移动警务视频安全接入系统项目技术解决方案建议书模板范文完整方案文档格式.docx

移动警务视频安全接入系统项目技术解决方案建议书模板范文完整方案文档格式.docx

《移动警务视频安全接入系统项目技术解决方案建议书模板范文完整方案文档格式.docx》由会员分享，可在线阅读，更多相关《移动警务视频安全接入系统项目技术解决方案建议书模板范文完整方案文档格式.docx（27页珍藏版）》请在冰豆网上搜索。

2.系统总体设计6

2.1.设计依据6

2.2.设计原则6

2.3.安全体系7

2.4.技术路线8

2.5.系统组成9

2.6.网络拓扑结构10

2.7.业务流程11

2.7.1.视频采集流程11

2.7.2.视频访问流程12

3.安全功能实现13

3.1.视频终端区安全13

3.1.1.视频终端13

3.1.2.终端安全组件13

3.1.3.手持式终端安全14

3.1.4.笔记本终端安全15

3.1.5.车载终端及单兵设备安全16

3.2.无线网络区安全17

3.3.移动接入区安全18

3.3.1.边界保护18

3.3.2.视频安全接入服务18

3.3.3.视频应用服务20

3.3.4.监控管理信息采集服务20

3.4.安全隔离区安全20

3.5.公安内网区安全20

3.6.级联监控系统21

4.系统配置清单23

5.系统建设26

5.1.机房建设要求26

5.1.1.机房基本要求26

5.1.2.电源26

5.1.3.机房空调26

5.1.4.机房防雷27

5.1.5.接地系统27

5.1.6.消防系统28

5.2.项目分工28

1.1.建设背景

国内公安行业在移动警务系统规划建设阶段就把移动互联网的安全问题列入考虑范围，针对移动警务办公的安全接入问题和应用需求，公安部进行了大量的调研和分析，先后于年月和年月分别下发了《公安信息移动接入及应用系统建设技术指导书》（以下简称《指导书》）和《移动警务应用安全接入规范》（以下简称《规范》），指导各地对公安移动警务系统的建设。

近年来，随着移动警务的发展，以及各种无线通信技术的不断发展和完善，移动警务视频终端（以下简称“视频终端”）需要通过公众移动通信网、卫星通信网、专用无线网等无线网络开展视频应用。

与应用相比，视频应用对传输带宽与速率有更高要求。

同时，目前要求视频数据单向传入公安信息通信网，视频应用与应用区别较大，原《指导书》和《规范》已无法满足移动警务视频安全接入公安信息通信网的要求。

为此，公安部科技信息化局组织相关单位对移动警务视频安全接入模式进行了研究，基于《指导书》和《规范》提出的安全体系框架，并遵循国家标准《安全防范视频监控联网系统信息传输、交换、控制基础要求》（以下简称）相关技术要求，于年月制定下发了《移动警务视频安全接入规范》（以下简称《视频接入规范》），用于指导各级公安机关开展移动警务视频安全接入系统的建设，适用于安全受控的视频终端通过无线方式向公安信息通信网单向传输视频数据。

XX依据国家相关政策、法规、公安部相关规范，持续研究开发相关安全产品，并依托多年来在移动警务安全接入项目的建设经验，整理编制该技术方案，供各级公安机关在移动警务视频安全接入系统建设上参考、决策。

1.2.应用场景

在目前广泛开展的公安移动警务视频应用中，应用场景主要分为视频采集和视频访问。

视频采集是指视频终端采集现场视频数据，并通过移动警务安全接入系统传输到公安信息通信网；

视频访问是指公安信息通信网用户通过移动警务安全接入系统访问视频资源或控制视频终端。

1.3.安全风险

由于移动警务视频接入的终端移动性、终端使用场景的开放性、无线传输网络的安全脆弱性、视频数据非结构性和视频应用的复杂性，导致视频接入存在以下几方面风险：

、在终端使用方面，存在非法使用、非法外联、病毒木马、设备遗失和数据泄露等安全风险；

、在视频数据无线传输方面，存在网络窃听、数据篡改、身份伪造和数据重放攻击等安全风险；

、在视频应用服务方面，存在非法用户和非授权使用等安全风险；

、在视频数据跨网传输方面，存在协议伪造、病毒木马、漏洞攻击和内网数据泄露等安全风险。

1.4.建设目标

基于移动警务视频应用存在的安全风险，XX移动警务视频安全接入系统建设需要从以下几个方面来解决公安行业手持式终端、便携式笔记本、车载专用终端、单兵无线设备和摄像头等视频终端通过无线网络进行视频传输和应用的安全问题：

