在滿足等保2.0的基礎(chǔ)上，參照《T/CIIA005-2019政務(wù)網(wǎng)絡(luò)安全監(jiān)測(cè)平臺(tái)總體技術(shù)要求》等相關(guān)行業(yè)、團(tuán)體標(biāo)準(zhǔn)進(jìn)行設(shè)計(jì)，結(jié)合寸草心網(wǎng)盾在政務(wù)網(wǎng)絡(luò)的多年實(shí)踐，保障政務(wù)外網(wǎng)基礎(chǔ)設(shè)施、政務(wù)云等關(guān)鍵節(jié)點(diǎn)、關(guān)鍵數(shù)據(jù)的安全，為“智慧政務(wù)”賦能。

安全通信網(wǎng)絡(luò)設(shè)計(jì)要點(diǎn)

l在網(wǎng)絡(luò)邊界部署負(fù)載均衡，優(yōu)化出入站路徑，實(shí)現(xiàn)互聯(lián)網(wǎng)帶寬資源的豐富利用；

l部署上網(wǎng)行為管理，實(shí)現(xiàn)對(duì)政務(wù)人員上網(wǎng)行為的有效監(jiān)控，對(duì)違規(guī)行為進(jìn)行及時(shí)發(fā)現(xiàn)和阻斷；

l部署異常流量管理與抗拒絕服務(wù)攻擊系統(tǒng)，準(zhǔn)確檢測(cè)出來(lái)自外部網(wǎng)絡(luò)的各種混合復(fù)雜的DDoS攻擊，并在不影響正常業(yè)務(wù)流量情況下對(duì)潛在攻擊識(shí)別、實(shí)時(shí)阻斷，保障業(yè)務(wù)連續(xù)性；

l關(guān)鍵鏈路設(shè)備雙機(jī)部署，保證業(yè)務(wù)高可用。

安全區(qū)域邊界設(shè)計(jì)要點(diǎn)

l在互聯(lián)網(wǎng)出入口部署防火墻，確保所有跨越邊界的訪問(wèn)和所有流入、流出的數(shù)據(jù)均通過(guò)其受控接口進(jìn)行通信、接受安全檢查和處理；

l部署入侵防御系統(tǒng)，實(shí)時(shí)發(fā)現(xiàn)和阻止從外部網(wǎng)絡(luò)發(fā)起的網(wǎng)絡(luò)攻擊行為；

l部署防病毒網(wǎng)關(guān)，“雙殺毒引擎”確保對(duì)外部惡意代碼進(jìn)行有效檢測(cè)和阻斷，同時(shí)防止內(nèi)部惡意代碼通過(guò)互聯(lián)網(wǎng)出入口擴(kuò)散到互聯(lián)網(wǎng)中；

l部署網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)，對(duì)接入政務(wù)外網(wǎng)的設(shè)備進(jìn)行嚴(yán)格接入控制，確保只有合法人員通過(guò)合法終端才能使用政務(wù)外網(wǎng)中的資源；

l在核心網(wǎng)城域環(huán)上、政務(wù)云網(wǎng)絡(luò)中部署網(wǎng)絡(luò)審計(jì)、多合一探針、流量分析等檢測(cè)類設(shè)備，采集政務(wù)外網(wǎng)中的資產(chǎn)、漏洞、日志、流量等各類數(shù)據(jù)，為外網(wǎng)監(jiān)測(cè)、態(tài)勢(shì)分析和態(tài)勢(shì)預(yù)測(cè)打下數(shù)據(jù)基礎(chǔ)；

l在政務(wù)云的區(qū)域邊界，部署安全資源池，采用軟件定義安全架構(gòu)將安全功能進(jìn)行云化，形成安全能力快速交付的網(wǎng)元，為不同客戶不同業(yè)務(wù)提供按需、彈性的安全能力；

l在VPC內(nèi)虛擬機(jī)之間，通過(guò)分布式防火墻為每一個(gè)虛擬機(jī)跟外部網(wǎng)絡(luò)或內(nèi)部其它虛擬機(jī)之間的通信做到精細(xì)化微隔離，實(shí)現(xiàn)東西向的有效防護(hù)。

