共享平台与视频安全接入方案.docx

共享平台与视频安全接入方案.docx

《共享平台与视频安全接入方案.docx》由会员分享，可在线阅读，更多相关《共享平台与视频安全接入方案.docx（61页珍藏版）》请在冰点文库上搜索。

毕节市公安局

公安网边界接入平台

（部门间信息共享平台、视频接入链路）

建

设

方

案

上海辰锐信息科技公司

2013年10月

目录

1 建设背景 4

2 业务需求 6

2.1 项目现状 6

2.2 共享平台需求 6

2.2.1 功能需求分析 6

2.2.2 性能需求分析 7

2.2.3 安全需求分析 8

2.2.4 管理需求分析 9

2.2.5 扩展需求分析 9

2.3 视频接入需求 9

2.3.1 功能需求分析 9

2.3.2 性能需求分析 10

2.3.3 安全需求分析 10

2.3.4 管理需求分析 11

2.3.5 扩展需求分析 11

3 总体设计 12

3.1 设计目标 12

3.2 设计思想 12

3.3 设计依据 12

3.4 总体架构设计 13

3.4.1 安全体系 13

3.4.2 体系结构 14

3.5 监测与管理区设计 18

3.5.1 探针及监管功能设计 18

3.5.2 级联监控管理设计 19

4 总体方案 20

5 功能设计 22

5.1 共享平台功能设计 22

5.1.1 查询比对类 22

5.1.2 数据交换类 22

5.1.3 Web访问类 24

5.2 视频接入功能设计 24

6 安全设计 26

6.1 共享平台安全设计 26

6.1.1 查询比对类 26

6.1.2 数据交换类 27

6.1.3 Web访问类 27

6.2 视频接入安全设计 28

6.2.1 数据接收 28

6.2.2 数据检查 29

6.2.3 数据传输 29

6.2.4 数据转发 29

6.2.5 授权访问 30

7 管理设计 31

7.1 监管功能 31

7.2 级联功能 33

8 设备介绍 34

8.1 可信边界安全网关 34

8.2 网络数据交换 35

8.3 视频安全接入系统 35

8.4 集中监控与审计系统 37

9 共享平台功能 38

9.1 共享平台架构 38

9.2 内、外网门户网站 40

9.2.1 单点登陆 40

9.2.2 统一用户管理 40

9.2.3 页面定制 40

9.2.4 信息公告 41

9.2.5 应用导航 41

9.2.6 应用统计 41

9.3 内、外网应用服务系统 42

9.3.1 可视化业务配置器 42

9.3.2 标准的Web服务接口 42

9.3.3 信息查询 42

9.3.4 数据核查 43

9.3.5 数据比对 43

9.3.6 数据上传下载 43

9.3.7 共享痕迹留存 43

9.3.8 数据权限控制 44

9.3.9 服务门户定制 44

9.3.10 监控与管理 44

9.4 数据采集系统 45

9.5 数据集成系统 46

9.6 平台管理监控系统 48

9.6.1 注册管理 48

9.6.2 用户管理 48

9.6.3 监控与审计 48

9.6.4 查询统计 50

9.7 扩展功能设计 50

10 共享平台数据处理设计 52

10.1 数据库设计 52

10.2 数据标准管理 52

10.3 数据处理过程 53

10.4 数据采集 54

10.4.1 数据采集方式 54

10.4.2 数据采集流程 55

10.5 数据信息整合 55

10.6 数据信息共享 56

11 共享平台运行环境 57

11.1.1 软件环境设计 57

11.1.2 硬件环境设计 57

III

1建设背景

随着贵州省毕节市公安局公安信息化建设的不断深入开展，公安机关对外交换和共享信息的接入业务需求日益强烈。

结合自身公安信息化建设现状和发展需要，减少重复投资，建设贵州省毕节市公安局部门间共享平台（以下简称“共享平台”），满足公安机关通过公安信息通信网开展对外数据交换、查询比对、Web访问等工作需要。

