電子政務(wù)外網(wǎng)安全管理規(guī)范

II電子政務(wù)外網(wǎng)安全管理規(guī)范：網(wǎng)絡(luò)安全總體要求范圍本文件規(guī)定了XX省電子政務(wù)外網(wǎng)（以下簡(jiǎn)稱政務(wù)外網(wǎng)）安全管理規(guī)范網(wǎng)絡(luò)安全總體要求的術(shù)語(yǔ)和定義、等保實(shí)施要求、安全接入平臺(tái)技術(shù)規(guī)范、安全管理技術(shù)規(guī)范、安全監(jiān)測(cè)系統(tǒng)技術(shù)規(guī)范、接口技術(shù)規(guī)范、跨網(wǎng)數(shù)據(jù)交換技術(shù)要求、接入單位局域網(wǎng)安全技術(shù)規(guī)范。本文件適用于指導(dǎo)政務(wù)外網(wǎng)安全等級(jí)保護(hù)的建設(shè)、整改、自查和檢測(cè)工作，可作為安全等級(jí)保護(hù)和信息安全主管部門對(duì)政務(wù)外網(wǎng)安全進(jìn)行檢查和指導(dǎo)時(shí)的依據(jù)；規(guī)范省、市、縣政務(wù)外網(wǎng)安全管理系統(tǒng)的功能、性能、安全性、部署方式、接口等技術(shù)要求，可作為指導(dǎo)各級(jí)政務(wù)外網(wǎng)設(shè)計(jì)、選型和建設(shè)安全管理系統(tǒng)的技術(shù)依據(jù)；指導(dǎo)各級(jí)政務(wù)外網(wǎng)建設(shè)運(yùn)維單位進(jìn)行安全接入平臺(tái)的規(guī)劃、設(shè)計(jì)、選型及實(shí)施等工作，也可作為政務(wù)外網(wǎng)職能部門進(jìn)行指導(dǎo)、監(jiān)督和檢查的依據(jù)；用于非涉密政務(wù)網(wǎng)絡(luò)，規(guī)范各級(jí)政務(wù)網(wǎng)絡(luò)安全監(jiān)測(cè)平臺(tái)（或監(jiān)測(cè)系統(tǒng)）的規(guī)劃、設(shè)計(jì)、建設(shè)和運(yùn)行管理，相關(guān)網(wǎng)絡(luò)安全監(jiān)測(cè)平臺(tái)產(chǎn)品的研發(fā)和安全檢測(cè)工作。規(guī)范性引用文件下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T5271.8信息技術(shù)詞匯第8部分：安全GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求GB/T25070-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求GB/T28448-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求GB/T21061-2007國(guó)家電子政務(wù)網(wǎng)絡(luò)技術(shù)和運(yùn)行管理規(guī)范GB/T36958-2018信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全管理中心技術(shù)要求YD/T1746-2008IP承載網(wǎng)安全防護(hù)要求GM/T02014IPSecVPN網(wǎng)關(guān)產(chǎn)品規(guī)范GM/T0024-2014SSLVPN技術(shù)規(guī)范GM/T0025-2014SSLVPN網(wǎng)關(guān)產(chǎn)品規(guī)范國(guó)密局發(fā)[2009]10號(hào)《<信息安全等級(jí)保護(hù)商用密碼管理辦法>實(shí)施意見(jiàn)》國(guó)密局發(fā)[2009]7號(hào)《電子政務(wù)電子認(rèn)證服務(wù)管理辦法》政務(wù)外網(wǎng)[2011]11號(hào)《國(guó)家電子政務(wù)外網(wǎng)IPSecVPN安全接入技術(shù)要求與實(shí)施指南》政務(wù)外網(wǎng)[2011]15號(hào)《國(guó)家電子政務(wù)外網(wǎng)安全等級(jí)保護(hù)基本要求》政務(wù)外網(wǎng)[2014]1號(hào)《國(guó)家電子政務(wù)外網(wǎng)安全等級(jí)保護(hù)實(shí)施指南》國(guó)務(wù)院273號(hào)令《商用密碼管理辦法》術(shù)語(yǔ)和定義下列術(shù)語(yǔ)和定義適用于本文件。安全保護(hù)能力SecurityProtectionAbility系統(tǒng)能夠抵御威脅、發(fā)現(xiàn)安全事件以及在系統(tǒng)遭到損害后能夠恢復(fù)先前狀態(tài)等的程度。廣域網(wǎng)WideAreaNetworks（WAN）把城市之間連接起來(lái)的寬帶網(wǎng)絡(luò)稱廣域網(wǎng)，政務(wù)外網(wǎng)從省到各地（市）網(wǎng)絡(luò)稱為省級(jí)廣域網(wǎng)、地（市）到各縣的廣域網(wǎng)稱為地（市）級(jí)廣域網(wǎng)。實(shí)現(xiàn)省、市、縣縱向業(yè)務(wù)的互聯(lián)網(wǎng)通。城域網(wǎng)MetropolitanAreaNetworks（MAN）把同一城市內(nèi)不同單位的局域網(wǎng)絡(luò)連接起來(lái)的網(wǎng)絡(luò)稱為城域網(wǎng)，實(shí)現(xiàn)不同單位跨部門業(yè)務(wù)的數(shù)據(jù)共享與交換。