电子商务平台设计方案

电子商务网络平台

建

设

方

案

重庆东灵网络信息技术有限责任公司

2009-12

目 录

一、 综述-----------------------------------------3 二、 平台建设结构示意图---------------------------4 三、 体系组成-------------------------------------5 3.1、 硬件-----------------------------------------5 3.1.1、服务器---------------------------------------5 3.1.2、存储-----------------------------------------7 3.1.3、vpn------------------------------------------9 3.1.4、防火墙---------------------------------------11 3.1.5、交换机---------------------------------------13 3.1.6、UPS------------------------------------------15 3.2、 软件-----------------------------------------16 3.2.1、Iguard网页防篆改-----------------------------16 3.2.2、IWALL应用防护系统----------------------------20 3.2.3、LifeKeeper双机热备---------------------------24 四、 电子商务平台建设项目清单----------------------28

2

一、综述

随着信息技术的应用和发展,信息与数据安全起着越来越重要的作用,它是企业运营的基础和保障。如果没有信息与数据的安全,企业运营就会陷入停滞、中断或者是瘫痪状态。从这个角度说,信息和数据是企业的咽喉命脉,信息与数据安全则关系到企业的生死存亡。正因为如此,信息与数据的安全才日益引起管理者的高度重视。

在当今这个信息化社会中，一方面，硬件平台，操作系统平台，应用软件等IT系统已变得越来越复杂；另一方面，现代社会生活对网络的高度依赖，使保障网络的通畅、可靠就显得尤其重要。

目前，在网络应用的深入和技术频繁升级的同时，非法访问、恶意攻击等安全威胁也在不断推陈出新，愈演愈烈。防火墙、VPN、IDS、防病毒、身份认证、数据备份、等安全防护和管理系统在网络中得到了广泛应用。

因此，用户的电子商务平台需要建立一种完善的网络安全管理体系。主要涵盖了服务器架设、备份、数据库安全、UPS备用应急电源、安全设备管理、安全策略管理、安全分析控制、安全审计。

安全设备管理:指对网络中所有的安全产品，如防火墙、VPN、防病毒、入侵检测(网络、主机)、漏洞扫描等产品实现统一管理、统一监控。

安全策略管理:指管理、保护及自动分发全局性的安全策略，包括对安全设备、操作系统及应用系统的安全策略的管理。

安全分析控制:确定、控制并消除或缩减系统资源的不定事件的总过程，包括风险分析、选择、实现与测试、安全评估及所有的安全检查(含系统补丁程序检查)。

安全审计:对网络中的安全设备、操作系统及应用系统的日志信息收集汇总，实现对这些信息的查询和统计;并通过对这些集中的信息的进一步分析，可以得出更深层次的安全分析结果。

3

二、平台建设结构示意图

internet路由器UPSSSL VPN防火墙千兆交换机双机热备iguard磁盘阵列iguardiwall应用服务器数据库服务器应用服务器

4

三、体系组成

3.1、硬件

3.1.1、服务器

PR2510N

宝德自强PR2510N，支持全新的酷睿微架构Intel 5500系列处理器： 支持超线程----第三代超线技术，四核心时多达八个线程；支持虚拟化设备输入/输出 (VT-d)----在之前以虚拟化CPU为主的基础上增加设备输入/输出的虚拟化，能有效提高虚拟机的性能和效率；内核加速模式(Turbo Mode)内核运行动态加速。可以根据需要开启、关闭以及加速单个内核的运行；新增的SSE 4.2指令集；Cache的设计----采用三级全内含式Cache设计，L1的设计和Core 微架构一样；L2采用超低延迟的设计，每个内核256KB；L3采用共享式设计，被片上所有内核共享。

集成内存控制器(IMC)----从 芯片组上移到CPU片上，支持多通道DDR3内存，内存读取的延迟大幅度减少，内存带宽大幅提升，最多可达三倍

快速通道互联－QPI总线：

宝德自强PR2510N，QPI是取代前端总线(FSB)的一种点到点连接技术；QPI采用串联方式作为讯号的传送，采用了LVDS（低电压差分信号技术，主要用于高速数字信号互联，使信号能以几百Mbps以上的速率传输）信号技术；可靠性、实用性和适用性特点为QPI的高可用性提供了保证；20位宽的QPI每个连接其带宽可达惊人的每秒 25.6GB，远非FSB可比。通信更加方便；QPI高速互联方式使得CPU与CPU之间的峰值带宽可达6.4GT/s。

高效DDR3内存技术： 宝德自强PR2510N，采用DDR3内存技术，拥有高频率低电压的优点，DDR3比DDR2运行时节省约30%的电力，数据传输是DDR2的二倍速度，1.5伏特的电压比DDR2的1.8伏特降低了17% ；点对点连接；采用ODT（核心整合终结器）技术以及用于优化性能的EMRS技术。

动态的电源管理：

5

宝德自强PR2510N服务器，支持PLNM动态电源管理，可根据机器的实际情况设定功耗值动态调节管理组中的节点服务器的功耗，使得一个机柜中相同输入功率下能最大限度的增加服务器数量，为用户降低托管成本。

