招标文件重庆市国土房管局政府采购工作组 二〇一三年八月二十日一、招标邀请函重庆市国土资源和房地产信息中心关于市国土资源和房屋管理行业数据中心安全等级保护整改监理服务招标采购，本项目采取竞争性谈判的方式进行。（一）招标人招标人：重庆市国土资源和房地产信息中心联系人：王老师联系电话：********（二）招标委托单位名称：重庆市国土房管局统一采购办公室地址：重庆市渝中区人和街74号4楼邮编：400015招标办公室：见门牌标注联系人：李老师、郑老师电话：********（传真）、********（三）项目名称：重庆市国土资源和房地产信息中心关于市国土资源和房屋管理行业数据中心安全等级保护整改监理服务招标采购（服务类）。（四）项目相关要求：1、2013年8月20日发出招标信息。2、投标报名截止时间2013年8月22日。投标报名（包括提供报价单位及单位相关资料和联系方式等）最晚于2013年8月22日17时前进行，报名人需到重庆市国土房管局统一采购办公室（重庆市渝中区人和街74号4楼）进行现场报名。未按照以上规定及时限进行报名的投标单位，将视同自动放弃投标。3、竞标人应具备的相关要求及投标须知。（1）投标资质供应商是指向采购人提供货物、工程或者服务的法人、其他组织或者自然人。以下简称竞标人。〈1〉合格的竞标人应符合下列条件：①具有独立承担民事责任的能力；②具有良好的商业信誉和健全的财务会计制度；③具有履行合同所必需的设备和专业技术能力；④有依法缴纳税收和社会保障资金的良好记录；⑤参加政府采购活动前三年内，在经营活动中没有重大违法记录；〈2〉竞标人具有特定资格条件：投标方应具有信息系统工程监理资质，能根据招标人的需求完成项目实施的监理。〈3〉本项目不接受联合体竞标。（2）竞争性谈判文件投标文件〈1〉我工作组所作的一切有效的书面通知、修改及补充，都是招标文件不可分割的部分。本竞标项目所有补遗文件（如果有）一律在重庆市政府采购网（http://www.cqgp.gov.cn）“分散采购项目”上发布，请各竞标人注意下载，并按补遗文件要求将补遗文件回执传真至（023）********。如竞标人无补遗文件回执，我工作组视同竞标人已收到本竞标项目补遗文件。〈2〉招标文件的解释竞标人如对招标文件有疑问，必须以书面形式在报名截止前向我工作组要求澄清，我单位可视具体情况做出处理或答复。如竞标人未提出疑问，视为完全理解并同意本招标文件。一经进入开标程序，即视为竞标人已详细阅读全部文件资料，完全理解招标文件所有条款内容并同意放弃对这方面有不明白及误解的权利。（3）投标要求〈1〉竞标人提交的竞标文件由以下部分和竞标人所作的一切有效补充、修改和承诺等文件组成。它包括：①竞标人概况②《明细报价表》及竞争性报价函（本项目限价为人民币柒万元整，凡超出限价的报价文件均作为废标处理）③技术应答（包括监理方案）④商务条款承诺包括工期、质量保证期、业绩证明、售后服务条款及优惠条件等。⑤商务及技术差异表⑥其它优惠承诺⑦法定代表人身份证明⑧法定代表人授权委托书⑨供应商的企业法人营业执照复印件⑩相关的资质证明等其他资料以上条款基本格式未规定格式，由竞标人自定格式。〈2〉报价有效期：报价文件及有关承诺文件有效期为开标开始时间起90天。（4）竞标报价竞标报价包括竞标项目实施完成的完整报价，包括服务、维保等相关所有费用。因成交人自身原因造成漏报、少报皆由竞标人自行承担责任，采购人不再补偿。（5）提交竞标文件的份数和签署〈1〉竞标文件正本一份。〈2〉竞标文件正本的每一页应加盖公章。（6）竞标文件的递交〈1〉竞标文件的密封与标记竞标文件的正本采用信封分别密封。信封上注明项目名称、谈判人名称和地址、“正本”字样及“不准提前启封”字样。信封封口处须用白封条加以覆盖密封并加盖企业公章或法人授权代表签字。〈2〉竞标文件投递截止时间：谈判开始时间。（7）竞标文件语言：简体中文（8）竞标人参与人员各个竞标人可派1-2名代表参与谈判，至少1人应为法人代表或具有法人授权委托书的授权代表。（9）无效报价竞标人发生以下条款情况之一者，视为无效报价，其竞标文件将被拒绝：〈1〉未按时到达开标现场。〈2〉法人代表或法人授权代表未参加谈判。〈3〉无主要的有效资格证明文件或超出营业范围的竞标。〈4〉竞标文件不按规定签字、盖章。〈5〉竞标人的报价超出规定的最高限价。〈6〉竞标人的资质不符合招标文件“投标资质”要求的内容。〈7〉竞标人投标文件内容有与国家现行法律法规相违背的内容，或附有采购人无法接受的条件。（五）谈判程序1．采购方组织的谈判按竞争性谈判文件规定的时间和地点进行。竞标人须有法人或法人授权代表参加并签到。2．竞争性谈判以抽签的形式确定谈判顺序，由采购方组织的谈判小组分别与各竞标人进行谈判。3．