当前位置：文档之家 › IDC信息安全管控系统方案说明DOC

IDC信息安全管控系统方案说明DOC

  • 格式：doc
  • 大小：586.00 KB
  • 文档页数：22

IDC管控系统介绍 IDC管控系统 方案说明

北京亚鸿世纪科技发展有限公司 2/ 22

目录 1. 总体描述 ............................................................................................................4 1.1 IDC管控系统总体目标 .................................................................................4 1.2 系统总体原则 ..............................................................................................4 1.2.1 系统遵循法律法规 ....................................................................................4 1.2.2 建设原则 ..................................................................................................5 2. 系统介绍 ............................................................................................................6 2.1 技术原理 ......................................................................................................6 2.1.1 综述 .........................................................................................................6 2.1.2 串接专用探针 ...........................................................................................7 2.1.3 网络安全审计服务器 ................................................................................8 2.1.4 IDC端安全审计管理系统服务器 ................................................................8 2.1.5 IDC端不良信息分析模块 ..........................................................................9 2.1.6 接入资源管理模块 ....................................................................................9 2.2 软件系统逻辑结构图 .................................................................................. 10 2.3 系统功能 .................................................................................................... 11 2.3.1 安全审计（访问日志管理） .................................................................... 11 2.3.2 资源管理（基础数据管理） .................................................................... 12 3/ 22

2.3.3 违法网站管理 ......................................................................................... 16 2.3.4 信息安全管理 ......................................................................................... 17 2.3.5 统计分析 ................................................................................................ 19 2.3.6 系统管理 ................................................................................................ 19 2.4 系统高稳定性、高可靠性的实现方式 ......................................................... 22 4/ 22 1. 总体描述 1.1 IDC管控系统总体目标 信息安全管理系统主要用于是实现互联网数据中心基础数据管理、上网日志管理、信息安全管理、违法网站管理等功能的信息安全管理系统，以满足监管机构的监管需求和IDC经营单位自身的信息安全管理需求。每个业务经营单位建设一个统一的ISMS，并与运营商监管机构建设的安全监管系统（SMCS）进行通信，实现监管机构的监管需求。

1.2 系统总体原则

1.2.1 系统遵循法律法规 （1）《中华人民共和国计算机信息系统安全保护条例》； （2）《公安部关于对与国际联网的计算机信息系统进行备案工作的通知》，公通字〔1996〕8号；

（3）《中华人民共和国国家标准计算机信息系统安全保护等级划分准则》（GB 17859-1999）；

（4）《关于信息安全等级保护工作的实施意见》，公通字[2004]66号； （5）《互联网安全保护技术措施规定》，2005年中华人民共和国公安部第82号令发布，2006年3月1日施行）；

（6）《信息安全技术信息系统安全等级保护定级指南（报批稿）》； （7）《信息安全技术信息系统安全等级保护基本要求（报批稿）》； 5/ 22

（8）《信息安全技术信息系统安全等级保护实施指南（报批稿）》； （9）《信息安全等级保护管理办法》，公通字[2007]43号。 （10）工信部标准《IDC/ISP信息安全管理系统技术要求（送审稿）》 （11）工信部标准《IDC/ISP信息安全管理系统接口规范（送审稿）》

1.2.2 建设原则 （1）规范性：严格遵循电信级技术规范和业务规范的要求，由集团进行整体规划与统一建设安排。

（2）开放性：系统遵循开放性架构，采用开放的接口协议与开发平台，为用户提供统一的、开放的功能调用；业务维护和发展不依赖于设备厂商，能够保证业务的持续升级和发展；

（3）安全性：系统按照电信级的应用进行设计，系统软硬件架构充分考虑整个系统运行的安全策略和机制；能够采用多种安全技术手段，为用户的业务开展提供完善的安全技术保障；

