无锡市中小微企业转贷应急资金管理平台建设方案
1．项目总述
1.1.项目背景
1.2.项目需求
1.3.设计范围
本项目设计范围包括：
总体方案设计、软件功能模块设计、安全设计。
2．总体方案
2.1.总体指标
系统平台主要功能模块、操作主体及说明如下表：
2.2.设计依据
本项设计参考依据以下标准：
2.3.设计原则
2.3.1可靠和安全性
2.5.运行环境
3.功能设计
3.1用户注册与登录及其权限
用户分为企业用户与管理用户、查询用户三类。
1.各类用户的注册与开通
2.用户权限
3.6.2自动生成年度汇总表
3.6.3 丰富的统计分析图标
3.7．资金流向管理
3.8．企业信息管理
4. 系统安全设计
4.1建立应用安全管理保障体系
4.2应用网络安全策略及安全规范
4.3信息安全防御系统
4.3.1总体描述
4.3.3入侵检测
4.3.4漏洞扫描
4.3.5病毒防治
4.3.6安全审计
Web信息防篡改的主要功能要求为：
4.4网络安全改造方案
5. 硬件设备推荐
5.1一级防火墙推荐：
1、华为USG2160
2、H3C SecPath U200-CM-AC
3、H3C SecPath U200-CS-AC
5.2二级防火墙推荐：
1、H3C SecPath U200-CM-AC
2、H3C SecPath U200-CS-AC
5.3数据库服务器推荐：
Dell PowerEdge 12G R720 机架式服务器，16G及以上内存，Raid5(300G*3)
5.4存储推荐：
戴尔PowerVault MD3200i （300G硬盘*4）
1.1.项目背景
《无锡市中小企业转贷应急资金管理暂行办法》（以下简称《办法》）设立的背景和依据主要基于以下两个方面的考虑：一是企业的现实需求。据2013年10月末无锡银监分局的统计，全市31家银行对中型企业、小型企业、微型企业和个人经营性贷款这四项月末银行贷款总余额高达5583.31亿元，面对如此巨大的贷款余额和企业转贷、续贷的资金需求，企业普遍反映如果通过社会融资来过桥转、续贷，需要支付高额的融资成本，同时也存在巨大的风险隐患。因此，及时设立中小企业转贷应急资金来支持中小企业转贷、续贷，是政府主动响应广大企业呼声，为企业排忧解难的重大举措。二是相关法律法规的要求。经省人大常委会十二届六次会议批准，《无锡市促进中小企业转型发展条例》已经颁布，定于2014年3月1日正式实施。《条例》第二十九条规定“市、县级市、区人民政府应当根据需要统筹安排中小企业转贷应急资金，为符合条件的中小企业转贷提供短期资金服务。”因此，设立无锡市中小企业转贷应急资金（以下简称转贷应急资金）也是法规的具体要求。
为支持中小企业发展，有效防止和化解中小企业资金链断裂风险，帮助中小企业及时获得金融机构转贷支持，特设立“无锡市中小企业转贷应急资金”（以下简称转贷应急资金）。为规范资金的使用和管理，需建立一个资金的网络管理平台,即能方便企业在线申请转贷应急资金,又能方便中小企业发展服务中心查询汇总,使得每一笔资金的使用都规范透明,同时也能方便领导小组对资金使用情况的监控。
1.3.设计范围
本项目设计范围包括：
总体方案设计、软件功能模块设计、安全设计。
2．总体方案
2.1.总体指标
系统平台主要功能模块、操作主体及说明如下表：
2.2.设计依据
本项设计参考依据以下标准：
GB/T 22239-2008 信息系统安全等级保护基本要求
GB/T 25070-2010 信息系统等级保护安全设计技术要求
GB/T 22240-2008 信息系统安全等级保护定级指南
JR/T 0044-2008 银行业信息系统灾难恢复管理规范
JR/T 0055.4-2009 银行联网联合技术规范第4部分：数据安全传输控制
JR/T 0026-2006 银行业计算机信息系统雷电防护技术规范
