安全保障体系（DOC34页）

安全保障体系1容灾备份系统1.1系统概述1.1.1容灾概念容灾是一个范畴比较广泛的概念，广义上可以把所有与业务连续性相关的内容都纳入容灾。容灾是一个系统工程，它包括支持用户业务的方方面面。而容灾对于IT环境而言，就是提供一个能防止用户业务系统遭受各种灾难影响与破坏计算机系统和业务数据。容灾还表现为一种未雨绸缪的主动性，而不是在灾难发生后的“亡羊补牢”。从狭义的角度，我们平常所谈论的容灾是指，除了生产站点以外，用户另外建立的冗余站点，当灾难发生，生产站点受到破坏时，冗余站点可以接管用户正常的业务，达到业务不间断的目的。为了达到更高的可用性，许多用户甚至建立多个冗余站点以保证业务系统的安全性。从技术上看，衡量容灾系统主要有两个主要指标：RPO（RecoveryPointObject）和RTO（RecoveryTimeObject），其中RPO代表了当灾难发生时允许丢失的数据量，而RTO则代表了系统恢复的时间。RPO与RTO越小，系统的可用性就越高，当然用户需要的投资也越大。1.1.2容灾与备份的关系备份是指用户为应用系统产生的重要数据（或者原有的重要数据信息）制作一份或者多份拷贝，以增强数据的安全性。因此，备份与容灾所关注的对象有所不同，备份关心数据的安全，容灾关心业务应用的安全，我们可以把备份称作是“数据保护”，而容灾称作“业务应用保护”。备份最多表现为通过备份软件使用磁带机或者磁带库将数据进行拷贝，也有用户使用磁盘、光盘作为存储介质；容灾则表现为通过高可用方案将两个站点连接起来。备份与容灾是存储领域两个极其重要的部分，二者有着紧密的联系。首先，在备份与容灾中都有数据保护工作，备份大多采用磁带方式，性能低，成本低，数据通常被压缩后以独有的数据格式进行存储；容灾采用磁盘作为存储介质作为数据载体的方式进行数据保护，数据随时在线，性能高，成本高。其次，备份是存储领域的一个基础，在一个完整的容灾方案中必然包括备份的部分；同时备份还是容灾方案的有效补充，因为容灾方案中的数据始终在线，因此存储有完全被破坏的可能，而备份提供了额外的一条防线，在线数据丢失的情况下还可以从备份数据中恢复。1.1.3容灾的等级大体上讲，容灾可以分为3个级别：数据级别、应用级别以及业务级别。数据级别容灾的关注点在于数据，即灾难发生后可以确保用户原有的数据不会丢失或者遭到破坏。数据级容灾较为基础。其中，较低级别的数据容灾方案仅需利用磁带库和管理软件就能实现数据异地备份，达到容灾的功效；而较高级的数据容灾方案则是依靠数据复制工具，例如卷复制软件，或者存储系统的硬件控制器，实现数据的远程复制。数据级别容灾是保障数据可用的最后底线，当数据丢失时能够保证应用系统可以重新得到所有数据。从这种意义上讲，数据备份属于该级别容灾，用户把重要的数据存放在磁带上，如果考虑到高级别的安全性还可以把磁带运送到远距离的地方保存，当灾难发生后，从磁带中获取数据。该级别灾难恢复时间较长，仍然存在风险，尽管用户原有数据没有丢失，但是应用会被中断，用户业务也被迫停止。因此虚拟磁带库的出现可以解决磁带备份速度慢和磁带保存困难的问题，是取代磁带的最佳产品。应用级容灾是在数据级容灾的基础上，再把执行应用处理能力复制一份，也就是说，在备份站点同样构建一套应用系统。应用级容灾系统能提供不间断的应用服务，让用户应用的服务请求能够透明地继续运行，而感受不到灾难的发生，保证信息系统提供的服务完整、可靠、安全。数据级容灾和应用级容灾都是在IT范畴之内，然而对于正常业务而言，仅IT系统的保障还是不够的。有些用户需要构建最高级别的业务级别容灾。业务级容灾的大部分内容是非IT系统，比如电话、办公地点等。当一场大的灾难发生时，用户原有的办公场所都会受到破坏，用户除了需要原有的数据、原有的应用系统，更需要工作人员在一个备份的工作场所能够正常地开展业务。1.2建设必要性随着XX工程数字化建设的不断深入，较为严重的信息系统故障（主要是：服务器故障和网络故障两大类。）势必会影响到系统全局的可用性和稳定性，而XX工程由于其覆盖面广、受众多，业务的高可用性与连续性就显的尤为重要。