局域網(wǎng)LocalAreaNetwork（LAN）把本單位終端、主機(jī)/服務(wù)器、存儲(chǔ)等設(shè)備，通過(guò)網(wǎng)絡(luò)設(shè)備連接起來(lái)的網(wǎng)絡(luò)，實(shí)現(xiàn)本單位業(yè)務(wù)系統(tǒng)、數(shù)據(jù)的互訪、共享等稱為局域網(wǎng)。局域網(wǎng)是政務(wù)部門開(kāi)展電子政務(wù)業(yè)務(wù)的基礎(chǔ)，其安全、建設(shè)、運(yùn)維等相關(guān)工作由網(wǎng)絡(luò)所屬單位自行負(fù)責(zé)。邏輯隔離LogicIsolation邏輯隔離是一種不同網(wǎng)絡(luò)間的安全防護(hù)措施，被隔離的兩端仍然存在物理上數(shù)據(jù)通道連線。一般使用協(xié)議轉(zhuǎn)換、數(shù)據(jù)格式剝離或數(shù)據(jù)流控制的方法來(lái)實(shí)現(xiàn)在兩個(gè)邏輯隔離區(qū)域之間傳輸數(shù)據(jù)，并且傳輸?shù)姆较蚩梢允菃蜗蚧螂p向。公用網(wǎng)絡(luò)區(qū)PublicNetworkArea公用網(wǎng)絡(luò)區(qū)采用統(tǒng)一分配的公共IP地址，是實(shí)現(xiàn)各部門、各地區(qū)互聯(lián)互通，為跨地區(qū)、跨部門的業(yè)務(wù)應(yīng)用提供數(shù)據(jù)共享與交換的網(wǎng)絡(luò)支撐平臺(tái)。專用網(wǎng)絡(luò)區(qū)PrivateNetworkArea依托省內(nèi)政務(wù)外網(wǎng)基礎(chǔ)設(shè)施，為特定需求的部門或業(yè)務(wù)設(shè)置VPN區(qū)域，主要滿足部門橫向、縱向業(yè)務(wù)的需要，實(shí)現(xiàn)省、地（市）XX端到端業(yè)務(wù)和數(shù)據(jù)的互聯(lián)互通，實(shí)現(xiàn)與其它業(yè)務(wù)之間的邏輯隔離。互聯(lián)網(wǎng)接入?yún)^(qū)InternetAccessArea是各級(jí)政務(wù)部門通過(guò)邏輯隔離安全接入互聯(lián)網(wǎng)的網(wǎng)絡(luò)區(qū)域，滿足各級(jí)政務(wù)部門訪問(wèn)互聯(lián)網(wǎng)的需要。同時(shí)也是移動(dòng)辦公的公務(wù)人員通過(guò)政務(wù)外網(wǎng)數(shù)字證書，經(jīng)網(wǎng)關(guān)認(rèn)證后安全接入政務(wù)外網(wǎng)的途徑。按屬地化管理的原則，省、市、縣分別管理各自的互聯(lián)網(wǎng)出入口。網(wǎng)絡(luò)管理區(qū)NetworkManagementArea網(wǎng)絡(luò)管理區(qū)主要承載網(wǎng)絡(luò)管理信息系統(tǒng)，負(fù)責(zé)管理轄區(qū)內(nèi)的各種網(wǎng)絡(luò)設(shè)備、域名服務(wù)器等相關(guān)設(shè)備及系統(tǒng)的安全管理，實(shí)現(xiàn)工單處理、操作任務(wù)委派、值班管理、資料管理等在內(nèi)的日常維護(hù)生產(chǎn)任務(wù)的電子化、流程化。安全管理區(qū)SecurityManagementArea安全管理區(qū)主要承載安全管理信息系統(tǒng)，對(duì)管轄范圍內(nèi)網(wǎng)絡(luò)中部署的安全防護(hù)設(shè)備進(jìn)行日志采集、關(guān)聯(lián)分析、對(duì)網(wǎng)絡(luò)病毒和攻擊進(jìn)行告警、對(duì)安全事故提出預(yù)警和采取措施的建議，定期總結(jié)并提出分析報(bào)告。政務(wù)外網(wǎng)安全防護(hù)范圍GovermentNetworkSecurityProtectionScope按網(wǎng)絡(luò)區(qū)劃分：省、地（市）廣域網(wǎng)、各級(jí)城域網(wǎng)、用戶接入局域網(wǎng)。按業(yè)務(wù)區(qū)域劃分：公用網(wǎng)絡(luò)區(qū)、互聯(lián)網(wǎng)接入?yún)^(qū)、專用網(wǎng)絡(luò)區(qū)、用戶接入?yún)^(qū)、網(wǎng)絡(luò)和安全管理區(qū)、電子認(rèn)證區(qū)。政務(wù)外網(wǎng)governmentextranet服務(wù)于各級(jí)黨委、人大、政府、政協(xié)、法院和檢察院等政務(wù)部門，滿足其經(jīng)濟(jì)調(diào)節(jié)、市場(chǎng)監(jiān)管、社會(huì)管理和公共服務(wù)等方面需要的政務(wù)公用網(wǎng)絡(luò)。政務(wù)外網(wǎng)支持跨地區(qū)、跨部門的業(yè)務(wù)應(yīng)用、信息共享和業(yè)務(wù)協(xié)同，以及不需在政務(wù)內(nèi)網(wǎng)上運(yùn)行的業(yè)務(wù)，與互聯(lián)網(wǎng)邏輯隔離。安全管理系統(tǒng)SecurityOperationCenter，SOC采用多種技術(shù)手段，收集和整合各類網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)等安全事件，并運(yùn)用關(guān)聯(lián)分析技術(shù)、智能推理技術(shù)和風(fēng)險(xiǎn)管理技術(shù)，實(shí)現(xiàn)對(duì)安全事件信息的深度分析和識(shí)別，能快速做出報(bào)警響應(yīng)，實(shí)現(xiàn)對(duì)安全事件進(jìn)行統(tǒng)一監(jiān)控分析和預(yù)警處理。