（4）成熟性：采用成熟稳定并具有电信级运营实例的硬件平台和第三方软件。 6/ 22

2. 系统介绍 2.1 技术原理 2.1.1 综述 系统采用软硬件相结合的方式，可以实现对互联网不良信息的实时监控。 本系统由分流设备、网络安全审计服务器、IDC端安全审计管理系统服务器组成。系统通过前端分流设备对网络数据的实时监测，把需审计的数据报文送至网络安全审计服务器，不良信息分析软件实现对网络安全审计服务器中不良信息进行分析，管理中心软件实现对网络安全审计专用设备的统一管理。

部署图： 7/ 22

数据探针

INTERNET

GE链路以太网链路

交换机 信息安全管理系统服务器

IDC Server群

2*GE链路

通信接口本期新增设备

FWSMMS系统FW

Rtouer光保护Bypass设备（串接）*2Router

2.1.2 串接专用探针 每一条GE链路上，分流设备串接（或者并接）在IDC机房的出口路由器至骨干网间的GE链路之间，监控全部的出口链路流量。

分流设备采用高集成度的新一代多核处理器技术。在串接模式下能够控制上下行上下游设备流量传输，在断电、重启、故障或接口告警时自动切换到直通状态，不影响串接链路上流量传输。

分流设备通过端口与审计系统（网络安全审计服务器+IDC端安全审计管理系统服务器）相连接，通过分析筛选把审计系统需要审计和分析的网络数据传送给审计系 8/ 22

统。审计系统从传入的数据包中获取IDC机房内的域名、IP等网络基础资源信息，对IDC的网络访问行为进行监控和过滤、根据预先设定的审计策略主动发现和过滤在这些行为中所包含的有害信息、及时发现监管范围内网站发布含有的反动、邪教、色情等不良信息网页内容。

2.1.3 网络安全审计服务器 网络安全审计服务器与IDC端安全审计管理系统服务器对接，从IDC端安全审计管理系统服务器上获取更新后的基础信息和IDC端安全审计管理系统服务器下发的审计策略等数据。

网络安全审计服务器把从网络数据中获取的域名、IP等信息上传到IDC端安全审计管理系统服务器。

网络安全审计服务器实现对网络数据包的解析，同时匹配审计策略产生报警记录，然后把数据上传到IDC端安全审计管理系统服务器。 每一台分流设备配置一台对应的网络安全审计专用设备。

