全防护设备较少，没有明确的安全域划分，没有完善的机房管理制度及人员操作管理平台，且机房内部环境较为杂乱，尤其是办公外网部分的机柜环境。.3、机房现状描述当涂县自然资源和规划局的机房总有2个，主机房位于办公大楼的1楼，副机房位于办公大楼的5楼，机房建成时间较早，运维单位多且人员水平参差不齐，机房内没有相关管理和运维制度可以参考，工作责任没有监督和出发措施，导致机房内线路杂乱不堪，给后期单位运维和故障排查带来极大阻碍。1楼主机房机柜环境（部分）如下图所示：

5楼副机房现状环境展示：.4、管理制度描述1）安全管理制度按照新的等级保护基本要求中规定，安全管理制度应当涵盖“管理制度”、“制定和发布”以及“评审和修订“等方面的内容。但我单位未安排专业公司及人员协助我们建立安全管理制度，若按照等级保护2.0标准进行测评，则属于不合规项。2）安全管理组织按照新的等级保护基本要求中规定，安全管理机构应当涵盖“岗位设臵”、“人员配备”、“授权和审批”、“沟通和合作”以及“审核和检查”等方面的内容。但我单位并未组织建立安全管理组织架构，若按照等级保护2.0标准进行测评，则属于不合规项。3）人员安全管理制度按照新的等级保护基本要求中规定，人员安全管理应当涵盖“人员录用”、“人员离岗”、“人员考核”、“安全意识教育和培训”以及“外部人员访问管理”等方面的内容。但我单位未安排专业公司及人员协助建立人员安全管理制度，若按照等级保护2.0标准进行测评，则属于不合规项。4）系统建设管理制度按照新的等级保护基本要求中规定，系统建设管理应当涵盖“系统定级”、“安全方案设计、“产品采购和使用”、“自行软件开发”、“外包软件开发”、“工程实施”、“测试验收”、“系统交付”、“系统备案”、“等级测评”以及“安全服务商选择”等方面的内容。但我单位未安排专业公司及人员协助建立安全系统建设制度，若按照等级保护2.0标准进行测评，则属于不合规项。5）系统运维管理制度按照新的等级保护基本要求中规定，系统运维管理应当涵盖“环境管理”、“资产管理、“介质管理”、“设备管理”、“监控管理和安全管理中心”、“网络安全管理”、“系统安全管理”、“恶意代码防范管理”、“密码管理”、“变更管理”、“备份与恢复管理”、“安全事件处置”以及“应急预案管理”等方面的内容。但我单位未安排专业公司及人员协助建立安全系统运维制度，若按照等级保护2.0标准进行测评，则属于不合规项。、项目建设必要性当涂县自然资源和规划局的中心机房位于办公大楼的1楼，历经多次规模性建设后，机房内基础设施配置相对完整，但由于自办公大楼建成投入使用至今近十年，没有聘请专业的运维支撑单位进行日常维护，因此目前基础设施及相关设备运行情况较差。针对本次等级保护建设，并结合我单位当前网络系统的实际情况，提炼出以下几点等级保护设计、建设环节的核心需求：1、等保合规性设计方案需要综合考虑，在深入了解当前现有网络环境的基础上，结合等级保护新规要求，建设一套完整的、体系化的、符合规定的安全防护方案，达到等级保护测评标准，通过等级保护测评要求；2、产品多元性为了防止同一品牌在某些方面存在设计疏忽或逻辑漏洞，给系统带来因单一产品带来的风险，设计方案中需要考虑使用1-2家厂商产品；3、架构前瞻性方案架构和产品性能、容量配置应具备良好的扩展性和前瞻性，便于后期灵活的扩容；能够从容应对当涂县自然资源和规划局数据中心未来5年内的信息化发展要求；4、平台通用性信息化的快速发展带动着企事业行业信息化的发展，为了促进行业信息化发展，规范引导行业信息化的健康发展，设计方案的系统架构的通用性和产品兼容性需要在考虑因素内；为了全面地对当涂县自然资源和规划局的信息系统安全需求进行分析，本方案还深入参考《GB/T22239-2019信息安全技术网络安全等级保护基本要求》，根据本次等保2.0通用要求中，在“一个中心三重防御”的思想下，进行具体技术和安全服务拆分，将对当涂县自然资源和规划局的信息系统安全需求从安全技术需求分析、安全管理需求分析两大板块进行分析。1.3.5、安全技术需求说明、物理环境需求概述1、自动灭火装置需求概述机房内目前未部署自动灭火装置，根据《信息安全技术网络安全等级保护基本要求》GB/T22239-2019要求，第三级安全要求中“安全物理环境”一项中明确要求：“机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；”本次将通过等级保护建设来完善机房内自动灭火装置的需求。2、UPS系统扩容需求概述现有UPS系统的供电能力只能满足现有机房中的设备负载的临时用电，若本次按照等级保护中要求新增设备，则需要对现有UPS系统的供电能力进行重新计算并扩容。本次将通过等级保护建设来完善机房内UPS系统扩容的需求。3、防静电地板更换需求概述由于机房建设较早，投入使用年限久远，机房内大部分防静电地板的外观已经严重损毁，进入到更换阶段，根据《信息安全技术网络安全等级保护基本要求》GB/T22239-2019要求，第三级安全要求中“安全物理环境”一项中明确要求：“应采用防静电地板或地面，并采用必要的接地防静电措施；”本次将通过等级保护建设来完善机房内防静电地板更换的需求。