1、 毕节市公安局 公安网边界接入平台 （ 部门间 信息 共享平台 、视频接入链路） 建 设 方 案 上海辰锐信息科技公司 2013 年 10 月 I 目录 1 建设背景 . 4 2 业务需求 . 6 2.1 项目现状 . 6 2.2 共享平台需求 . 6 2.2.1 功能需求分析 . 6 2.2.2 性能需求分析 . 7 2.2.3 安全需求分析 . 8 2.2.4 管理需求分析 . 9 2.2.5 扩展需求分析 . 9 2.3 视频接入需求 . 9 2.3.1 功能需求分析 . 9 2.3.2 性能需求分析 10 2.3.3 安全需求分析 10 2.3.4 管理需求分析 11 2.3.5 扩展
2、需求分析 11 3 总体设计 12 3.1 设计目标 12 3.2 设计思想 12 3.3 设计依据 12 3.4 总体架构设计 13 3.4.1 安全体系 13 3.4.2 体系结构 14 3.5 监测与管理区设计 18 3.5.1 探针及监管功能设计 18 3.5.2 级联监控管理设计 19 4 总体方案 20 5 功能设计 22 5.1 共享平台功能设计 22 5.1.1 查询比对类 22 5.1.2 数据交换类 22 5.1.3 Web 访问类 24 5.2 视频接入功能设计 24 6 安全设计 26 6.1 共享平台安全设计 26 6.1.1 查询比对类 26 6.1.2 数据交换类
3、 27 6.1.3 Web 访问类 27 6.2 视频接入安全设计 28 6.2.1 数据接收 28 6.2.2 数据检查 29 6.2.3 数据传输 29 II 6.2.4 数据转发 29 6.2.5 授权访问 30 7 管理设计 31 7.1 监管功能 31 7.2 级联功能 33 8 设备介绍 34 8.1 可信边界安全网关 34 8.2 网络数据交换 35 8.3 视频安全接入系统 35 8.4 集中监控与审计系统 37 9 共享平台功能 38 9.1 共享平台架构 38 9.2 内、外网门户网站 40 9.2.1 单点登陆 40 9.2.2 统一用户管理 40 9.2.3 页面定制
4、40 9.2.4 信息公告 41 9.2.5 应用导航 41 9.2.6 应用统计 41 9.3 内、外网应用服务系统 42 9.3.1 可视化业务配置器 42 9.3.2 标准的 Web 服务接口 . 42 9.3.3 信息查询 42 9.3.4 数据核查 43 9.3.5 数据比对 43 9.3.6 数据上传下载 43 9.3.7 共享痕迹留存 43 9.3.8 数据权限控制 44 9.3.9 服务门户定制 44 9.3.10 监控与管理 44 9.4 数据采集系统 45 9.5 数据集成系统 46 9.6 平台管理监控系统 48 9.6.1 注册管理 48 9.6.2 用户管理 48 9
5、.6.3 监控与审计 48 9.6.4 查询统计 50 9.7 扩展功能设计 50 10 共享平台数据处理设计 52 10.1 数据库设计 52 10.2 数据标准管理 52 10.3 数据处理过程 53 10.4 数据采集 54 10.4.1 数据采集方式 54 III 10.4.2 数据采集流程 55 10.5 数据信息整合 55 10.6 数据信息共享 56 11 共享平台运行环境 57 11.1.1 软件环境设计 57 11.1.2 硬件环境设计 57 4 1 建设背景 随着 贵州省毕节市公安局 公安信息化建设的不断深入开展， 公安机关 对外交换和共享信息的接入业务需求日益强烈。结合自
6、身公安信息化建设现状和发展需要，减少重复投资，建设 贵州省毕节市公安局部门间共享平台 （以下简称“ 共享平台 ”），满足 公安 机关 通过公安信息通信网开展对外数据交换、 查询比对、 Web 访问 等工作需要 。通过共享平台的建设为部门间信息共享 等业务提供集中的安全运行基础设施，实现对接入业务的注册、监控与审计等安全管理，保障共享平台与公安信息通信网的安全。 共享平台是金盾工程二期重点建设的“三大平台”之一， 公安部关于稳步开展公安信息资源共享服务工作的通知（公信通2007187 号）及关于“部门间信息共享与服务平台”建设应用的指导意见（公科信 201219 号）的要求 ， 共享平台的核心功
