IDC信息安全管控系统方案说明

IDC管控系统方案说明北京亚鸿世纪科技发展有限公司目录1.总体描述1.1IDC管控系统总体目标1.2系统总体原则1.2.1系统遵循法律法规1.2.2建设原则2.系统介绍2.1技术原理2.1.1综述2.1.2串接专用探针2.1.3网络安全审计服务器2.1.4IDC端安全审计管理系统服务器2.1.5IDC端不良信息分析模块2.1.6接入资源管理模块2.2软件系统逻辑结构图2.3系统功能2.3.1安全审计（访问日志管理）2.3.2资源管理（基础数据管理）2.3.3违法网站管理2.3.4信息安全管理2.3.5统计分析2.3.6系统管理2.4系统高稳定性、高可靠性的实现方式1.总体描述1.1IDC管控系统总体目标信息安全管理系统主要用于是实现互联网数据中心基础数据管理、上网日志管理、信息安全管理、违法网站管理等功能的信息安全管理系统，以满足监管机构的监管需求和IDC经营单位自身的信息安全管理需求。每个业务经营单位建设一个统一的ISMS，并与运营商监管机构建设的安全监管系统（SMCS）进行通信，实现监管机构的监管需求。1.2系统总体原则1.2.1系统遵循法律法规（1）《中华人民共和国计算机信息系统安全保护条例》；（2）《公安部关于对与国际联网的计算机信息系统进行备案工作的通知》，公通字〔1996〕8号；（3）《中华人民共和国国家标准计算机信息系统安全保护等级划分准则》（GB17859-1999）；（4）《关于信息安全等级保护工作的实施意见》，公通字[2004]66号；（5）《互联网安全保护技术措施规定》，2005年中华人民共和国公安部第82号令发布，2006年3月1日施行）；（6）《信息安全技术信息系统安全等级保护定级指南（报批稿）》；（7）《信息安全技术信息系统安全等级保护基本要求（报批稿）》；（8）《信息安全技术信息系统安全等级保护实施指南（报批稿）》；（9）《信息安全等级保护管理办法》，公通字[2007]43号。（10）工信部标准《IDC/ISP信息安全管理系统技术要求（送审稿）》（11）工信部标准《IDC/ISP信息安全管理系统接口规范（送审稿）》1.2.2建设原则（1）规范性：严格遵循电信级技术规范和业务规范的要求，由集团进行整体规划与统一建设安排。（2）开放性：系统遵循开放性架构，采用开放的接口协议与开发平台，为用户提供统一的、开放的功能调用；业务维护和发展不依赖于设备厂商，能够保证业务的持续升级和发展；（3）安全性：系统按照电信级的应用进行设计，系统软硬件架构充分考虑整个系统运行的安全策略和机制；能够采用多种安全技术手段，为用户的业务开展提供完善的安全技术保障；（4）成熟性：采用成熟稳定并具有电信级运营实例的硬件平台和第三方软件。2.系统介绍2.1技术原理2.1.1综述系统采用软硬件相结合的方式，可以实现对互联网不良信息的实时监控。本系统由分流设备、网络安全审计服务器、IDC端安全审计管理系统服务器组成。系统通过前端分流设备对网络数据的实时监测，把需审计的数据报文送至网络安全审计服务器，不良信息分析软件实现对网络安全审计服务器中不良信息进行分析，管理中心软件实现对网络安全审计专用设备的统一管理。部署图：2.1.2串接专用探针每一条GE链路上，分流设备串接（或者并接）在IDC机房的出口路由器至骨干网间的GE链路之间，监控全部的出口链路流量。分流设备采用高集成度的新一代多核处理器技术。在串接模式下能够控制上下行上下游设备流量传输，在断电、重启、故障或接口告警时自动切换到直通状态，不影响串接链路上流量传输。分流设备通过端口与审计系统（网络安全审计服务器+IDC端安全审计管理系统服务器）相连接，通过分析筛选把审计系统需要审计和分析的网络数据传送给审计系统。审计系统从传入的数据包中获取IDC机房内的域名、IP等网络基础资源信息，对IDC的网络访问行为进行监控和过滤、根据预先设定的审计策略主动发现和过滤在这些行为中所包含的有害信息、及时发现监管范围内网站发布含有的反动、邪教、色情等不良信息网页内容。