【正确答案】可采用的技术或安全设备包含但不限于以下内容： 网闸、可信边界安全网关、IPsec VPN、防火墙、入侵检测系统(IDS)或入侵防御系统(IPS)、数据交换专用服务器、基于公钥证书的身份认证服务器、集中监控审计系统、Kerberos身份认证系统、公钥加密技术、授权管理基础设施(PMI)技术、KMI技术、抗抵赖框架技术、VPN网关或支持MPLS VPN功能的路由器(或三层交换机)、流量监测和监管系统、漏洞扫描与防恶意代码(如防计算机病毒墙、防木马等)系统、政务内网安全管理系统、上网行为管理系统、安全跟踪和告警框架技术等

【答案解析】这是一道要求考生掌握政务网安全接入平台中可采用的技术(或安全设备)的应用分析题。本题的解答思路如下。 电子政务安全体系是一个立体的三维防护体系，其设计出发点是：①政务内网(或政务专网等涉密内网)系统必须保证万无一失；②政务外网系统做到适度安全，合理平衡系统运行效率和系统安全；③互联网(Internet)公共服务系统以适用、实用为主。在上图中所示的行政审批服务中心部分网络结构图中，政务专网、经审批通过的涉密部门内网主要用于涉密信息的处理、传输和存储。这两个网络系统的建设重点是防止泄密，因此应严格按照国家对于涉密信息系统的要求，采取安全措施进行建设和实施。其主要的安全措施包括：加密、访问控制、权限控制、身份鉴别等。 政务外网、大楼内局域网主要完成大多数非敏感的政务管理和服务功能。这两个网络系统的主要用户是公务员，因此安全重点在于防止与控制公务员异常活动、抵抗和防护来自外部网络的攻击。除了涉密信息外，大量的电子政务信息都汇聚和存放在这两个网络系统内。确保数据安全是这两个系统安全的核心内容，具体主要包括以下内容。 ①数据访问范围的控制。这两个网络系统中处理保存的数据主要是大量反映社会状态的内部信息，必须确保这些信息只能在这两个网络系统中流转，确保只在指定的职能部门、相关人员之间流动和处理。 ②数据完整性的保护。这两个网络系统中处理保存的大量数据是电子政务业务部门履行管理和服务职能所必需的，数据是否准确直接影响政府的决策和国家政务的执行，确保数据完整性和准确性是这两个网络系统安全最重要的工作之一。 ③系统可用性的保障。这两个网络系统是政府公务员直接使用的网络，其可用性的降低和破坏将直接影响政府的运行效率，必须保证该系统不会因信息安全事故造成系统停止工作。 Internet公共服务网主要是提供电子政务系统与公众的出入口，其安全重点在于确保出入口的安全，防止攻击者通过该网络系统进入电子政务系统，同时确保上图所示的对外服务平台中相关服务器的高度可用性。 在上图中，安全接入平台横跨了以上5个网络系统，需要全系统统一考虑其IT安全措施和手段，具体考虑要点如下。 ①网络系统对接和信息交换的安全。在上图中，政务专网、涉密部门内网要通过网闸等类型的安全设备与政务外网实现物理隔离，实现了纯数据摆渡，阻断了具有潜在攻击可能的连接，有效地抵抗利用网络协议的攻击，从根本上杜绝可被黑客利用的安全漏洞，为政务内网建立起可靠的边界保护。政务外网与Internet服务网之间可以通过防火墙之类的安全设备实现逻辑隔离。在政务专网、政务外网分别安装内、外数据交换服务器，这些服务器都采用双网卡配置，一块网卡接政务内(外)网，另一块接网闸。政务专网与涉密部门内网之间、涉密部门内网与政务外网之间也做类似的数据交换服务器配置，使得这些数据交换服务器成为不同网络之间数据传输的唯一通道，从而进一步加强各个网络系统之间信息交互的安全性。通过入侵检测系统(IDS)或入侵防御系统(IPS)过滤检测被监视网段的网络通信，查找可能是恶意的攻击通信，并发出警报或采取响应措施(如丢弃含有攻击性的数据包或阻断连接)阻断攻击。