通过共享平台的建设为部门间信息共享等业务提供集中的安全运行基础设施，实现对接入业务的注册、监控与审计等安全管理，保障共享平台与公安信息通信网的安全。

共享平台是金盾工程二期重点建设的“三大平台”之一，公安部《关于稳步开展公安信息资源共享服务工作的通知》（公信通[2007]187号）及《关于“部门间信息共享与服务平台”建设应用的指导意见》（公科信[2012]19号）的要求，共享平台的核心功能主要包括两个方面：

一是方便可靠地获取外部信息，将其它政府部门、社会单位向公安机关提供的信息传输到共享平台上，并根据公安业务应用的需要将相关信息转送到公安信息网内加以综合应用；二是安全可控地对外提供信息服务，将需要对外共享的信息从公安信息网内抽取同步到共享平台上，以应用接口、web访问、数据交换等方式对外提供信息共享服务。

共享平台应严格按照《公安信息通信网边界接入平台安全规范（试行）》的要求进行网络互连和安全运行。

同时毕节市公安机关可利用的视频监控资源越来越多，但出于安全和应用方面的考虑，外网及社会专网视频资源没有接入公安内网，由此造成使用上的不便和资源的浪费。

现在毕节市公安局为实现“资源共享、互联互控”、“视频监管一网控”，需依据公安部《公安信息通信网边界接入平台安全规范（试行）--视频接入部分》建设视频接入链路。

通过该链路的建设满足外部视频资源与公安网视频资源有机联网、整合共享，并且有效管理、灵活调用，同时满足下列需求：

实时观看外网视频监控探头信息、实现对外网视频监控探头的控制、对视频接入业务进行集中监控、管理与审计。

本方案中术语和定义与《公安信息通信网边界接入平台安全规范》（简称《安全规范》）、《关于稳步开展公安信息资源共享服务工作的通知》（公信通[2007]187号）、《关于“部门间信息共享与服务平台”建设应用的指导意见》（公科信[2012]19号）、《公安信息通信网边界接入平台安全规范（试行）--视频接入部分》一致。

2业务需求

2.1项目现状

为了满足社会面与公安信息通信网进行信息采集与交换的业务需求。

贵州省毕节市公安局已经建设了边界接入平台中的社会企事业接入链路、党政军机关接入链路、公安驻地外接入链路，该边界接入平台解决了公安边界接入业务的部分业务需求，取得了良好效益，发挥了重要作用。

随着毕节市公安局信息化建设的发展，现需要建设贵州省毕节市公安局部门间共享平台以及视频接入链路，主要增加公安机关及直属单位对外数据交换、查询比对、Web访问业务，以及外网视频资源安全接入公安内网，以满足日益增长业务需求。

2.2共享平台需求

2.2.1功能需求分析

贵州省毕节市公安局共享平台主要需要对党政军部门和经批准的党政军用户等接入对象提供查询比对、数据交换和Web访问等功能。

上述接入对象采用专线安全线路方式与贵州省毕节市公安局共享平台进行链接，在接入链路上不采用其他非安全的接入链路方式（如无线、互联网链路等），从链路层面保障共享平台的安全性。

查询比对功能通过数据交换方式实现其他部门、机构等对共享平台内的公安信息资源进行安全查询及比对功能，及时返回查询比对结果，并同时支持单条和批量的查询比对业务。

数据交换功能通过数据交换方式采集其他部门、机构的批量数据；通过数据交换向其他部门、机构提供批量数据。

数据交换支持的数据类型包括：

结构化数据库数据、非结构化数据（以文件型为主）等。

Web访问功能指的是经批准的党政军用户通过政法数字证书，以授权访问方式访问共享平台内对外开放的Web网站（页）等。

2.2.2性能需求分析

毕节市公安局共享平台性能需求主要体现在数据流量、关键设备性能和平台整体性能等方面，在满足性能要求的同时，具备一定的容量扩展性。

数据流量：

其中查询比对类业务服务总流量要求为1000笔/秒，数据交换类业务预计业务流量为400Mbps，Web访问类业务预计业务流量为400Mbps。

关键设备性能：

关键性安全设备在整个共享平台中发挥着重要的安全重用，其中查询比对类业务具有数据包小、并发大、延时低的特点，同时考虑突发大并发情况，关键安全设备的并发连接数应达到40万以上，最大并发连接数应大于50万。

