高校運維安全審計系統(tǒng)建設(shè)及應(yīng)用

1、高校運維平安審計系統(tǒng)建立及應(yīng)用高校運維平安審計系統(tǒng)建立及應(yīng)用高校信息化經(jīng)過多年的迅速開展，建成了大量的校務(wù)管理信息系統(tǒng)及相對完善的校園網(wǎng)絡(luò)環(huán)境，建立成果在高校校務(wù)管理中發(fā)揮了重要作用，積累了豐富的系統(tǒng)建立及運維經(jīng)歷，同時這些系統(tǒng)的充分應(yīng)用集聚了大量的學(xué)生、教學(xué)、科研、人事、財務(wù)等業(yè)務(wù)數(shù)據(jù)和工作成果。信息已成為高校組織業(yè)務(wù)至關(guān)重要的資產(chǎn)，信息的平安對高校的管理乃至今后的開展至關(guān)重要，一旦發(fā)生信息數(shù)據(jù)泄露和信息平安事件，將對高校造成不可估量的損失。因此，保障關(guān)鍵信息的平安成為高校信息化建立新的挑戰(zhàn)。1高校運維平安審計系統(tǒng)建立的必要性1.1高校高度依賴信息系統(tǒng)，必須杜絕信息平安事件發(fā)生高校信息化經(jīng)歷

2、了初創(chuàng)期，開展期，目前已進入成熟期，學(xué)校師生及各級管理層、各職能管理部門對信息化給高校教學(xué)、科研、管理帶來的變革及效應(yīng)充分肯定，對管理信息系統(tǒng)建立熱情高漲，摒棄原有落后的辦公形式，全面基于信息平臺開展日常辦公，學(xué)校各個方面的管理業(yè)務(wù)都建立相應(yīng)的管理信息系統(tǒng)，特別是挪動應(yīng)用的開發(fā)，更是給師生帶來全新的人性化效勞和體驗，所以高校已經(jīng)對信息系統(tǒng)應(yīng)用產(chǎn)生前所未有的依賴。一旦由于管理或技術(shù)原因發(fā)生信息泄露或信息平安事件，將對師生及學(xué)校造成不可估量的損失。近年來，高校的各種信息平安事故不斷見諸報端，充分說明高校必須提升信息平安保障工作的程度。1.2運維人員管理權(quán)限過高，內(nèi)部平安威脅日益突出上海財經(jīng)大學(xué)管理

3、信息系統(tǒng)所有應(yīng)用系統(tǒng)、數(shù)據(jù)庫及效勞器等IT資源全部由一兩個后臺系統(tǒng)管理員集中管理，局部信息系統(tǒng)建立及運維采用效勞外包形式，效勞承包方技術(shù)人員也掌握后臺效勞器局部操作權(quán)限，包括應(yīng)用效勞及本文由論文聯(lián)盟.Ll.搜集整理業(yè)務(wù)數(shù)據(jù)庫操作權(quán)限。這種管理形式，勢必導(dǎo)致來自單位內(nèi)部的平安威脅日益增多，學(xué)校信息化管理層已經(jīng)意識到綜合防護、防范內(nèi)部威脅的重要性，同時，信息化領(lǐng)域相關(guān)管理標(biāo)準(zhǔn)，如信息系統(tǒng)等級保護等也對運維人員的操作行為審計提出明確要求。因此，如何化解后臺系統(tǒng)管理員過高的管理權(quán)限帶來的內(nèi)部信息平安風(fēng)險，是高校信息化技術(shù)管理層必須解決的問題。1.3粗放式IT資源管理方式，導(dǎo)致平安事故責(zé)任難以追究高校信

4、息化的多年建立，積累了大量的各類軟硬件IT資源，如操作系統(tǒng)、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、應(yīng)用效勞等，管理龐大的IT資源庫對后臺系統(tǒng)管理員來講，是一項復(fù)雜的工程，管理不善，容易出錯，甚至造成嚴(yán)重后果，手段不先進，容易造成管理破綻。特別是運維效勞承包方技術(shù)人員掌握著學(xué)校的相當(dāng)一局部IT資源的訪問權(quán)，這些技術(shù)人員經(jīng)常頻繁流動，往往已經(jīng)分開公司的技術(shù)人員權(quán)限不能及時清理，對學(xué)校造成極大信息平安隱患。同時，后臺運維人員由于業(yè)務(wù)才能或責(zé)任心等原因?qū)е抡`操作也時有發(fā)生。因此，對IT資源進展精細(xì)化管理，做到平安事故責(zé)任可追究，成為高校提升IT運維管理程度的必由之路1。1.4完善運維平安技術(shù)體系，適應(yīng)新形勢開展要求上海財