、确保网络安全隔离：

通过无线网络向公安信息通信网传输视频数据时，保证公安信息通信网与无线网络之间的安全隔离，保证移动警务安全接入系统安全防护强度等级一致。

、实现视频接入业务的安全开展：

视频终端提供视频资源过程中，有效防范终端使用、数据传输、应用服务和跨网传输等方面的安全风险，保障视频接入业务安全可靠地开展。

、实现集中监控管理：

在视频安全接入过程中，对终端设备和业务的申请、注册、审批和使用等流程进行安全有效的管理，并对终端、设备、网络和业务应用运行情况进行集中动态监控。

1.5.建设要求

、平台支持接受公安部移动警务监管中心监管，可实现本级平台信息到部监管中心的上报。

、平台支持手机、笔记本电脑、车载终端、单兵设备、摄像头等多种视频终端的接入，提供对移动接入的密码服务和系统安全加固功能。

、车载终端、单兵设备等专用设备应使用无线网络接入模块。

、平台实现安全加密技术与网络提供方数据通信技术相分离，支持目前主流的无线通信数据承载技术，并对后期新的通信技术具有理论上的兼容性。

2.系统总体设计

XX移动警务无线视频安全接入系统主要解决公安行业各种无线视频终端通过无线网络进行视频传输和应用的安全问题。

本系统基于公安内网用户提供身份信息，采用业务相关、属地化、角色管理的“白名单”机制，通过代理模式、报警阻断等手段，提供无法旁路的应用访问接口，通过身份认证后的用户只能进行授权范围内的操作，禁止非授权访问资源及系统操作；

建立基于视频终端提供通过安全智能密码模块提供的硬加密、强身份认证等机制的安全保障体系。

2.1.设计依据

⏹《公安信息公网移动接入及应用系统建设技术指导书》

⏹《移动警务应用安全接入规范》

⏹《移动警务视频安全接入规范》

⏹《移动警务系统安全管理暂行规定》

⏹国家密码管理局《商用密码产品使用管理规定》（年第号文）

⏹《金盾工程总体方案设计》

⏹《金盾工程安全保障体系总体设计方案》

⏹国家标准《安全防范视频监控联网系统信息传输、交换、控制基础要求》

2.2.设计原则

⏹标准化、规范化原则

系统设计严格遵循公安部、公安厅相关政策、法规和标准、规范。

⏹保密安全性原则

系统设计依照公安部相关要求，建立严格、可靠的安全管理机制，确保系统的高安全性。

⏹稳定高效性原则

系统设计采用先进的技术手段和体系架构，确保产品的高稳定性和高效性。

⏹先进兼容性原则

系统设计充分考虑设备、终端的异构性、高中低端需求，能够尽可能多的兼容现有设备、终端。

⏹便捷可扩展性原则

系统设计便于用户使用，不需要进行长期、复杂的培训即可方便应用。

同时系统建设要具有一定的扩展性，以满足不同用户的个性化需求。

⏹统一规划、分步实施原则

系统建设宜采用统一规划，分步实施的建设原则。

逐步完善、分步实施来完成公安信息的应用，以应用带发展，以效益促应用，逐步实现公安信息移动应用的各种功能。

2.3.安全体系

为防范移动警务视频接入在终端使用、数据传输、应用服务和跨网传输等方面的安全风险，移动警务视频安全接入系统在沿用《指导书》和《规范》安全体系框架提出的终端加固、信道加密、认证接入、访问控制、网闸隔离、安全管理和级联监控等安全要求基础上，补充完善针对视频接入的相关安全要求，形成全方位、多层次的视频接入安全防护体系，以确保实现公安信息通信网与无线网络之间安全隔离、保障视频接入业务的安全开展和集中监控管理的目标。

移动警务视频接入安全体系框架如下图所示：

图移动警务视频接入安全体系框架

终端加固:

基于硬件密码卡对终端进行安全加固，保证终端计算环境、资源和网络访问的安全和受控。

信道加密:

基于国家密码管理局指定的商用密码算法，实现视频终端到移动接入区端到端的通信加密，保证视频数据在传输过程中的机密性和完整性。

如果使用公众无线通信网，要求加密信道建立在网络运营商提供的具有辅助保护措施的网络之上（如虚拟拨号专用网络、访问节点网络等）。

认证接入:

基于设备证书实现视频终端和移动接入区接入网关之间的双向身份认证，保证只有具备合法设备证书的视频终端才能接入移动接入区。

访问控制:

在移动警务视频应用模式下，保证只有被授权的视频终端才能向公安内网区内单向传输视频数据，并对异常的访问进行阻断。

网闸隔离：

实现移动接入区和公安内网区之间的网络隔离。

在移动警务视频应用模式下，采用视频专用隔离设备对控制信令进行协议剥离和数据摆渡，对视频数据进行单向传输。

安全管理：

对移动警务系统的安全策略进行统一管理，保证系统安全策略的安全性和一致性。

级联监控：

对移动警务视频接入系统进行统一监控、审计和管理，发现系统异常，及时调整系统安全策略，并向公安部移动警务监控管理中心（以下简称监管中心）上报相关信息。

2.4.技术路线

⏹系统采用了移动第三代移动访问技术，使得系统的安全性和交互能力有了极大的提高。

⏹系统同时融合了无线接入、身份认证、信息加密等多种移动通讯、信息处理和计算机网络的最新的前沿技术，以专网和无线通讯技术为依托，为一线执勤警务执法人员或通过一线执勤警务执法人员提供了一种跨业务数据库、跨地理阻隔的无线视频传输及调度机制。

⏹建立全方位、多层次的安全服务体系，确保系统的身份认证、访问控制、信息安全、网络隔离、日志审计、病毒防范以及系统管理的安全机制。

⏹采用多层应用体系结构，采用中间件、组件等先进技术来进行视频终端应用程序、接入系统管理平台、后台视频数据交换系统的建设。

⏹具有丰富的无线视频终端支持，提供通用智能手机、手持专用设备、笔记本、车载终端、单兵无线终端、摄像头等多种模式的终端安全接入。

⏹系统严格按照《指导书》、《规范》、及《视频接入规范》进行设计，采用通用的标准和接口规范，可无缝集成不同厂商的应用系统，具有良好的扩展性和兼容性。

2.5.系统组成

移动警务视频安全接入平台由移动终端区、无线网络区、移动接入区、安全隔离区、公安内网区等五大部分组成。

图移动警务无线视频安全接入平台组成示意图

移动终端区：

包括各种智能手机、手持专用终端、车载终端、便携式笔记本、单兵设备和摄像头等终端；

无线网络区：

无线网络可以选择公众移动通信网、卫星通信网或专用无线网等各种无线通信网络；

移动接入区：

由边界保护设备、视频安全接入服务设备、视频应用服务设备和监控管理信息采集设备组成，实现无线安全接入及应用服务；

安全隔离区：

采用经国家保密部门认证并由公安部有关部门同意使用的安全隔离产品；

公安内网区：

实现授权访问服务和监控管理与级联服务，为移动应用提供信息和服务支持。

2.6.网络拓扑结构

XX移动警务视频安全接入系统依据公安部《视频接入规范》进行设计，系统的网络拓扑结构如下图所示：

图移动警务视频安全接入系统网络拓扑

如上图所示，移动警务视频安全接入系统网络结构由移动视频终端区、无线网络区、移动接入区、安全隔离区和公安内网区等五大部分组成。

图中黑色字体带下划线部分为移动警务视频安全接入专用设备，黑色斜体字部分为移动接入区和公安内网区的视频应用服务设备。

整个系统安全接入设备包括视频终端安全组件、防火墙、视频接入网关、视频前置系统、视频后置系统、设备证书管理中心、鉴别评估管理系统、视频专用隔离设备、监控管理探针、监控管理与级联系统等。

该网络拓扑结构有如下特点：

✓网络边界划分明确，在每一个网络边界都提供良好的安全保障；

✓公安移动接入区中的视频管理与应用服务器受到安全接入系统的接入保护，没有经过认证的移动视频终端即使能连接到移动接入区，也无法访问相应的应用服务；

✓移动接入区和公安内网区通过视频专用隔离设备实现逻辑隔离，保证公安信息网络不受外部攻击；

✓视频前置系统和后置系统实现对设备和用户进行认证，对传入公安内网的视频信息进行视频数据与控制信令进行分离，保证视频数据单向传输，并对控制信令进行格式检查和协议过滤，保证公安信息内网信息安全；

