业务背景

智慧城市是指充分运用物联网、云计算等先进信息技术手段，全面感测、分析、整合城市运行中的各项关键信息，通过提供智能化的服务，使城市的管理和服务更有效，为城市工商业活动和市民提供人与社会、人与人、人与物和谐共处的环境。智慧城市是新一轮信息技术变革和知识经济进一步发展的产物，是工业化、城市化与信息化深度融合的必然趋势，是综合解决“城市病”的一种有效途径，是一种可持续的城市发展模式。

智慧城市建设是在原有城市基础设施上，综合运用新一代的信息技术，赋予基础设施交互能力，对物体进行识别，感测城市运行的基本状况，实现物与物之间的信息传递；并对交互感知得到的信息通过云计算平台进行统一管理和调度，城市各相关部门根据所需提取信息进行智能处理、分析预测，形成诸多智能系统方案，如：智能交通管理系统、智能安防管理系统、智慧能源管理系统等。通过打造一个统一的城市运营指挥中心，为城市管理者提供高效的城市管理手段和途径，从而为企业提供优质服务和广阔的创新空间，为市民提供更好的生活品质。

智慧城市需要政府打破数据行政壁垒，统筹社会各方完成大数据采集与共享的能力。因此，智慧城市建设需要专门的城市运营指挥中心来负责城市政务大数据的采集、管理与共享发布，进而推动大数据的研究、挖掘、应用与产业发展。而在智慧城市建设过程中，这些海量基础数据包含公民和政府敏感信息，数据潜藏无限价值，成为黑客、敌对势力、间谍组织的重要攻击目标。

在过去的数十年中，由于我国对革命性新技术的系统认识不足，前瞻性投入不够，导致从半导体、计算机、网络基础设施，到操作系统和数据库等主流IT技术的控制权完全旁落，国家安全几乎“无密可保”，教训深刻。“棱镜门”事件只是揭开了我国网络与信息系统安全问题的冰山一角，随着大数据时代的来临，我们所面临的严峻安全形势只会日益加重，迫切需要建立我国自主可控的安全体系，否则信息化程度越高，安全风险反而越大。试想一旦涉及国家政治、军事、经济等方面的信息化系统被监控或攻击，重要数据泄露，后果将不堪设想。

安全挑战

智慧城市建设利用云计算为用户提供更多服务，如一站式网络平台服务和各种在线软件的使用；利用云计算，电子政务系统对用户设备的要求降低，用户使用简单的终端设备，如PC、笔记本，甚至是手机等无线通信设备，就可以随时随地的通过网络使用电子政务云计算系统中的资源；云计算还实现了电子政务系统中不同设备间的数据与应用共享，不仅能减少成本支出，更有效节约了社会资源。

云计算虽然具有明显的优势，但其潜在风险也不容忽视。虽然云计算采用多种数据加密技术保证数据安全性，但由于电子政务系统中涉及到的信息很多都是公民和国家的机密信息，对数据的安全性要求就更高，并且云中的数据对云运营商也是完全透明的，因此保证数据信息的安全性显得至关重要。

智慧城市建设本质上是国家电子政务建设的延展，需要符合相应的标准和信息安全要求，如国家发展改革委第55号令、国发﹝2012﹞23号文、公安部等级保护、以及信息安全行标国标要求。

智慧城市云计算中心系统的安全隐患主要来自于外部侵入和内部破坏，系统的安全包含技术的安全、法律和制度的保障等，安全建设包括权限与认证体系、信息安全处理体系、信息传输安全体系等方面。

整个安全保障体系可分为：物理安全、网络安全、系统安全、应用软件安全和信息资源安全。智慧城市云计算中心的安全保障体系是贯穿整个体系架构每个层次各系统的。各子系统的设计与构建都要把安全保障作为关键部分。实现数据中心的安全保障不仅要从技术层面，还需要从管理层面考虑。

开展智慧城市云计算中心信息安全保障体系建设，保障智慧城市云计算平台安全运行，示范基于等级保护基本要求的基础设施和关键系统的信息安全保障体系建设效果，智慧城市云计算中心安全保障体系建设应该包括以下建设任务：