JR/T 0023-2004 证券公司信息技术管理规范JR/T 0011-2004 银行集中式数据中心规范
2.3.设计原则
2.3.1可靠和安全性
确保7x24小时不间断服务。
系统通过提供用户身份认证、密码校验、角色控制等多种手段保证系统具有良好的安全性，防止非法用户对系统的入侵。
2.3.2适应性
平台设计应考虑系统使用的用户群，在设计过程中，要考虑系统的简洁、适用，符合人性化的操作。
2.3.3先进性
首先，为满足系统功能和性能上的要求，必须采用一些先进的技术作为保证；其次，本着高定位、高起点的指导思想，也将采用先进软件技术，来保证系统强大的生命力。
2.3.4系统性能
整个系统将通过网络技术、主机设备和软件技术的综合运用，使系统具备较高的性能，以支持大规模的用户访问。
2.3.5易管理性
只有管理好系统，才能更好地利用系统提供的功能和服务。系统应该具有较强的易管理性，以保障日常的系统运行和降低运行维护成本。
2.4.总体架构
系统采用面向服务的体系结构（Service-Oriented Architecture，SOA，也叫面向服务架构）。它是为了解决在Internet环境下业务集成的需要，通过连接能完成特定任务的独立功能实体实现的一种软件系统架构。SOA是一个组件模型，它将应用程序的不同功能单元（称为服务）通过这些服务之间定义良好的接口和契约联系起来。接口是采用中立的方式进行定义的，它独立于实现服务的硬件平台、操作系统和编程语言。这使得构建在各种这样的系统中的服务可以以一种统一和通用的方式进行交互。
传统的Web（HTML/HTTP）技术有效的解决了人与信息系统的交互和沟通问题，极大的促进了B2C模式的发展。WEB服务(XML/SOAP/WSDL）技术则是要有效的解决信息系统之间的交互和沟通问题，促进B2B/EAI/CB2C的发展。SOA则是采用面向服务的商业建模技术和WEB服务技术，实现系统之间的松耦合，实现系统之间的整合与协同。WEB服务和SOA的本质思路在于使得信息系统个体在能够沟通的基础上形成协同工作。
展示了面向服务的体系结构中的协作。这些协作遵循“查找、绑定和调用”范例，其中，服务使用者执行动态服务定位，方法是查询服务注册中心来查找与其标准匹配的服务。如果服务存在，注册中心就给使用者提供接口契约和服务的端点地址。下图展示了面向服务的体系结构中协作支持“查找、绑定和调用”范例的实体。
面向服务的体系结构中的角色包括：
- 服务使用者：服务使用者是一个应用程序、一个软件模块或需要一个服务的另一个服务。它发起对注册中心中的服务的查询，通过传输绑定服务，并且执行服务功能。服务使用者根据接口契约来执行服务。
- 服务提供者：服务提供者是一个可通过网络寻址的实体，它接受和执行来自使用者的请求。它将自己的服务和接口契约发布到服务注册中心，以便服务使用者可以发现和访问该服务。
- 服务注册中心：服务注册中心是服务发现的支持者。它包含一个可用服务的存储库，并允许感兴趣的服务使用者查找服务提供者接口。
2.5.运行环境
客户端：
软件环境：Windows XP/Windows7/windows8，建议使用IE7以上版本浏览器
硬件性能：CPU P4以上，内存1GB以上；
服务器端：
软件环境： Windows 2008 ServerR2; Microsoft SQL Server 2008R2
硬件环境：CPU Intel Xeon CPU E5620 @2.40GHz *8 内存32GB
3.1用户注册与登录及其权限
用户分为企业用户与管理用户、查询用户三类。
1.各类用户的注册与开通
企业用户在平台首页自行注册，用户名为企业的组织机构代码，后期企业登陆除了输入用户名密码，还需要进行CA认证。CA认证通过江苏省电子商务服务中心有限责任公司无锡分公司建立的无锡市统一认证平台提供的接口实现，确保登陆到无锡市中小企业转贷应急资金管理平台的企业用户和插入的KEY中的企业信息的一致性。