7、能主要包括两个方面：一是方便可靠地获取外部信息，将其它政府部门、社会单位向公安机关提供的信息传输到共享平台上，并 根据公安业务应用的需要将相关信息转送到公安信息网内加以综合应用； 二是安全可控地对外提供信息服务，将需要对外共享的信息从公安信息网内抽取同步到共享平台上，以应用接口、 web 访问、数据交换等方式对外提供信息共享服务。共享平台应严格按照公安信息通信网边界接入平台安全规范 (试行 )的要求进行网络互连和安全运行。 同时 毕节市 公安机关可利用的视频监控资源越来越多，但出于安全和应用方面的考虑， 外网及社会专网视频资源没有接入公安内网，由此造成使用上的不便和资源的浪费。 现在毕节市公安
8、局 为实现“资源共享、互联互控”、“视频监管一网控”， 需 依据公安部公安信息5 通信网边界接入平台安全规范（试行） -视频接入部分建设 视频接入链路。通过该链路的建设满足 外部视频资源与公安网视频资源有机联网、整合共享，并且有效管理、灵活调用 ，同时满足下列需 求： 实时观看外网视频监控探头信息、实现对外网视频监控探头的控制、 对视频接入业务进行集中监控、管理与审计。 本方案中术语和定义与 公安信息通信网 边界接入平台安全规范（简称安全规范） 、 关于稳步开展公安信息资源共享服务工作的通知（公信通 2007187 号） 、 关于“部门间信息共享与服务平台”建设应用的指导意见（公科信 2012
9、19 号） 、公安信息通信网边界接入平台安全规范（试行） -视频接入部分 一致 。 6 2 业务 需求 2.1 项目现状 为了满足 社会面 与公安信息通信网进行 信息采集与交换 的业务需求。 贵州省毕节市公安局 已经建设了边界接入平台中的社会企事业接入链路、党政军机关接入链路、公安驻地外接入链路，该边界接入平台 解决了公安 边界接入业务的部分业务需求， 取得了良好效益，发挥了重要作用。 随着 毕节市公安局 信息化建设的发展，现需要建设 贵州省毕节市公安局 部门间共享平台 以及视频接入链路 ，主要增加公安 机关及直属单位对外数据交换、 查询比对 、 Web 访问 业务 ， 以及 外网视频资源安全
10、接入公安内网， 以满足日益增长业务需求 。 2.2 共享平台 需求 2.2.1 功能需求分析 贵州省毕节市公安局 共享平台 主要需要对党政军部门和 经批准的 党政军 用户 等 接入对象提供查询比对、数据交换和 Web 访问等功能。 上述 接入对象采用专线安全线路方式与 贵州省毕节市公安局 共享平台 进行链接，在接入链路上不采用其他非安全的接入链路方式（如无线、互联网链路等），从链路层面保障 共享平台 的安全性。 查询比对功能通过数据交换方式实现其他部门、机构等对共享平台内的公安信息资源进行安全查询及比对功能，及时返回查询比对结果，并同时支持单条和批量的查询比对业务。 7 数据交换功能通过数据交
11、换方式采集其他部门、机构的批量数据；通过数据交换向其他部门、机构提供批量数据。数据交换支持的数据类型包括：结构化数据库数据、非结构化数据（以文件型为主）等。 Web 访问功能指的是 经批准的 党政军 用户 通过政法数字证书，以授权 访问方式 访问共享平台内对外开放的 Web 网站（页）等。 2.2.2 性能需求分析 毕节市公安局 共享平台 性能需求主要体现在数据流量、关键设备性能和平台整体性能等方面，在满足性能要求的同时，具备一定的容量扩展性。 数据流量： 其中查询比对类业务服务总流量要求为 1000 笔 /秒，数据交换类业务预计业务流量为 400Mbps， Web 访问类业务预计业务流量为
12、400Mbps。 关键设备性能： 关键性安全设备在整个 共享平台 中发挥着重要的安全重用，其中查询比对类业务具有数据包小、并发大、延时低的特点，同时考虑突发大并发情况，关键安全设备的并发连 接数应达到40 万以上，最大并发连接数应大于 50 万。 平台整体性能需保障平台基本性能及以后的扩展性，平台所有链路，尤其是数据交换链路需采用双千兆带宽，关键设备均采用千兆级以上设备。确保数据交换链路上的数据交换系统及网闸在不影响传输性能和数据传输质量的前提下，在支持多个接入业务的同时进行数据交换。 8 毕节市公安局 共享平台 在业务峰值时段，各设备的 CPU、内存利用率低于 70%。 共享平台 在满足数据