安全域划分和区域边界防护建设任务

防病毒管理建设任务

云环境边界防护建设任务

统一监控与审计建设任务

统一安全管理建设任务

设备安全配置与加固任务

应用系统及云计算平台安全任务

安全管理体系的建设任务

安全运维体系的建设任务

解决方案

江苏肯飞信息工程有限公司作为智慧城市的倡导者和实践者，在智慧城市整体规划的基础上，打造智慧城市安全体系建设整体框架，提供多层次立体化的智慧城市安全解决方案和服务体系，保障在不同的业务系统之间（包括核心业务以及各种相关业务系统）以数据中心为核心进行数据共享、数据存取、数据交换等过程中的全面安全性，确保智慧城市云计算平台安全运行，示范基于等级保护基本要求的基础设施和关键系统的信息安全保障体系建设效果。

智慧城市安全体系总体建设框架

1、安全域划分与安全域访问控制策略

智慧城市云计算平台主要由民生云数据中心和政务云数据中心、电子政务外网组成。三个区域之间的访问控制策略如下：

1）互联网访问控制原则

原则上公众、高校、研究机构与企业用户只能访问民生云数据中心，禁止访问政务云数据中心；

公众、高校、研究机构与企业用户等不同用户可访问DMZ区域所有服务，但访问民生云应用资源服务区需要相关云主机，则需要经过身份认证与授权；

政务移动办公用户可通过VPN经身份认证后访问民生云数据中心相关政务云移动办公代理主机并通过安全隔离交换平台访问政务云数据中心实现远程办公。

2）民生云内部的访问控制原则

原则上民生云数据中心内部不同用户云主机之间采用VLAN相互隔离，在向管理员申请后可进行指定云主机之间相互访问；

原则上民生云应用计算资源区与测试展示服务区之间采用VLAN相互隔离，在向管理员申请后可进行指定云主机之间相互访问；

安全管理区可访问民生云应用计算资源区与测试展示服务区。

3）政务云内部的访问控制原则

原则上政务云数据中心内部不同用户云主机之间采用VLAN相互隔离，在向管理员申请后可进行指定云主机之间相互访问；

原则上政务云应用计算资源区与测试展示服务区之间采用VLAN相互隔离，在向管理员申请后可进行指定云主机之间相互访问；

安全管理区可访问政务云应用计算资源区与测试展示服务区。

4）电子政务外网的访问控制原则

原则上政府相同行业之间的省、市电子政务外网与政务云之间通过VPN可相互访问；

原则上政府不同行业之间通过安全隔离交换区数据安全缓存系统实现相互间数据共享；

原则上，相同用户的云主机之间可相互访问，不同用户之间采用VLAN进行隔离。

2、云边界安全防护体系设计

云边界安全防护体系设计主要部署如下设备和软件：

1）防火墙

在政务云网络边界分别以网关方式部署2台捷普高端防火墙产品，采用双机热备方式工作，实现网络边界访问控制，启用访问控制功能，对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制。

2）下一代防火墙

在民生云网络边界处以网关方式部署2台捷普高端下一代防火墙产品，采用双机热备方式工作，实现网络边界访问控制、垃圾邮件过滤、抗拒绝服务DDoS、入侵检测等安全功能。

3）流量控制设备

在民生云网络边界处以网关方式部署2台捷普高端流量控制设备，采用双机热备方式工作，实现网络流量检测、关键业务带宽保障、网络资源控制。

4）IPS入侵防御系统

 在政务云网络边界以网关方式部署2台捷普高端IPS入侵防御系统，采用双机热备方式工作，监控并阻断端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等攻击行为，并记录攻击源IP、攻击类型、攻击目的、攻击时间。

