醫(yī)院信息安全等級保護建設(shè)項目技術(shù)方案

醫(yī)院信息安全等級保護建設(shè)項目目錄TOC\o"1-5"\h\z\o"CurrentDocument"信息系統(tǒng)安全等級定級 5\o"CurrentDocument"網(wǎng)路安全方案設(shè)計原則 5\o"CurrentDocument"方案設(shè)計思路 10\o"CurrentDocument"構(gòu)建分域的控制體系 11\o"CurrentDocument"2. 構(gòu)建縱深的防御體系 12\o"CurrentDocument"3. 保證一致的安全強度 12\o"CurrentDocument"4. 實現(xiàn)集中的安全管理 12方案整體框架 12\o"CurrentDocument"體現(xiàn)保護對象清晰 13\o"CurrentDocument"2. 體現(xiàn)防御的縱深感 14\o"CurrentDocument"3. 體現(xiàn)防御的主動性 14\o"CurrentDocument"4. 體現(xiàn)集中管理能力 14\o"CurrentDocument"安全物理環(huán)境設(shè)計 15\o"CurrentDocument"1. 機房選址 152. 機房管理 15\o"CurrentDocument"3. 機房環(huán)境 15\o"CurrentDocument"4. 設(shè)備與介質(zhì)管理 16\o"CurrentDocument"通信網(wǎng)絡(luò)安全設(shè)計 16\o"CurrentDocument"1. 網(wǎng)絡(luò)架構(gòu)安全 16\o"CurrentDocument"2. 通信完整性和保密性 17\o"CurrentDocument"3. 通信網(wǎng)絡(luò)可信驗證 18\o"CurrentDocument"4.產(chǎn)品規(guī)劃 18\o"CurrentDocument"區(qū)域邊界安全設(shè)計 19\o"CurrentDocument"1. 邊界安全防護 19\o"CurrentDocument"邊界訪問控制 20\o"CurrentDocument"3. 邊界入侵防范 22\o"CurrentDocument"4. 邊界惡意代碼和垃圾郵件防范 23\o"CurrentDocument"5. 邊界安全審計 24\o"CurrentDocument"7.6. 邊界可信驗證 25\o"CurrentDocument"7.7. 產(chǎn)品規(guī)劃 25\o"CurrentDocument"計算環(huán)境安全設(shè)計 26&1. 身份鑒別 27&2. 訪問控制 28&3. 安全審計 29&4. 入侵防范 30\o"CurrentDocument"&5. 主機惡意代碼防范 31&6. 可信驗證 31\o"CurrentDocument"&7. 數(shù)據(jù)完整性與保密性 32&&備份與恢復(fù) 33&9. 產(chǎn)品規(guī)劃 33\o"CurrentDocument"安全管理中心設(shè)計 34\o"CurrentDocument"1. 系統(tǒng)管理 35\o"CurrentDocument"9.2. 審計管理 36\o"CurrentDocument"9.3. 安全管理 37\o"CurrentDocument"9.4. 集中管控 38\o"CurrentDocument"5. 產(chǎn)品規(guī)劃 39\o"CurrentDocument"重點安全設(shè)備選型設(shè)計 40\o"CurrentDocument"1. 防火墻 40\o"CurrentDocument"安全資源池 41\o"CurrentDocument"項目建設(shè)清單 43本方案將根據(jù)《信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》，保護環(huán)境按照安全計算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)和安全管理中心進行設(shè)計，內(nèi)容涵蓋基本要求的4個方面。信息系統(tǒng)安全等級定級1、 業(yè)務(wù)信息描述本次建設(shè)i體化信息平臺主要處理的業(yè)務(wù)有惠民、協(xié)同、監(jiān)管及業(yè)務(wù)應(yīng)用等工作。2、 業(yè)務(wù)信息受到破壞時所侵害客體的確定該業(yè)務(wù)信息遭到破壞后，所侵害的客體是患者和平臺的合法權(quán)益。侵害的客觀方面表現(xiàn)為：一旦信息系統(tǒng)的業(yè)務(wù)信息遭到入侵、修改、增加、刪除等不明侵害（形式可以包括丟失、破壞、損壞等），會對患者、平臺的合法權(quán)益造成嚴(yán)重影響和損害。3、 信息受到破壞后對侵害客體的侵害程度當(dāng)此信息受到破壞后，會對患者、平臺造成嚴(yán)重損害。4、 確定業(yè)務(wù)信息安全等級根據(jù)等級安全保障體系的設(shè)計思路，本次建設(shè)的系統(tǒng)等級保護的設(shè)計必須達到：三級。系統(tǒng)服務(wù)被破壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴(yán)重損害特別嚴(yán)重損害公民、法人和其他組織的合法權(quán)益第一級第二級第三級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級網(wǎng)路安全方案設(shè)計原則通過對醫(yī)院安全等保需求進行深入分析，安全等保方案在設(shè)計時應(yīng)遵循如下原則:1） 高擴展：部署的安全設(shè)備應(yīng)具有高擴展性，滿足醫(yī)院網(wǎng)絡(luò)業(yè)務(wù)的迅速發(fā)展，至少保證3到5年的業(yè)務(wù)發(fā)展需求；2） 高穩(wěn)定性：部署的安全設(shè)備應(yīng)具有高可靠，高穩(wěn)定性特點，在近2年國內(nèi)使用中未出現(xiàn)過大的現(xiàn)網(wǎng)事故，應(yīng)具有關(guān)鍵器件冗余，雙主控等可靠性保障,應(yīng)選用電信級高可靠性設(shè)備；3） 靈活性：網(wǎng)絡(luò)鏈路會隨著業(yè)務(wù)的發(fā)展逐條增加，方案的設(shè)計遵循靈活性的原則，保證新鏈路增加的情況下，在原有配置基礎(chǔ)上進行小改動，保證鏈路故障時能自動切換，避免人工干預(yù)，減少維護量；4） 完整審計方案：方案設(shè)計需要提供完整的審計和溯源方案，包括日志服務(wù)器，應(yīng)選擇同廠家設(shè)計的服務(wù)器軟件，避免審計系統(tǒng)出現(xiàn)問題時，定位困難,服務(wù)人員無法及時支持的現(xiàn)象；5） 符合三級等保要求：按照國家信息安全等保保護要求，需要按照三級等保要求來進行建設(shè)。根據(jù)上述設(shè)計思想設(shè)計等級保護技術(shù)方案（三級），方案拓撲如下：醫(yī)院等級保護技術(shù)方案拓撲圖（三級增強合規(guī)版）方案部署設(shè)備說明（需要根據(jù)具體方案對下面內(nèi)容進行修改完善）：1） DDoS異常流量檢測與清洗設(shè)備：對來至internet的各種DDoS攻擊進行清洗；2） 出口防火墻：主要做NAT轉(zhuǎn)換，應(yīng)用協(xié)議識別與控制，安全隔離，訪問控制等安全防護，防止非法訪問；3） SSLVPN網(wǎng)關(guān)：為管理員，移動用戶遠程接入提供SSLVPN接入功能，實現(xiàn)移動辦公，安全訪問內(nèi)網(wǎng)；4） 服務(wù)器區(qū)防火墻：主要對數(shù)據(jù)中心內(nèi)部，各服務(wù)器及虛擬機之間進行安全隔離，訪問控制，入侵防護，病毒檢測和防護；5） WEB服務(wù)區(qū)WAF：網(wǎng)站服務(wù)器防護，防止網(wǎng)站文字，圖片等內(nèi)容被篡改；6） 服務(wù)器區(qū)IDS：對數(shù)據(jù)中心內(nèi)部流量進行入侵檢測，入侵行為與攻擊包括HTTP、FTP、DNS、Ma訂等服務(wù)器面臨的漏洞、緩沖區(qū)溢出、暴力破解等;8） 管理區(qū)防火墻：管理區(qū)安全防護與訪問控制；9） 管理區(qū)網(wǎng)絡(luò)管理平臺：設(shè)備統(tǒng)一可視化管理，日志集中收集，同時監(jiān)控整個網(wǎng)絡(luò)組網(wǎng)和運行狀態(tài)；10） 管理區(qū)運維審計：通過對核心業(yè)務(wù)系統(tǒng)、主機、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備等各種IT資源的帳號、認證、授權(quán)和審計的集中管理和控制，滿足相關(guān)法規(guī)、標(biāo)準(zhǔn)要求，實現(xiàn)對核心資源統(tǒng)一接入管理和運維審計；11） 管理區(qū)態(tài)勢感知系統(tǒng)：通過對流量、日志等數(shù)據(jù)的釆集、分析，發(fā)現(xiàn)已知和未知網(wǎng)絡(luò)威脅，呈現(xiàn)攻擊滲透和擴散路徑，并完成攻擊取證和溯源；12） 管理區(qū)漏洞掃描系統(tǒng)：以智能便利規(guī)則庫（本地漏洞庫、ActiveX庫、網(wǎng)頁木馬庫、網(wǎng)頁代碼審計規(guī)則庫等）為基礎(chǔ)，釆用深度主機服務(wù)探測、Web智能化爬蟲、SQL注入狀態(tài)檢測、主機配置檢查以及弱口令檢查等方式相結(jié)合的技術(shù)，實現(xiàn)了Web漏洞掃描、系統(tǒng)漏洞掃描、數(shù)據(jù)庫漏洞掃描、基線安全檢查與口令猜解的功能；13） 為了保證高可靠性，關(guān)鍵路徑安全設(shè)備使用雙機熱備方式部署。醫(yī)院等級保護技術(shù)方案嚴(yán)格按照《信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》進行設(shè)計，詳細對應(yīng)關(guān)系如下：等保三級要求表等保技術(shù)要求子項主要內(nèi)容對應(yīng)產(chǎn)品網(wǎng)絡(luò)架構(gòu)選型合理，分區(qū)隔離，冗余架構(gòu)，高峰可用NGFW安全通信網(wǎng)絡(luò)通信傳輸采用校驗技術(shù)/密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性和保密性NGFW(IPSec&SSLVPN)可信驗證基于可信根對通信設(shè)備的系統(tǒng)引導(dǎo)，應(yīng)用關(guān)鍵點動態(tài)驗證，可報警、可審計網(wǎng)絡(luò)設(shè)備自身可信啟動機制安全區(qū)域邊界邊界防護跨邊界控制，內(nèi)聯(lián)設(shè)備，外聯(lián)行為監(jiān)測，無線網(wǎng)限制NGFW

等保技術(shù)要求子項主要內(nèi)容對應(yīng)產(chǎn)品訪問控制五元組過濾、內(nèi)容過濾、策略優(yōu)化、基于應(yīng)用協(xié)議和應(yīng)用內(nèi)容的訪問控制NGFW入侵防范防外部攻擊、防內(nèi)部攻擊、防新型未知網(wǎng)絡(luò)攻擊IPS、IDS、探針、沙箱惡意代碼防范網(wǎng)絡(luò)防病毒、垃圾郵件過濾防病毒網(wǎng)關(guān)/防火墻防病毒能力安全審計用戶行為、安全事件審計，遠程用戶行為，訪問互聯(lián)網(wǎng)用戶行為單獨審計和數(shù)據(jù)分析堡壘機，上網(wǎng)行為管理可信驗證基于可信根對區(qū)域設(shè)備的系統(tǒng)引導(dǎo)，應(yīng)用關(guān)鍵點可動態(tài)驗證，可報警、可審計設(shè)備自身可信啟動機制身份鑒別身份唯一性、鑒別信息復(fù)雜度，口令、密碼技術(shù)、生物技術(shù)等雙因子及以上認證且其中一種必須為密碼技術(shù)設(shè)備自身機制+堡壘機+認證服務(wù)器訪問控制用戶權(quán)限管理、管理用戶權(quán)限最小化自身機制安全審計用戶行為審計，對審計進程保護上網(wǎng)行為管理、日志審計系統(tǒng)安全計算環(huán)境入侵防范檢測入侵行為、非使用端口關(guān)閉、管理終端限制、發(fā)現(xiàn)已知漏洞IPS、漏洞掃描惡意代碼防安裝防惡意代碼軟件或免疫可信驗證防毒墻、主機防范機制，防護機制支持升級和更新病毒軟件可信驗證基于可信根對計算設(shè)備的系統(tǒng)引導(dǎo)，應(yīng)用關(guān)鍵點動態(tài)驗證，可報警、可審計設(shè)備自身可信啟動機制數(shù)據(jù)完整性數(shù)據(jù)防篡改NGFW、VPN、WAF、防篡改

