I一七臺河大數據中心項目概述 11.1建設背景 1 1 2 2二大數據中心政務云建設方案 32.1政務云建設實施方案 3 2.3安全體系方案 1一七臺河大數據中心項目概述1.1建設背景數字經濟發展有利于七臺河市把握新一輪科技革命和產業變革新機遇，在新一七臺河市委市政府對大數據中心建設高度重視，按照省委省政府出臺的1.2建設目標城市大數據中心是新型智慧城市的“心臟”和“大腦”,是全市數據和資源整合的重要載體。大數據中心建設的實質也是對新型智慧化城市建設的探索和21.3建設思路1.4總體要求32.1政務云建設實施方案1272號)發(2012)23號)《基于云計算的平臺頂層設計指南》(工信信函(2013)2號)427號)>《信息安全技術信息系統通用安全技術要求》(GB/T20271-2006)>《信息安全技術操作系統安全技術要求》(GB/T20272-2006)>《信息安全技術服務器技術要求》(GB/T21028-2007)《信息技術安全技術信息安全管理體系要求》(GB/T22080-2008)《信息技術安全技術信息安全管理實用規則》(GB/T22081-2008)>《信息技術安全技術信息安全事件管理指南》(GB/Z20985-2007)>《信息安全技術信息安全事件分類分級指南》(GB/Z20986-2007)>《關于加強黨政部門云計算服務網絡安全管理的意見》(中網辦發文5信息系統等級保護基本要求-云計算要求-標準草案>GBT21062.2-2007政務信息資源交換體系第2部分：技術要求GBT21062.4-2007政務信息資源交換體系第1部分：總體框架>GBT21062.3-2007政務信息資源交換體系第3部分：數據庫接口規范>GBT21062.4-2007政務信息資源交換體系第4部分：技術管理要求電子政務標準化指南_第6部分：信息安全國家電子政務外網安全等級保護實施指南2.1.2設計原則共建共享。一方面建設數據中心的目的是為了實現業務部門之間的數據62.1.3設計思路構服務的IaaS云服務管理平臺成為必要。云平臺管理系統需要實現是一項復雜的系統工程，七臺河市政務云平臺建設首先實現IaaS服2.1.4建設內容7設計能力滿足總計CPU4000核、內存40000GB、存儲2000TB的能力 89可靠性，支持ISSU不中斷業務軟件升級，滿足用戶業務的永續性需的冗余和對稱。核心/接入交換機采用CSS虛擬集群技術，2臺設備由防火填月容互聯網區心提供高速的互聯網出口鏈路，實現數據中數據中心提供面向公共的業務服務，提供web應用服務和web服務>政務外網區管理區安全數據交換區來進行。存儲區網絡架構的總體規劃遵循“分區+分層+分平面+安全”的設計理念。分區是指按照業務特點和安全要求劃分不同的業務區域(詳細見族圖0#圖向>帶外管理(1*GE):連接到獨立的帶外管理交換機接入到帶外>業務端口(2*10GE):雙歸連接到兩個接入交換機中提供可靠>帶內管理端口(2*GE):雙歸連接到兩個帶內管理交換機上，心Fw>配置2臺核心交換機，通過端口聚合方式實現2虛1,統一>核心交換機通過40GE鏈路捆綁連接到接入交換機，組成核心交換機通過4條10GE鏈路連接到異地機房的核心區交>核心交換機通過2條10GE鏈路連接到管理域，提供帶內網管>核心防火墻采用主備部署，通過2條40GE旁掛核心交換機。 >核心交換機和接入交換機之間的四條跨框鏈路捆綁為一個>核心安全能力區，根據七臺河政務云需要，互聯網區的核心 外聯區出口路由器o外聯區出口路由器沙箱>出口交換機2臺，采用2條10GE連接到政務外網統一出口圖族三漿圖口》帶內管理端口(2*GE):雙歸連接到兩個帶內管理交換機上，J核心交換機通過4條10GE鏈路連接到異地機房的核心區交>核心交換機通過2條10GE鏈路連接到管理域，提供帶內網管>核心防火墻采用主備部署，通過2條40GE旁掛核心交換機。