管理用户和查询用户在平台内预置，管理用户通过平台管理登陆，不需要CA认证。
2.用户权限
企业用户能够查看、编辑本企业的基本信息，并填写、保存、提交转贷应急资金申请表，打印申请表。
管理用户能够查询、查看所有企业的基本信息，可以查看所有企业提交的申请，并进行审核等各种操作，可以维护企业银行账户、银行经办人、审核人、产生的费用计利息，以及放款的金额和时间等，同时拥有统计分析模块的查看权限。
查询用户拥有对平台所有企业基本信息及其转贷应急申请表的查看权限。
3.2 CA数字签名认证
基于无锡市中小企业转贷应急资金管理平台的现状与安全性需求，建议采用江苏省电子商务服务中心有限责任公司无锡分公司建立的无锡市统一认证平台，节约总体成本投入，满足业务系统对CA认证的可靠性、灵活性、快捷性以及用户使用的方便性等方面的需求。
数字签名认证系统由客户端浏览器签名控件、签名认证服务器、基于WEB的签名验证管理系统组成。客户端浏览器签名控件采用ActiveX控件形式，在企业第一次使用系统时自动下载安装。客户端签名控件以浏览器插件形式自动调用。
CA认证流程
（1）企业通过客户端签名控件将原始表单数据+签名数据+用户数字证书上传至无锡认证中心进行认证；
（2）无锡认证中心后台对数据信息进行认证，并将认证结果通过XML形式返回至业务平台；
（3）如果认证通过，业务平台再次验证数字证书信息和企业注册信息是否一致，如果一致，则企业注册或者登陆成功。
通过CA认证的应用，解决了无锡市中小企业转贷应急资金管理平台企业身份认证的问题，从而提高平台的安全性和管理效率。
电子签章功能
电子签章功能需要江苏省电子商务服务中心有限责任公司无锡分公司提供电子签章服务器及相关技术支撑，支持 Html和PDF两种格式的电子签章，企业在提交申请后自动会在网页上和PDF打印模板上生成该企业的电子签章，申请通过审核后会在网页和PDF打印模板相应位置生成中小企业发展服务中心的电子签章。前提，使用者都需要插入CA证书，且通过认证该证书合法有效，中小企业发展服务中心部门或者个人的签章需要先去CA认证中心申请办理。
3.3企业基本信息维护
企业登陆到平台后首先需要完善本企业的基本信息，企业基本信息表采用单表的形式，如有变更需在原表上进行更新维护，不记录历史数据，企业基本信息表中的内容和转贷应急资金申请表中的内容不做关联。具体内容如下图：
3.4转贷应急资金申请
企业完善好单位基本信息后，可在线填写转贷应急资金申请表，主要包括暂存、提交、打印3个操作。
3.5转贷应急资金审核
企业填写了转贷应急资金申请表并提交以后,中小企业发展服务中心相关工作人员就能在后台对申请进行在线审核处理,处理方式包括:退回、审核通过、审核不通过、放款、回款操作。
退回：退回后企业将可以继续编辑申请表；
审核通过：审核通过后可进行放款操作；
审核不通过：审核不通过的申请流程就到此结束，企业无法再做任何操作；
放款：可维护放款的金额和放款时间；
回款：可维护此次转贷产生的利息及费用，并自动记录回款时间。
3.6统计分析
3.6.1便捷的转贷应急资金使用明细查询
提供便捷的查询功能，可以按照企业、地区、银行、时间、申请额度等筛选条件查询每一笔转贷应急资金的使用明细，也可以按照企业、地区、银行、时间、申请额度等进行排序。除此之外，所有查询数据均能方便的导出到EXCEL。
3.2 CA数字签名认证
基于无锡市中小企业转贷应急资金管理平台的现状与安全性需求，建议采用江苏省电子商务服务中心有限责任公司无锡分公司建立的无锡市统一认证平台，节约总体成本投入，满足业务系统对CA认证的可靠性、灵活性、快捷性以及用户使用的方便性等方面的需求。
数字签名认证系统由客户端浏览器签名控件、签名认证服务器、基于WEB的签名验证管理系统组成。客户端浏览器签名控件采用ActiveX控件形式，在企业第一次使用系统时自动下载安装。客户端签名控件以浏览器插件形式自动调用。