13、量、并发连接数和链路带宽等要求的同时不影响平台整体传输性能和数据传输质量，并预留一定的扩展性。同时， 共享平台 需要确保接入业 务的可靠性和稳定性，在紧急状态下，应具备一定处突及部分应用优先处理的能力。 2.2.3 安全需求分析 安全需求主要体现在接入终端安全需求、服务器安全需求、网络安全需求、应用安全需求和数据安全需求等方面。 接入终端安全：对查询比对类、数据交换类业务的接入终端进行备案登记，支持对接入终端进行安全状况检测，防止安全不达标的终端设备接入。在 Web 访问类接入终端上安装终端安全监控和“一机两用”客户端，对接入终端的外设、进程等加强安全管理以及对接入终端的违规外联加强安全监测。
14、 服务器安全：为确保 共享平台 内重要服务器自身的强壮性和安全性，对这些服务器都进行必要的安全加固或安全加强。 网络安全： 共享平台 在网络层划分不同的安全域，不同安全域间具有明显的边界，采用必要的安全隔离设备，对接入平台与公安信息通信网之间进行安全隔离。可采用 VPN 方式对数据或链路进行加密以对信息安全有特殊需求的信息传输进行安全保障。同时， 共享平台应对平台内应用服务进行网络级访问控制，并对病毒木马、黑客入侵、抗 DDoS 攻击、漏洞扫描、异常流量等网络安全威胁具有监测和防护能力。 9 2.2.4 管理需求分析 贵州省毕节市公安局 共享平台 是个复杂的安全系统，为了更好的发挥平台作用，保
15、护公安网内资源安全，满足对 共享平台 的运行维护，需对 共享 平台进行有效的管理。 根据 共享 平台 运行管理要求， 依据“统一接入管理、统一运行监控、统一安全审计、统一策略部署”的原则 。 对 共享 平台所有传输信息实现集中安全监测和审计，对各类异常报警信息进行分析 。 对 共享 平台中的各类安全事件进行及时发现和定位，控制并消除各类安全威胁和隐患 。 对 共享 平台进行集中监控和审计管理，实现注册审核、平台运行、设备维护、报警处置、审计分析、数据通报等一系列管理功能，提供监控平台整体运行状况 服务。 2.2.5 扩展需求分析 共享 平台是一个复杂的系统，接入业务是个逐步接入的过程。 共享
16、平台方案需具备可扩展性。在满足基本要求的前提下，主要满足平台在性能、功能、业务数、应用种类及存储等方面的扩展和延伸。 2.3 视频接入 需求 2.3.1 功能需求分析 毕节市公安局公安信息通信网视频接入业务主要是实现公安外网视频资源经视频接入链路 安全可靠 接入公安内网，实现从公安内网授权访问外网视频资源。该类业务具有以下特点： 10 实时监控：公安内网用户实时浏览外部视频信息； 探头控制：内网终端可操控外部的探头，使探头上下左右移动，前后调节，以观察不同范围； 视频调阅：公安用户调阅外部视频服务器上的存储的历史视频信息。 2.3.2 性能需求分析 视频接入 链路 在性能上必须满足 毕节市公安
17、局 视频 接入业务 的接入要求，主要体现在 链路带宽、同时在线的用户数、业务数和网络吞吐量等方面。 2.3.3 安全需求分析 视频信息接入在外部与公安内网进行信息传输的同时，将面临许多安全问题，如原来利用外网发动攻击的黑客也有可能通过伪装视频流方式传输蠕虫、木马等病 毒，进而攻击内网；一些用户试图通过接入通道访问非授权资源；内网中 某些 中病毒的计算机，可能将内部人口及治安等重要且敏感信息泄露出去，进而直接影响公安工作的正常开展。 为此，视频接入链路通过采用视频安全接入系统，针 对视频码流和视频信令的不同特性，在安全性上采用不同的策略 ， 实现视频控制信令双向传输，视频数据单向传输， 为视频接
18、入提供了一条安全、高效的接入通道，保证了视频信息安全、可靠地传输。 11 2.3.4 管理需求分析 根据 公安网视频安全接入 的运行管理要求，提供对 视频接入 应用和运行情况的监测、审计和管理 ，实现外网视频资源安全可靠的采集进入公安内网。 2.3.5 扩展需求分析 视频接入链路 是个逐步接入的过程 ，需具备可扩展性。主要需满足链路 在性能、功能、业务数、应用种类等各方面的扩展和延伸。 12 3 总体设计 3.1 设计目标 针对 共享 平台各类业务 与视频接入 需求， 设计一个技术先进、安全可靠、切实可行、管理方便的安全技术方案 。建设 贵州省毕节市公安局 共享平台 与视频接入链路，保障公安网