5、經(jīng)大學(xué)經(jīng)過幾年的努力，已經(jīng)在信息平安管理體系方面形成了一系列管理標(biāo)準(zhǔn)，組織體系方面設(shè)立了具有一定層次關(guān)系的信息平安虛擬組織機構(gòu)及人員安排，負(fù)責(zé)全校信息平安工作的正常開展。在技術(shù)體系方面雖建立并加固了平安防護網(wǎng)，初步開展了一些平安常規(guī)工作。但新形勢下，國家、教育部及上海市等上級主管部門在信息平安方面不斷提出更高的要求，特別是美國斯諾登事件之后，信息平安形勢嚴(yán)峻，學(xué)校需根據(jù)這些新的要求進一步完善運維平安軟硬件建立，完善相關(guān)管理體系和技術(shù)體系。據(jù)此，建立并施行運維平安審計系統(tǒng)作為完善信息平安管理與技術(shù)體系的手段之一，顯得尤為重要2。針對以上問題，上海財經(jīng)大學(xué)歷時幾個月，經(jīng)過充分的調(diào)研與分析，在全校層

6、面設(shè)計并建立了運維平安審計系統(tǒng)，從而到達(dá)監(jiān)控正在運維的會話及后臺資源被訪問情況，實時監(jiān)控在線運維操作，施行細(xì)粒度的平安管控策略，實時告警與阻斷違規(guī)操作，攔截非法訪問、惡意攻擊，阻斷不合法命令，過濾所有對目的設(shè)備的非法訪問行為的目的。2運維平安審計系統(tǒng)解決方案上海財經(jīng)大學(xué)運維平安審計系統(tǒng)的整體建立目的是通過構(gòu)建統(tǒng)一的運維平安審計平臺，集中解決敏感IT資源及數(shù)據(jù)平安問題，同時為后期統(tǒng)一平安管理平臺建立打好基矗2.1系統(tǒng)審計原理運維平安審計系統(tǒng)之所以可以到達(dá)審計目的，主要是依靠截獲運維人員的操作，并可以分析出其操作的內(nèi)容。特殊的部署方式，確保系統(tǒng)可以截獲運維人員的所有操作行為，分析出其中的操作內(nèi)容以

7、實現(xiàn)權(quán)限控制和行為審計的目的。同時該類系統(tǒng)還采用了應(yīng)用代理的技術(shù)，對于運維操作人員來說運維審計型系統(tǒng)相當(dāng)于一臺代理效勞器PrxyServer。因此，運維平安審計系統(tǒng)訪問的根本原理是，運維人員在操作過程中首先連接到審計系統(tǒng)，然后向?qū)徲嬒到y(tǒng)提交操作懇求；該懇求通過系統(tǒng)的權(quán)限審核后，系統(tǒng)的應(yīng)用代理模塊以用戶身份連接到目的設(shè)備并完成相應(yīng)操作，隨后目的設(shè)備將操作結(jié)果反應(yīng)給審計系統(tǒng)，最后系統(tǒng)再將操作結(jié)果反應(yīng)給運維操作人員。2.2系統(tǒng)角色功能運維平安審計系統(tǒng)的使用對象包括3類人員，審計系統(tǒng)管理員、系統(tǒng)運維管理員及審計人員。審計系統(tǒng)管理員主要職責(zé)是根據(jù)平安策略和系統(tǒng)運維管理員所需的操作權(quán)限來配置系統(tǒng)的平安策略

8、。審計系統(tǒng)通過策略管理組件與審計系統(tǒng)管理員進展交互，并將審計系統(tǒng)管理員輸入的平安策略存儲到系統(tǒng)內(nèi)部的策略配置庫中。系統(tǒng)運維管理員的操作懇求通過系統(tǒng)審核后，系統(tǒng)的應(yīng)用代理組件負(fù)責(zé)完成相應(yīng)操作，并將操作結(jié)果反應(yīng)給運維管理員，同時操作過程被記錄至系統(tǒng)審計日志數(shù)據(jù)庫，備日后調(diào)閱。審計人員那么可在需要調(diào)查運維管理員的歷史操作記錄時，讀取審計日志數(shù)據(jù)庫，開展信息平安審計工作3。2.3系統(tǒng)施行方案2.3.1IT資源訪問操作管理當(dāng)運維系統(tǒng)管理員對操作系統(tǒng)、數(shù)據(jù)庫、防火墻、交換機、應(yīng)用效勞等操作進展命令和圖形界面操作時，運維平安審計系統(tǒng)全程對所有操作界面進展文字記錄和視頻截圖，便于出現(xiàn)問題后進展追蹤。針對上海財

9、經(jīng)大學(xué)的情況，該審計系統(tǒng)可通過操作命令記錄和錄屏的方式對現(xiàn)有Linux、Unix、inds操作系統(tǒng)、rale數(shù)據(jù)庫、raleAS等相關(guān)操作系統(tǒng)、數(shù)據(jù)庫和應(yīng)用效勞的操作日志進展記錄。實時監(jiān)控通過SSH、SFTP、RDP、VN、Telnet、FTP等協(xié)議的操作行為，對監(jiān)控到的非法操作，可實時手工切斷?？梢詫κ褂肞LSQL、Tad等數(shù)據(jù)庫客戶端的應(yīng)用效勞系統(tǒng)數(shù)據(jù)庫管理員數(shù)據(jù)操作和數(shù)據(jù)庫對象操作進展記錄，同時，可以記錄效勞器管理員對Linux、Unix操作系統(tǒng)的命令操作，同時可以對inds操作系統(tǒng)、負(fù)載平衡、虛擬化平臺客戶端、交換機、防火墻等效勞器操作界面進展視頻截圖，做到任何操作事前權(quán)限可分級，事后

