项目实施方案

郴州市广播电视台信息中心

网站信息安全防护系统

实施方案

■安全集成商：山东鸿业信息系统有限公司

■业务联系人：

■技术联系人：手机：

■联系电话：

2015年1月

※版权所有严禁摘抄※

目录

第1章网站信息安全项目概述 (4)

1.1 方案特点 (4)

1.2 设计思想 (4)

1.3 遵循的安全标准 (5)

第2章网站信息安全项目实施方案 (6)

2.1 实施进度及人员安排 (6)

2.1.1 实施进度计划 (6)

2.1.2 项目实施及维护人员 (7)

2.2 项目供货管理 (8)

2.2.1 设备包装 (8)

2.2.2 装运标记 (8)

2.2.3 装运条件 (8)

2.2.4 装运通知 (8)

2.2.5 交货和单据 (9)

2.2.6 设备运输 (9)

2.3 项目实施流程 (9)

2.3.1 项目实施工作流程表 (10)

2.3.2 项目启动阶段 (12)

2.3.3 系统调研阶段 (12)

2.3.4 方案设计阶段 (13)

2.4 项目质量保障措施 (13)

2.4.1 项目进度的风险控制 (13)

2.4.2 人力资源的风险管理 (14)

2.4.3 应用系统不熟悉的风险 (14)

2.4.4 产品故障导致的风险控制 (14)

2.4.5 实施中的风险控制 (15)

2.5 现场管理集成联调阶段 (15)

2.5.1 WEB安全防护系统实施部署 (15)

2.5.2 网页防篡改系统实施部署 (17)

2.5.3 各个系统联调阶段 (17)

2.5.4 试运行阶段 (18)

2.5.5 终验阶段 (18)

第3章项目验收方案与培训方案 (18)

3.1 验收标准与方法 (18)

3.2 质量保证和售后服务承诺 (19)

3.3 项目培训服务方案 (19)

3.3.1 培训实施计划 (19)

3.3.2 项目售后培训内容和安排 (20)

第1章网站信息安全项目概述

随着郴州市广播电视台信息化建设的发展，网上应用的丰富，同时也带来了一系列的安全问题，如网络有可能出现黑客攻击、网络犯罪、病毒爆发等等，这些问题严重制约了郴州市广播电视台电子政务信息化建设的步伐，成为系统建设重点考虑的环节。特别是近年来，网络所面临的安全问题越来越复杂，安全威胁正在飞速增长，尤其混合威胁的风险，如蠕虫、病毒、木马、DDoS攻击、垃圾邮件等，极大地困扰着用户，给信息网络造成严重的破坏。根据对郴州市广播电视台的网络环境调查，目前用户只是完成信息化项目的基础信息系统建设，安全问题表现十分突出，特别是在信息网络的攻击，病毒、蠕虫、木马的泛滥，以及垃圾邮件较多等问题，网络信息点多，维护困难，种种问题影响了办公的效率，如果门户网站遭到黑客的攻击直接影响到学校的形象。现通过对网络应用环境的调查以及与用户的沟通，现就整个信息网络进行安全解决的规划，逐步落实安全措施。