跨網(wǎng)AcrossRegionalNetworks政務(wù)外網(wǎng)城域網(wǎng)內(nèi)采用VPN技術(shù)邏輯隔離且無(wú)協(xié)議通信的網(wǎng)絡(luò)之間，或者是物理隔離的網(wǎng)絡(luò)之間。數(shù)據(jù)庫(kù)數(shù)據(jù)DatabaseData按照數(shù)據(jù)結(jié)構(gòu)來(lái)組織、存儲(chǔ)在數(shù)據(jù)庫(kù)系統(tǒng)中的數(shù)據(jù)信息。這里主要指關(guān)系型數(shù)據(jù)庫(kù)數(shù)據(jù)，屬于結(jié)構(gòu)化數(shù)據(jù)。等保實(shí)施要求政務(wù)外網(wǎng)安全保護(hù)等級(jí)政務(wù)外網(wǎng)開(kāi)展安全等級(jí)保護(hù)工作的重點(diǎn)是廣域網(wǎng)和各級(jí)城域網(wǎng)。根據(jù)我省政務(wù)外網(wǎng)現(xiàn)狀，政務(wù)外網(wǎng)省至地（市）廣域網(wǎng)和省級(jí)、地（市）級(jí)城域網(wǎng)應(yīng)達(dá)到安全等級(jí)保護(hù)第三級(jí)要求，地（市）級(jí)至區(qū)縣廣域網(wǎng)和地（市）以下城域網(wǎng)應(yīng)至少達(dá)到安全等級(jí)保護(hù)第三級(jí)的要求。政務(wù)外網(wǎng)主要滿足各級(jí)政務(wù)部門業(yè)務(wù)應(yīng)用系統(tǒng)傳輸和跨部門數(shù)據(jù)交換與共享的需要，保證其在廣域網(wǎng)和城域網(wǎng)上的暢通、安全和可靠。不同安全等級(jí)保護(hù)的政務(wù)外網(wǎng)互聯(lián)，應(yīng)在配置網(wǎng)絡(luò)邊界訪問(wèn)控制的情況下，確保業(yè)務(wù)的暢通。對(duì)于接入單位尚未開(kāi)展信息系統(tǒng)安全等級(jí)保護(hù)工作或安全等級(jí)保護(hù)在3級(jí)及以下的單位局域網(wǎng)接入時(shí)，應(yīng)加強(qiáng)政務(wù)外網(wǎng)邊界訪問(wèn)控制和監(jiān)測(cè)措施，保證政務(wù)外網(wǎng)的安全。等保2.0第三級(jí)的安全保護(hù)能力第三級(jí)安全保護(hù)能力：應(yīng)能夠在統(tǒng)一安全策略下防護(hù)網(wǎng)絡(luò)免受來(lái)自外部有組織的團(tuán)體、擁有較為豐富資源的威脅源發(fā)起的惡意攻擊，能夠抵抗較為嚴(yán)重的自然災(zāi)難，以及其他相當(dāng)危害程度的威脅所造成的主要資源損害，能夠及時(shí)發(fā)現(xiàn)安全漏洞和安全事件。在網(wǎng)絡(luò)遭到損害后，其影響范圍是省級(jí)及以上廣域網(wǎng)和地（市）級(jí)及以上城域網(wǎng)，并能夠較快恢復(fù)絕大部分功能。安全接入平臺(tái)技術(shù)規(guī)范安全接入平臺(tái)結(jié)合我省政務(wù)外網(wǎng)現(xiàn)狀，在省、市（地）分別建設(shè)兩級(jí)安全接入平臺(tái)，形成政務(wù)外網(wǎng)安全接入體系?？h級(jí)可通過(guò)市級(jí)平臺(tái)接入，有條件的縣級(jí)政務(wù)外網(wǎng)也可按照市級(jí)標(biāo)準(zhǔn)進(jìn)行自行建設(shè)。安全接入平臺(tái)架構(gòu)見(jiàn)圖1。圖1安全接入平臺(tái)架構(gòu)接入模式IPSecVPN主要應(yīng)用于非專線接入政務(wù)外網(wǎng)的單位，采用網(wǎng)關(guān)對(duì)網(wǎng)關(guān)接入進(jìn)行組網(wǎng)以及遠(yuǎn)程終端接入進(jìn)行長(zhǎng)時(shí)間連接、數(shù)據(jù)上報(bào)、視頻會(huì)議等非WEB方式訪問(wèn)的業(yè)務(wù)。對(duì)于專線接入單位，當(dāng)專線發(fā)生故障時(shí)，應(yīng)急情況下也可采用網(wǎng)關(guān)對(duì)網(wǎng)關(guān)接入方式，通過(guò)Internet或移動(dòng)通信網(wǎng)的VPDN實(shí)現(xiàn)業(yè)務(wù)的不中斷傳輸。SSLVPN主要應(yīng)用于接入終端WEB方式接入政務(wù)外網(wǎng)，訪問(wèn)業(yè)務(wù)系統(tǒng)、遠(yuǎn)程桌面管理、遠(yuǎn)程辦公等。VPDN專線接入用戶可使用智能終端通過(guò)VPDN專線接入，VPDN專線接入和Internet接入類似，統(tǒng)一從政務(wù)外網(wǎng)安全接入平臺(tái)入口進(jìn)入。各級(jí)安全接入平臺(tái)依據(jù)用戶所要訪問(wèn)的業(yè)務(wù)應(yīng)用系統(tǒng)的安全情況應(yīng)采取IPSecVPN或SSLVPN網(wǎng)關(guān)對(duì)傳輸鏈路進(jìn)行加密。