4、线路及标签整理需求概述由于机房建设较早，投入使用年限久远，涉及到多方运维单位，而各单位人员素质参差不齐，导致现有机房内线路杂乱无章，并且缺少相应标签，这给我单位排查问题带来重重阻碍，据有关统计，信息系统中80%的网络突发故障来自于物理链路，因此规范标准的布线是保障网络稳定可靠的基本前提。本次将通过等级保护建设来完善机房内线路及标签整理的需求。5、机房动环监控系统需求概述信息机房是一个单位的核心场所，随着现如今信息化建设的不断发展及逐渐普及,机房内的机柜、配线室、设备控制室都承担着及其重要的责任,因而对其运行环境的要求都较为高，传统意义上的机房环境监控一般都是采用值班或者管理人员巡查管理方式，耗人、耗力且效率低下。为了改善这一现象，本次通过等级保护建设部署一套动环监控系统提升机房内环境管理效率的需求。、通信网络需求概述1、网络架构完善需求概述当涂县自然资源和规划局的业务内网虽然已经进行了双核心、双接入的冗余设计，但是在重要的业务区域内，仍旧使用了单接入交换机，本次建设需要从网络架构的合理性和冗余能力进行考虑。本次通过等级保护建设，结合当涂县自然资源与规划局网络现状，部署相关设备或功能，来完善等级保护中关于网络架构的相关要求。2、网络区域调整需求概述当涂县自然资源和规划局的业务网络由于前期规划时并没有统一区域划分，导致目前网络并没有明确的区域界限，网络中的流量也没有明确的区域权限，这将导致整网处于高风险状态。本次需要通过等级保护建设，对办公网络进行明确的区域划分，并针对各区域间的办公需要进行权限的精细化控制，降低风险。、区域边界需求概述1、区域边界防护需求概述针对已划分好区域的网络区域边界，需要部署具备相关防护功能的设备来满足《信息安全技术网络安全等级保护基本要求》GB/T22239-2019第三级安全要求中“安全区域边界”一项的相关要求：“应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信；”“应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；”“应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化；”“应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出；”“应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力；”“应对进出网络的数据流实现基于应用协议和应用内容的访问控制。”本次通过等级保护建设，结合当涂县自然资源与规划局网络现状，部署相关设备或功能，来完善等级保护中区域边界防护的相关要求。2、入侵防御需求概述根据等级保护的要求，针对“安全区域边界”和“安全计算环境”之间的防护要求包括：“应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为；”“应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为；”“检测到攻击行为时，记录攻击源IP、攻击类型、攻击目标、攻击时间，在发生严重入侵事件时应提供报警。”“应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。”本次通过等级保护建设，结合当涂县自然资源与规划局网络现状，部署相关设备或功能，来完善等级保护中入侵防御的相关要求。3、安全准入及违规外联控制需求概述等级保护标准在“安全区域边界”中要求：“应能够对非授权设备私自联到内部网络的行为进行检查或限制。”即需要对单位的内部网络边界进行管控，对非授权的连接行为能够发现和限制。本次通过等级保护建设，结合当涂县自然资源与规划局网络现状，部署相关设备或功能，来完善等级保护中安全准入及违规外联控制的相关要求。、计算环境需求概述1、主机防病毒需求概述目前当涂县自然资源与规划局的内网办公终端中，没有部署相关主机安全防护系统，而根据等级保护的要求，办公主机中需要满足如下要求：“应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断；”“应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；”“审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；”“应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；”“应对审计进程进行保护，防止未经授权的中断。”“应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理”。