基于堡壘機(jī)技術(shù)的運(yùn)維安全管控系統(tǒng)設(shè)計(jì)與應(yīng)用

石宏宇

[摘 要]隨著電力企業(yè)信息化的不斷深入，業(yè)務(wù)系統(tǒng)變得日益復(fù)雜，系統(tǒng)維護(hù)人員潛在違規(guī)操作導(dǎo)致的安全風(fēng)險(xiǎn)問題日益突出。本文在不改變信息系統(tǒng)原有結(jié)構(gòu)的條件下，利用堡壘機(jī)技術(shù)構(gòu)建了運(yùn)維安全管控系統(tǒng)，實(shí)現(xiàn)了電力企業(yè)信息運(yùn)維的全周期監(jiān)控、管理和審計(jì)，有效地防范來自企業(yè)內(nèi)部的安全威脅及風(fēng)險(xiǎn)。

[關(guān)鍵詞]運(yùn)維審計(jì)；安全管控；堡壘機(jī)

doi：10.3969/j.issn.1673 - 0194.2016.24.027

[中圖分類號]TP393 [文獻(xiàn)標(biāo)識碼]B [文章編號]1673-0194（2016）24-00-02

0 引 言

隨著電力企業(yè)信息化水平不斷深入，企業(yè)級應(yīng)用系統(tǒng)的運(yùn)維量持續(xù)增加，需要內(nèi)部運(yùn)維人員及第三方技術(shù)人員協(xié)同維護(hù)各應(yīng)用系統(tǒng)，系統(tǒng)維護(hù)人員潛在違規(guī)操作導(dǎo)致的安全問題變得日益突出。防火墻、防病毒、入侵檢測系統(tǒng)等常規(guī)的安全產(chǎn)品可以防范來自外部的安全問題，但對于內(nèi)部人員的違規(guī)操作卻無能為力。如何有效地監(jiān)控設(shè)備廠商、內(nèi)部運(yùn)維人員的操作行為，并進(jìn)行嚴(yán)格的審計(jì)是電力企業(yè)面臨的一個(gè)關(guān)鍵問題。

1 傳統(tǒng)運(yùn)維模式風(fēng)險(xiǎn)分析

傳統(tǒng)運(yùn)維模式下，大量的運(yùn)維人員通過KVM或直連信息設(shè)備開展變更、配置、備份與維護(hù)等操作，面臨的風(fēng)險(xiǎn)主要有以下幾個(gè)方面。

1.1 賬號及授權(quán)管理不清晰

系統(tǒng)管理員、運(yùn)維人員、第三方廠商的賬號和權(quán)限不清晰，沒有統(tǒng)一的賬號管理，存在多人共用一個(gè)賬號或一人使用多個(gè)賬號的情況，對操作人員的權(quán)限沒有嚴(yán)格的界定，存在權(quán)限級別要求不高的用戶擁有較高級別權(quán)限賬號的現(xiàn)象，導(dǎo)致運(yùn)維過程中無法準(zhǔn)確定位到人，事后責(zé)任不清，存在較大的安全隱患。

1.2 缺乏身份認(rèn)證

采用人工手段核對運(yùn)維人員身份信息，隨著信息系統(tǒng)復(fù)雜度的大幅增加，同時(shí)開展運(yùn)維的人員數(shù)量日益增多，無法實(shí)現(xiàn)全過程運(yùn)維人員的身份認(rèn)證及實(shí)名管理。

1.3 運(yùn)維操作無全過程審計(jì)

各類運(yùn)維人員的操作行為無專屬的審計(jì)記錄，審計(jì)力度不夠。各網(wǎng)絡(luò)設(shè)備、主機(jī)系統(tǒng)、數(shù)據(jù)庫分別單獨(dú)記錄日志，沒有統(tǒng)一的審計(jì)策略，并且各系統(tǒng)自身日志記錄深淺不一，難以及時(shí)通過系統(tǒng)自身日志發(fā)現(xiàn)違規(guī)操作行為和追查取證，無法對維護(hù)人員經(jīng)常使用的SSH、RDP等加密、圖形操作協(xié)議進(jìn)行內(nèi)容審計(jì)。

