LogBase運維安全審計系統(tǒng)技術(shù)白皮書

LogBase運維安全審計系統(tǒng)技術(shù)白皮書杭州思福迪信息技術(shù)有限公司2010版權(quán)說明?版權(quán)所有2005-2010，杭州思福迪信息技術(shù)有限公司本文件中出現(xiàn)的任何文字?jǐn)⑹觥⑽臋n格式、插圖、照片、方法、過程等內(nèi)容，除另有特別注明，版權(quán)均屬杭州思福迪信息技術(shù)有限公司所有，受到有關(guān)產(chǎn)權(quán)及版權(quán)法保護。任何個人、機構(gòu)未經(jīng)杭州思福迪信息技術(shù)有限公司的書面授權(quán)許可，不得以任何方式復(fù)制或引用本文件的任何片斷。商標(biāo)信息蝦LogBa坡se別是杭州思福辜迪信息技術(shù)飄有限公司注籮冊商標(biāo)，受帆商標(biāo)法保護擦。公司信息網(wǎng)址：眨E-mai唉l：sup飄port@殺logba牙梨地址：苦杭州市文一喚西路75號說3號樓6樓蕩揉熱線:融400-右678-1蒙500菌電話：瓦0571-被88923蔽222要無傳真：克057省1-889拌23887目錄符一、前言吃覽4婦二、為什么殲需要運維審江計系統(tǒng)鹿搬5雙三、慧LogBa汁se途審計產(chǎn)品概嫩述季之6遇3.1步系統(tǒng)架構(gòu)奉較6箏3.2值技術(shù)原理府辜7弟3.3丸支持協(xié)議清萌單運筍8千四、主要功干能介紹絡(luò)梁9彈4.1柄統(tǒng)一用戶身咱份認(rèn)證嚇喉9饒4.2們訪問權(quán)限控宜制筑曬9明4.3吸服務(wù)器密碼巨管理晨疏9另4.4欣會話同步監(jiān)項控罷燕10茄4.5塌異常行為告愛警帶娛10暴4.6多操作行為記介錄瓶饑10猴4.7辣會話過程重稈放故榮10籠4.8慨歷史記錄查錢詢磚鎮(zhèn)11援4.9矮綜合審計報黃表徑姐11茄五、產(chǎn)品特勸性格遼12模5.1羊無干擾部署純方式掩幣12鞏5.2脂支持所有主庭流協(xié)議齒茅12以5.3WE列B呈在線回放技提術(shù)題浸12放5.4勢人性化使用冊方式茅備12悔5.5請豐富的審計晌報表魔勝12哀5.6坑安全可靠的電自身保障能混力繩評13刪六、部署方在式鏟株14鴨七、規(guī)格指胡標(biāo)肚嚇15渴八、綜述城啞16一、前言鎮(zhèn)各種權(quán)威的魂網(wǎng)絡(luò)安全調(diào)保查結(jié)果均表錫明，在可統(tǒng)托計的安全事模件中，60賴%以上均與記內(nèi)部人員有計關(guān)，這其中委既邁包括惡意行灘為（越權(quán)訪誘問、惡意破揉壞、數(shù)據(jù)竊唇取），也包長括每各種非主觀親故意引起的略非惡意行為推（誤操作、染權(quán)限濫用）旗。望由此可見，鋼規(guī)范內(nèi)部人葡員的訪問行彼為，特別是臘核心系統(tǒng)（險主機、網(wǎng)絡(luò)成設(shè)備、安全宵設(shè)備、數(shù)據(jù)繩等）的維護問行為勢在必咬行。摸傳統(tǒng)的信息命安全建設(shè)，辭往往側(cè)重于何對俱外部黑客攻懷擊會的防范獻，以及網(wǎng)絡(luò)籃邊界的訪問像控制，對信臂息系統(tǒng)安全漠威脅最大的兵內(nèi)部人員行縫為卻著缺乏有效區(qū)的峰管理忽。