本次通过等级保护建设，结合当涂县自然资源与规划局网络现状，部署相关设备或功能，来完善等级保护中主机防病毒的相关要求。2、数据库行为审计需求概述数据无价，业务系统的全部数据都使用数据库进行保存，数据库的安全应当得到足够的重视，同时在等级保护中也要求：“应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；”“应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计；”“应通过审计管理员对审计记录进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行存储、管理和查询等。”本次通过等级保护建设，结合当涂县自然资源与规划局网络现状，部署相关设备或功能，来完善等级保护中数据库行为审计的相关要求。3、系统及数据备份需求概述等级保护制度中，针对数据的备份和恢复要求，应用数据的备份和恢复应具有以下功能：“应提供重要数据的本地数据备份与恢复功能；”“应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；”“应提供重要数据处理系统的热冗余，保证系统的高可用性。”本次通过等级保护建设，结合当涂县自然资源与规划局网络现状，部署相关设备或功能，来完善等级保护中系统及数据备份的相关要求。4、安全加固需求概述由于办公网络中的各类网络设备、主机系统、数据库系统、应用系统等的安全状况是动态变化的，对于安全问题的发现及安全加固优化配置等操作都需要非常专业的安全技能，需要进行周期性的安全评估、审计、加固等工作，才能够保障整体安全水平的持续提高。、管理中心需求概述1、日志审计需求概述《网络安全法》第二十一条之（三）规定“采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月”。本次将通过安全等保建设来满足相关法律的要求。本次通过等级保护建设，结合当涂县自然资源与规划局网络现状，部署相关设备或功能，来完善《网络安全法》中关于日志审计相关要求。2、运维审计需求概述在日常信息系统运维过程中，由于未进行安全运维，可能会带来特权账号、误操作、恶意操作等问题，等级保护制度针对设备的安全管理和安全操作有着明确的要求，包括：“应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；”“当进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；”“应对登录的用户分配账号和权限；”“应及时删除或停用多余的、过期的账户，避免共享账户的存在；”“应授予管理用户所需的最小权限，实现管理用户的权限分离；”“应对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并对这些操作进行审计；”“应能够建立一条安全的信息传输路径，对网络中的安全设备或安全组件进行管理。”“应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计；”“应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。”本次通过等级保护建设，结合当涂县自然资源与规划局网络现状，部署相关设备或功能，来完善等级保护中运维审计的相关要求。1.3.6、安全管理需求说明、安全管理制度需求概述本次通过安全等保建设，对等级保护中管理要求的安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理的5方面的管理制度进行补充、完善，使其达到能够满足等级保护的相关要求。、系统漏洞扫描需求概述由于我单位内部业务系统较多，有没有专业安全人员对各系统进行进行底层的安全检查，这将会给单位内部系统带来极大隐患。本次需要通过等级保护建设，利用专业工具、设备或者专业手段，定期扫描来发现现有业务系统中存在，但未被发现或者隐藏的风险，来对系统进行进一步的加固操作。、定期风险评估需求概述通过针对业务系统定期的风险评估工作，来发现并分析当前业务系统高、中、低危的风险项，提升安全运维工作效率，并满足等级保护相关要求。、系统安全应急需求概述由于应急预案是安全等级保护的重要组成部分，本次需要通过等级保护的建设，针对我单位的信息系统，协助我单位建立应急管理预案，同时需要协助我单位定期演练已建立的应急预案；提供特殊情况下的安全应急响应支持，包括但不限于机房环境应急响应、网络环境应急响应、系统安全应急响应等内、人员安全培训需求概述人员的安全防护意识和安全防护技术是保证当涂县自然资源和规划局业务系统平稳运行的重要保障基础，通过合理、有效、深入、系统的安全知识和安全防范意识培训，进一步提升管理维护人员安全防范意识，为信息化技术人员提供信息安全相关专业技术知识培训。