增强的虚拟化技术VT：

宝德自强PR2510N服务器，支持虚拟化设备输入/输出 (VT-d)----在之前以虚拟化CPU为主的基础上增加设备输入/输出的虚拟化，能有效提高虚拟机的性能和效率。为服务器的整合、原有数据的迁移以及安全性提供了强有力的保证。

I/OAT 2.0技术：

宝德自强PR2510N服务器，针对现今的处理器架构对TCP/IP协议堆栈进行了优化，同时强化了平台性能从而大幅降低数据传输过程中的延迟，克服网络加速中的其他重要因素，更好的利用千兆以太网通道和现今的高性能处理器。

处理器可管理性：

宝德自强PR2510N服务器，通过内核加速模式(Turbo Mode)内核运行动态加速。用户可以根据需要开启、关闭以及加速单个内核的运行，有效降低系统功耗；处理器可支持超频。

强大的I/O处理功能

宝德自强PR2510N服务器，基于Intel QPI架构，配合全新一代45nm Intel 5500系列处理器，20位宽的QPI连接其带宽可达惊人的每秒 25.6GB，同时，融合第三代超线程技术，四核心时多达八个线程。 采用DDR3技术，组成三通道，则可以提供38.4GB/S的带宽，极大限度提高内存子系统性能。整合Intel第三代输入输出技术（3GIO）PCI Express, 设备独享总线，突破I/O带宽限制。

高系统可用性

宝德自强PR2510N服务器，配合处理器Hyper Threading技术，支持多线程多任务模式。处理器集成内存控制器，DDR3内存，提供一个高可选的内存解决方案。提供SAS接口，支持HOSTRAID（RAID 0/1/10）功能，满足系统对硬盘安全性的要求,同时考虑到用户成本需求。集成Intel服务器级双1000M网络适配器，支持链路汇聚以及绑定冗余功能，适合多种应用需求。

高系统扩展性

宝德自强PR2510N服务器，支持四核Intel 5500系列处理器，6个DIMM内存插槽最大可支持 48GB的DDR3 内存,系统最多支持8个硬盘扩展位，

6

提供热插拔方案，可实现在线维护功能。提供提供2×PCI Express *8、2×PCI Express *4、2×PCI 32bit/33MHz 扩展插槽，为用户提供充分的扩展空间。

适用多种的应用环境

宝德自强PR2510N服务器，独特的1U机架式设计，符合各类网络、信息运营商的要求，可以完全胜任WEB、Email、FTP、File、高速缓存、信息、多媒体、代理主机、搜索引擎、安全性、虚拟私人网路（VPN）、IP语音（VOIP）、网络托管等，同时也可以胜任多数据存储、数据库应用、高性能计算、计算机集群等领域，是数据中心建设、电子政务、企业信息化建设、游戏网站、宽带网络建设、校园主干网建设等方面应用的最佳选择。

服务器管理

宝德自强PR2510N服务器，主板集成iBMC，可选实现远程iKVM，所有用户不同的管理需求。用户可根据自己需求定制需要的任务管理模块。采用基于平台的硬件和固件解决方案，可利用带外（OOB）通讯方式对服务器进行访问。

3.1.2、存储

GS-4020磁盘阵列采用高性能的控制器以及业界领先的RAID技术设计，良好的工艺设计，极高的可靠性，给用户提供了最优的性能价格比。 GS-4020磁盘阵列与主机及操作系统无关性设计，可以兼容不同厂商的服务器及各种主流操作系统，并提供多种级别的数据保护方式可供选择。采用最新人体工学设计，在高密度2U机架式结构中实现电源及风扇的冗余热插拔。GS-4020 磁盘阵列支持业界最新的SATAII技术标准，提供系统状态本地实时监控及远程管理功能，是企业在线数据集中存储及保护的理想解决方案。

高性能： GS-4020磁盘阵列采用Intel i80331 667Mhz RISC专用I/O处理器，控制器采用双 ASIC、双PCI总线设计，突破了单PCI总线的瓶颈，系统总线带宽达到了1GB/s。同时采用独立硬件XOR（异或逻辑运算）芯片设计，不再占用CPU资源，大大提升可靠性、性能。控制器的高速缓存带有ECC功能，最大可扩充至2GB，提供基于主机通道的路径管理软件，支持Failover、Failback及负载均衡功能。

7

高可用： GS-4020磁盘阵列采用全冗余的系统设计，包括双路大功率电源和双路冗余涡轮冷却系统，所有部件支持热插拔，支持冗余双主机通道的独立工作。采用业界领先的SATAII磁盘接口后背板，提供超强的传输速度；支持最为全面的 RAID级别，支持本地、全局热备援磁盘设置，支持在线逻辑磁盘RAID初始化功能。

高灵活性：GS-4020磁盘阵列支持16个大容量硬盘，能满足各种用户的数据存储需要，单柜容量达9TB，并可灵活实现容量的调配。独特的技术确保系统在线的容量扩展、 RAID级别变更，双Flash ROM并可在线升级Firmware。

高可靠性：GS-4020磁盘阵列支持独特的RAID6和RAID TP级别，最多可实现3块硬盘故障而不会导致数据丢失。 主要特性：

> RAID级别JBOD, 0,1,3,5,6,TP,30,50,NARID > Intel i80331 667MHz 64Bit RISC处理器 > Ultra 320 SCSI LVD主机端口