5）VPN

在政务云网络边界分别部署2台捷普高端VPN网关，实现与用户之间的SSL/IPSEC加密通讯，并进行双向身份认证。采用旁路方式部署，根据用户需要使用VPN功能。

6）边界安全准入网关

在政务云网络边界部署2台捷普边界安全接入网关系统，对接入主机进行合法性认证与安全准入控制。采用旁路方式部署，根据用户需要使用安全准入功能。

7）WAF防火墙

在政务云和民生云边界各部署1台捷普高端Web应用防火墙，对WEB网站提供WEB攻击恶意流量拦截，WEB入侵安全审计等服务，采用旁路方式部署，根据用户WEB防护需求通过重定向实现WEB流量安全过滤。

8）抗DDoS攻击网关

在政务云网络边界部署2台抗DDoS攻击网关，实现对来自电子政务外网DDoS攻击的全面防护。

9）服务器群组防护系统

在计算资源区边界部署2台捷普高端服务器群组防护系统，实现服务器运行状态监控、数据防篡改、服务器安全加固、应用访问加速等多重服务器保护机制。

10）安全隔离与信息交换系统

在安全隔离交换区部署2台捷普网闸系统，实现民生云和政务云信息交换与隔离，防止网络重要信息和数据的外泄。

3、云计算环境安全防护体系设计

云计算环境安全防护体系设计主要部署如下设备和软件：

1）云主机防护套件

在民生云和政务云的云主机上分别部署1套云主机防护套件，实现对虚拟机的安全管控，包括虚拟机间隔离、虚拟机防溢出、虚拟机病毒防护等功能。

2）CA数字认证网关

在政务云安全管理区部署1套CA数字认证网关，为云计算平台服务；实现CA数字证书本地认证，建立信任体系。

3）云安全管理平台

在政务云安全管理区分别部署1套云安全管理平台，实现集中安全设备管理、安全事件收集、事件关联分析、状态监视、分析报表等功能。捷普信息安全一体化集中管理系统（JSOC）支持以虚拟化软件形态部署在云计算网络，实现云端的集中信息安全管理。

4）终端安全管理系统

在政务云安全管理区部署1套终端安全管理系统，实现对云终端的安全管理，防止违规外联、非法使用I/O设备等违规行为的发生。捷普信息终端综合安全管理系统（JCSIMP）支持以虚拟化软件形态部署在云计算网络，实现云终端安全管理。

5）防病毒系统

在民生云和政务云安全管理区分别部署1套防病毒系统，为云主机提供病毒升级、病毒监控等功能。

6）网络脆弱性智能评估系统

在民生云和政务云安全管理区分别部署1台网络脆弱性智能系统，协助运维人员更早掌握网络安全漏洞并做好适当修补，有效预防入侵事件的发生。定期和持续地提供全面可靠的安全评估服务，提供完整的漏洞挂你机制。

7）数据库审计系统

在政务云安全管理区部署1台捷普数据库审计系统，掌握数据库访问情况、安全风险和执行效率，预防敏感信息泄露，实现对数据库安全事件的精准定位和溯源。

8）网络审计系统

在民生云和政务云安全管理区分别部署1台捷普网络信息审计系统，对访问云计算中心的所有网络访问行为进行实时监控与审计。

9）堡垒机

在民生云和政务云安全管理区分别部署1台捷普堡垒机系统，建立面向用户的集中、有序、主动的运维安全管控平台，基于唯一身份标识的集中账号与访问控制策略，与各服务器、网络设备等无缝连接，实现集中精细化运维操作管控与审计。

客户价值

通过智慧城市云计算中心的设计建设，加强信息安全技术体系建设，完善智慧城市云计算中心整体信息安全保障体系，提升综合安全防护能力。

将技术体系中各类安全技术措施向云计算平台安全建设扩展，综合运用纵深防御、分域防护、云边界防护、安全综合安全网关等技术和策略，通过原有主机、网络、安全设备配置加固，新增必要安全设备，梳理完善信息安全管理体系等多种手段，全面提高智慧城市云计算中心云计算中心重要信息系统的信息安全防护能力，部分满足等级保护技术要求。

通过建立完善的安全管理和服务体系，以云计算平台上线正式运行后的常态化安全保障工作为目标，针对自评、测评、审计、检查、加固等各服务环节，建立配合智慧城市云计算中心云计算中心重要信息系统及云平台运维的常态化检测和安全服务机制。