在谈判过程中谈判的任何一方不得向他人透露与谈判有关的技术资料、价格或其他信息。4．初始谈判后，如谈判文件有实质性变动的，谈判小组须以书面形式通知所有参加谈判的竞标人。所有竞标人根据竞争性谈判文件或其补充文件在规定的时间里提出有关书面建议及做出相关的书面承诺，并报出最佳服务和最后报价。谈判小组在此基础上公平选定成交报价。5．所有竞标人在谈判时做出的所有书面承诺须由竞标人法人授权代表签字。6．谈判结束后，谈判小组统一要求符合谈判文件要求的竞标人在规定的时间内书面提出最后报价及有关承诺（填写《最后报价表》），并据此确定成交供应商。超出规定时间没有进行最后报价的竞标人，视为放弃最后报价，以其竞标文件的报价为准。（六）成交原则1．评审办法〈1〉本项目评审采用最低报价法进行评审。〈2〉评标小组按照由低到高顺序对符合招标文件要求的竞标人的最后报价进行排序，前三位的供应商为成交候选供应商。采购人应在符合采购需求、质量和服务相等的前提下，以提出最低报价的供应商作为成交供应商。2．评审依据：评审的依据为竞标文件（含有效的补充文件），评标小组判断竞标文件对招标文件的响应，仅基于竞标文件本身而不靠外部证据。3．出现以下情况之一的，作为采购失败处理，应重新组织采购：〈1〉出现影响采购公正的违法、违规行为的；〈2〉竞标人的报价均超过了最高限价，采购人不能支付的；〈3〉因不可抗力导致重大变故，采购任务取消的。（七）成交通知1．成交结果将在重庆市政府采购网（http://www.cqgp.gov.cn）“分散采购结果公示”栏目内公示。2．开标结束7日内，我工作组将以书面形式发出《中标通知书》。如果《中标通知书》不能在7日内发出，则发出时间不应超过报价有效期。《中标通知书》一经发出即发生法律效力。3．《中标通知书》将作为签订协议的依据。4．签订合同时，根据需要采购方有权提出对技术条件发生变化的货物作局部调整或变更数量，调整或变更部分，《明细报价表》有对应项目的，按照报价表有关单价执行。无对应项目的，成交双方共同协商确定。二、采购项目介绍及需求本采购项目为重庆市国土资源和房屋管理行业数据中心安全等级保护整改项目的监理服务，需要完成对重庆市国土资源和房屋管理行业数据中心安全等级保护整改实施的全程监理，并提供相关监理资料和文件。重庆市国土资源和房屋管理行业数据中心安全等级保护整改项目介绍：（一）项目背景和意义随着全球信息化进程的不断推进，我国政府及各行各业也在进行大量的信息系统的建设，这些信息系统已经成为国家重要的基础设施，因此，信息系统安全问题已经被提升到关系国家安全和国家主权的战略性高度，已引起党和国家领导以及社会各界的关注。随着“金”字工程、政府上网、电子商务、电子军事等信息化建设和发展，作为现代信息社会重要基础设施的信息系统，其安全问题必将对我国的政治、军事、经济、科技、文化等领域产生至关重要的影响。能否有效的保护信息资源，保护信息化进程健康、有序、可持续发展，直接关乎国家安危，关乎民族兴亡，是国家民族的头等大事。没有信息安全，就没有真正意义上的政治安全，就没有稳固的经济安全和军事安全，没有完整意义上的国家安全。随着国家信息化的不断推进与当前电子政务的大力建设，信息已经成为最能代表综合国力的战略资源，因此，信息资源的保护、信息化进程的健康是关乎国家安危、民族兴旺的大事；信息安全是保障国家主权、政治、经济、国防、社会安全和公民合法权益的重要保证。经党中央和国务院批准，国家信息化领导小组决定加强信息安全保障工作，实行信息安全等级保护，重点保护基础信息网络和重要信息系统安全，要抓紧信息安全等级保护制度的建设。对信息系统实行等级保护是我国的法定制度和基本国策，是开展信息安全保护工作的有效办法。 2007年，按照《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号）和《重庆市关于开展重要信息系统安全等级保护定级工作的通知》（渝公发[2007]137号），开展了我局的信息系统等级保护定级工作，相关信息系统也根据其重要性分别进行定级，并在公安机关办理了相关的备案手续。2010年，按照《关于开展重要信息系统安全建设整改和安全等级测评工作的通知》（渝等保办[2010]2号）的要求，委托重庆信安公司对我局三级应用系统开展了安全等级测评工作，形成了《信息系统安全等级测评报告》。2012年6月，国土资源部在厦门召开全国国土资源信息安全培训会，要求各省市结合测评的结果，加快安全整改工作。(二)信息安全建设现状通过行业数据中心和国土资源业务网的建设，已经初步形成了以行业数据中心为核心，上联国土资源部，下至主城及远郊各国土房管部门的业务网络系统，并且以该网络系统为基础，已经部署和运行了一些重要的业务系统，如地房籍管理信息系统、视频会议系统等。