> 双Flash ROM，增强Firmware保护 > 智能型LCD显示面板

>支持16块热插拔SATAII硬盘 > 高性能散热风扇 >支持硬盘在线热备份

> 支持硬盘在线自动数据重建 > 支持所有主流操作系统

> 标记命令队列支持255个命令 > 内建串行端口支持远程报警 >提供实时硬盘状态指示 >提供声音报警

> 标准工业19”机架式机箱结构 >提供基于主机通道路径管理软件 > PHP技术Web图形界面的用户管理

8

3.1.3、VPN

M5400-S

特点：

随时随地的移动接入

该产品基于浏览器内置的SSL安全协议，无需任何客户端软件的安装，即可实现对企事业单位内网的远程安全接入，实现对内网丰富资源（如：邮件系统、 文件共享系统、应用系统等）的快捷的访问。对接入环境、接入终端做到最大限度的适应，为用户提供了极其方便的远程移动接入平台，真正做到随时随地。

完善的接入安全保证

企事业单位管理员可以利用该产品提供的多重安全措施，轻松搭建一个保证传输、内网双安全的远程接入网络。SSLVPN客户端安全检测、多因素身份认证方式，保证了接入端的安全。不仅如此，其自身关联用户与资源的角色授权机制保障了接入人员访问权限的安全，同时全面的行为日志审计功能提供了基于人员、行为、时间的日志追踪记录

。

良好的网络可扩展性

该产品最多可支持1200并发用户接入，完全可满足现今最大规模的远程接入要求，并可通过最多支持 站点的集群功能进一步扩容。另外，该产品集合了IPSec VPN功能，使企事业单位可以轻松进行性价比极高的多级网络搭建。

贴近客户的投资保护

该产品远程接入产品通过兼容不同平台的集群功能，为企事业单位提供了平滑的扩容升级服务，使项目的一期投资得到完全保护，并使二期追加的投资达到最高性价比。

便捷的管理操作方式

企事业单位管理员可以通过 命令行 令三种方式实现对单一 备的

9

管理，并可在单一设备中实现多级管理员权限分配。此外，该产品还可以标准方式集成第三方管理系统，在多级网络中，也可以通过该产品统一管理平台达到统一管理。

功能：

支持本地用户名/密码认证

提供基本的身份认证方式，可利用此方式为基石与其他认证方式结合

支持数字证书认证

可与第三方CA体系进行结合，并支持OCSP服务器，融入PKI体系

提供SSL VPN设备自建CA中心功能

提供自建CA，可极大的降低企业使用成本

提供基于SSL VPN接入终端的硬件鉴权

支持自动审批，并支持多对多绑定策略，有效防止非法终端接入

支持短信猫、短信网关两种短信认证

可帮助企业轻松实现双因素认证，提高身份认证安全级别

与第三方认证体系的无缝集成

可与LDAP、MicrosoftAD、RADIUS等第三方认证体系进行无缝集成，便于接入人员身份的统一管理

支持动态令牌认证进 一步提升身份认证安全性

三种以上认证方式的任意组合认证

以上方式均可实现三种以上认证方式的任意组合认证，为企业提供最安全的组合认证手段

认证方式可“或”组合认证

以上方式可实现“或”组合，只要满足其中一个即可登陆SSL VPN，方便用户多种方式登录

10

主从账号绑定

实现了SSL VPN账号与访问资源的账号对应绑定，增强了认证强度

提供密码防暴力破解功能 全面保障用户密码的安全性

提供软键盘和图形码验证功能

可以有效的避免SSL VPN设备受到恶意软件的骚扰首次登陆强行修改密码，密码不能与用户名相同，新密码不能与旧密码相同，限定密码位数和

用户密码保护功能

密码必须为数字字母组合，并进行密码过期前提示，多少天后强行修改

密码，有效降低密码被破解的风险 3.1.4、防火墙

U200-CS

H3C SecPath U200-CS是H3C公司面向中小型企业/分支机构设计的新一代UTM（United Threat Management，统一威胁管理）设备，采用高性能的多核、多线程安全平台，保障全部安全功能开启时不降低性能，产品具有极高的性价比。在提供传统防火墙、VPN功能基础上，同时提供病毒防护、URL过滤、漏洞攻击防护、垃圾邮件防护、P2P/IM应用层流量控制和用户行为审计等安全功能。 H3C公司的SecPath U200-CS不仅能够全面有效的保证用户网络的安全，还支持SNMP和TR-069网管方式，最大化减少设备运营成本和维护复杂性。

市场领先的安全防护功能

完善的防火墙功能：提供安全区域划分、静态/动态黑名单功能、MAC和IP绑定、访问控制列表（ACL）和攻击防范等基本功能，还提供基于状态的检测过滤、虚拟防火墙、VLAN透传等功能。能够防御ARP欺骗、

11

TCP报文标志位不合法、Large ICMP报文、SYN flood、地址扫描和端口扫描等多种恶意攻击。

丰富的VPN特性：支持L2TP VPN、GRE VPN、IPSec VPN等远程安全接入方式，同时设备集成硬件加密引擎实现高性能的VPN处理。 实时的病毒防护：采用Kaspersky公司的流引擎查毒技术，从而迅速、准确查杀网络流量中的病毒等恶意代码。

