安全保障体系

安全保障体系

1 容灾备份系统

1.1系统概述

1.1.1容灾概念

容灾是一个范畴比较广泛的概念，广义上可以把所有与业务连续性相关的内容都纳入容灾。容灾是一个系统工程，它包括支持用户业务的方方面面。而容灾对于IT环境而言，就是提供一个能防止用户业务系统遭受各种灾难影响与破坏计算机系统和业务数据。容灾还表现为一种未雨绸缪的主动性，而不是在灾难发生后的“亡羊补牢”。

从狭义的角度，我们平常所谈论的容灾是指，除了生产站点以外，用户另外建立的冗余站点，当灾难发生，生产站点受到破坏时，冗余站点可以接管用户正常的业务，达到业务不间断的目的。为了达到更高的可用性，许多用户甚至建立多个冗余站点以保证业务系统的安全性。

从技术上看，衡量容灾系统主要有两个主要指标：RPO（Recovery Point Object）和RTO（Recovery Time Object），其中RPO代表了当灾难发生时允许丢失的数据量，而RTO则代表了系统恢复的时间。

RPO与RTO越小，系统的可用性就越高，当然用户需要的投资也越大。

1.1.2容灾与备份的关系

备份是指用户为应用系统产生的重要数据（或者原有的重要数据信息）制作一份或者多份拷贝，以增强数据的安全性。因此，备份与容灾所关注的对象有所不同，备份关心数据的安全，容灾关心业务应用的安全，我们可以把备份称作是“数据保护”，而容灾称作“业务应用保护”。备份最多表现为通过备份软件使用磁带机或者磁带库将数据进行拷贝，也有用户使用磁盘、光盘作为存储介质；容灾则表现为通过高可用方案将两个站点连接起来。

备份与容灾是存储领域两个极其重要的部分，二者有着紧密的联系。首先，在备份与容灾中都有数据保护工作，备份大多采用磁带方式，性能低，成本低，数据通常被压缩后以独有的数据格式进行存储；容灾采用磁盘作为存储介质作为数据载体的方式进行数据保护，数据随时在线，性能高，成本高。其次，备份是存储领域的一个基础，在一个完整的容灾方案中必然包括备份的部分；同时备份还是容灾方案的有效补充，因为容灾方案中的数据始终在线，因此存储有完全被破坏的可能，而备份提供了额外的一条防线，在线数据丢失的情况下还可以从备份数据中恢复。

1.1.3容灾的等级

大体上讲，容灾可以分为3个级别：数据级别、应用级别以及业务级别。

数据级别容灾的关注点在于数据，即灾难发生后可以确保用户原有的数据不会丢失或者遭到破坏。数据级容灾较为基础。其中，较低级别的数据容灾方案仅需利用磁带库和管理软件就能实现数据异地备份，达到容灾的功效；而较高级的数据容灾方案则是依靠数据复制工具，例如卷复制软件，或者存储系统的硬件控制器，实现数据的远程复制。数据级别容灾是保障数据可用的最后底线，当数据丢失时能够保证应用系统可以重新得到所有数据。从这种意义上讲，数据备份属于该级别容灾，用户把重要的数据存放在磁带上，如果考虑到高级别的安全性还可以把磁带运送到远距离的地方保存，当灾难发生后，从磁带中获取数据。该级别灾难恢复时间较长，仍然存在风险，尽管用户原有数据没有丢失，但是应用会被中断，用户业务也被迫停止。因此虚拟磁带库的出现可以解决磁带备份速度慢和磁带保存困难的问题，是取代磁带的最佳产品。

应用级容灾是在数据级容灾的基础上，再把执行应用处理能力复制一份，也就是说，在备份站点同样构建一套应用系统。应用级容灾系统能提供不间断的应用服务，让用户应用的服务请求能够透明地继续运行，而感受不到灾难的发生，保证信息系统提供的服务完整、可靠、安全。

