GAS運(yùn)維審計(jì)項(xiàng)目解決方案

..GAS統(tǒng)一安全運(yùn)維管理解決方案GAS統(tǒng)一安全運(yùn)維管理解決方案JoySuccess目錄TOC\o"1-2"\h\z\u1運(yùn)維現(xiàn)狀和風(fēng)險(xiǎn)分析31.1 客戶運(yùn)維管理現(xiàn)狀31.2 操作風(fēng)險(xiǎn)分析52解決方案62.1方案目標(biāo)62.2方案實(shí)現(xiàn)的功能63方案部署結(jié)構(gòu)83.1代理部署方式84方案高可用性104.1代理模式集群部署115方案優(yōu)勢(shì)115.1部署簡(jiǎn)單靈活115.2簡(jiǎn)化賬號(hào)管理115.3權(quán)限的細(xì)粒度控制125.4專業(yè)的操作審計(jì)125.5事件的快速定位125.6審計(jì)日志格式及回放126客戶價(jià)值13運(yùn)維現(xiàn)狀和風(fēng)險(xiǎn)分析客戶運(yùn)維管理現(xiàn)狀近年來(lái),隨著IT的不斷發(fā)展,信息化應(yīng)用也逐漸增強(qiáng),網(wǎng)絡(luò)系統(tǒng)中的應(yīng)用也越來(lái)越多。各級(jí)企業(yè)紛紛建立信息系統(tǒng),以提高勞動(dòng)生產(chǎn)率和管理水平,加強(qiáng)信息反饋,提高決策的科學(xué)性和準(zhǔn)確性,提高企業(yè)的綜合競(jìng)爭(zhēng)力。早期的信息系統(tǒng)安全只是防止外部網(wǎng)絡(luò)的攻擊、但現(xiàn)在安全威脅的80%來(lái)自內(nèi)部,如：內(nèi)部員工的非法登錄、越權(quán)操作、誤操作、惡意行為對(duì)信息系統(tǒng)造成嚴(yán)重威脅,運(yùn)維人員操作的盲區(qū),發(fā)生運(yùn)維事故,無(wú)法回溯事故原因,無(wú)法快速定位事故責(zé)任人。所以如何將用戶在服務(wù)器和網(wǎng)絡(luò)設(shè)備上的操作行為變?yōu)橥该骺梢?如何掌握運(yùn)維人員在什么時(shí)間做過(guò)什么事情,是否有違規(guī)或違法操作,是否觸及敏感數(shù)據(jù),對(duì)于業(yè)務(wù)系統(tǒng)故障,如何及時(shí)找到故障原因,以及如何審計(jì)運(yùn)維虛擬化云平臺(tái),這些都是一個(gè)現(xiàn)實(shí)而嚴(yán)峻的問(wèn)題?？蛻舻倪\(yùn)維管理特點(diǎn)公司管理人員構(gòu)成多有多樣：系統(tǒng)運(yùn)維人員、研發(fā)人員、網(wǎng)絡(luò)安全人員、安全審計(jì)人員、業(yè)務(wù)系統(tǒng)人員、外包代維人員、廠商維護(hù)人員等；網(wǎng)絡(luò)設(shè)備和業(yè)務(wù)系統(tǒng)服務(wù)器眾多；運(yùn)維人員掌握被管設(shè)備的賬號(hào)和密碼眾多；被管設(shè)備要求具有嚴(yán)格的復(fù)雜密碼機(jī)制；各角色運(yùn)維人員登錄地點(diǎn)分散,登錄方式多種多樣；運(yùn)維工具多種多樣；各網(wǎng)絡(luò)設(shè)備和業(yè)務(wù)系統(tǒng)服務(wù)器要求的身份認(rèn)證機(jī)制多種多樣；廠商及外包技術(shù)人員掌握著部分關(guān)鍵設(shè)備的賬號(hào)信息；部分設(shè)備提供共享賬號(hào)供運(yùn)維人員登錄操作。虛擬化云平臺(tái)的部署〔VMware客戶的運(yùn)維管理隱患共享賬號(hào)各角色運(yùn)維人員通過(guò)共享賬號(hào)登錄業(yè)務(wù)系統(tǒng),多人同時(shí)使用一個(gè)系統(tǒng)賬號(hào)導(dǎo)致用戶身份唯一性無(wú)法確定,一旦發(fā)生操作事故后,無(wú)法快速定位事故責(zé)任人。