实时的垃圾邮件防护：可以拦截垃圾邮件，净化邮件系统，解决垃圾邮件对正常工作的干扰问题。

先进的URL过滤：实现基于用户的URL访问控制，防止因浏览恶意或未授权的网站(如网络钓鱼攻击网站)而带来的安全威胁。 全面的流量管理：能精确检测BitTorrent、Thunder（迅雷）、QQ等P2P/IM应用，提供告警、限速、干扰或阻断等多种方式，保障网络核心业务正常应用。

细致的行为审计：可对各种P2P/IM、网络游戏、邮件和数据传输等行为提供细致的监控和记录，实现细粒度的网络行为审计管理。

NAT应用：提供多对一、多对多、静态网段、双向转换 、Easy IP和DNS映射等NAT应用方式；支持多种应用协议正确穿越NAT，提供DNS、FTP、H.323、NBT等NAT ALG功能。 电信级设备高可靠性

采用H3C公司拥有自主知识产权的软、硬件平台。产品应用从电信运营商到中小企业用户，经历了多年的市场考验。 支持VRRP，实现负载分担和业务备份。 36年的平均无故障时间（MTBF）。 智能图形化的管理

简单易用的Web UI管理。

支持基于SNMP和TR-069协议的管理。 通过H3C UTM管理软件实现统一管理。

通过H3C SecCenter安全管理中心实现统一管理。

3.1.5、交换机

S5120-20P-SI

12

S5120-20P-SI以太网交换机是H3C技术有限公司自主开发的全千兆二层以太网交换机，广泛应用于企业网和园区网的接入层。提供灵活的全千兆以太网端口的接入密度、丰富的业务特性、统一的集群配置，为用户提供高性能、低成本、可网管的千兆到桌面的解决方案，是千兆接入的理想选择。

在过去的三年中，组播或视频点播、带大附件的电子邮件、文件传输器、按需备份和恢复、CRM/ERP以及Web和Java工具等多种应用都成为吞噬带宽的\"杀手\"，千兆位以太网逐渐延伸到桌面已经成为最迫切的需要之一。用户需要大容量带宽的语音、视频、多媒体等的应用，网络的价值正在快速显现。一些协作的应用开始在企业崭露头角，真正的提高企业的效率，例如在医疗行业的会诊、视频/广告制作、制造业的设计/加工、游戏领域、网格计算、科研协作等，诸如此类的应用在消耗大量带宽的同时，也在追求用户的满意度。人们对应用的要求已经不仅仅是\"有\"，而且要\"好\"。这都需要以消耗带宽资源作为代价。基于铜缆的千兆以太网可以将更多的应用从低速链路中解放出来，并且为业务创新提供了一个崭新的平台。对更高带宽的各种需求催生新一代千兆接入交换机，H3C公司的S5120-SI产品的推出，正是为了满足这一需求。 产品特点

灵活的千兆接入和集群管理

S5120-20P-SI全千兆以太网交换机提供20个10/100/1000M自适应电口接入；并且支持复用的SFP插槽，充分考虑用户的带宽升级的实际情况，既可以支持千兆光模块，也可以支持百兆光模块，保护用户投资。H3C S5120-SI系列硬件支持最大96Gbps交换容量，保证所有端口二层线速交换。

H3C S5120-SI系列交换机采用专利技术允许交换机利用专用互联电缆实现多达16台设备的堆叠，支持不同端口设备的混合堆叠。具有即插即用、单一IP管理。同时大大降低系统扩展的成本，保护了用户投资。

全面的接入安全策略 H3C S5120-SI系列交换机支持特有的ARP入侵检测功能，可有效防止黑客或攻击者通过ARP报文实施网络中逐渐盛行的“中间人”攻击，对不符合DHCP Snooping动态绑定表或手工配置的静态绑定表的非法ARP欺骗报文直接丢弃。同时支持IP Source Check特性，防止包括MAC欺骗、IP欺骗、MAC/IP欺骗在内的非法地址仿冒，以及大量地址仿冒带来的DoS攻击。另外，利用DHCP Snooping的信任端口特性还可以有效杜绝

13

私设DHCP服务器，保证DHCP环境的真实性和一致性。

H3C S5120-SI系列交换机支持端口安全特性族可以有效防范基于MAC地址的攻击。可以实现基于MAC地址允许/限制流量，或者设定每个端口允许的MAC地址的最大数量，使得某个特定端口上的MAC地址可以由管理员静态配置，或者由交换机动态学习。

H3C S5120-SI系列交换机提供802.1X和集中MAC认证方式对接入的用户进行认证，允许合法用户通过，对于非法用户则拒绝其上网。同时还支持客户端软件版本检测、Guest VLAN等功能，和CAMS服务器配合还可以实现代理检测、双网卡检测等功能。通过这些功能的应用可以对用户的合法性进行充分的检查和控制，最大程度的减少非法用户对网络安全的危害。

