广东电信MBOSS核心安全数据防泄密项目技术规范书

广东公司MBOSS核心系统操作审计平台和数据导出加密平台建设项目技术磋商文件中国电信广东公司版权所有修改历史注释：“更改请求号”为文档正式发布后需要变更时的编号。

联系人1. 简介 (3)1.2目的 (3)1.3范围 (3)1.4参考资料 (3)2. 项目建设要求 (3)2.1背景 (3)2.2建设范围和目标 (4)2.3建设原则 (5)2.4建设步骤 (5)2.5建设方案 (5)2.5.1 全省MBOSS核心系统操作审计平台建设 (5)2.5.2 全省MBOSS核心系统数据导出加密平台建设 (6)2.6项目进度要求 (7)3. 总体技术要求 (7)4. 要求 (8)4.2体系结构要求 (8)4.3业务功能要求 (8)4.3.1 全省 MBOSS核心系统操作审计平台 (8)4.3.2 全省MBOSS核心系统数据导出加密 (13)4.4非功能性要求 (13)4.4.1 性能要求 (13)4.4.2 易用性要求 (14)4.4.3 可靠性要求 (14)4.4.4 安全性要求 (14)5. 设备和第3方软件要求 (15)5.2服务器设备要求 (15)5.3存储设备要求 (15)5.4网络设备技术要求 (16)5.5数据库技术要求 (16)1. 简介1.2目的本文档用于描述项目实施的总体技术要求。

1.3范围本文档适用于2010年广东公司MBOSS核心系统操作审计平台和数据导出加密平台建设项目，用于指导完善全省MBOSS核心系统操作审计平台和建立核心系统数据批量导出加密平台。

1.4参考资料《CTG-MBOSS安全规范》《中国电信广东公司企业网终端安全管理办法》《中国电信广东公司MBOSS终端安全管理办法》《中国电信广东公司MBOSS系统维护管理办法》2.项目建设要求2.1背景广东公司的MBOSS系统，承载着大量的管理和运营数据，对广东公司管理决策与业务运营的支撑作用越来越重要，同时，国家相关部委也陆续下发各类文件，提出要重点保护信息基础网络和关系国家安全经济命脉、社会稳定的信息系统，非常重视信息系统的安全管理与风险防范工作，要求各大企业要尽快建立相应的信息安全等级保护管理体系，为此，加强MBOSS的安全管理与风险防范日益重要。

集团公司为了指导各省进行MBOSS安全建设，下发了《CTG-MBOSS安全规范》。

目前，广东公司MBOSS信息系统已经建立了信息安全管理体系，明确了信息安全管理工作的基本要求，同时对应系统的信息安全管理要求，也在逐步的完善，与集团下发的安全规范逐步吻合，在信息安全管理和信息安全技术并重的安全建设思路指导下，逐步完善信息安全建设工作，保障公司MBOSS系统的稳定运营与MBOSS核心数据的安全。

在电信运营市场竞争日趋激烈，通信技术不断更新发展，客户及市场日渐成熟的新形式下，广东公司提出加强企业信息化安全的目标，狠抓企业内部的信息化安全建设，使它成为推动企业低成本、高效运营的重要基础，为了加强对MBOSS核心系统的后台维护、数据提取、数据分析等操作的管理，以及数据导出后的数据传播范围的管理，特启动广东公司MBOSS核心系统操作审计平台和数据导出加密平台的建设工作。

本项目主要解决的内容包括:为了保护MBOSS系统的数据安全，防止企业核心数据泄密，需要加强对MBOSS核心系统的安全防护，对核心系统的后台维护操作、数据提取和数据分析等需要进行记录，加强对核心系统相关操作的日志记录和事后审计功能。

对于离开MBOSS系统的数据，需要进行加密和授权，控制数据的传播范围，为此建立导出数据加密平台，对导出的核心数据进行保护，防止数据泄漏；2.2建设范围和目标在企业内部安全管理体系能力提升的要求下，广东公司提出了本次项目提升MBOSS核心系统信息安全保障的目标，在原有操作审计平台基础上，进一步扩大操作审计系统的管理范围，实现全省MBOSS核心系统的操作审计能力，包括对MBOSS核心系统的网络设备维护、操作系统维护、数据库维护等进行详细的操作记录，对数据提取、数据分析等行为进行详细的记录，对于一些已知的高危操作，进行实时阻挡，保障信息系统的维护安全。