等保技術(shù)要求子項主要內(nèi)容對應(yīng)產(chǎn)品數(shù)據(jù)備份恢復(fù)數(shù)據(jù)本地備份和恢復(fù)、提供異地實時備份功能、數(shù)據(jù)處理系統(tǒng)熱冗余多活數(shù)據(jù)中心剩余信息保護鑒別信息、敏感信息緩存清除應(yīng)用自身機制個人信息保護個人信息最小采集原則、訪問控制應(yīng)用自身機制安全管理中心系統(tǒng)管理應(yīng)對系統(tǒng)管理員進行身份鑒別、應(yīng)通過系統(tǒng)管理員對系統(tǒng)的資源和運行進行配置、控制和管理網(wǎng)管系統(tǒng)、堡壘機審計管理應(yīng)對安全審計員進行身份鑒別、應(yīng)通過安全審計員對審計記錄應(yīng)進行分析，并根據(jù)分析結(jié)果進行處理堡壘機、日志審計系統(tǒng)、數(shù)據(jù)庫審計集中管控特定管理分區(qū)、統(tǒng)一網(wǎng)管和檢測、日志采集和集中分析、安全事件識別告警和分析、安全策略集中管理統(tǒng)一網(wǎng)管、安全控制器、態(tài)勢感知系統(tǒng)安全管理應(yīng)對安全管理員進行身份鑒別、應(yīng)通過安全審計員對審計記錄應(yīng)進行分析，并根據(jù)分析結(jié)果進行處理堡壘機、日志審計系統(tǒng)方案設(shè)計思路方案建設(shè)的基本思路是：嚴(yán)格參考等級保護的思路和標(biāo)準(zhǔn)，針對安全現(xiàn)狀分析發(fā)現(xiàn)的問題進行加固改造，在進行安全設(shè)計時，參考《信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》，從安全計算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)和安全管理中心等方面落實安全保護技術(shù)要求，將不同區(qū)域、不同層面的安全保護措施形成有機的安全保護體系，建成后的安全保障體系將充分符合國家等級保護標(biāo)準(zhǔn)，能夠為系統(tǒng)穩(wěn)定運行提供有力保障?？傊燃壉Ｗo建設(shè)的思路為網(wǎng)絡(luò)安全設(shè)計應(yīng)基于業(yè)務(wù)流程自身特點，建立“可信、可控、可管”的安全防護體系，使得系統(tǒng)能夠按照預(yù)期運行，免受網(wǎng)絡(luò)攻擊和破壞?！翱尚拧奔匆钥尚鸥鶠榛A(chǔ)，構(gòu)建一個可信的系統(tǒng)執(zhí)行環(huán)境，即設(shè)備、引導(dǎo)程序、操作系統(tǒng)、應(yīng)用程序都是可信的，確保數(shù)據(jù)不可篡改?？尚诺沫h(huán)境保證業(yè)務(wù)系統(tǒng)永遠都按照設(shè)計預(yù)期的方式執(zhí)行，不會出現(xiàn)非預(yù)期的流程，從而保障了業(yè)務(wù)系統(tǒng)安全可信?！翱煽亍奔匆栽L問控制技術(shù)為核心，實現(xiàn)主體對客體的受控訪問，保證所有的訪問行為均在可控范圍之內(nèi)進行，在防范內(nèi)部攻擊的同時有效防止了從外部發(fā)起的攻擊行為。對用戶訪問權(quán)限的控制可以確保系統(tǒng)中的用戶不會出現(xiàn)越權(quán)操作，永遠都按系統(tǒng)設(shè)計的策略進行資源訪問，保證了系統(tǒng)的網(wǎng)絡(luò)安全可控?！翱晒堋奔赐ㄟ^構(gòu)建集中管控、最小權(quán)限管理與三權(quán)分立的管理平臺，為管理員創(chuàng)建一個工作平臺，使其可以進行技術(shù)平臺支撐下的安全策略管理，從而保證信息系統(tǒng)安全可管?！耙粋€中心管理下的三重保護體系”是指以安全管理中心為核心，構(gòu)建安全計算環(huán)境、安全區(qū)域邊界和安全通信網(wǎng)絡(luò)，確保應(yīng)用系統(tǒng)能夠在安全管理中心的統(tǒng)一管控下運行，不會進入任何非預(yù)期狀態(tài)，從而防止用戶的非授權(quán)訪問和越權(quán)訪問，確保應(yīng)用系統(tǒng)的安全。安全保障體系建設(shè)的主要要點包括以下四個方面：構(gòu)建分域的控制體系網(wǎng)絡(luò)安全等級保護解決方案，在總體架構(gòu)上將按照分域保護思路進行，將網(wǎng)絡(luò)從結(jié)構(gòu)上劃分為不同的安全區(qū)域，各個安全區(qū)域內(nèi)部的網(wǎng)絡(luò)設(shè)備、服務(wù)器、終端、應(yīng)用系統(tǒng)形成單獨的計算環(huán)境、各個安全區(qū)域之間的訪問關(guān)系形成邊界、各個安全區(qū)域之間的連接鏈路和網(wǎng)絡(luò)設(shè)備構(gòu)成了網(wǎng)絡(luò)基礎(chǔ)設(shè)施；因此方案將從保護計算環(huán)境、保護邊界、保護通信網(wǎng)絡(luò)基礎(chǔ)設(shè)施三個層面進行設(shè)計。2.構(gòu)建縱深的防御體系網(wǎng)絡(luò)安全建設(shè)方案包括技術(shù)和管理兩個部分，本方案針對醫(yī)共體系統(tǒng)的通信網(wǎng)絡(luò)、區(qū)域邊界、計算環(huán)境，綜合采用訪問控制、入侵防御、惡意代碼法防范、安全審計、防病毒、傳輸加密、數(shù)據(jù)備份等多種技術(shù)和措施，實現(xiàn)業(yè)務(wù)應(yīng)用的可用性、完整性和保密性保護，并在此基礎(chǔ)上實現(xiàn)綜合的安全管理，并充分考慮各種技術(shù)的組合和功能的互補性，合理利用措施，從外到內(nèi)形成一個縱深的安全防御體系，保障系統(tǒng)整體的安全保護能力。3.保證一致的安全強度網(wǎng)絡(luò)應(yīng)釆用分級的辦法，采取強度一致的安全措施，并采取統(tǒng)一的防護策略，使各安全措施在作用和功能上相互補充，形成動態(tài)的防護體系。因此在建設(shè)手段上，本方案采取“大平臺”的方式進行建設(shè)，在平臺上實現(xiàn)各個級別信息系統(tǒng)的基本保護，比如統(tǒng)一的防病毒系統(tǒng)、統(tǒng)一的日志系統(tǒng)、統(tǒng)一的審計系統(tǒng)，然后在基本保護的基礎(chǔ)上，再根據(jù)各個信息系統(tǒng)的重要程度，采取高強度的保護措施。4.實現(xiàn)集中的安全管理為了能準(zhǔn)確了解網(wǎng)絡(luò)的運行狀態(tài)、設(shè)備的運行情況，統(tǒng)…部署安全策略，應(yīng)進行安全管理中心的設(shè)計，根據(jù)要求，應(yīng)在系統(tǒng)管理、審計管理和安全管理幾個大方面進行建設(shè)。在安全管理安全域中建立安全管理中心，是幫助管理人員實施好安全措施的重要保障，是實現(xiàn)業(yè)務(wù)穩(wěn)定運行、長治久安的基礎(chǔ)。通過安全管理中心的建設(shè)，實現(xiàn)安全技術(shù)層面和管理層面的結(jié)合，全面提升用戶網(wǎng)絡(luò)的信息安全保障能力。方案整體框架等級保護2.0將網(wǎng)絡(luò)安全縱深按照一個中心三重防御的方式進行部署，