数据级容灾和应用级容灾都是在IT范畴之内，然而对于正常业

务而言，仅IT系统的保障还是不够的。有些用户需要构建最高级别的业务级别容灾。业务级容灾的大部分内容是非IT系统，比如电话、办公地点等。当一场大的灾难发生时，用户原有的办公场所都会受到破坏，用户除了需要原有的数据、原有的应用系统，更需要工作人员在一个备份的工作场所能够正常地开展业务。

1.2建设必要性

随着XX工程数字化建设的不断深入，较为严重的信息系统故障（主要是：服务器故障和网络故障两大类。）势必会影响到系统全局的可用性和稳定性，而XX工程由于其覆盖面广、受众多，业务的高可用性与连续性就显的尤为重要。建立一套行之有效的容灾备份系统十分必要。

同时，在整个XX工程应用网络系统中，由于数据量大而复杂，数据出错或丢失是在所难免的，如果没有事先对数据进行备份，要想恢复数据不仅难度大而且很十分不可靠，有时甚至根本不可能进行恢复。如果定期对重要数据进行备份，那么在系统出现故障时，仍然能保证重要数据准确无误。

另外，随着XX工程的逐步发展，新业务需求的不断扩展，现有业务系统的相关数据信息的安全性和可靠性也需要在原有基础上得到进一步扩充及改进，以保证在灾难情况发生时，相关业务也能正常运行。

因此，在此方案中，我们将总体目标定为实现对XXX现有业务系

统中核心数据和核心应用系统的容灾备份，并确保灾难情况下业务数据的高可恢复性和高可用性，从而保证相关的应用系统不中断，并且在灾难发生后能够得到及时恢复。

1.3建设目标

本次容灾备份系统的建设目标是：技术先进、可扩充、高可靠、高可用、可管理。

技术先进性：系统设计应采用当前先进而成熟的技术，不仅

可以满足本期工程的需求，也应把握未来的发展方向。

可扩充性：在系统设计时应充分考虑可扩充性，从而确保新

功能、新业务的增加在原有的系统平台上扩展和实现。

高可靠性：存储平台具有高可靠性，支持服务器平台的高可

用性集群技术；具备先进的容灾的设计；充分保证系统的高

扩展能力和高容错能力，具有通道负载自动均衡能力和存储

系统性能调节能力，提供极为充分的可靠性各项指标设计。

高可用性：在不停机情况下，实现不停机扩容、维护、升级

等服务，提高性能以满足新的业务需求。具备7×24×365连

续工作的能力，系统的可用性应大于 99.999 ％。在软件支

持下可以实现应用级容灾。

可管理性：要求配置实时性能监测管理软件。可对备份作业、

磁盘空间、卷磁盘错误、系统事件、系统中各进程对系统资

源占用等性能和操作数据等服务器性能进行实时监控和管

理。

保护投资：新的系统投入使用对前期的设备有可再次利用的

设计思路，保证前期的投入和设备的持续性运营。其次是新

系统的整体设计要考虑经济有效，充分利用现有设备和即将

时候的设备，使得投入与产出最大化。

1.4建设内容

整个系统的建设内容分为三个部分，可以按照资金、技术、环境的具体情况分三个步骤来实现备份容灾系统的建设。

2 认证安全服务体系

2.1系统概述

2.1.1功能简介

认证安全服务体系是指数字证书（即网络中的个人虚拟身份证）的发放和管理。是面向应用的CA系统，为应用提供基础的证书管理服务。面向应用的CA系统的主要目的是为这些用户在网络上进行业务活动时，对应用提供更安全的保障。

系统有一个稳定的核心，一个良好的结构。提供多种接口，可以方便地扩展规模和功能。具有手工、批量、在线、离线等多种证书申请方式、支持IC卡、USB key、文件等多种证书保存介质，支持人工、WEB、目录服务器、邮件等多种证书发布方式、支持多种密钥生成方式等。