经过近几年的建设与积累，已经建立起了一套安全防护体系，以下将从物理安全、网络安全、主机安全、应用系统安全、数据安全和管理安全几个方面对我局信息系统的安全现状进行描述。（1）物理安全行业数据中心机房主要由主机房、屏蔽机房、网络室、监控室、介质间、空调间、配电间、UPS间、钢瓶间、备件间、硬件维修间、值班室等功能区域组成。机房主要包括UPS及配电、综合布线、精密空调、KVM、消防报警、门禁、环境监控、新风等子系统。机房在设计和建设过程中严格按照国家A类机房的标准进行。建设中遵循科学性和系统性原则，首先严格按照国家现有的规范、标准来进行综合设计和施工；其次，从系统性的角度来考虑，机房不只是一个简单计算机设备摆放的场所，统筹考虑机房结构装饰系统、动力供配电系统、综合布线系统、空调系统、消防灭火系统和报警系统、接地防雷系统、门禁系统等十多个子系统的建设。同时综合考虑了目前和今后五年内对机房综合环境的要求，具有适当超前性和扩展性。在机房承重负载、用电负荷、主机房面积设计时，均预留了空间。机房建成后，加强管理。工作人员每天至少定时巡视机房6次，机房综合监控软件能够监控机房环境温度、湿度、配电、电量仪、UPS、空调、漏水、视频、红外报警等，并能提示工作人员及时查看机房异常状况。人员进出机房需要刷门禁卡，对于屏蔽机房需要两人同时在场才能开启门禁。安排工作人员晚上在机房值班，机房外电梯大厅专设了保安24小时值班，按照机房安全管理制度做好人员进出管理，做好登记管理工作。（2）网络安全目前，重庆市国土房管网络系统分为七个区域，包括核心数据交换区、核心数据服务器区、网络安全管理区、局机关网络、互联网接入区、上联区、区县单位接入区。网络拓扑结构如下图所示： 核心数据交换区：部署了核心的网络设备，包括负载均衡交换机、核心交换机、核心路由器、备份路由器、视频会议MCU、汇聚交换机等。两台核心交换机采用虚拟化技术实现高可靠性。通过在核心交换机配置防火墙插卡，对需要保护的区域进行策略定制,保障各个分区的数据安全。同时，在核心交换机上旁挂一台负载均衡设备，来优化应用服务器的资源使用，提高资源的利用率。核心数据服务器区：用于部署相关业务的数据库服务器、应用服务器、存储等设备。通过在核心交换机上配置的防火墙板块来为核心数据服务器区提供安全防护。但是，目前整个核心数据服务器区划分在一个安全域内，不利于对一些关键应用和数据的安全防护。局机关网络：目前主要部署局机关使用的应用系统，如办公自动化系统、财务系统、邮件系统等。通过10M专线将局机关汇聚交换机与行业数据中心的核心交换机相连。同时一条2M线路作为线路的备份。互联网接入区：目前互联网接入区部署在市局机房，在外网应用服务器区域与互联网之间部署边界防火墙，通过安全策略来确保互联网接入的安全性。上联区：业务网和国土资源部主干网进行连接，实现数据交换和国土资源部视频会议的召开。区县单位接入区：通过两台核心路由器主备的方式完成对各区县单位的接入，包括主城土地和房屋权属登记中心、相关直属单位、远郊区县国土房管局等。主城土地和房屋权属登记中心采用2M线路作为备份线路，提高线路的可用性。网络安全管理区：通过部署安全管理平台来实现网络拓扑管理、故障和报警、设备配置管理、性能管理、网络流量监控和分析等。但目前该安全管理平台只能对H3C的网络设备进行管理。目前国土资源业务网络中安全防护措施主要有：a)在外网应用服务器区域与互联网的网络边界，外网到局机关网络以及局机关网络与数据中心之间分别部署了防火墙，实现了基本的边界访问控制；b)部署网络版病毒防御系统，为客户端提供统一的病毒库自动更新、实时病毒防御等安全管理服务, 增强了服务器和主机系统防范病毒和恶意程序的能力；c)按照功能、业务等需要进行区域划分，并通过防火墙实现区域间的访问控制；d)在核心交换机上配置ACL访问控制策略，进一步细化了对核心应用和数据的访问控制。e)加强对网络设备及运行情况的监控，安排专门人员进行7*24小时值班，发现异常及时处理和报告。 （3）主机安全目前，数据中心总共有30余台服务器。对于主机安全，主要采取以下措施：a)服务器口令由专人管理，均采用数字、字母、大小写相结合的强口令。b)操作系统和数据库系统管理用户身份标识具有不易被冒用的特点，口令定期更换。c)启用登录失败处理功能，采取结束会话、限制非法登录次数和自动退出等措施。d)开启了系统默认审计日志功能，对登录事件成功审核和账户登录事件成功审核，能够通过审计日志浏览和分析记录数据，一定程度上实现了对主机系统的部分安全审计。e)主机系统都安装网络版瑞星杀毒软件，来提高主机防病毒和恶意程序的能力。病毒库能够通过更新服务器进行升级。