仍企業(yè)內(nèi)部人晉員，特別是沃擁有信息系被統(tǒng)較高訪問稠權(quán)限的運維驕人員（如網(wǎng)陽管員、臨時懼聘用人員、掛第三方代維唇人員、廠商緊工程師等）董，比外部入疏侵者更容易歷接觸括到信息系統(tǒng)匙的核心設(shè)備蠟和敏感數(shù)據(jù)遠、內(nèi)部人員傳惡意或非惡魔意的破壞行粱為更容易造視成較大的破將壞娘。線然而，學(xué)由于亭現(xiàn)有幸管理手段碰的不完善膏，考賬號共享情挺況普遍存在箏，追以及繡加密、圖形演協(xié)議的再廣泛吸應(yīng)用，使得屆這些運維管旋理喉人員的日常鎮(zhèn)操作，氣存在祖操作身份不掙明確、操作尸過程不透明姿、操作內(nèi)容朽不可知、操京作行為不可狡控、操作事貨故無法定位旗等股安全風(fēng)險究。內(nèi)部人員遵的操作行為滴幾乎處于完推全失控的狀例態(tài)，一旦發(fā)虹生事故，其卵后果的嚴(yán)重貿(mào)性將是無法床預(yù)估的。姜因此，放任出內(nèi)部風(fēng)險的柿存在決不可屬行。

天此外，從更遵守國家及字本行業(yè)各項佛法律法規(guī)的母角度考慮手。穗隨著苦《繪中華人民共校和國計算機它信息系統(tǒng)安租全保護條例功》羞的推挑廣篩實施趣，對IT虹系統(tǒng)內(nèi)部控耐制伯的要求越來淘越呈明確其。攝如，等?；诒疽笾忻髻F確提出蠶，厲要對慕“放內(nèi)部維護人惰員登錄主機禁、數(shù)據(jù)庫所謎進行的所有礙操作行為必”慕、杏“顯第三方人員教的維護行為顆”勾進行審計和壩控制簡。竟為滿足用戶截對加強內(nèi)部桂運維導(dǎo)安全審計日蓄益迫切的需遭要，杭州峽思福迪公司穿，督依托自身強搶大的研發(fā)能奇力，豐富的校行業(yè)經(jīng)驗，圓自主研發(fā)濱了信新一代軟硬魯件一體化述運維安全專弱用均審計系統(tǒng)令——容Logba獨se運維安咐全審計系統(tǒng)煉。叫該系統(tǒng)橋支持割對崗企業(yè)內(nèi)部人敢員的操作行劣為踐進行全面砍的豎審計、該監(jiān)控?zé)?，消除了傳壽統(tǒng)審計系統(tǒng)柄中的盲點，輝使企業(yè)對運削維人員旅的主操作過程耕，能做到添事前防范、緣事中控制、尾事后審計的蓬能力，是進企業(yè)IT內(nèi)斤控雕最站有效的蠅管理平臺石。結(jié)二、為什么堪需要運維審插計系統(tǒng)遺企業(yè)的信息弦系統(tǒng)，在日小常的內(nèi)部運粱維管理杜及IT內(nèi)控矩合規(guī)性遵循擱過程中，經(jīng)握常艦會紀(jì)遇到彩如舅下落問題系：堤多位運維人找員共用一個卵系統(tǒng)帳號，莫當(dāng)出現(xiàn)安全動事故時相互簽推諉，箏缺乏客觀、愛可信的依據(jù)啄來確定事故留責(zé)任人榮；種維護人員可蝦能只需要執(zhí)涼行簡單的規(guī)疼定操作，但夠卻捉通?？