數(shù)據(jù)安全管理平臺及系統(tǒng)高可用加固項目用戶需求書

數(shù)據(jù)安全管理平臺及系統(tǒng)高可用加固項目

用戶需求書一、項目背景在醫(yī)療業(yè)務(wù)的微服務(wù)化、數(shù)據(jù)服務(wù)化趨勢下，API承載了醫(yī)院醫(yī)療應(yīng)用各組件間高密度高價值數(shù)據(jù)流動，成為數(shù)據(jù)交互最重要的傳輸方式之一，但由于發(fā)展過快，業(yè)務(wù)優(yōu)先，導(dǎo)致無法對API進行安全的開發(fā)和有效治理管理。醫(yī)院對于API資產(chǎn)的可見性，以及威脅發(fā)現(xiàn)能力，漏洞、脆弱性難以看清；對于活動的醫(yī)療敏感數(shù)據(jù)也缺乏管控。國家衛(wèi)健委相繼出臺的數(shù)據(jù)安全相關(guān)指南和管理辦法中，明確提出了對API資產(chǎn)監(jiān)測的要求。隨著醫(yī)院業(yè)務(wù)的迅速發(fā)展以及所承載業(yè)務(wù)的多樣化，為了解決單臺服務(wù)器的處理性能瓶頸及單點故障問題，通過部署負載均衡設(shè)備，針對不同的業(yè)務(wù)類型，采用不同的調(diào)度算法，使流量處理邏輯更加貼合業(yè)務(wù)需求，防止服務(wù)器資源嚴重消耗并提高業(yè)務(wù)系統(tǒng)的高可用性。醫(yī)院的業(yè)務(wù)系統(tǒng)集中部署在超融合平臺上，一旦發(fā)生意外事故導(dǎo)致數(shù)據(jù)丟失，則有可能直接導(dǎo)致醫(yī)院遭受難以逆轉(zhuǎn)的損害。對指定虛擬機開啟實時CDP保護，通過10鏡像方式跟蹤記錄虛擬機10變更情況，當虛擬機數(shù)據(jù)丟失或故障時，可使用備份的任意歷史時間點進行恢復(fù)（RPO^O,RT0<5min）,從而大大降低風(fēng)險。二、項目建設(shè)清單序號產(chǎn)品詳細技術(shù)要求數(shù)量單位1數(shù)據(jù)安全管理平臺1、數(shù)據(jù)安全管理系統(tǒng)1套（1）首頁支持數(shù)據(jù)庫資產(chǎn)和應(yīng)用API資產(chǎn)的總覽，能夠掌握當前數(shù)據(jù)庫、數(shù)據(jù)表、字段數(shù)量以及應(yīng)用、API、涉敏應(yīng)用和API的數(shù)量；針對數(shù)據(jù)庫的資產(chǎn)管理，能夠統(tǒng)計數(shù)據(jù)分類分級以及打標情況，針對應(yīng)用/API的資產(chǎn)管理，能夠掌握API數(shù)據(jù)接口脆弱性和訪問風(fēng)險的分布情況；（2）設(shè)備對接管理：支持統(tǒng)一管理接入的設(shè)備，能夠新增、刪除或編輯已接入的設(shè)備，通過設(shè)備管理列表能夠查看設(shè)備名稱、設(shè)備類型、運行狀態(tài)、認證loken、設(shè)備狀態(tài)和最近同步的時間：平臺支持一次性對接多種設(shè)備類型，包括數(shù)據(jù)庫審計、數(shù)據(jù)安全大腦探針等，進行統(tǒng)一的日志上報和流轉(zhuǎn)分析；支持通過設(shè)備詳情查看對接的IP、端口、CPU和內(nèi)存占用情況、流速、設(shè)備狀態(tài)和最近同步時間，并支持編輯下發(fā)對接配置信息，滿足日常運維需求。（3）探針管理：支持使用探針的方式采集流量到平臺上，探針支持CentOS、Redhal6.5以上等操作系統(tǒng)，在平臺上可直觀看到已接入探針的整體運行情況，包括IP地址、資源占用、流速、監(jiān)聽端口、設(shè)備狀態(tài)等，以便于進行探針的接入管理；支持在agent上指定網(wǎng)口、端口回傳流量，避免影響數(shù)據(jù)庫業(yè)務(wù)。（4）管理員賬號管理：支持三權(quán)分立，提供系統(tǒng)管理員、安全管理員、審計員三個角色賬戶；支持設(shè)置管理員賬號允許登錄的IP范圍，支持設(shè)置管理員賬號登錄允許嘗試次數(shù)可配和長時間未操作自動退出，并支持管理員用戶設(shè)置密碼使用天數(shù)限制，超過指定天數(shù)進行強制修改密碼，提升系統(tǒng)登錄的安全性。