本次将通过等级保护建设，提升管理、操作人员安全防范意识和安全防护水平，开展定期安全技术培训（包括网络基础培训、信息安全基础培训、相关安全产品培训）和安全管理制度培训，使当涂县自然资源与规划局相关管理人员和技术人员能够熟练掌握安全技术，扎实落实管理制度。、新业务安全检测需求概述考虑到由于部分系统开发时间紧，任务重，人员队伍建设无法迅速满足系统建设的需求，导致系统在上线交付时无法满足安全合规要求，而系统已经开发完成，任何针对信息系统的重新设计或功能完善都将导致迭加的成本投入，甚至不可行。而在应用系统的整个开发过程中，代码编写不规范、人为设置的系统后门开发过程安全管理都是不可忽视的问题，如果不进行规范管理，将导致系统上线后的各种安全问题。所以将通过本次安全等保建设，来保证当涂县自然资源和规划局在后续的业务上线期间的系统软件的安全检测。1.3.7、总体建设与本期建设任务总体建设任务是根据国家相关法律法规和条例，针对当涂县自然资源和规划局的不动产登记系统和一张图业务系统进行等级保护建设，提升当涂县自然资源和规划局的网络安全防护能力和防护水平至一个新高度。由于安全总是一个相对状态，安全建设也应该有着长期和持续性的投入建设，本期建设任务有如下几点：1、改善当涂县自然资源和规划局信息机房的现状，具体工作可概述为：①更机房内破损的静电地板；②机房内增加自动消防系统；③对机房现有的UPS系统进行扩容；④对机房弱电间内现有的线路进行梳理整改；⑤机房内增加一套动环监控系统用于检测机房内温湿度、UPS、精密空调等设备；2、通过建设整改，使不动产登记系统和一张图业务系统通过等级保护新标准的测评，获得公安部门颁发的等保备案证书；3、获得专业化持续性的安全检测能力，提升整体安全防护水平。第二章业务需求分析2.1、业务功能、业务流程和业务量分析1)硬件部分要求根据等级保护相关要求，本次安全建设涉及的相关硬件部分需求：序号设备名称单位数量1▲边界防火墙台42管理中心服务器台13日志审计系统台14运维审计系统台15数据库审计系统台16主机防护系统套17安全准入系统台18业务系统灾备一体机台29不动产汇聚交换机台210业务接入交换机台311机房地板改造项112机房消防系统项113机房动环监控系统项114机房UPS系统扩容项1本次安全建设涉及的相关服务部分需求：序号服务名称单位数量1机房线路整改服务项12安全服务年3第三章总体建设方案3.1、建设原则1、统一性、整体性原则2、一致性原则3、多重保护原则4、适应性及灵活性原则5、合规性原则6、先进性原则7、可靠性原则8、可扩展性原则9、开放兼容性原则10、最小授权原则11、经济性原则3.2、总体建设任务通过安全建设，使不动产登记信息系统及国土资源“一张图”信息系统分别顺利通过等级保护三级测评及二级测评。第四章本期软件项目建设方案4.1、系统整体设计4.1.1、设计原则等级保护是国家信息安全建设的重要政策，其核心是对信息系统分等级、按标准进行建设、管理和监督。1、统一性、整体性原则2、一致性原则3、多重保护原则4、适应性及灵活性原则5、合规性原则6、先进性原则7、可靠性原则8、可扩展性原则9、开放兼容性原则10、最小授权原则11、经济性原则4.1.2、设计思路本项目在进行安全体系方案设计时，将根据国家信息安全等级保护相关要求，通过分析系统的实际安全需求，结合其业务信息的实际特性，并依据及参照相关政策标准，设计安全保障体系方案，综合提升信息系统的安全保障能力和防护水平，确保信息系统的安全稳定运行。具体设计将遵循以下思路开展。1、将合规要求与业务风险分析相结合的设计思路2、纵深防御的安全体系设计思路3、体系化安全保障框架设计思路4、安全体系叠加演进，以积极防御为主的设计思路4.1.3、设计概述、构建分域的控制体系当涂县自然资源和规划局安全等级保护解决方案，在总体架构上将按照分域保护思路进行，本方案将信息系统从结构上划分为不同的安全区域，以安全区域为单位进行安全防御技术措施的建设，各个安全区域内部还根据安全需求的不同进一步划分了子安全域和三级安全域，子安全域和三级安全域的边界也采用了与一级安全域形同的边界安全防护措施，从而构成了分域的安全控制体系。、构建纵深的防御体系当涂县自然资源和规划局安全建设方案包括技术和管理两个部分，本方案针对当涂县自然资源和规划局系统分别从物理安全、计算安全、网络通信安全、区域边界完全、管理安全等方面进行安全技术和措施的设计，实现核心业务应用的可用性、完整性和保密性保护，并在此基础上充分考虑各种技术的组合和功能的互补性，提供了多重安全措施的综合防护能力，从外到内形成一个纵深的安全防御体系，保障信息系统整体的安全保护能力。、保证一致的安全强度当涂县自然资源和规划局等级保护设计方案将采用分级的办法，对于部署于同一安全区域的系统采取强度一致的安全措施，并采取统一的防护策略，使各安全措施在作用和功能上相互补充，形成动态的防护体系。