增强的网络管理和维护的易用性 H3C S5102-SI系列交换机支持通过FTP、TFTP实现设备的远程升级，支持SNMP v1/v2/v3，可支持Open View等通用网管平台，以及iMC智能管理中心。支持CLI命令行，Web网管，TELNET，HGMP集群管理，使设备管理更方便。并且支持SSH2.0等加密方式，使得管理更加安全。 传统交换机对端口的镜像功能都是基于本地实现，镜像数据流无法穿越网络在核心实现统一采集、监控和分析；H3C S5120-SI支持跨交换机的远程端口镜像功能（RSPAN），可以将接入端口的流量镜像到核心交换机上，在核心交换机上启动网流分析（Netstream）功能，对监控端口的业务和流量进行监控、优化部署和恶意攻击监控。

H3C S5120-SI系列交换机支持VCT（Virtual Cable Test）电缆检测功能，便于快速定位网络故障点；并支持DLDP（Device Link Detection Protocol）单向链路检测协议，可以有效的防止网络中单通故障的发生，大幅提高网络维护效率，切实将设备的易用性带给用户。

3.1.6、UPS

D6K(S)

14

基本特点：

Digital 系列UPS D6K(S)并联冗余采用双转换纯在线式的架构,该架构能够阻隔异常电源对负载的冲击,同时还能保证输出的稳定\\可能,让负载安全的运行,是最能有效解决所有电源问题的最佳架构设计,采用数字化控制技术,实现并联扩容和并联冗余的功能,为用户提供电源规划的弹性和更安全的保障. 高可靠性的并联扩容技术

您只要考虑您实际的电力需要,规划适当的UPS就可以了.未来如果因为设备的扩充而需要相应的电力扩充时,只需要购买扩充部分的UPS,将它并联到原有的电源系统就可以了,增加了规划的弹性,并大大减少了投资的浪费. N+1并联冗余功能

N+1并联冗余功能意味着随时都有多一台的UPS为您的重要设备提供保障.规划电源系统时,比额定容量增加一台,这样,当系统中任何一台UPS发生故障时,额外增加的一台UPS将使得电源系统能够不间断的为您的重要设备提供高品质的电力,使得系统更加可靠,同时先进的均流技术使得并联运行下的每一台UPS平均分担着负载电流,在提高系统可靠性的同时,也延长了UPS的使用寿命. 小型化的设计

应用了先进的控制技术,大大提高了功率因数,体积小,重量轻.

在线维修设计

如果您选配了维修开关,只要将UPS转到维修模式,您就可以在持续供应负载电力的状况下安全的进行在线维修;如果您做了N+1并联冗余的规划，即使在维修的时候市电发生中断，您的贵重设备也能得到不间断的高品质电源。

全面的功能设计

直流启动功能，让您在没有市电供应的情况下，也能使用UPS。定时开关机的功能、远程监控功能，实现无人化的目标。强大的充电功能，方便您对备用时间的延长，智能型的充电模式更使得电池的寿命得以延长，节省开支。自动重启动功能，使您在UPS备用关机后不必亲身为UPS开机。全面的功能设计，为您的工作带来更多便利。 优异的技术指标

接近1的输入功因，大幅度的减少了对市电电网的污染，提高电网的利用率，是真正的绿色电源。 超宽广的输入电压范围，在各种恶劣的电力环境下都为您的贵重设备提供完美的保护。接近90%的满载运转效率，

15

有效的为您节省电费支出。强大的抗干扰能力，符合IEC61000-4对于抗电磁干扰的要求，有效的杜绝电网上的杂讯、高压、突破，给您的设备提供一个干净的电力环境。

其他各项优异的技术指标，让您以经济的价格，享受高档的品牌。

智能电源监控管理软件

支持Microsoft Windows95/98/Me/NT/2000/XP/Linux操作系统，适用于TCP/IP局域网，支持TCP/IP网络监控UPS；提供分层目录结构管理网络UPS；异常事件通知；自动侦测UPS型号及通讯口；提供密码保护；支持定时开启/关闭UPS；支持UPS定时自测功能；支持图形实时显示UPS状态；支持网络关闭服务器和工作站；支持关闭大部分应用程序及保存相关文档；支持简/繁体中文；多国语言及英语平台；支持在线帮助功能。具有数据记录(包括试点、UPS、负载、电池)和事件日志功能，便于系统管理员进行UPS日常维护。 完备的监控通讯功能

提供了RS-232、智能插槽(Intelligent Slot)等监控通讯接口。用户可以通过SNMP网络卡，实现集中监控及远程监控等功能。

3.2、软件

3.2.1、iGuard网页防篡改系统

技术原理

PKI

PKI（Public Key Infrastructure）即“公开密钥体系”，是一种基于公开密钥密码技术的安全通信和服务体系，它能够为所有网络应用提供包括机密性、数据完整性、数据源认证、数字签名等多种安全服务，是网络安全应用的基础。

iGuard网页防篡改系统的整体安全性建立在以PKI为核心的密码学体系上。

防篡改

iGuard对所有的原始网页元素（包括静态页面、动态脚本、图像文件、多媒体文件以及所有能以URL形式访问的实体）在发布时进行128位密钥的HMAC-MD5（RFC2104）计算，生成唯一的、不可逆转和不可伪造的数字水印。

