1、教育信息安全整体解决方案基于商用密码技术的单点登录、单一入口、统一日志、统一权限的教育信息安全整体解决方案华翔腾数码科技有限公司应用推广事业部文档编号STS2010103-FN-01版本号V0.1分册名称整体解决方案第1册/共1册总页数17正文15附录0编制张文安审批李号彩生效日期2010-10-19目录1. 问题分析 32. 方案概述 52.1. 内嵌模式 72.2. 外挂模式 72.3. 兼容模式 73. 教育信息安全服务平台 83.1. 教育信息安全服务平台服务器 83.2. 教育信息安全服务平台网关 94. 业务系统集成方案 114.1. 内嵌式业务系统 114.2. 外挂式业务系统
2、114.3. 兼容式业务系统 114.4. 客户端扩展产品 125. 平台部署方案 125.1. 基于教育局的部署 125.2. 基于学校的部署 135.3. 基于教育城域网的部署 136. 方案特色 146.1. 技术先进 146.2. 兼容良好 156.3. 性能强劲 156.4. 安全稳定 156.5. 服务周到 166.6. 合作共赢 167. 联系方式 171. 问题分析教育行业是应用计算机技术和网络技术的先锋，随着教育信息化的迅猛发展，教育局、教育服务部门、学校等不断增加基于 Internet/Intranet 的业务系统，如：电子政务系统、网上申报系统、网上审批系统、OA 系统、
3、考试系统、资源系统、电子图书系统、学籍管理系统等，一般都要求实现用户管理、身份认证、授权等必不可少的安全措施，分别从以下三个方面予以分析：1. 由于教育信息化经历了长达20年的建设过程，各业务系统技术不同、来源不同，针对相同的用户群，存在以下的问题：1)、 每个系统都有各自的身份认证系统和入口，造成了资源浪费；2)、 多个身份认证系统增加了系统管理成本，并增加出现信息安全事故的可能；3)、 用户需要记忆多个帐户和口令，使用极为不便，同时由于用户口令遗忘而导致的支持费用不断上涨；4)、 多个身份认证系统，使安全策略必须逐个在不同的系统内进行设置，因而造成修改策略的进度可能跟不上策略的变化；5)、
4、 多个日志，无法统一分析用户的应用行为；6)、 对新部署的业务系统缺少身份认证、权限管理和日志系统的接口标准；2. 现有的教育信息平台和业务系统，缺乏全面的信息安全保障，存在以下问题：1)、 信息采集过程，无法完全确定数据来源真实身份，可能遭遇黑客和破坏分子假冒提交，缺少签名的数据，无法进行错误跟踪和责任追究；2)、 信息交换和存储过程，可能出现偷窥、窃取和篡改；3)、 信息使用和业务行为，可能出现非法使用、错误操作和事后抵赖；3. 教育行业不断提高的信息安全需求和成本控制的矛盾是另一个不容忽视的问题。1)、 新技术不断涌现并使用，应用系统越来越复杂，隐蔽的安全漏洞可能更多，要求信息安全系统越
5、来越庞大；2)、 病毒制造者、网络黑客和情报间谍分子的技术也在不断提高，要求信息安全技术越来越先进；3)、 用户越来越依赖信息技术工作，一旦出现信息安全事故，将产生无法估量的损失，有必要建设一个信息安全保障体系。2. 方案概述本方案针对以上问题，以本公司信息安全产品“教育信息安全服务平台”为核心，整合用户单位现有业务系统，并根据用户需求选择搭载本公司的其他安全产品，实现“单点登录、单一入口、统一日志、统一权限”等功能，并实现全过程安全保障。本方案是针对教育行业信息安全需求日益发展的整体解决方案，图2-1教育信息安全发展趋势图描述了这一需求发展。本方案综合防病毒、防火墙、密码验证、访问控制、加密
6、、CA认证和商用密码等技术，在对教育行业信息系统现状进行全面安全评估的基础上提出，能提供全面的信息安全保障，能最大限度地提高性价比。图2-1教育信息安全发展趋势图本方案通过在管辖区部署2至3级系统，共享证书信息，实现上下联通，身份漫游等功能。在系统内部不同层级和不同区域，以唯一的身份认证进行不同的业务操作，如图2-2 三级系统结构：图2-2 三级系统结构本方案根据用户需求整合业务系统， “若干用户”+ “1个安全服务平台”+ “若干个业务系统”，称为业务集，业务集架构如图2-3所示：图2-3 业务集架构图满足各级教育局的整合称为“局端业务集”，满足各类学校的整合称为“校端业务集”，本方案的第5
7、部分将为用户提供不同的部署方案，业务系统通过“教育信息安全服务平台”合成的模式有如下三种：2.1. 内嵌模式将业务系统直接安装在“教育信息安全服务平台”上，共享平台的软硬件资源，这种业务系统运行模式称为“内嵌模式”，内嵌模式的业务系统应满足以下条件：1. 基于J2EE平台；2. 基于ORACLE数据库；3. 基于“安全服务信息交换接口规范”；注：“安全服务信息交换接口规范”是本公司为规范安全服务平台和业务系统之间通信而制定的规范。2.2. 外挂模式只要遵守“安全服务信息交换接口规范”，任何有别于J2EE平台和ORACLE数据库的业务系统，也可以和教育信息安全服务平台无缝对接，共享平台的单点登录