平台整体性能需保障平台基本性能及以后的扩展性，平台所有链路，尤其是数据交换链路需采用双千兆带宽，关键设备均采用千兆级以上设备。

确保数据交换链路上的数据交换系统及网闸在不影响传输性能和数据传输质量的前提下，在支持多个接入业务的同时进行数据交换。

毕节市公安局共享平台在业务峰值时段，各设备的CPU、内存利用率低于70%。

共享平台在满足数据量、并发连接数和链路带宽等要求的同时不影响平台整体传输性能和数据传输质量，并预留一定的扩展性。

同时，共享平台需要确保接入业务的可靠性和稳定性，在紧急状态下，应具备一定处突及部分应用优先处理的能力。

2.2.3安全需求分析

安全需求主要体现在接入终端安全需求、服务器安全需求、网络安全需求、应用安全需求和数据安全需求等方面。

接入终端安全：

对查询比对类、数据交换类业务的接入终端进行备案登记，支持对接入终端进行安全状况检测，防止安全不达标的终端设备接入。

在Web访问类接入终端上安装终端安全监控和“一机两用”客户端，对接入终端的外设、进程等加强安全管理以及对接入终端的违规外联加强安全监测。

服务器安全：

为确保共享平台内重要服务器自身的强壮性和安全性，对这些服务器都进行必要的安全加固或安全加强。

网络安全：

共享平台在网络层划分不同的安全域，不同安全域间具有明显的边界，采用必要的安全隔离设备，对接入平台与公安信息通信网之间进行安全隔离。

可采用VPN方式对数据或链路进行加密以对信息安全有特殊需求的信息传输进行安全保障。

同时，共享平台应对平台内应用服务进行网络级访问控制，并对病毒木马、黑客入侵、抗DDoS攻击、漏洞扫描、异常流量等网络安全威胁具有监测和防护能力。

2.2.4管理需求分析

贵州省毕节市公安局共享平台是个复杂的安全系统，为了更好的发挥平台作用，保护公安网内资源安全，满足对共享平台的运行维护，需对共享平台进行有效的管理。

根据共享平台运行管理要求，依据“统一接入管理、统一运行监控、统一安全审计、统一策略部署”的原则。

对共享平台所有传输信息实现集中安全监测和审计，对各类异常报警信息进行分析。

对共享平台中的各类安全事件进行及时发现和定位，控制并消除各类安全威胁和隐患。

对共享平台进行集中监控和审计管理，实现注册审核、平台运行、设备维护、报警处置、审计分析、数据通报等一系列管理功能，提供监控平台整体运行状况服务。

2.2.5扩展需求分析

共享平台是一个复杂的系统，接入业务是个逐步接入的过程。

共享平台方案需具备可扩展性。

在满足基本要求的前提下，主要满足平台在性能、功能、业务数、应用种类及存储等方面的扩展和延伸。

2.3视频接入需求

2.3.1功能需求分析

毕节市公安局公安信息通信网视频接入业务主要是实现公安外网视频资源经视频接入链路安全可靠接入公安内网，实现从公安内网授权访问外网视频资源。

该类业务具有以下特点：

Ø实时监控：

公安内网用户实时浏览外部视频信息；

Ø探头控制：

内网终端可操控外部的探头，使探头上下左右移动，前后调节，以观察不同范围；

Ø视频调阅：

公安用户调阅外部视频服务器上的存储的历史视频信息。

2.3.2性能需求分析

视频接入链路在性能上必须满足毕节市公安局视频接入业务的接入要求，主要体现在链路带宽、同时在线的用户数、业务数和网络吞吐量等方面。

2.3.3安全需求分析

视频信息接入在外部与公安内网进行信息传输的同时，将面临许多安全问题，如原来利用外网发动攻击的黑客也有可能通过伪装视频流方式传输蠕虫、木马等病毒，进而攻击内网；一些用户试图通过接入通道访问非授权资源；内网中某些中病毒的计算机，可能将内部人口及治安等重要且敏感信息泄露出去，进而直接影响公安工作的正常开展。