出口防火墻2臺，向下采用10GE連接政務外網區核心交換互聯網核心區互聯網核心區政務處網區身區政務外網核心網區核心區的兩臺核心核心交換機上通過2*10GE與數據交換區的網閘相文件服務器文件服務器網絡的外部主機系統通過安全隔離網閘與網絡的內部主機系統“連接”起來，安全隔離網閘將外部主機的TCP/IP協議全部剝離，據“擺渡”機制是原始數據通過存儲介質的存儲(寫入)和轉發(讀第理員第理員IT國核心交換機防火增品內自理接入交換機存儲設備網培設備安全設備服務器證服務器>FC交換機通過4路FC接口連接到異地的存儲區，根據需要2.1.7安全架構設計通過在電子政務云平臺出口部署防火墻、流量監控、漏洞掃描、訪問控制許/拒絕訪問的能力，控制粒度為端口級，同時防火墻和IPS具備對安全審計入侵防范序號區域區域功能介紹1政務外網核心區實現各部門、各地區網絡的互聯互通，為跨地區、跨部門的業務應用提供數據共享與交換的網絡支撐平臺2互聯網核心區各級政務部門通過邏輯隔離安全接入互聯網的網絡區域，滿足政務部門利用互聯網開展公共服務、社會管理、經濟調節和市場監管的電子政務業務需3政務外網(資源)區實現各部門、各地區的互聯互通，為跨地區、跨部門的業務應用提供數據共享與交換的資源提供平臺序號區域區域功能介紹4互聯網(資源)區滿足政務部門利用互聯網開展公共服務、社會管理、經濟調節和市場監管的5存儲區為電子政務外網區與互聯網區提供數據存儲服務。6數據中心管理區實現電子政務外網區與互聯網區的網絡和安全的統一管理。本期建設通過利用電子政務外網本身的安全防護資源及政務云>互聯網邊界部署防火墻作為出口，通過出口防火墻的安全域隔離。出口防火墻提供從數據鏈路層、網絡層到傳輸層的安DC防火墻VFW-1VFW-2VFW-3虛擬資源個性化定制，支持2到7層海量終端接入和數據中心虛擬化業務區的網關都設置在虛擬防火墻上，接入交換機透傳VM的2.1.8云平臺架構設計時進一步減少企業的IT整體投入。通過IT系統基礎設施逐步云化部署，基于虛擬化技術，實現計降低IT總持有成本，聚焦核心業務發展。云平臺提供構建完整的基礎設施服務(IaaS)云計算平臺方案，提供完整的云計算資源異地/異構的管理平臺。通過虛擬化技術，云期管理操作，包括停止、啟動、快照、克隆和加載/卸載數據云盤等全自動管理運維全自動管理運維1tNFSMosspew.MMCagh精MMMySQL采用云平臺可以帶來以下多種價值：提高物理資源利用率通過虛擬化技術解決傳統IT架構以服務器為資源中心所帶來的時節省IT整體成本，如機房空間、空調制冷、電力等。虛擬化技術周期短等優勢，面向全業務競爭，把公司投入到傳統IT建設與維護作為新一代產品級云管理平臺，通過提供靈活完善的APIs來管自的化理和和自的化理和和言云路由規格集群三屋網絡二層網絡安全組根云盤模板數據云盤模板鏡像服務器般用物理網絡的設備名稱標識。支持L2VLANNetwork、VXLANNetwork類型。型，數據云盤鏡像支持Image類型。11)1套云平臺軟件支持2種虛擬化平臺(KVM、VMware)2.2運營運維體系方案公司具有計算機系統集成一級、涉密甲級等11項甲級(一級)遵循標準TMN(TelecommunicationsManagementNetworkModel)電信管理網，是國際電信聯盟(ITU)在M.3010建議中指出，電信管理網的 (0SS)之間，操作系統與電信設備之間的互連.