系统由CA服务器、目录服务器、数据库服务器、硬件密码机、操作终端组成。

CA服务器负责证书的申请、签发、作废和管理。数据库服务器负责存放CA的数据、请求数据、证书和黑名单数据。操作终端提供证书申请的管理和日常操作，目录服务器用于发布证书和黑名单。

证书系统功能包括证书管理系统初始化、证书服务功能、证书管理功能、证书发布功能。

2.1.2应用领域

本系统所发放的数字证书用于各种应用系统的身份认证、操作的电子签名、数据的加密。

2.2建设必要性

认证安全服务体系建设是总体建设的一项关键内容，为全区人力资源社会保障各业务系统提供应用安全支撑，包括身份认证、数据加密解密、基于数字签名验签的防抵赖等基本证书应用安全功能，以及电子签章和时间戳等增强证书应用安全功能。

2.3建设内容

人力资源社会保障认证安全服务体系应包含电子认证系统基础层、证书业务管理层、证书应用支撑层、相关政策法规和标准规范，总体结构如图所示。

电子认证系统基础层包括密钥管理系统、密码服务系统、证书签发管理系统、证书注册管理系统和证书查验服务系统等。

证书业务管理层包括证书生命周期管理、系统运行管理、证书服

务统一监管平台等。

证书应用支撑层包括基础安全接口和高级应用接口,为应用系统提供身份认证、数据加密解密、数字签名验签、电子签章、网络安全协议和时间戳等应用安全支撑功能。

3 网络冗余链路建设

3.1系统概述

网络的冗余部署包含了三个环节，分别是：设备级冗余，链路级冗余和网关级冗余。

（1）设备级的冗余技术分为电源冗余和管理板卡冗余，由于设备成本上的限制，这两种技术都被应用在中高端产品上。

（2）链路级冗余往往存在多条二层和三层链路，使用链路级冗余技术可以实现多条链路之间的备份，流量分担和环路避免。

（3）前面谈到的冗余技术保证了网络级别的冗余，同样对于使用网络的终端用户来讲，也需要一种机制来保证其与网络的可靠连接，这就是网关级冗余技术。

3.2建设必要性

随着Internet的发展，XX工程从简单的信息承载平台转变成一个公共服务提供平台。作为终端用户，希望能时时刻刻保持与网络的联系，因此健壮，高效和可靠成为XX工程网络发展的重要目标，而要保证网络的可靠性，就需要使用到冗余技术。高冗余网络要给我们带来的体验，就是在网络设备、链路发生中断或者变化的时候，用户几乎感觉不到。

为了达成这一目标，需要在XX工程网络的各个环节上实施冗余，

包括网络设备，链路和广域网出口，用户侧等等。

3.3建设内容

本次网络的冗余建设主要是链路级冗余建设，形成自治区、盟市、旗县区三级网络双链路保障。

4 安全管理制度建设

4.1认证系统安全管理制度

4.1.1身份鉴别

a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别;

b) 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别;

c) 应提供用户身份标识唯一和鉴别信息复杂度检查功能,保证应用系统中不存在重复用户身份标识,身份鉴别信息不易被冒用;

d) 应提供登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;

e) 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能,并根据安全策略配置相关参数。

4.1.2访问控制

a) 应提供访问控制功能,依据安全策略控制用户对文件、数据库表等客体的访问;

b) 访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作;

c) 应由授权主体配置访问控制策略,并严格限制默认帐户的访问权限;

d) 应授予不同帐户为完成各自承担任务所需的最小权限,并在它们之间形成相互制约的关系。

e) 应具有对重要信息资源设置敏感标记的功能;

f) 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;