賬號(hào)密碼丟失及泄露每個(gè)運(yùn)維人員掌握多個(gè)業(yè)務(wù)系統(tǒng)的登錄賬號(hào)和密碼,無(wú)法保證對(duì)每個(gè)業(yè)務(wù)系統(tǒng)的賬號(hào)密碼進(jìn)行安全的保管,對(duì)于業(yè)務(wù)系統(tǒng)的登錄密碼時(shí)常忘記是不可避免的,管理員如果要處理給運(yùn)維人員所負(fù)責(zé)的業(yè)務(wù)系統(tǒng)更改密碼并告知的工作是繁瑣的、困難的。以及針對(duì)運(yùn)維人員負(fù)責(zé)的業(yè)務(wù)系統(tǒng)賬號(hào)密碼信息泄露被其他人盜用,所產(chǎn)生的后果是非常嚴(yán)重的。登錄限制不嚴(yán)格對(duì)于控制運(yùn)維人員在訪問(wèn)業(yè)務(wù)系統(tǒng)時(shí),所能使用的運(yùn)維終端及登錄IP的限制,目前沒(méi)有一種機(jī)制可以實(shí)現(xiàn)。運(yùn)維人員隨處都可以登錄重要業(yè)務(wù)系統(tǒng)而沒(méi)有考慮運(yùn)維終端自身是否有安全漏洞,是否會(huì)將安全威脅因素傳至業(yè)務(wù)系統(tǒng)上,比如說(shuō)"病毒"。訪問(wèn)控制策略不嚴(yán)格管理員對(duì)每個(gè)運(yùn)維人員在業(yè)務(wù)系統(tǒng)管理中,沒(méi)有制定一個(gè)清晰明確的訪問(wèn)控制策略,無(wú)法一目了然的看到什么用戶能夠以何種身份訪問(wèn)哪些設(shè)備,在設(shè)備自身上做訪問(wèn)控制策略,配置復(fù)雜,工作量大。并且不是每個(gè)設(shè)備都能做到這一點(diǎn),缺少有效的技術(shù)手段來(lái)保證訪問(wèn)控制策略有效地執(zhí)行。用戶操作無(wú)法實(shí)時(shí)審計(jì)在現(xiàn)在信息化建設(shè)中,內(nèi)部員工威脅明顯大于外部病毒威脅,員工的惡意操作或是誤操作,導(dǎo)致重要業(yè)務(wù)系統(tǒng)數(shù)據(jù)丟失或服務(wù)器宕機(jī)。事后如何了解事故發(fā)生的全過(guò)程,如何快速定位事故責(zé)任人,這些問(wèn)題都提醒我們,掌握每個(gè)運(yùn)維人員的操作動(dòng)向是保證安全運(yùn)維的重中之重。而依靠業(yè)務(wù)系統(tǒng)服務(wù)器自身的系統(tǒng)日志來(lái)查找問(wèn)題點(diǎn)及責(zé)任人是不可能實(shí)現(xiàn)的。外包廠商操作無(wú)法有效監(jiān)管對(duì)于外包廠商人員的操作缺乏有效的技術(shù)手段,來(lái)保證運(yùn)維工作的安全合規(guī)執(zhí)行,外包廠商的遠(yuǎn)程VPN維護(hù)無(wú)法實(shí)時(shí)監(jiān)管和控制,運(yùn)維過(guò)程中的高危操作無(wú)法得到事前預(yù)防和事中實(shí)時(shí)告警,外包廠商惡意操作和誤操作事后無(wú)法有效舉證。操作風(fēng)險(xiǎn)分析內(nèi)部操作不透明目前針對(duì)運(yùn)維人員賬號(hào)的盜用、非法登錄、越權(quán)操作、誤操作、惡意行為對(duì)業(yè)務(wù)系統(tǒng)服務(wù)器造成嚴(yán)重威脅。運(yùn)維人員在服務(wù)器和網(wǎng)絡(luò)設(shè)備上的操作行為對(duì)管理員來(lái)說(shuō)不透明可視,管理員對(duì)運(yùn)維人員在什么時(shí)間、通過(guò)什么方式、以什么賬號(hào)登錄到什么設(shè)備、在設(shè)備上做過(guò)什么操作無(wú)從得知,無(wú)法保證運(yùn)維人員的操作是否合法合規(guī),無(wú)法保證重要業(yè)務(wù)系統(tǒng)處于一個(gè)安全、穩(wěn)定的運(yùn)維環(huán)境。外部操作不可控企業(yè)在發(fā)展的過(guò)程中,因?yàn)閼?zhàn)略定位和人力等諸多考慮,越來(lái)越多的將非核心業(yè)務(wù)外包給設(shè)備廠商或者其他專業(yè)外包服務(wù)公司。