利用IPSec VPN等技术实现多个专用网络之间的安全连接。 ②信息中加带密级和敏感度标记。例如，政务外网与政务内网所有的应用数据都必须带有信息密级范围、敏感度标识的标记。原则上，不同范围的信息、不同密级的信息不能够自由交换，系统中应专门设置专用的信息内容检查和权限控制管理设施，用于对系统内信息的流转进行控制和处理。因此在政务外网、政务内网应分别建立起基于公钥证书的身份认证服务器，用于组织、管理个人身份认证信息，对数字证书进行发放和管理，并由其为内、外网各自的数据交换服务器进行认证，并用认证所产生的会话密钥对所有通过本服务器通道的数据进行标识，从而保证了通道数据的完整性(不可篡改、更不能发送未经标记的数据)。结合数据摆渡和认证标记技术，在安全接入平台的底层建立了安全的数据摆渡机制。还可以采用可信边界安全网关设备，保证用户的物理身份与数字身份相符。 ③严格定义交换的数据。例如，对于政务外网与政务内网的信息交换和交流，只可以采用应用数据交换的方式，并且要求应用数据必须严格定义，原则上不能够交换可用做程序(或类似功能)的数据。 ④设置访问控制。例如，对于政务外网与Internet服务网的信息交换和交流，可以采用网络层信息交换，设置访问控制的方式进行，典型措施是使用防火墙。此外还可以考虑使用应用层安全系统和权限控制系统。例如，采用融合公钥技术、Kerberos认证协议的认证方案，即采用公钥技术作为认证的手段，结合Kerberos协议的会话密钥分发机制，在分发会话密钥的同时，分发用户的属性证书。该方案具有公钥体系的强认证特性，避免了Kerberos认证体系中的中心数据库的脆弱性，同时可在单一的一个协议中完成认证和授权双重功能。并在方案中结合KMI技术，采用属性证书的方式表示RBAC的访问控制属性，而形成一个单一的单点登录授权体系。 ⑤公务员权限管理系统。公务员统一的权限管理中心对电子政务所涉及的所有公务员用户的权限进行统一管理，支持电子政务工程所涉及的所有应用系统。安全接入平台的安全服务包括登录服务、授权服务和审计服务。平台上运行的应用软件利用登录服务向平台认证，并通过授权服务向平台的其他服务(包括应用软件向平台注册的服务)取得授权。 ⑥用户管理系统。电子政务信息系统的用户管理分为三类用户的管理：自然人用户的管理、法人用户的管理、公务员用户的管理。前两类用户的管理是基于相应的职能部门数据库的(如居民可与户口、社保等系统统一)，应全系统统一管理；公务员用户的管理则需另外建设。公务员统一管理系统需要同时支持政务内网和政务外网等相关网络系统上的应用。 ⑦安全资源管理中心。安全资源管理中心是用于对电子政务所涉及的所有安全技术手段进行管理的中心，该中心负责所有信息安全相关设备、软件的配置，安全事件的记录和管理，设备故障的发现和处置，所有安全相关策略、参数、数据的自动升级、维护和发布。例如，通过安装流量监测和监管服务器，实现对接入平台运行情况进行安全监测与审计，对接入平台及业务信息进行注册管理、各种安全策略管理、流量监测、统计分析、安全审计等。例如，通过集中监控审计系统对网络中的各种网络设备、联网终端设备和系统进行集中的、可视的综合审计，及时发现安全隐患，提高安全系统的成效性。

【正确答案】解题思路1：该交换机的吞吐量至少达到12×1.488Mpps+8×0.1488Mpps=19.0464Mpps
解题思路2：该交换机的背板带宽至少为12×10⁹×2+8×100×10⁶×2bps=25.6Gbps
吞吐量至少达到25600Mbps/((8+64+12)Byte×8×2)=19.0476Mpps

【答案解析】这是一道要求考生掌握交换机吞吐量参数的计算题。本题的解答思路如下。