4.1.4、框架建立、安全区域要求在信息系统安全等级保护基本要求中，安全等级保护三级的基本要求中，明确要求网络系统必须具备结构化的安全保护能力，具体要求包括：结构安全：应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；应保证网络各个部分的带宽满足业务高峰期需要；应在业务中断与服务器之间进行路由控制建立安全的访问路径；应绘制与当前运行情况相符的网络拓扑结构图；应根据各部门的工作职能、重要性和涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址。应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段。应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。、安全区域定义安全域是根据等级保护要求、信息性质、使用主体、安全目标和策略等的不同来划分的，是具有相近的安全属性需求的网络实体的集合。一个安全域内可进一步被划分为安全子域，安全子域也可继续依次细化为次级安全域、三级安全域等等。同一级安全域之间的安全需求包括两个方面：隔离需求和连接需求。隔离需求对应着网络边界的身份认证、访问控制、不可抵赖、审计等安全服务；连接需求对应着传输过程中保密性、完整性、可用性等安全服务。下级安全域继承上级安全域的隔离和连接需求。因此，当涂县自然资源和规划局应该划分不同级别的安全域，并对不同级别的安全域实行分级的保护。、区域划分原则当涂县自然资源和规划局安全区域的划分主要依据系统的应用功能、资产价值、资产所面临的风险，划分原则如下：系统功能和应用相似性原则资产价值相似性原则安全要求相似性原则威胁相似性原则、安全区域划分当涂县自然资源和规划局按访问对象和等级保护要求的不同可划分为10个安全区域，包括：核心交换区【高安全域】不动产汇聚区【高安全域】不动产业务区【高安全域】一张图业务区【高安全域】规划业务区【中安全域】安全管理区【中安全域】边界互联区【中安全域】外联接入区【中安全域】内网办公区【高安全域】不动产办公区【中安全域】在项目实施过程中，应避免多个安全等级保护要求不同的业务系统共用一台服务器的现象，不同等级应用系统应分开部署，避免造成对相应业务系统进行安全保护工作的问题及隐患，如出现此种情况，为保障高安全等级保护要求的业务系统，会设置比较严格的安全访问控制措施及其他相关安全策略，但此时可能会造成低安全等级保护要求的业务系统的访问受影响，如相关业务系统端口受限等问题，从而在实际实施中，往往为保证业务系统的正常工作，必须实行低安全等级保护要求的安全访问控制措施，给系统带来了极大的安全隐患。在本次工程中，按各个业务系统不同的安全等级保护要求，将同级别的业务系统部署到同一台服务器上或一个区域内，并按规划好的安全域进行安全防护，保障系统安全及业务的可靠运行。、区域控制原则必须对高级别安全域进行保护，使之免受可能导致高级别数据被低级别安全域的用户泄漏、篡改、破坏的攻击，高级别安全域中的资源不能由非授权的低级别安全域用户使用、修改、破坏或禁用。基于以上对不同安全域的划分，在边界安全方面需要考虑的问题主要有：不同级安全域之间的安全控制主要考虑不同级安全域之间互访的安全控制问题。同级安全域之间的安全控制主要考虑不同逻辑网络之间的同级安全域之间的安全控制问题，以及同一逻辑网络的同级安全域之间的安全控制问题。同一安全域内不同级别安全子域之间的安全控制主要考虑同一安全域内不同逻辑网络之间的安全控制问题。4.1.5、总体设计根据当涂县自然资源和规划局分域保护框架的基础，投标人需要有针对性的给出基于分域保护的总体部署架构图。4.2、技术方案设计4.2.1、安全物理环境设计一般来说，机房物理环境的安全建设可分为技术和管理两个层面。在技术层面，应采取电子门禁、监控报警系统等技术措施，在管理层面，可在司专业安全系统集成工作经验的指导下，制定机房维护管理、出入登记申报等制度。技术措施主要包括如下几个方面：重要区域配置电子门禁系统，从物理层面实现访问控制在条件允许的情况下，配备光、电等机房防盗报警系统在条件允许的情况下，机房、设备配备相应防雷击措施对重要设备采取区域隔离防火措施，并与其他设备在物理上隔离开主要设备采用必要的接地防静电措施，如防静电手环或防静电工作服等设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内在条件允许的情况下设置冗余或并行的电力电缆线路为系统提供持续供电，建立备用供电系统综上所述，物理安全建设需要考虑物理物理环境安全评估、机房安全设施补足、物理安全管理咨询等相关工作。机房安全设施补足可通过设备采购项目予以完善，安全评估、咨询工作可通过专业安全系统集成商的安全服务项目予以执行。当涂县自然资源和规划局当前机房状况的物理环境和配套防护措施已经相对完备，但仍存在以下问题：1、信息机房中未配备自动消防灭火措施；2、机柜内各设备之间连线凌乱不规范，线路标签缺失；3、信息机房中防静电地板破损情况严重；4、UPS系统供电能力需要扩容；4.2.2、安全通信网络设计、安全体系架构为了对当涂县自然资源和规划局实现良好的安全保障，参照等级保护的要求对系统安全区域进行划分设计，实现内部办公、数据共享交换与外部接入区域之间的安全隔离，并对核心区域进行冗余建设，用以保障关键业务系统的可用性与连续性。