f)定期请专业安全机构对主机系统进行安全扫描，及时发现存在的安全漏洞，并进行安全加固。（4）数据安全目前，对于Oracle数据库数据备份主要采用了三种备份方式，分别是DUMP文件备份，RMAN备份及采用DataGuard方式进行数据同步。其中，DUMP和RMAN备份都是每天定时进行，DataGuard能达到实时的数据同步。程序备份和附件备份也采用计划任务进行增量备份和全备份，其中增量备份每天定时执行，全备份每周执行。对于涉密数据，则通过刻盘，或磁带等方式存放在屏蔽机房，保证涉密数据的安全性。（5）应用安全应用系统采取的主要安全措施包括：a)采用了两种鉴别技术相结合，包括用户名密码和USB-KEY，对用户进行身份鉴别。b)各应用系统根据用户的访问权限，实现了用户的权限分离，仅授予用户所需的最小权限。c)启用安全会话处理机制，采取了会话超时，限制非法登录次数和自动退出等措施。d)对于部分应用，采取了虚拟化部署，出现问题时能够在短时间内恢复。e)定期请专业安全机构对公众信息网、公租房网站等进行安全漏洞扫描，及时发现存在的安全隐患，并进行安全加固。（6）安全管理a)安全管理组织机构我局高度重视信息安全保障工作，按照“谁主管、谁负责”的原则，切实加强对信息安全组织管理的落实，成立了以分管局领导为组长，信息中心负责人为副组长的信息系统安全工作领导小组。由信息中心运维科具体负责相关工作的组织协调。b)细化分工，落实责任将信息安全细分为物理、网络、主机、应用和数据安全，每一项由专人负责，进一步落实安全责任制。c)现有的信息系统安全管理制度我局在信息系统的建设过程中，根据有关法规、政策、文件的要求，结合自身的实际情况，制定了一系列的信息系统安全管理制度，初步形成了信息安全管理体系。已制定的安全管理制度包括：《重庆市国土资源数据中心机房管理规定》《重庆市国土资源和房地产信息中心工作规则》《重庆市国土资源数据中心涉密数据安全保密管理规定》《重庆市国土资源和房屋管理信息网政务信息发布管理办法（试行）》《重庆市国土资源和房屋管理局机关保密工作规定》《重庆市国土资源和房地产信息中心涉密计算机、便携式电脑保密管理规定》《重庆市国土资源和房地产信息中心计算机信息系统保密管理规定》《重庆市国土资源和房地产信息中心网络管理值班制度》d)日常信息安全管理在日常信息安全管理中，严格按照相关安全管理制度的规定执行。机房实行7×24小时管理，建立了机房进出人员管理和日常监控制度。周一至周五工作时间都有一名工作人员负责主要信息系统的日常安全管理工作，包括空调、UPS、相关网络和安全设备、服务器等的运行情况；对网络、安全设备以及重要服务器的日志进行查看和分析；各网站的运行状况和安全情况进行检查；重要数据、程序的备份检查等，一旦发现问题立即上报并处理。每周工作日晚上以及周末都轮流安排人员值班，负责对机房设备、网络情况以及消防等的监控，同时对主要应用系统进行监控，确保系统能运行正常。（三）行业数据中心安全整改原则和需求（1）行业数据中心安全整改原则此次安全等级保护整改以国家等级保护相关政策规范和技术标准要求为依据，结合我局信息化建设现状，管理与技术并重，建成“分区分域、多层防护”的信息安全等级保护体系。在建设过程中，遵循统筹规划、深度防御，统一标准、统一规范，自主产权、国产为主，强化管理、注重技术的原则。统一规划，加强领导。安全等级保护工作是一项系统工程，必须达到国家等级保护政策规范和技术标准对信息系统的安全要求。制定落实等级保护政策的安全总体防护方案，做好统筹规划是前提。统一部署，制定总体规划，避免重复建设，要充分明确建设目标和重点，充分发挥各方面的积极性，分类指导，分层推进，分步实施。需求主导，突出重点。充分结合信息安全建设的实际情况，以《基本要求》为依据，制定相应的安全整改策略。因为目前定级备案的系统中包括三级和二级系统，而物理环境、网络、主机等作为信息系统运行的基础条件，其安全等级应至少与定级备案系统中最高等级一致，因此此次整改对于物理环境、网络、主机和数据、管理安全按照三级等保的要求进行整改，应用系统的整改按照应用系统所定级别的相应要求进行。（2）行业数据中心安全整改需求按照《信息系统安全等级保护的基本要求》，结合信息安全现状和《信息系统安全等级测评报告》，对物理安全、网络安全、主机安全、数据安全和相关管理安全与三级等级保护基本要求进行差异分析，提出相应的整改需求。通过此次项目，行业数据中心网络安全、主机安全、数据安全需要达到三级等级保护的相关要求，并通过第三方安全测评机构的等级保护测评。相应的需求主要包括：a)外网应用区安全防护需求该区域用于部署与互联网相关的网络设备和应用系统，对互联网用户提供相关服务。