即：安全管理中心、通信網(wǎng)絡(luò)、區(qū)域邊界、計算環(huán)境幾個維度。對每個維度的集中管控集中管控安全能力要求如下圖:安全管理中心

畝計管理］ ［安全管理］系統(tǒng)管理外部聯(lián)接［隱私保護安全管理中心

畝計管理］ ［安全管理］系統(tǒng)管理外部聯(lián)接［隱私保護］［可信驗證］計算環(huán)境依據(jù)以上能力要求，對方案整體設(shè)計框架如下圖:探針務(wù)卷計算環(huán)境探針務(wù)卷計算環(huán)境4?1?體現(xiàn)保護對象清晰在設(shè)計信息安全保障體系時，首先要對信息系統(tǒng)進行模型抽象。我們把信息系統(tǒng)各個內(nèi)容屬性中與安全相關(guān)的屬性抽取出來，通過建立“信息安全保護對象框架”的方法來建立安全模型，從而相對準(zhǔn)確地描述信息系統(tǒng)的安全屬性。保護對象框架是根據(jù)信息系統(tǒng)的功能特性、安全價值以及面臨威脅的相似性，將其劃分成計算區(qū)域、網(wǎng)絡(luò)基礎(chǔ)設(shè)施、區(qū)域邊界和安全基礎(chǔ)設(shè)施四大類信息資產(chǎn)組作為保護對象2.體現(xiàn)防御的縱深感現(xiàn)有安全體系大多屬于靜態(tài)的單點技術(shù)防護，缺乏多重深度保障，缺乏抗打擊能力和可控性。信息安全問題包含管理方面問題、技術(shù)方面問題以及兩者的交叉，它從來都不是靜態(tài)的，隨著組織的策略、組織架構(gòu)、業(yè)務(wù)流程和操作流程的改變而改變。現(xiàn)有安全體系大多屬于靜態(tài)的單點技術(shù)防護，單純部署安全產(chǎn)品是一種靜態(tài)的解決辦法，單純防范黑客入侵和病毒感染更是片面的。一旦單點防護措施被突破、繞過或失效，整個安全體系將會失效，從而威脅將影響到整個信息系統(tǒng)，后果是災(zāi)難性的。3.體現(xiàn)防御的主動性本方案中，將從多重深度保障，增強抗打擊能力方面進行設(shè)計。國家相關(guān)指導(dǎo)文件提出“堅持積極防御、綜合防范的方針”，這就要求采用多層保護的深度防御策略，實現(xiàn)安全管理和安全技術(shù)的緊密結(jié)合，防止單點突破。我們在設(shè)計安全體系時，將安全組織、策略和運作流程等管理手段和安全技術(shù)緊密結(jié)合，從而形成一個具有多重深度保障手段的防護網(wǎng)絡(luò)，構(gòu)成一個具有多重深度保障、抗打擊能力和能把損壞降到最小的安全體系。4.體現(xiàn)集中管理能力信息安全管理的冃標(biāo)就是通過采取適當(dāng)?shù)目刂拼胧﹣肀Ｕ闲畔⒌谋Ｃ苄浴⑼暾?、可用性，從而確保信息系統(tǒng)內(nèi)不發(fā)生安全事件、少發(fā)生安全事件、即使發(fā)生安全事件也能有效控制事件造成的影響。通過建設(shè)集中的安全管理平臺，實現(xiàn)對信息資產(chǎn)、安全事件、安全風(fēng)險、訪問行為等的統(tǒng)一分析與監(jiān)管，通過關(guān)聯(lián)分析技術(shù)，使系統(tǒng)管理人員能夠迅速發(fā)現(xiàn)問題，定位問題，有效應(yīng)對安全事件的發(fā)生。安全物理環(huán)境設(shè)計物理環(huán)境安全策略的目的是保護網(wǎng)絡(luò)中計算機網(wǎng)絡(luò)通信有一個良好的電磁兼容工作環(huán)境，并防止非法用戶進入計算機控制室和各種偷竊、破壞活動的發(fā)生。機房選址機房和辦公場地選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)。機房場地應(yīng)避免設(shè)在建筑物的頂層或地下室，以及用水設(shè)備的下層或隔壁。5?2?機房管理機房出入口應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員；3.機房環(huán)境合理規(guī)劃設(shè)備安裝位置，應(yīng)預(yù)留足夠的空間作安裝、維護及操作之用。房間裝修必需使用阻燃材料，耐火等級符合國家相關(guān)標(biāo)準(zhǔn)規(guī)定。機房門大小應(yīng)滿足系統(tǒng)設(shè)備安裝時運輸需要。機房墻壁及天花板應(yīng)進行表面處理，防止塵埃脫落，機房應(yīng)安裝防靜電活動地板。機房安裝防雷和接地線，設(shè)置防雷保安器，防止感應(yīng)雷，要求防雷接地和機房接地分別安裝，且相隔一定的距離；機房設(shè)置火災(zāi)自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自動滅火；機房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級的建筑材料；機房應(yīng)采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開。配備空調(diào)系統(tǒng)，以保持房間恒濕、恒溫的工作環(huán)境；在機房供電線路上配置穩(wěn)壓器和過電壓防護設(shè)備；提供短期的備用電力供應(yīng)，滿足關(guān)鍵設(shè)備在斷電情況下的正常運行要求。設(shè)置冗余或并行的電力電纜線路為計算機系統(tǒng)供電；建立備用供電系統(tǒng)。鋪設(shè)線纜要求電源線和通信線纜隔離鋪設(shè)，避免互相干擾。對關(guān)鍵設(shè)備和磁介質(zhì)實施電磁屏蔽。4.設(shè)備與介質(zhì)管理為了防止無關(guān)人員和不法分子非法接近網(wǎng)絡(luò)并使用網(wǎng)絡(luò)中的主機盜取信息、破壞網(wǎng)絡(luò)和主機系統(tǒng)、破壞網(wǎng)絡(luò)中的數(shù)據(jù)的完整性和可用性，必須采用有效的區(qū)域監(jiān)控、防盜報警系統(tǒng)，阻止非法用戶的各種臨近攻擊。通信網(wǎng)絡(luò)安全設(shè)計通信網(wǎng)絡(luò)利用通信線路和通信設(shè)備，把分布在不同地理位置的具有獨立功能的多臺計算機、終端及其附屬設(shè)備互相連接，在網(wǎng)絡(luò)建設(shè)的初期，作為工作的重要組成部分，應(yīng)為網(wǎng)絡(luò)通信負載制定詳細的技術(shù)指標(biāo)，從以往的經(jīng)驗來看，當(dāng)網(wǎng)絡(luò)的利用率平均值達到40%或瞬間有70%的持續(xù)峰值，網(wǎng)絡(luò)性能將急速下降因此一個正常的網(wǎng)絡(luò)利用率的平均值不應(yīng)超過40%,不得有超過70%的持續(xù)峰值。通信網(wǎng)絡(luò)是整個網(wǎng)絡(luò)系統(tǒng)的基礎(chǔ)設(shè)施，通信網(wǎng)自身的健壯性穩(wěn)定性以及網(wǎng)絡(luò)結(jié)構(gòu)是否合理直接影響著是否能夠有效的承載業(yè)務(wù)需要。因此網(wǎng)絡(luò)結(jié)構(gòu)需要具備一定的冗余性；帶寬能夠滿足業(yè)務(wù)高峰時期數(shù)據(jù)交換需求；并合理的劃分網(wǎng)段和VLAN。網(wǎng)絡(luò)架構(gòu)安全網(wǎng)絡(luò)架構(gòu)的安全是網(wǎng)絡(luò)安全的前提和基礎(chǔ)，選用主要網(wǎng)絡(luò)設(shè)備吋需要考慮業(yè)務(wù)處理能力的高峰數(shù)據(jù)流量，要考慮冗余空間滿足業(yè)務(wù)高峰期需要；網(wǎng)絡(luò)各個部分的帶寬要保證接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)滿足業(yè)務(wù)高峰期需要；建議部署高性能的設(shè)備。按照業(yè)務(wù)系統(tǒng)服務(wù)的重要次序定義帶寬分配的優(yōu)先級，在網(wǎng)絡(luò)擁堵時優(yōu)先保障重要主機。分區(qū)分域合理規(guī)劃路由，業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間建立安全路徑；繪制與當(dāng)前運行情況相符的網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖：下面需要根據(jù)具體情況進行修改：根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的網(wǎng)段或VLAN。保存有重要業(yè)務(wù)系統(tǒng)及數(shù)據(jù)的重要網(wǎng)段不能直接與外部系統(tǒng)連接，需要和其他網(wǎng)段隔離，單獨劃分區(qū)域。重要區(qū)域與其他區(qū)域之間部署網(wǎng)閘或者防火墻等隔離設(shè)備，并啟用ACL進行訪問控制。從目前醫(yī)共體的全局網(wǎng)絡(luò)結(jié)構(gòu)上看，可以分為以下幾個部分：業(yè)務(wù)內(nèi)網(wǎng)區(qū)：是業(yè)務(wù)開展的重要平臺，承載著核心業(yè)務(wù)，同時具有相應(yīng)鏈路與醫(yī)保、銀行等其他機構(gòu)交換數(shù)據(jù)；互聯(lián)網(wǎng)區(qū)：主要對外提供預(yù)約掛號、統(tǒng)一支付、互聯(lián)網(wǎng)+就醫(yī)等服務(wù)。為保證網(wǎng)絡(luò)業(yè)務(wù)的連續(xù)性，提供關(guān)鍵節(jié)點的硬件冗余設(shè)計，包括通信線路（含業(yè)務(wù)數(shù)據(jù)鏈路和帶外管理鏈路）、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、計算設(shè)備，并部署鏈路負載均衡設(shè)備。2.通信完整性和保密性由于網(wǎng)絡(luò)協(xié)議及文件格式均具有標(biāo)準(zhǔn)、開發(fā)、公開的特征，因此數(shù)據(jù)在網(wǎng)上存儲和傳輸過程中，不僅僅面臨信息丟失、信息重復(fù)或信息傳送的自身錯誤，而且會遭遇信息攻擊或欺詐行為，導(dǎo)致最終信息收發(fā)的差異性。因此，在信息傳輸和存儲過程中，必須要確保信息內(nèi)容在發(fā)送、接收及保存的一致性；并在信息遭受篡改攻擊的情況下，應(yīng)提供有效的察覺與發(fā)現(xiàn)機制，實現(xiàn)通信的完整性。而數(shù)據(jù)在傳輸過程中，為能夠抵御不良企圖者采取的各種攻擊，防止遭到竊取，應(yīng)采用加密措施保證數(shù)據(jù)的機密性。對于信息傳輸和存儲的完整性校驗可以采用的技術(shù)包括校驗碼技術(shù)、消息鑒別碼、密碼校驗函數(shù)、散列函數(shù)、數(shù)字簽名等技術(shù)手段。對于信息傳輸?shù)耐暾孕ｒ瀾?yīng)由傳輸加密系統(tǒng)完成，通過識別傳輸協(xié)議類型對網(wǎng)絡(luò)數(shù)據(jù)進行隧道封裝，為用戶認證提供安全加密傳輸，并實現(xiàn)全業(yè)務(wù)數(shù)據(jù)在復(fù)雜網(wǎng)絡(luò)環(huán)境下的傳輸。對于信息存儲的完整性校驗應(yīng)由應(yīng)用系統(tǒng)和數(shù)據(jù)庫系統(tǒng)完成。建議部署SSL/IPSec安全接入網(wǎng)關(guān)或下一代防火墻來實現(xiàn)。對于信息傳輸?shù)耐ㄐ疟Ｃ苄詰?yīng)由傳輸加密系統(tǒng)完成。部署SSLVPN系統(tǒng)或下一代防火墻保證遠程數(shù)據(jù)傳輸?shù)臄?shù)據(jù)保密性。3.通信網(wǎng)絡(luò)可信驗證隨著信息技術(shù)的不斷發(fā)展，信息系統(tǒng)安全問題愈演愈烈，之后網(wǎng)絡(luò)安全行業(yè)興起，攻防技術(shù)層出不窮、不斷升級。傳統(tǒng)的計算機體系結(jié)構(gòu)過多地強調(diào)了計算功能，忽略了安全防護，這相當(dāng)于一個人沒有免疫系統(tǒng)，只能生活在無菌狀態(tài)下?？尚庞嬎愕哪繕?biāo)就是要為信息系統(tǒng)構(gòu)建安全可信的計算環(huán)境，提升信息系統(tǒng)的免疫力，可信計算是基于密碼的計算機體系架構(gòu)安全技術(shù)，理論上可很大程度解決惡意軟件非授權(quán)安裝/運行、設(shè)備網(wǎng)絡(luò)假冒等問題。應(yīng)選擇具備可信芯片的網(wǎng)絡(luò)通信設(shè)備（路由器、交換機），保證網(wǎng)絡(luò)身份可信，防止網(wǎng)絡(luò)通信設(shè)備假冒。可信芯片有唯一芯片號、公私鑰對，可參與通信過程身份認證及加密。可信網(wǎng)絡(luò)通信設(shè)備以密碼芯片為可信根，通過散列算法實現(xiàn)完整性度量，通過非對稱算法提供身份認證，通過對稱算法提供數(shù)據(jù)加密，為密碼算法、密鑰、度量值、密碼運算等提供更單純、安全的安全芯片環(huán)境。4.產(chǎn)品規(guī)劃部署產(chǎn)品部署位置部署作用VPN網(wǎng)關(guān)互聯(lián)網(wǎng)邊界最外側(cè)。對外網(wǎng)用戶的可信接入進行身份認證、數(shù)據(jù)加密、角色授權(quán)和訪問審計等，保護辦公網(wǎng)內(nèi)部服務(wù)器資源的可用性，保障正常業(yè)務(wù)可控的訪問。防火墻業(yè)務(wù)網(wǎng)數(shù)據(jù)中心區(qū)域邊界；互聯(lián)網(wǎng)邊界；對業(yè)務(wù)網(wǎng)進行獨立防護，進行訪問控制、攻擊防御；對上網(wǎng)應(yīng)用行為進行管理，合理規(guī)劃網(wǎng)絡(luò)流量應(yīng)用。