接入流程網(wǎng)關(guān)對(duì)網(wǎng)關(guān)接入模式該模式適用于不具備政務(wù)外網(wǎng)專線接入條件的單位，通過(guò)IPSecVPN網(wǎng)關(guān)接入政務(wù)外網(wǎng)，具體接入流程如下：接入單位通過(guò)公眾網(wǎng)絡(luò)登錄安全接入平臺(tái)門戶發(fā)起申請(qǐng)，由本級(jí)政務(wù)外網(wǎng)運(yùn)維單位審核通過(guò)后下發(fā)接入網(wǎng)關(guān)配置信息、設(shè)備證書等；接入網(wǎng)關(guān)向安全接入平臺(tái)IPSecVPN網(wǎng)關(guān)集群服務(wù)網(wǎng)關(guān)發(fā)起連接請(qǐng)求；服務(wù)網(wǎng)關(guān)通過(guò)認(rèn)證平臺(tái)對(duì)接入網(wǎng)關(guān)進(jìn)行認(rèn)證，認(rèn)證成功后雙方建立隧道；接入單位用戶通過(guò)VPN設(shè)備建立的安全隧道訪問(wèn)政務(wù)外網(wǎng)業(yè)務(wù)。移動(dòng)接入具體接入流程如下：接入單位通過(guò)公眾網(wǎng)絡(luò)登錄安全接入平臺(tái)門戶發(fā)起申請(qǐng)，由本級(jí)政務(wù)外網(wǎng)運(yùn)維單位審核通過(guò)后，根據(jù)接入業(yè)務(wù)不同下發(fā)接入必需資源，如統(tǒng)一業(yè)務(wù)入口或者SSLVPN服務(wù)地址、客戶端軟件、用戶證書等；IPSecVPN接入用戶通過(guò)客戶端發(fā)起請(qǐng)求，SSLVPN接入用戶通過(guò)WEB方式發(fā)起請(qǐng)求，智終端用戶利用移動(dòng)終端安全接入軟件（APP）發(fā)起請(qǐng)求；網(wǎng)關(guān)通過(guò)認(rèn)證平臺(tái)對(duì)接入用戶進(jìn)行認(rèn)證，認(rèn)證成功后雙方建立安全連接；接入用戶通過(guò)VPN網(wǎng)關(guān)建立的安全連接訪問(wèn)政務(wù)外網(wǎng)業(yè)務(wù)。VPDN移動(dòng)專線接入適用于智能終端用戶通過(guò)移動(dòng)通信網(wǎng)的VPDN方式接入或PC端用戶通過(guò)ADSL等方式，接入用戶需先通過(guò)Internet登錄安全接入平臺(tái)門戶申請(qǐng)VPDN賬號(hào)，在賬號(hào)審核成功后，VPDN用戶向LNS發(fā)起撥號(hào)并通過(guò)認(rèn)證建立隧道，VPDN隧道建立成功后，用戶向SSLVPN網(wǎng)關(guān)發(fā)起請(qǐng)求，網(wǎng)關(guān)通過(guò)認(rèn)證平臺(tái)對(duì)VPDN用戶進(jìn)行認(rèn)證，認(rèn)證成功后雙方建立安全連接，VPDN用戶須通過(guò)VPN設(shè)備建立的加密隧道安全連接訪問(wèn)政務(wù)外網(wǎng)業(yè)務(wù)。平臺(tái)部署省級(jí)安全接入平臺(tái)部署省級(jí)安全接入平臺(tái)部署如下：省級(jí)安全接入平臺(tái)劃分為四個(gè)區(qū)域進(jìn)行部署；統(tǒng)一入口區(qū)由防火墻、VPDN接入所需的LNS路由器、移動(dòng)終端管理系統(tǒng)、門戶組成；防火墻實(shí)現(xiàn)安全接入平臺(tái)的訪問(wèn)控制；移動(dòng)終端管理系統(tǒng)用于接入智能終端的策略下發(fā)，遠(yuǎn)程擦除；門戶提供用戶注冊(cè)申請(qǐng)、客戶端軟件下載、SSLVPN登錄、業(yè)務(wù)異常申報(bào)等功能。LNS路由器提供VPDN專線用戶二次認(rèn)證功能；VPN網(wǎng)關(guān)集群是由IPSecVPN網(wǎng)關(guān)、SSLVPN網(wǎng)關(guān)組成的VPN網(wǎng)關(guān)池，實(shí)現(xiàn)用戶的身份認(rèn)證、權(quán)限管理、傳輸加密；負(fù)載均衡設(shè)備提供VPN網(wǎng)關(guān)的負(fù)載分配；接入管理區(qū)部署配置管理系統(tǒng)、監(jiān)測(cè)系統(tǒng)、安全審計(jì)系統(tǒng)，實(shí)現(xiàn)平臺(tái)設(shè)備的配置管理、安全接入平臺(tái)的運(yùn)行監(jiān)測(cè)和接入用戶行為審計(jì)；認(rèn)證區(qū)部署LDAP、RADIUS等認(rèn)證系統(tǒng)，實(shí)現(xiàn)接入用戶的統(tǒng)一認(rèn)證授權(quán)功能。如果已建設(shè)政務(wù)外網(wǎng)CA，LDAP可從CA導(dǎo)入證書條目、證書注銷列表等信息用于用戶證書有效性檢查協(xié)助認(rèn)證。市（地）級(jí)安全接入平臺(tái)部署市（地）級(jí)安全接入平臺(tái)部署入下：市（地）級(jí)安全接入平臺(tái)劃分為四個(gè)區(qū)域進(jìn)行部署；統(tǒng)一入口區(qū)由防火墻、門戶組成；防火墻實(shí)現(xiàn)安全接入平臺(tái)的訪問(wèn)控制。