2.1.3网络安全审计服务器网络安全审计服务器与IDC端安全审计管理系统服务器对接，从IDC端安全审计管理系统服务器上获取更新后的基础信息和IDC端安全审计管理系统服务器下发的审计策略等数据。网络安全审计服务器把从网络数据中获取的域名、IP等信息上传到IDC端安全审计管理系统服务器。网络安全审计服务器实现对网络数据包的解析，同时匹配审计策略产生报警记录，然后把数据上传到IDC端安全审计管理系统服务器。每一台分流设备配置一台对应的网络安全审计专用设备。2.1.4IDC端安全审计管理系统服务器IDC端安全审计管理系统服务器收集网络安全审计服务器上传的域名、IP等动态获取的互联网基础资源信息。IDC端安全审计管理系统服务器提供统一的管理界面给用户，实现对机房、服务器、客户资料等基础资源数据的统一维护。IDC端安全审计管理系统服务器与通信管理局系统对接，接收管控策略，并上报数据。IDC端安全审计管理系统服务器提供机房业务管理功能页面，支持机房业务处理。IDC端安全审计管理系统服务器提供报警日志、审计日志统一查询页面。通过IDC端安全审计管理系统服务器的分级管理机制，实现未来系统的持续扩容性。新增IDC链路时，只需要部署相应的网络安全审计专用设备和串接专用探针，通过网络安全审计服务器与IDC端安全审计管理系统服务器对接，从而实现与原有系统的互通和一致性，必要时增加IDC端安全审计管理系统服务器即可。2.1.5IDC端不良信息分析模块IDC端不良信息分析模块安装在IDC端安全审计管理系统服务器上。IDC端不良信息分析模块主要负责对HTTP网页访问内容关键字进行报警匹配。网络安全审计服务器将网络数据中获取的URL和HTTP内容关键字传递给IDC端不良信息分析模块，IDC端不良信息分析模块将匹配结果返回给网络安全审计服务器，最后通过报警管理页面展示报警结果。2.1.6接入资源管理模块接入资源管理模块安装在IDC端安全审计管理系统服务器上。接入资源管理模块实现对IDC机房内所有物理资源和逻辑资源信息的定义和维护。2.2软件系统逻辑结构图图1：逻辑架构图从上图可以看出，本解决方案包括分流设备，网络安全审计服务器、IDC端安全审计管理系统服务器。网络数据的获取、过滤与解析：分流设备获取网络数据包后经过数据包过滤，过滤干扰的数据包和不需审计的相关协议数据包，将审计系统所需数据镜像到指定的网络安全审计服务器。网络安全审计服务器的网络数据抓包模块接收网络数据包后传递给数据包解析模块进行网络数据解析。审计策略下发管理：IDC端安全审计管理系统服务器审计策略管理模块将审计策略下发到网络安全审计服务器，网络安全审计服务器在网络数据包解析时，将及时匹配审计策略并产生不良信息的报警记录。域名、IP的封堵处理：IDC端安全审计管理系统服务器提供对不良信息的域名、IP提供下发封堵指令的功能，用户向分流设备下发指定域名、IP封堵指令，使分流设备在及时发现这些域名、IP的同时及时能对其进行封堵。2.3系统功能2.3.1安全审计（访问日志管理）ISMS应对IDC的双向流量数据进行监测，并进行日志记录，形成访问日志。访问日志记录包括源/目的IP，源/目的端口、源/目的MAC、源/目的账号、主叫电话号码、访问域名、URL以及采集时间，对属于公共信息的数据还应留存相关内容。访问日志应可根据时间、IP、域名、关键词进行查询。2.3.1.1行为审计网页访问对外部访问IDC机房内网页的行为进行安全审计并产生访问日志数据，用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以根据工作需要自定义日志数据的留存时间。邮件访问对外部访问IDC机房内的邮件服务器进行邮件发送和接收行为进行安全审计并产生访问日志数据。用户可以根据工作需要自定义日志数据的留存时间。文件传输对外部访问IDC机房内的FTP服务器，上传文件的行为进行安全审计并产生访问日志数据，用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以根据工作需要自定义日志数据的留存时间。