區(qū)域邊界安全設(shè)計網(wǎng)絡(luò)劃分安全區(qū)域后，在不同信任級別的安全區(qū)域Z間就形成了網(wǎng)絡(luò)邊界。等級保護安全區(qū)域邊界是對定級系統(tǒng)的安全計算環(huán)境邊界，以及安全計算環(huán)境與安全通信網(wǎng)絡(luò)Z間實現(xiàn)連接并實施安全策略。本方案中，在區(qū)域邊界的安全防御能力包括如下幾個方面：＞邊界防護＞訪問控制＞入侵防范＞惡意代碼和垃圾郵件防范＞安全審計＞可信驗證從方案設(shè)計上看，參照如下方式：安全管理中心internet通信網(wǎng)絡(luò)feDOOSNGFWVPN舷機WAF箱||劃呷4計算環(huán)境安全管理中心internet通信網(wǎng)絡(luò)feDOOSNGFWVPN舷機WAF箱||劃呷4計算環(huán)境區(qū)域邊界7?1?邊界安全防護邊界安全防護的檢查重點是保證所有跨越邊界的訪問和數(shù)據(jù)流均通過邊界控制設(shè)備進行檢查，其中包括限制非授權(quán)設(shè)備的接入，非授權(quán)用戶外聯(lián)，以及無線用戶的接入限制。通過部署網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)可以實現(xiàn)對內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查，維護網(wǎng)絡(luò)邊界完整性。網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)，其中一個重要功能模塊就是非法外聯(lián)控制，探測內(nèi)部網(wǎng)中非法上互聯(lián)網(wǎng)的計算機。非法外聯(lián)監(jiān)控主要解決發(fā)現(xiàn)和管理用戶非法自行建立通路連接非授權(quán)網(wǎng)絡(luò)的行為。通過非法外聯(lián)監(jiān)控的管理，可以防止用戶訪問非信任網(wǎng)絡(luò)資源，并防止由于訪問非信任網(wǎng)絡(luò)資源而引入安全風(fēng)險或者導(dǎo)致信息泄密。?網(wǎng)絡(luò)準(zhǔn)入控制提供多維度的網(wǎng)絡(luò)接入控制能力，根據(jù)用戶的身份、使用終端類型、當(dāng)前所處的接入位置、接入時間，以及終端合規(guī)性檢查的結(jié)果，對非授權(quán)接入網(wǎng)絡(luò)的設(shè)備進行檢查和限制。?非授權(quán)用戶外聯(lián)行為監(jiān)控可以發(fā)現(xiàn)終端試圖訪問非授信網(wǎng)絡(luò)資源的行為，如試圖與沒有通過系統(tǒng)授權(quán)許可的終端進行通信，自行試圖通過撥號連接互聯(lián)網(wǎng)等行為。對于發(fā)現(xiàn)的非法外聯(lián)行為，可以記錄日志并產(chǎn)生報警信息。2.邊界訪問控制通過對邊界風(fēng)險與需求分析，在網(wǎng)絡(luò)層進行訪問控制需部署下一代防火墻產(chǎn)品，以及web應(yīng)用防火墻，可以對所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴(yán)格的安全規(guī)則進行過濾，將所有不安全的或不符合安全規(guī)則的數(shù)據(jù)包屏蔽，杜絕越權(quán)訪問，防止各類非法攻擊行為，尤其針對web應(yīng)用，將對網(wǎng)絡(luò)防火墻過濾后的流量進一步檢測。同時可以和內(nèi)網(wǎng)安全管理系統(tǒng)、網(wǎng)絡(luò)入侵檢測系統(tǒng)等進行安全聯(lián)動，形成網(wǎng)絡(luò)全面縱深的安全防御格局。在各安全域邊界部署下一代邊界防火墻及web應(yīng)用防火墻設(shè)備，可提供如下能力：＞網(wǎng)絡(luò)安全的基礎(chǔ)屏障防火墻能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。防火墻同吋可以保護網(wǎng)絡(luò)免受基于路由的攻擊，如IP選項中的源路由攻擊和ICMP重定向中的重定向路徑。防火墻可以拒絕所有以上類型攻擊的報文并通知防火墻管理員。＞強化網(wǎng)絡(luò)安全策略通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認證、審計等）配置在防火墻上。與將網(wǎng)絡(luò)安全問題分散到各個主機上相比，防火墻的集中安全管理更經(jīng)濟。例如在網(wǎng)絡(luò)訪問時，一次一密口令系統(tǒng)和其它的身份認證系統(tǒng)完全可以不必分散在各個主機上，而集中在防火墻一身上。＞對網(wǎng)絡(luò)存取和訪問進行監(jiān)控審計如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當(dāng)發(fā)生可疑動作時，防火墻能進行適當(dāng)?shù)膱缶?，并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細信息。另外，收集一個網(wǎng)絡(luò)的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測和攻擊，并且清楚防火墻的控制是否充足。而網(wǎng)絡(luò)使用統(tǒng)計對網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。＞防止內(nèi)部信息的外泄通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離，從而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。再者，隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而曝露了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內(nèi)部細節(jié)如Finger,DNS等服務(wù)。＞精確流量管理通過部署防火墻設(shè)備，不僅可以實現(xiàn)精準(zhǔn)訪問控制與邊界隔離防護，還能實現(xiàn)阻止由于病毒或者P2P軟件引起的異常流量、進行精確的流量控制等。對各級節(jié)點安全域?qū)崿F(xiàn)全面的邊界防護，嚴(yán)格控制節(jié)點之間的網(wǎng)絡(luò)數(shù)據(jù)流。＞基于web應(yīng)用的協(xié)議及內(nèi)容控制提供應(yīng)用層協(xié)議規(guī)范檢查，并通過內(nèi)容安全檢測模塊，實現(xiàn)敏感言論，敏感內(nèi)容泄露的分析與阻斷。3.邊界入侵防范在各區(qū)域邊界，防火墻起到了協(xié)議過濾的主要作用，根據(jù)安全策略在偏重在網(wǎng)絡(luò)層判斷數(shù)據(jù)包的合法流動。但面對越來越廣泛的基于應(yīng)用層內(nèi)容的攻擊行為，防火墻并不擅長處理應(yīng)用層數(shù)據(jù)。在網(wǎng)絡(luò)邊界和主要服務(wù)器區(qū)安全域均己經(jīng)設(shè)計部署了防火墻，對每個安全域進行嚴(yán)格的訪問控制。鑒于以上對防火墻核心作用的分析，需要其他具備檢測新型的混合攻擊和防護的能力的設(shè)備和防火墻配合，共同防御來自應(yīng)用層到網(wǎng)絡(luò)層的多種攻擊類型，建立一整套的安全防護體系，進行多層次、多手段的檢測和防護，本方案中將在網(wǎng)絡(luò)邊界區(qū)部署如下入侵防范能力：＞入侵防護系統(tǒng)ipsIPS是安全防護體系中重要的一環(huán)，它能夠及時識別網(wǎng)絡(luò)中發(fā)生的入侵行為并實時報警并且進行有效攔截防護，是繼“防火墻”、“信息加密”等傳統(tǒng)安全保護方法之后的新一代安全保障技術(shù)。它監(jiān)視計算機系統(tǒng)或網(wǎng)絡(luò)中發(fā)生的事件，并對它們進行分析，以尋找危及信息的機密性、完整性、可用性或試圖繞過安全機制的入侵行為并進行有效攔截。IPS就是自動執(zhí)行這種監(jiān)視和分析過程，并且執(zhí)行阻斷的硬件產(chǎn)品。在防火墻進行訪問控制，保證了訪問的合法性之后，IPS動態(tài)的進行入侵行為的保護，對訪問狀態(tài)進行檢測、對通信協(xié)議和應(yīng)用協(xié)議進行檢測、對內(nèi)容進行深度的檢測。實現(xiàn)網(wǎng)絡(luò)安全在邊界的入侵檢測，防止外部網(wǎng)絡(luò)對內(nèi)部的攻擊探測等惡意行為，同時阻斷來自內(nèi)部的數(shù)據(jù)攻擊以及垃圾數(shù)據(jù)流的泛濫。防DDoS泛洪攻擊針對互聯(lián)網(wǎng)日漸增多DDoS攻擊，應(yīng)部署專業(yè)的抗DDoS系統(tǒng)進行防御，系統(tǒng)包含：DDoS檢測中心、DDoS清洗中心、DDoS管理中心。DDoS檢測設(shè)備對分光過來的流量進行檢測，當(dāng)檢測設(shè)備檢測到異常后，上報受攻擊IP到管理中心，管理中心會向清洗設(shè)備下發(fā)引流策略，清洗設(shè)備通過向核心路由器發(fā)布BGP路由的方式，把攻擊流量牽引到清洗設(shè)備進行清洗。清洗中通過多層過濾的防御技術(shù)，丟棄攻擊流量，轉(zhuǎn)發(fā)正常流量。清洗后的流量在清洗設(shè)備上通過合適的方式回注到核心路由器。清洗中心上報攻擊日志到管理中心，管理中心將會進行清洗效果的呈現(xiàn)。防未知高級威脅（APT）針對越來越多的未知高級威脅（APT攻擊）出現(xiàn)，傳統(tǒng)基于特征防護思路已難以應(yīng)對，需要通過大數(shù)據(jù)技術(shù)的威脅檢測和調(diào)查分析技術(shù)，從威脅攻擊鏈的整體來建立縱深防御體系，未知威脅檢測體系，建議部署檢測沙箱和安全智能系統(tǒng)對此類威脅進行檢測和防護。沙箱部署在防火墻一側(cè)，防火墻通過接口向沙箱提交待檢測文件，可在虛擬的環(huán)境進行分析，實現(xiàn)對未知惡意文件的檢測。安全智能系統(tǒng)基于大數(shù)據(jù)平臺，采用機器學(xué)習(xí)模式，對多種數(shù)據(jù)源進行分析，通過檢測單點事件，關(guān)聯(lián)組合威脅并綜合評估得出攻擊鏈，聯(lián)動安全設(shè)備、終端設(shè)備，并通過與全球威脅智能中心實時共享，同步最新威脅情報庫，支撐本地的未知威脅檢測判定。安全幫能系統(tǒng)還提供全網(wǎng)安全態(tài)勢感知能力，感知全網(wǎng)威脅態(tài)勢、攻擊路徑、高危資產(chǎn)等信息，幫助快速掌握全網(wǎng)威脅。主動防御（誘捕）誘捕技術(shù)是一種蓄意在網(wǎng)絡(luò)中布設(shè)陷阱，干擾、誤導(dǎo)攻擊者對己方信息通信系統(tǒng)的認知，使攻擊者采取對防御方有利的動作（或不行動），從而有助于發(fā)現(xiàn)、延遲或阻斷攻擊者的活動，達到增加信息通信系統(tǒng)安全的冃的。推薦部署誘捕系統(tǒng)，以提升用戶內(nèi)網(wǎng)安全為冃標(biāo)，基于行為檢測防御理念，提供零硬件成本、告警準(zhǔn)確、精準(zhǔn)溯源，能夠通過自動全網(wǎng)散布陷阱、自動仿真用戶業(yè)務(wù)等技術(shù)迷惑和誘捕攻擊者，有效檢測和防御包括APT、未知蠕蟲在內(nèi)的網(wǎng)絡(luò)攻擊行為，并能結(jié)合聯(lián)動控制器實現(xiàn)微隔離，有效防御已知和未知威脅，最大限度減少用戶損失。4.邊界惡意代碼和垃圾郵件防范現(xiàn)今，病毒的發(fā)展呈現(xiàn)出以下趨勢:病毒與黑客程序相結(jié)合、蠕蟲病毒更加泛濫，目前計算機病毒的傳播途徑與過去相比已經(jīng)發(fā)生了很大的變化，更多的以網(wǎng)絡(luò)（包括Internet.廣域網(wǎng)、局域網(wǎng)）形態(tài)進行傳播，因此為了安全的防護手段也需以變應(yīng)變。一個完善的安全體系應(yīng)該包含了從桌面到服務(wù)器、從內(nèi)部用戶到網(wǎng)絡(luò)邊界的全面解決方案，以抵御來自黑客和病毒的威脅。在互聯(lián)網(wǎng)邊界部署防病毒網(wǎng)關(guān)或下?代防火墻開啟防病毒功能，在最接近病毒發(fā)生源安全邊界處進行集中防護，對夾雜在網(wǎng)絡(luò)交換數(shù)據(jù)中的各類網(wǎng)絡(luò)病毒進行過濾，可以對惡意代碼、網(wǎng)絡(luò)病毒、蠕蟲、混合攻擊、端口掃描、間諜軟件、P2P軟件帶寬濫用等各種廣義病毒進行全面的攔截。阻止病毒通過網(wǎng)絡(luò)的快速擴散，將經(jīng)網(wǎng)絡(luò)傳播的病毒阻擋在外，可以有效防止病毒從其他區(qū)域傳播到內(nèi)部其他安全域中，截斷病毒通過網(wǎng)絡(luò)傳播的途徑，凈化網(wǎng)絡(luò)流量。在邊界部署下一代防火墻，并開啟防垃圾郵件功能，具備實時反垃圾郵件，內(nèi)容過濾、關(guān)鍵字過濾，附件病毒檢查與安全提醒等能力。為能達到最好的防護效果，病毒庫和垃圾郵件規(guī)則庫需及時升級至最新版本。對于能夠與互聯(lián)網(wǎng)實現(xiàn)連接的網(wǎng)絡(luò)，應(yīng)對自動升級進行準(zhǔn)確配置；對與不能與互聯(lián)網(wǎng)進行連接的網(wǎng)絡(luò)環(huán)境，需采取手動下載升級包的方式進行手動升級。5.邊界安全審計各安全區(qū)域邊界已經(jīng)部署了相應(yīng)的安全設(shè)備負責(zé)進行區(qū)域邊界的安全，各類安全設(shè)備產(chǎn)生的日志可反映網(wǎng)絡(luò)及業(yè)務(wù)的運行狀態(tài)。對于流經(jīng)各主要邊界（重要服務(wù)器區(qū)域、外部連接邊界）需要設(shè)置必要的審計機制，進行數(shù)據(jù)監(jiān)視并記錄各類操作，通過審計分析能夠發(fā)現(xiàn)跨區(qū)域的安全威脅，實時地綜合分析出網(wǎng)絡(luò)中發(fā)生的安全事件。一?般可采取開啟邊界安全設(shè)備的審計功能模塊，根據(jù)審計策略進行數(shù)據(jù)的日志記錄與審計。同時審計信息要通過安全管理中心的綜合日志審計系統(tǒng)進行統(tǒng)一集中管理，利于管理中心進行全局管控。?全網(wǎng)日志管理提供多種日志格式的采集方式，通過采集、分類、過濾、分析、存儲和監(jiān)控安全設(shè)備上報的日志，管理海量日志，關(guān)鍵日志產(chǎn)生告警并通過短信、Emedl等方式進行通知。?精準(zhǔn)到用戶級行為分析通過上網(wǎng)行為管理系統(tǒng)，進行用戶上網(wǎng)行為分析，同時結(jié)合用戶數(shù)據(jù)源，滿足安全審計和取證的需要。?安全事件分析匯集防火墻、入侵防御等邊界安全設(shè)備的安全事件日志，進行匯總分析，包括攻擊事件分析、插件阻斷分析、訪問控制事件分析、策略命中分析、入侵防御分析、URL過濾分析、郵件過濾分析等，形成事件分析報表。6.邊界可信驗證遵循可信計算規(guī)范，具備可鑒別、完整性、私密性三大屬性，支持用戶的身份認證，平臺軟喚件配置的正確性，應(yīng)用程序的完整性和合法性，平臺之間的可驗證性。本方案中建議邊界防護設(shè)備應(yīng)基于可信根設(shè)計，提供如下能力，基于可信根對邊界設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和邊界防護應(yīng)用程序等進行可信驗證，并在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證，在檢測到其可信性收到破壞后進行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心。邊界防護設(shè)備在系統(tǒng)上電后首先運行可信根，并將度量值擴展到引導(dǎo)程序，引導(dǎo)程序度量系統(tǒng)程序擴展到系統(tǒng)程序，系統(tǒng)程序可以根據(jù)配置策略度量文件并將度量值擴展，執(zhí)行應(yīng)用程序。7.7.產(chǎn)品規(guī)劃部署產(chǎn)品部署位置部署作用Web應(yīng)用防火墻業(yè)務(wù)網(wǎng)核心業(yè)務(wù)服務(wù)器區(qū)域邊界。Web應(yīng)用訪問控制入侵防御業(yè)務(wù)網(wǎng)核心業(yè)務(wù)服務(wù)器區(qū)域邊界。實時監(jiān)控并阻斷針對數(shù)據(jù)中心核心業(yè)務(wù)服務(wù)器的入侵行為。AntiDDoS邊界出口位置防止對內(nèi)部網(wǎng)絡(luò)的DD0S攻擊。防火墻互聯(lián)網(wǎng)邊界。邊界集中進行病毒過濾，防止病毒侵入擴散，與主機防病毒組成多層次深度防御。綜合日志審計系統(tǒng)部署在安全管理中心區(qū)安全審計：網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機、終端、服務(wù)器日志審計入侵防范：威脅溯源、網(wǎng)絡(luò)溯源計算環(huán)境安全設(shè)計計算環(huán)境安全是整個安全建設(shè)的核心和基礎(chǔ)。計算環(huán)境安全通過設(shè)備、主機、移動終端、應(yīng)用服務(wù)器和數(shù)據(jù)庫的安全機制服務(wù)，保障應(yīng)用業(yè)務(wù)處理全過程以及數(shù)據(jù)的安全。系統(tǒng)終端和服務(wù)器通過在操作系統(tǒng)核心層和系統(tǒng)層設(shè)置以強制訪問控制為主體的系統(tǒng)安全機制，形成嚴(yán)密的安全保護環(huán)境，通過對用戶行為的控制，可以有效防止非授權(quán)用戶訪問和授權(quán)用戶越權(quán)訪問，確保信息和信息系統(tǒng)的保密性和完整性，從而為業(yè)務(wù)系統(tǒng)的正常運行和免遭惡意破壞提供支撐和保障。等級保護規(guī)范要求三級網(wǎng)絡(luò)系統(tǒng)需要包括如下安全能力：＞身份鑒別＞訪問控制＞安全審計＞入侵防范＞惡意代碼防范＞可信驗證＞數(shù)據(jù)完整性和保密性＞數(shù)據(jù)備份與恢復(fù)＞剩余信息保護＞個人信息保護本方案中，將融合零信任安全的新理念，其中心思想是系統(tǒng)不應(yīng)自動信任內(nèi)部或外部的任何人/事/物，應(yīng)在授權(quán)之前對任何試圖接入企業(yè)系統(tǒng)的人/事/物進行驗證。從方案的實施角度看，可包括如下產(chǎn)品能力:身份鑒別身份鑒別可分為主機身份鑒別和應(yīng)用身份鑒別兩個方面：主機身份鑒別：為提高主機系統(tǒng)安全性，保障各種應(yīng)用的正常運行，對主機系統(tǒng)需要進行?系列的加固措施，包括：?對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標(biāo)識和鑒別，且保證用戶名的唯一性。?根據(jù)基本要求配置用戶名/口令；口令必須具備采用3種以上字符、長度不少于8位并定期更換；?啟用登陸失敗處理功能，登陸失敗后采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施。?遠程管理吋應(yīng)啟用SSH等管理方式，加密管理數(shù)據(jù)，防止被網(wǎng)絡(luò)竊聽。?對主機管理員登錄進行雙因素認證方式，采用USBkey+密碼進行身份鑒應(yīng)用身份鑒別：為提高應(yīng)用系統(tǒng)系統(tǒng)安全性應(yīng)用系統(tǒng)需要進行一系列的加固措施，包括：對登錄用戶進行身份標(biāo)識和鑒別，且保證用戶名的唯一性。根據(jù)基本要求配置用戶名/口令，必須具備一定的復(fù)雜度；口令必須具備釆用3種以上字符、長度不少于8位并定期更換；啟用登陸失敗處理功能，登陸失敗后采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施。應(yīng)用系統(tǒng)如具備上述功能則需要開啟使用，若不具備則需進行相應(yīng)的功能開發(fā)，且使用效果要達到以上要求。對于三級系統(tǒng)，要求對用戶進行兩種或兩種以上組合的鑒別技術(shù)，因此可釆用雙因素認證（USBkey+密碼）或者構(gòu)建PKI體系，釆用CA證書的方式進行身份鑒別。本方案中，建議部署遠程接入安全網(wǎng)關(guān)，提供本地口令、數(shù)字證書、USBKey等多種認證方式，并可針對密碼、證書認證、外部認證、硬件特征碼等多種因素捆綁混合認證。在進行遠程登錄管理時，可采用多種加密算法，對傳輸數(shù)據(jù)進行強加密，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽，確保數(shù)據(jù)傳輸?shù)恼鎸嵭院屯暾浴?.訪問控制三級系統(tǒng)一個重要要求是實現(xiàn)自主訪問控制和強制訪問控制。自主訪問控制實現(xiàn)：在安全策略控制范圍內(nèi)，使用戶對自己創(chuàng)建的客體具有各種訪問操作權(quán)限，并能將這些權(quán)限的部分或全部授予其他用戶；自主訪問控制主體的粒度應(yīng)為用戶級，客體的粒度應(yīng)為文件或數(shù)據(jù)庫表級；自主訪問操作應(yīng)包括對客體的創(chuàng)建、讀、寫、修改和刪除等。強制訪問控制實現(xiàn)：在對安全管理員進行嚴(yán)格的身份鑒別和權(quán)限控制基礎(chǔ)上，由安全管理員通過特定操作界面對主、客體進行安全標(biāo)記；應(yīng)按安全標(biāo)記和強制訪問控制規(guī)則，對確定主體訪問客體的操作進行控制；強制訪問控制主體的粒度應(yīng)為用戶級，客體的粒度應(yīng)為文件或數(shù)據(jù)庫表級。由此主要控制的是對應(yīng)用系統(tǒng)的文件、數(shù)據(jù)庫等資源的訪問，避免越權(quán)非法使用。采用的措施主要包括：啟用訪問控制功能：制定嚴(yán)格的訪問控制安全策略，根據(jù)策略控制用戶對應(yīng)用系統(tǒng)的訪問，特別是文件操作、數(shù)據(jù)庫訪問等，控制粒度主體為用戶級、客體為文件或數(shù)據(jù)庫表級。權(quán)限控制：對于制定的訪問控制規(guī)則要能清楚的覆蓋資源訪問相關(guān)的主體、客體及它們之間的操作。對于不同的用戶授權(quán)原則是進行能夠完成工作的最小化授權(quán)，避免授權(quán)范圍過大，并在它們之間形成相互制約的關(guān)系。賬號管理：嚴(yán)格限制默認賬戶的訪問權(quán)限，重命名默認賬戶，修改默認口令；及時刪除多余的、過期的賬戶，避免共享賬戶的存在。訪問控制的實現(xiàn)主要采取兩種方式：采用安全操作系統(tǒng)，或?qū)Σ僮飨到y(tǒng)進行安全增強改造，且使用效果要達到以上要求。3.安全審計計算環(huán)境安全審計包含主機審計和應(yīng)用審計兩個層面：主機審計：監(jiān)控功能包括服務(wù)監(jiān)控、進程監(jiān)控、硬件操作監(jiān)控、文件系統(tǒng)監(jiān)控、打印機監(jiān)控、非法外聯(lián)監(jiān)控、計算機用戶賬號監(jiān)控等。審計功能包括文件操作審計、外掛設(shè)備操作審計、非法外聯(lián)審計、ip地址更改審計、服務(wù)與進程審計等。審計范圍覆蓋到服務(wù)器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；內(nèi)容包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；審計記錄包括事件的日期、吋間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等；保護審計記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。同時，根據(jù)記錄的數(shù)據(jù)進行統(tǒng)計分析，生成詳細的審計報表，系統(tǒng)管理功能包括系統(tǒng)用戶管理、主機監(jiān)控代理狀態(tài)監(jiān)控、安全策略管理、主機監(jiān)控代理升級管理、計算機注冊管理、實時報警、歷史信息查詢、統(tǒng)計與報表等。應(yīng)用審計：應(yīng)用層安全審計是對業(yè)務(wù)應(yīng)用系統(tǒng)行為的審計，需要與應(yīng)用系統(tǒng)緊密結(jié)合，此審計功能應(yīng)與應(yīng)用系統(tǒng)統(tǒng)一開發(fā)。應(yīng)用系統(tǒng)審計功能記錄系統(tǒng)重要安全事件的日期、時間、發(fā)起者信息、類型、描述和結(jié)果等，并保護好審計結(jié)果，阻止非法刪除、修改或覆蓋審計記錄。同時能夠?qū)τ涗洈?shù)據(jù)進行統(tǒng)計、查詢、分析及生成審計報表。部署數(shù)據(jù)庫審計系統(tǒng)，針對日益嚴(yán)峻的數(shù)據(jù)庫安全形勢，保護核心數(shù)據(jù)庫安全，方式數(shù)據(jù)被篡改或泄露。對數(shù)據(jù)庫操作行為和內(nèi)容進行全面的審計和管理，對數(shù)據(jù)庫操作進行解析、記錄、分析，幫助客戶監(jiān)控數(shù)據(jù)庫操作，以達到違規(guī)操作可實時發(fā)現(xiàn)，發(fā)生事故有源可溯，提高管理者對業(yè)務(wù)系統(tǒng)信息資源的全局把控和調(diào)度能力。審計范圍覆蓋到每個用戶，從而把握數(shù)據(jù)庫系統(tǒng)的整體安全。應(yīng)用系統(tǒng)如具備上述功能則需要開啟使用，若不具備則需進行相應(yīng)的功能開發(fā)，且使用效果要達到以上要求。4.入侵防范針對計算環(huán)境的入侵防范主要體現(xiàn)在主機及網(wǎng)絡(luò)兩個層面。針對主機的入侵防范，建議操作系統(tǒng)的安裝遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，關(guān)閉多余服務(wù)，根據(jù)系統(tǒng)類型進行安全配置的加固處理。同時部署終端安全管理系統(tǒng)，開啟補丁分發(fā)功能模塊及時進行系統(tǒng)補丁升級。另外建議部署系統(tǒng)漏洞掃描設(shè)備，通過深度主機服務(wù)探測、Web智能化爬蟲、SQL注入狀態(tài)檢測、主機配置檢查以及弱口令檢查等技術(shù)，提供Web漏洞掃描、系統(tǒng)漏洞掃描、數(shù)據(jù)庫漏洞掃描、基線安全檢查與口令猜解的功能，針對網(wǎng)絡(luò)入侵防范，可通過部署網(wǎng)絡(luò)入侵檢測系統(tǒng)來實現(xiàn)。將網(wǎng)絡(luò)入侵檢測系統(tǒng)位于有敏感數(shù)據(jù)需要保護的網(wǎng)絡(luò)上，通過實時偵聽網(wǎng)絡(luò)數(shù)據(jù)流，尋找網(wǎng)絡(luò)違規(guī)模式和未授權(quán)的網(wǎng)絡(luò)訪問嘗試。當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)違規(guī)行為和未授權(quán)的網(wǎng)絡(luò)訪問吋，網(wǎng)絡(luò)監(jiān)控系統(tǒng)能夠根據(jù)系統(tǒng)安全策略做出反應(yīng)，包括實吋報警、事件登錄，或執(zhí)行用戶自定義的安全策略等。入侵檢測系統(tǒng)可以部署在核心處以及主要服務(wù)器區(qū)，這里我們建議在這些區(qū)域的交換機上部署入侵檢測系統(tǒng)，監(jiān)視并記錄網(wǎng)絡(luò)中的所有訪問行為和操作，有效防止非法操作和惡意攻擊。同時，入侵檢測系統(tǒng)還可以形象地重現(xiàn)操作的過程，可幫助安全管理員發(fā)現(xiàn)網(wǎng)絡(luò)安全的隱患。5.主機惡意代碼防范各類惡意代碼尤其是病毒、木馬等是對業(yè)務(wù)系統(tǒng)的重大危害，病毒在爆發(fā)時將使路由器、三層交換機、防火墻等網(wǎng)關(guān)設(shè)備性能急速下降，并且占用整個網(wǎng)絡(luò)帶寬。針對病毒的風(fēng)險，我們建議重點是將病毒消滅或封堵在終端這個源頭上。比如，在所有終端主機和服務(wù)器上部署網(wǎng)絡(luò)防病毒系統(tǒng)，加強終端主機的病毒防護能力并及時升級惡意代碼軟件版本以及惡意代碼庫。在安全管理安全域中，可以部署防病毒服務(wù)器，負責(zé)制定和終端主機防病毒策略，在內(nèi)網(wǎng)建立全網(wǎng)統(tǒng)一的一級升級服務(wù)器，在下級節(jié)點建立二級升級服務(wù)器，由管理中心升級服務(wù)器通過互聯(lián)網(wǎng)或手工方式獲得最新的病毒特征庫，分發(fā)到數(shù)據(jù)中心節(jié)點的各個終端，并下發(fā)到各二級服務(wù)器。在網(wǎng)絡(luò)邊界通過防火墻進行基于通信端口、帶寬、連接數(shù)量的過濾控制，可以在一定程度上避免蠕蟲病毒爆發(fā)時的大流量沖擊。同時，防毒系統(tǒng)可以為安全管理平臺提供關(guān)于病毒威脅和事件的監(jiān)控、審計日志，為全網(wǎng)的病毒防護管理提供必要的信息。6.可信驗證計算環(huán)境的可信驗證，包括基于可信根對計算設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和應(yīng)用程序等進行可信驗證，在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證，在檢測到可信性收到破壞后進行報警，并且可信驗證的結(jié)果應(yīng)發(fā)送至安全管理中心。本方案中應(yīng)保證計算環(huán)境可信，部署具備可信根的計算設(shè)備，支持識別非授權(quán)軟件，防止計算環(huán)境完整性受篡改。通過完整性度量，可以為嵌入式終端、桌面、服務(wù)器等提供硬件、固件軟件、虛擬化軟件、操作系統(tǒng)軟件及應(yīng)用軟件的完整性保護，發(fā)現(xiàn)基于完整性篡改的攻擊或異常?？尚庞嬎阍O(shè)備應(yīng)具備如下能力：度量：可信設(shè)備信任鏈以可信引導(dǎo)區(qū)和可信安全芯片為信任根，其中，引導(dǎo)區(qū)為可信度量根，可信平臺模塊為可信存儲根、可信報告根。從引導(dǎo)區(qū)出發(fā)，到系統(tǒng)引導(dǎo)、再到系統(tǒng)程序、應(yīng)用程序，構(gòu)成一條信任鏈。沿著這條信任鏈，一級度量一級，一級信任一級，確保平臺資源的完整性。存儲：可釆用度量擴展的方法（即現(xiàn)有度量值和新度量值相連再次散列）來記錄和存儲度量值，同時將度量對彖的詳細信息和度量結(jié)果作為日志存儲在磁盤中。存儲在磁盤中的度量日志和存儲的度量值是相互印證的，防止磁盤中的日志被篡改。報告：度量、存儲之后，當(dāng)訪問客體詢問時，可以提供報告，供訪問對象判斷平臺的可信狀態(tài)。向客體提供的報告日志，為了確保報告內(nèi)容的安全，還須進行平臺遠程證明，采用加密、數(shù)字簽名和認證技術(shù)。8.7.數(shù)據(jù)完整性與保密性目前，信息系統(tǒng)中傳輸?shù)男畔⒅饕侵匾臉I(yè)務(wù)數(shù)據(jù)和辦公文檔，對信息完整性校驗提出了一定的需求，特別是通過公網(wǎng)遠程接入內(nèi)網(wǎng)傳遞數(shù)據(jù)的私密性有很高的要求。而SSLVPN非常適用于遠程接入環(huán)境，例如：移動辦公接入。它和IPSECVPN適用于不同的應(yīng)用場景，可配合使用。SSLVPN與IPSecVPN—樣，也可提供加密和身份驗證安全方法，因此安全性上二者無明顯差別。產(chǎn)品部署方面，SSLVPN只需單臂旁路方式接入。單臂旁路接入不改變原有網(wǎng)絡(luò)結(jié)構(gòu)和網(wǎng)路配置，不增加故障點，部署簡單靈活，同時提供完整的SSLVPN服務(wù)。遠程用戶只需應(yīng)用標(biāo)準(zhǔn)IE瀏覽器即可登陸網(wǎng)關(guān)，通過身份鑒別，在基于角色的策略控制下實現(xiàn)對醫(yī)院內(nèi)部資源的存取訪問。遠程移動用戶只需打開標(biāo)準(zhǔn)IE瀏覽器，登陸SSLVPN網(wǎng)關(guān)，經(jīng)過用戶認證后即可根據(jù)分配給該用戶的相應(yīng)策略進行相關(guān)業(yè)務(wù)系統(tǒng)的訪問。針對網(wǎng)頁數(shù)據(jù)，應(yīng)部署網(wǎng)頁防篡改系統(tǒng)，防止重要數(shù)據(jù)和個人信息被篡改，并保證數(shù)據(jù)在完整性受到破壞時也能夠及時恢復(fù)。與此同時，建議應(yīng)用系統(tǒng)在設(shè)計時要充分考慮軟件容錯能力，提供足夠的冗余信息和算法程序，使系統(tǒng)在實際運行時能夠及時發(fā)現(xiàn)程序設(shè)計錯誤,采取補救措施，以提高軟件可靠性，保證整個計算機系統(tǒng)的正常運行。包括：提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設(shè)定要求；具備自保護功能，在故障發(fā)生吋，應(yīng)用系統(tǒng)應(yīng)能夠自動保存當(dāng)前所有狀態(tài)，確保系統(tǒng)能夠進行恢復(fù)。8.8.備份與恢復(fù)備份與恢復(fù)主要包含兩方面內(nèi)容，首先是指數(shù)據(jù)備份與恢復(fù)，另外一方面是關(guān)鍵網(wǎng)絡(luò)設(shè)備、線路以及服務(wù)器等硬件設(shè)備的冗余。數(shù)據(jù)是最重要的系統(tǒng)資源。數(shù)據(jù)丟失將會使系統(tǒng)無法連續(xù)正常工作。數(shù)據(jù)錯誤則將意味著不準(zhǔn)確的事務(wù)處理。可靠的系統(tǒng)要求能立即訪問準(zhǔn)確信息。將綜合存儲戰(zhàn)略作為計算機信息系統(tǒng)基礎(chǔ)設(shè)施的一部分實施不再是一種選擇，而已成為必然的趨勢。數(shù)據(jù)備份系統(tǒng)應(yīng)該遵循穩(wěn)定性、全面性、自動化、高性能、操作簡單、實時性等原則。備份系統(tǒng)先進的特性可提供增強的性能，易于管理，廣泛的設(shè)備兼容性和較高的可靠性，以保證數(shù)據(jù)完整性。廣泛的選件和代理能將數(shù)據(jù)保護擴展到整個系統(tǒng),并提供增強的功能，其中包括聯(lián)機備份應(yīng)用系統(tǒng)和數(shù)據(jù)文件,先進的設(shè)備和介質(zhì)管理，快速、順利的災(zāi)難恢復(fù)以及對光纖通道存儲區(qū)域網(wǎng)(SAN)的支持等。提供能異地數(shù)據(jù)備份功能，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時批量傳送至異地備用場地。對于核心交換設(shè)備、外部接入鏈路以及系統(tǒng)服務(wù)器進行雙機、雙線的冗余設(shè)計，保障從網(wǎng)絡(luò)結(jié)構(gòu)、便件配置上滿足不間斷系統(tǒng)運行的需要。等級保護要求三級系統(tǒng)應(yīng)提供數(shù)據(jù)本地備份，異地實時備份且重要數(shù)據(jù)處理系統(tǒng)(包括邊界路由器、邊界防火墻、核心交換機、應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器)采用熱冗余方式部署。8.9.產(chǎn)品規(guī)劃部署產(chǎn)品部署位置部署作用數(shù)據(jù)庫審計業(yè)務(wù)網(wǎng)核心業(yè)務(wù)服務(wù)器區(qū)域邊界。數(shù)據(jù)庫訪問控制