为此，视频接入链路通过采用视频安全接入系统，针对视频码流和视频信令的不同特性，在安全性上采用不同的策略，实现视频控制信令双向传输，视频数据单向传输，为视频接入提供了一条安全、高效的接入通道，保证了视频信息安全、可靠地传输。

2.3.4管理需求分析

根据公安网视频安全接入的运行管理要求，提供对视频接入应用和运行情况的监测、审计和管理，实现外网视频资源安全可靠的采集进入公安内网。

2.3.5扩展需求分析

视频接入链路是个逐步接入的过程，需具备可扩展性。

主要需满足链路在性能、功能、业务数、应用种类等各方面的扩展和延伸。

3总体设计

3.1设计目标

针对共享平台各类业务与视频接入需求，设计一个技术先进、安全可靠、切实可行、管理方便的安全技术方案。

建设贵州省毕节市公安局共享平台与视频接入链路，保障公安网的保密性、完整性和可用性，接入业务的可管理性、可控性；保障视频资源的有机联网、整合共享、有效管理、灵活调用；保障边界接入公安网的安全，以及相关网络和信息资源的安全；同时保障边界接入工作的高效稳定运行，解决和提高公安业务工作、信息共享、服务的能力和水平。

3.2设计思想

根据实际情况，充分认识到安全在边界接入中的重要性，正确处理发展与安全的关系，综合平衡成本与效益，建立安全、可靠、实用的贵州省毕节市公安局部门间信息共享平台和视频安全接入链路。

3.3设计依据

本方案依据以下文件或规范设计：

Ø《关于印发<公安信息通信网边界接入平台安全规范（试行）>的通知》（公信通[2007]191号）；

Ø《关于稳步开展公安信息资源共享服务工作的通知》（公信通[2007]189号）；

Ø《关于做好社区和农村警务室接入公安信息网安全工作的通知》（公信通[2007]15号）；

Ø《关于进一步加强公安信息通信网日常安全管理工作机制建设的通知》（公信通传发[2008]109号）；

Ø《关于公安信息通信网边界接入平台建设有关问题的通知》（公信通传发[2008]296号）；

Ø《关于“部门间信息共享与服务平台”建设应用的指导意见》（公科信[2012]19号）；

Ø《公安信息通信网边界接入平台安全规范（试行）--视频接入部分》。

3.4总体架构设计

共享平台与视频接入链路依据《安全规范》，主要基于三重防护体系、两个基础设施的安全体系，构建路由接入区、边界保护区、安全隔离区、安全监测与管理区等五个不同的安全区域，构成分区域、分层次的纵深安全防御体系。

3.4.1安全体系

接入平台安全体系设计由三重防护体系设计、两个基础设施设计构成。

图31接入平台安全体系图

三重防护体系设计：

即应用环境安全设计、应用区域边界安全设计和网络通信安全设计。

应用环境安全设计：

即确保终端和用户来源可信、可监控设计，操作系统安全加固设计，关键应用程序安全设计。

应用区域边界安全设计：

主要涉及网络及应用系统边界安全方面，通过身份认证、访问控制技术，确保对应用系统的访问是通过细粒度控制下的合法访问者。

链路与网络通信安全设计：

主要涉及链路及网络安全方面，采用数据机密性与完整性保护技术，建立端到端传输的安全机制。

两个基础设施设计：

即公安PKI/PMI基础设施，安全监测与管理基础设施。

公安PKI/PMI基础设施设计：

实施公安数字身份证书的产生、管理、存储、分发和撤销等功能，是实现接入平台身份认证、授权管理、访问控制策略等安全机制的基础。

安全监测与管理基础设施设计：

实现整个平台的安全监测、管理与运行维护。

3.4.2体系结构

3.4.2.1共享平台体系结构

根据需求分析及公安部相关规范的要求，贵州省毕节市公安局共享平台在体系结构设计上由路由接入区、边界保护区、应用服务区、安全隔离区、安全监测与管理区等五部分组成，如下图：