2、API風(fēng)險監(jiān)測預(yù)警模塊（1）系統(tǒng)以數(shù)據(jù)為中心，著眼API接口，對敏感數(shù)據(jù)進行多重防護，有效應(yīng)對數(shù)據(jù)泄露、黑客入侵、接口濫用等風(fēng)險。包含：用戶管理、防護管理、水印管理、訪問控制等功能；（2）支持流量解析方式來發(fā)現(xiàn)應(yīng)用是否涉敏，實現(xiàn)應(yīng)用、接口、敏感數(shù)據(jù)關(guān)聯(lián)關(guān)系的自動梳理，統(tǒng)計應(yīng)用的域名、地址、關(guān)聯(lián)的API、敏感數(shù)據(jù)類型等，并通過標識應(yīng)用等級來區(qū)分需要重點關(guān)注的應(yīng)用資產(chǎn)列表。（3）支持安全事件，基于基礎(chǔ)風(fēng)險告警進行關(guān)聯(lián)聚合，結(jié)合常見的API數(shù)據(jù)泄漏事件場景，對api、風(fēng)險主體、脆弱性等維度的關(guān)聯(lián)，構(gòu)建API攻擊行為畫像，形成場景化的安全事件，包括：參數(shù)遍歷獲取大量敏感數(shù)據(jù)、異常時間段頻繁訪問獲取大量敏感數(shù)據(jù)、發(fā)生探測攻擊并通過頻繁訪問獲取敏感數(shù)據(jù)等，降低風(fēng)險告警分析成本。（4）產(chǎn)品能夠識別主流的接口脆弱性風(fēng)險，支持OWASPT0P10風(fēng)險識別，內(nèi)置脆弱性規(guī)則條數(shù)不少于70利包括失效的對象級授權(quán)、失效的用戶身份認證、過度數(shù)據(jù)暴露、缺少資源/速率限制、失效的功能級授權(quán)、批量分配、安全配置錯誤、注入、資產(chǎn)管理不當?shù)却嗳跣砸?guī)則；授權(quán)管理員可選擇配置脆弱性等級和應(yīng)用范圍，設(shè)置排除API的白名單，限制檢測范圍。（5）能夠基于UEBA行為識別技術(shù)，識別接口異常行為風(fēng)險，內(nèi)置數(shù)十種API異常行為風(fēng)險檢測模型，包括：賬號多地多IP訪問、境內(nèi)外訪問、敏感數(shù)據(jù)異常暴露、參數(shù)名缺失、高頻訪問API、參數(shù)值異常、參數(shù)值遍歷、請求方法異常、訪問碼異常等風(fēng)險規(guī)則，構(gòu)建接口訪問行為基線。（6）支持自定義風(fēng)險規(guī)則，能夠基于風(fēng)險等級、風(fēng)險主體、訪問API、檢測周期、返回數(shù)據(jù)類型、請求方法等進行條件組合，生成新的安全基線，并支持基于基礎(chǔ)風(fēng)險組合生成高級風(fēng)險，滿足不同場景下的風(fēng)險檢測要求。（7）支持編輯風(fēng)險策略，選擇指定風(fēng)險等級，設(shè)置風(fēng)險過濾條件，包括：基于應(yīng)用、API分組設(shè)置訪問API、IP屬性（境內(nèi)IP、境外IP）、檢測周期、告警條件、排除賬號的設(shè)置，以便于進行風(fēng)險策略調(diào)優(yōu)，優(yōu)化風(fēng)險模型。（8）支持場景化的安全事件規(guī)則，基于實戰(zhàn)攻防經(jīng)驗進行風(fēng)險告警關(guān)聯(lián)聚合，來提升告警檢出的精準率：授權(quán)管理員可自定義安全事件等級，安全事件策略模型包括：頻繁訪問獲取大量敏感數(shù)據(jù)、異常時間段頻繁訪問獲取大量敏感數(shù)據(jù)、發(fā)生探測攻擊并通過頻繁訪問獲取過量敏感數(shù)據(jù)、API接口遭遇滲透攻擊等。（9）支持針對風(fēng)險策略獨立配置風(fēng)險白名單，可選擇指定的加白對象、風(fēng)險名稱、加白API、加白時長，進行檢出范圍的風(fēng)險排除。（10）支持脆弱性告警，包括脆弱性等級占比的統(tǒng)計、脆弱性事件toplO、脆弱性應(yīng)用top5的展示，脆弱性告警列表可展示脆弱性名稱、等級、關(guān)聯(lián)的脆弱性API、所屬應(yīng)用、脆弱性類型、發(fā)生時間以及處理狀態(tài)等，可下鉆查看詳細的脆弱性描述以及相關(guān)處置建議，進行脆弱性風(fēng)險分析；可選擇性篩選脆弱性告警列表中指定的應(yīng)用、API分組、主體類型、風(fēng)險等級、風(fēng)險名稱、處理狀態(tài)等，快速定位告警事件。