漏洞掃描部署在安全管理中心區(qū)WEB、數(shù)據(jù)庫、主機的系統(tǒng)弱點掃描，靜態(tài)評估系統(tǒng)可能存在的風(fēng)險。入侵防御業(yè)務(wù)網(wǎng)核心業(yè)務(wù)服務(wù)器區(qū)域邊界。實時監(jiān)控并阻斷針對數(shù)據(jù)中心核心業(yè)務(wù)服務(wù)器的入侵行為。上網(wǎng)行為管理互聯(lián)網(wǎng)邊界對內(nèi)部人員上網(wǎng)行為的約束與審計主機防病毒軟件所有服務(wù)器及客戶端抑制來自外部或內(nèi)部網(wǎng)絡(luò)的惡意病毒傳播，保持網(wǎng)絡(luò)清潔。建立全網(wǎng)統(tǒng)一升級服務(wù)中心，實現(xiàn)全網(wǎng)統(tǒng)一升級管理。保護全網(wǎng)終端及服務(wù)器，對各類病毒進行徹底查殺安全管理中心設(shè)計等級保護對安全管理中心明確提出技術(shù)要求，針對系統(tǒng)的安全策略及安全計算環(huán)境、安全區(qū)域邊界和安全通信網(wǎng)絡(luò)三個部分的安全機制，形成一個統(tǒng)一的安全管理中心，實現(xiàn)統(tǒng)一管理、統(tǒng)一監(jiān)控、統(tǒng)一審計。由于覆蓋面廣，用戶眾多，技術(shù)人員水平不一。為了能準(zhǔn)確了解系統(tǒng)的運行狀態(tài)、設(shè)備的運行情況，統(tǒng)一部署安全策略，應(yīng)進行安全管理中心的設(shè)計，根據(jù)要求，應(yīng)在系統(tǒng)管理、審計管理和安全管理幾個大方面進行建設(shè)。在安全管理安全域中建立安全管理中心，是有效幫助管理人員實施好安全措施的重要保障，是實現(xiàn)業(yè)務(wù)穩(wěn)定運行、長治久安的基礎(chǔ)。通過安全管理中心