✓方案充分利用无线运营商提供的辅助安全措施，但系统的安全性能主要靠终端安全组件、安全接入系统、视频专用隔离设备等设备的保护，符合公安部的指导思想。

2.7.业务流程

移动警务视频接入系统业务流程包括视频采集和视频访问两类应用场景。

2.7.1.视频采集流程

、视频终端与视频接入网关进行双向身份认证。

、视频终端与视频接入网关建立视频安全传输通道。

、视频采集分为两种业务模式：

第一种为视频终端将视频数据传输到移动接入区的视频应用服务器；

第二种为视频终端先将视频数据传输至移动接入区的视频应用服务器，再中转传输至公安内网区视频应用服务器。

、针对第二种模式视频前置服务器对接入区视频应用服务器进行认证并对视频数据格式和传输协议进行检查；

视频专用隔离设备对视频数据与控制信令进行分离，视频数据单向传入公安信息通信网。

2.7.2.视频访问流程

、视频数据的访问分为四种模式：

第一种为视频访问终端访问公安内网区视频应用服务器的历史视频数据；

第二种为视频访问终端通过公安内网区视频应用服务器调用移动接入区视频应用服务器的历史视频数据；

第三种为视频访问终端通过公安内网区视频应用服务器和移动接入区视频应用服务器调用视频终端的实时视频数据；

第四种为移动接入区视频应用服务器调用视频终端的实时视频数据。

、针对第二、第三种模式，视频后置服务器对视频数据格式和传输协议进行检查；

、针对第三、第四种模式，视频终端必须与视频接入网关建立视频安全传输通道。

3.安全功能实现

XX移动警务视频安全接入系统围绕安全体系，从可信终端、终端接入、安全认证与管理、网络监管、边界安全等方面建立起了多层次、全方位的安全接入系统，保证了整个平台从终端接入、通信应用、网络行为、应用访问等的整体安全。

3.1.视频终端区安全

视频终端通过配备终端安全组件来确保终端接入的安全可信。

任何一个视频终端，只有配备了安全组件，才能被允许接入移动安全系统。

3.1.1.视频终端

视频终端作为移动警务视频应用的采集终端设备，分为手持式终端、便携式笔记本终端、车载终端、单兵设备和摄像头等类型，其中手持式终端设备包括：

智能手机和专用手持设备等；

车载专用终端指配置在标准警用巡逻车上的专用信息终端设备；

笔记本终端指笔记本电脑和各种上网本；

单兵设备指具有无线通信功能的视频图传设备；

摄像头指各种视频监控终端采集设备。

XX移动警务视频安全接入系统能够同时支持智能手机、、手持专用终端、车载专用终端、笔记本、单兵设备、摄像头等多种终端的安全接入。

3.1.2.终端安全组件

视频终端安全组件包括终端安全卡和安全加固软件，实现对视频接入的终端密码服务和系统安全加固功能。

终端密码服务提供数据加解密、数字签名和验证、消息摘要和完整性检验等服务，由终端安全卡实现。

终端安全卡内必须支持商用密码算法、、和公钥密码算法。

针对不同类型的视频终端，我公司分别生产了接口的安全智能卡、接口的安全存储加密卡和可信终端防护系统、嵌入式车载密码卡和外置式无线密码设备数据链路加密机。

系统安全加固保障安全防护措施不被旁路或失效，由安全加固软件与鉴别评估管理系统共同实现系统安全加固。

3.1.3.手持式终端安全

手持式终端安全主要通过配置安全智能卡和终端加固组件来实现。

安全智能卡是用于对手持式终端数据进行安全处理的卡，与终端配合工作。

安全智能卡经国家密码管理局安全审查通过，配用、、算法。

安全智能卡提供的主要密码服务包括：

（）用于存储个人数字身份证书和签名私钥，为终端提供数字签名、签名验证和数据加解密等密码服务；

（）用于实现算法和密钥管理，为终端提供基于算法的数据加解密服务。

手持式终端配备了安全智能卡，安装安全客户端软件后，将具备以下功能：

、用户识别功能

安全智能卡提供基于码的用户识别功能，合法用户可以设置和修改用户口令，非法用户无法通过口令验证，因而也无法使用移动应用功能；

此外，码验证提供防暴力破解功能，口令最多连续重试次（可以修改次数上限），连续次以上错误输入口令将导致安全卡码被锁定。

、信息安全存储功能

安全智能卡通过访问控制应提供两个层次的安全存储功能。

一种是密钥等关键信息的安全存储，该信息的存储对访问进行了特殊标记；

对称密钥信息加密存储，必须通过用户身份识别后才能进行读写。

另一种是用户敏感信息的安全存储，只有通过验证的合法用户才能访问加密信息。

、密码学运算功能

安全智能卡主要提供的密码学运算主要有：

真随机数生成、国密算法，国密算法、国密杂凑算法，杂凑算法、算法等。

、信息加解密封装

安全智能卡对需要加解密的信息利用密钥和加解密功能按照定义的格式进行完整性和机密性封装和解封，该功能实现信息加密。

、密钥协商

安全智能卡通过证书与安全接入网关进行身份认证，并用专有的安全认证密钥协商协议进行密钥协商，该功能是实现信息加密的基础。

3.1.4.笔记本终端安全

笔记本终端安全主要通过配置安全存储加密卡或可信终端防护系统来实现。

⏹

安全存储加密卡

安全存储加密卡是一种符合接口标准的密码产品，是整个安全认证体系的重要组成部分，它一方面配合应用及安全认证系统提供基于密码算法的加密、解密功能，支持、、、等多种操作模式；