19、的保密性、完整性和可用性， 接入业务的可管理性、可控性；保障 视频资源的有机联网、整合共享、 有效管理、灵活调用 ； 保障边界接入公安网的安全，以及相关网络和信息资源的安全 ； 同时 保障 边界接入工作的高效稳定运行， 解决和提高公安业务工作、信息共享、 服务的能力和水平。 3.2 设计思想 根据实际情况，充分认识到安全在边界接入中的重要性，正确处理发展与安全的关系，综合平衡成本与效益，建立安全、可靠、实用的 贵州省毕节市公安局 部门间信息 共享平台 和视频安全接入链路 。 3.3 设计依据 本方案依据以下文件或规范设计： 关于印发 的通知（公信通 2007191 号） ； 关于稳步开展公安信
20、息资源共享服务工作的通知（公信通2007189 号） ； 关于做好社区和农村警务室接入公安信息网安全工作的通知（公信通 200715 号） ； 13 关于进一步加强 公安信息通信网日常安全管理工作机制建设的通知（公信通传发 2008109 号） ； 关于公安信息通信网边界接入平台建设有关问题的通知（公信通传发 2008296 号） ； 关于“部门间信息共享与服务平台”建设应用的指导意见（公科信 201219 号） ； 公安信息通信网边界接入平台安全规范（试行） -视频接入部分 。 3.4 总体架构设计 共享平台 与视频接入链路 依据安全规范，主要基于三重防护体系、两个基础设施的安全体系，构建路
21、由接入区、边界保护区、安全隔离区、安全监测与管理区等五个不同的安全区域，构成分区域、分层次的纵深安全防御体系。 3.4.1 安全体系 接入平台安全体系设计由三重防护体系设计、两个基础设施设计构成。 公安 PKI / PMI基础设施安全监测与管理基础设施链路与网络通信安全应用区域边界安全应用环境安全14 图 3-1 接入平台安全体系图 三重防护体系设计：即应用环境安全设计、应用区域边界安全设计和网络通信安全设计。 应用环境安全设计：即确保终端和用户来源可信、可监控设计，操作系统安全加固设计，关键应用程序安全设计。 应用区域边界安全设计：主要涉及网络及应用系统边界安全方面，通过身份认证、访问控制技
22、术，确保对应用系统的访问是通过细粒度控制下的合法访问者。 链路与网络通信安全设计：主要涉及链路及网络安全方面，采用数据机密性与完整性保护技术，建立端到端传输的安全机制。 两个基础设施设计：即公安 PKI/PMI 基础设施，安全监测与管理基础设施。 公安 PKI/PMI 基础设施设计：实施公安数字身份证书的产生、管理、存储、分发和撤销等 功能，是实现接入平台身份认证、授权管理、访问控制策略等安全机制的基础。 安全监测与管理基础设施设计：实现整个平台的安全监测、管理与运行维护。 3.4.2 体系结构 3.4.2.1 共享平台 体系结构 根据需求分析及公安部相关规范的要求， 贵州省毕节市公安局 共享
23、平台 在体系结构设计上由路由接入区、边界保护区 、应用服务区、安全隔离区、安全监测与管理区等五部分组成，如下图： 15 图 3-2 边界接入平台体系结构图 3.4.2.1.1 路由接入区 该区域实现各个外部链路与接入平台间连接。 该区域主要安全功能为：实现路由访问控制，将来自不同接入对象或不同外部链路的数据流按照接入平台的安全策略加以区分。 3.4.2.1.2 边界保护区 该区域主要实现对接入平台的边界保护。 该区域主要安全功能为：实现网络级身份认证、访问控制和权限管理，数据机密性和完整性保护，防御网络攻击和嗅探。 3.4.2.1.3 应用服务区 该区域主要处理各类与应用相关的操作，是公安网对
24、外信息发布、信息采集、数据交换的中间区域。 该区域主要安全功能为：作为外部终端网络连接的终点，实现应用级身份认证、访问控制、应用代理、数据暂存等功能，防止对公安16 网的非法访问和信息泄露 。对此区域，应加强对服务器等设备的安全保护，应具有病毒、木马防护功能，防止病毒传播与非法控制。 3.4.2.1.4 安全隔离区 该区域实现公安网与应用服务区的安全隔离与信息交换。 该区域主要安全功能为：实现公安网与应用服务区的安全网络隔离，根据安全策略，对出入公安网的数据分别进行协议剥离、格式检查和过滤，实现公安网和应用服务区之间的安全数据交换，保障公安网的安全。 3.4.2.1.5 安全监测与管理区 该区