門戶提供用戶注冊(cè)申請(qǐng)、客戶端軟件下載、SSLVPN登錄、業(yè)務(wù)異常申報(bào)等功能，如有移動(dòng)接入需求，應(yīng)增加必要移動(dòng)終端管理系統(tǒng)；VPN網(wǎng)關(guān)由IPSecVPN網(wǎng)關(guān)和SSLVPN網(wǎng)關(guān)組成，實(shí)現(xiàn)用戶的身份認(rèn)證、權(quán)限管理、傳輸加密；接入管理區(qū)配置管理/審計(jì)服務(wù)器，實(shí)現(xiàn)VPN網(wǎng)關(guān)的配置管理、安全接入平臺(tái)的運(yùn)行監(jiān)測(cè)、用戶的接入審計(jì)和安全接入平臺(tái)的安全審計(jì)；認(rèn)證區(qū)配置LDAP、RADIUS等認(rèn)證服務(wù)器，實(shí)現(xiàn)接入用戶的統(tǒng)一認(rèn)證功能。市（地）VPDN用戶可通過(guò)省級(jí)安全接入平臺(tái)接入。縣級(jí)安全接入平臺(tái)可參照市（地）級(jí)安全接入平臺(tái)部署。云平臺(tái)對(duì)接省級(jí)政務(wù)云平臺(tái)對(duì)接我省省級(jí)政務(wù)云平臺(tái)整體劃分互聯(lián)網(wǎng)區(qū)和政務(wù)公共區(qū)，政務(wù)公共區(qū)建設(shè)電子政務(wù)外網(wǎng)安全接入?yún)^(qū)，部署防火墻、入侵防御系統(tǒng)、未知威脅檢測(cè)、流量信息采集等安全防護(hù)設(shè)備。省級(jí)政務(wù)云平臺(tái)通過(guò)安全接入?yún)^(qū)出口路由器與政務(wù)外網(wǎng)省級(jí)廣域網(wǎng)核心路由器相連，采用雙設(shè)備雙鏈路方式互聯(lián)。政務(wù)云平臺(tái)出口路由器放置在政務(wù)云內(nèi)，采用MSTP、OTN等的接入方式，雙鏈路上聯(lián)至省級(jí)廣域網(wǎng)核心層節(jié)點(diǎn)，接入帶寬10G，設(shè)備端口使用以太網(wǎng)端口為主。省政務(wù)云平臺(tái)政務(wù)外網(wǎng)出口路由器與政務(wù)外網(wǎng)省級(jí)廣域網(wǎng)核心路由器之間為CE和PE關(guān)系，政務(wù)外網(wǎng)核心路由器作為PE，政務(wù)云外網(wǎng)接入路由器作為CE，兩者間通過(guò)IGP、BGP、靜態(tài)路由等方式交換路由。市級(jí)政務(wù)云平臺(tái)對(duì)接市級(jí)政務(wù)云平臺(tái)整體架構(gòu)同省級(jí)政務(wù)云平臺(tái)，區(qū)別在市級(jí)政務(wù)云平臺(tái)通過(guò)安全接入?yún)^(qū)出口路由器與市級(jí)政務(wù)外網(wǎng)城域網(wǎng)核心路由器相連。安全管理技術(shù)規(guī)范網(wǎng)絡(luò)性能指標(biāo)根據(jù)我省政務(wù)外網(wǎng)設(shè)計(jì)情況，我省政府外網(wǎng)將實(shí)現(xiàn)萬(wàn)兆（10GE）到市、千兆（GE）到縣、百兆（100M）接入，其中：省到市鏈路具備至少萬(wàn)兆（10GE）帶寬能力。市到縣鏈路具備至少千兆（GE）帶寬能力?？h到鄉(xiāng)、鄉(xiāng)到村鏈路不小于100M帶寬能力。對(duì)于業(yè)務(wù)需求量較大的市、縣、鄉(xiāng)，可依照實(shí)際業(yè)務(wù)需求進(jìn)行調(diào)整。各級(jí)政務(wù)部門局域網(wǎng)接入帶寬不小于100M，合駐辦公以及業(yè)務(wù)需求量較大的政務(wù)部門，可以根據(jù)實(shí)際需求進(jìn)行調(diào)整。網(wǎng)絡(luò)管理應(yīng)在信息系統(tǒng)內(nèi)外網(wǎng)網(wǎng)絡(luò)邊界部署防火墻、審計(jì)系統(tǒng)、IPS/IDS等安全設(shè)備；對(duì)內(nèi)部網(wǎng)絡(luò)進(jìn)行區(qū)域隔離、保護(hù)；重要的業(yè)務(wù)應(yīng)用服務(wù)器區(qū)部署單獨(dú)的防火墻進(jìn)行保護(hù)。內(nèi)外網(wǎng)網(wǎng)絡(luò)之間要實(shí)行物理隔離。如需進(jìn)行數(shù)據(jù)交換時(shí)，應(yīng)使用符合國(guó)家政策和保密部門認(rèn)可的安全產(chǎn)品或技術(shù)措施進(jìn)行數(shù)據(jù)傳輸。所有在互聯(lián)網(wǎng)發(fā)布的應(yīng)用系統(tǒng)必須使用網(wǎng)頁(yè)防篡改技術(shù)或?qū)Ｓ冒踩O(shè)備進(jìn)行保護(hù)，確保網(wǎng)站在受到破壞時(shí)能自動(dòng)恢復(fù)。所有在互聯(lián)網(wǎng)發(fā)布的應(yīng)用系統(tǒng)必須經(jīng)過(guò)有資質(zhì)的專業(yè)信息安全公司或第三方技術(shù)機(jī)構(gòu)的安全測(cè)評(píng)，確保網(wǎng)站的安全性。采用技術(shù)手段對(duì)網(wǎng)絡(luò)接入進(jìn)行控制。內(nèi)部終端如因工作需要接入Internet或其他網(wǎng)絡(luò)，應(yīng)向所在部門領(lǐng)導(dǎo)提出申請(qǐng)，經(jīng)批準(zhǔn)后由網(wǎng)絡(luò)管理員提供接入服務(wù)。管理員對(duì)接入端信息做詳細(xì)登記并存檔備案。外部人員如需接入網(wǎng)絡(luò)，需由部門主管領(lǐng)導(dǎo)批準(zhǔn)，再由網(wǎng)絡(luò)管理員提供臨時(shí)接入服務(wù)。網(wǎng)絡(luò)管理員負(fù)責(zé)網(wǎng)絡(luò)拓?fù)鋱D的繪制。