GLA 天璣 安全運維審計系統 技術白皮書 二 二 二 二 年三月 北京市國路安信息技術有限公司北京市國路安信息技術有限公司 版權聲明 本文中出現的任何文字敘述 文檔格式 插圖 照片 方法 過程等內容 除另有特別聲明 版權均屬北京市國路安信息技術有限公司北京市國路安信息技術有限公司所有 受到有關產 權及版權法保護 任何個人 機構未經北京市國路安信息技術有限公司北京市國路安信息技術有限公司的書面 授權許可 不得以任何方式復制或引用本文的任何片段 產品技術白皮書 信息安全專家 I 目錄 1前言 1 2解決方案 2 2 1設計目標 2 2 2設計原則 3 3產品功能 3 3 1面向用戶組的運維人員管理 3 3 2面向資源的運維方式管理 3 3 3基于角色的運維權限控制 3 3 4基于 WEB 的單點登錄 4 3 5全方位操作回放審計 4 4產品原理 4 5產品特點 5 5 1運維環境定制 5 5 2運維協議無關 5 5 3全面審計 5 5 4數據安全 6 5 5終端無需受控 6 6產品部署方式 6 產品技術白皮書 信息安全專家 1 1前言 隨著信息技術的不斷發展和各行業信息化建設的不斷完善 信息系統在各 行業單位運營中的作用不斷深化 信息系統已成為各行業單位的重要資產 信 息系統的構成 包括服務器 網絡設備和應用系統等 在數量和種類上都不斷 增多 對于各行業的 IT 運維部門來說 不僅意味著授權管理的復雜化和自身工 作量的成倍增長 也意味著信息系統安全風險的大幅提高 設備運維人員可以 輕松獲取信息系統的信息 從而危急信息資產安全 目前 信息系統的關鍵核心業務大都部署于 Unix 或 Windows 服務器上 主機或設備運維人員更多的依賴 Telnet SSH FTP SFTP RDP 等進行遠程管 理 并且運維人員身份多樣 大都是主機或設備廠商的第三方人員 這樣的現 狀導致在運維管理中存在很多突出的問題 1 帳號管理混亂 各行業信息系統內主機 網絡設備 安全設備等由于機 器和賬號數量太多 導致帳號管理工作復雜 某些情況下由于系統帳號數量限 制 很多人員都采用共享同一帳號進行維護 各系統分別管理所屬的系統資源 為本系統的用戶分配權限 無法嚴格按 照最小權限原則分配權限 另外 隨著用戶數量的增加 權限管理任務越來越 重 當維護人員同時對多個系統進行維護時 工作復雜度會成倍增加 安全性 無法得到充分保證 2 權限分配不夠細致 目前的管理中 沒有一個清晰的訪問控制列表 無 法一目了然的看到什么用戶能夠以何種身份訪問哪些關鍵設備 同時缺少有效 的技術手段來保證訪問控制策略有效地執行 3 審計信息沒有可用性 各系統獨立運行 維護和管理 所以各系統的審 計也是相互獨立的 每個網絡設備 每個主機系統分別進行審計 安全事故發 生后需要排查各系統的日志 但是往往日志找到了 也不能最終定位到行為人 另外 各系統的日志記錄能力也各不相同 某些系統歷史文件并不可信任 記 錄數量有限制 無法記錄操作人員 操作時間 操作結果等 產品技術白皮書 信息安全專家 2 2解決方案 天璣安全運維審計系統提供一套先進的運維安全管控解決方案 目標是幫 助企業轉變傳統 IT 安全運維被動相應的模式 建立面向用戶的集中 主動的運 維安全管控模式 降低人為安全風險 滿足合規要求 保障企業效益 1 集中賬號管理 集中的賬號管理是集中授權和認證審計的基礎 可以實 現將賬號跟具體的服務器關聯 通過這種關聯實現多級的用戶管理和細粒度的 用戶授權 還可以實現針對資源的行為審計 以滿足審計需要 2 資源授權 安全運維審計系統提供統一的界面對用戶 角色 行為和資 源進行授權 不但能夠授權用戶可以通過什么角色訪問資源 對某些應用還可 以限制用戶的操作 以及在什么時間進行操作等的細粒度授權 最大限度的保 護用戶資源的安全 通過集中訪問授權和訪問控制可以對用戶通過 B S 對資源 的訪問進行審計 3 操作審計 安全運維審計系統系統通過系統自身的用戶認證系統 