鹦枰褂眉碛懈鄼?quán)梯限的系統(tǒng)賬欺戶滴，結(jié)而府系統(tǒng)宵自身又苦無法進行細解粒度的授權(quán)斯管理，無法某進行播指令級或文腹件級別的訪悉問權(quán)限控制蜻；豪服務(wù)器豪、梅網(wǎng)絡(luò)設(shè)備韻、炊數(shù)據(jù)庫替等資產(chǎn)的絹數(shù)量日益增個多，按照查管理要求仇定期修改密蠻碼辭成為耗時費滔力的瑣事，悶基層運維人蝴員是否嚴(yán)格陷遵守制度，劍按時救完成密碼安挎全管理工作錫，管理影人訊員約無法槽方便添得知允；悔當(dāng)?shù)谌竭\獵維人員（代喉維/原廠工貍程師）決，需要對系接統(tǒng)進行操作深時膊，基于對電合作伙伴怖的信任儲及工作方便近需要火，盛企業(yè)內(nèi)部抗人員薦通漂常會袖給與其擁有縣高權(quán)限的系躁統(tǒng)賬戶甚至吸管理員諸帳戶始，而管理員快卻無法從技捉術(shù)上確保席，第三方人攝員的所有說操作行為石是否渴合規(guī)；鹿當(dāng)系統(tǒng)兩因某些操作搞發(fā)生故障時課，因為主缺乏對操作齡過程的全程粥記錄，醬無法還原事鋒故現(xiàn)場扣，確定問題亦原因，條而使得系統(tǒng)亂恢復(fù)時間大緞大延長；冠三芹、右LogBa敞se審計蛙產(chǎn)品糞概述逝綁Logba脅se運維安傻全審計系統(tǒng)歌是尋新一代操作隔行為安全審怠計系統(tǒng)，它剛采用軟硬件自一體化設(shè)計并，通過B/搬S方式(h擇ttps)部進行傅管理鋼，其主要功燕能為實獸現(xiàn)對遲運維人員萬操作盛服務(wù)器卸、譜網(wǎng)絡(luò)設(shè)備、藥數(shù)據(jù)庫似過程的喉全程監(jiān)控與吐審計寄，以及瘡對召違規(guī)操作艱行為的窩實時阻斷晨。躺該產(chǎn)品役采用先進的燙設(shè)計理念編，壩支持對多種格遠程維護方每式的妙支持普，如字符終禾端方式(S經(jīng)SH、Te蘇lnet、喬Rlogi劉n)、圖形延方式（RD寶P、X11堵、VNC、儀Radmi案n、PCA和nywhe寬re）、文件件傳輸（）饞以及多種主山流數(shù)據(jù)庫的踢訪問操作汗。簽3飄.1障系統(tǒng)箭架構(gòu)餐大Logba揭se運維安多全審計系統(tǒng)辰采用模塊化糕設(shè)計，主要拼由以下模塊闊組成：行為稍控制模塊、榜審計模塊、災(zāi)管理模塊、丹存儲模塊、餃用戶管理接暮口模塊受，各模塊間正關(guān)系如下圖床所示：筍圖1.卷系統(tǒng)架構(gòu)圖善行為控制?？儔K輪券實現(xiàn)對網(wǎng)絡(luò)壽、數(shù)據(jù)庫、圈服務(wù)器砍維護戚過程階的驕網(wǎng)絡(luò)些數(shù)據(jù)包討代理薯轉(zhuǎn)發(fā)、臂行為還原及改記錄、史違規(guī)行為阻丑斷功能；管理模塊凝圓實現(xiàn)維護用稀戶管理、主界機資產(chǎn)管理習(xí)、用戶旬授權(quán)與訪問貞權(quán)限衣管理，以及競對審計記錄皂的數(shù)據(jù)存儲葛控制；審計模塊墳戶實現(xiàn)行為安許全審計功能完，包括實時驕違規(guī)行為告臂警系統(tǒng)、歷低史記錄檢索躲系統(tǒng)以及報娘表系統(tǒng)；用戶界面積昌提供翠運維人員撕審計管理接冠口，以及運穩(wěn)維用戶叮的遠程工具繳使用界面。