h3c信息化數(shù)據(jù)安全資源整合方案(更新版)

　　

【正文】 ，數(shù)據(jù)中心將匯集高性能計(jì)算、數(shù)據(jù)通訊、語(yǔ)音通訊等功能于一體，成為 支撐 企業(yè)未來(lái) 業(yè)務(wù)發(fā)展 的平臺(tái)。 圖 2 FIRST 引擎架構(gòu) 如上圖所示， FIRST 引擎創(chuàng)新性地將協(xié)議識(shí)別與特征匹配緊密地結(jié)合起來(lái)，利用特征匹配精 確地識(shí)別出應(yīng)用層協(xié)議，并精確地分析出協(xié)議異常進(jìn)行阻斷，同時(shí)，將特征匹配與協(xié)議識(shí)別的結(jié)果結(jié)合起來(lái)，只有關(guān)聯(lián)了特定應(yīng)用層協(xié)議上下文的攻擊特征成功匹配了才被判斷為一次有效攻擊，從而，大大提高了檢測(cè)精度，顯著降低了誤報(bào)率和漏報(bào)率。利用深層檢測(cè)應(yīng)用層數(shù)據(jù)包的技術(shù)，H3C IPS 可以分辨出合法與有害的封包內(nèi)容。 . 應(yīng)用層安全設(shè) 計(jì) 今天，各種蠕蟲(chóng)、間諜軟件、網(wǎng)絡(luò)釣魚(yú)等應(yīng)用層威脅和 EMAIL、移動(dòng)代碼結(jié)合，形成復(fù)合型威脅，使威脅更加危險(xiǎn)和難以抵御。 狀態(tài)防火墻具有更高的智能，提供更高的安全性。 ? 靈活方便的部署方式 EAD 方案部署靈活，維護(hù)方便。當(dāng)用戶(hù)通過(guò)身份認(rèn)證但安全認(rèn)證失敗時(shí)，將被隔離到隔離區(qū)，此時(shí)用戶(hù)能且僅能訪問(wèn)隔離區(qū)中的服務(wù)器，通過(guò)第三方服務(wù)器進(jìn)行自身安全修復(fù)，直到滿(mǎn)足安全策略要求。 下面從桌面終端認(rèn)證需求、組網(wǎng)部署、功能描述 3 方面進(jìn)行 EAD 系統(tǒng)簡(jiǎn)單介紹： （ 1）、桌面終端用戶(hù) 認(rèn)證需求 對(duì)于要接入安全網(wǎng)絡(luò)的用戶(hù)， EAD 解決方案首先要對(duì)其進(jìn)行身份認(rèn)證，通過(guò)身份認(rèn)證的用戶(hù)進(jìn)行終端的安全認(rèn)證，根據(jù)網(wǎng)絡(luò)管理員定制的安全策略進(jìn)行包括病毒庫(kù)更新情況、系統(tǒng)補(bǔ)丁安裝情況、軟件的黑白名單等內(nèi)容的安全檢查，根據(jù)檢查的結(jié)果， EAD 對(duì)用戶(hù)網(wǎng)絡(luò)準(zhǔn)入進(jìn)行授權(quán)和控制。為了防止這種攻擊最有效的方法就是使用局域網(wǎng)常用路由協(xié)議時(shí)，必須啟用路由協(xié)議的認(rèn)證。如果找到則正常學(xué)習(xí)，否則不學(xué)習(xí)該 ARP。比如 smurf 攻擊。如圖。 COMWARE是由 H3C推出的支持多種網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)操作系統(tǒng)，它以強(qiáng)大的 IP 轉(zhuǎn)發(fā)引擎為核心，通過(guò)完善的體系結(jié)構(gòu)設(shè)計(jì)，把實(shí)時(shí)操作系統(tǒng)和網(wǎng)絡(luò)管理、網(wǎng)絡(luò)應(yīng)用、網(wǎng)絡(luò)安全等技術(shù)完美 的結(jié)合在一起。 