若網(wǎng)絡(luò)結(jié)構(gòu)發(fā)生變化要及時(shí)更新拓?fù)鋱D，確保網(wǎng)絡(luò)拓?fù)鋱D完整、真實(shí)。未經(jīng)批準(zhǔn)，任何人不得改變網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備布局、服務(wù)器和路由器配置以及網(wǎng)絡(luò)參數(shù)。在未經(jīng)許可的情況下，任何人不得進(jìn)入計(jì)算機(jī)系統(tǒng)更改系統(tǒng)信息和用戶數(shù)據(jù)。任何人不得利用計(jì)算機(jī)技術(shù)侵害用戶合法利益，不得制作和傳播有害信息。運(yùn)維管理建立縱向貫通省、市（地）、縣（區(qū)），橫向連接各接入單位的全省電子政務(wù)外網(wǎng)運(yùn)維管理體系，實(shí)現(xiàn)對(duì)全網(wǎng)的網(wǎng)絡(luò)設(shè)備、鏈路、業(yè)務(wù)運(yùn)行狀況的統(tǒng)一運(yùn)維監(jiān)控管理。對(duì)信息系統(tǒng)核心設(shè)備采取冗余措施（包括線路及設(shè)備冗余），確保網(wǎng)絡(luò)正常運(yùn)行。對(duì)網(wǎng)絡(luò)、安全設(shè)備進(jìn)行管理時(shí)須采用安全的方式（如加密、SSH等），并嚴(yán)格控制可訪問(wèn)該設(shè)備的地址和網(wǎng)段。定期對(duì)網(wǎng)絡(luò)系統(tǒng)（服務(wù)器、網(wǎng)絡(luò)設(shè)備）進(jìn)行漏洞掃描，并及時(shí)修補(bǔ)已發(fā)現(xiàn)的安全漏洞。根據(jù)設(shè)備廠商提供的更新軟件對(duì)網(wǎng)絡(luò)設(shè)備和安全設(shè)備進(jìn)行升級(jí)，在升級(jí)之前要注意對(duì)重要文件的配置進(jìn)行備份。定期對(duì)重要的網(wǎng)絡(luò)、安全設(shè)備進(jìn)行巡檢，確保重要設(shè)施工作正常，并填寫相關(guān)記錄表單歸檔保存。若在巡檢中發(fā)現(xiàn)安全問(wèn)題要及時(shí)上報(bào)處理。定期對(duì)重要系統(tǒng)服務(wù)器和相關(guān)業(yè)務(wù)數(shù)據(jù)進(jìn)行備份，備份數(shù)據(jù)應(yīng)一式兩份，分別進(jìn)行保存管理。部署專用的網(wǎng)絡(luò)審計(jì)設(shè)備記錄網(wǎng)絡(luò)訪問(wèn)日志，日志的最小保存期限不低于60天，且應(yīng)保證無(wú)一天以上的中斷。賬號(hào)管理對(duì)網(wǎng)絡(luò)管理員、安全審計(jì)員等不同用戶建立不同的賬號(hào)，并對(duì)資源管理權(quán)限進(jìn)行劃分，以便于審計(jì)。網(wǎng)絡(luò)賬號(hào)、密碼設(shè)計(jì)必須滿足長(zhǎng)度、復(fù)雜度要求，用戶須定期更改密碼以保障網(wǎng)絡(luò)賬戶安全。指定專人對(duì)服務(wù)器和網(wǎng)絡(luò)設(shè)備的賬號(hào)、密碼進(jìn)行統(tǒng)一登記，一式兩份存檔管理。管理員須嚴(yán)守職業(yè)道德和職業(yè)紀(jì)律，不得將任何賬號(hào)、密碼等信息泄露出去。惡意代碼管理不得制造和傳播任何計(jì)算機(jī)病毒。網(wǎng)絡(luò)服務(wù)器的病毒防治由網(wǎng)絡(luò)管理員負(fù)責(zé)，網(wǎng)絡(luò)管理員負(fù)責(zé)對(duì)各部門計(jì)算機(jī)的病毒防治工作進(jìn)行指導(dǎo)和協(xié)助。及時(shí)更新網(wǎng)絡(luò)系統(tǒng)服務(wù)器病毒庫(kù)，定期對(duì)服務(wù)器進(jìn)行全盤掃描殺毒。提高自身的惡意代碼防范意識(shí)，在接收文件或郵件之前，必須先進(jìn)行惡意代碼檢查。已授權(quán)的外來(lái)計(jì)算機(jī)或存儲(chǔ)設(shè)備在接入網(wǎng)絡(luò)之前，必須對(duì)其進(jìn)行惡意代碼掃描。惡意時(shí)間處理發(fā)現(xiàn)制造病毒、故意傳播病毒等行為，須立即通知政務(wù)外網(wǎng)主管部門，并協(xié)助有關(guān)部門進(jìn)行調(diào)查。發(fā)現(xiàn)惡意網(wǎng)絡(luò)攻擊行為，須立即通知政務(wù)外網(wǎng)主管部門，并協(xié)助有關(guān)部門進(jìn)行調(diào)查。網(wǎng)絡(luò)安全管理職責(zé)網(wǎng)絡(luò)管理系統(tǒng)要分別設(shè)立網(wǎng)絡(luò)管理員和網(wǎng)絡(luò)安全審計(jì)員，并分別由不同的人員擔(dān)任。網(wǎng)絡(luò)管理員根據(jù)網(wǎng)絡(luò)訪問(wèn)控制策略要求，進(jìn)行網(wǎng)絡(luò)設(shè)備參數(shù)設(shè)置，更新和維護(hù)等工作；對(duì)網(wǎng)絡(luò)設(shè)備實(shí)行分級(jí)授權(quán)管理，按照不同的管理級(jí)別進(jìn)行權(quán)限分配。網(wǎng)絡(luò)安全審計(jì)員對(duì)網(wǎng)絡(luò)管理員的登錄和操作內(nèi)容進(jìn)行審計(jì)，一月內(nèi)至少審計(jì)一次日志報(bào)表；對(duì)網(wǎng)絡(luò)配置與網(wǎng)絡(luò)訪問(wèn)控制策略進(jìn)行符合性檢查。