、安全域划分原则安全域是由安全保护对象中安全计算环境和安全区域边界的综合组成，根据安全域的描述可以把保护对象进行进一步的划分，同时使整个网络逻辑结构清晰。安全域可以根据其更细粒度的防护策略，进一步划分成安全子域，其关键是能够区分防护重点，形成重要资源重点保护的策略。安全域的理论和方法所遵循的根本原则。、业务保障原则、适度安全原则、结构简化原则、等级保护原则、立体协防原则、生命周期原则1、对于安全域的划分和布防不仅仅要考虑静态设计，还要考虑不断的变化；另外，在安全域的建设和调整过程中要考虑工程化的管理。2、当涂县自然资源和规划局网络安全域划分根据当涂县自然资源和规划局整体安全需求并结合《网络安全等级保护基本技术要求》和《网络安全等级保护安全设计技术要求》中的相关要求，区域划分如下图所示：本次设计将当涂县自然资源和规划局的系统分成了4大区域10个子区域：四大区域分别是：综合业务区、数据交换区、、外联接入区和安全管理区，10个子区域如下：1）核心交换区、2）不动产汇聚区、3）不动产业务区、4）一张图业务区、5）规划业务区、6）安全管理区、7）边界互联区、8）外联接入区、9）内网办公区、10）不动产办公区4.2.3、安全区域边界设计边界访问控制边界防护与访问控制1、安全风险边界是信息安全的第一道防线，所有访问内部应用的数据均会通过网络边界进入内部网络，随着攻击手段的不断演进，边界所面临的安全风险越来越高，频发突发、隐蔽性强、手段多样、实施体系化的复合型攻击，已经成为当前网络边界威胁的主要特征。事实证明，每一次网络攻击的成功，都是攻击者通过技术手段数次突破网络边界防线的过程，传统的边界防御技术已经不能满足新的边界安全防护的需求。2、产品部署需要按照要求部署防火墙设备。、边界入侵防范边界入侵防御1、安全风险随着国家信息化的发展，网络攻击活动也愈演愈烈，而网络攻击造成的破坏性因信息化程度的高度集中也越来越大。主要呈现如下趋势：网络应用越来越复杂，单纯的依靠端口识别应用以达到攻击检测的目的不再有效；网络带宽的快速增长给入侵防护系统的处理能力带来挑战，仅依靠防火墙这样的边界防护设备实现网络攻击检测已经远远不能满足要求，具备大流量业务并发处理能力的专业设备尤其重要；除具备针对网络层/传输层的基础攻击防护外，针对应用层深度识别和防御能力越发重要。因此，如何有效的对网络攻击行为、异常行为进行监测防御，是边界安全的重要一环。2、产品部署需要部署一台入侵防御系统，入侵防御能够有效检测和阻断入侵攻击。4.2.4、安全计算环境设计、一体化终端安全防护设计1、安全风险系统内部面临的各种威胁，尤其是大量的终端系统，面临来自病毒木马的入侵、各种类型设备接入不同网络区域不易管理、容易引发泄密等所带来的问题、需要人工维护各类系统进行补丁升级等工作所带来的巨大工作量…这一系列问题都为单位终端安全管理带来的极大的挑战。而随着单位安全建设的推进，由于受条件和其它因素限制，在针对上述解决问题制定解决方案的时候，企事业往往采取了分而治之的方式，某一类问题就采用一套独立的系统解决问题。现在再回顾的话，企事业内部可能部署了多套系统，而这些系统甚至来自不同的厂商，彼此独立完成不同的功能。同时，这些各种各样的安全系统也给企事业安全带来了一些新的问题：（1）终端被各种软件占据，资源耗费巨大（2）系统之间容易产生冲突（3）系统之间独立，无法联动（4）管理维护困难2、产品部署需要部署在内网中部署一套终端安全管理系统来控制服务器和终端。、数据访问安全审计设计1、安全风险单位大量敏感数据都保存在数据库中，数据库存在的安全风险主要表现在：（1）无法通过本地部署访问控制，及时发现或阻断超级用户对数据发起的访问。（2）分布式技术的部署，导致用户对数据的真实存储位置不可知。（3）虚拟化技术的运用，使用户难以获知正与哪个或者哪些其他用户共享相同的存储或处理设备，对于提供商在解决数据隔离保护问题方面部署措施的有效性更是难以获得充分、可信的信息。2、产品部署需要部署数据库审计系统，数据库审计系统通过从核心交换机上镜像过来的访问核心区接口的数据流量进行分析和处理，为安全事件/事故提供溯源依据。、数据备份与恢复设计等级保护制度中，针对数据的备份和恢复要求，应用数据的备份和恢复应具有以下功能：1、应提供重要数据的本地数据备份与恢复功能；2、应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；3、应提供重要数据处理系统的热冗余，保证系统的高可用性。本次计划在当涂县自然资源和规划局的一张图业务区和不动产业务区分别部署一台灾备一体机。4.2.5、安全运营管理中心、日志审计系统设计1、安全风险随着《网络安全法》的颁布实施，安全审计已经成为网络安全建设的必要措施，随着威胁的多样化，传统信息安全以“防”为主的思路已经发生重大转变，在攻击防不胜防的情况下，持续的监测、快速响应并追踪溯源成为新等级保护体系下的主要思想，因而，安全审计变得尤为重要。