25、域实现整个接入平台的安全监测、管理与维护。 该区域主要安全功能为：对接入 平台运行情况进行安全监测与审计，对接入平台及业务信息 进行注册管理、各种 安全策略管理、流量监测、统计分析、安全审计等；对接入平台内网络设备、安全设备进行配置管理及日常运行维护， 补丁升级、漏洞扫描与病毒防范。 3.4.2.2 视频接入 体系结构 根据视频安全接入的业务需求及公安部相关规范的要求，视频安全接入链路在体系结构上由路由接入区、边界保护区、应用服务区、安全隔离区、安全监测与管理区等五部分组成。如图所示： 17 接 入 对 象视频监控系统专 线路 由 接入 区边 界保 护区应 用 服务 区安 全 监 测 与 管
26、理 区公 安视 频终 端公 安P K I / P M I系 统外 部 接 入 链 路边 界 接 入 平 台 视 频 接 入 链 路公 安 信 息 通 信 网安 全 隔离 区安 全隔 离设 备视 频 用户 认 证服 务 器视 频 控 制信 令 和 数 据视 频 控 制信 令 和 数 据视 频 控 制信 令 和 数 据视 频 数 据视 频 控 制信 令视 频 控 制信 令 和 数 据视 频 接入 认 证服 务 器视 频 控 制信 令 和 数 据图 3-3 视频 接入 链路 体系结构图 3.4.2.2.1 路由接入区 该区域实现各个外部接入链路与视频安全接入链路前端设备的连接。 该区域主要安全功能为
27、：实现路由访问控制，将来自不同接入对象或不同外部链路的数据流按照相关安全策略加以区分。 3.4.2.2.2 边界保护区 该区域主要实现对边界接入平台视频安全接入链路的边界保护。 该区域主要安全功能为：实现网络级身份认证、访问控制和权限管理，数据机密性和完整性保护，防御网络攻击和嗅探。 3.4.2.2.3 应用服务区 该区域主要处理各类与应用相关的操作，是公安信息通信网对外信息发布、信息采集、数据交换的中间区域。 该区域主要安全功能为：作为外部终端网络连接的终点，实现应用级身份认证、访问控制、应用代理、数据暂存等功能，防止对公安18 信息通信网的非法访问和信息泄露。对此区域，应加强对服务器等设备
28、的安全保护，应具有病毒、木马防护功能，防止病毒传播与非法控制。 3.4.2.2.4 安全隔离区 该区域实现公安信息通信网与应用服务区的安全隔离与信息交换。 该区域主要安全功能为：实现公安信息通信网与应用服务区的安全网络隔离，根据安全策略，对出入公安信息通信网的数据分别进行协议剥离、格式检查和过滤，实现公安信息通信网和应用服务区之间的安全数据交换，保障公安信息通信网的安全。 3.4.2.2.5 安全监测与管理区 该区域实现整个 视频安全接入链路的安全监测、管理与维护。 该区域主要安全功能为 ：对视频接入链路的运行情况进行安全监测与审计，对接入平台 及业务信息 进行注册管理、各种安全策略管理、流量
29、监测、统计分析、安全审计等；对视频接入链路内网络设备、安全设备进行配置管理及日常运行维护， 补丁升级、漏洞扫描与病毒防范。该区域对视频安全接入链路运行安全监测与审计的功能统一由“集中监” 控管理与审计系统 实现。 3.5 监测与管理区设计 3.5.1 探针及监管功能设计 贵州省毕节市公安局 共享平台 与视频接入链路 的监测与管理区域主要实现对本级平台整体运行状况的集中监管、安全审计、注册管理与级联监控等功能。 19 3.5.2 级联监控管理设计 按安全规 范要求，需对 共享 平台 与视频接入链路 进行级联监控。通过部、省、市三级平台级联监控体系提供各 边界 接入平台的运行维护情况、日常业务流量