含3避.2臣技術(shù)原理織鐮Logba膚se運維安怎全審計系統(tǒng)鉗采用協(xié)議代升理方式對各浸種維護協(xié)議倒進行轉(zhuǎn)發(fā)，春并在轉(zhuǎn)發(fā)的績過程中累分別模擬了芬協(xié)議的客戶詳端與服務(wù)端握，具體如下巨圖所示：進圖2.君技術(shù)實現(xiàn)原砌理示意圖擔(dān)當(dāng)客戶端通構(gòu)過運維審計鼻系統(tǒng)訪問服皂務(wù)器時，首壤先由運維安澆全審計系統(tǒng)爪模擬成遠程月訪問的服務(wù)宰端時，接受伸客戶端發(fā)送皺的信息，并寒對其進行協(xié)視議的還原、如解析、記錄賓，最終獲得稈客戶端發(fā)送濁的指令信息斗，再模擬成逐操作的客戶錫端慚，鵝與真正的目鐮標(biāo)服務(wù)器建沫立引通訊蟻，貿(mào)并轉(zhuǎn)發(fā)用戶除端發(fā)送的指覺令信息礎(chǔ)。接收到服的務(wù)器端的返決回信息后，鬧再反向執(zhí)行損此過程，將搖返回值發(fā)送喂給客戶端辛從而實現(xiàn)對日各種維護協(xié)背議的代理轉(zhuǎn)滾發(fā)聰過程。在通板訊過程中，羨Logba頃se運維安淚全審計系統(tǒng)堡會記錄各種婦指令信息，兩并根據(jù)違規(guī)處規(guī)則庫對指或令信息進行梳比對，如發(fā)釣現(xiàn)違規(guī)的操充作行為，則回終止數(shù)據(jù)包姿的轉(zhuǎn)發(fā)，并負中斷整個T成CP會話。惕3.3支持撞協(xié)議清單燥字符型遠程三操作協(xié)議SSH蛛TELNE漢T悉RLOGI誘N嬸圖形終端操銜作協(xié)議速RDP馬(5.x、昆6.x、7土.x)VNCX11紗數(shù)據(jù)庫遠程功協(xié)議墾ORACL絡(luò)E遷(8i、浸9i、劃10g摘、俊11g怕)哈MSSQL澡SERV勝ER選（2000膀、2005糾）虹SYBAS最E怎文件傳輸協(xié)潤議FTPSFTP擊四套、再主要功能介帽紹畏4邊.1趕統(tǒng)一用戶姑身份認(rèn)證查在信息系統(tǒng)毫的維護管理滅過程中，經(jīng)低常會出現(xiàn)多吧名諷運維人員邁共用同一系熊統(tǒng)帳號進行凡登錄訪問的闊情況，從而相導(dǎo)致很多安厚全事件無法互清晰地定位滔責(zé)任人。婚LogBa洪se車運維安全審汽計系統(tǒng)通過找“酸運維罵審計系統(tǒng)帳柿號產(chǎn)”木與賣“東服務(wù)器帳號斬”做相關(guān)聯(lián)的方漂式，即在L惑ogbas炮e系統(tǒng)中為輔每一個叛運維人員膛創(chuàng)建唯一的來登錄賬號，渠運維人員升通過純自身壯的愚“荒審計系統(tǒng)帳宇號紫”請，先登錄運階維安全審計尸系統(tǒng)，再維登錄目標(biāo)服檔務(wù)器，從而殼實現(xiàn)衡將用戶身份歪的認(rèn)證落實旁到群“膠自然人甲”桶。派Logba蛇se運維審直計系統(tǒng)支持哈SSO功能危，維護人員陵只要登錄運控維審計系統(tǒng)求，即可訪問逃所有長被授權(quán)難的服務(wù)器系召統(tǒng)纖，無需進行寧二次登錄認(rèn)對證。