自《网络安全法》实施以来，已经有许多单位因为安全审计没有达到合规要求而面临处罚，因此，新等级保护制度下，安全审计措施的缺失不仅仅将使单位存在安全防护短板，更将会给单位带来严重的合规风险。2、产品部署需要部署一台日志审计系统，通过镜像核心交换机上的数据，通过与网络设备、安全设备、主机设备之间的关联并收集分析和记录。、安全运维与审计设计1、安全风险在日常信息系统运维过程中，由于未进行安全运维，可能带来以下安全问题，主要包括：（1）特权账号的存在，操作系统自身难以实现权限最小化，从而导致过度授权、数据泄露等一系列安全风险；（2）运维过程引入第三方服务已是常态，运维人员的误操作、恶意操作行为时有发生；（3）缺乏有效的审计和控制手段，系统无法满足等级保护需求。2、产品部署需要部署一台堡垒机，来实现对内部或外部运维人员运维操作进行记录和存档。4.3、管理方案设计4.3.1、安全管理制度设计、安全策略和制度体系安全技术措施的有效实施需要安全管理制度的助力，同样，安全管理制度的落实也常常需要技术措施的支撑，两者是相辅相成，相互关联的，等级保护对于单位安全制度体系的建设要求参照了ISO27001的相关标准，即安全管理制度体系自上而下分为安全策略、管理制度和操作规程、记录表单，单位需要建设符合单位实际情况的管理制度体系，应覆盖物理、网络、主机系统、数据、应用、建设和运维等管理内容，并对管理人员或操作人员执行的日常管理操作建立操作规程。、制度文件管理制度文件需要正式发布并进行定期评审修订和版本控制。信息安全管理制度应该得到单位负责人的签发和认可，只有被正式发布并真正落实的管理制度才能促使单位安全管理能力的提升和安全技术措施的有效运行。4.3.2、安全管理机构设计、信息安全组织机构及职责信息安全管理机构是行使单位信息安全管理智能的重要机构，一般由信息安全管理领导机构和执行机构构成，信息安全领导机构需确保整个组织贯彻单位的信息安全方针、策略和制度等。等级保护制度中明确规定“单位应成立指导和管理网络安全工作的委员会或领导小组，其最高领导由单位主管领导担任或授权。”并设立网络安全管理的职能部门。、岗位职责及授权审批信息安全管理应落实岗位安全责任，信息安全组织机构及职责明确了组织层面的管理职责，但管理职责的落实需要层层落实到人，等级保护中明确要求要“设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责”，并设立系统管理员、审计管理员和安全管理员，并明确岗位工作职责。、内部沟通和外部合作信息安全管理工作不是孤立的，在单位业务工作中离不开安全管理工作的保障，同样，信息安全管理工作也离不开单位业务部门的配合，要使信息安全管理工作顺利开展，需“加强各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通，定期召开协调会议，共同协作处理网络安全问题”，加强内部沟通。同时，单位的信息安全工作也需要得到外部专家和技术力量的支持，包括监管部门、供应商、业界专家及其他安全组织等。、安全审核与检查信息安全管理工作是否有效，安全制度和规范是否得到落实需要单位信息安全管理部门定期进行检查，以便及时发现问题，持续改进和提升信息安全管理能力。按照等级保护的要求，单位信息安全检查可分为定期常规安全检查和定期全面安全检查，安全检查工作需进行认真准备，保留记录。4.3.3、安全管理人员设计、内部人员安全管理人是信息安全工作的主体，也是信息安全威胁的主要来源，调查发现，越来越多的信息安全事件是由内部人员的恶意或工作疏忽导致，因此，加强人员安全管理是信息安全管理工作的重中之重，其中，尤其需要加强对内部人员的安全教育和审核。、外部人员安全管理在日常业务工作中，单位越来越多地与外部单位人员进行业务合作和往来，外部人员包括指软件开发商，硬件供应商，系统集成商，设备维护商和服务提供商，以及实习生、临时工、调用人员等。这些人员由于工作需要需临时或短期访问单位内部网络，进出单位工作场所，非内部人员由于流动性强，背景情况不明，给单位信息系统的安全带来较大隐患，必须建立严格的物理和网络访问授权审批制度，并有效执行。4.3.4、安全建设管理设计、系统定级和备案根据新等级保护制度的要求，二级以上（含二级）信息系统在定级工作中需要组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定，新建信息系统在规划阶段就可根据信息系统将承载的业务的重要程度对信息系统进行定级，按照相应等级进行等级保护安全体系设计和建设，对二级以上（含二级）信息系统还需按照公安机关的要求进行备案。、系统安全方案设计按照“三同步”的原则，信息安全需要与信息化建设同步规划、同步建设、同步使用，在系统建设规划阶段需明确安全建设的目标和建设需求并进行安全规划方案的设计，安全方案应经过评审，经过批准后才能实施。