16

浏览者请求访问任一网页元素时，iGuard 的篡改检测模块（作为Web系统的一部分）读出网页元素的内容重新计算数字水印，并与之前存储的数字水印进行比对，网页元素的任何篡改都能够被可靠地计算出来。 防窃听

iGuard任何通信实体（包括发布服务器和Web服务器、控制台和发布服务器）之间采用工业标准的SSL3.0/TLS1.0安全通讯协议（RFC2246），确保网页元素文件和（特别是）数字水印数据流在通信过程中不被黑客窃取和分析。

此外，HMAC的128位密钥以加密形式存在于操作系统的安全存储区内。

身份鉴别

iGuard通信实体间进行强身份鉴别。首先，Web服务器要确保上传文件的发布服务器的身份真实性，不能接受伪造的发布服务器上传的文件；其次，发布服务器要确保是在与Web服务器通信，确保发送的文件能够到Web服务器上。因此，双方彼此都进了身份鉴别。亦即：发布服务器采用客户端数字证书与Web服务器通讯，同时也验证Web服务器数字证书的真实性。

Web系统核心内嵌技术 核心内嵌模块的位置

一个标准的Web服务器的体系结构如图表3-1所示： Web系统（IIS/Apache/Weblogic/Websphere/Resin/Tomcat）

操作系统（Windows/Linux/FreeBSD/Solaris/AIX/HP-UX）

硬件平台（X86/sparc/ItaniumII/PowerPC/PA-RISC）

图表3-1

Web服务器的体系结构

Web系统核心内嵌技术（以下简称核心内嵌技术）是指将安全模块内嵌在Web系统软件（IIS/Apache/Weblogic/Websphere/…）中，这个模块针对不同的Web系统使用相应的核心内嵌技术实现，例如：ISAPI、Apache-module、NSAPI、JAVA-filter等，如图表3-2所示。

17

Web系统 核心内嵌模块 （ISAPI/Apache-module/NSAPI/JAVA-filter） 操作系统（Windows/Linux/FreeBSD/Solaris/AIX/HP-UX） 硬件平台（X86/sparc/ItaniumII/PowerPC/PA-RISC） 图表3-2

Web系统核心内嵌模块的位置

安全模块内嵌于Web系统即与Web系统完全整合，其优点在于：不存在独立的安全模块运行进程，入侵者无法找到和中止安全模块的运行。精准理解和分析Web服务传入和传出的数据，进行充分可靠的安全检查。完全与Web服务的运行进程融合，处理效率高，稳定性和兼容性强。与操作系统及硬件无关，全面控制Web系统软件和服务。iGuard的核心内嵌模块包含了应用防护模块（防注入攻击）和篡改检测模块（数字水印）两项技术，分别针对动态网页和静态网页进行保护。 应用防护模块

应用防护模块对来自于客户的Web访问请求进行分析，检查其中的表单输入和URL输入中是否含有非法字符/关键字构成注入式攻击，如图表3-3所示。

核心内嵌模块 Web系统 应用防护模块 request 特征库 18

图表3-3

应用防护模块 检查点为：

用户提交的http请求（request）到达Web服务器，尚未进行其他处理时。

检查对象为：

GET数据（URL和表单）。 POST数据（表单）。 检查方式为：

与注入式攻击特征库比对检查。 篡改检测技术

篡改检测技术是指Web服务器在对外发送网页时，利用数字水印技术对其进行完整性检查，如图表3-4所示。 核心内嵌模块 Web系统 篡改检测模块 response 水印库 图表3-4

篡改检测模块 检查点为：

Web服务器准备向用户发送网页时（网页文件已读入，尚未投放到网络上）。

检查对象为：

静态网页文件（HTML/CSS文件）。 图像文件（GIF/JPG/PNG/BMP文件）。 动态脚本文件（ASP/JSP/PL/PHP文件） 多媒体文件（WAV/MP3/ FLS/MPEG文件） 二进制可执行实体（CGI/DLL/EXE文件）。

19

其他所有可以在URL中访问/下载的文件。 检查方式为：

计算对象的数字水印，与水印库中的数据进行比较。

3.2.2、Iwall应用防护系统

工作原理

Web服务器核心内嵌技术

iWall使用了Web服务器核心内嵌技术来对所有用户请求数据进行检查，在请求数据尚未被Web服务器软件处理之前（更在Web应用系统处理之前）即进行检查，确保所有攻击行为被拒之门外。 一个标准的Web服务器的体系结构如图示3-5所示。

器软件 Web服务 （IIS/Apache/Weblogic/W ebsphere/Tomcat） 操作系 统 （Windows/Linux/FreeBSD/Solaris/AIX/HP-UX） 硬件平台 （X86/sparc/ItaniumII/PowerPC/PA-RISC） 图示3-5 Web服务器的体系结构

Web服务器核心内嵌技术（以下简称核心内嵌技术）是指将安全模块内嵌在Web服务器软件（IIS/Apache/Weblogic/Websphere/…）中，这个模块针对不同的Web服务器软件使用相应的核心内嵌技术实现，例如：ISAPI、Apache-module、NSAPI、JAVA-filter等，如图示3-6所示。

20

Web服务器软件 安全核心内嵌模块 操作系 统 （Windows/Linux/FreeBSD/Solaris/AIX/HP-UX） 硬件平台 （X86/sparc/ItaniumII/PowerPC/PA-RISC） 图示3-6 核心内嵌模块的位置