在此背景下， H3C 提出用 SecCenter（安全管理中心）和 iMC（智能管理中心）組合，來(lái)滿(mǎn)足數(shù)據(jù)中心系統(tǒng)全局安全管理的需求， 將安全體系 中各層次的安全產(chǎn)品、網(wǎng)絡(luò)設(shè)備、用戶(hù)終端等納入一個(gè)緊密的 “全局安全 管理平臺(tái) ” 中，通過(guò)安全策略的集中部署、安全事件的深度感知與關(guān)聯(lián)分析以及安全部件的協(xié)同響應(yīng)，在現(xiàn)有安全設(shè)施的基礎(chǔ)上構(gòu)建一個(gè) 智能 安全防御體系，大幅度提高 數(shù)據(jù)中心系統(tǒng) 的整體安全防御能力。 ? 分區(qū)規(guī)劃，分層部署 在網(wǎng)絡(luò)中存在不同價(jià)值和易受攻擊程度不同的設(shè)備，按照這些設(shè)備的情況制定不同的安全策略和信任模型，將網(wǎng)絡(luò)劃分為不同區(qū)域。 數(shù)據(jù)中心需要一個(gè)全方位一體化的安全部署 方式。 數(shù)據(jù)中心安全性的三個(gè)主要的層次是： ? IT 基礎(chǔ)設(shè)施和物理安全性： o 這一層泛指整個(gè) IT 基礎(chǔ)設(shè)施，企業(yè)需要 IT 基礎(chǔ)設(shè)施來(lái)運(yùn)行有效 的業(yè)務(wù)操作， IT 基礎(chǔ)設(shè)施的彈性將決定業(yè)務(wù)操作的總體效率和可用性。 同城災(zāi)備中心和異地災(zāi)備中心同主數(shù)據(jù)中心之間需要通過(guò)廣域網(wǎng)連通。 外聯(lián)區(qū)接入交換機(jī)，為區(qū)域內(nèi)服務(wù)器群提供接入；服務(wù)器接入采用二層。 ? 匯聚層同樣 采用堆疊技術(shù)，提升整體的可靠性，簡(jiǎn)化配置和管理、業(yè)務(wù)部署更平滑。 廣域網(wǎng)區(qū)向上連接部 XX 單位 ，向下連接分支機(jī)構(gòu)。 廣域網(wǎng)區(qū)連接各 XX 單位 。而每個(gè)數(shù)據(jù)中心核心交換機(jī)緩存大小均要求在萬(wàn)兆全線速條件下達(dá)到 200 毫秒的突發(fā)流量緩存能力，因此，在突發(fā)引起瞬時(shí)擁塞時(shí)， N 個(gè)端口向一個(gè)端口轉(zhuǎn)發(fā)的緩存能力是 N*200 毫秒，與傳統(tǒng)出端口緩 存固定能力相比有本質(zhì)的提升。近幾年高性能計(jì)算 TOP500 排名中超過(guò) 50%的計(jì)算網(wǎng)絡(luò)互聯(lián)采用了千兆以太網(wǎng)。 ? 開(kāi)放性： 數(shù)據(jù)中心網(wǎng)絡(luò)建設(shè)要全面遵循業(yè)界標(biāo)準(zhǔn)，所推薦采用的設(shè)備、技術(shù)在互通性和互操作性上，可以支持?jǐn)?shù)據(jù)中心網(wǎng)絡(luò)系統(tǒng)的快速布署。 . 數(shù)據(jù)中心 建設(shè)主要關(guān)注點(diǎn)及 技術(shù)路線選擇 . 數(shù)據(jù)中心建設(shè)關(guān)注點(diǎn) 數(shù)據(jù)處理中心基礎(chǔ)設(shè)施建設(shè)應(yīng)保證高可用性、高性能、高可 擴(kuò)展性、靈活性、安全性等。 數(shù)據(jù)中心建設(shè)包括交通部 XX 單位 數(shù)據(jù)中心建設(shè)及各 XX 單位 數(shù)據(jù)中心建設(shè)，這里講的數(shù)據(jù)中心實(shí)現(xiàn)的是信息化系統(tǒng)計(jì)算資源和應(yīng)用系統(tǒng)集中的中心、各應(yīng)用系統(tǒng)數(shù)據(jù)集中存儲(chǔ)中心、以及承載計(jì)算資源和應(yīng)用系統(tǒng)網(wǎng)絡(luò)中心。 