该区域的安全防护一方面需要防御来自外部的威胁，阻止蠕虫、网络病毒、黑客攻击等对网络、应用系统等造成的安全威胁，另一方面需要有效监控、合理分配网络资源的使用，确保核心应用的稳定运行。在负载均衡方面，在互联网出口处部署链路负载均衡设备，实现双链路的负载均衡，确保互联网链路的高可用性。互联网外部用户在访问应用系统时，或内部用户在访问互联网资源时能够动态的在多条链路上平衡分配，并在一条链路中断的时候能够自动切换到另外一条可用链路；能够实现把内部用户以及互联网用户导向到服务质量最好的一条链路上，同时考虑网络流量、延迟等指标来综合进行链路的智能优选；按照IP地址等指标进行流量监控和统计，并能够针对IP地址等进行流量控制；指定某些IP使用指定的链路出口，满足特定应用的需要；在访问控制方面，在负载均衡设备后部署防火墙，提供访问控制、安全防护、安全远程接入等功能。能够将外网区域按照功能划分为办公区和服务器区两个安全域，办公区禁止访问服务器区任何地址和服务，特殊情况下可以指定办公区某个IP访问指定服务器的指定服务，确保服务器区域的安全。通过IP地址与Mac地址绑定来加强对办公区终端和服务器的管理。能够针对一个安全域、IP地址等进行流量监控。能够通过基于源IP地址、源端口、目的IP地址、目的端口、时间等进行访问控制。能够支持静态路由、OSPF等路由协议。提供设备故障报警、日志分析（包括设备运行情况日志、流量统计等）。在入侵防护方面，通过部署入侵防护设备（IPS），对数据包进行深层的检测，来防护针对应用层的入侵和破坏行为，例如暴力猜解，DDos攻击等。当监测到攻击行为时，能够根据设置的策略提供多种处理方式，如阻断、限流、报警（如短信，邮件等）等。设备能够实现旁路部署。攻击特征库数量不少于4000项，攻击特征库能够在线升级。能够自定义特征，如设置敏感字等，实现对指定内容的监测。当入侵防护功能完全开启时，不会对网络质量带来明显影响，影响网络的正常使用。当设备出现故障无法工作时，不会造成网络中断等影响网络正常使用的情况。能够基于Web实现设备管理、安全策略管理、日志统计分析（日志包括系统运行情况、攻击事件情况等）等。在病毒防护方面，通过部署防病毒网关，实现对病毒、木马、后门等入侵攻击行为的防护。实现病毒杀除、关键字过滤、垃圾邮件阻止等功能，用以保护网络内进出数据的安全。病毒特征库数量不少于8000条（要异于目前在使用的瑞星网络版杀毒软件病毒库）。病毒特征库能够在线升级。设备能够实现旁路部署，当设备出现故障时，不会对网络正常使用造成影响。能够基于Web实现对设备的管理，日志的分析等。在Web应用安全防护方面，通过部署Web应用安全网关，能够实现针对web应用的攻击防护，包括SQL注入攻击、跨站脚本攻击、防盗链、防爬虫、恶意扫描攻击等，提高web应用的安全性。能够实现对应用网站的防篡改，对篡改页面能够自动发现，并根据设置的处理策略及时处置，包括对被篡改进行恢复、重定向或锁定等。对防篡改网站（一级域名）数量支持不小于13个，对一级域名下的网站无数量限制。能够对业务人员的正常网站更新提供支持。能够实现对服务器、网站等进行漏洞扫描，提供风险评估报告。提供基于Web的图形化管理方式，实现对设备运行情况、安全事件信息（事件信息提供发生事件、源IP、目的IP、攻击类型等）等的实时监控，并能够实现短信、邮件等报警，能够进行日志统计分析。无线应用方面，为市局和信息中心办公区域分别搭建无线接入。信息中心办公区域面积约为1200平方米，市局办公区域面积约为2500平方米。b)内网应用区安全防护需求该区域用于部署内网核心网络、服务器等设备，负责整个网络的数据转发和各个区域的接入。目前，配置有两台高性能的超万兆数据中心级核心交换机，采用堆叠技术实现高可靠性。同时通过防火墙划分安全域，对需要保护的区域进行策略定制，来保证各个接入区域的安全性。配置主备两个路由器，实现设备的热备份。在此基础上，此次安全整改在该区域主要有如下需求：在访问控制方面，在内网接入区边界处部署防火墙，能够实现基于IP、端口、方向等的访问控制，从而加强各接入单位对数据中心，以及各单位之间的访问控制；能够根据IP等进行流量监控，了解各接入单位的流量情况，及时发现流量异常对网络造成的影响；需要能够支持静态路由、OSPF等路由协议；提供设备故障报警、日志分析（包括设备运行情况日志、流量统计等）。在安全审计方面，能够实现对数据库、服务器、网络等设备日常运行维护的管理和安全审计。通过部署数据库审计系统，实现对数据库的安全审计，能够对数据库的各种操作行为进行监控，能对审计记录数据进行统计、查询、分析及生成审计报表等，便于对数据库系统进行事前监督，事后追溯。