CA认证流程
（1）企业通过客户端签名控件将原始表单数据+签名数据+用户数字证书上传至无锡认证中心进行认证；
（2）无锡认证中心后台对数据信息进行认证，并将认证结果通过XML形式返回至业务平台；
（3）如果认证通过，业务平台再次验证数字证书信息和企业注册信息是否一致，如果一致，则企业注册或者登陆成功。
通过CA认证的应用，解决了无锡市中小企业转贷应急资金管理平台企业身份认证的问题，从而提高平台的安全性和管理效率。
电子签章功能
电子签章功能需要江苏省电子商务服务中心有限责任公司无锡分公司提供电子签章服务器及相关技术支撑，支持 Html和PDF两种格式的电子签章，企业在提交申请后自动会在网页上和PDF打印模板上生成该企业的电子签章，申请通过审核后会在网页和PDF打印模板相应位置生成中小企业发展服务中心的电子签章。前提，使用者都需要插入CA证书，且通过认证该证书合法有效，中小企业发展服务中心部门或者个人的签章需要先去CA认证中心申请办理。
3.3企业基本信息维护
企业登陆到平台后首先需要完善本企业的基本信息，企业基本信息表采用单表的形式，如有变更需在原表上进行更新维护，不记录历史数据，企业基本信息表中的内容和转贷应急资金申请表中的内容不做关联。具体内容如下图：
3.4转贷应急资金申请
企业完善好单位基本信息后，可在线填写转贷应急资金申请表，主要包括暂存、提交、打印3个操作。
- 暂存：企业可以暂存申请表的信息，暂存后可以继续编辑，也可以提交申请表；
- 提交：提交以后，企业将无法修改申请表上的内容，但企业可在线打印申请表；
- 打印：打印采用自动将申请表生成PDF格式的方式实现，企业无法编辑PDF上的内容，并且在生成的PDF文件上会自动加上“无锡市中小企业转贷应急资金管理平台”的水印。
3.5转贷应急资金审核
企业填写了转贷应急资金申请表并提交以后,中小企业发展服务中心相关工作人员就能在后台对申请进行在线审核处理,处理方式包括:退回、审核通过、审核不通过、放款、回款操作。
退回：退回后企业将可以继续编辑申请表；
审核通过：审核通过后可进行放款操作；
审核不通过：审核不通过的申请流程就到此结束，企业无法再做任何操作；
放款：可维护放款的金额和放款时间；
回款：可维护此次转贷产生的利息及费用，并自动记录回款时间。
3.6统计分析
3.6.1便捷的转贷应急资金使用明细查询
提供便捷的查询功能，可以按照企业、地区、银行、时间、申请额度等筛选条件查询每一笔转贷应急资金的使用明细，也可以按照企业、地区、银行、时间、申请额度等进行排序。除此之外，所有查询数据均能方便的导出到EXCEL。
平台提供按地区、按银行两类汇总表，可自动汇总每年度全市发放贷款总额、返还贷款总额以及产生的利息及费用总额，也可以统计到每个区、每个银行各个月的发放贷款金额、返还贷款金额以及产生的利息及费用。地区汇总表和银行汇总表均可单独导出到EXCEL文件。如下图：
例：全市转贷应急资金各项主要指标月度走势图
例：全市转贷应急资金各项主要指标单日走势图
例：各个区转贷应急资金发放及回收情况对比
3.7．资金流向管理
为了使转贷应急资金的流向及其使用情况透明可查询，平台提供了资金流向管理模块，通过该模块，我们能够实时的管理转贷应急资金的本金、了解当前帐户金额。
3.7.1银行管理
可维护无锡市中小企业转贷应急资金合作银行,包含新增、编辑、撤销等功能。
3.7.2资金管理
可维护无锡市中小企业转贷应急资金合作银行的本金、活期利息，可完成银行间本金转移功能，根据每个银行的本金、当前产生的活期利息，转贷产生的利息及费用，实时计算出当前银行帐户余额，计算公式为：当期余额=转贷配额-当期未回款+结算利息+费用利息
3.8．企业信息管理