在業(yè)務(wù)系統(tǒng)信息化帶動(dòng)下，逐步形成覆蓋 XX 單位 、分支局、派出 機(jī)構(gòu)的廣域網(wǎng)及各級(jí)局域網(wǎng)，形成業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)化，并進(jìn)而形成基于 IP 網(wǎng)絡(luò)的視頻會(huì)議、視頻監(jiān)控、 IP 語(yǔ)音等增值業(yè)務(wù)。 XX 單位 采用垂直管理體制，交通部 XX 單位 下屬 XX 個(gè) XX 單位。 （ 2）、船舶管理 負(fù)責(zé)船舶檢驗(yàn)、注冊(cè)、年檢，負(fù)責(zé)中國(guó)籍船舶登記、發(fā)證、檢查和進(jìn)出港 (境 )簽證；負(fù)責(zé)外國(guó)籍船舶入出境及在我國(guó)港口、水域的監(jiān)督管理；負(fù)責(zé)船舶載運(yùn)危險(xiǎn)貨物及其他貨物的安全監(jiān)督等。 維護(hù)水上交通秩序 ，負(fù)責(zé)船舶流量管理 VTS。 （ 3）、船員管理 負(fù)責(zé)船員、引航員適任資格培訓(xùn)、考試、發(fā)征管理。 IT 基礎(chǔ)承載網(wǎng)絡(luò) 數(shù)據(jù)中心和廣域網(wǎng)建設(shè)，網(wǎng)絡(luò)從性能、帶寬、可靠性方面統(tǒng)一承載數(shù)據(jù)、語(yǔ)音、視頻業(yè)務(wù)。 XX 單位 信息化資源整合，數(shù)據(jù)大集中建設(shè)勢(shì)在必行！ 通過(guò)應(yīng)用集成為公眾提供有價(jià)值的服務(wù) ， 實(shí)現(xiàn) XX 單位 行政效率提高，提升社會(huì)公眾滿(mǎn)意 。 . 兩級(jí)數(shù)據(jù)中心，兩地三中心建設(shè)模式 兩級(jí)數(shù)據(jù)中心包括：部 XX 單位 數(shù)據(jù)中心和各 XX 單位 數(shù)據(jù)中心，兩級(jí)中心之間不是孤立存在，而是相互關(guān)聯(lián)，互為補(bǔ)充 ，如：部 XX 單位 設(shè)置面向全國(guó)的船員管理服務(wù)器， XX 單位 設(shè)置面向本 XX 單位 的船舶、 VTS、船報(bào)等，但部 XX 單位也同樣設(shè)置船舶等相應(yīng)服務(wù)器，同各 XX 單位 之間存在緊密數(shù)據(jù)互通 。如果客戶(hù)與員工不能訪問(wèn)關(guān)鍵性應(yīng)用，業(yè)務(wù)將遭受無(wú)法挽回的利潤(rùn)損失。 . 統(tǒng)一交換架構(gòu) 技術(shù)路線 統(tǒng)一建設(shè)的數(shù)據(jù)中心，應(yīng)用系統(tǒng)繁多，服務(wù)器規(guī)模較大，數(shù)據(jù)流量復(fù)雜，從性能、可靠性、可管理成本方面對(duì)數(shù)據(jù)中心網(wǎng)絡(luò)、存儲(chǔ)、計(jì)算系統(tǒng)提出新的要求。 因此，新一代統(tǒng)一交換架構(gòu)數(shù)據(jù)中心前端網(wǎng)絡(luò)、計(jì)算網(wǎng)絡(luò)、后端存儲(chǔ)網(wǎng)絡(luò)統(tǒng)一采用 10GE/100G 以太網(wǎng)，建設(shè)簡(jiǎn)單，性能提升，成本降低。 . XX 單位 數(shù)據(jù)中心 整體 架構(gòu) 建議 XX 單位 數(shù)據(jù)中心采用模塊化設(shè)計(jì)，模塊化包括：核心交換區(qū) 、各業(yè)務(wù)功能區(qū) 、系統(tǒng)管理區(qū)、外聯(lián)區(qū)，各功能區(qū)設(shè)置不同業(yè)務(wù)局服務(wù)器軟硬件，在數(shù)據(jù)中心集中設(shè)置 IT 綜合管理區(qū)和外聯(lián)區(qū)。 