脈4況.2腰訪問權(quán)限控家制億LogBa篩se運維安販全審計系統(tǒng)士可以對運維某人員進行細櫻粒度的權(quán)限甲控制，猴管理喬可以根據(jù)壺人員瓣、時間期、雀系統(tǒng)賬戶里、操作指令雙等腐內(nèi)容設(shè)定訪畫問權(quán)限霞，如：選限制用戶能果夠訪問的服旨務(wù)器范圍；悲限制用戶能妻夠登錄的襪時間崗；測設(shè)定用戶操錢作指令黑求、白球名單，阻止態(tài)違規(guī)操作行燦為；少LogBa抖se運維安原全審計系統(tǒng)想還支持特有且的授權(quán)訪問膀機制，即對介某些用戶，濱，每次訪問澤特定設(shè)備前稿都需要管理僅員進行授權(quán)并才能通行，母避免臨時人梁員在管理員頑不知情的情擦況下進行訪岸問。澇4偏.3廁服務(wù)器密碼茂管理簽LogBa雀se運維安念全審計系統(tǒng)冊提供服務(wù)器厚密碼管理功息能，薄可以騎周期句性暢對服務(wù)器密稻碼進行免自動樣修改，并保通證密碼癢復(fù)雜程度與女密碼文件的鍬安全保管敏。拼管理員可以故設(shè)定改密周繩期、密碼強氏度策略等改揪密決要求。幻4奸.4罰會話根同步勢監(jiān)控禾對于所有遠注程訪問目標(biāo)捏服務(wù)器的會豎話連接，踢Logba哭se運維安橡全審計系統(tǒng)仰均可實現(xiàn)拼同步過程監(jiān)范視愉，復(fù)運維人員放在服務(wù)器上柄做的任何操囑作都會同步判顯示在審計鏈人員的監(jiān)控訂畫面中干，包括vi裁、smit黨以及圖形化挺的RDP、義VNC既、X11以等操作拳，鋸管理員可以毀根據(jù)需要隨騰時切斷違規(guī)轉(zhuǎn)操作會話紙。父4煤.5左異常行為告主警猜LogBa粱se運維安辯全審計系統(tǒng)把內(nèi)置懸安全事件規(guī)另則庫臣，制并可實時華對燭用戶的操作晚過程進行檢公測，一旦發(fā)魔現(xiàn)違規(guī)檔操作行為，趙可以職通過短信、滋郵件等方式見向?qū)徲嬋藛T儲及時發(fā)送告剪警信息另或自動齡中止慚操作會話。勺安全事件規(guī)漢則庫支持自盛定義擴充功順能，果管理員可以圓根據(jù)企業(yè)內(nèi)磨部管理需求礎(chǔ)，萌靈活擴充規(guī)這則庫內(nèi)容精。笛4睬.6怪操作行為記戶錄拼對所有樸經(jīng)過審計系威統(tǒng)的操作剛行為師，絮LogBa正se運維安弱全審計系統(tǒng)牧均可完整記弓錄操作過程墨，仍保留操作注記錄舒，聽記錄內(nèi)容包嬌括操作時間震、IP地址獲、用戶賬號大、服務(wù)器賬瓶號、操作指土令、操作結(jié)柏果等信息惡。敘對于所有的寶操作記錄，復(fù)Logba惜se運維安烈全審計系統(tǒng)梯可以長時間騾進行保留，即為日后安全另審計生提供田客觀鵲依據(jù)。滿4林.7護會話過程重郵放絕Logba嚇se內(nèi)控堡及壘審計系統(tǒng)蕩能夠以視頻我回放偏方式角，運重現(xiàn)維護人慧員對服務(wù)器駐的所有操作范過程，從而響真正實現(xiàn)對底操作行為的絕完全審計。振回放過程采插用WEB在城線播放方式領(lǐng)，無需在安避裝播放客戶因端軟件。攀回放過程支蔬持常見的視毫頻播放控制巷操作，如倍寺速獅/低速客播放、拖動退、暫停、停賓止、重新播芳放等等，也姨可以秤從特定指令浴開始定位回復(fù)放遭。絹4基.8盜歷史記錄查兆詢件Logba斯se畏運維安全受審計系統(tǒng)支寄持通過友好獅的查詢界面糊，對以前發(fā)唉生過的菜歷史親事件進行查沉詢。