管理用户可对所有注册企业进行管理，包括排序、查询、汇总、删除、导出功能。
4. 系统安全设计
4.1建立应用安全管理保障体系
为保障网络信息系统的安全，必须建立较为完善的安全保障体系，安全保障体系由安全技术、管理体系组成。
4.1.1安全技术体系
安全技术体系采用目前较为先进的“保护－检测－响应－恢复”的反馈控制自适应模型来实现。即按照安全策略要求在信息系统的协议层和网络结构层上进行物理和逻辑的安全保护措施配置；利用各种检测设备对信息系统的安全脆弱性和来自系统内外的入侵或攻击行为进行检测；对于已发现的系统脆弱性和入侵、攻击行为，从安全策略到安全服务配置予以调整和完善，以满足安全风险被控制在可接受范围内并逐步降低的控制策略；信息系统在遭遇安全风险致使系统造成局部或全局性破坏时，必须能及时消除风险并启动系统恢复进程。
4.1.2管理体系
管理是网络系统安全的灵魂。网络信息系统安全和管理体系由法律管理、制度管理和培训管理三部分组成。在国家有关安全部门的指导下成立安全管理机构，设置管理岗位，配备管理人员。该机构遵循国家相关法律法规，制定相应的安全管理制度和选用国家相关的法规政策，制定安全策略并对内部人员（包括管理人员和用户）进行安全教育和管理，指导、监督、考查安全制度的执行。
4.2应用网络安全策略及安全规范
信息系统的安全策略，首先信息系统和电子商务媒体的区别最主要是在网络安全上，加强网络信息安全是非常重要的，构建信息系统的安全策略，把保护国家涉密信息的安全性放在第一位是很重要的，但是我们首先要划分好不同的安全域，对不同的安全域采取不同的安全机制，这样不至于使得安全成为妨碍我们信息系统网上办公的发展的因素。
信息系统的安全结构，我们把它分为四个层次，第一个层次是核心决策层，这个是涉密的存储，它的网络安全是Internet，加密数据库安全标签、安全隧道、安全网关。第二是业务处理层，办公事务，安全域是Internet，安全设施是防火墙，代理服务器，访问授权，动态保护防病毒等等。第三个层次是信息交换层，不同部门之间的协作，它的网络安全域应该是Extranet，通常安全设施，加密传输，交换共享和互操作。第四个层次是公众服务层，是面向公众的社会，它的网络安全域，是Internet，对它的安全设施是完事性的保护，可用性的保护，只要在可靠性方面做些考虑就够了。
4.3信息安全防御系统
4.3.1总体描述
信息安全防御系统由防火墙、入侵检测系统、漏洞扫描系统、安全审计系统、病毒防治系统、Web信息防篡改系统等组成，是一个安全网络系统的基础组成部分，在统一安全策略的指导下，保障系统的整体安全。
4.3.2防火墙
防火墙是用一个或一组网络设备，在两个或多个网络间加强访问控制，以保护一个网络不受来自另一个网络攻击的安全技术。防火墙系统决定了哪些内部服务可以被外界访问，外界的哪些人可以访问内部的哪些服务以及内部的人员可以访问哪些资源。所有往来的信息都必须经过防火墙，只有被授权的数据才能够通过。防火墙应纳入网络信任域进行可信管理。
目前防火墙的控制技术大概可分为：包过滤型、包检验型以及应用层网关型。这三种技术分别在安全性或效率上有其特点。
包过滤型：包过滤型的控制方式会检查所有进出防火墙的包标头内容，如对来源及目地IP、使用协议、TCP或UDP的端口等信息进行控制管理。包过滤型控制方式最大的好处是效率高，但却有几个严重缺点：管理复杂，无法对连接作完全的控制，规则设置的先后顺序会严重影响结果，不易维护以及记录功能少。
包检验型：包检验型的控制机制是通过一个检验模组对包中的各个层次做检验。包检验型可谓是包过滤型的加强版，目的是增加包过滤型的安全性，增加控制”连接”的能力。但由于包检验的主要检查对象仍是个别的包，不同的包检验方式可能会产生极大的差异。其检查的层面越广将会越安全，但其相对效率也越低。