的建設(shè)，真正實現(xiàn)安全技術(shù)層面和管理層面的結(jié)合，全面提升用戶網(wǎng)絡(luò)的信息安全保障能力。安全管理屮心態(tài)勢窸丸學(xué)善逵中心紅m主宙計-m令I(lǐng)態(tài)勢窸丸學(xué)善逵中心紅m主宙計-m令I(lǐng)支全臺欽據(jù)變含汁竝松g-internet通信網(wǎng)/—s、1了L系統(tǒng)管理通過部署統(tǒng)一網(wǎng)管對系統(tǒng)的資源和運行進行配置、控制和管理，包括：＞用戶身份管理：統(tǒng)一管理系統(tǒng)用戶身份，按照業(yè)務(wù)上分工的不同，合理地把相關(guān)人員劃分為不同的類別或者組，以及不同的角色對模塊的訪問權(quán)限。權(quán)限設(shè)置可按角色劃分，角色分為普通用戶、系統(tǒng)管理員、安全管理員、審計管理員等。＞系統(tǒng)資源配置與監(jiān)控：進行系統(tǒng)資源配置管理與監(jiān)控，包括CPU負載、磁盤使用情況、服務(wù)器內(nèi)存、數(shù)據(jù)庫的空間、數(shù)據(jù)庫日志空間、SWAP使用情況等，通過配置采樣時間，定時檢測。＞系統(tǒng)加載和啟動：進行系統(tǒng)啟動初始化管理，保障系統(tǒng)的正常加載和啟動。＞系統(tǒng)運行的異常監(jiān)控：系統(tǒng)資源和設(shè)備受到攻擊，或運行異常時，會以告警等信息方式，通知管理員。安全管理平臺可提供多種自動處理機制，協(xié)助用戶監(jiān)控最新告警，全方位掌控網(wǎng)絡(luò)異常和攻擊。＞數(shù)據(jù)備份與恢復(fù)：數(shù)據(jù)的定期備份與恢復(fù)管理，識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)，規(guī)定備份信息的備份方式、備份頻度、存儲介質(zhì)、保存期等；根據(jù)數(shù)據(jù)的重要性及其對系統(tǒng)運行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略，定期執(zhí)行備份與恢復(fù)策略。＞惡意代碼防范管理：建立惡意代碼管理中心，進行防惡意代碼軟件的統(tǒng)一管理，并根據(jù)情況建立二級管理中心。惡意代碼管理中心實現(xiàn)：殺毒策略統(tǒng)一集中配置；自動并強制進行惡意代碼庫升級；定制統(tǒng)一客戶端策略并強制執(zhí)行;進行集中病毒報警等。＞系統(tǒng)補丁管理：集中進行補丁管理，定期統(tǒng)一進行系統(tǒng)補丁安裝。注意應(yīng)首先在測試環(huán)境中測試通過，并對重要文件進行備份后，方可實施系統(tǒng)補丁程序的安裝。＞系統(tǒng)管理員身份認證與審計：對系統(tǒng)管理員進行嚴(yán)格的身份鑒別，只允許其通過特定的命令或操作界面進行系統(tǒng)管理操作，并對這些操作進行審計。2.審計管理在各邊界安全設(shè)備開啟審計功能模塊，根據(jù)審計策略進行數(shù)據(jù)的日志記錄與審計。通過部署日志審計系統(tǒng)對分布在系統(tǒng)各個組成部分的安全審計機制進行集中管理，統(tǒng)一收集設(shè)備日志，審計記錄設(shè)置留存時間設(shè)置為6個月，功能包括：根據(jù)安全審計策略對審計記錄進行分類；提供按時間段開啟和關(guān)閉相應(yīng)類型的安全審計機制；對各類審計記錄進行存儲、管理和查詢等；對安全審計員進行嚴(yán)格的身份鑒別，并只允許其通過特定的命令或界面進行安全審計操作。具體集中審計內(nèi)容包括：＞日志監(jiān)視實時監(jiān)視接收到的事件的狀況，如最近日志列表、系統(tǒng)風(fēng)險狀況等；監(jiān)控事件狀況的同時也可以監(jiān)控設(shè)備運行參數(shù)，以配合確定設(shè)備及網(wǎng)絡(luò)的狀態(tài)；日志監(jiān)視支持以圖形化方式實時監(jiān)控日志流量、系統(tǒng)風(fēng)險等變化趨勢。＞日志管理日志管理實現(xiàn)對多種日志格式的統(tǒng)一管理。通過SNMP、SYSLOG或者其它的日志接口釆集管理對象的日志信息，轉(zhuǎn)換為統(tǒng)一的日志格式，再統(tǒng)一管理、分析、報警；自動完成日志數(shù)據(jù)的格式解析和分類；提供日志數(shù)據(jù)的存儲、備份、恢復(fù)、刪除、導(dǎo)入和導(dǎo)出操作等功能。日志管理支持分布式日志級聯(lián)管理，下級管理中心的日志數(shù)據(jù)可以發(fā)送到上級管理中心進行集中管理＞審計分析集中審計可綜合各種安全設(shè)備的安全事件，以統(tǒng)一的審計結(jié)果向用戶提供可定制的報表，全面反映網(wǎng)絡(luò)安全總體狀況，重點突出，簡單易懂。系統(tǒng)支持對包過濾日志、代理日志、入侵攻擊事件、病毒入侵事件等十幾種日志進行統(tǒng)計分析并生成分析報表；支持按照設(shè)備運行狀況、設(shè)備管理操作對安全設(shè)備管理信息統(tǒng)計分析；支持基于多種條件的統(tǒng)計分析，包括：對訪問流量、入侵攻擊、郵件過濾日志、源地址、用戶對網(wǎng)絡(luò)訪問控制日志等。對于入侵攻擊日志，可按照入侵攻擊事件、源地址、被攻擊主機進行統(tǒng)計分析，生成各類趨勢分析圖表。系統(tǒng)可以生成多種形式的審計報表，報表支持表格和多種圖形表現(xiàn)形式；用戶可以通過IE瀏覽器訪問，導(dǎo)出審計結(jié)果。可設(shè)定定時生成日志統(tǒng)計報表，并自動保存以備審閱或自動通過郵件發(fā)送給指定收件人，實現(xiàn)對安全審計的流程化處理。3.安全管理作為信息化的服務(wù)提供者，面對日益增長的業(yè)務(wù)需求，對網(wǎng)絡(luò)和系統(tǒng)的穩(wěn)定性、可靠性、服務(wù)質(zhì)量的要求很高。大量軟喚件的投入和增加，也導(dǎo)致了運維管理難度的增大和系統(tǒng)管理人員的工作壓力越來越大。面對頻繁的業(yè)務(wù)變更場景，如何實現(xiàn)安全業(yè)務(wù)的自動化分析、可視及可管，安全策略調(diào)優(yōu)以及合規(guī)性分析，是迫切需要解決的問題。傳統(tǒng)以來人工管理及配置安全業(yè)務(wù)，運維效率比較低，安全策略合規(guī)性檢查需要投入專人分析，往往審批不夠及時，也可能疏漏風(fēng)險策略。安全策略下發(fā)對業(yè)務(wù)的影響不可預(yù)見，不能再策略部署前評估策略對用戶業(yè)務(wù)的影響。安全策略體量越來越大，致使安全運維人員難以聚焦在關(guān)鍵的風(fēng)險策略上。為了保障快速、高效完成策略變更的同時，確保策略下發(fā)安全和準(zhǔn)確，從而有效提升運維效率、降低運維成本，可以采用部署安全管理控制器系統(tǒng)，以獨立軟件的形式部署在服務(wù)器或虛擬機，或與網(wǎng)絡(luò)SDN控制器部署在同一物理機的同一虛機，并制定相應(yīng)的管理策略和制度，集中統(tǒng)一管理，并提供以下能力：＞設(shè)備管理統(tǒng)一的管理，支持以下能力：設(shè)備自動發(fā)現(xiàn)、設(shè)備的增刪改查、雙機熱備組、設(shè)備組的增刪改查、設(shè)備配置的一致性對比、設(shè)備單點登錄，設(shè)備版本升級，設(shè)備配置文件備份。＞策略管理支持安全策略的管理，通過設(shè)置對應(yīng)的匹配條件，包括源/目的安全區(qū)域、源/目的地址、服務(wù)、時間段來進行控制，在執(zhí)行動作上可以設(shè)置允許或禁止。同時也可以配置上對應(yīng)的安全配置文件做內(nèi)容安全防護，可對策略組視圖和設(shè)備視圖進行策略快速管理，策略變更統(tǒng)計、配置一致性統(tǒng)計、部署狀態(tài)統(tǒng)計等管理能力。＞策略合規(guī)性檢查通過定義白名單、風(fēng)險規(guī)則、混合規(guī)則等檢查方式，待策略提交荷藕，匹配定義好的檢查規(guī)則，及時反饋檢查結(jié)果、安全等級等信息只安全審批責(zé)任人。低風(fēng)險策略自動審批，從而提高策略審批效率。＞策略仿真通過學(xué)習(xí)業(yè)務(wù)互訪關(guān)系，對比待部署策略，以模擬部署的方式，在策略部署前評估策略對業(yè)務(wù)的影響，有效降低策略部署后對業(yè)務(wù)帶來的風(fēng)險。4.集中管控等級保護集中管控能力要求構(gòu)建一個獨立的安全區(qū)域，對分布在網(wǎng)絡(luò)中的安全設(shè)備或安全組件進行管控，對安全設(shè)備需要創(chuàng)建一條加密通道進行遠程管理。獨立的安全管理域不僅用于將用于安全設(shè)備管控，同時將對網(wǎng)絡(luò)設(shè)備進行遠程維護以及動態(tài)監(jiān)控，使用帶外管理方式，與其他網(wǎng)絡(luò)物理隔離，通過部署運維堡壘機對網(wǎng)絡(luò)中設(shè)備進行遠程運維管理。部署綜合網(wǎng)管系統(tǒng)，對網(wǎng)絡(luò)鏈路、安全設(shè)備、網(wǎng)絡(luò)設(shè)備和服務(wù)器等的運行狀況進行集中監(jiān)測，并為安全計算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)進行統(tǒng)一的監(jiān)控與告警。部署綜合日志審計系統(tǒng)，統(tǒng)一收集設(shè)備日志，審計記錄設(shè)置留存時間至少6個月。部署安全管理中心進行安全策略集中管理。部署主機防病毒管理中心提供惡意代碼規(guī)則升級集中管理。部署操作系統(tǒng)補丁升級服務(wù)器提供補丁升級服務(wù)統(tǒng)一管理。部署智能安全分析系統(tǒng)，對網(wǎng)絡(luò)中發(fā)生的各類安全事件進行識別、報警和分析。針對對網(wǎng)絡(luò)中的流量及各類設(shè)備的網(wǎng)絡(luò)、安全日志等海量網(wǎng)絡(luò)基礎(chǔ)數(shù)據(jù)執(zhí)行有效采集，通過大數(shù)據(jù)實時及離線分析，結(jié)合機器學(xué)習(xí)技術(shù)、信譽、情報驅(qū)動，有效的發(fā)現(xiàn)網(wǎng)絡(luò)中的潛在威脅和高級威脅，實現(xiàn)企業(yè)內(nèi)部的全網(wǎng)安全態(tài)勢感知，實現(xiàn)等級保護解決方案威脅的處置閉環(huán)，防患未然。5.產(chǎn)品規(guī)劃部署產(chǎn)品部署位置部署作用統(tǒng)一管理平臺部署在安全管理中心區(qū)統(tǒng)一網(wǎng)絡(luò)管理系統(tǒng)，部署在安全管理中心區(qū)日志審計系統(tǒng)部署在安全管理中心區(qū)安全審計：網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機、終端、服務(wù)器日志審計入侵防范：威脅溯源、網(wǎng)絡(luò)溯源安全管理平臺部署在安全管理中心區(qū)對安全設(shè)備進行統(tǒng)一管理、狀態(tài)監(jiān)控、策略下發(fā)、集中審計。運維審計系統(tǒng)部署在安全管理區(qū)域運維堡壘機對網(wǎng)絡(luò)系統(tǒng)、應(yīng)用服務(wù)器、業(yè)務(wù)