30、、安全状况等动态信息，为深入分析接入平台及业务运行状态与安全趋势提供依据。 依据级联的统一规范和接口，在部、省、市三级 边界 接入平台间逐步开展和实现主动双向式监管。上级边界接入平台可通过监控级联接口，主动监测下级边界接入平台中各关键节点的各种详细基础数据。同时，部、省、市三级单位关于接入平台业务管理流程也通过此监控接口来实现双向的信息交互等。 20 4 总体方案 结合项目需求， 本项目主要需建设 毕节市公安局 部门间信息共享平台与视频安全接入链路 。其中部门间共享平台建设在已经建设的党政军机关接入链路上，实现党政军机关各部门与公安网的信息共享；视频接入链路建设实现外网视频资源安全可靠地采集进
31、入公安网。 具体方案网络拓扑图如下： 毕 节 市 局 边 界 接 入 平 台 与 部 门 间 信 息 共 享 平 台 总 体 方 案 图终 端 接 入 区边 界 保 护 区路 由 接 入 区 应 用 接 入 区 安 全 隔 离 区 公 安 内 网认 证 与 隔 离 系 统业 务前 置 机探 针数 据 交 换 系 统V P D N / 专 线社 会 企 / 事 业接 入 终 端防 火 墙T B S G - T H认 证 与 隔 离 系 统业 务前 置 机探 针数 据 交 换 系 统I P S认 证 与 隔 离 系 统V P D N / 专 线公 安 驻 地 外接 入 终 端防 火 墙T B S
32、G - G A公 安 内 网应 用 服 务 器I D S部 门 间 信 息 共 享 平 台共 享 平 台门 户 服 务 器应 用 服务 器数 据 采 集系 统平 台 管 理系 统共 享 信 息数 据 库C A服 务 器防 病 毒服 务 器公 安 内 网数 据 库视 频 安 全 接 入 系 统视 频 接 入认 证 服 务 器视 频 用 户认 证 服 务 器探 针内 网 视 频管 理 平 台集 中 监 控与 审 计 系 统 - 监 管 子 系 统集 中 监 控与 审 计 系 统 - 级 联 子 系 统集 中 监 控 与 审 计公 安 网客 户 端防 火 墙T B S G - G AI P S防 毒
33、 墙公 安 内 网门 户 服 务 器数 据 集 成系 统专 线W E B 访 问 业 务抗 D D O S数 据 交 换 业 务查 询 比 对 业 务外 网 视 频管 理 平 台防 火 墙公 安 内 网应 用 服 务 系 统图 4-1 总体方案图 21 如图 4-1，从逻辑上，将边界接入平台划分三大区域：终端接入区、边界平台区和公安网。其中边界平台区又划分为路由接入区、边界保护区、应用服务区、安全隔离区和安全监管区。 社会企 /事业单位终端采用 VPDN 链路，经可信边界安全网关(TBSG)，将数据报送给社会企 /事业接入的前置服务器，然后经数据交换系统将信息交换到公安网。需要对外发布数据通过
34、数据交换系统交换到平台区域，再通过 TBSG 交换到外网以提供外网服务。 党 /政 /军机关终端通过专线经 TBSG、数据交换系统等安全设备与公安网实现授权访问和数据交 换业务。 公安机关驻地外终端通过 VPDN/专线经 TBSG 与公安网进行通信，实现授权访问业务。 外网视频数据通过专线经视频安全接入系统单向传输进入公安网，实现信令双向传输，视频单向传输。 共享平台 建设在党政军机关接入链路上， 提供查询比对、数据交换和 Web 访问三类业务应用的安全支撑，每类业务根据不同的接入模式和安全需求提供不同安全防护措施。 22 5 功能 设计 5.1 共享平台 功能设计 5.1.1 查询比对类 通
35、过查询比对接入链路，向党政军用户提供对共享平台内公安信息资源的安全查询和比对功能，并及时返回查询比对结果，支持单条和批量比对业务。 查询比对类接入链路系统功能如下： 查询比对的数据经防火墙、 可信边界安全网关 、交换机等到共享平台区域，经 共享平台内的应用服务处理后，将查询比对结果交换、反馈给终端用户； 部署在共享平台内的防病毒服务器安装网络版防病毒软件，对共享平台内的服务器和客户端提供病毒查杀和防护等； 接入链路的路由接入区、边界保护区、 应用 服务区 及安全隔离区 的运行状态、设备状态、链路状态、关键安全设备运行信息等通过探针实现抓取，并报送给 公安网中 的集中监控与审计系统。 5.1.2