同时通过对导出数据的加密和授权，控制导出数据的传播范围，保障数据离开MBOSS核心系统后的数据安全，防止数据泄密。

本次项目主要涉及的技术体系内容包括全省MBOSS核心系统安全审计与数据导出加密等内容。

本项目的总体目标包括以下要点：◆对全省MBOSS核心系统的建立安全控制手段，对核心系统的数据进行保护，对全省MBOSS核心系统的后端维护、数据分析、数据提取等操作进行记录，同时能够进行监控和事后审计。

◆符合集中运维管理的要求，集中管理所有系统运维帐号，消除帐号共享现象，系统管理员登录简单方便、安全性高。

◆准确记录系统运维用户登录行为，审计到具体的人。

◆对导出数据进行加密和授权，非授权人员无法获取加密后的核心系统数据信息，同时控制导出后数据信息的传播范围，防止核心系统信息的泄漏。

2.3建设原则本项目建设的原则是：1、规范性本项目的设计、开发、实施和维护管理必须遵循中国国家标准、信息产业部有关通信行业通用的规范、通用的国际规范。

2、扩展性本项目的方案必须保证被管终端数量扩展能力和平台功能扩展能力两方面。

3、安全可靠性本项目选用的系统必须满足电信级的可靠性指标，保证7*24小时的服务。

4、易用性本项目选用的系统应方便系统管理员、业务管理员、终端用户使用。

5、利用现有资源项目实施时要利用现有资源，充分考虑对现有计算机资源、数据资源和传输资源的利用，避免资源浪费。

2.4建设步骤MBOSS的操作审计平台和数据导出加密平台建设分两个阶段进行：第一阶段（2009年11-2010.06）：广东公司的省公司MBOSS核心系统操作审计平台的建设。

第二阶段（2010.12—2011.8本工程）：全省MBOSS核心系统操作审计平台的建设和MBOSS核心数据导出加密平台建设。

2.5建设方案2.5.1全省MBOSS核心系统操作审计平台建设全省MBOSS核心系统操作审计平台主要包括对全省MBOSS核心系统的所涉及的网络、系统、数据库、应用等的操作监控和审计，以及建立集中的MBOSS 核心系统操作中心，对所有MBOSS核心系统的数据访问通过统一的操作中心进行操作，同时对这些操作进行监控和详细的记录，防止机密信息的泄漏。

部署架构图如下：2.5.2全省MBOSS核心系统数据导出加密平台建设现阶段全省需要进行数据分析的部门非常多，如市场线、IT线、综合室等，数据分析操作未进行操作审计，且数据分析的原始数据和分析结果均未做任何控制，数据到达本地后没有进行任何形式的控制和防护，数据离开MBOSS环境后，没有进行任何的控制与管理，数据如何使用？哪些人使用无法控制，数据泄密风险比较大。

为加强对导出数据的管理，对MBOSS核心系统进行后台维护和数据分析操作，需要先经过操作审计平台，确保后台维护及数据分析操作可记录，可审计，建立数据加密平台，所有分析的中间数据和结果数据，不能直接下载到个人终端，只能将数据保存到数据加密平台，进入加密平台的数据，自动进行加密，同时需要进行授权，个人终端如果是在企业网环境下，同时是被授权的用户，可以从数据加密平台获取加密后的数据，能打开加密的数据，离开公司环境和非授权用户无法打开加密的数据；部署的架构图如下：2.6项目进度要求本工程进度要求自合同签订9个月内完成本工程施工和初步验收工作。

3.总体技术要求系统的实现应参考国际标杆并结合现状，采用先进可靠的设备和技术，确保系系统应基于国内外业界开放式标准，进行全国统一规划，为未来的业务发展奠定基础。

系统应具备灵活的可扩展性，具备方便地适应业务需求的变化、迅速地支持新业务的能力。

系统应具备良好的可伸缩性，系统性能及并发处理能力对主机设备具备平滑的扩展能力，支持业务量快速发展的需要。

系统应易于使用与维护，具备良好的用户操作界面、人性化的管理工具和完备的帮助信息。

4.要求4.2体系结构要求本项目分为：建立全省MBOSS核心系统操作审计平台，建立核心系统数据批量导出加密平台两个方面：1、全省MBOSS核心系统操作审计平台全省MBOSS核心系统操作审计平台主要包括对MBOSS核心系统的涉及的网络、系统、应用等的操作监控和审计，以及建立集中的MBOSS核心系统操作中心，对所有MBOSS核心系统的数据访问通过统一的操作中心进行操作，防止机密信息的泄漏。