部署產(chǎn)品部署位置部署作用系統(tǒng)、數(shù)據(jù)庫進行狀態(tài)監(jiān)測和監(jiān)控，實時發(fā)現(xiàn)故障并報警，快速定位故障點，為恢復(fù)環(huán)境提供依據(jù)漏洞掃描部署在安全管理中心區(qū)WEB、數(shù)據(jù)庫、主機的系統(tǒng)弱點掃描，靜態(tài)評估系統(tǒng)可能存在的風(fēng)險。安全資源池云管理區(qū)提供云主機安全、云堡壘機、云數(shù)據(jù)庫審計、綜合日志審計、漏洞掃描（含配置核查）等云安全服務(wù)；重點安全設(shè)備選型設(shè)計1.防火墻防火墻設(shè)備選型設(shè)計作為核心安全設(shè)備，防火墻提供了應(yīng)用識別、入侵防御（IPS）、反病毒和URL過濾等內(nèi)容安全相關(guān)的功能，可有效保證內(nèi)網(wǎng)服務(wù)器和用戶免受威脅的侵害。硬件規(guī)格要求?標(biāo)準(zhǔn)機架式1U設(shè)備；?嚴(yán)格前后風(fēng)道；?配置雙電源；配置4個風(fēng)扇，形成3+1冗余備份；?CPU關(guān)鍵器件釆用國產(chǎn)化自研芯片；?支持2條萬兆光Bypass鏈路（直路部署場景，提供高可靠性）；?當(dāng)風(fēng)扇模塊出現(xiàn)故障時，可以在防火墻不斷電的情況下，對風(fēng)扇模塊進行更換；?支持冗余電源，配置兩塊電源模塊時，其中的一塊可以進行熱插拔；軟件功能要求?支持靜態(tài)路由、策略路由、RIP、OSPF、BGP、ISIS等路由協(xié)議；?支持IPv6協(xié)議棧、IPV6穿越技術(shù)、IPV6路由協(xié)議；?支持IPv6overIPv4隧道，6RD隧道；支持NAT66,NAT64；?支持NAT地址復(fù)用技術(shù)，可實現(xiàn)單個公網(wǎng)IP地址的無限制端口轉(zhuǎn)換，可有效解決地址短缺問題；?支持惡意域名過濾，實現(xiàn)對C&C進行阻斷；?支持BFD鏈路檢測，支持BFD與VRRP聯(lián)動實現(xiàn)雙機快速切換，支持BFD與OSPF聯(lián)動實現(xiàn)雙機快速切換；?可根據(jù)目的地址智能優(yōu)選運營商鏈路，支持主備接口配置以及按比例分配的負載分擔(dān)方式；提供IPsecVPN、SSLVPN等豐富的VPN特性，支持DES、3DES、AES、SHA、SM2/3/4等多種加密算法，保障數(shù)據(jù)傳輸?shù)陌踩?、可靠性?.安全資源池安全資源池選型設(shè)計安全資源池為云平臺上各個云租戶提供可按需申請及部署的安全產(chǎn)品資源池，并建立相關(guān)安全產(chǎn)品和服務(wù)資源節(jié)點，同時協(xié)助各單位進行產(chǎn)品的部署和服務(wù)的申請及交付，為云上租戶提供一站式的信息安全保障，安全資源池為云上用戶提供立體化、體系化的安全防護能力。平臺功能要求?安全資源池產(chǎn)品需在公有云市場成熟應(yīng)用；?支持安全產(chǎn)品部署在虛擬機資源上，安全產(chǎn)品根據(jù)規(guī)格按需獲取虛擬化資源池的CPU、內(nèi)存、網(wǎng)絡(luò)、存儲等資源并實現(xiàn)自動化部署；?支持用戶認證統(tǒng)一，被授權(quán)的用戶可以通過登錄到云安全管理平臺單點登錄到各個安全產(chǎn)品，包括云堡壘機、虛擬化漏洞掃描、云數(shù)據(jù)庫審計、云日志審計、云主機防御（東西向流量隔離、防病毒）等所有安全產(chǎn)品；?云安全管理平臺支持多個不同區(qū)域的多安全資源池統(tǒng)一接入管理，平臺