山东鸿业信息系统有限公司作为专业的信息安集成服务提供商，我们将根据郴州市广播电视台的网络环境、安全需求，制定相应的解决方案。

1.1方案特点

●完全遵循国家等级保护与行业标准；

●技术与管理并重，注重整体集成；

●具备纵深防御能力，提供整体安全保障能力；

●多种安全产品有机结合，注重整体安全防范能力；

●支持多种应用系统平台，系统层次明确，各子系统协同工作；

1.2设计思想

根据国家有关法律法规和相关标准，针对郴州市广播电视台网络安全建设项目提出以下安全设计思想：

●统一规划、分步实施的设计思想

●系统建设与安全建设同步进行的设计思想

●多层次防御、主动防御的设计思想

●安全系统动态性更新的设计思想

●技术与管理相结合的设计思想

1.3遵循的安全标准

ISO标准：

●设计标准（ISO15408、ISO17799、ISO7498-2）

●实施标准（SSE-CMM、ISO9001）

GB标准：

●《计算机网络系统安全保护等级划分准则》

●《开放系统互连基本参考模型第2部分安全体系结构》

●《信息技术安全技术信息技术安全性评估准则》

●《商用密码管理条例》

●《计算机病毒防治管理办法》

●《计算机网络系统国际联网保密管理规定》

●《计算机信息网络国际联网安全保护管理办法》

●《中华人民共和国计算机网络系统安全保护条例》

●《中华人民共和国计算机信息网络国际联网管理暂行规定》

●《计算机网络系统安全专用产品检测和销售许可证管理办法》

●《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》

第2章网站信息安全项目实施方案2.1实施进度及人员安排

2.1.1实施进度计划

2.1.2项目实施及维护人员

2.2项目供货管理

2.2.1设备包装

山东鸿业将提供货物运至合同规定的项目现场所需要的包装，以防止货物在转运中损坏或变质。这类包装采取防潮、防晒、防锈防腐蚀、防震动及防止其它损坏的必要保护措施，从而保护货物能够经受多次搬运、装卸的内陆长途运输。山东鸿业将承担由于其包装或其防护措施不妥而引起货物锈蚀、损坏和丢失的任何损失的责任和费用。

2.2.2装运标记

山东鸿业将在每一包装箱相邻的四面用不可擦除的油漆和明显的中文字样做出以下标记：收货人、合同号、项目名称、项目现场、货物名称和箱号、毛重/净重（用kg表示）、尺寸（长×宽×高用cm表示）

如果单件包装箱的重量在2吨或2吨以上，山东鸿业将在包装箱两侧用中文和国际贸易通用的运输标记标注“重心”和“起吊点”以便装卸和搬运。根据货物的特点和运输的不同要求，山东鸿业将在包装箱上清楚地标注“小心轻放”、“此端朝上，请勿倒置”、“保持干燥”等字样和其他国际贸易中使用的适当标记。

2.2.3装运条件

1) 山东鸿业负责国内运输和支付运费、保险费，以确保按照合同规定的交货期交货。

2）货物收据签收日期视为实际交货日期。

3）项目现场以合同条款资料表中规定为准。

山东鸿业装运的货物不超过合同规定的数量或重量。否则，由此产生的一切费用和后果由山东鸿业自行承担。

2.2.4装运通知

“目的地交货价”的合同：

山东鸿业将在合同规定的装运日期之前，即内陆运输七（7）天内以传真方式将合同号、货物名称、数量、总毛重、总体积（立方米）和备妥交货日期通知买方。同时用挂号信将详

细交货清单一式六份包括合同号、货物名称、规格、数量、总毛重、总体积（立方米）、单价、总价和备妥待交日期以及对货物在运输和仓储的特殊要求和注意事项通知买方。

山东鸿业将在货物装完后二十四（24）小时之内以电报或传真形式将合同号、货物名称、数量、毛重、体积（用m3表示）、发票金额、运输工具名称及启运日期通知买方和最终用户。如果每个包装箱的重量超过20吨（t）或体积达到或超过长12米（m）、宽2.7米（m）和高3米（m），山东鸿业将每个包装箱的重量和体积通知买方和最终用户，易燃品或危险品的细节将另行注明。

2.2.5交货和单据

山东鸿业将按合同指定的地点交货。

山东鸿业将在货物装完启运后以传真形式将全部装运细节，包括合同号、货物说明、数量、运输工具名称、提单号码及日期、装货地、启运日期、卸货地等通知买方和保险公司。为合同支付的需要，山东鸿业还将根据本合同规定，向买方寄交合同规定的相关“支付单据”。

2.2.6设备运输

山东鸿业将货物运至买方指定的项目现场，并负责办理货物运至买方指定地，包括合同规定的运输保险在内的一切事项，有关费用都包括在合同价中。

2.3项目实施流程

山东鸿业工程项目的安装调试有严格的工程项目实施业务流程、规范和响应的管制制度，确保项目安装调试的过程规范、高效，保证项目实施过程的质量。《山东鸿业项目实施业务流程》来保障项目安装调试过程的有序进行，《山东鸿业项目实施业务规范》就项目实施的过程、质量、规范进行监管和控制，《山东鸿业工程项目管理制度》对项目干系人的自责分工进行明确，对项目的风险管理、范围管理、问题管理、资源管理、进度管理等管理领域提供了方法和工具，并对各个管理领域的KPI进行考核。