吞吐量是指在单位时间内无差错地传输数据的能力。网络互连设备的吞吐量可以用PPS(每秒包数)来度量。它是指网络互连设备在不丢失任何分组的情况下所能转发分组的最大速率。当网络互连设备的端口按理论上的最大值转发分组时，就称该端口处于线速工作状态。
由于以太网数据帧的最小长度为64B，因此以太网包转发线速的衡量标准是以单位时间内发送64B的数据包(最小包)的个数作为计算基准的。当以太网帧为64B时，需要考虑8B帧头和12B帧间隙的固定开销。一个线速的千兆以太网端口在转发64B包时的包转发率为1.488Mbps，其具体计算过程如下。
[*]
同理可得，一个线速的百兆以太网端口在转发64B包时的包转发率为0.1488Mpps；一个线速的万兆以太网端口在转发64B包时的包转发率为14.881Mpps。
解题思路1：依题意，图中DMZ区交换机共提供12个千兆端口和8个百兆端口，若要所有端口均能线速工作，并提供无阻塞的数据交换，则该交换机的满配置吞吐量至少达到19.05Mpps。具体计算过程如下。
12×1.488Mpps+8×0.1488Mpps=19.0464Mpps
解题思路2：交换机的背板带宽(也称之为交换带宽)是指该交换机接口处理器或接口卡和数据总线间所能吞吐的最大数据量。背板带宽标志了交换机总的数据交换能力，单位为Gbps。通常，交换机全双工端口总带宽的计算方法：端口数×端口速率×2。例如，一台交换机共提供12个千兆端口和8个百兆端口，则其背板带宽为25.6Gbps。具体计算过程如下。
12×10⁹×2+8×100×10⁶×2=25600Mbps=25.6Gbps
当以太网帧为最小帧长64B时，需考虑8B帧头和12B帧间隙的固定开销。若该DMZ交换机所有端口均以线速工作，并提供无阻塞的数据交换，则该交换机的满配置吞吐量至少达到19.05Mpps。具体计算过程如下。
25600Mbps/((8+64+12)Byte×8bit×2)=25600/1344Mpps=19.0476Mpps

【正确答案】(1)CIF格式：115.2×10⁹B或107.288GB
D1格式：460.8×10⁹B或429.152GB
(2)82.944×10¹²B或77247.36GB或75.437TB
RAID10的磁盘利用率：50%
硬盘数量：152块
S2600控制框数量：2个
(3)RAID001组磁盘利用率：83.33%
RAID002组磁盘利用率：75%

【答案解析】这是一道要求考生掌握监控点视频流的存储容量、IP SAN设备中硬盘数量和控制框数量、RAID组的磁盘利用率等参数计算的应用分析题。本题的解答思路如下。
①分辨率是数字监控产品中一项重要的技术指标，它在很大程度上决定了产品的性能(清晰度、存储量、带宽)和价格。CIF为常用视频标准化格式(Common Intermediate Format)的简称。在H.323协议簇中规定了视频采集设备的标准采集分辨率，CIF、OCIF的标准采集分辨率分别为352×288像素、176×144像素。D1是数字电视系统显示格式的标准，其标准采集分辨率为720×480像素(NTSC制式)或704×576像素(PAL制式)。CIF是主流的录像分辨率格式。
通常，监控图像硬盘存储容量的计算主要取决于“码流”这一参数，与图像格式的分辨率大小没有直接关系。CIF、OCIF、DCIF、D1等都有对应的码流范围，如果只是一味地将码流参数调高，图像质量也不会有明显的变化。依题意，市行政审批服务中心大楼监控系统保存的是CIF格式图像，码流为512Kbps，则每小时保存楼内500个监控点视频流需要115.2×10⁹B(107.288GB)的存储空间。具体计算过程如下。
[*]