系统采用旁路部署的方式，部署过程中不能对原有系统进行干扰，不需要在客户端或服务器端安装代理、或者在整个通讯链路中串联设备，改变原有通讯方式，同时数据库审计系统的故障也不会对原有数据库造成影响，能够对ORALCE、SQL SERVER、MY SQL等主流数据库系统进行审计。能够通过IP地址、用户、时间、数据库操作类型、数据库表名、字段名等组合指定数据库审计策略，从而全面监测发现各种对数据库的非法操作，能够提供邮件、短信、日志记录等多种报警方式。能够基于源IP地址、目的IP地址、访问时间、用户名、数据库操作类型、数据库表名、字段名等进行查询分析，对安全事件准确全程跟踪定位，为事后追查取证提供支持。提供基于web的管理方式，能够对数据库审计事件信息进行备份、恢复、清除等。能够根据需要将数据库审计人员划分为管理员、数据库审计人员（根据需要授权能够审计的数据库，能够进行审计的内容），从而实现细粒度的权限划分，同时对整个审计操作进行自身审计。存储空间不小于500G、支持外接存储设备。通过部署运维安全审计系统，实现对服务器（Unix、Windows等主流操作系统）、网络和安全设备的统一运维管理和安全审计，采用旁路部署的方式。管理员按照用户、目标主机、权限、运维时间段等，对运维人员进行授权后，运维人员才能登录到相应的设备，完成相应的运维操作。在运维人员进行操作时，能够以图像方式实时监控正在运维的各种操作，其信息与运维客户端所见完全一致，对运维过程中出现的违规操作能够进行告警或阻断。能够按照用户、日期和操作内容中关键字等进行查询，并提供图像形式的回放，重现当时的操作过程。能够对运维人员的日常操作、管理员对审计平台的操作配置、运维报警次数等进行报表统计分析。存储空间不小于500G、支持外接存储设备。能够支持运维设备数量不小于100台。此次安全整改需要为核心设备配置两个电磁防护机柜，防止计算机、网络服务器和通讯电子设备在运行中产生机要信息的泄露；防止设备在运行中受外界电磁波的干扰，保证其正常工作。在终端用户管理方面，通过部署内网安全管理系统实现对终端设备的内网准入控制、非法外联监控、上网行为监控等安全管理控制。目前已有一套H3C iMC软件，其中的EAD模块能满足此项需要，此次整改需要对EAD进行配置和部署。在网络入侵防范方面，通过部署入侵检测系统，对内网接入区、内部终端区、外网应用区以及服务器区域相应接入端口的监控，及时发现和阻止恶意攻击和入侵。系统需要提供覆盖广泛的攻击特征库，数量不少于4000项，特征库能够进行升级。能够对来自内部和外部的非法入侵行为（包括人工入侵、病毒、恶意流量等）和指定关键字，进行实时检测，并能够通过短信、邮件等方式报警。能够基于Web进行设备管理、安全策略管理、日志统计分析（日志包括系统运行情况、网络入侵事件情况等；能够根据IP、访问的内容等进行统计和分析）等。目前已有一台IPS(H3C SecPath T200),此次整改需要将其进行部署。由于国土资源部网络带宽需要从2M扩大到4M，现有路由器（cisco 1841）只有一个板卡用于一条E1线路（2M）的接入，需要新配置一块板卡用于新增E1线路（2M）的接入。c)数据安全防护需求针对数据安全，此次安全整改的需求主要有：在图形数据区边界处部署网闸，来加强对图形数据区的数据访问。图形数据区主要用于部署图形数据和系统，通过网闸的部署实现图形数据区与其他区域的物理隔离。能够支持主流数据库，特别是Oracle的相关端口和协议。部署网闸不需更改现有数据库环境设置。提供图形化的管理工具，能够对系统运行情况进行统计和分析。通过对核心交换机防火墙进行设置，细化核心数据区的安全域划分，包括核心数据区、核心应用区和一般应用区，用以部署不同安全等级要求的系统。同时在防火墙上设置策略规则，来增强区域间访问的安全性。目前，部署的几个核心数据库均为Oracle数据库，虽然已采取了一定措施来确保数据安全，但用于存储数据的核心存储都无热备份存储系统。一旦出现故障，核心系统将无法受理业务，数据安全也难以保障。此次安全整改将主要针对这一问题，部署具有虚拟化功能的存储设备，通过外接不同种类和品牌的磁盘阵列，包括IBM、HP等主流存储，实现集中化、虚拟化的磁盘存储池，同时通过透明数据迁移、数据快照等功能，实现数据的热备份，达到核心数据的高可用。考虑到对核心存储进行此项整改时，将有多台存储和服务器接入现有的两台IBM B24光纤交换机，需要分别激活8个光口，并配置8个光纤模块。配置一台服务器用于部署存储管理软件。（四）建设内容及要求本次行业数据中心安全等级保护整改项目需要投标人根据行业数据中心的安全现状以及安全整改需求，提出适合行业数据中心安全需求的整改方案，并按照方案进行设备采购和方案实施。投标方案必须充分考虑现有网络架构、相关设备等的现状，根据提出的相应需求，针对网络、主机和数据几个方面不符合三级等保要求的内容提出切实可行的整改措施。