图32边界接入平台体系结构图

3.4.2.1.1路由接入区

该区域实现各个外部链路与接入平台间连接。

该区域主要安全功能为：

实现路由访问控制，将来自不同接入对象或不同外部链路的数据流按照接入平台的安全策略加以区分。

3.4.2.1.2边界保护区

该区域主要实现对接入平台的边界保护。

该区域主要安全功能为：

实现网络级身份认证、访问控制和权限管理，数据机密性和完整性保护，防御网络攻击和嗅探。

3.4.2.1.3应用服务区

该区域主要处理各类与应用相关的操作，是公安网对外信息发布、信息采集、数据交换的中间区域。

该区域主要安全功能为：

作为外部终端网络连接的终点，实现应用级身份认证、访问控制、应用代理、数据暂存等功能，防止对公安网的非法访问和信息泄露。

对此区域，应加强对服务器等设备的安全保护，应具有病毒、木马防护功能，防止病毒传播与非法控制。

3.4.2.1.4安全隔离区

该区域实现公安网与应用服务区的安全隔离与信息交换。

该区域主要安全功能为：

实现公安网与应用服务区的安全网络隔离，根据安全策略，对出入公安网的数据分别进行协议剥离、格式检查和过滤，实现公安网和应用服务区之间的安全数据交换，保障公安网的安全。

3.4.2.1.5安全监测与管理区

该区域实现整个接入平台的安全监测、管理与维护。

该区域主要安全功能为：

对接入平台运行情况进行安全监测与审计，对接入平台及业务信息进行注册管理、各种安全策略管理、流量监测、统计分析、安全审计等；对接入平台内网络设备、安全设备进行配置管理及日常运行维护，补丁升级、漏洞扫描与病毒防范。

3.4.2.2视频接入体系结构

根据视频安全接入的业务需求及公安部相关规范的要求，视频安全接入链路在体系结构上由路由接入区、边界保护区、应用服务区、安全隔离区、安全监测与管理区等五部分组成。

如图所示：

图33视频接入链路体系结构图

3.4.2.2.1路由接入区

该区域实现各个外部接入链路与视频安全接入链路前端设备的连接。

该区域主要安全功能为：

实现路由访问控制，将来自不同接入对象或不同外部链路的数据流按照相关安全策略加以区分。

3.4.2.2.2边界保护区

该区域主要实现对边界接入平台视频安全接入链路的边界保护。

该区域主要安全功能为：

实现网络级身份认证、访问控制和权限管理，数据机密性和完整性保护，防御网络攻击和嗅探。

3.4.2.2.3应用服务区

该区域主要处理各类与应用相关的操作，是公安信息通信网对外信息发布、信息采集、数据交换的中间区域。

该区域主要安全功能为：

作为外部终端网络连接的终点，实现应用级身份认证、访问控制、应用代理、数据暂存等功能，防止对公安信息通信网的非法访问和信息泄露。

对此区域，应加强对服务器等设备的安全保护，应具有病毒、木马防护功能，防止病毒传播与非法控制。

3.4.2.2.4安全隔离区

该区域实现公安信息通信网与应用服务区的安全隔离与信息交换。

该区域主要安全功能为：

实现公安信息通信网与应用服务区的安全网络隔离，根据安全策略，对出入公安信息通信网的数据分别进行协议剥离、格式检查和过滤，实现公安信息通信网和应用服务区之间的安全数据交换，保障公安信息通信网的安全。

3.4.2.2.5安全监测与管理区

该区域实现整个视频安全接入链路的安全监测、管理与维护。

该区域主要安全功能为：

对视频接入链路的运行情况进行安全监测与审计，对接入平台及业务信息进行注册管理、各种安全策略管理、流量监测、统计分析、安全审计等；对视频接入链路内网络设备、安全设备进行配置管理及日常运行维护，补丁升级、漏洞扫描与病毒防范。