安全監(jiān)測(cè)系統(tǒng)技術(shù)規(guī)范網(wǎng)絡(luò)安全分析對(duì)電子政務(wù)外網(wǎng)網(wǎng)絡(luò)安全態(tài)勢(shì)進(jìn)行多維度分析，實(shí)現(xiàn)對(duì)電子政務(wù)外網(wǎng)的全面安全態(tài)勢(shì)的掌握.具備基于大數(shù)據(jù)分析能力，對(duì)關(guān)注度級(jí)別較高的安全事件進(jìn)行獨(dú)立模塊化分析，如高危攻擊、惡意文件、C&C攻擊、郵件威脅、暴力破解、拒絕服務(wù)、異常訪問(wèn)、高危漏洞等。具備通過(guò)從內(nèi)部威脅、外部威脅兩個(gè)層面對(duì)網(wǎng)絡(luò)安全威脅進(jìn)行細(xì)化分析能力。資產(chǎn)風(fēng)險(xiǎn)分析具備對(duì)電子政務(wù)外網(wǎng)中涉及到的資產(chǎn)發(fā)現(xiàn)、屬性識(shí)別、資產(chǎn)弱口令、資產(chǎn)脆弱性等情況進(jìn)行識(shí)別和分析。溯源取證具備接口流量信息和黑客信息統(tǒng)計(jì)功能，掌握電子政務(wù)外網(wǎng)流量情況和外部威脅情況，為攻擊事件溯源提供手段。安全態(tài)勢(shì)呈現(xiàn)具備對(duì)采集到的安全數(shù)據(jù)進(jìn)行挖掘分析后的網(wǎng)絡(luò)安全態(tài)勢(shì)的綜合展示能力，為電子政務(wù)外網(wǎng)安全管理提供輔助決策。威脅情報(bào)具備對(duì)于電子政務(wù)外網(wǎng)中出現(xiàn)的惡意IP、惡意文件、惡意域名等通過(guò)威脅情報(bào)進(jìn)行一鍵查詢功能。威脅情報(bào)功能的數(shù)據(jù)來(lái)源應(yīng)支持包括各級(jí)平臺(tái)共享情報(bào)、探針掃描檢測(cè)數(shù)據(jù)、日志分析數(shù)據(jù)以及第三方威脅情報(bào)。接口技術(shù)規(guī)范數(shù)據(jù)采集接口接口實(shí)現(xiàn)接口實(shí)現(xiàn)安全管理系統(tǒng)從安全對(duì)象采集日志數(shù)據(jù)、脆弱性數(shù)據(jù)、配置數(shù)據(jù)和狀態(tài)數(shù)據(jù)信息。數(shù)據(jù)采集方式要求8.1.2.1SNMPTrap應(yīng)啟動(dòng)SNMPService服務(wù)，使用統(tǒng)一的團(tuán)體串在默認(rèn)或自定義端口上監(jiān)聽(tīng)，以獲取安全設(shè)備發(fā)來(lái)的SNMPTrap信息。注：應(yīng)支持（但不限于）通過(guò)下述手段實(shí)現(xiàn)數(shù)據(jù)的主動(dòng)或被動(dòng)采集。SYSLOG應(yīng)啟動(dòng)SYSLOG服務(wù)，使用默認(rèn)或自定義端口監(jiān)聽(tīng)，以獲取安全設(shè)備發(fā)來(lái)的SYSLOG信息。文件應(yīng)具備網(wǎng)絡(luò)文件、本地文件的定期或觸發(fā)提取功能，獲取其中的日志信息。數(shù)據(jù)庫(kù)應(yīng)具備網(wǎng)絡(luò)數(shù)據(jù)庫(kù)、本地?cái)?shù)據(jù)庫(kù)的定期或觸發(fā)提取功能，獲取其中的日志信息。代理對(duì)于特殊的、缺乏共性的信息存儲(chǔ)方式，應(yīng)支持通過(guò)編寫代理程序方式獲取其中的日志信息，代理程序應(yīng)支持與目標(biāo)數(shù)據(jù)部署在一起，也支持遠(yuǎn)程部署。數(shù)據(jù)采集內(nèi)容要求日志數(shù)據(jù)采集應(yīng)采集政務(wù)外網(wǎng)中的網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器設(shè)備所產(chǎn)生的所有日志信息。脆弱性數(shù)據(jù)采集應(yīng)采集政務(wù)外網(wǎng)中的網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、應(yīng)用系統(tǒng)的脆弱性、補(bǔ)丁信息。安全管理系統(tǒng)可直接采集脆弱性數(shù)據(jù)，也可支持將其他相關(guān)設(shè)備的脆弱性數(shù)據(jù)導(dǎo)入到安全管理系統(tǒng)。配置數(shù)據(jù)采集應(yīng)采集政務(wù)外網(wǎng)中的網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器設(shè)備的賬號(hào)安全策略、口令安全策略、授權(quán)安全策略和日志安全策略信息。安全管理系統(tǒng)可直接采集配置數(shù)據(jù)，也可支持第三方的配置數(shù)據(jù)導(dǎo)入。狀態(tài)（性能）數(shù)據(jù)采集應(yīng)采集政務(wù)外網(wǎng)中的網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器設(shè)備的運(yùn)行狀態(tài)、性能相關(guān)數(shù)據(jù)。系統(tǒng)運(yùn)行狀態(tài)上報(bào)接口上級(jí)安全管理系統(tǒng)需要對(duì)下級(jí)系統(tǒng)的上報(bào)接口實(shí)施周期檢測(cè)，及時(shí)發(fā)現(xiàn)接口異常，減少上報(bào)數(shù)據(jù)的丟失。