、安全产品采购管理信息安全产品的采购和使用应符合国家的有关规定，对于密码产品的采购和使用需符合国家密码主管部门的要求，并预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单。、外包软件开发管理对于外包软件开发由于开发过程可控，在系统上线后可能引发各种安全问题，且难以从源头解决，因此，在等级保护制度中，对于外包软件开发明确要求应在软件交付前检测其中可能存在的恶意代码，并要求开发单位提供软件设计文档和使用指南，对于三级系统的外包软件开发还要求开发单位提供软件源代码，并审查软件中可能存在的后门和隐蔽信道。、工程实施管理信息系统安全建设过程中，涉及产品安装部署、功能启用、策略配置、与应用系统集成等各方面工作，安全工程建设整个过程本身还需要安全可控，需要由专门的部门或人员负责工程实施过程的管理，并制定安全工程实施方案，控制工程实施过程。对于三级信息系统，等级保护还明确要求需通过第三方工程监理控制项目的实施过程。、测试及交付管理项目建设完成后在正式上线前应进行系统测试，应制订测试验收方案，并依据测试验收方案实施测试验收，形成测试验收报告，按照等级保护的要求，应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容。在系统交付时，应制定系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点，对负责系统运行维护的技术人员进行相应的技能培训，提供建设过程文档和运行维护文档。、服务供应商选择来自供应链的安全威胁已经越来越引起人们的关注，加强对供应链的管理是新等级保护制度的变化之一，等级保护制度规定要确保服务供应商的选择符合国家的有关规定；与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务；并定期监督、评审和审核服务供应商提供的服务，并对其变更服务内容加以控制。4.3.5、安全运维管理设计按照等级保护要求，日常安全运维管理主要从环境管理、资产管理、介质管理、资产维护管理、漏洞和风险管理、网络和系统安全管理、防病毒管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置管理、应急预案管理、外包运维管理几个方面进行考虑。、环境管理环境是指信息系统所处的物理环境，包括机房、配线间、办公场所等，加强对环境的安全管理主要是为了防止非授权物理访问导致的对信息系统的破坏，一般来说，机房作为重要信息设备集中放置的场所应重点加强防护，重要办公区域也需要加强物理防护。、资产管理信息资产是构成网络和信系统的基础，是系统各种服务功能实现的提供者和信息存储的承载者，应明确单位信息资产的种类、数量、责任人等，并建立清单，定期盘点，对重要信息资产应重点保护。、介质管理介质作为信息的载体，在信息的存储、传递过程中发挥着重要作用，同时，也是恶意代码传播的重要手段、且容易导致信息泄露。单位需要制定严格的介质管理制度，规范介质的使用行为，对个人介质更加需要严格的管理。、设备维护管理信息设备在日常工作中存储和处理业务信息，设备的可用性和安全性对信息安全至关重要，要加强对信息设备日常的管理，包括设备日常维护、外带、报修、报废等。、漏洞和风险管理信息安全漏洞是信息系统脆弱性的主要表现，易被攻击者利用进而入侵系统进行破坏，对漏洞的发现和修补除了需采取必要的技术措施外，加强对系统的日常安全评估，并及时进行整改修复，也是降低信息安全风险的重要手段。、网络和系统安全管理网络和系统作为信息系统的基础性设施，为各个业务系统和办公应用提供连通和数据传输，实现信息共享，网络和系统应进行更细分更专业的管理，对重要的业务系统还需要指定专门的管理人员。、防病毒管理对于病毒的防范需要采取必要的安全技术措施，但技术措施的有效性需要安全管理制度进行保障，病毒防范作为单位重要的信息安全基础性工作，必须确保提高全员的防病毒意识，确保技术手段的有效落实。、配置管理信息系统的配置基线管理是重要的日常运维管理工作，良好的配置管理是系统安全可靠运行的基础，配置基线应结合等级保护的要求，进行相关配置信息的保存、更新和变更控制。、密码管理根据等级保护的要求，单位在信息安全建设过程中需遵循密码相关国家标准和行业标准，使用国家密码管理主管部门认证核准的密码技术和产品。0、变更管理信息安全风险是“动态”的主要因素之一，就是网络和信息系统是会发生变化的，为了加强防范由于网络和系统变化对整体安全现状的影响，规避变更产生的风险，需进行变更管理。1、备份与恢复管理按照等级保护要求，三级信息系统需具备实时的数据备份能力，并能进行异地备份，对于单位信息系统容灾备份能力的建设，除了建设备份与恢复技术措施外，对备份策略的制定和管理，备份与流程的制定以及备份恢复能力的演练是单位系统实现高可用的重要保证。2、安全事件处置和应急管理新等级保护制度强调了单位对于信息安全事件处置能力和应急管理的能力，在当前信息安全