36、 数据交换类 数据交换类主要实现党政军 用户 需要与 共享平台 进行双向批量安全交换数据，数据类型支持结构化数据库数据和 非结构化的以 文 件型为主的数据， 以支撑业务的开展。 23 由于信息来源的多样性，决定了采集来的信息的多样性，即有数据库记录方式的，又有文件方式的。同时，目的端对数据的要求也是多样的。因此实现数据交换的系统即要满足简单的数据库和文件同步外，还需支撑较为复杂的数据交换功能。具备以下功能： 支持多种数据 库交换模式，支持多数据库同步方式选择。包括全表同步、增量同步、列同步等； 文件交换方式包括文件夹新增同步、文件夹镜像同步、文件完全同步、文件同步后源端删除、文件同步后源端备份
37、、双向文件同步等多种模式； 数据同步 过滤功能，数据库双向交换，源与目标的同表双向同步； 支持数据分发，支持源数据库和源文件分发到不同的目标数据 库或文件夹，支持文件与 文件、文件与数据库、数据库之间的分发，并可设置分发条件； 支持同构数据库同步交换，异构数据库同步交换； 支持一对一、一对多、多对一等多种数据传输方式：如一份文本文件同时向文件 服务器和数据库服务器发送； 实现数据交换业务的多种调度策略：支持交换业务多级优先权调度；事件触发、时间触发、消息触发；定时、实时、轮询等； 提供数据可靠传输机制：发生网络阻塞，链路故障等时 保障数据交换可靠传输； 24 数据传输完整性保证：发生网络阻塞
38、/异常，链路故障等时保障交换数据的完整性； 方便、直观的管理、审计功能，支持故障报警和业务管控功能。 5.1.3 Web 访问类 该链路主要实现经批准的外部用户安全接入到共享平台，访问相关资源的功能。其功能的实现步骤为： 经批准的外部用户使用其数字身份证书启动 TBSG 客户端，通过专线链路，经防火墙访问 TBSG 服务器； TBSG 设备经接入终端设备认证、身份证书认证、 CRL 列表验证成功后与 TBSG 服务器建立链路通道； 链路建立后， TBSG 对用户访问权限进行验证，为用户分配共享平台资源访问权限； 经批准的外部用户就可以在授权访问内进行资源的访问，如同在共享平台访问业务一样的使用
39、资源。 5.2 视频接入 功能设计 视频 安全 接入 链路 拓扑如下： 25 终 端 接 入 区边 界 保 护 区路 由 接 入 区应 用 接 入 区 安 全 隔 离 区 公 安 内 网专 线外 网 视 频管 理 平 台防 火 墙视 频 安 全 接 入 系 统视 频 接 入认 证 服 务 器视 频 用 户认 证 服 务 器探 针内 网 视 频管 理 平 台集 中 监 控与 审 计 系 统 - 监 管 子 系 统集 中 监 控与 审 计 系 统 - 级 联 子 系 统集 中 监 控 与 审 计公 安 网客 户 端图 5-1 视频接入链路网络拓扑图 视频接入 链路 实现将外网视频资源单向传输进入公
40、安网，在公安内网访问相关视频资源的功能。其功能实现步骤如下： 管理员将需要接入的视频服务器设备注册到接入平台； 管理员将需要访问视频资源的用户注册到接入平台； 公安干警使用其公安数字身份证书，视频用户认证服务器对用户身份证书认证、 CRL 列表验证成功后，在客户端和视频用户认证服务器服务器之间建立通道； 启动视频监控客户端，访问视频中心管理服务器； 公安干警就可以访问经过视频接入平台授权的外部视频资源，访问方式就如同在公安网访问视频资源业务一样的使用其他视频资源。 26 6 安全 设计 6.1 共享平台 安全设计 6.1.1 查询比对 类 查询比对类接入链路的安全隔离区采用专用安全数据交换系统
41、实现数据安全交换功能。该系统采用安全加固操作系统保障本身系统的安全性，同时，安全数据交换系统外侧的数据交换服务器 进行安全加固 进一步加强其系统及应用环境安全；安全数据交换系统实现数据安全同步 、格式过滤、内容过滤和审计、流量管理及链路区分等功能。 该链路的防火墙除了进行网络级防护外，对外部接入终端进行备案登记，终端 MAC 地址与 IP 绑定，并对终端的运行状况进行检测，以避免不安全的设备接入。 该链路上入侵防御系统（ IPS）对外部终端 可能存在的入侵行为进行 检测、拦截，主动抵制入侵行为，同时 通过安全数据交换系统的隔离交换功能（经网闸进行摆渡式交互），确保公安信息通信网在该链路上不存在