山东鸿业工程项目实施业务流程大致分为四个阶段：启动阶段、规划阶段、实施阶段、验收阶段，下面对项目实施工作流和各阶段的主要工作内容进行简要描述。

2.3.1项目实施工作流程表

?项目启动阶段包括：001 签订合同

002 成立项目组

003 现场调研

?项目规划阶段包括：

004 实施方案确认

?项目实施阶段包括：

005 开箱验收

006 项目实施

007 系统测试

008 试运行

?项目收尾阶段包括：

009 初步验收

010 最终验收

2.3.2项目启动阶段

项目启动阶段是在合同正式签订后进行了一系列为项目实施做准备的活动的阶段，主要包括成立项目组、确定总体实施方案和计划和召开项目启动会。

山东鸿业公司在项目组成立之后，召集项目组主要负责人员开会研究总体实施方案的思路和框架，通过明确项目实施的关键节点和重要事项把握确保项目实施顺利进行的核心要点和时间节点。

山东鸿业公司将协调甲方项目组相关人员召开项目启动会，项目启动会上山东鸿业公司将向甲方明确几个任务：

1、介绍项目经理人员及项目组结构，主要相关负责人员，本项目投入技术力量及人数

2、确定整体项目实施方针、策略，各阶段工作内容和时间安排。确定项目实地调研地

区和试点实施省份名单。

3、确定甲乙双方项目协调，各接口人联系方式，明确项目实施过程中责任。

2.3.3系统调研阶段

为了避免在施工过程中遇到各种不可预见的问题，山东鸿业公司将在工程施工前，对现场进行详细实地调研。

a)调研地点选取

实地调研地点为郴州市广播电视台信息中心机房

b)调研小组成员

实地调研小组成员将由山东鸿业公司技术专家和工程实施人员组成，建议甲方项目组安排相关工作人员与山东鸿业公司调研小组一同前往，

c)调研内容

●现场安装条件的确认，如电源、机架、电缆线等

●线路情况的调研，即目前线路接入情况

●网络拓扑结构和所使用的网络设备等

●现场安全策略需求

●其他可能影响现场施工问题的确认

在本阶段我方将向甲方发出书面确认函，提出需要确认内容，并由甲方给予书面确认。

2.3.4方案设计阶段

投标阶段的技术方案和实施方案往往与实际实施情况有差距，在签订合同后可以从甲方获取更多实际情况，也可以通过调研获得准确的现场情况，根据获得的情况进行详细的方案设计。

在详细方案设计前首先是现场勘察和与用户进行充分的沟通，在充分了解现场情况和其它门类系统情况的基础上进行详细设计。

2.4项目质量保障措施

2.4.1项目进度的风险控制

由于进度的控制绝非易事，它不仅取决公司的技术能力、服务水平，同时也在很大程度上受到对范围控制是否有效、对项目投入（包括人员时间的投入和资金等的投入）是否足

够等方面的影响。

而实际实施过程中，并非所有用户对本次安全项目实施理解与认同，因此，在项目实施时，可能一味在项目进度计划时求快，甚或是刻意追求某个具有特殊意义的日期作为项目里程碑，将对项目进度控制造成很大压力。当然，也可能由于种种原因，如安装环境不具备、人员没有到位，产品质量问题等等，造成项目进度拖延。因此，山东鸿业公司信息系统有限公司将充分考虑各种潜在因素，适当留有余地；任务分解详细度适中，便于考核；在执行过程中，强调项目按进度执行的重要性，在考虑任何问题时，都将保持进度作为先决条件；同时，合理利用赶工及快速跟进等方法，充分利用资源。

2.4.2人力资源的风险管理

人力资源将是中最为关键的资源。保证合适的人员以足够的精力参与到项目中来，是项目成功实施的基本保证。山东鸿业公司信息系统有限公司在此项目实施中将调动公司骨干工程技术人员，保证进入到项目中并承担角色的各类人员满足项目要求。同时，保证项目人员对项目的投入程度。将参与人员的业绩评估与该项目实施的状况相关联，明确是在该阶段项目相关人员最重要的本职工作。

2.4.3应用系统不熟悉的风险

由于的网络环境及应用会由一定的差别，而且大部分网络应用是由软件开发商开发，不同的开发商所使用的开发工具、数据库、协议等等都不相同，并且网络设备如交换机、路由器也不尽相同，这就对系统的实施提出了很高的要求，网络安全系统的配置不可能千篇一律，要按实际环境而调整。针对上述情况，山东鸿业公司信息系统有限公司的安全工程师将在用户现场协助用户填写用户环境调查表，并经用户确认后再实施，这样可以避免因用户实际网络环境不熟而导致用户业务中断的风险。

2.4.4产品故障导致的风险控制

在产品运输过程中或实施过程中可能会出现产品故障，产品故障不但会导致业务中断，用户的安全受到威胁，而且还会导致整个项目实施计划延期。山东鸿业公司信息系统有限公司针对此问题建立相应的应急响应机制，如果出现产品故障，立即响应，争取在最短的时间