安全模块内嵌于Web服务器软件即与Web系统完全整合，其优点在于：

不存在独立的安全模块运行进程，入侵者无法找到和中止模块运行。 精准理解和分析Web服务请求数据，进行充分可靠的安全检查。 完全与Web服务的运行进程融合，稳定性和兼容性强。

二进制代码，处理效率高，与应用系统使用的脚本语言无关。 与操作系统及硬件无关，全面控制Web系统软件和服务。

应用防护模块

iWall应用防护模块即采用可上述的Web系统核心内嵌模块技术，对来自于客户的Web访问请求进行分析，检查其是否构成攻击企图或为网站管理员所禁止，如图示3-7所示。

21

request 安全核心内嵌模块 Web服务器软件 特征库 图示3-7 Web应用防护 检查点为：

用户提交的http请求（request）到达Web服务器，尚未进行其他处理时。

检查对象为：

原始请求数据（GET/POST等各种方法及其元数据）。 iWall功能 请求特性限制

iWall可以对HTTP请求的特性进行以下过滤和限制：

请求头检查：对HTTP报文中请求头的名字和长度进行检查。 请求方法过滤：限制对指定HTTP请求方法的访问。 请求地址过滤：限制对指定HTTP请求地址的访问。

请求开始路径过滤：限制HTTP请求中的对指定开始路径地址的访问。 请求文件过滤：限制HTTP请求中的对指定文件的访问。

请求文件类型过滤：限制HTTP请求中的对指定文件类型的访问。 请求版本过滤：限制对指定HTTP版本的访问及完整性检查。

请求客户端过滤：限制对指定HTTP客户端的访问及完整性检查。 请求链接过滤：限制链接字段中含有的字符及完整性检查。 鉴别类型过滤：限制对指定HTTP鉴别类型的访问。 鉴别帐号过滤：限制对指定HTTP鉴别帐号的访问。 内容长度过滤：限制对指定HTTP请求内容长度的访问。 内容类型过滤：限制对指定HTTP请求内容类型的访问。

这些规则需要可以根据Web系统的实际情况进行配置和分站点应用。 请求内容限制

iWall可以对HTTP请求的内容进行以下过滤和限制：

22

URL过滤：对提交的URL请求中的字符进行限制。

请求参数过滤：对GET方法提交的参数进行检查（包括注入式攻击和代码攻击）。

请求数据过滤：对POST方法提交的数据进行检查（包括注入式攻击和代码攻击）。

Cookie过滤：对Cookie内容进行检查。

盗链检查：对指定的文件类型进行参考域的检查。

跨站脚本攻击检查：对指定的文件类型进行参考开始路径的检查。 这些规则需要可以根据Web系统的实际情况进行配置和分站点应用。 指定站点规则

iWall可以分别为一台服务器上不同的站点制定不同的规则，站点区分的方法包括： 不同的端口。 不同的IP地址。

不同的主机头名（即域名）。 可防范的攻击

iWall组合以上限制特性，可针对以下应用攻击进行有效防御： SQL数据库注入式攻击。 脚本源代码泄露。 非法执行系统命令。 非法执行脚本。 上传假冒文件。 跨站脚本漏洞。 不安全的本地存储。 网站资源盗链。

应用层拒绝服务攻击。

对这些攻击更详细的描述见本文档第6章：常见应用层攻击简介。 攻击日志

iWall对于所有攻击都有详细日志，包括： 攻击时间。

攻击者IP地址。 主机名。 URL。

攻击部位。 攻击内容。

23

触发规则。

这些日志独立于Web服务器系统的日志。 攻击特征库

iWall的攻击特征库包括： 危险的头。 危险的文件名。 危险的文件类型。 危险的开始路径。 危险的方法。 危险的提交。 危险的帐号。

天存公司对攻击特征库持续升级，以对未来出现的攻击模式或新的操作系统/Web服务器系统进行防范。

鉴于Web服务器的特殊安全性，特征库不采用自动在线升级方式。

3.2.3、双机热备

LifeKeeper for Windows 2000/2003 为Windows 2000/2003 server上的应用和数据提供连续的可用性. LifeKeeper 框架运行在 Windows 2000 /2003操作系统之上, 它允许 LifeKeeper 在发生硬件或软件错误时维持业务关键应用的可用性.

SteelEye 运用自己在应用开发方面广泛的专业经验，在 Windows 环境下传递真正的业界领先功能, 包括:

• 空前的伸缩性允许用户将16台或更多的服务器构成群集并提供最大限度的灵活性和最低的总拥有成本 (TCO)

• 业界最多选择的应用软件恢复工具包(Application Recovery Kits ,ARKs)与流行的应用相集成，无需应用修改

• 简捷而成本可承受的实现，通过最广泛的即插即用配置选项和直观的GUI用户界面管理错误监控和恢复 • 所有关键IT资源，包括服务器、存储、应用和数据的端到端可靠性和高可用性管理

丰富特性、业界证明的解决方案

SteelEye 公司的专家提供业界证实的抗错操作环境已经有十多年的时间, 抗错(fault resiliency)可确保业务关键应用最大的运行时间.

24

这种特性丰富的高可用性群集解决方案提供:

• 并行恢复: 群集内的资源以并行，而非串行方式进行恢复而重新投入服务. 并行恢复显著减少了恢复一个群集资源所需的时间.