它是采用商定的具一、性能管理(PerformanceManagement)提出評價報告的一組功能。包括性能測試，性能分析及性能控制。“e”,其含義既深刻而又豐富。“eTOM”中的“e”常規指“增強”(Enterpriseprocesses),電子商務激活(eBusinessenabled),擴展的這三大流程區域進一步分解為23個一級流程群組和82個二級PlanningandimplementingNew/ChangodHeleaseManagomentIncidentManagomont協會(BSI)于1995年2月提出，并于1995年5月修訂而成的。1999一、BS7799-1,信息安全管理實施規則二、BS7799-2,信息安全管理體系規范第一部分對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用，提出IS027001五大關鍵要素與11個控制域的對應，具體如下圖所示：A9A9物理與環地安全A.10通慎與擇作管理A12虛用系統開發與維護環15027001章節48A5信息安金組織方針A6信總安金坦織A10通信與操作管理A11動間控制A12當用系統開發維護A.13信息安全事件管理A14業務擇續性管理A15合規性管理A8人力資深安全人員信息流程A7信息資產分類與管縫A9物理與開境安全A10通信與操作管理A7信息資產分類與管理A.10通信與操作管理A11訪詞控制A12應用系統開發與維護第二部分說明了建立、實施和文件化信息安全管理體系(ISMS)的要求，規定了根據獨立組織的需要應實施安全控制的要求。信息安全是通過實現一組合適控制獲得的。控制可以是策略、慣例、規程、組織結構和軟件功能。需要建立這些控制，以確保滿足該組織的特定安全目標。以風險管理為基礎，通過建立一整套文件化的管理制度，包括方針、策略、程序文件，操作手冊，記錄等，在組織中以PDCA(Plan-Do-Check-Act)的方式實施，把風險控制到組織可接受的水平，具體如下圖所示：部署實施(Implementing)、服務運營(Operation)、持續改進 apucanowMiNasPMNtnasanzhncsTn6YAP9u…IT基礎架構庫(InformationTechnologyInfrastructureComputingandTelecommunicationsAgency)在20世紀80年代末(7×24小時服務熱線服務),即發生IT基礎設施問題時，可撥打統臺培服務響應級別基本維護服務基本運營支持服務服務資源部署技術力量部署服務方案整體架構服務質量管理體系服務投訴管理制度服務持續改進提升服務主動性系統整合調是技術支持改進備件支持改進在質量管理方面遵循六西格瑪管理方法，設計問題質量改進的流程。從Define(定義問題)、Measrue(收集數據)、Analyze(核實問題原因)、Improve(改進)、Control(控制)五個方面著手，對業務問題提前制定改進措施，減少故障發生率，不斷提高服務管理品質，改善用戶服務體驗，提高用戶滿意度。發現問題需求制定數據收集計劃改進結果評估需求結束改進結果評估需求結束數據級別排序制定改進計實施改進過程2.2.3服務指標維護指標序號服務項目服務指標要求指標分析17*24小時運維監控服務監控時間：7*24小時；范圍：數據中心覆蓋率1、新設備入場兩個工作日內完成監控添加2、發現監控系統有遺漏的，立即上3、監控項目全部覆蓋，如監控系統有缺陷，立即上報用戶及項目經理，兩個工作日內給出優化建議并優化巡檢時間：7*24小時；范圍：數據中心覆蓋率100%,基礎設施及IT制定維護作業計劃，每天8:30、12:各巡檢一次，并填寫巡檢報告。