醒審計人員可鼓以根據(jù)門時間、靜IP地址宮、用戶名、催操作指令邊等信息對歷其史數(shù)據(jù)進行浴多澡條件組合查擱詢，快速定占位豆目標(biāo)記錄文。疤查詢結(jié)果可除以直接導(dǎo)出庫為exce伯l文件，方壞便審計員進戴行后續(xù)處理壞。仆4蒜.9枝綜合審計報款表畫Logba額se運維黎安全版審計系統(tǒng)支簡持強大的報查表受功能，內(nèi)置期大量的安全州審計報表粥模板幅，同時也支市持通過自定據(jù)義方式擴充騰報表內(nèi)容芽。涼報表支持護以陽天、星期、執(zhí)月覺為首周期自動生逮成報表，逢并可通過郵愧件自動送達盆管理員處。舍也可以由管夸理員幅隨時健手工生成所竄需的報表?？刮鍨I、沒產(chǎn)品特性部5琴.1謎無干擾部署湊方式脅洽Logba趴se奸運維安全審僻計系統(tǒng)濾采用鏟旁路漏模式部署究，無需改變崗用戶網(wǎng)絡(luò)結(jié)造構(gòu)，無需坡在客戶端及彎服務(wù)器端安省裝程序來，斜不桶會影響客戶叼正常業(yè)務(wù)系廣統(tǒng)使用。船5低.2逝支持所有主膏流何協(xié)議沒歌支持始各糾種主流操作牧協(xié)議包括字谷符型操作、悄圖形化操作垮、敏文件傳輸、鉛數(shù)據(jù)庫訪問階操作等壺，址支持對象全嚴(yán)面覆蓋肉主流的服務(wù)擦器系統(tǒng)、網(wǎng)眾絡(luò)設(shè)備、淋安全設(shè)備、險數(shù)據(jù)庫系統(tǒng)贏。堂5攔.添3獅WEB在線體回放焰技術(shù)巖Logba帥se元運維安全審柱計系統(tǒng)碼支持態(tài)WEB在線夠回放技術(shù)據(jù)，無需在客鹿戶端安裝任蹄何回放軟件腔即可實現(xiàn)操持作過程回放嶄功能，回放很過程支持常制見視頻回放陣操作淘。奧5緒.噸4完人性化使用餅方式殘Logba新se爺運維安全審鋼計系統(tǒng)右支持用戶緞通過互WEB油頁面直接冶訪問目標(biāo)系屬統(tǒng)于，如通過幣web猛頁面解訪問器SSH悄服務(wù)器、待windo師ws井遠程終端等希等；棋系統(tǒng)弄同時也支持羅運維人員態(tài)使用自己習(xí)疑慣的客戶端僚軟件去訪問翠目標(biāo)服務(wù)器且，如茶putty壤、煤Secur密eCRT近、柱S叼ecure裁shel離l等晉等蜘。脫5瓶.丈5電豐富的審計緣報表卵淚Logba云se腸內(nèi)置摘豐富的熄安全釀審計報表貪，爪總數(shù)超過百周張，這即嶄能夠滿足盾大部分蘭客戶罵的畫日?？皩徲嬓枨笪荩忠部蓾M足如渴“邪等級保護唱”如、視“季薩班斯法案斧”探等合規(guī)性要煎求。評同時，賢系統(tǒng)吉也不支持沉通過自定義克或二次開發(fā)覆方式進行烏靈活予擴展鬼。烘5脖.茂6額安全可靠的鈴自身保障能閣力脫愈Logba捎se假運維安全審商計系統(tǒng)亦，黨通過多種技朵術(shù)手段騾，至來保障框自身裂與審計數(shù)據(jù)翻的德安全性縣。牙如：毫內(nèi)置自身安婆全防護防火恭墻雕數(shù)據(jù)防篡改摧、防刪除技納術(shù)設(shè)計；享嚴(yán)格的訪問務(wù)權(quán)限、審計覽權(quán)限控制體慣系；卻RAID債磁盤陣列，