雖然在外包過(guò)程中有嚴(yán)格的規(guī)章制度,但是風(fēng)險(xiǎn)并不可控。我們必須借助有效的技術(shù)手段監(jiān)管廠商和外包人員的操作行為,同時(shí)要上升到更高的實(shí)時(shí)監(jiān)控,快速取證和準(zhǔn)確舉證的層面。解決方案方案目標(biāo)針對(duì)目前的運(yùn)維管理中的隱患,我們?yōu)槠渲贫ㄒ徽装踩\(yùn)維管理解決方案。該方案提供給管理員一套具有：統(tǒng)一的賬號(hào)管理、統(tǒng)一的權(quán)限分配、靈活的訪問(wèn)控制策略機(jī)制、單點(diǎn)登錄、運(yùn)維過(guò)程全程監(jiān)控審計(jì)、運(yùn)維過(guò)程中違規(guī)行為告警、事后檢索關(guān)鍵運(yùn)維過(guò)程、快速定位事故原因、快速找到事故責(zé)任人的安全運(yùn)維管理解決方案。提供給運(yùn)維人員一套具有：安全的、方便的、簡(jiǎn)單的運(yùn)維操作平臺(tái)。方案實(shí)現(xiàn)的功能集中管理平臺(tái)將管理員的管理工作整合到一個(gè)集中的管理平臺(tái)上,在該平臺(tái)上實(shí)現(xiàn)對(duì)所有運(yùn)維人員賬號(hào)的管理,權(quán)限的劃分,訪問(wèn)控制策略的指定,運(yùn)維人員操作行為的實(shí)時(shí)監(jiān)控,違規(guī)操作的實(shí)時(shí)阻斷告警,運(yùn)維人員操作審計(jì)報(bào)告的查看和導(dǎo)出。將運(yùn)維人員的運(yùn)維工作整合到一個(gè)集中簡(jiǎn)單的運(yùn)維平臺(tái)上,清晰明了的展現(xiàn)所負(fù)責(zé)的業(yè)務(wù)系統(tǒng)服務(wù)器,并且不需再通過(guò)各個(gè)業(yè)務(wù)系統(tǒng)服務(wù)器賬號(hào)的認(rèn)證,無(wú)縫的實(shí)現(xiàn)單點(diǎn)登錄到被管服務(wù)器設(shè)備的平臺(tái)。統(tǒng)一的賬號(hào)管理支持對(duì)各個(gè)角色的運(yùn)維人員創(chuàng)建實(shí)名制賬號(hào),在以后的日常運(yùn)維工作中運(yùn)維人員只需記住一個(gè)賬號(hào),擺脫了需要記住多個(gè)業(yè)務(wù)系統(tǒng)服務(wù)器賬號(hào)和密碼的時(shí)代,同時(shí)避免了業(yè)務(wù)系統(tǒng)賬號(hào)信息的丟失和泄露的安全隱患,并且支持對(duì)外來(lái)人員的臨時(shí)賬號(hào)分配功能,管理員可以設(shè)置臨時(shí)賬號(hào)的有效時(shí)段,臨時(shí)賬號(hào)過(guò)期后將自動(dòng)回收,支持用戶賬號(hào)狀態(tài)管理,管理員可以切斷非法操作的用戶會(huì)話。統(tǒng)一的認(rèn)證機(jī)制各個(gè)運(yùn)維人員不需要在通過(guò)不同的運(yùn)維工具登錄到不同的業(yè)務(wù)系統(tǒng)服務(wù)器進(jìn)行身份認(rèn)證了,只需要用自己的賬號(hào)通過(guò)安全運(yùn)維管理審計(jì)系統(tǒng)的認(rèn)證,即可管理屬于自己權(quán)限范圍內(nèi)的業(yè)務(wù)系統(tǒng)服務(wù)器。支持的認(rèn)證機(jī)制包括：AD、RSA雙因素等。整合被管業(yè)務(wù)系統(tǒng)服務(wù)器針對(duì)運(yùn)維人員可能會(huì)忘記負(fù)責(zé)的某個(gè)業(yè)務(wù)系統(tǒng)服務(wù)器相關(guān)信息,安全運(yùn)維管理系統(tǒng)將整合運(yùn)維人員所負(fù)責(zé)的所有服務(wù)器到一個(gè)統(tǒng)一的界面呈現(xiàn)。