10、可追蹤4。2.3.2IT資源訪問權(quán)限管理針對學(xué)校IT資源龐大，管理網(wǎng)絡(luò)復(fù)雜，平安事故責(zé)任難以追究的問題，建立完成的運維平安審計系統(tǒng)，可對各類IT資源對象權(quán)限進展精細(xì)管理。對用戶有權(quán)限管理的目的設(shè)備，可按部門、設(shè)備類型、業(yè)務(wù)類型等分組管理，對不同類型的用戶設(shè)置不同的訪問權(quán)限。如可限制數(shù)據(jù)庫管理員對特定數(shù)據(jù)庫對象的數(shù)據(jù)操作權(quán)限，防止數(shù)據(jù)庫管理員的越權(quán)操作，同時可記錄數(shù)據(jù)訪問情況，從而真正進步資源訪問平安。2.3.3IT資源訪問賬號管理以往的操作中，經(jīng)常存在多人共用一個IT資源訪問賬號的問題，如應(yīng)用系統(tǒng)數(shù)據(jù)庫賬號，一旦操作失誤，系統(tǒng)管理員將無法確定詳細(xì)操作人員，無法追究相關(guān)責(zé)任。建立完成的運維平安審

11、計系統(tǒng)那么可向不同數(shù)據(jù)庫操作員發(fā)放不同動態(tài)口令卡，做到用戶與口令卡唯一對應(yīng)，從而識別數(shù)據(jù)和數(shù)據(jù)對象的操作人員，操作人員只有同時輸入靜態(tài)口令和動態(tài)口令，才能訪問數(shù)據(jù)庫對象和數(shù)據(jù)。一旦出現(xiàn)失誤操作，可準(zhǔn)確定位到詳細(xì)操作人員。2.3.4IT資源訪問密碼管理效勞器密碼重置是一項運維常規(guī)工作，以往一直只能通過人工操作或通過編寫代碼實現(xiàn)，存在操作不穩(wěn)定和誤操作的風(fēng)險。通過該審計系統(tǒng)的施行，可設(shè)置自動定期修改目的設(shè)備密碼，且非專業(yè)的密碼管理員不需要掌握修改后的詳細(xì)密碼。運維平安審計系統(tǒng)會自動代填效勞器密碼，所有效勞器管理員都通過審計系統(tǒng)統(tǒng)一入口直接訪問效勞器資源，進步密碼重置工作效率的同時，進步了效勞器管理

12、員訪問操作的效率，也防止了效勞器密碼人為泄露的風(fēng)險5。運維平安審計系統(tǒng)的施行，特別對外包型工程的公司方技術(shù)人員訪問系統(tǒng)數(shù)據(jù)庫和應(yīng)用效勞操作的審計，發(fā)揮了重要作用。公司人員僅能通過統(tǒng)一入口訪問權(quán)限內(nèi)的數(shù)據(jù)庫及應(yīng)用效勞資源，且校方不會告知其詳細(xì)用戶和密碼。運維平安審計系統(tǒng)從密碼管理相關(guān)角色可分為普通運維人員、密碼管理員和權(quán)限管理員。其中普通運維人員只能訪問有權(quán)限的資源，且不掌握該資源密碼；密碼管理員只掌握所有效勞器密碼，但無操作效勞器權(quán)限；權(quán)限管理員負(fù)責(zé)向不同運維人員分配不同資源，但不掌握詳細(xì)密碼。通過以上角色和權(quán)限的設(shè)置，可以到達(dá)互相制約的效果，從而大大進步效勞器人員操作層面的平安。3建立成效通過運維平安審計系統(tǒng)的施行，上海財經(jīng)大學(xué)IT運維部門實現(xiàn)了對各個業(yè)務(wù)系統(tǒng)以及操作系統(tǒng)、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備等各種IT資源的賬號、認(rèn)證、受權(quán)和審計的集中控制和管理；實現(xiàn)了集中化、基于角色的主從賬號管理，實現(xiàn)了角色屬性級別的細(xì)粒度權(quán)限分配和管理；實現(xiàn)了集中化的身份認(rèn)證和訪問入口；實現(xiàn)了集中訪問受權(quán)，基于集中管控平安策略的訪問控制和角色的受權(quán)管理；實現(xiàn)了集中平安審計管理，搜集、記錄用戶對業(yè)務(wù)支撐系統(tǒng)關(guān)鍵重要資源的使用情況。4結(jié)語高校信息平安