用戶 授權系統以及訪問控制等詳細記錄整個操作過程中用戶的全部行為日志 還可 以將產生的日志傳送給第三方 安全運維審計系統系統對于生成的日志支持豐 富的查詢和操作 可按操作名稱 操作者 用戶類型 操作時間和操作狀態等 進行條件查詢和任意組合查詢 2 1設計目標 1 針對運維 通過單點登錄進行集中的運維管理 講全部設備集中管控 同意維護管理 2 運維管理簡單靈活 不需要在被運維的設備上安裝代理程序 不需要改 變網絡的物理拓撲結構 不影響管理設備的運行 3 運維人員操作簡便 使用 WEB 方式操作 操作簡單 4 運維活動記錄全面 精準記錄用戶操作時間 審計結果支持多種展現方 產品技術白皮書 信息安全專家 3 式 可回放操作 方便快速定位問題操作 5 運維管控安全有效 建立健全的系統安全機制 保證用戶的合法性和數 據不被非法盜取 從而保證產品的安全性 6 標準兼容 2 2設計原則 1 運行的可靠性 可靠性意味著在測試運行過程中避免可能發生故障的 能力 且一旦發生故障后 具有解脫和排除故障的能力 2 結構的可讀性 具有簡單明了的結構 3 功能的先進性 滿足客戶需求 系統性能可靠 易于維護 4 良好的可拓展性 留有升級接口和升級空間 3產品功能 3 1面向用戶組的運維人員管理 對用戶賬號根據不同運維角色進行統一集中管理 實現對運維用戶的認證 授權及用戶對資源的運維操作審計 保證用戶運維管理的安全性 3 2面向資源的運維方式管理 針對運維資源 主機 服務器 數據庫 網絡設備等 進行運維方式的管理 支持 SSH TELNET FTP RDP X WINDOWS 等運維協議 并可在安全運 維審計系統上添加用戶特有的運維工具 支持運維方式的擴展 3 3基于角色的運維權限控制 針對運維用戶角色對資源的訪問進行權限劃分 最大限度的保護資源安全 通過定義可執行命令 白名單 或不可執行命令 黑名單 的集合 對運維用 戶的非法操作進行實時阻斷 實現對用戶訪問資源的細粒度權限控制 產品技術白皮書 信息安全專家 4 3 4基于 WEB 的單點登錄 提供基于 WEB 的單點登錄功能 使得運維用戶無須記憶所有資源的帳號 和口令等信息 只需登錄安全運維審計系統 即可選擇對權限范圍內的運維資 源進行運維操作 提高了運維用戶的操作便捷性和運維管理效率 3 5全方位操作回放審計 對所有經過安全運維審計系統的操作行為 可完整記錄操作過程 能夠以 文字或視頻回放方式 重現運維管理人員對資源的所有運維過程 從而真正實 現對運維活動的完全記錄 4產品原理 GLA 天璣安全運維審計系統改變傳統由客戶端直接發起對資源的運維請求 的模式 而由運維終端通過 RDP 協議連接到安全運維審計系統 再由安全運維 審計系統發起對資源的運維請求 將運維終端與運維資源邏輯隔離 實現安全 運維 如圖所示 產品技術白皮書 信息安全專家 5 圖 1 產品原理圖 5產品特點 5 1運維環境定制 GLA 天璣安全運維審計系統可根據用戶運維資源特性 靈活定制安全運維 審計系統中的運維工具或方式 5 2運維協議無關 GLA 天璣安全運維審計系統無需針對每種運維協議進行分析和控制 運維 過程建立在安全運維審計系統與運維資源之間 保證運維過程安全可靠及系統 的高可擴展性 5 3全面審計 GLA 天璣安全運維審計系統通過文字或視頻錄制等方式詳細記錄用戶操作 過程的全部行為活動 提供報表等功能輔助管理員進行審計 5 4數據安全 GLA 天璣安全運維審計系統將運維終端與后端資源間邏輯隔離 運維人員 只能通過安全運維審計系統訪問資源數據 防止由終端病毒木馬或人為等導致 的數據泄漏 5 5終端無需受控 GLA 天璣安全運維審計系統實現運維終端與運維資源安全分離 運維終端 不進行實際的運維操作 無需考慮運維終端的安全問題 6產品部署方式 安全運維審計系統采用 服務旁路 運維串聯 的部署方式 既保證服務 器原有網絡環境不受影響 同時保證服務器對運維人員不可