下級(jí)安全管理系統(tǒng)周期性上報(bào)自己狀態(tài)的心跳消息，上級(jí)系統(tǒng)根據(jù)是否能周期收到下級(jí)狀態(tài)的心跳消息，來(lái)判斷下級(jí)系統(tǒng)上報(bào)是否正常。上報(bào)接口狀態(tài)分為。a）1——正常：上級(jí)系統(tǒng)收到下級(jí)系統(tǒng)的上報(bào)消息后，將下級(jí)的上報(bào)接口判斷為正常；b）0——離線：當(dāng)上級(jí)系統(tǒng)在一個(gè)上報(bào)周期內(nèi)未收到上報(bào)信息，則判斷下級(jí)系統(tǒng)的上報(bào)接口離線，同時(shí)產(chǎn)生該下級(jí)安全管理系統(tǒng)上報(bào)接口離線告警。上報(bào)頻率為10分鐘一次。風(fēng)險(xiǎn)上報(bào)接口下級(jí)安全管理系統(tǒng)需要向上級(jí)系統(tǒng)上報(bào)本級(jí)系統(tǒng)的安全域的風(fēng)險(xiǎn)值和風(fēng)險(xiǎn)等級(jí)。上報(bào)頻率至少為10分鐘一次。風(fēng)險(xiǎn)的上報(bào)由上級(jí)安全管理系統(tǒng)進(jìn)行請(qǐng)求。下級(jí)安全管理系統(tǒng)按照請(qǐng)求的內(nèi)容進(jìn)行風(fēng)險(xiǎn)的實(shí)時(shí)上報(bào)。風(fēng)險(xiǎn)上報(bào)的內(nèi)容包括：系統(tǒng)所屬行政區(qū)編碼，安全域名稱，風(fēng)險(xiǎn)值，風(fēng)險(xiǎn)等級(jí)?？缇W(wǎng)數(shù)據(jù)交換技術(shù)要求隔離性要求數(shù)據(jù)庫(kù)數(shù)據(jù)交換單向數(shù)據(jù)傳輸采用單向光閘或網(wǎng)閘作為唯一連接通道，通過(guò)協(xié)議轉(zhuǎn)換，以信息擺渡的方式實(shí)現(xiàn)單向數(shù)據(jù)交換，同時(shí)必須確保數(shù)據(jù)無(wú)反向傳輸。雙向數(shù)據(jù)傳輸采用網(wǎng)閘作為唯一連接通道，通過(guò)協(xié)議轉(zhuǎn)換，以信息擺渡的方式實(shí)現(xiàn)雙向數(shù)據(jù)交換。文件數(shù)據(jù)交換單向數(shù)據(jù)傳輸采用單向光閘或網(wǎng)閘作為唯一連接通道，通過(guò)協(xié)議轉(zhuǎn)換，以信息擺渡的方式實(shí)現(xiàn)單向數(shù)據(jù)交換，同時(shí)必須確保數(shù)據(jù)無(wú)反向傳輸。雙向數(shù)據(jù)傳輸采用網(wǎng)閘作為唯一連接通道，通過(guò)協(xié)議轉(zhuǎn)換，以信息擺渡的方式實(shí)現(xiàn)雙向數(shù)據(jù)交換。設(shè)備認(rèn)證要求應(yīng)確保非法設(shè)備無(wú)法通過(guò)數(shù)據(jù)安全交換系統(tǒng)實(shí)現(xiàn)數(shù)據(jù)交換，交換對(duì)象應(yīng)采用IP地址綁定、設(shè)備數(shù)字證書或SNMP等方式進(jìn)行設(shè)備認(rèn)證。若采用設(shè)備數(shù)字證書認(rèn)證方式，應(yīng)支持政務(wù)外網(wǎng)數(shù)字證書。訪問(wèn)控制要求支持通過(guò)用戶名口令、數(shù)字證書方式對(duì)系統(tǒng)管理員和操作員進(jìn)行身份認(rèn)證，認(rèn)證支持政務(wù)外網(wǎng)數(shù)字證書，應(yīng)通過(guò)政務(wù)外網(wǎng)現(xiàn)有認(rèn)證體系進(jìn)行認(rèn)證，也可離線認(rèn)證。支持對(duì)系統(tǒng)管理員、系統(tǒng)安全員、系統(tǒng)審計(jì)員進(jìn)行不同角色的授權(quán)管理。安全管理與審計(jì)要求支持實(shí)時(shí)監(jiān)控跨網(wǎng)數(shù)據(jù)安全交換系統(tǒng)業(yè)務(wù)狀態(tài)、通道運(yùn)行狀態(tài)。支持通過(guò)圖、表等方式展現(xiàn)跨網(wǎng)數(shù)據(jù)安全交換系統(tǒng)業(yè)務(wù)相關(guān)統(tǒng)計(jì)信息，并應(yīng)按不同時(shí)間粒度和區(qū)間匯總。支持對(duì)跨網(wǎng)數(shù)據(jù)安全交換系統(tǒng)的行為、安全事件和交換內(nèi)容等進(jìn)行審計(jì)。支持對(duì)系統(tǒng)管理員、系統(tǒng)安全員、系統(tǒng)審計(jì)員管理行為進(jìn)行審計(jì)。支持安全事件報(bào)警功能。支持配置文件、審計(jì)日志的備份功能，并提供備份數(shù)據(jù)的導(dǎo)入、導(dǎo)出、查詢功能。支持接收符合標(biāo)準(zhǔn)SYSLOG或SNMP接口規(guī)范的審計(jì)日志。支持對(duì)審計(jì)數(shù)據(jù)保存大小上限進(jìn)行動(dòng)態(tài)設(shè)置。接入單位局域網(wǎng)安全技術(shù)規(guī)范單位局域網(wǎng)安全等級(jí)保護(hù)要求接入政務(wù)外網(wǎng)的局域網(wǎng)應(yīng)依據(jù)等保2.0三級(jí)的要求