2基礎設施服務現場服務團隊專業現場值班時間為現場值班人員分為一線和二線服務團隊，負責基礎設施7*24維護供電持續性保障服務電力持續性供應電源99.99%定義：機房不間斷供電質量測試方法：統計電源中斷時間障時長/(全年總時長-全年計劃停機時長)*100%考核周期：年度備注：不可抗力因素事故除外電力中斷重大事件0次/年影響機房IT設備使用的故障不含計劃停機次數空調系統應過標準溫度時間(全年總時長-全年計劃停機時長)考核周期：年度總散熱量超過空調設計制冷量除外“制冷中斷”0次/年影響機房IT設備使用不含計劃停機次數3運維保障事件通報及時率符合事件通報服務時限要求的事件數量占總事件數量的百分比變更通知變更通知及時率為總變更數量的百分比；4安全管理安全責任事故安全責任事故=0不發生重大安全責任事故、不發生消防責任事故、不發生資產失竊責任事故維保指標響應時間到達現場時間維護性告警立即立即維修性告警立即立即搶修性告警立即立即重大故障立即立即類型1維護性告警機房設備運行時出現的提示性維護信息，即輕微報警，包含環境溫度及IT設備輕微告警等；48小時2維修性告警機房設備運行時出現的需更換部件信息，即中等報警，包含基礎設施部件及IT設備部件更換等；24小時3搶修性告警機房設備運行時出現的緊急維護信息，即嚴重報警，包含上游電源跳閘，消防系統引起的機房空調停機等；8小時4重大故障導致機房整體不可用的事件，影響機房內網絡、系統、安全等各項系統設備運轉。4小時統一響應集中監控專業交付務務米技什米我是文務什服務一機來支種統一管控豐富經驗，為客戶建立成熟的“統一監控、統一響應、統一管理、分用戶服務熱線服務熱線開始1.故障申告2.接收故障信息故障處理流程3.通知用戶結束信息化維護支撐部門信息化運行維護管理部門2確認故障督況，部省分協作處理程流程-否事件管理是負責解決IT服務的事件、故障和客戶請求等的運維流程。它的目的是盡快恢復被中斷或受到影響的IT服務，所以它的問題管理流程負責監控、發現并及時解決IT服務中存在的問題問題經理問題經理問題分析及處理人員問題提交者開>巡檢操作規范技術支持工程師用戶聯通備品備件庫間有無硬件故障?更換故障硬件確認巡檢時間備件出庫有并處理存在問 出具巡檢報告與建議確認巡檢報告結束客戶服務與支撐客戶服務與支撐計化管理，能實時的更新IT資源庫，從而更好息是還驗證是否通過應急預案管理流程開編相關單12試閱信息化系統應用管理部口信息化運行維護管理部(門投訴建議處理流程主要針對IT用戶在接受信息化部門提供的IT投訴建議處理流程投訴建議處理流程是否需要進是是否北否屬下是是否可以解否2.2.6應急演練應急預案-明確應急工作各方分工及職責，如：指揮小組及職責、執行-明確機房系統的物理位置、設備型號、軟件資源、系統配置-明確系統隱患、風險及應急處置措施；應急場景應包括基礎-明確應急資源(如備品備件、測試工具等)、相關人員溝通方-應急預案中涉及的系統網絡、人員、聯絡方式等變更時于15-根據應急演練結果于15個工作日內更新應急預案；-故障處理完成后，如發現系統隱患導致新的系統風險，應及-由于條件限制對于問題處理方案暫不實施時，現場責任人應應急演練-應急演練內容全面完整，涵蓋應急預案中各類應急場景；-如因應急演練方案制定不合理或未充分評估系統風險而引發-應急演練實施應選擇非業務繁忙期進行；對于實操演練務必-定期對應急演練相關人員進行技術及流程培訓，保證應急預序號工作內容預計時間組織人參與人內容1與七臺河市政府做好演練的溝通工作機房維護負責人、七臺河市政府主管部門中國聯通，七臺1、本次演練情況介紹；2、演練方案的有關問題；2人員準備中國聯通，七臺3發應急演練通知給各七臺河市政府機房維護負責人七臺河市各業務部門同事4應急演練申請機房維護負責人七臺河市應急演練的申5機房維護負責人七臺河市部門、中國聯通項目組人員1、本次演練情況介紹；2、演練方案的有關問題；3、人員準備；4、相關人員職6備份系統配置數據，機房系統應用程序安裝介質檢查、檢查現有配專業維護人員中國聯通應急演練涉及到的設備及數據的備份和檢查，設備的運行情況。