并且按照中标方案实施后，需要第三方安全测评机构进行测评，测评结果需要达到三级等级保护的要求，此项作为验收条件之一。下面将给出行业数据中心安全整改参考方案：(1)建设目标依据国家和重庆市对安全等级保护相关工作的部署，按照《信息系统安全等级保护的基本要求》，结合我局《信息系统安全等级测评报告》，对网络安全、主机安全、数据安全与三级等级保护基本要求的差异性进行分析，并提出整改措施，分步骤进行实施。通过这些整改，提高我局信息系统的安全水平，安全防范能力得到提升，符合国家安全三级等级保护的相关要求。(2)方案设计按照等保三级中对网络安全、主机安全和数据安全的要求进行差异分析，对存在的问题进行综合考虑，针对行业数据中心安全建设提出以下方案设计，旨在通过对现有网络结构、网络设备、区域划分和安全控制等方面的完善，达到三级安全防护能力的要求。按照分区分域的建设原则，将国土资源业务网络划分为八个不同的区域，包括图形数据区、核心数据区、核心数据交换区、内网应用区、外网应用区、内网接入区、上联区、内部终端区。每个区域根据其承载业务的要求采取相应的安全措施。在现有网络结构的基础上进行完善和调整，网络拓扑结构如下图所示： （图中标注为红色的为本次新增设备；标注为黄色的为设备已有，需要部署；其余设备利旧） 按照分区分域的建设原则，并结合每个区域对安全等级的要求，对如上图所示的各区域的安全设计如下：a)核心数据交换区该区域用于部署核心网络设备，负责整个网络的数据转发和各个区域的接入。目前，配置有两台高性能的超万兆数据中心级核心交换机，采用堆叠技术实现高可靠性。同时通过在核心交换机配置的防火墙板卡上划分安全域，对需要保护的区域进行策略定制，来保证各个接入区域的安全性。配置主备两个路由器，实现设备的热备份。在此基础上，此次安全整改将从以下几个方面进行：在内网接入区边界处部署一台千兆防火墙。通过防火墙对发起的访问行为进行控制，从而增强网络核心区域的安全性。在核心交换机旁路部署一台入侵检测系统（IDS），通过对内网接入区、内部终端区、外网应用区以及服务器区域相应接入端口的监控，及时发现和阻止恶意攻击和入侵。部署一套网络监管系统，实现对全网不同厂家和型号的网络设备的性能、故障和日常维护等统一监管，能够通过报警、邮件和短信等方式将出现的异常情况及时通知维护人员，同时能够采集相关网络运行情况的信息、各种主机、应用系统、网络设备、安全设备的相关日志进行分析，并能够对网络中可能出现的问题进行预警。该系统已在开发阶段。在核心交换机旁路部署一套数据库审计系统，通过对接入数据库端口的数据监控和关键字分析，实现对核心数据库的安全审计。能够实现用户对数据库的各种操作行为的监控和审计，能对审计记录数据进行统计、查询、分析及生成审计报表等，便于对数据库系统进行事前监督，事后追溯。在核心数据交换区部署一套运维安全审计系统。解决目前对网络设备和主机无法进行安全审计的问题，能够实现对网络设备和主机访问的审计，支持实时监控和事后回放；能够对用户进行集中管理和登录，实现对用户允许访问设备、访问权限、账号管理的统一控制；能够实现对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别。部署一套内网安全管理系统，通过在用户端上安装相应的客户端实现内网准入控制、非法外联监控、上网行为监控、漏洞检查与修复等安全管理。为核心设备配置两个电磁防护机柜，防止计算机、网络服务器和通讯电子设备在运行中产生机要信息的泄露；防止设备在运行中受外界电磁波的干扰，保证其正常工作。b)图形数据区该区域主要用于部署图形数据和系统，为此次安全整改新增区域，通过网闸与核心数据交换区实现物理隔离，确保图形数据区的安全访问。c)核心数据区该区域主要用于部署核心应用的数据库服务。此次安全整改通过在核心交换机的防火墙划分独立的安全域来实现与其他区域的安全隔离，同时在防火墙上设置允许访问该区域的服务器、访问的端口等策略，来增强该区域的安全性。目前，在该区域主要部署几个核心数据库，虽然已采取了一定安全措施来确保数据安全，但用于存储数据的核心存储都无热备份存储系统。一旦出现故障，核心系统将无法受理业务，数据安全也难以保障。此次安全整改将主要针对这一问题，进一步增强核心数据和应用的安全性和高可用性。部署具有虚拟化功能的存储设备，通过外接不同种类和品牌的磁盘阵列，包括IBM、HP等主流存储，实现集中化、虚拟化的磁盘存储池，同时通过透明数据迁移、数据快照等功能，实现数据的热备份，达到核心数据的高可用。此次安全整改将主要针对这一问题，考虑到对核心存储进行此项整改时，将有多台存储和服务器接入现有的两台IBM B24光纤交换机，需要分别激活8个光口，并配置8个光纤模块。