应用层网关型：应用层网关型的防火墙采用将连接动作拦截，由一个特殊的代理程序来处理两端间连接的方式，并分析其连接内容是否符合应用协议的标准。这种方式的控制机制可以从头到尾有效地控制整个连接的行为，而不会被客户端或服务器端欺骗，在管理上也不会像包过滤型那么复杂。但必须针对每一种应用写一个专用的代理程序，或用一个一般用途的代理程序来处理大部分连接。这种方式是最安全的方式，但也是效率最低的一种方式。
4.3.3入侵检测
入侵检测系统一般采用安全监测控制器和探测器两级的分布式结构，探测器配置在网络的敏感部位进行信息的采集，而安全监测控制器则对所收集到的信息进行分析处理，判断网络是否遭到入侵攻击。
入侵检测系统的主要功能包括：
监视、分析用户及系统活动。
系统结构和安全漏洞的审计。
识别网络入侵攻击的活动模式并提出告警。
异常行为模式的统计分析。
重要系统和数据文件的完整性评估。
操作系统的审计跟踪管理与违反安全策略行为的识别。
对所采集到的有关系统、网络、数据及用户活动的状态和行为等特征信息，可通过以下三种技术方法进行分析：
- 模式匹配：将采集到的信息与已知的网络入侵和系统误用模式进行匹配，从而发现违背安全策略的行为。该方法只需要收集与模式相关的特征信息集合，便可显著减少系统负荷，并且技术已相当成熟，检测准确率和效率都较高，但需要不断对模式信息进行更新。
- 统计分析：对系统对象（用户、文件、目录和设备等）创建若干特征属性，并通过对这些属性值的观测，将属性值的显著偏离界定为网络入侵事件的发生。该方法能检测未知的和复杂的入侵活动，但误报、漏报率较高，且无法适应用户正常行为模式的突然改变。
- 完整性分析：重点检测特定文件或对象是否被更改（包括文件和目录的内容和属性），这种方法对于被更改或特洛伊化应用程序的检测方面特别有效，缺点是一般以批处理方式实现，不能用于实时响应。
4.3.4漏洞扫描
漏洞检测系统负责定期或不定期地调用网络安全性分析、操作系统安全性分析软件对整个内部系统进行安全扫描和检测，及时发现网络新的安全漏洞并予以补救。
（1）网络安全性监测
网络的安全性分析重点对网络中的关键系统部件进行实践性的扫描分析和评估，发现并报告系统存在的弱点和漏洞，评估安全风险并提出建议的补救措施。
（2）操作系统安全性监测
操作系统安全性分析需要以管理员的身份从系统内部对操作系统进行全面的扫描分析和定期继承性检测分析，发现并报告系统的弱点/漏洞/不安全的系统配置，不明的系统修改和黑客攻击迹象，评估操作系统的安全风险，建议补救措施和安全策略。
4.3.5病毒防治
病毒防治系统部分专门负责对各类计算机病毒的检测与杀灭，其主要功能包括：
- 系统病毒预防：预防系统自身常驻系统内存，优先获得系统的控制权，监视和检测系统中的计算机病毒，并阻止病毒进入系统和对系统进行破坏。预防手段包括加密可执行程序、系统引导区保护、系统监控与读写控制。
- 病毒诊断：根据计算机病毒的特征来判断病毒的种类。为实现有效的病毒诊断，必须对病毒特征信息进行定期更新，并提高系统预测新病毒种类的能力。
- 病毒杀灭：对计算机资源进行分析和检测，并对发现的病毒予以杀灭处理，恢复原文件。
- 网络病毒检测：对网络上常见的应用的信息流进行检测，防止计算机病毒通过网络途径传播。
安全审计负责对内部网各类系统的全部活动的过程轨迹进行记录，以便为事后的安全审计追踪、系统安全漏洞分析提供原始证据。安全审计功能是很多其他安全技术的基础，是网络系统中一个不可缺少的部分。
（1）安全审计事件自动响应
安全审计系统对目标系统中发生的各类安全违例事件（包括实时报警的生成、违例进程的终止、中断服务、用户帐号的失效等）进行实时的响应。
其中安全审计事件的数量直接关系到审计数据的容量和审计分析的工作量，因此安全审计事件应由管理员根据安全管理策略的需要灵活设置。
（2）安全审计数据生成