建立一套行之有效的容灾备份系统十分必要。同时，在整个XX工程应用网络系统中，由于数据量大而复杂，数据出错或丢失是在所难免的，如果没有事先对数据进行备份，要想恢复数据不仅难度大而且很十分不可靠，有时甚至根本不可能进行恢复。如果定期对重要数据进行备份，那么在系统出现故障时，仍然能保证重要数据准确无误。另外，随着XX工程的逐步发展，新业务需求的不断扩展，现有业务系统的相关数据信息的安全性和可靠性也需要在原有基础上得到进一步扩充及改进，以保证在灾难情况发生时，相关业务也能正常运行。因此，在此方案中，我们将总体目标定为实现对XXX现有业务系统中核心数据和核心应用系统的容灾备份，并确保灾难情况下业务数据的高可恢复性和高可用性，从而保证相关的应用系统不中断，并且在灾难发生后能够得到及时恢复。1.3建设目标本次容灾备份系统的建设目标是：技术先进、可扩充、高可靠、高可用、可管理。技术先进性：系统设计应采用当前先进而成熟的技术，不仅可以满足本期工程的需求，也应把握未来的发展方向。可扩充性：在系统设计时应充分考虑可扩充性，从而确保新功能、新业务的增加在原有的系统平台上扩展和实现。高可靠性：存储平台具有高可靠性，支持服务器平台的高可用性集群技术；具备先进的容灾的设计；充分保证系统的高扩展能力和高容错能力，具有通道负载自动均衡能力和存储系统性能调节能力，提供极为充分的可靠性各项指标设计。高可用性：在不停机情况下，实现不停机扩容、维护、升级等服务，提高性能以满足新的业务需求。具备7×24×365连续工作的能力，系统的可用性应大于99.999％。在软件支持下可以实现应用级容灾。可管理性：要求配置实时性能监测管理软件。可对备份作业、磁盘空间、卷磁盘错误、系统事件、系统中各进程对系统资源占用等性能和操作数据等服务器性能进行实时监控和管理。保护投资：新的系统投入使用对前期的设备有可再次利用的设计思路，保证前期的投入和设备的持续性运营。其次是新系统的整体设计要考虑经济有效，充分利用现有设备和即将时候的设备，使得投入与产出最大化。1.4建设内容整个系统的建设内容分为三个部分，可以按照资金、技术、环境的具体情况分三个步骤来实现备份容灾系统的建设。2认证安全服务体系2.1系统概述2.1.1功能简介认证安全服务体系是指数字证书（即网络中的个人虚拟身份证）的发放和管理。是面向应用的CA系统，为应用提供基础的证书管理服务。面向应用的CA系统的主要目的是为这些用户在网络上进行业务活动时，对应用提供更安全的保障。系统有一个稳定的核心，一个良好的结构。提供多种接口，可以方便地扩展规模和功能。具有手工、批量、在线、离线等多种证书申请方式、支持IC卡、USBkey、文件等多种证书保存介质，支持人工、WEB、目录服务器、邮件等多种证书发布方式、支持多种密钥生成方式等。系统由CA服务器、目录服务器、数据库服务器、硬件密码机、操作终端组成。CA服务器负责证书的申请、签发、作废和管理。数据库服务器负责存放CA的数据、请求数据、证书和黑名单数据。操作终端提供证书申请的管理和日常操作，目录服务器用于发布证书和黑名单。证书系统功能包括证书管理系统初始化、证书服务功能、证书管理功能、证书发布功能。2.1.2应用领域本系统所发放的数字证书用于各种应用系统的身份认证、操作的电子签名、数据的加密。2.2建设必要性认证安全服务体系建设是总体建设的一项关键内容，为全区人力资源社会保障各业务系统提供应用安全支撑，包括身份认证、数据加密解密、基于数字签名验签的防抵赖等基本证书应用安全功能，以及电子签章和时间戳等增强证书应用安全功能。2.3建设内容人力资源社会保障认证安全服务体系应包含电子认证系统基础层、证书业务管理层、证书应用支撑层、相关政策法规和标准规范，总体结构如图所示。人力资源社会保障业务应用系统政策法规标准规范证书应用支撑层证书业务管理层电子认证系统基础层证书生命周期管理系统运行管理证书服务统一监管平台证书注册管理系统证书签发管理系统证书查验服务系统密钥管理系统密码服务系统证书认证设施密码管理设施身份认证数字签名验签加密解密时间戳基础安全接口电子签章网络安全协议高级应用接口证书应用接口证书应用功能电子认证系统基础层包括密钥管理系统、密码服务系统、证书签发管理系统、证书注册管理系统和证书查验服务系统等。