3、數(shù)據(jù)安全采集探針1、支持實時獲取Agent引流流量，根據(jù)配置信息進行數(shù)據(jù)預(yù)處理。2、采用入庫即時加載的處理機制，將處理完成的數(shù)據(jù)入庫保存，來保障檢測結(jié)果展示的實時性。3、支持使用agent的方式采集流量到探針上，agent支持CentOS.Redhal6.5以上等操作系統(tǒng)，在平臺上可直觀看到agent的整體運行情況。4、在宿主機上的CPU占用不超過5%,內(nèi)存不超過5%,支持當運行主機CPU超過80舟以后，agent做靜默處理，避免影響業(yè)務(wù)。5、支持在agent上指定網(wǎng)口、端口回傳流量，避免影響數(shù)據(jù)庫業(yè)務(wù)。6、Agent采集的流量需要通過加密通路發(fā)送給數(shù)據(jù)探針，確保傳輸數(shù)據(jù)安全。2服務(wù)器負載均衡（1）2U標準機架式，內(nèi)存大小28G,電源：冗余電源，接口26個千兆電口+2個萬兆光口；四層吞吐量220G,四層并發(fā)連接數(shù)2800萬，四層新建連接數(shù)CPS221萬，7層新建請求2Zx數(shù)RPS235萬。（2）支持針對多條出口線路的鏈路負載均衡功能，實現(xiàn)inbound和outbound流量的均衡調(diào)度，以及鏈路之間的冗余互備。且單一設(shè)備可同時支持包括鏈路負載均衡、全局負載均衡和服務(wù)器負載均衡的功能。三種功能同時處于激活可使用狀態(tài)，無需額外購買相應(yīng)授權(quán)。（3）開通HTTP壓縮、HTTP緩存、TCP連接復(fù)用、SSL卸載等功能，無需額外購買相應(yīng)授權(quán)。（4）支持輪詢、加權(quán)輪詢、按主機加權(quán)輪詢、加權(quán)最小連接、按主機加權(quán)最小連接、動態(tài)反饋、最快響應(yīng)、加權(quán)最小流量、按主機加權(quán)最小流量、加權(quán)源IP哈希、帶寬比例、哈希、首個可用、優(yōu)先級等算法。（5）支持源IP、Cookie（插入/被動/改寫）、HTTP-Passive、SSLSessionID等多種會話保持機制，支持跨虛擬服務(wù)的會話保持。（6）支持圖片優(yōu)化技術(shù)，通過對圖片格式的轉(zhuǎn)換，減少傳輸流量，提升web頁面加載速度。無需改動服務(wù)器端的圖片源文件，可根據(jù)瀏覽器種類自動識別轉(zhuǎn)換類型，將圖片轉(zhuǎn)換為對應(yīng)支持的WebP或JPEG格式，優(yōu)化加速效果。（7）支持顯示設(shè)備的電源狀態(tài)、風(fēng)扇轉(zhuǎn)速、磁盤溫度、CPU溫度、CPU和內(nèi)存占用率、新建連接數(shù)、并發(fā)連接數(shù)、吞吐情況、SSL新建和SSL吞吐數(shù)據(jù)、壓縮優(yōu)化和緩存優(yōu)化數(shù)據(jù)；業(yè)務(wù)的健康狀態(tài)、新建連接數(shù)、并發(fā)連接數(shù)、上下行流量、每秒請求數(shù)：節(jié)點池的調(diào)度算法、健康狀態(tài)、新建連接數(shù)、并發(fā)連接數(shù)、上下行流量；（8）支持串接部署方式和旁路部署方式，支持三角傳輸模式；支持雙機熱備部署方式，可自動同步配置并提供連接會話的鏡像功能，實現(xiàn)無縫故障切換；（9）支持高可用集群N+M部署方式，可自動同步配置并提供連接會話的鏡像功能，實現(xiàn)無縫故障切換.（10）為了保障產(chǎn)品的性能、功能，達到需求效果，采購人保留測試權(quán)利；（11）提供3年硬件質(zhì)保、3年軟件升級。3持續(xù)數(shù)據(jù)保護軟件⑴支持無代理CDP技術(shù)，不需要在虛擬機內(nèi)部安裝任何代理軟件，即可對虛擬機進行持續(xù)數(shù)據(jù)保護，CDP不影響保護虛擬機的性能；⑵最小提供RPO為秒級的數(shù)據(jù)保護；⑶支持業(yè)務(wù)虛擬機的快速恢復(fù)，