2.2.7隱患排查及處理>問題及隱患定義問題是指存在的某個未知的潛在原因，該原因可能會導致故障或安全-日常維護中發生的未知原因的故障或突發事件；-日常巡檢中發現的系統隱患；-一段時間內重復發生的故障；-未找到根本原因的故障。2、運維人員填寫問題/隱患記錄單。問題/隱患記錄單的內容包括但不-運維人員進行問題原因的分析；-依據問題原因，制定問題處理方案；-問題/隱患處理方案，由七臺河市政府管理部門審批通過后完成。5、問題/隱患處理結果審核更新知識庫>國家高度重視信息安全外部威脅■-各個層面用戶的安全訪問與權限管理；-對使用方的安全控制與安全審計；-保證數據交換安全；-安全可視化與統一管理；-確保每年對政務云(公有云)進行安全等保自測評，并根據自測評>GB/T25058-2010信息安全技術信息系統安全等級保護實施指南>GB/T22239-2008信息安全技術信息系統安全等級保護基本要求防御預測防御自適應監控回溯監控云安全運營總體設計安全區域劃分云平臺監測全網監測云平臺防御基礎安全防御安全級別劃分虛報網監測宿主機網頁內容監測監測盈取網宿主機安全設備絡防得境防御本地響應遠程支持帶外管理分級管理告服務網站云監測置服務被審計敏感數分級安全職責劃分云安全監測：其中主要包括云平臺安全防御審查系統并提供基于人工預測能力監控能力2、惡意代碼防護為政務云網絡內的虛擬機和管理PC提供惡意代碼防護管理，主要包括3、服務器安全加固對物理服務器操作系統進行安全加固，對云平臺中的鏡像進行安全加持云平臺及其他內網、政務外網應用),支持多層級的分級管理和雙因子安5、網頁防篡改網頁防篡改部署于公有云中對互聯網開放的門戶網站系統，防止門戶6、安全策略的配置及監管安全服務提供方協助政務云監管方制定安全策略，云服務使用方可自回溯能力流量信息進行海量存儲，并能夠利用大數據的能力進行關聯分析與事件回-安全事件處理；-重點保護服務；持續改進-安全加固；-整改方案制定；-安全策略優化；-安全集成分階段實施。各委局辦信息安全主管安全工作組成員委局辦(租戶安全管理員安全審計員安全服務商高級安全管理員(遠程)安全工作組組長安全服務商貫徹執行和解釋安全領導小組批準的信息安全管理制度和安全策>負責組織安全小組成員進行政務云和公有云的信息安重要時期的信息安全實時監控；入子城醫保用戶子城運營圖6-3安全域安全域劃分需要對電子政務云業務以及共享應用單獨劃分安全域進行>外部業務區同互聯網的邊界通過防火墻實現；>每個等級內部各個租戶之間存在邏輯安全邊界通過虛擬防火墻實部署方式部署方式部署作用日志審計系統同時系統自動實時接收來自本地網絡內各類安全系統名名效性數CRL在區通回登暈頁實施步驟(1).證書的制作(2).證書的新增、吊銷、補發(3).證書的更新(4).使用培訓：(5).證書發放：部署作用●序列號；●認證機構；●有效期限；●主題信息；●公鑰信息；>帶外管理模式跳過堡壘機直接對服務器進行管理。當租戶需要通過七臺河市大數據平臺散到脆弱的業務系統。通過這種帶外的遠程管理讓用戶可以隨時操作這臺分級管理模式為加強七臺河市大數據平臺信息及網絡安全與保密管理，避免操作權為操作人員按照功能點配置是否有進入功能點的權