外聯(lián)區(qū)統(tǒng)一連接交通部、國(guó)家救撈中心等相關(guān)單位。 方案 1：同樣設(shè)置同城災(zāi)備中心和異地備份 中心 方案 2：異地容災(zāi)中心共用交通部 XX 單位 災(zāi)備中心。 是連接數(shù)據(jù)中心業(yè)務(wù)系統(tǒng)和第三方 關(guān)聯(lián)單位的橋梁，為合作伙伴管理提供網(wǎng)絡(luò)連接。該區(qū)域路由器應(yīng)具備以下基本特性： ? 無(wú)阻塞的報(bào)文轉(zhuǎn)發(fā)和處理能力，避免網(wǎng)絡(luò)性能瓶頸； ? 豐富的接口類(lèi)型和接口匯聚能力，如 CPOS/SDH、 MSTP、 E Ether、DDN、 PPPMP 等 。 . 數(shù)據(jù)中心 安全系統(tǒng)建設(shè)方案 安全是所有 IT 建設(shè)最核心的元素之一，對(duì)所有的網(wǎng)絡(luò)來(lái)說(shuō)都是一個(gè)主要的考慮事項(xiàng)，數(shù)據(jù)中心安全解決方案必須為數(shù)據(jù)中心提供能夠全方面保護(hù)數(shù)據(jù)中心業(yè)務(wù)的安全解決之道。 ? 應(yīng)用和數(shù)據(jù)安全性： o 這一層是指業(yè)務(wù)應(yīng)用的安全性，業(yè)務(wù)應(yīng)用被內(nèi)部和外部終端用戶(hù)實(shí)際訪問(wèn)，是處理業(yè)務(wù)事務(wù)的資產(chǎn)，并提供電子商務(wù)。依托具有豐富安全特性的交換機(jī)構(gòu)成數(shù)據(jù)中心網(wǎng)絡(luò)的第一重保護(hù)；以 ASIC、 FPGA 和 NP 技術(shù)組成的具有高性能精確檢測(cè)引擎的 IPS 提供對(duì)網(wǎng)絡(luò)報(bào)文深度檢測(cè)，構(gòu)成對(duì)數(shù)據(jù)中心網(wǎng)絡(luò)的第二重保護(hù)；第三重保護(hù)是憑借高性能硬件防火墻構(gòu)成的數(shù)據(jù)中心網(wǎng)絡(luò)邊界。按照功能分層打破了將所有功能都駐留在單一服務(wù)器時(shí)帶來(lái)的安全隱患，增強(qiáng)了擴(kuò)展性和高可用性。 . 基礎(chǔ)網(wǎng)絡(luò)安全設(shè)計(jì) 網(wǎng)絡(luò)基礎(chǔ) 架構(gòu) 的安全特性 是數(shù)據(jù)中心中各部件產(chǎn)品基本安全特性的通稱(chēng)。 COMWARE 的這一特性可使網(wǎng)絡(luò)中各節(jié)點(diǎn)設(shè)備得到同一的安全特性，徹底避免了由于部件產(chǎn)品安全特性不一致、不統(tǒng)一造成的安全“短木板效應(yīng)”。 端口安全的特性包括： NTK： NTK（ Need To Know）特性通過(guò)檢測(cè)從端口發(fā)出的數(shù)據(jù)幀的目的 MAC地址，保證數(shù)據(jù)幀只能被發(fā)送到已經(jīng)通過(guò)認(rèn)證的設(shè)備上，從而防止非法設(shè)備竊聽(tīng)網(wǎng)絡(luò)數(shù)據(jù)。 ? 隱藏攻擊源 設(shè)備防止 IP偽裝的關(guān)鍵在于如何判定設(shè)備接收到的報(bào)文的源 IP是經(jīng)過(guò)偽裝的。設(shè)備可以根據(jù) IP、 MAC、端口的對(duì)應(yīng)關(guān)系，下發(fā) ACL 規(guī)則限制從該端口通過(guò)的報(bào)文源 IP 必須為其從 DHCP 服務(wù)器獲取的 IP 地址。 . 