远程登录对外部访问IDC机房内的服务器，进行远程登录的行为进行安全审计并产生访问日志数据，用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以根据工作需要自定义日志数据的留存时间。2.3.1.2内容审计网站网页内容审计网络安全审计服务器通过设置监控关键字，将串接专用探针所采集到的网站网页内容中与该关键字匹配的网页提交给网络安全审计服务器进行报警以便人工进行研判以审计该页面内容是否违规。网页发贴对外部访问IDC机房内的WEB服务器进行网页发帖行为进行安全审计并产生访问日志数据，并能审计到发贴的内容。用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以根据工作需要自定义日志数据的留存时间。BBS访问对外部访问IDC机房内的BBS站点进行BBS访问的网络行为进行安全审计并产生访问日志数据，并能审计到BBS贴的内容。用户可以对日志数据进行查询，本系统支持灵活多样的查询条件。用户可以根据工作需要自定义日志数据的留存时间。2.3.2资源管理（基础数据管理）实现对IDC机房内所有资源类信息的定义和维护，并提供灵活多样的查询条件。2.3.2.1机房（基础数据）管理提供新增、修改、删除及维护机房、机柜、机位资料，并提供图形化的操作页面，支持在机位上查询服务器信息，并能关联看到服务器详情和服务器下的IP地址信息。实现对机房中机柜的租用或者是托管资料的维护，能对托管的机柜实现与客户的关联管理，避免该机柜再划分给其他客户，同时支持该机柜下的服务器自动归于机柜对应的客户。具体信息包括：机房信息：机房编号，机房地址，机房分类分级，机房建设类型，机架总数；互联网出入口信息：互联网出入口编号、IP、带宽；路由器信息：路由器编号，路由器端口信息（含端口IP、数据流方向等）；IP段信息：IP地址段编号，起始IP地址，终止IP地址，IP地址使用方式；服务器信息：服务器编号，位置，服务器分类分级、域名列表、IP，服务内容，协议类型，服务端口列表。在机房规划和提供托管服务时，应按照其中托管的网站及信息系统的重要程度及机房所在区域进行分类分级分区域管理。2.3.2.2客户（基础数据）管理提供对电信业务涉及的客户资料管理；提供新增客户资料、查询系统中已经定义及维护的客户资料；显示出当前客户下的域名、服务等情况，实现了对查询客户资料的变动情况。具体数据包括：用户单位信息：用户编码，单位名称、属性、证件类型和证件号码，投资者或上级主管部门，通信地址；网站信息：网站名称，备案登记类型及备案号，建站方式，网站分类分级，首页地址，域名，接入服务提供单位；资源使用信息：所占用机房编号，资源分配时间，IP地址转换关系，所使用的服务器编号，交换机端口及网络带宽；安全员信息：姓名、证件类型及证件号码、联系电话、Email地址。IDC端安全审计管理系统服务器实现资源的集中管理，包括添加、删除和修改、上报资源信息数据2.3.2.3合作伙伴管理对合作伙伴资料进行管理，实现对合作伙伴资料的新增、修改、删除。2.3.2.4IP分配管理根据客户申请资料，实现对机房中IP进行IP段划分和单个IP地址的申请分配，并能实现IP地址的自动回收处理；能方便地查阅到已用IP和未用IP地址，或者是已用IP地址段和未用IP地址段的情况；在IP地址划分时提供智能提示功能，告诉用户哪些IP（IP地址段）已经分配（或者预分配）给客户，从而不能再进行分配。2.3.2.5域名管理根据客户申请域名资料，实现对域名的新增、修改、删除的管理；支持按照客户、IP或者域名来查询某个或者某些域名，并能实现对域名的封堵和取消封堵；系统自动对未注册的域名进行实时报警。2.3.2.6设备管理根据客户的业务申请情况，实现对托管或者租用的服务器等设备进行集中管理，提供了对服务器下IP地址的管理；自动呈现服务器下的域名和服务的清单；实现了对服务器的搬入、搬出、更换的业务，并支持查询相应操作的历史记录详情。2.3.2.7服务管理根据