数据中心整体架构 232 7.5.2 SDN 架构设计 241 7.6 备份方案 258 7.6.1 政务云灾备方案 258 7.7 云主机服务 296 viii 7.7.1 ARM 及 X86 平台云主机服务296 7.7.2 小型机云主机服务 321 7.8 主机负载均衡服务 323 7.8.1 服务要求 323 7.8.2 服务内容 323 7.8.3 服务功能 324 7.8.4 11.3 IPSec VPN 接入服务 359 ix 7.11.4 WAF 防护服务 363 7.12 云主机深度监控服务：特定云主机深度监控及运维保障服务 372 7.12.1 云主机资源、性能及健康度监控 372 7.12.2 云主机应用监控 374 7.12.3 云主机上承载业务监控 388 7.13 图形图像计算服务 391 7.13.1 服务内容 391 7.13.2 服务功能 云平台需要支持根据业务应用的不同特点分配不同的计算资源，能根据业务应用 的特点对服务器进行配置满足应用对计算的需要（CPU、内存等）。当前，主要有 第 29 页 （弹性云主机）虚拟机和物理服务器两种计算资源的选择，其选择，主要基于如 下考量： （1）弹性云主机部署选择建议 根据业务请求的会话量和处理复杂度，会话量小，复杂度低的业务适合采用虚拟 机部署； 根据业务系统运行时的资源占用情况，资源占用低的业务适合采用虚拟机部署。

数据中心整体架构 232 7.5.2 SDN 架构设计 241 7.6 备份方案 258 7.6.1 政务云灾备方案 258 7.7 云主机服务 296 viii 7.7.1 ARM 及 X86 平台云主机服务296 7.7.2 小型机云主机服务 321 7.8 主机负载均衡服务 323 7.8.1 服务要求 323 7.8.2 服务内容 323 7.8.3 服务功能 324 7.8.4 11.3 IPSec VPN 接入服务 359 ix 7.11.4 WAF 防护服务 363 7.12 云主机深度监控服务：特定云主机深度监控及运维保障服务 372 7.12.1 云主机资源、性能及健康度监控 372 7.12.2 云主机应用监控 374 7.12.3 云主机上承载业务监控 388 7.13 图形图像计算服务 391 7.13.1 服务内容 391 7.13.2 服务功能 云平台需要支持根据业务应用的不同特点分配不同的计算资源，能根据业务应用 的特点对服务器进行配置满足应用对计算的需要（CPU、内存等）。当前，主要有 第 29 页 （弹性云主机）虚拟机和物理服务器两种计算资源的选择，其选择，主要基于如 下考量： （1）弹性云主机部署选择建议 根据业务请求的会话量和处理复杂度，会话量小，复杂度低的业务适合采用虚拟 机部署； 根据业务系统运行时的资源占用情况，资源占用低的业务适合采用虚拟机部署。

手段，落实消防安全责任制。 第三章 产品方案设计 本方案将九小场所定义为两类场景进行阐述，分别为小场景和大中场景。 3.1 小场景方案 3.1.1 系统架构： 本系统主要由：物联网报警主机（网口版）、智慧用电监测主机（网口版）以及 前端探测设备，视频联动产品组成，将以上产品按照各系统组合接入安消一体化 NVR 中，对小场所的消防现状进行统一监管，及时探测现场的烟雾、电压、电流、剩余电 流、故 3.1.2 典型场景说明： 餐馆解决方案中我们分为收银台、就餐区、后厨区、疏散通道四种场景，针对 每种场景设计了不同的设备，以应对各场景不同的需求。 收银台：安装感烟报警探测器、无线火灾报警主机、智慧用电设备，以满足客 户对于明火火灾与电气火灾监测预警的需求。安装网络视频摄像机，以满足客户对 于人员纠纷、收银情况记录、防盗、警情确认的需求。 就餐区：安装感烟报警探测器以满足客户对于明火火灾监测预知的需求安装网 满足 客户对于防盗、警情确认的需求。 疏散通道：安装感烟报警探测器以满足客户对于明火火灾监测预知的需求。安 装智能分析摄像机，以满足客户对于消防通道占用、拥堵预警的需求。 所有消防探测器通过主机与监控设备一起，经局域网将报警信号、视频信号传 输至安消一体化 NVR，实现集中管理，安消联动，提升安全监管效率。如：前端 探测器发生报警，在 NVR 界面实时弹窗告警，管理人员可以直接通过 NVR