管理員可以不同區(qū)域的安全資源池情況，包括租戶信息、已開通的安全產(chǎn)品、安

全態(tài)勢、運維態(tài)勢等，管理員可以給任意區(qū)域的租戶統(tǒng)一下發(fā)分配安全產(chǎn)品資源;?支持通用云安全管理平臺統(tǒng)一為不同區(qū)域的不同安全資源池分別配置引

流交換機，實現(xiàn)對分布式安全資源池的部署網(wǎng)絡(luò)管理；

項目建設(shè)清單醫(yī)共體硬件建設(shè)清單序號設(shè)備名稱參數(shù)規(guī)格要求數(shù)量單位1、數(shù)據(jù)中心硬件建設(shè)1.1數(shù)據(jù)處理及存儲設(shè)備1數(shù)據(jù)庫服務(wù)器1（PACS/LIS疫悄防控）1、 CPI：M2顆國產(chǎn)自主可控處理器，主頻M2.6GHz,單顆CPU^32核心以上，2、 內(nèi)存：M256GBDDR4服務(wù)器內(nèi)存；3、 網(wǎng)絡(luò)：板載千兆網(wǎng)卡提供M4個千兆以太網(wǎng)口，2塊雙口10GE光纖以太網(wǎng)網(wǎng)卡（含光模塊）；4、 本地碩盤：配置事2個480GBSSD熱插拔硬盤；配置1塊RAID卡，支持RAIDO.1.5.65、 電源：配置冗余電源，支持電源熱插拔，需滿足滿配運行狀態(tài)需求；6、 服務(wù)器管理系統(tǒng)支持國產(chǎn)自研管理芯片，提供主板管理芯片介紹及芯片廠家營業(yè)執(zhí)照證明，并加蓋廠商公章；7、 服務(wù)：3年維保8、 服務(wù)器管理軟件通過安全滲透測試，包含認證安全、權(quán)限管理安全、會話安全、信息泄露安全、輸入輸出合法性安全性測試，提供由具備CNAS資格的檢測機構(gòu)出具的安全滲透性測試報告復(fù)印件，并加蓋廠商公章；8臺2核心數(shù)據(jù)庫服務(wù)器（ms/EMR）1、 CPU：M2顆,主頻M2.1GHz,單顆CPU^26核心以上；2、 內(nèi)存：N512GBDDR4服務(wù)器內(nèi)存；$24個內(nèi)存插槽3、 網(wǎng)絡(luò)：板載干兆網(wǎng)卡提供N2個千兆以太網(wǎng)口，3塊雙口10GE光纖以太網(wǎng)網(wǎng)卡（含光模塊）；4、 本地硬盤：配置P2個480GBSSD熱插拔硬盤;配置1塊RAID卡，支持RAIDO.1.5.65、 電源：配置冗余電源，支持電源熱插拔，需滿足滿配運行狀態(tài)需求；2臺

6、 服務(wù)器管理系統(tǒng)支持國產(chǎn)自研管理芯片，提供主板管理芯片介紹及芯片廠家營業(yè)執(zhí)照證明，并加蓋廠商公章；7、 服務(wù)：3年維保3數(shù)據(jù)庫服務(wù)器2（PACS/LIS疫情防控）1、 CPU：N2顆，主頻M2.1GHz,單顆CPU>20核心；2、 內(nèi)存：M256GBDDR4服務(wù)器內(nèi)存；$24個內(nèi)存插槽3、 網(wǎng)絡(luò)：板載千兆網(wǎng)卡提供N2個千兆以太網(wǎng)口，2塊雙口10GE光纖以太網(wǎng)網(wǎng)卡（含光模塊）；4、 本地硬盤：配置N2個480GBSSD熱插拔硬盤；配置1塊RAID卡，支持RA1D0.1.5.65、 電源：配置冗余電源，支持電源熱插拔，需滿足滿配運行狀態(tài)需求；6、 服務(wù)器管理系統(tǒng)支持國產(chǎn)自研管理芯片，提供主板管理芯片介紹及芯片廠家營業(yè)執(zhí)照證明，并加蓋廠商公章；7、 服務(wù)：3年維保8臺4管理節(jié)點服務(wù)器1、 CPU：M2顆國產(chǎn)自主可控處理器，主頻M2.6GHz,單顆CPU>64核心以上2、 內(nèi)存：M768GBDDR4服務(wù)器內(nèi)存；3、 網(wǎng)絡(luò)：提供M4個千兆以太網(wǎng)口，$4個25GE光口（含10GE光模塊）；4、 硬盤：配置M3個960GBSSD； 個480GBSSD： 個3.2TBNVMESSD；M8個4TB7.2kSATA；5、 RAID卡：1張RAID卡，2GBcache-RAID0,1,5,6,10,50,606、 電源：配置冗余電源，支持電源熱插拔，需滿足滿配運行狀態(tài)需求；7、 服務(wù)器管理系統(tǒng)支持國產(chǎn)自研管理芯片，提供主板管理芯片介紹及芯片廠家營業(yè)執(zhí)照證明，并加蓋廠商公章；8、 服務(wù)：3年維保9、 服務(wù)器管理軟件通過安全滲透測試，包含認證安全、權(quán)限管理安全、會話安全、信息泄露安全、輸入輸出合法性安全性測試，提供由具備CNAS資格的檢測機構(gòu)出具的安全滲透性測試報告復(fù)印件，并加蓋廠商公章：3臺5網(wǎng)絡(luò)節(jié)點服務(wù)器1、 CPU：$2顆國產(chǎn)自主可控處理器，主頻$2?6GHz,單顆CPU>32核心以上2、 內(nèi)存：M512GBDDR4服務(wù)器內(nèi)存；3、 網(wǎng)絡(luò)：提供M4個千兆以太網(wǎng)口，M6個25GE光口（含10GE光模塊）；4、 硬盤：配置M2個480GBSSD熱插拔硬盤；2臺

5、 RAID卡：1張RAID卡，2GBcache-RAID0,1,5,6,10,50,606、 電源：配置冗余電源，支持電源熱插拔，需滿足滿配運行狀態(tài)需求；7、 服務(wù)器管理系統(tǒng)支持國產(chǎn)自研管理芯片，提供主板管理芯片介紹及芯片廠家營業(yè)執(zhí)照證明，并加蓋廠商公章；8、 服務(wù)：3年維保9、 服務(wù)器管理軟件通過安全滲透測試，包含認證安全、權(quán)限管理安全、會話安全、信息泄露安全、輸入輸出合法性安全性測試，提供由具備CNAS資格的檢測機構(gòu)出具的安全滲透性測試報告復(fù)印件，并加蓋廠商公章；6計算節(jié)點11、 CPU：N2顆國產(chǎn)自主可控處理器，主頻>2.6GHz,單顆CPUM64核心以上2、 內(nèi)存：P1024GBDDR4服務(wù)器內(nèi)存;3、 網(wǎng)絡(luò)：提供M4個干兆以太網(wǎng)口，N6個10GE光口（含10GE光模塊）；4、 硬盤：配置M2個480GBSSD熱插拔硬盤；5、 RAID卡：1張RAID卡，2GBcache-RAID0,1,5,6,10,50,606、 電源：配置冗余電源，支持電源熱插拔，需滿足滿配運行狀態(tài)需求；7、 服務(wù)器管理系統(tǒng)支持國產(chǎn)自研管理芯片，提供主板管理芯片介紹及芯片廠家營業(yè)執(zhí)照證明，并加蓋廠商公章；8、 服務(wù)：3年維保9、 服務(wù)器管理軟件通過安全滲