提供基于非对称密码算法的加密、解密、签名、验证等功能；

提供基于和算法的杂凑功能；

提供密钥的安全存储和管理以及通过口令机制实现的权限管理。

另一方面作为独立产品为用户提供磁盘文件加密存储功能；

同时还提供了对终端设备进行安全加固的功能，包括基于引导系统的进程控制，网络过滤，端口安全控制等。

因此，安全存储加密卡提供的功能归纳起来主要包括三大部分：

密码服务、加密存储和终端安全加固。

、密码服务

密码服务具体包括：

存储个人数字身份证书和签名私钥，为终端设备提供数字签名、签名验证和数据加解密等密码服务；

以及实现加密算法和密钥管理，为终端设备提供基于加密算法的数据加解密服务。

主要提供的密码学运算有：

帧随机数生成、国密算法，国密算法、国密杂凑算法，杂凑算法、算法等。

、加密存储

透明的磁盘加密功能。

将重要信息加密存储在安全存储加密卡的加密区中。

写入盘时对文件进行加密存储，从盘内读出时对文件解密，实现透明的加密存储。

只有通过口令验证的合法用户才能访问加密区，口令验证提供防暴力破解功能，连续错误输入口令次数超过设定次数将导致盘被锁定。

、终端安全加固

通过在笔记本终端上已有的操作系统上安装可信终端加固组件，配合后台鉴别评估管理系统上终端安全防护系统实现终端的安全加固。

终端安全加固基于资源访问安全策略对系统外设、系统进程和系统端口进行策略控制；

通过网络过滤规则保护网络边界的可控性，防止终端一机跨双网问题；

对系统进行安全分析，提供终端安全状态检查和报告；

对系统进行日志和行为审计。

⏹可信终端防护系统

可信终端防护系统是在安全存储加密卡的功能基础上，增加了嵌入式可信系统和终端安全加固系统。

嵌入式可信系统是XX裁剪定制的安全可信的操作系统，使笔记本、上网本、平板电脑等支持平台的终端可以直接从盘启动，不使用笔记本的硬盘及操作系统（物理隔离），仅使用本机的、内存、显卡、声卡等设备进行启动，从而实现真正的“双机双系统”。

可信终端防护系统具备如下几个特点：

Ø

系统支持分区，可将安装可信操作系统的区作成物理只读，防止病毒及人为对系统的破坏；

系统工作分为两种模式：

工作模式和安装模式。

工作模式下用户的所有操作均在盘内进行，断电或重启后所有操作痕迹消失，盘内不保留任何操作记录。

安装模式下可通过加固系统的设置为特定权限的用户进入安装模式，在安装模式只读模式打开，合法的数据提交将被保留下来，在中保存。

系统提供透明的磁盘加密功能，将重要信息加密存储在系统加密区中。

系统整体存储容量和加密存储区可以根据用户需求进行调整。

应用方式将加密模块、操作系统，终端加固系统集成在一起，为客户实现真正的“双机双系统”。

3.1.5.车载终端及单兵设备安全

车载终端通过在公安部制定的专用车载终端设备中嵌入车载终端加密卡来实现对车载终端的身份认证、信息加解密安全保障功能。

对于无法使用终端安全卡的车载终端和单兵设备等特殊终端，可使用安全转接卡或外置无线密码设备数据链路加密机等其它形式的密码模块，采用绑定等认证方式限制接入。

⏹数据链路加密机

数据链路加密机是一款为（数据终端设备）提供身份认证、数据加密功能的终端加密设备，适用于网络摄像机、车载终端等视频采集终端。

数据链路加密机具有、串口等多种接口，可以对多种类型设备输出的数据、视频图像进行加密并安全传输，从而保证封闭式数字终端设备的网络传输安全。

、支持多种加密算法

数据链路加密机采用商密、、算法以及算法、国际通用算法。

、数据安全加密传输

数据链路加密机配合接入网关实现端到端全程数据加密，从而保证设备数据的传输安全。

、通用接口丰富

数据链路加密机通用接口丰富，实现了不同类型设备的连接。

这些接口主要包括串口、等常用接口，还具有、等扩展接口。

3.2.无线网络区安全

移动警务视频接入采用的无线网络可选择公众移动通信网、卫星通信网和专用无线网等，应满足专线接入和网络安全隔离要求。

专线接入