..........................................................................................31 5.2.5 主机恶意代码防范............................................................................................. 的配置网络交换机等设备、提交故障、取消配置等功能。也便于对接入的网络计算机、 移动终端设备的控制。 2）身份真正安全：根据用户需求采用 802.1X 及 WebPortal 认证，可根据用户的身 份实施主机完整性检查、网络授权等操作，实现对用户身份、主机健康性以及网络通信 安全性等方面的管理。 4.2 网络建设及设备选型说明 4.2.1 内网设备选型 内网网络拓扑如下： 24 建设方案建议书 内网核心选择： 的效果；虚拟机 交换方式（VEPA）：将服务器软的虚拟交换机回归到硬件的虚拟交换机，降低服务器 CPU 使用性能、让网络管理边界清晰、网络流量可监管。 2、数据中心交换机为每个连接到当前以太网接口的主机动态/静态生成一个“FCoE 接口”，帮助医院轻松整合异构的光纤和以太网两张网，减少网络中的设备数量，既能真 正实现数据中心网络架构的融合，又能充分保护既有投资。 26 建设方案建议书 3、为了完美应对全院

......................................................................................42 2.4.5.1. 主机管理................................................................................................. ......................................................................................54 2.4.5.7. 主机拓扑管理............................................................................................... 智慧运维平台提供处置知识管理，通过对用户日常故障处置方法的收集，经验积累，自动反 馈到相同故障的处置过程中。 通过系统提供的智能策略机制，将用户对于某些异常分析的人工方式自动化，比如对于主机 高负载原因的排查，一般的操作逻辑是确定主机负载超过风险阈值情况是偶发事件还是一直存在， 然后分析每一次出现高负载的进程是否一致，通过人工智能找到具体的异常进程，关闭该进程或 者卸载相关软件，同时对于该进程的设定预警

......................................................................................42 2.4.5.1. 主机管理................................................................................................. ......................................................................................54 2.4.5.7. 主机拓扑管理............................................................................................... 智慧运维平台提供处置知识管理，通过对用户日常故障处置方法的收集，经验积累，自动反 馈到相同故障的处置过程中。 通过系统提供的智能策略机制，将用户对于某些异常分析的人工方式自动化，比如对于主机 高负载原因的排查，一般的操作逻辑是确定主机负载超过风险阈值情况是偶发事件还是一直存在， 然后分析每一次出现高负载的进程是否一致，通过人工智能找到具体的异常进程，关闭该进程或 者卸载相关软件，同时对于该进程的设定预警

机机房前端综合监控系统 在机房前端监控系统中，IP 摄像机通过以太网接入视频处理单 元，其他子系统通过 4-20mA 模拟量输入、开关量输入、 RS- 485/232 串口、以太网接入动环主机。视频处理单元和动环主机接 收子系统上传的视音频及动环、报警信息，并进行处理、上传，工 作人员可通过客户端向子系统发送一系列的控制指令。 4.4 视频监控子系统 机房摄像机是整个综合监控系统的视频信号源，主要负责对机 视频监控进行机房具体信息的直观了解，避免因准备不足而导致行 动盲目、低效，不能对报警进行及时有效的处理。 4.4.1 监控点分布 机房一般分为主机房、辅助区、支持区、行政管理区等几部分， 部分规模面积较小的机房，只有主机房和面积很小的辅助区。辅助 区的面积宜为主机房面积的 0.2～1 倍。面积大于 100 m2的主机房， 安全出口一般不少于两个。 机房均为封闭环境，且部分机房没有设计窗户，尤其夜间容易光 线不足，虽有补 时的监控效果，所以以下室内监控选型我们均推荐使用带红外功能 的摄像机。另外有高清需求的，也可选择高清摄像机。  主机房是主要用于信息处理、存储、交换和传输设备的安装 和运行的建筑空间，包括服务器机房、网络机房、存储机房 等功能区域，是我们的主要监控区域。对于主机房，我们选 择球机实现大范围的监控需要，通过云台控制可以监看机房 具体细节信息。同时根据机房重要性以及甲方对监控标准的