內(nèi)網(wǎng)桌面終端 安全 管理系統(tǒng) 部署 在 XX 單位 的局域網(wǎng)接入上，需要采用嚴(yán)格的用戶(hù)認(rèn)證和授權(quán)控制策略，避免網(wǎng)絡(luò)的非法接入和越級(jí)訪問(wèn)，保證核心數(shù)據(jù)和業(yè)務(wù)的安全性和 高度機(jī)密。 ? 安全聯(lián)動(dòng)設(shè)備 是指用戶(hù)網(wǎng)絡(luò)中的交換機(jī)、路由器、 VPN 網(wǎng)關(guān)等設(shè)備。 例如 EAD 可 充分利用微軟成熟的 桌面 管理工具，由 SMS 實(shí)現(xiàn) 各種 Windows 環(huán)境下用戶(hù) 的桌面管理需求：資產(chǎn)管理、補(bǔ)丁管理、軟件分發(fā)和安裝等。防火墻以其高效可靠的防攻擊手段，和靈活多變的安全區(qū)域配置策略擔(dān)負(fù)起是守護(hù)數(shù)據(jù)中心邊界安全的重任。 業(yè)界很多防火墻一般都提供受信安全區(qū)域（ trust）、非受信安全區(qū)域（ untrust）、非軍事化區(qū)域（ DMZ）三個(gè)獨(dú)立的安全區(qū)域，這樣的保護(hù)模型可以適應(yīng)大部分的組網(wǎng)要求，但是在一些安全策略要求較高的場(chǎng)合，這樣的保護(hù)模型還是不能滿(mǎn)足要求。 圖 1 常見(jiàn)應(yīng)用層威脅 ? 惡意網(wǎng)頁(yè) ? 蠕蟲(chóng)病毒 ? 后門(mén)木馬 ? 間諜軟件 ? DoS/DDoS ? BT、 eMule 等 P2P 帶寬濫用 ? Skype、 MSN 等 IM 軟件應(yīng)用 ? 垃圾郵件 ? 網(wǎng)絡(luò)釣魚(yú) ? 系統(tǒng)漏洞 ? ?? . 入侵防護(hù)系統(tǒng)（ IPS） 入侵防護(hù)系統(tǒng) (IPS) 傾向于提供主動(dòng)防護(hù)，其設(shè)計(jì)宗旨是預(yù)先對(duì)入侵活動(dòng)和攻擊性網(wǎng)絡(luò)流量進(jìn)行攔截，避免其造成損失，而不是簡(jiǎn)單地在惡意流量傳送時(shí)或傳送后才發(fā)出警報(bào)。大部分的入侵防御系統(tǒng)都是針對(duì)已知的攻擊進(jìn)行防御，然而 H3C IPS 運(yùn)用漏洞基礎(chǔ)的過(guò)濾機(jī)制，可以防范所 有已知與未知形式的攻擊。 全面、及時(shí)的攻擊特征庫(kù) 攻擊特征庫(kù)是 FIRST 檢測(cè)引擎進(jìn)行攻擊檢測(cè)的依據(jù)，沒(méi)有完善的攻擊特征庫(kù)，再?gòu)?qiáng)大的檢測(cè)引擎也無(wú)法發(fā)揮作用，就象動(dòng)力強(qiáng)勁的發(fā)動(dòng)機(jī)沒(méi)有合適的、足夠的燃油一樣。 尤其 重要的一點(diǎn) 是 ： 在訪問(wèn)請(qǐng)求 急劇增長(zhǎng)的時(shí)候 ，服務(wù)器仍 要 保證快速、 穩(wěn)定 的傳送應(yīng)用到客戶(hù)端 。因此，對(duì)系統(tǒng)所記錄和存儲(chǔ)的審計(jì)數(shù)據(jù)進(jìn)行綜合分析及處理至關(guān)重要。 在此背景下， H3C 提出用 SecCenter（安全管理 中心）和 iMC（智能管理中心）組合，來(lái)滿(mǎn)足 XX 單位 系統(tǒng)全局安全管理的需求， 將安全體系中各層次的安全產(chǎn)品、網(wǎng)絡(luò)設(shè)備、用戶(hù)終端等納入一個(gè)緊密的 “全局安全 管理平臺(tái) ” 中，通過(guò)安全策略的集中部署、安全事件的深度感知與關(guān)聯(lián)分析以及安全部件的協(xié)同響應(yīng)，在現(xiàn)有安全設(shè)施的基礎(chǔ)上構(gòu)建一個(gè) 智能 安全防御體系，大幅度提高 XX 單位系統(tǒng) 的整體安全防御能力。 