2、全省MBOSS核心系统数据导出加密针对MBOSS核心系统，后段维护和数据分析人员对数据的操作与导出没有进行记录，给广东公司带来比较大的信息泄漏风险，为了加强对后段维护人员及数据分析人员对核心系统敏感数据的使用进行规范，需要建立一套全省范围的操作审计平台和数据导出加密平台，所有的后台维护和批量数据分析，需要经过操作审计平台，下载的任何数据，需要经过数据导出加密平台进行加密处理，同时对数据的使用人员进行授权，控制数据的传播范围。

4.3业务功能要求4.3.1全省 MBOSS核心系统操作审计平台T4-1支持操作协议内行包括：终端命令操作：Telnet、SSHWindows图形：RDPUnix/Linux图形：Xwindows文件上传和下载：FTP、SFTP、SCP基于BS的管理操作：Http、HttpsT4-2支持设备类型包括：服务器：Windows操作系统；各种Unix操作系统（AIX、HP-UX、Solaris等）；各种Linux操作系统（RedHat，SUSE等）；网络设备：Cisco全系列；华为全系列；Juniper全系列；各种其他网络设备；基于HTTP、HTTPS访问的设备：T4-3支持操作类型：Windows图形操作（RDP/VNC）Unix/Linux图形操作（Xwindows）终端字符命令（Telnet/SSH）操作基于WEB管理（Http、Https）操作终端交互式比如（sql等）操作终端文本编辑（vi等）操作终端文本菜单操作（HP的Sam，IBM的Smit，Linux的setup）文件上传和下载操作（FTP/SFTP/SCP）鼠标点击操作和键盘输入操作T4-4用户管理：可以根据具体的维护人员添加唯一与其身份对应的用户，实现维护人员身份的唯一性管理用户多角色划分：超级管理员、配置管理员、审计管理员、密码保管员、普通用户可以强制用户初次登录系统的时候修改自己的密码提供临时用户账号功能，临时用户帐号可定期可自动回收T4-5用户身份验证：支持AD域和LDAP认证,AD域认证同时支持通过OA域和DCN域进行认证能够通过普通用户进行域用户同步T4-6操作审计平台系统本身不能存在中级或者严重的安全漏洞，需要提供通过nessus最新版本漏洞库对系统进行安全扫描的扫描报告T4-7操作审计平台的应用发布后，进行数据的下载只能下载到指定的数据加密平台，不能直接下载到终端或者操作审计平台上T4-8可实现基于用户、目标设备、系统帐号、时间设定比较详细的访问控制列表，可以对用户访问权限进行查看、变更、删除等操作；针对每条访问控制，可以设置基于时间段、地址范围的登录规则T4-9用户帐号批量导入：支持以Excel格式批量导入用户帐号；技术一次性添加多个用户帐号；支持与LDAP系统进行用户帐号信息同步；T4-10目标设备批量导入：支持以Excel格式批量导入目标设备；支持一次性添加多台目标设备；T4-11密码管理:通过对目标设备密码的托管，实现对后台设备的自动登录支持windows、unix、linux等系统类型；灵活可配置的密码修改策略,修改密码前后都会发加密邮件通知密码保管员；T4-12终端命令操作权限控制：可以对操作进行拒绝，禁止控制；策略支持正则表达式；每条策略设置多条命令；支持黑名单（不可以执行）和白名单（只允许执行）；对用户在unix设备上的高危操作，可实现邮件方式的实时跟踪，管理员可以实时了解到哪些用户在什么设备上使用什么系统帐号做了什么危险操作；T4-13审计系统可以通过制定网络设备配置备份策略，实现定期批量自动备份T4-14管理员可在Web界面实时监控当前任一图形或字符活动会话（包括各种类型的数据库操作）T4-15可在Web界面实时切断当前任一图形或字符活动会话T4-16审计系统可以通过web管理界面，直接发布安装在某台windows服务器上的各类客户端/应用程序，如sqlplus、secureCRT、toad等；T4-17用户可以通过审计系统的web页面直接打开应用，该应用的操作和展现与在本地操作一样；应用的窗口/界面可以随意调整大小和位置；可以同时在web 界面打开多个应用，应用之间切换灵活，不会对使用习惯造成任何影响；T4-18审计系统可以在实现应用发布的同时，实现磁盘映射；用户在打开应用程序进行操作的同时，还能把操作后的结果保存到映射的磁盘里；T4-19针对核心设备，可设置登录告警。