4.1.3安全审计

a) 应提供覆盖到每个用户的安全审计功能,对应用系统重要安全事件进行审计;

b) 应保证无法单独中断审计进程,无法删除、修改或覆盖审计记录;

c) 审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等;

d) 应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。

4.1.4剩余信息保护

a) 应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;

b) 应保证系统内的文件、目录和数据库记录等资源所在的存储

空间被释放或重新分配给其他用户前得到完全清除。

4.1.5通信完整性

应采用密码技术保证通信过程中数据的完整性。

4.1.6通信保密性

a) 在通信双方建立连接之前,应用系统应利用密码技术进行会话初始化验证;

b) 应对通信过程中的整个报文或会话过程进行加密。

4.1.7抗抵赖

a) 应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能;

b) 应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。

4.1.8软件容错

a) 应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求;

b) 应提供自动保护功能,当故障发生时自动保护当前所有状态,保证系统能够进行恢复。

4.1.9资源控制

a) 当应用系统的通信双方中的一方在一段时间内未作任何响应,另一方应能够自动结束会话;

b) 应能够对系统的最大并发会话连接数进行限制;

c) 应能够对单个帐户的多重并发会话进行限制;

d) 应能够对一个时间段内可能的并发会话连接数进行限制;

e) 应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额;

f) 应能够对系统服务水平降低到预先规定的最小值进行检测和报警;

g) 应提供服务优先级设定功能,并在安装后根据安全策略设定访问帐户或请求进程的优先级,根据优先级分配系统资源。

4.2信息系统安全管理制度

4.2.1身份鉴别

a) 应对登录各信息系统（特别是操作系统和数据库系统）的用户进行身份标识和鉴别;

b) 各信息系统管理用户身份标识应具有不易被冒用的特点,口令应有复杂度要求并定期更换;

c) 应启用登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;

d) 当对服务器进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听;

e) 应为操作系统和数据库系统的不同用户分配不同的用户名,确保用户名具有唯一性。

f) 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。

4.2.2访问控制

a) 应启用访问控制功能,依据安全策略控制用户对资源的访问;

b) 应根据管理用户的角色分配权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限;

c) 应实现各信息系统（如，操作系统和数据库系统）特权用户的权限分离;

d) 应严格限制默认帐户的访问权限,重命名系统默认帐户,修改这些帐户的默认口令;

e) 应及时删除多余的、过期的帐户,避免共享帐户的存在。

f) 应对重要信息资源设置敏感标记;

g) 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;

4.2.3安全审计

a) 审计范围应覆盖到服务器和重要客户端上的每个操作系统用

户和数据库用户;

b) 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件;

c) 审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等;

d) 应能够根据记录数据进行分析,并生成审计报表;

e) 应保护审计进程,避免受到未预期的中断;

f) 应保护审计记录,避免受到未预期的删除、修改或覆盖等。

4.2.4剩余信息保护

a) 应保证各系统（如，操作系统和数据库系统）用户的鉴别信息所在的存储空间,被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;

b) 应确保系统内的文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全清除。

4.2.5入侵防范

a) 应能够检测到对重要服务器进行入侵的行为,能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警;

b) 应能够对重要程序的完整性进行检测,并在检测到完整性受到破坏后具有恢复的措施;

c) 操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序,并通过设置升级服务器等方持系统补丁及时得到更新。

4.2.6恶意代码防范

a) 应安装防恶意代码软件,并及时更新防恶意代码软件版本和恶意代码库;

b) 主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库;

c) 应支持防恶意代码的统一管理。

4.2.7资源控制

a) 应通过设定终端接入方式、网络地址范围等条件限制终端登录;

b) 应根据安全策略设置登录终端的操作超时锁定;

c) 应对重要服务器进行监视,包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况;

d) 应限制单个用户对系统资源的最大或最小使用限度;

e) 应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。

4.3灾备系统安全管理制度

4.3.1数据完整性

a) 应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施;

b) 应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施。

4.3.2数据保密性

a) 应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性;

b) 应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。

4.3.3备份和恢复

a) 应提供本地数据备份与恢复功能,完全数据备份至少每天一次,备份介质场外存放;

b) 应提供异地数据备份功能,利用通信网络将关键数据定时批量传送至备用场地;

c) 应采用冗余技术设计网络拓扑结构,避免关键节点存在单点