......................................................................................37 2.3.6.1. 主机管理................................................................................................37 智慧运维平台提供处置知识管理，通过对用户日常故障处置方法的收集，经验积累，自动反 馈到相同故障的处置过程中。 通过系统提供的智能策略机制，将用户对于某些异常分析的人工方式自动化，比如对于主机 高负载原因的排查，一般的操作逻辑是确定主机负载超过风险阈值情况是偶发事件还是一直存在， 然后分析每一次出现高负载的进程是否一致，通过人工智能找到具体的异常进程，关闭该进程或 者卸载相关软件，同时对于该进程的设定预警 智慧运维平台建设方案 智慧运维平台拓扑管理不仅是，拓扑结构的展现方式，更是用户监控的智能帮手；针对于业 务承载的主机，系统同样提供了系统拓扑，不仅提供全局状态监控界面，同时也讲拓扑图作为全 局分析工具，实现对于管理对象增长趋势的全域分析，包含对全域设备的 CPU 业务应用情况的分 析，整体智能分析业务上一段时

边界防护 入侵防范 访问控制 恶意代码防范 入侵防范 网络设备防护 恶意代码和垃圾邮件防范 安全审计 可信验证 安全管理中心 (一个中心) 系统管理 审计管理 安全管理 集中管控 主机安全 身份鉴别 安全计算环境 （三重防御） 身份鉴别 访问控制 访问控制 安全审计 安全审计 剩余信息保护 入侵防范 入侵防范 恶意代码防范 恶意代码防范 可信验证 资源控制 数据完整性 置加固、应用安全、 数据安全 双因素、PIK/CA（三 级增加） 访问控制 堡垒机、服务器加固 安全审计 集中日志审计、运维 审计、数据库审计 入侵防范 主机入侵检测、主机 补丁管理、网页防篡 改、WEB 应用防护 恶意代码防范 主机防病毒 可信验证 可信计算（可） 数据完整性 —— 数据备份恢复 备份恢复软件 剩余信息保护 —— 个人信息保护 —— 安全管理中心 系统管理 安全统一管控 和安全服务体系 要求和内容，集中管理、统一支撑，是整个安全保障框架的核心建设内容。 (三)安全技术体系： 18 智安网络等级保护安全防御体系方案 落实安全技术相关控制要求，实现物理、网络、主机、应用和数据的所有安 全控制项，通常采用安全产品加以实现，辅助安全技术以增强安全控制能力。 (四)安全服务体系： 1、安全策略： 指导信息系统核心业务信息系统安全设计、建设和维护管理工作的基本依

(路由交换设备) 在客户端形式多样的网络环境中，由于不同客户端支持 的接入认证方式有所不同，有的客户端只能进行 MAC 地址认证(比如打印机终端) ，有的客 户端进行 802.1X 认证，有的用户主机通过 Web 访问进行 Portal 认证。为了灵活适应这种网 络环境的多认证需求，用户汇聚节点 (路由交换设备)应支持多认证的统一部署方式， 使得 用户可以选择任何一种适合的认证机制来进行认证，且只需要通过一种方式的认证即可实 漏洞扫描设备能够通过综合运用多种手段(主机存活探测、智能端口检测等) 全面、快 速、准确的发现被扫描网络中的存活主机，准确识别其属性， 包括主机名称、设备类型、端 口情况、操作系统以及开放的服务等，为进一步脆弱性扫描做好准备。 设备提供探测未知资产功能，针对一个 IP 段进行自动漏洞扫描，自动针对在线的 IP 地 址的主机进行漏洞扫描， 使用 ARP、ICMP、TCP、UDP 等多种协议测试在线主机是否存活， 并 提供在线主机漏洞扫描功能。 漏洞扫描通过对信息网中的数据库、 WEB 以及主机进行扫描与威胁情报、APT 等进 行 联动，可用于发现 XX 网中各类非法远程控制行为，及时发现并阻断该行为。 6 跨网安全访问与交换平台安全方案 在接入网中，由跨网安全访问与交换平台实现数据汇聚节点与用户汇聚节点的安全互联， 实现 XX 用户、 外部用户和网络的安全接入。 3.1 跨网安全访问与交换平台安全建设思路