運(yùn)維人員對(duì)自己所負(fù)責(zé)的業(yè)務(wù)系統(tǒng)服務(wù)器信息清晰明了。清晰精確的權(quán)限控制對(duì)于運(yùn)維操作來(lái)說(shuō),權(quán)限控制是從操作層面控制操作者的權(quán)限,因?yàn)椴僮魇亲詈诵牡娘L(fēng)險(xiǎn)因素,只有真正控制住用戶的操作權(quán)限,才能有效的降低操作風(fēng)險(xiǎn)。明確顯示每個(gè)運(yùn)維人員所能管理訪問(wèn)的業(yè)務(wù)系統(tǒng)服務(wù)器,管理服務(wù)器以及限制對(duì)于SSH、Telnet命令的使用級(jí)別。靈活的訪問(wèn)控制策略明確操作者身份,然后需要確定他要訪問(wèn)的資源,如果操作者可以隨心所欲訪問(wèn)任何資源,就等于沒(méi)有控制,所以需要通過(guò)靈活的訪問(wèn)控制策略來(lái)限制運(yùn)維人員所能訪問(wèn)的服務(wù)器、所能使用的運(yùn)維工具等,這樣才能有效的降低操作風(fēng)險(xiǎn)。操作行為的實(shí)時(shí)審計(jì)對(duì)于登錄到業(yè)務(wù)系統(tǒng)服務(wù)器的運(yùn)維人員,該方案實(shí)現(xiàn)全程實(shí)時(shí)審計(jì)其操作行為,實(shí)現(xiàn)運(yùn)維人員在什么時(shí)間,從某個(gè)IP地址、某個(gè)客戶端,通過(guò)某個(gè)管理工具登錄到某個(gè)服務(wù)器,在該服務(wù)器做過(guò)什么操作、若操作內(nèi)容越過(guò)權(quán)限以外,管理員即可收到告警郵件,告知管理員該用戶的違規(guī)操作內(nèi)容,使運(yùn)維人員的操作行為對(duì)管理員是透明可控的。審計(jì)模式靈活對(duì)于內(nèi)部運(yùn)維人員和外網(wǎng)接入運(yùn)維人員來(lái)說(shuō),該方案可以很好地實(shí)現(xiàn)其運(yùn)維操作審計(jì)功能,可以實(shí)現(xiàn)對(duì)于部分人員采用代理運(yùn)維審計(jì)模式,運(yùn)維人員通過(guò)該方案提供的運(yùn)維平臺(tái),實(shí)現(xiàn)統(tǒng)一認(rèn)證、統(tǒng)一授權(quán)、統(tǒng)一控制、全程實(shí)時(shí)監(jiān)控審計(jì)。對(duì)于監(jiān)控室、監(jiān)控廳、營(yíng)業(yè)廳、呼叫中心及其他Citrix、VMWare、Microsoft-Hype-V虛擬技術(shù)等運(yùn)維平臺(tái),該方案支持通過(guò)旁路審計(jì)模式,實(shí)現(xiàn)保留原有操作習(xí)慣并全程實(shí)時(shí)監(jiān)控審計(jì)。無(wú)縫的單點(diǎn)登錄運(yùn)維人員掌握多個(gè)服務(wù)器的賬號(hào)和密碼信息,為了防止出現(xiàn)賬號(hào)密碼丟失和被其他人員盜用的安全隱患,該方案提供無(wú)縫的單點(diǎn)登錄功能,管理員將服務(wù)器的賬號(hào)和密碼信息回收,只授權(quán)運(yùn)維人員訪問(wèn)服務(wù)器的權(quán)利,但并不知道被管服務(wù)器的賬號(hào)和密碼信息,從而避免服務(wù)器賬號(hào)和密碼信息丟失和盜用的威脅。詳細(xì)的審計(jì)報(bào)告對(duì)于企業(yè)內(nèi)審的要求規(guī)定,規(guī)定針對(duì)運(yùn)維人員的日常操作行為必須有實(shí)時(shí)的監(jiān)控手段,并對(duì)審計(jì)日志保存不少于3個(gè)月或更長(zhǎng)時(shí)間的存儲(chǔ),以及針對(duì)不同的運(yùn)維人員、在某一時(shí)間段、登錄某一個(gè)服務(wù)器、使用某一個(gè)應(yīng)用程序可以導(dǎo)出詳細(xì)的審計(jì)報(bào)告的要求。