广元市公安局安全边界接入--公网接入链路

《广元市公安局安全边界接入--公网接入链路》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、广元市公安局安全边界接入--公网接入链路设备采购项目征求意见公告一、项目名称：广元市公安局安全边界接入--公网接入链路设备采购项目二、供应商资格条件：1、具有独立承担民事责任能力的企业法人；2、具有良好的商业信誉和健全的财务会计制度；3、具有依法缴纳税收和社会保障资金的良好记录;4、参加本次政府采购活动前三年内，在经营活动中没有重大违法违规记录；5、法律、行政法规规定的其他条件;三、项目技术要求1.基本技术要求（1）公网信息采集链路方案要完全符合《公安信息通信网边界接入安全规范——公网信息采集部分》的要求，并可通过公安部指定测评结构的测评；（2）平台安全体系满足三

2、重防护体系和两个基础设施的安全要求；（3）公网信息采集链路必须能够纳入现有边界接入平台集中监控与审计系统的统一管理，并完成级联上报；（4）平台的关键设备：单向导入系统和单向隔离光闸必须通过公安部的权威检测，并具有相应的资质认证材料。2.设计要求公网信息采集链路是公安信息通信网边界接入平台专门用于从公共网络采集信息的链路通道，实现将采集到的外部信息单向导入公安信息通信网，《公安信息通信网边界接入平台安全规范——公网信息采集部分》中的总体架构图如下所示：13业务操作方式：公网数据单向采集――由数据报送终端通过公网采集链路实现向公安信息通信网的单向数据传输。公网信息采集

3、链路禁止公安信息通信网与应用服务区之间通信协议交互。n接入终端要求必须进行设备认证，未通过认证的设备必须阻断。必须进行用户身份认证，推荐采用数字证书等高强度身份认证方式。接入终端必须保证传输数据的格式和内容合规，并实现与接入平台间通信的机密性与完整性保护。n网络安全要求访问控制：要求实现基于白名单的细粒度访问控制。可对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；控制细粒度为端口级，并根据会话状态信息为数据流提供明确的允许或拒绝访问处理，可将会话处于非活跃一定时间或会话结束后终止网络连接，并通过限制网

4、络最大流量数及网络连接数以提升安全等访问控制能力。安全审计：应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；应根据记录数据进行分析，并生成审计报表，增加可读性；审计记录需要经管理员认证后方可删除、修改或覆盖；审计日志应报送到集中监控管理系统。13完整性检查：要求实现边界检查，对应用服务器的网络连接进行检查，能及时发现和阻断应用服务器未通过边界保护区直接联接公网的情况。入侵防范：要求进行入侵防范，能检测攻击，并切断攻击源连接和告警。能防范对应用服务区WEB服务的

5、脚本攻击、SQL注入攻击、网站挂马攻击等，一旦发生攻击，主动切断攻击源，并进行实时报警。恶意代码防范：要求实现恶意代码防范，在网络边界处对恶意代码进行检测和清除，定期升级、更新。网络设备防护：要求对网络设备、安全设备的配置管理进行保护。应对登录网络设备的用户进行身份鉴别，可对管理员登录地址进行限制。n主机安全要求身份鉴别：要求实现安全用户认证，采用数字证书认证和安全的用户鉴别协议。对访问接入平台的各类主机，在操作系统层面进行设置，要求进行强制身份认证方可登录操作系统或相应的数据库系统，强制要求口令具有足够的复杂度并要求定期更换；并限制登录次数，多次输入错误锁定系统

6、，远程管理上，有限制采用安全的ssh登录，禁用非安全的Telnet，最大限度保证其安全性。访问控制：实施严格的安全访问策略，权限用户可访问有限资源，根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限，删除多余的、过期的账户，避免共享账户的存在。安全审计：全面细粒度的审计，对系统管理员等重要账户、对系统资源的异常使用和重要系统命令的使用等重要的安全相关事件进行包括事件的日期、时间、类型、主体标识、客体标识和结果等审计，并生成详实的审计报表。入侵防范：对重要的服务器，如前置服务器等进行入侵检测，各类操作系统遵循最小安装的原则，仅安装需要的

7、组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。恶意代码防范：安装杀毒软件，并定期升级特征库，有效防范恶意代码。资源控制：对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况，限制单个用户对系统资源的最大或最小使用限度，并到达下限进行实时报警。n应用安全要求13在应用安全层面，需要进行多方面的安全措施进行综合防御，满足应用安全需求，符合《信息安全技术信息系统安全等级保护基本要求》第三级的要求。接入区数据采集业务应用系统需实现用户身份鉴别，认证方式可以选择采用动态验证码或数字证书方式，对各类应用的访问进行细粒度的访问控制

8、，并授予不