2.1.4 IDC端安全审计管理系统服务器 IDC端安全审计管理系统服务器收集网络安全审计服务器上传的域名、IP等动态获取的互联网基础资源信息。

IDC端安全审计管理系统服务器提供统一的管理界面给用户，实现对机房、服务器、客户资料等基础资源数据的统一维护。

IDC端安全审计管理系统服务器与通信管理局系统对接，接收管控策略，并上报数据。

IDC端安全审计管理系统服务器提供机房业务管理功能页面，支持机房业务处理。

IDC端安全审计管理系统服务器提供报警日志、审计日志统一查询页面。

合集下载

信息系统安全方案

信息系统安全方案

信息系统安全方案一、引言在当今信息化时代，信息系统的安全性成为了企业和组织必须重视和关注的问题。

信息系统安全方案是保护信息系统免受恶意攻击和数据泄露的重要措施。

本文将介绍一种综合性的信息系统安全方案，以确保企业的信息系统能够持续有效地运行，并保护敏感数据的安全。

二、风险评估在制定信息系统安全方案之前，首先需要进行全面的风险评估。

通过评估信息系统面临的各类威胁和潜在攻击，识别系统的弱点和风险点，并确定可能的威胁程度。

风险评估的结果将为后续安全方案的制定提供重要参考。

三、身份认证与访问控制1. 强化身份认证：引入多因素身份认证机制，如密码、指纹、人脸识别等，增加身份认证的复杂度和安全性，防止非法用户获取系统访问权限。

2. 制定访问控制策略：根据用户的角色和权限，建立细粒度的访问控制策略，合理分配用户权限，并通过审计日志对用户的操作进行监控和记录。

四、数据加密与传输保护1. 数据加密：采用对称加密和非对称加密相结合的方式，对敏感数据进行加密处理，确保数据在存储和传输过程中的安全性。

2. 传输保护：使用安全协议（如HTTPS、SSL/TLS等）进行数据传输，防止中间人攻击和数据篡改。

五、入侵检测与防范1. 入侵检测系统：部署入侵检测系统（IDS）和入侵防御系统（IPS），对系统进行实时监测和防护，及时发现和应对潜在的入侵威胁。

2. 安全更新与漏洞修补：及时升级和安装最新的安全补丁，修补系统存在的漏洞，减少系统受到攻击的风险。

六、安全审计与事件响应1. 安全日志审计：建立安全审计机制，监控系统运行过程中的异常行为，及时发现潜在的安全隐患和威胁。

2. 事件响应与处置：建立完善的安全事件响应机制，及时对安全事件进行处理和响应，降低事件造成的损失和影响。

七、敏感数据保护1. 数据分类与标记：根据数据的敏感程度，对数据进行分类和标记，合理设置数据的访问权限和保护策略。

2. 数据备份与恢复：定期对数据进行备份，并建立完善的数据恢复机制，以应对数据丢失或损坏的情况。

数据中心信息安全管理及管控要求通用范本

数据中心信息安全管理及管控要求通用范本

内部编号：AN-QP-HT240版本/ 修改状态：01 / 00 The Procedures Or Steps Formulated T o Ensure The Safe And Effective Operation Of Daily Production, WhichMust Be Followed By Relevant Personnel When Operating Equipment Or Handling Business, Are Usually Systematic Documents, Which Are The Operation Specifications Of Operators.编辑：__________________审核：__________________单位：__________________数据中心信息安全管理及管控要求通用范本数据中心信息安全管理及管控要求通用范本使用指引：本操作规程文件可用于保证本部门的日常生产、工作能够安全、稳定、有效运转而制定的，相关人员在操作设备或办理业务时必须遵循的程序或步骤，通常为系统性的文件，是操作人员的操作规范。

资料下载后可以进行自定义修改，可按照所需进行删减和使用。

随着在世界范围内，信息化水平的不断发展，数据中心的信息安全逐渐成为人们关注的焦点，世界范围内的各个机构、组织、个人都在探寻如何保障信息安全的问题。

英国、美国、挪威、瑞典、芬兰、澳大利亚等国均制定了有关信息安全的本国标准，国际标准化组织（ISO）也发布了ISO17799、ISO13335、ISO15408等与信息安全相关的国际标准及技术报告。

目前，在信息安全管理方面，英国标准ISO27000：2005已经成为世界上应用最广泛与典型的信息安全管理标准，它是在BSI/DISC的BDD/2信息安全管理委员会指导下制定完成。

ISO27001标准于1993年由英国贸易工业部立项，于1995年英国首次出版BS 7799-1：1995《信息安全管理实施细则》，它提供了一套综合的、由信息安全最佳惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准，并且适用于大、中、小组织。

数据中心信息安全管理及管控要求

数据中心信息安全管理及管控要求

数据中心信息安全管理及管控要求集团公司文件内部编码：（TTT-UUTT-MMYB-URTTY-ITTLTY-数据中心信息安全管理及管控要求随着在世界范围内，信息化水平的不断发展，数据中心的信息安全逐渐成为人们关注的焦点，世界范围内的各个机构、组织、个人都在探寻如何保障信息安全的问题。

英国、美国、挪威、瑞典、芬兰、澳大利亚等国均制定了有关信息安全的本国标准，国际标准化组织（ISO）也发布了ISO17799、ISO13335、ISO15408等与信息安全相关的国际标准及技术报告。

目前，在信息安全管理方面，英国标准ISO27000：2005已经成为世界上应用最广泛与典型的信息安全管理标准，它是在BSI/DISC的BDD/2信息安全管理委员会指导下制定完成。

ISO27001标准于1993年由英国贸易工业部立项，于1995年英国首次出版BS7799-1：1995《信息安全管理实施细则》，它提供了一套综合的、由信息安全最佳惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准，并且适用于大、中、小组织。