• 多种失效恢复选项: 允许自动和手动的失效恢复(failover)/切换(switchover), 多向(multi-directional)失效恢复, 灵活的active/active-active/standby配置以及无缝失效恢复– 所有过程对用户都是透明的, 他们不会意识到服务器或应用发生了错误.

• 层叠(Cascading) 恢复: 应用能在群集内抵抗多次失效. 在实际操作中, 如果一个系统失败，应用恢复到另一个系统, 如果该系统又失败, 则应用又顺次恢复到下一个系统.

• N-way 失效恢复: 允许在群集内配置一台服务器作为任何其它节点的失效恢复备机. 节点针对应用被赋予优先级. 这种配置可以在多次失效时提供保护，允许管理员在评估其余群集配置之后重新配置失效恢复的优先级.

• 应用恢复工具包(Application Recovery Kits): 包括业界最大范围的经过测试及认证的商业应用恢复工具包，为流行的数据库服务器、应用服务器和Web服务器以及网络接口提供即插即用支持.

• 错误检测与监控: 提供多种错误检测方法并与企业管理应用集成，独特的监控能力能在系统完全失效之前向系统管理员发出硬件部件或应用潜在错误的报警，以便提前采取措施.

• 性能优化: 通过与负载平衡软件应用集成而优化性能.

• 伸缩性: 传递空前的伸缩性，支持16台以上服务器构成的群集运行在一个环境下.

• 多条网络通信路径: 允许在受LifeKeeper保护的系统之间配置多条网络(sockets)通信路径. 这允许用户能够成本有效地配置更大的群集并为可能没有TTY端口的配置提供更灵活的检测机制. 每条路径被赋予一个优先级, LifeKeeper 用此优先级值决定用于正常节点间通信的路径.

25

•网络路径的自动配置: 有能力通过单个接口在双方向建立通信路径，不需要从两端分别建立, 简化了配置多节点群集的管理任务.

• 外部接口支持: 提供外部接口机制的一个集合，允许将LifeKeeper产生的事件和状态信息报告给外部系统或网络管理单元. 其中包括关键群集事件的 SNMP traps.

用户可定制的应用恢复解决

SteelEye 提供业界最大范围的可定制应用恢复工具包(Application Recovery Kits，ARKs)选择. LifeKeeper ARK 的设计可使它们并不打扰应用本身，因而提供企业最简便的实施，可立刻获得在LifeKeeper上保护关键应用的好处. SteelEye 测试、认证、支持Windows 2000上主要的数据库和Web服务器，这包括Microsoft IIS Web 服务器, Microsoft SQL Server 7.0, Microsoft SQL Server 2000, Oracle 8i 以及 IBM UDB2 EE/EEE. SteelEye 同时提供软件开发工具包(SDK)，允许企业为自己的应用建立自己的恢复工具包.

共享存储选项

LifeKeeper for Windows 2000 支持各种存储配置, 允许无缝地集成到现有的电子商务环境. LifeKeeper for Windows 2000 平台可以配置成使用SCSI或光纤通道技术，或使用存储局域网(SAN)的共享存储模式. 当你选择硬件平台时，LifeKeeper for Windows 2000 提供最大的灵活性.

支持的应用： 数据库：

MS SQL Server 7.0, 2000 DB2WE/EE/EEE7.x, Informix 7.12, 7.20, 7.3 LotusDomino

26

Oracle 8i, 9i RDBMS Sybase 10.0.2,11.0.1 Web服务器

MS IIS 4.0, 5.0 Apache Web Server 邮件/消息服务器

MS Exchange 5.5, 2000 其他应用与服务

Application with Disk Partition Application with File System

File System Volumn(NTFS) File Share IP Failover IP Local NIC Recovery NAS Recovery SAPR/3 Print Services

27

四、电子商务平台建设清单 序号名称型号数量单位单价金额(RMB)备注2U机架式Intel XEON5540 2.53Ghz*2内存：DDR3 1066 ECCRegistered 8G, 最大支持48G硬盘：SAS 15,000 RPM300G*2,支持RAID1\\0\\10等，最大支持八块热插拔硬盘网卡：INTEL双千兆*2阵列卡：支持RAID 1\\0电源:550w 1+1冗余服务器专用电源支持系统：Windows2003和RHEL 51U机架式:CPU：IntelXEON 5502 2.0Ghz*2内存：DDR3 1066 ECCRegistered 4G,最大支持48G硬盘：SAS 15,000 RPM146G*2,支持RAID0\\1\\10等,最大支持8块热插拔硬盘网卡：intel千兆网卡*2阵列卡：支持RAID 1\\0电源:500w节能服务器专用电源支持系统：Windows2003和RHEL 5并发连接数1200100客户端全千兆1.8T容量待机3小时windows系统标准动态版windows系统标准版1数据库服务器PR2510N1台45770457702应用服务器PR2510N2台186603732034567891011VPNM5400-S防火墙U200-CS交换机5120-20P-SI磁盘阵列GS4020(SAS)UPSD6K(S)网页防篆改Iguard应用防火墙WIALL双机热备LifeKeeper合计11111211台台台套套套套套160000167506900683002650016800014200013600160000167506900683002650033600014200013600853140

28