对安全审计事件所产生的审计数据来源主要包括：对于敏感数据项（如口令等）的访问、目标对象的删除、访问权限或能力的授予和废除、主体或目标的安全属性的改变以及标识定义和用户授权认证功能的使用等方面。
（3）安全审计数据存储
由于安全审计数据的有效性直接影响到系统审计分析和入侵检测的有效性，因此必须对审计数据采取必要的保护措施防止其被篡改或破坏，并对安全审计数据的使用进行严格的访问控制。安全审计数据存储保护机制应使审计信息不受审计存储空间耗尽、审计存储故障、各种非法攻击和其他非预期事件的影响。
（4）安全审计分析
对安全审计数据进行分析和处理，一般需要结合入侵检测机制进行，也可作为对安全违例事件的自动响应，可实现对网络可疑行为的检测与识别。
4.3.7 Web信息防篡改系统
Web信息防篡改系统是信息安全防御系统的重要组成部分，它监控Web服务器和应用服务器上的文件目录，一旦发现文件被非法删除、添加、或者文件的内容、属主、修改时间等被非法窜改就及时报警，并在极短的时间内通过可信部署服务器自动恢复。
以下为Web信息防篡改系统体系结构。从中可以看出Web信息防篡改系统主要包括监控端、服务器端监控模块、远程控制端和可信布署服务器等。
Web信息防篡改系统体系结构
监控端主要负责配置、管理监控端的安全和扫描策略、备份服务器数据、调度处理过程等。
服务器端监控模块主要负责接收并执行监控端所发出的各种操作命令，并监控信息发布目录。考虑到服务器的平台多样性，服务器端监控模块是与系统平台无关，并且必须是在不严重影响服务器工作的情况下具有极高的工作效率的后台服务器程序。
远程控制端通过可信部署服务器，进行身份认证，实现对信息的合法更新。Web信息防篡改的主要功能要求为：
- 支持多种操作系统，例如：Windows系列、UNIX系列、Linux系列等；
- 具有非常高效的信息扫描速率，同时不影响服务器的工作效率；
- 具有集成发布与监控功能，使系统能够区分合法更新与非法篡改；
- 实时发布与备份；
- 自动监控；支持远程托管
- 自动恢复；
- 自动报警；
- 日志管理；
- 扫描策略管理；
- 监测方式可以设定为实时监测、定时监测和分级监测。
- 更新管理。
4.4网络安全改造方案
由于无锡中小企业转贷应急资金管理平台中涉及到企业的诸如企业财务数据表、客户信息、研发文档等需要保密的敏感信息资源， 一旦信息被侦听、截获及非法拷贝将使公司遭受损失，带来巨大的信息资产损失成本。无锡中小企业转贷应急资金管理平台现有的网络结构比较简单，两台服务器直接通过电信路由连接到互联网，存在较大的安全风险。
改造前网络结构
为了能应对高并发连接数和提升每秒新建能力，轻松应对数百万包每秒的DDoS攻击，全面防御来自Internet的各种安全威胁，保证无锡中小企业转贷应急资金管理平台安全。我们建议对网络环境做如下改造：
（1）在服务器前端增加硬件防火墙，以抵御各种攻击、病毒。
（2）新增一台数据库服务器，部署在内网，专门用户做数据存储，以保证数据安全。
（3）新增存储及灾备设备部署语内网，用于数据备份和容灾，方便数据恢复。其中存储支持区块管理,可以将服务器上的不同应用的数据存储在独立的区块作单独管理。
（4）在数据服务器及存储前端部属二级防火墙,对数据安全形成双保险
（5）无锡中小企业转贷应急资金管理平台采用Https协议，以防止攻击者通过监听和中间人攻击等手段获取网站帐户和敏感信息等。
改造后网络结构
防火墙功能：
5. 硬件设备推荐
5.1一级防火墙推荐：
1、华为USG2160
5.2二级防火墙推荐：
1、H3C SecPath U200-CM-AC
2、H3C SecPath U200-CS-AC
5.3数据库服务器推荐：
Dell PowerEdge 12G R720 机架式服务器，16G及以上内存，Raid5(300G*3)
5.4存储推荐：
戴尔PowerVault MD3200i （300G硬盘*4）
阅读2617