证书业务管理层包括证书生命周期管理、系统运行管理、证书服务统一监管平台等。证书应用支撑层包括基础安全接口和高级应用接口,为应用系统提供身份认证、数据加密解密、数字签名验签、电子签章、网络安全协议和时间戳等应用安全支撑功能。3网络冗余链路建设3.1系统概述网络的冗余部署包含了三个环节，分别是：设备级冗余，链路级冗余和网关级冗余。（1）设备级的冗余技术分为电源冗余和管理板卡冗余，由于设备成本上的限制，这两种技术都被应用在中高端产品上。（2）链路级冗余往往存在多条二层和三层链路，使用链路级冗余技术可以实现多条链路之间的备份，流量分担和环路避免。（3）前面谈到的冗余技术保证了网络级别的冗余，同样对于使用网络的终端用户来讲，也需要一种机制来保证其与网络的可靠连接，这就是网关级冗余技术。3.2建设必要性随着Internet的发展，XX工程从简单的信息承载平台转变成一个公共服务提供平台。作为终端用户，希望能时时刻刻保持与网络的联系，因此健壮，高效和可靠成为XX工程网络发展的重要目标，而要保证网络的可靠性，就需要使用到冗余技术。高冗余网络要给我们带来的体验，就是在网络设备、链路发生中断或者变化的时候，用户几乎感觉不到。为了达成这一目标，需要在XX工程网络的各个环节上实施冗余，包括网络设备，链路和广域网出口，用户侧等等。3.3建设内容本次网络的冗余建设主要是链路级冗余建设，形成自治区、盟市、旗县区三级网络双链路保障。4安全管理制度建设4.1认证系统安全管理制度4.1.1身份鉴别a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别;b)应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别;c)应提供用户身份标识唯一和鉴别信息复杂度检查功能,保证应用系统中不存在重复用户身份标识,身份鉴别信息不易被冒用;d)应提供登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;e)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能,并根据安全策略配置相关参数。4.1.2访问控制a)应提供访问控制功能,依据安全策略控制用户对文件、数据库表等客体的访问;b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作;c)应由授权主体配置访问控制策略,并严格限制默认帐户的访问权限;d)应授予不同帐户为完成各自承担任务所需的最小权限,并在它们之间形成相互制约的关系。e)应具有对重要信息资源设置敏感标记的功能;f)应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;4.1.3安全审计a)应提供覆盖到每个用户的安全审计功能,对应用系统重要安全事件进行审计;b)应保证无法单独中断审计进程,无法删除、修改或覆盖审计记录;c)审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等;d)应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。4.1.4剩余信息保护a)应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;b)应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。4.1.5通信完整性应采用密码技术保证通信过程中数据的完整性。4.1.6通信保密性a)在通信双方建立连接之前,应用系统应利用密码技术进行会话初始化验证;b)应对通信过程中的整个报文或会话过程进行加密。4.1.7抗抵赖a)应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能;b)应具有在请求的情况下为数据