8、、统一日志及统一权限管理，共享CA证书管理及安全应用。2.3. 兼容模式对于用户已有的业务系统，有着复杂的来源和结构，本方案可以在现有业务系统不作任何修改的前提下，通过“安全服务网关”实现和教育信息安全服务平台服务器的对接，“安全服务网关”通过拦截业务系统的通信联络，并按“安全服务信息交换接口规范”报告“教育信息安全服务平台服务器”，获取权限控制，从而共享平台的单点登录、统一日志及统一权限管理，共享CA证书管理及安全应用。3. 教育信息安全服务平台教育信息安全服务平台分为两个独立的部分，一个是“教育信息安全服务平台服务器”，另一个是“信息安全网关”。3.1. 教育信息安全服务平台服务器教育信息
9、安全服务平台服务器是整个平台的心脏，本方案依赖它来部署，解决用户既有的问题，它由4大功能模块、1个接口和1个系统数据库组成。教育信息安全服务平台服务器的架构如图3-1所示：图3-1 服务平台服务器架构图 单点登录 证书管理 统一日志管理 统一权限管理 安全服务信息交换服务端接口3.2. 教育信息安全服务平台网关安全网关的作用是集成用户现有的业务系统到教育信息安全服务平台。由于这些系统来源复杂，结构各异，如何在对现有系统不作任何修改的前提下，达到解决既有问题的目标，是安全网关的技术要点。教育信息安全服务平台网关架构如图3-2所示：图3-2 服务平台网关架构图 网关管理 安全服务信息交换客户端接口
10、4. 业务系统集成方案4.1. 内嵌式业务系统内嵌式业务系统主要包括如下业务系统：1. 用户身份管理系统；2. 单点登录服务系统；3. 访问控制服务系统；4. 身份验证服务组件；5. 权限管理服务组件；6. 安全电子邮件系统；7. 安全文件在线交换系统；8. 可信数据采集管道系统；9. 基于商用密码技术的校园卡系统。4.2. 外挂式业务系统外挂式业务系统主要包括如下业务系统：1. 安全公文协同办理系统；2. 可信文件申报通道系统；3. 电子印章系统。4.3. 兼容式业务系统兼容式业务系统主要包括如下业务系统：1. 教学资源库系统；2. 电子图书馆系统；3. 试题库和出题系统；4. 远程教育系统
11、；5. 学籍管理系统；6. 电子政务系统；7. OA系统；8. 人事管理和考核系统。4.4. 客户端扩展产品基于教育信息安全服务平台，可以扩展以下客户端产品：1. 桌面安全百宝箱；2. 桌面文件加密系统；3. 移动存储数据安全管理系统；4. 智能密码钥匙；5. 中国教育卡。5. 平台部署方案5.1. 基于教育局的部署基于各级教育局的部署结构如图5-1所示：图5-1 基于教育局的部署结构图5.2. 基于学校的部署针对普通中小学校的应用规模，本方案高度集成，多采用信息安全服务平台服务器搭载数据库系统和多个嵌入式业务系统的方案。5.3. 基于教育城域网的部署基于教育城域网的部署结构如图5-2所示：图
12、5-2 基于教育城域网的部署结构图6. 方案特色6.1. 技术先进 基于Linux操作系统，更安全，更稳定，更高效。 基于J2EE平台，适合跨平台、大调度、重负载应用。 基于商用密码技术，遵循国家密码安全标准与规范。 基于智能密码钥匙和中国教育卡进行身份认证、数字签名和数据加密。 基于分布式结构，采用安全网关技术，将所有业务系统纳入安全服务平台保护范畴，实现单点登录、单一入口、统一日志和统一权限。6.2. 兼容良好 采用安全网关，能无缝对接现有系统，保护原始投资，缩短建设工期。 兼容各种系统平台，包括Linux、Unix和Windows。 兼容各种运行环境和编程语言，包括J2EE、.NET和P
13、HP。 平台化方案，更易安装部署和使用；6.3. 性能强劲 并发业务类型100。 并发业务数1000。 并发用户100000。 日志查询10年。6.4. 安全稳定 本方案关键设备“教育信息安全服务平台服务器”和“安全服务网关”全部基于安全Linux操作系统，能保证比其他系统更安全、更稳定、更高效。特别是采用“安全服务网关”隔离现有的基于Windows的业务系统，能有效阻挡病毒和黑客攻击，为现有业务增加系统级保护。 能够同时使用硬件智能密码钥匙（USBKey）和其它证书介质 使用HTTPS协议保护服务端和客户端之间的敏感信息的交互，能防止敏感数据泄露； 全面应用商业密码技术，对系统信息、用户信息
14、和业务信息全面密码保护，结合数字签名技术，保证了全过程的真实性、保密性、完整性和不可抵赖性 平均无重启时间50000小时。 平均无故障时间50000小时。6.5. 服务周到 电话服务：7*24小时服务热线，1小时内响应。 现场维修：白天4小时，晚间8小时抵达现场。 电话咨询：技术支持工程师为客户提供技术指导，及时解答客户提出的各种技术问题。 升级服务：为客户提供自动的在线修复与系统升级服务。 远程维护：技术支持工程师使用特权电子身份证书，登录教育信息安全服务平台，进行远程维护，及时解决问题。6.6. 合作共赢 按照具体实施方案，与用户技术部门成立联合项目组。 联合项目组在用户所在地现场办公，我方派出相关技术骨干。 负责对项目组用户成员进行技术培训，并提供相应的开发工具和技术资料。 对用户提出的后续修订方案进行评估，提供实施方案和技术支持。7. 联系方式如需获得更新或者更多信息敬请通过下列方式与本公司联络。华翔腾数码科技有限公司中国 湖南地址：长沙麓谷高新区麓龙路199号标志麓谷坐标15楼邮编：410205电话：（86）731-88239608传真：（86）731-88239600网址：