1998年英国公布标准的第二部分《信息安全管理体系规范》，它规定信息安全管理体系要求与信息安全控制要求，它是一个组织的全面或部分信息安全管理体系评估的基础，它可以作为一个正式认证方案的根据。

ISO27000-1与ISO27000-2经过修订于1999年重新予以发布，1999版考虑了信息处理技术，尤其是在网络和通信领域应用的近期发展，同时还非常强调了商务涉及的信息安全及信息安全的责任。

2000年12月，ISO27000-1：1999《信息安全管理实施细则》通过了国际标准化组织ISO的认可，正式成为国际标准ISO/IEC17799-1：2000《信息技术-信息安全管理实施细则》。

2002年9月5日，ISO27000-2：2002草案经过广泛的讨论之后，终于发布成为正式标准，同时ISO27000-2：1999被废止。

基于dpi的idcisp信息安全管理系统设计与实现

基于dpi的idcisp信息安全管理系统设计与实现

摘 要基于DPI的IDC/ISP信息安全管理系统设计与实现随着近年来互联网应用尤其是移动互联网的爆发式发展，新的网络应用形式日新月异，在飞速发展的同时也暴露出网络内容良莠不齐的实际问题，国家一向非常重视和提倡互联网及信息行业的健康发展，并大力营造绿色有序的市场秩序。

互联网数据中心（IDC）机房作为重要的网络和信息服务基础设施之一，汇集了大量的网络和信息资源，正因为这样，也使它成为网络信息安全的重点管控对象，加强网络内容管理的任务日益紧迫。

针对此种情况，为保障因特网数据中心（IDC）及因特网接入（ISP）市场的有序运行，国家工信部先后下发了一系列针对性的管理文件，要求包括基础运营商在内的各IDC/ISP业务运营企业必须建立信息安全管理系统（ISMS，下同），来重点加强对IDC/ISP 业务的监管，以保障国家互联网环境的健康，防范各类安全风险，防止各类不良信息的传播。

在国家要求对于内容级的信息安全监管的新形势下，传统的基于IP、端口和协议的识别方式已无法满足实际需要。

随着深度包检测（Deep Packet Inspection，DPI）技术的不断成熟，使其能够被应用在高速率、大带宽的网络中，能够实现对应用层的数据内容进行深层解析。

本文设计并实现了一个基于DPI技术、满足监管要求的信息安全管理系统，实现对不良信息及时发现和处置。

对流量采集、部署方式、网络数据分析、负载均衡、关键字检测等与ISMS实现有关的理论技术、方式方法进行了研讨和对比，详细论述了ISMS的整体设计原则、架构，各功能模块的定位、设计和实现，并对系统实现中的关键技术进行了深入的研究。