内解决故障。

2.4.5实施中的风险控制

山东鸿业公司信息系统有限公司采取以下措施对实施中的风险进行监控，以防止危及项目成败的风险发生。

●建立并及时更新项目风险列表及风险排序。项目管理人员随时关注与关键风险相关

因素的变化情况，及时决定何时、采用何种风险应对措施。

●随时关注风险应对措施（规避、减轻、转移）实施的效果，对残余风险进行评估。

●建立报告机制，及时将项目中存在的问题反映到项目经理或项目管理层。

●定期召集项目干系人召开项目会议，对风险状况进行评估，并通过各方面对项目实

施的反应来发现新风险。

2.5现场管理集成联调阶段

甲方组织承建单位进行现场环境勘察。山东鸿业公司将在设备进场安装前，派专人依据现场安装环境勘察计划和郴州市广播电视台通用图纸及工艺要求进行设备现场安装环境勘察。

山东鸿业公司按工程进度计划实施现场安装环境勘察的5天前，向甲方提交现场安装环境勘察计划和内容提纲，甲方收到计划和提纲后5天内给予答复，同时通知现场做好现场勘察的准备工作。现场勘察活动结束后2天内，山东鸿业公司向甲方提交现场安装环境勘察报告，甲方收到报告后2天内给予答复。

当现场安装具备条件时，山东鸿业公司将按照整体施工的进度要求进场安装调试。在完成安全系统联合调试后完成全系统的联合调试，并进行文档移交。申请项目初验。

2.5.1WEB安全防护系统实施部署

启明星辰WEB安全网关在桥模式接入下，无需调整和更改用户网络的拓扑结构，无需

更改用户原有网络配置，实现对Web服务器的保护。应用防火墙部署在核心交换机与服务器集群中间，保证所有应用访问先经过应用防火墙安全检测，屏蔽SQL注入攻击、XSS 攻击、Web恶意扫描、应用层DoS、网页挂马等攻击，作为串行安全防护设备，在桥模式部署条件下，产品提供软、硬双BYPASS 功能，保障业务链路在各种情况下的通畅。

功能特点：

Web应用防护事件库：内置Web应用防护事件库，包含各类Web安全相关事件特征，提供定期与突发Web安全事件紧急升级服务，能够针对最新的、突发的、热点的Web攻击进行快速响应。集中管理与事件分析：提供了完善的集中管理功能，可实现分布式部署、集中式管理；能够实时监控Web流量的连接状况和流量信息，实时监控经过保护后，Web 服务器交付质量提升的效果；具备丰富的Web安全事件统计分析功能与详尽的Web安全事件报表功能。

典型部署拓扑图：

网桥模式部署：

根据不同的网络环境和要求可以灵活的部署到不同的网络位置，只需要保证与被管理的网络设备间的通信即可，可以采用专用链路或公用链路。同时综合安全管理中心也支持分级部署。

2.5.2网页防篡改系统实施部署

实施部署

部署网页防篡改系统至少需要两台服务器：

1.Web服务器：

用户网站原有的机器，位于防火墙公网/DMZ中，本身处在不安全的环境中，其上部署防篡改软件的Web服务器端软件。一方面，它负责与防篡改软件发布服务器通信，将发布服务器上的所有网页文件变更同步到Web服务器本地；另一方面，它操作系统的驱动程序和作为Web服务器软件的一个插件，使用多种方式保护网页和数据。

2.发布服务器：

部署防篡改软件时新增添的机器，原则需要一台独立的服务器，位于内网中，本身处在相对安全的环境中，其上部署发布服务器软件。所有网页的合法变更（包括增加、修改、删除、重命名）都在发布服务器上进行。

2.5.3各个系统联调阶段

各个子系统安全调试完毕之后进入子系统联调阶段。系统联调阶段包含：连通性测试、功能测试两大阶段。

连通性测试：是指服务消费方在联调测试执行前，对所有需要调用安全策略的基本功能所进行的简单测试。连通性测试强调服务能否被正常连接和系统调用。连通性测试的目的是为了保证在联调测试执行阶段，所有系统及设备能够顺利连接，能够正常调用郴州市广播电视台教学业务服务，连通性测试包含网络连通性测试及业务服务连通性测试两部分工作。