安全計(jì)算環(huán)境設(shè)計(jì)要點(diǎn)

l在終端、服務(wù)器和虛擬機(jī)上部署終端威脅防御系統(tǒng)，針對(duì)國(guó)產(chǎn)化、非國(guó)產(chǎn)化終端、服務(wù)器實(shí)現(xiàn)軟硬件資產(chǎn)管理、終端行為監(jiān)管、終端安全防護(hù)、非法接入控制、非法外聯(lián)監(jiān)控、補(bǔ)丁管理等功能，采用統(tǒng)一策略下發(fā)并強(qiáng)制策略執(zhí)行的機(jī)制，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)內(nèi)部終端系統(tǒng)的管理和維護(hù)；

l在終端上部署數(shù)據(jù)防泄漏，以內(nèi)容識(shí)別為核心，實(shí)現(xiàn)終端上重要政務(wù)數(shù)據(jù)的保護(hù)，確保數(shù)據(jù)合規(guī)使用，同時(shí)防止主動(dòng)或意外的數(shù)據(jù)泄漏。

l通過(guò)數(shù)據(jù)安全治理幫助政府?dāng)?shù)據(jù)管理機(jī)構(gòu)解決數(shù)據(jù)安全頂層設(shè)計(jì)及管理體系建設(shè)的問(wèn)題。在其組織架構(gòu)、管理規(guī)范、數(shù)據(jù)風(fēng)險(xiǎn)分析、數(shù)據(jù)安全策略模型等過(guò)程中生成的結(jié)果均可以作為數(shù)據(jù)安全保護(hù)建設(shè)的主要依據(jù)。

l在政務(wù)云中部署相應(yīng)的數(shù)據(jù)安全設(shè)備加強(qiáng)政務(wù)外網(wǎng)中政務(wù)數(shù)據(jù)的安全防護(hù)能力。通過(guò)數(shù)據(jù)保護(hù)（加密、脫敏）和數(shù)據(jù)泄漏防護(hù)（深度識(shí)別）保障政務(wù)數(shù)據(jù)安全。在此基礎(chǔ)上通過(guò)數(shù)據(jù)安全智能管控平臺(tái)，全面掌握用戶數(shù)據(jù)庫(kù)、存儲(chǔ)系統(tǒng)，從數(shù)據(jù)維度獲取數(shù)據(jù)資產(chǎn)情況，針對(duì)性的發(fā)現(xiàn)相關(guān)敏感數(shù)據(jù)，并對(duì)其進(jìn)行分類分級(jí)，從安全角度梳理數(shù)據(jù)資產(chǎn)，滿足符合行業(yè)法規(guī)的要求。

安全管理中心設(shè)計(jì)要點(diǎn)

l部署運(yùn)維安全管理系統(tǒng)，將所有IT組件的管理運(yùn)維端口，通過(guò)策略路由的方式，交由堡壘主機(jī)代理。實(shí)現(xiàn)運(yùn)維單點(diǎn)登錄，統(tǒng)一管理運(yùn)維賬號(hào)，管理運(yùn)維授權(quán)，并對(duì)運(yùn)維操作進(jìn)行審計(jì)記錄；

l部署漏洞掃描系統(tǒng)，對(duì)全網(wǎng)IT組件（主機(jī)操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、數(shù)據(jù)庫(kù)、中間件、應(yīng)用服務(wù)等）進(jìn)行脆弱性發(fā)掘，并生成檢查報(bào)告；

l部署日志審計(jì)系統(tǒng)，對(duì)資產(chǎn)日志的收集與處理。實(shí)現(xiàn)信息資產(chǎn)（網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)、應(yīng)用及數(shù)據(jù)庫(kù)）的日志獲取，并通過(guò)預(yù)置的解析規(guī)則實(shí)現(xiàn)日志的解析、過(guò)濾及聚合，以圖表的形勢(shì)展現(xiàn)在線服務(wù)的業(yè)務(wù)訪問(wèn)情況；

l部署態(tài)勢(shì)分析與安全運(yùn)營(yíng)系統(tǒng)，實(shí)現(xiàn)威脅分析、安全調(diào)查、分析建模等安全事件分析，實(shí)時(shí)監(jiān)測(cè)政務(wù)外網(wǎng)中的資產(chǎn)外聯(lián)、資產(chǎn)被攻擊、資產(chǎn)主動(dòng)發(fā)起攻擊、端口掃描、惡意IP違規(guī)內(nèi)聯(lián)資產(chǎn)、ICMP攻擊、DDoS攻擊等安全事件，同時(shí)從綜合態(tài)勢(shì)、威脅態(tài)勢(shì)、通報(bào)處置態(tài)勢(shì)、各單位態(tài)勢(shì)、重大事件應(yīng)急態(tài)勢(shì)等多個(gè)維度，針對(duì)不同角色的政務(wù)人員提供差異化的可視化態(tài)勢(shì)分析結(jié)果展示。