该区域对视频安全接入链路运行安全监测与审计的功能统一由“集中监”控管理与审计系统实现。

3.5监测与管理区设计

3.5.1探针及监管功能设计

贵州省毕节市公安局共享平台与视频接入链路的监测与管理区域主要实现对本级平台整体运行状况的集中监管、安全审计、注册管理与级联监控等功能。

3.5.2级联监控管理设计

按《安全规范》要求，需对共享平台与视频接入链路进行级联监控。

通过部、省、市三级平台级联监控体系提供各边界接入平台的运行维护情况、日常业务流量、安全状况等动态信息，为深入分析接入平台及业务运行状态与安全趋势提供依据。

依据级联的统一规范和接口，在部、省、市三级边界接入平台间逐步开展和实现主动双向式监管。

上级边界接入平台可通过监控级联接口，主动监测下级边界接入平台中各关键节点的各种详细基础数据。

同时，部、省、市三级单位关于接入平台业务管理流程也通过此监控接口来实现双向的信息交互等。

60

4总体方案

结合项目需求，本项目主要需建设毕节市公安局部门间信息共享平台与视频安全接入链路。

其中部门间共享平台建设在已经建设的党政军机关接入链路上，实现党政军机关各部门与公安网的信息共享；视频接入链路建设实现外网视频资源安全可靠地采集进入公安网。

具体方案网络拓扑图如下：

图41总体方案图

如图4-1，从逻辑上，将边界接入平台划分三大区域：

终端接入区、边界平台区和公安网。

其中边界平台区又划分为路由接入区、边界保护区、应用服务区、安全隔离区和安全监管区。

社会企/事业单位终端采用VPDN链路，经可信边界安全网关（TBSG），将数据报送给社会企/事业接入的前置服务器，然后经数据交换系统将信息交换到公安网。

需要对外发布数据通过数据交换系统交换到平台区域，再通过TBSG交换到外网以提供外网服务。

党/政/军机关终端通过专线经TBSG、数据交换系统等安全设备与公安网实现授权访问和数据交换业务。

公安机关驻地外终端通过VPDN/专线经TBSG与公安网进行通信，实现授权访问业务。

外网视频数据通过专线经视频安全接入系统单向传输进入公安网，实现信令双向传输，视频单向传输。

共享平台建设在党政军机关接入链路上，提供查询比对、数据交换和Web访问三类业务应用的安全支撑，每类业务根据不同的接入模式和安全需求提供不同安全防护措施。

5功能设计

5.1共享平台功能设计

5.1.1查询比对类

通过查询比对接入链路，向党政军用户提供对共享平台内公安信息资源的安全查询和比对功能，并及时返回查询比对结果，支持单条和批量比对业务。

查询比对类接入链路系统功能如下：

Ø查询比对的数据经防火墙、可信边界安全网关、交换机等到共享平台区域，经共享平台内的应用服务处理后，将查询比对结果交换、反馈给终端用户；

Ø部署在共享平台内的防病毒服务器安装网络版防病毒软件，对共享平台内的服务器和客户端提供病毒查杀和防护等；

Ø接入链路的路由接入区、边界保护区、应用服务区及安全隔离区的运行状态、设备状态、链路状态、关键安全设备运行信息等通过探针实现抓取，并报送给公安网中的集中监控与审计系统。

5.1.2数据交换类

数据交换类主要实现党政军用户需要与共享平台进行双向批量安全交换数据，数据类型支持结构化数据库数据和非结构化的以文件型为主的数据，以支撑业务的开展。

由于信息来源的多样性，决定了采集来的信息的多样性，即有数据库记录方式的，又有文件方式的。

同时，目的端对数据的要求也是多样的。

因此实现数据交换的系统即要满足简单的数据库和文件同步外，还需支撑较为复杂的数据交换功能。

具备以下功能：

Ø支持多种数据库交换模式，支持多数据库同步方式选择。

包括全表同步、增量同步、列同步等；

Ø文件交换方式包括文件夹新增同步、文件夹镜像同步、文件完全同步、文件同步后源端删除、文件同步后源端备份、双向文件同步等多种模式；

Ø数据同步过滤功能，数据库双向交换，源与目标的同表双向同步；

Ø支持数据分发，支持源数据库和源文件分发到不同的目标数据库或文件夹，支持文件与文件、文件与数据库、数据库之间的分发，并可设置分发条件；

Ø支持同构数据库同步交换，异构数据库同步交换；

Ø支持一对一、一对多、多对一等多种数据传输方式：

如一份文本文件同时向文件服务器和数据库服务器发送；

Ø实现数据交换业务的多种调度策略：

支持交换业务多级优先权调度；事件触发、时间触发、消息触发；定时、实时、轮