连通性测试之前应完成以下工作：

1、确保联调测试环境搭建完毕

2、网络安全策略开通完毕

3、服务提供方完成应用程序部署

4、接口平台完成服务部署

功能性测试：指安全策略安装调试完毕后对郴州市广播电视台服务进行软硬件功能测试验证，尽可能的发现潜在问题。功能性测试重在全面覆盖业务场景。

功能性测试是联调测试的重点，是信息化服务正常使用的保障。功能性测试之前应完成以下工作：

1、完成连通性测试

2、完成安全功能测试，安全策略与业务不相互冲突，郴州市广播电视台信息化教学业

务在安全设备的软硬件保护下运转正常。

2.5.4试运行阶段

现场联合调试验收后系统进入为期一个月的试运行阶段，试运行完毕后，申请最验收。2.5.5终验阶段

在试运行结束后进行系统最终验收。

第3章项目验收方案与培训方案

3.1验收标准与方法

设备的初验在用户现场进行。当设备到现场后开箱验收：在郴州市广播电视台相关部门配合下，检查设备是否满足合同及装箱单的要求，并签署设备到货签收单。

设备安装调试完成后，郴州市广播电视台需要派专人对网络设备、安全设备各个系统进行核查，对全网进行连通性测试。使用部门按照相关要求对网络运行情况进行全面验收，确保全网可投入试运行。网络投运完成后，应对所有设计的服务器等设备进行检查，确保服务器等设备及所有业务系统能够正常运行。试运行12小时后正式投入使用试运行，在试运行期间山东鸿业公司将留守工程师全面监控网络的整体运行情况，直至系统投付使用正式运行。正式运行后山东鸿业公司提供不少于12个月的维保期。

3.2质量保证和售后服务承诺

设备最终验收合格后，提供原厂免费保修（详见厂家售后服务承诺书原件），终身维护。若设备发生故障，山东鸿业公司应在收到郴州市广播电视台信息后立即响应、48小时内内免费排除故障并交付使用。

设备保修期满后，山东鸿业公司需继续提供技术支持及备件供应。详细售后服务承诺及保修期外的服务见技术文件里的厂家售后服务承诺书与资信商务文件的售后服务承诺书。

3.3项目培训服务方案

3.3.1培训实施计划

为使业主操作管理人员能完全自主、灵活地使用、管理、修改此系统，针对本项目系统的特点制定如下计划：

1、培训名额：

高级管理人员1-2名，各子系统普通维修保养及操作人员不少于3名。

2、产品安装前的培训（技术交底）：

介绍产品的接线、配电要求、安装要求，提供所有产品安装手册、配置系统、售后维护文档、应急响应服务资料以及相关产品资料文档。

3、调试中的培训：

要求业主方技术人员跟随调试，从而熟悉整个系统的结构、调试过程、制定内部网络安全管理策略及在操作过程中的注意事项。

4、现场培训：

（1）用户的使用环境，针对具体终端电脑、服务器端使用，学习操作技术，达到熟练操作。

（2）掌握软件的操作，使用及各种故障报警、内部网络管理系统报警的处理方法。

（3）掌握现场终端电脑策略、网络安全准入、交换机和服务器的使用，数据库安全加固操作及检验等。

5、分层次培训：

（1）初级培训：日常使用、操作、软硬件维护、手动操作及检验等。

（2）中级培训：郴州市广播电视台内部网络安全策略、网络修改参数、系统扩展、每种图表的制作、系统通讯。

（3）高级培训：主要针对计算机网络系统、内部网络管理系统，各种内部网络安全管理子系统功能的使用、对图表的分析处理并采取相应措施、修正参数，以及业务数据库信息系统的审计和数据库应用加固。

6、长期培训：

在我公司的培训中心，可按用户要求为用户培训不同层次的人员。不定期举办的系统培训班，将给用户发出邀请，用户根据需要决定是否参加。

对于各系统培训的具体内容各有不同，在前面各子系统方案的相关章节中已有陈述，在此不再累述。

3.3.2项目售后培训内容和安排

本项目在实施过程中，将不间断的对郴州市广播电视台的网络管理人员进行现场培训，在整个系统联调及验收完工之后，我们将针对网络管理人员和相关人员进行更为完备和详细的授课培训。

本项目在实施过程中，将不间断的对郴州市广播电视台的网络管理人员进行现场培训，在整个系统联调及验收完工之后，我们将针对网络管理人员和相关人员进行更为完备和详细的授课培训。在项目验收完成之后，为了更好的让系统管理员使用和管理整个网络系统，我们制定了大概5天的详细的培训计划