经对系统功能进行测试，成功实现对包含特定关键字的网络流量进行识别和封堵，与功能要求一致，经实际运行证明，可以满足信息安全管理工作的需要。

关键词：DPI、信息安全，IDC，ISP，信息安全管理系统，ISMS，安全监管系统，SMMSAbstractDesign and implementation of IDC/ISP InformationSecurity Management System based on DPIWith the application of Internet in recent years, especially the explosive development of the mobile Internet, network applications change rapidly. The new form in the rapid development has also exposed the practical problems of network content of the country has always attached great importance to uneven in quality, and promote the healthy development of Internet and information industry, and vigorously to create a green orderly market. The Internet Data Center (IDC) as one of the most important computer network and information service infrastructure, bringing together a large number of network and information resources, because of this, make it become the focus of the network information security management object, strengthen the network content management increasingly urgent task. In view of this situation, for the protection of the Internet Data Center (IDC) and Internet access (ISP) and orderly operation of the market, the State Ministry has issued a series of targeted management documents, requirements of the IDC/ISP business enterprise including infrastructure operators, must establish the information security management system (ISMS, below), to focus on strengthening the supervision of IDC/ISP services, in order to protect the national Internet environmental health, and guard against all kinds of security risks, prevent the spread of bad information.Under the new situation of information security supervision for content level, the traditional identification methods based on IP, port and protocol have been unable to meet the actual needs. With the maturity of Deep Packet Inspection (DPI) technology, it can be applied in high speed, large bandwidth network, and can realize deep analysis of the data content of application layer.This paper designs and implements an information security management system based on DPI technology, which meets the requirements of supervision, and realizes the timely detection and disposal of bad information. The traffic data collection, data analysis, network deployment and load balancing, keyword detection and ISMS to achieve the relevant theory and technology, methods are discussed and compared in detail the ISMS overall designprinciple, structure, orientation, each functional module design and implementation, and the key technology of realizing the system of deep research.After testing the function of the system, the network traffic with specific keyword is successfully identified and blocked, which is consistent with the functional requirements. The actual operation proves that it can meet the needs of information security management work. Keywords：DPI, information security, IDC, ISP, information security management system, ISMS, security monitoring system, SMMS目 录第1章绪论 (1)1.1 ISMS系统应用背景 (1)1.2 DPI发展起源和现状 (2)1.3 本文所探讨的内容 (4)1.4 本章小结 (4)第2章相关技术研究 (6)2.1 网络流量采集相关技术 (6)2.1.1 主动网络采集方式 (6)2.1.2 被动网络采集方式 (6)2.1.3 全量采集方式介绍 (7)2.1.4 抽样采集方式介绍 (7)2.2 网络流量识别相关技术 (7)2.2.1 端口识别方式 (9)2.2.2 DPI检测方式 (10)2.2.3 DFI检测方式 (13)2.2.4 流量分析技术比较 (13)2.3 负载均衡 (14)2.3.1 负载均衡的含义 (14)2.3.2哈希负载均衡 (14)2.4 关键字匹配技术算法 (15)2.4.1 AC算法 (16)2.4.2 DFA算法 (16)2.5 本章小结 (18)第3章 IDC/ISP信息安全管理系统架构设计 (19)3.1 ISMS系统需求分析 (19)3.1.1 ISMS功能需求 (19)3.1.2 ISMS功能结构 (19)3.1.3 ISMS逻辑层级 (20)3.2 上级接口 (21)3.3 ISMS总体架构 (21)3.3.1 控制单元－CU (22)3.3.2 执行单元－EU (22)3.3.3 存储单元－DU (23)3.4 ISMS网络部署 (23)3.4.1并行接入方式 (23)3.4.2 串行接入方式 (24)3.5 本章小节 (25)第4章 IDC/ISP信息安全管理系统设计与实现 (26)4.1 ISMS接入方式 (26)4.2 EU的部署 (26)4.3 DPI流量处理 (27)4.3 系统关键模块详细设计与实现 (27)4.3.1 流量处理模块 (27)4.3.2 策略解析模块 (28)4.3.3 数据库模块 (30)4.3.4 流量识别模块 (30)4.3.5 流量控制模块 (32)4.4 前台模块的设计与实现 (33)4.4.1 基础数据管理模块的实现 (34)4.5.2 信息安全监测过滤管理模块的实现 (36)4.5.3 访问日志管理模块的实现 (37)4.5.4 系统管理模块的实现 (37)第5章系统测试 (40)5.1测试环境 (40)5.2 测试目标选取 (40)5.3 系统功能测试 (40)5.3.1 确定关键字 (40)5.3.2 制定封堵策略 (41)5.3.3 封堵效果测试 (41)5.3.4 过滤日志查询 (42)5.4 系统性能测试 (42)5.4.1 网络延时和丢包 (42)5.4.2 网络运行情况检测 (43)5.5 测试结果 (44)第6章总结与展望 (45)参考文献 (46)作者简介及在学期间所取得的科研成果 (50)致谢 (51)第1章 绪 论1.1 ISMS系统应用背景随着国家信息化建设，互联网基础设施的不断完善，加上近年移动互联网、物联网等的迅猛发展，应用内容极大丰富。