方案部署結(jié)構(gòu)針對(duì)各角色運(yùn)維人員對(duì)網(wǎng)絡(luò)設(shè)備和業(yè)務(wù)系統(tǒng)服務(wù)器管理的方式及習(xí)慣,采用代理模式,這種方式不改變目前網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu),部署簡(jiǎn)單、快捷。代理部署方式運(yùn)維人員訪問(wèn)被管理業(yè)務(wù)系統(tǒng)服務(wù)器之前需通過(guò)管理員分發(fā)的實(shí)名制賬號(hào)登錄安全運(yùn)維管理平臺(tái),然后直接訪問(wèn)業(yè)務(wù)系統(tǒng)服務(wù)器和網(wǎng)絡(luò)設(shè)備〔包含對(duì)虛擬機(jī)Citrix、VMware、Microsoft-Hype-V管理,不再需要輸入被管理服務(wù)器和網(wǎng)絡(luò)設(shè)備的身份認(rèn)證信息,直接進(jìn)入管理界面,并實(shí)時(shí)審計(jì)其操作行為。代理模式原理圖從上圖可以看出該方案提供的安全運(yùn)維管理審計(jì)是一款采用嶄新的設(shè)計(jì)架構(gòu),聚集其賬號(hào)管理、認(rèn)證管理、授權(quán)管理、訪問(wèn)控制、行為審計(jì)、單點(diǎn)登錄等功能為一體的安全運(yùn)維管理審計(jì)解決方案,該方案中的各個(gè)功能是以模塊形式存在,可分可合。根據(jù)客戶網(wǎng)絡(luò)中運(yùn)維形式的多樣性可采用不同的組合模式。集中式部署〔此種方式為網(wǎng)內(nèi)部署一臺(tái)GAS,并配置內(nèi)網(wǎng)訪問(wèn)IP和外網(wǎng)訪問(wèn)IP,供內(nèi)部人員和外部地理分散的人員登錄方案高可用性為了保證該方案在企業(yè)實(shí)際應(yīng)用中處于高可用性,建議用戶采用雙機(jī)熱備形式進(jìn)行部署。代理模式集群部署該方案模式提供給內(nèi)部運(yùn)維人員及外網(wǎng)接入人員一個(gè)虛擬IP,兩臺(tái)集群設(shè)備一主一備,保證實(shí)現(xiàn)運(yùn)維人員日常管理的不中斷性。方案優(yōu)勢(shì)部署簡(jiǎn)單靈活部署不需要改變網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu),管理員配置輕松簡(jiǎn)單、運(yùn)維人員運(yùn)維簡(jiǎn)單安全,針對(duì)不同的客戶采用不同組合的部署模式：代理、混合。簡(jiǎn)化賬號(hào)管理支持各級(jí)管理員、程序開(kāi)發(fā)人員、數(shù)據(jù)庫(kù)管理人員等進(jìn)行統(tǒng)一身份認(rèn)證；解決共享賬號(hào)帶來(lái)的用戶身份不唯一的安全問(wèn)題；提供臨時(shí)賬號(hào)功能,過(guò)期賬號(hào)系統(tǒng)自動(dòng)回收；用戶管理設(shè)備的時(shí)候,不需要知道目標(biāo)設(shè)備的賬號(hào)和密碼信息。權(quán)限的細(xì)粒度控制權(quán)限控制細(xì)化到命令級(jí)別；命令黑白名單〔不能執(zhí)行/只能執(zhí)行；實(shí)時(shí)拒絕/阻斷/告警高危命令；多用戶使用同一系統(tǒng)賬號(hào)賦予不同的操作權(quán)限；策略跨多平臺(tái)有效。專業(yè)的操作審計(jì)提供在線運(yùn)維操作的實(shí)時(shí)監(jiān)控功能；支持圖形和鍵盤輸入信息審計(jì)；支持后臺(tái)隱藏的管理方式審計(jì)；支持按照用戶操作動(dòng)作審計(jì)；支持按照秒級(jí)方式捕獲視頻,最小支持一秒；支持代理離線審計(jì)方式；支持審計(jì)告警提示功能。事件的快速定位支持圖形標(biāo)題關(guān)鍵字查詢；支持鍵盤輸入信息關(guān)鍵字查詢；支持根據(jù)服務(wù)器、用戶名、時(shí)間、IP地址等查詢、定