若监控系统保存的是D1格式的图像，码流为2048Kbps，该码流为CIF格式图像码流512Kbps的4倍，则每小时保存楼内500个监控点视频流需要460.8×10⁹B(即(115.2×10⁹B×4)或429.152GB(即107.288GB×4)的存储空间。
②市行政审批服务中心大楼监控系统实施时，图像格式采用CIF格式，码流为512Kbps，则保存楼内500个监控点30天的视频流需要82.944×10¹²B(或77247.36GB，或75.437TB)的存储空间。具体计算过程如下。
[*]
廉价磁盘冗余阵列(RAID)是利用一台磁盘阵列控制器来管理和控制一组磁盘驱动器，组成一个高度可靠的、快速的大容量磁盘系统。RAID级别是指磁盘阵列中硬盘的组合方式，不同级别的RAID为用户提供的磁盘阵列在性能上和安全性的表现上也有所不同。RAID0也称为Stripe(条带化)，它把连续的数据分散到多个磁盘上存取，代表了所有RAID级别中最高的存储性能。其磁盘利用率是100%，但它不提供数据冗余。RAID1具有磁盘镜像和磁盘双工功能，可利用并行读/写特性，将数据块同时写入主盘和镜像盘，故比传统的镜像盘速度快，但其磁盘利用率只有50%。
RAID10是建立在RAID0和RAID1基础上的高可靠性与高性能的组合，它将数据分散存储到RAID组的成员盘上，同时为每个成员盘提供镜像盘，实现数据全冗余保存。它利用了RAID0较高的读写效率和RAID1较高的数据保护和恢复能力，其磁盘利用率为1/m(m为镜像组内成员盘个数)。当m=2时，RAID10的磁盘利用率最大，即50%。
依题意，市行政审批服务中心大楼监控系统全部监控视频流信息保存在IP SAN设备S2600中，采用存储容量为1TB的SATA硬盘，且采用RAID10配置(最大磁盘利用率仅有50%)，因此保存30天的视频流至少需要的硬盘数为152块。具体计算过程如下。
[*]
将计算结果向上取整数为152。其中，值取偶数是因为RAID10需要将数据块同时写入主盘和镜像盘，即分别要有主盘和镜像盘这两套磁盘组。
由IP SAN设备S2600控制框的配置参数中“……磁盘数量12个/框，最大支持附加7个磁盘扩展框”可知，1个S2600控制框可容纳的磁盘数量为12×(1+7)=96块。
按每框12个磁盘计算，152块磁盘需要13个磁盘框(即152/12≈12.667，将计算结果向上取整数为13)。这就需要2个S2600控制框(即152/96≈1.583，将计算结果向上取整数为2)，其中一个S2600控制框追加配置7个磁盘扩展框，另一个S2600控制框追加配置4个磁盘扩展框。
③RAID5为了保障存储数据的可靠性，采用循环冗余校验方式，并将校验数据以螺旋方式分散存储在RAID组的各成员盘上，即没有专用的校验盘。RAID 5允许RAID组内一个成员盘发生故障，即当RAID组的某个成员盘出现故障时，通过其他成员盘上的数据可以重新构建故障磁盘上的数据。若RAID组内成员盘个数为n(n≥3)，则RAID5磁盘利用率为(n-1)/n。当n=3时，RAID5的磁盘利用率最低，即66.67%。依题意，包含了6个磁盘、采用RAID5的RAID001组磁盘利用率=(6-1)/6≈83.33%。
RAID6是在RAID5基础上把校验信息由一位增加到两位的RAID级别。它实际上是一种扩展RAID5等级。它与RAID5的不同之处在于，除了每个硬盘上都有同级数据异或校验区外，还有一个针对每个数据块的异或校验区。RAID6允许RAID组内同时有两个成员盘发生故障。故障盘上的数据可以通过其他成员盘上的数据重构。若RAID组内成员盘个数为n(n≥4)，则RAID6磁盘利用率为(n-2)/n。当n=4时，RAID6的磁盘利用率最低，即50%。依题意，包含了8个磁盘、采用RAID6的RAID002组磁盘利用率=(8-2)/8=75%。