H3C SecCenter 可以通過(guò)開(kāi)放協(xié)議或安全代理的方式采集來(lái)自不同部件的安全事件數(shù)據(jù)，如病毒事件、異常登錄事件、異常操作事件、漏洞檢測(cè)事件、系統(tǒng)資源異常占用事件、流量異常事件等，幫助管理員及時(shí)掌握網(wǎng)絡(luò)中設(shè)備和終端的安全狀態(tài)，為進(jìn)一步的深入分析和決策奠定準(zhǔn)確的數(shù)據(jù)基礎(chǔ)。 H3C 全局安全管理解決方案 為實(shí)現(xiàn)這一目標(biāo)而構(gòu)建了開(kāi)放的、可持續(xù)演進(jìn)的安全管理平臺(tái)，通過(guò)對(duì)防護(hù)、檢測(cè)和響應(yīng) 等不同生命周期的各個(gè)安全環(huán)節(jié)進(jìn)行基于策略的管理，將各種異構(gòu)的安全 設(shè)備 、網(wǎng)絡(luò)設(shè)備、用戶(hù)終端和管理員有機(jī)的連接起來(lái)，構(gòu)成了一個(gè)智能的、聯(lián)動(dòng)的閉環(huán)響應(yīng)體系，可在保護(hù)現(xiàn)有網(wǎng)絡(luò)基礎(chǔ)設(shè)施投資的基礎(chǔ)上 有效應(yīng)對(duì)新的安全威脅、大幅提升對(duì) XX 單位 業(yè)務(wù)的安全保障。 . 兩地三中心數(shù)據(jù)中心存儲(chǔ)災(zāi)備方案 多套業(yè)務(wù)系統(tǒng)應(yīng)用服務(wù)器集中到數(shù)據(jù)中心同時(shí)，統(tǒng)一建設(shè)面向各業(yè)務(wù)系統(tǒng)的存儲(chǔ)系統(tǒng)是水到渠成的事，不同業(yè)務(wù)部門(mén)應(yīng)用系統(tǒng)數(shù)據(jù)可以集中共享存儲(chǔ)資源池，同一物理存儲(chǔ)資源池可以為不同業(yè)務(wù)系統(tǒng)提供邏輯上獨(dú)立的存儲(chǔ)空間，彼此互不影響，但可以集中考慮備份、容災(zāi)。 兩地三中心數(shù)據(jù)中心存儲(chǔ)災(zāi)備系統(tǒng)方案詳細(xì)設(shè)計(jì)見(jiàn)《 XXXX 單位 數(shù)據(jù)中心存儲(chǔ)解決方案》。 . 功能特點(diǎn) iMC 從根本上顛覆了傳統(tǒng)網(wǎng)絡(luò)管理軟件的設(shè)計(jì)思想，以開(kāi)放的技術(shù)路線和融合管理用戶(hù)、資源和業(yè)務(wù)三大網(wǎng)絡(luò)要素的理念為基礎(chǔ)，最終向客戶(hù)提供了一個(gè)個(gè)面向具體需求的業(yè)務(wù)管理流程，從而把客戶(hù)從繁雜、無(wú)序、割裂的管理工作中解脫出來(lái)。 iMC 設(shè)備面板管理 iMC 設(shè)備狀態(tài)管理 iMC 拓?fù)涔芾? iMC 設(shè)備性能管理 iMC 對(duì)象告警設(shè)置 身份與接入管理 支持 LAN、 WAN、 WLAN、 VPN 認(rèn)證接入，實(shí)現(xiàn)接入業(yè)務(wù)的統(tǒng)一、集中管理；支持智能卡、證書(shū)等強(qiáng)認(rèn)證功能，支持多種方式的端點(diǎn)準(zhǔn)入控制和基于身份的網(wǎng)絡(luò)服務(wù)，實(shí)現(xiàn)用戶(hù)與資源和業(yè)務(wù)的融合管理。 網(wǎng)絡(luò)流量分析系統(tǒng) 實(shí)現(xiàn)各種網(wǎng)絡(luò)流量信息統(tǒng)計(jì)和分析功能，能夠讓客戶(hù)及時(shí)了解各種網(wǎng)絡(luò)應(yīng)用占用的帶寬、消耗的網(wǎng)絡(luò)資源和