42、非法入侵点，并实现公安信息通信网与其他非信任网络的安全隔离。 接入终端安全：接入终端用户采用专线或 VPDN 方式接入到平台边界点，在物理上与其他网络进行隔离，在物理通道上保障信息传输的隔离性和安全性。并通过防火墙实现终端备案登记、 MAC 与 IP绑定，并对接入终端安全状况进行检查，使不达标的设备无法接入。 网络安全：在该链路上部署 抗 DDOS、 防火墙、 IPS 等安全设备 ，对病毒木马、黑客入侵、 DDOS 攻击、异常流量等安全威胁进行监测和防护，实现对应用服务的网络层访问控制。采用安全隔离设备（安27 全数据交换系统间部署的隔离设备），实现接入平台与公安信息通信网之间的安全隔离。 应
43、用安全：专用安全设备安全数据交换系统通过配置接入 IP、账号 /用户名、密码等，实现应用级访问的控制，与链路其他安全设备一同形成立体的系统防护体系，防止非授权访问。 数据安全：通过加密传输 （需要共享平台应用系统支持） 、病毒防护、数据格式检查、内容过滤等方式保障该链路数据传输过程中的安全性。共享平台与公安信息通 网间的数据传输通过安全数据交换系统实现，保障数据安全，并通过平台的监测和审计系统，防止平台重要数据被泄露。 6.1.2 数据交换类 数据交换类接入链路采用 和 查询比对类接入链路 基本 相同的安全防范措施 。 6.1.3 Web 访问类 Web 访问类的接入用户通过硬件身份证书，在终
44、端启动可信边界安全网关（ TBSG）客户端与 TBSG 服务端建立基于 SSL/TLS 的加密传输信道，保障信息在终端与边界间传输的安全性；经过 TBSG 服务端的数据经防毒墙访问共享平台内的应用系统，防毒墙实时在线查杀病毒，保障数据传输安全和共享平台安全。 可信边界安全网关采用 单向主动服务方式，确保符合安全要求的外网访问终端可访问共享平台已授权服务，而共享平台不可访问外部应用，实现应用层面的共享平台与其他非信任网络的安全隔离，确保28 共享平台内部重要信息系统不会出现数据泄露，防止该链路边界接入点的非法入侵行为。 接入终端安全：接入终端用户采用专线方式接入到平台边界点，在物理上与其他网络进
45、行隔离，在物理通道上保障信息传输的隔离性和安全性。并通过防火墙实现终端备案登记、 MAC 与 IP 绑 定，并对接入终端安全状况进行检查，使不达标的设备无法接入。同时 TBSG客户端 与 TBSG 服务器配合可实现终端设备认证、 进程控制、多网阻断等安全功能，保障终端环境安全。 网络安全：在该链路上部署防火墙、可信边界安全网关、防毒墙、IPS 等安全设备，对病毒木马、黑客入侵、异常流量等安全威胁进行监测和防护，实现对应用服务的网络层访问控制。接入终端与边界间数据传输采用基于 SSL/TLS 协议传输，对链路进行加密。 应用安全：可信边界安全网关提供基于证书的应用级授权访问控制，防止非法访问。可
46、依据用户类别和应用（资源）进行基于角色权限资源的严格控制。 6.2 视频接入 安全设计 6.2.1 数据接收 在保障视频数据接收应用正常运行的前提下，数据接收需实现以下安全功能，以实现接入设备可靠、信息来源可信： 主动访问：由视频接入认证服务器主动访问视频源，关闭视频接入认证服务器对外所有的服务端口，屏蔽外网网络层面的各类攻击。 设备认证：所有的接入设备需进行设备注册，确认接入设备的合法性，屏蔽对未注册的、非法设备数据的接收。 29 6.2.2 数据检查 数据安全检查在功能上实现对接入的视频数据进行严格的安全检查，因此需实现以下功能： 数据源检查：保证数据源的合法性，防止非法数据进来； 格式检查：以保障视频数据格式的正确，去除无用的 “脏数据”； 协议检查：保证视频应用协议的合法性； 木马 /病毒防护：保障视频数据中不含非法的木马 /病毒，保障平台与内网安全。 6.2.3 数据传输 数据传输除了在功能上实现视频信息传输外，在安全上需实现以下功能： 数据的格式检查，以保障视频数据格式的正确； 木马 /病毒防护，保障视频数据中不含非法的木马 /病毒，保障平台与内网安全。 6.2.4 数据转发 数据源检查，保证数据源的合法性，防止非法数据进来； 格式检查，以保障视频数据格式的正确，去除无用的“脏数据”； 协议检查，保证应用协议数据包的合法性； 敏感信息检查，防止内外敏感数据 外泄。