同时配置一台服务器用于存储管理软件的部署。 d)内网应用区该区域用于部署内网的相关应用服务。通过在核心交换机的防火墙划分独立的安全域来实现与其他区域的安全隔离，同时制定安全策略，既能满足安全需要，又能满足应用系统的数据交换要求。e)内网接入区该区域主要包括市局各直属单位、各区县国土房管部门、以及其他需要接入业务网的单位。此次安全整改该区域保持现状。f)上联区该区域用于与国土资源部主干网的连接，通过防火墙接入核心数据交换区，实现数据交换和国土资源部视频会议的召开。由于国土资源部网络带宽需要从2M扩大到4M，现有路由器（cisco 1841）只有一个板卡用于一条E1线路（2M）的接入，需要新配置一块板卡用于新增E1线路（2M）的接入，从而满足4M带宽的要求。g)内部终端区该区域主要部署市局内部和信息中心内部办公使用的终端，通过防火墙接入核心数据交换区，满足单位内部日常办公需要。此次安全整改将把市局网络和信息中心办公内网的接入点调整到汇聚交换机上，从而更加便于对接入网络的管理和维护。同时针对终端用户实现内网准入控制、非法外联监控、上网行为监控等安全管理控制。h)外网应用区该区域用于部署与互联网相关的网络设备和应用系统，对互联网用户提供相关服务。此次对该区域的整改包括：将目前部署在市局机房的外网应用相关设备搬迁到行业数据中心；在运营商线路入口处部署一台链路负载均衡设备，实现互联网线路的热备份。在链路负载均衡后部署一台防火墙。通过该设备阻止外部互联网用户的非法访问请求，将外部局域网和国际互联网逻辑隔离。能实现安全的VPN接入。在防火墙后部署一台入侵防御系统（IPS）来阻止蠕虫、病毒、木马、拒绝服务攻击、间谍软件、VOIP攻击以及点到点应用滥用。入侵防御系统能够在发生损失之前阻断恶意流量。在IPS后部署防病毒网关，通过防病毒网关后接入核心数据交换区。对通过防病毒网关的数据包进行病毒扫描，从而过滤网络传输中的病毒，最大限度阻止病毒从互联网侵入内网。在外网应用服务器与防火墙之间部署WEB应用安全网关来增强应用系统的安全性，防止应用系统被恶意篡改等。(3)设备列表序号产品用途数量1链路负载均衡双线路互为备份，如一条链路出现故障时，可以自动切换到其它链路；12外网防火墙部署于互联网出口，提供访问控制、安全防护、安全远程接入等功能，通过制定安全规则对开放的端口，协议等进行控制等；13入侵防护系统通过对数据包进行深层的检测，来防护针对应用层的入侵和破坏行为，例如暴力猜解，DDos攻击等，并当发现攻击行为立即予以阻断，是对防火墙在入侵防护功能上的补充。14防病毒网关实现病毒杀除、关键字过滤、垃圾邮件阻止等功能，用以保护网络内进出数据的安全。15WEB应用安全网关主要用于保护Web应用免遭跨站脚本、SQL注入、参数篡改、路径遍历等攻击等。16隔离网闸用以实现不同安全级别网络之间的安全物理隔离，并提供适度可控的数据交换。17内网防火墙部署于内网单位接入边界处，提供访问控制、安全防护、安全远程接入等功能，通过制定安全规则对开放的端口，协议等进行控制。一台用于备用28数据库审计系统通过对网络数据的分析，实时解析对数据库的各种操作行为，并记入审计数据库中以便日后进行查询、分析、过滤，实现对目标数据库系统的用户操作的监控和审计。19运维安全审计系统对Unix和Windows服务器以及网络、安全设备的访问进行安全、有效的操作审计，支持实时监控和事后回放。通过对用户进行集中管理和登录，实现对用户允许访问设备、访问权限、账号管理的统一控制。110电磁防护机柜防止计算机、网络服务器和通讯电子设备在运行中产生机要信息的泄露；防止上述设备在运行中受外界电磁波的干扰，保证其正常工作。 211存储通过虚拟化等功能实现核心存储的高可用112AC无线控制器，对无线节点进行管理113AP无线访问节点1214POE交换机对AP供电，24口115光纤交换机扩容激活IBM B24光纤交换机8个光口，并配置8个光纤模块216内网路由器接入板卡为Cisco 1841路由器配置一块用于E1线路接入板卡（含两根BNC连接线）117服务器用于部署存储的管理软件118系统集成根据用户的需求及方案的设计，完成硬件、软件的安装调试集成。1（二）商务要求1.交货时间：合同中约定；2.货款支付：合同中约定；3.质保期：合同中约定；4.其他服务承诺：合同中约定。三、开标开标时各投标单位法人代表应到达开标现场，如本人不能到达现场的，法人代表应委托他人到达开标现场，受委托人应出具法人委托书方能参加开标。开标时间另行通知。四、备注各投标单位必须提供相应的服务保障体系，并提供书面承诺。其他相关服务要求，中标后按合同约定执行。重庆市国土资源和房屋管理局政府采购工作组 二〇一三年八月二十日