公安通信网边界接入规范

公安信息通信网边界接入平台安全规范

一、公安信息通信网边界接入业务

1.1、接入业务：向外提供信息服务和接收外部信息的业务

1.2、接入对象：社会企事业单位、党/政/军机关、公安机关驻地外接入业务（1）社会企事业单位接入业务：

旅店业、印章业、印刷业、银行、保险、电信运营商等

（2）党/政/军机关接入业务：

各级党委、法院、检察院、安全、司法、海关、军队、武警、中央、省级政法委等。

（3）公安机关驻地外接入业务：

社区警务室接入、农村警务室接入、政府办公大厅接入。

1.3、接入业务的操作方式：数据交换和授权访问。

(1)数据交换

指以文件、数据库、流媒体等方式进行信息共享与交换的过程，该类操作方式一般不要求与公安信息通信网进行实时交互。

(2)授权访问

指持不同的公安数字身份证书交互式访问公安信息通信网的过程，该类操作实时性要求较高。

1.4、公安身份认证与访问控制管理系统（PKI/PMI）

全网策略统一的身份认证和访问控制管理

二、公安信息通信网边界接入平台

2.1、通则（保密性、完整性、可用性、可控性、可管理性、可扩展可维护性）（1）保密性

要保证信息在边界接入过程中不被非法获取

（2）完整性

要保证信息在边界接入过程中不被篡改

（3）可用性

保证各类接入业务在边界接入过程中公安信息通信网及接入平台的安全正常运行。

（4）可控性

能够监控和审计接入平台及接入业务运行情况，当发生违规或异常情况时，能够及时发现、报警并处理。

（5）可管理性

对接入平台的方案设计、建设、运行整个过程能够管理和监控，具有规范合理的接入业务流程，纳入三级信息中心日常运行管理。

（6）可扩展性、可维护性

（1）每个接入平台都应建立集中监控与审计系统、负责实现对接入平台本地注册管理以及对接入管理平台安全运行情况的监控与审计。

（2）级联上报，实现上级接入平台对下级接入平台主要注册信息、运行参数及安全状况的监控与审计。

（1）接入对象

社会企事业单位、党/政/军机关和公安驻地外接入点

（2）外部链路

拨号、专线

（3）接入平台组成

路由接入区、边界保护区、应用服务区、安全隔离区、安全监测与管理区。（4）公安信息通信网

认证和授权

2.4、接入平台安全体系

2.4.1 三重防护体系、两个基础设施

2.4.1.1应用环境安全

接入平台的终端和用户来源可信、可监控，接入平台的硬件配置、操作系统、关键应用程序等方面安全可靠。

应用环境安全的各类安全和保护措施统称为安全加固，安全加固主要有两类，一是可信计算技术的可信计算机，用于高安全等级的终端（或服务器），二是基于操作系统加固软件、安全应用系统并结合硬件外设的安全增强措施，针对一般安全级别中终端（或服务器）

2.4.1.2应用区域边界安全

网络和系统的边界安全方面，主要通过身份认证、访问控制等安全技术措施。

2.4.1.3链路与通信网络安全

数据机密性与完整性安全保护技术，建立端到端的传输安全机制

三、公安信息通信网边界接入平台安全技术要求

3.1外部接入

3.1.1接入终端

（1）接入终端联接接入平台的同时，不得同时联接互联网和其他网络（建议采用专用终端并进行安全加固）

（2）必须进行设备认证，认证方式可采用MAC/IP绑定、硬件特征码、设备证书等。

（3）必须进行用户身份认证，必须采用公安机关颁发的专用数字身份证书进行用户身份认证。

（4）必须实现接入终端与接入平台通信内容的机密性与完整性保护。

（5）接入终端安装与接入业务应用程序必须完善自身的安全性和健壮性。

（6）接受平台的监控管理

3.1.2外部接入链路

（1）社会企事业单位接入链路/公安机关驻地外接入链路可以使用拨号和专线两类，拨号采用VPDN（IPSEC VPN）。

（2）党/政/军机关采用专线。

3.1.3业务操作方式

社会企事业单位---------数据交换

党/政/军机关-------------数据交换、授权访问

公安机关驻地外---------数据交换、授权访问

3.2接入平台组成

要求：长期抗攻击能力，能够及时、灵活地调整接入平台中的安全策略以及平台内设备、系统、应用和用户的相关配置。

3.2.1路由接入区

（1）各个外部链路与接入平台间连接。

（2）路由访问控制，按照不同接入对象或不同外部链路的数据流按照接入平台的安全策略加以区分。

3.2.2边界保护区

（1）对接入平台边界保护

（2）网络身份认证；访问控制和权限管理；数据机密性和完整性保护；防御网络攻击和嗅探。

3.2.3应用服务器区

（1）处理各类应用相关操作，是公安信息通信网对外信息服务、信息采集、数据交换的中间区域。

（2）作为接入终端网络连接的终端，实现应用级身份认证、访问控制、应用代理、数据暂存功能。

（3）病毒防护、木马防护。

3.2.4安全隔离区

（1）实现公安信息通信网与应用服务器区的安全隔离与信息交换。

（2）对出入公安信息通信网的数据分别进行协议剥离、格式检查和内容过滤。

3.2.5安全监测与管理区

（1）整个接入平台的安全监测、管理与维护

（2）对接入平台运行情况进行安全监测与审计

（3）对接入平台及业务信息进行注册管理

（4）对各种安全策略管理、流量监测、统计分析、安全审计

（5）接入平台内网设备、安全设备的配置管理及日常运行维护

（6）补丁升级、漏洞扫描与病毒防范。

3.2.6链路安全

边界

(1)接入平台与运营商之间必须以专线方式连接，链路设备之间要进行相互认证。

内部

(2)不同接入对象提供不同级别和业务操作方式。对于数据交换业务，建议区分数据流入与流出链路。

3.2.7网络安全

（1）身份认证

社会企事业单位认证协议双向认证（IKE、SSL）