傳統(tǒng)的運(yùn)維模式面臨事前身份不明確、授權(quán)不清晰，事中操作不可見、過程不可控，事后操作無法審計(jì)、問責(zé)追溯難等問題，通過嚴(yán)格的規(guī)章制度只能約束一部分人的行為，只有通過嚴(yán)格的權(quán)限控制和操作審計(jì)才能確保安全管理制度的有效執(zhí)行，因此，建設(shè)運(yùn)維安全管控系統(tǒng)是十分必要的。

2 運(yùn)維安全管控系統(tǒng)架構(gòu)設(shè)計(jì)與應(yīng)用

2.1 堡壘機(jī)技術(shù)的介紹

堡壘機(jī)，即在一個(gè)特定的網(wǎng)絡(luò)環(huán)境下，為了保障網(wǎng)絡(luò)和數(shù)據(jù)不受來自外部和內(nèi)部用戶的入侵和破壞，而運(yùn)用多種技術(shù)手段實(shí)時(shí)收集和監(jiān)控網(wǎng)絡(luò)中每一個(gè)組成部分的系統(tǒng)狀態(tài)、安全事件等以便集中報(bào)警、及時(shí)處理及審計(jì)定責(zé)。運(yùn)維安全管控系統(tǒng)是利用堡壘機(jī)技術(shù)，通過訪問控制、賬號管理、身份認(rèn)證、行為審計(jì)、單點(diǎn)登錄與協(xié)議代理等多種信息安全技術(shù)，實(shí)現(xiàn)運(yùn)維人員對信息系統(tǒng)的安全訪問，同時(shí)對運(yùn)維人員的操作過程形成完整的審計(jì)記錄。

2.2 設(shè)計(jì)依據(jù)

國家公安部《信息安全等級保護(hù)基本要求》中對二級（含）以上的信息系統(tǒng)提出明確的安全審計(jì)要求：“審計(jì)范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用、賬號的分配、創(chuàng)建與變更、審計(jì)策略的調(diào)整及審計(jì)系統(tǒng)功能的關(guān)閉與啟動等系統(tǒng)內(nèi)重要的安全相關(guān)事件等”。本次運(yùn)維安全管控系統(tǒng)設(shè)計(jì)嚴(yán)格按照等級保護(hù)要求，范圍覆蓋DMZ區(qū)、等級保護(hù)二級及以上信息系統(tǒng)。

2.3 系統(tǒng)架構(gòu)設(shè)計(jì)

2.3.1 風(fēng)險(xiǎn)控制流程

為確保運(yùn)維安全管控系統(tǒng)滿足電力企業(yè)運(yùn)維實(shí)際需求，要制定完善的風(fēng)險(xiǎn)控制流程，實(shí)現(xiàn)事前實(shí)行統(tǒng)一的賬號管理、權(quán)限訪問策略、審計(jì)策略，事中身份認(rèn)證、授權(quán)及監(jiān)控，事后統(tǒng)一綜合審計(jì)的風(fēng)險(xiǎn)控制流程，如圖1所示。

2.3.2 架構(gòu)設(shè)計(jì)

運(yùn)維安全管控系統(tǒng)架構(gòu)設(shè)計(jì)由展示層、功能層、存儲層與資源層4層組成。

展示層面向用戶，采用靜態(tài)口令、動態(tài)口令、數(shù)字證書等多種身份認(rèn)證方式，具備密碼強(qiáng)度、密碼有效期、口令嘗試死鎖、用戶激活等安全管理功能，實(shí)現(xiàn)用戶分組管理，分別對系統(tǒng)管理員、審計(jì)員、運(yùn)維人員提供不同的訪問頁面。

功能層實(shí)現(xiàn)賬號管理、認(rèn)證管理、授權(quán)管理、綜合審計(jì)與系統(tǒng)管理等功能，采用協(xié)議分析、基于數(shù)據(jù)包還原技術(shù)，實(shí)現(xiàn)操作界面模擬，將所有的操作轉(zhuǎn)換為圖形化界面，實(shí)現(xiàn)審計(jì)信息不丟失。除了實(shí)現(xiàn)運(yùn)維操作圖形化審計(jì)功能的展現(xiàn)外，還能對字符進(jìn)行分析，包括命令行操作的命令及回顯信息和非字符型操作時(shí)鍵盤、鼠標(biāo)的敲擊信息。

存儲層實(shí)現(xiàn)對運(yùn)維安全管控系統(tǒng)賬號及各信息系統(tǒng)賬號的存儲及審計(jì)信息的存儲，實(shí)現(xiàn)賬號及審計(jì)信息的靈活調(diào)用。

資源層面向各信息系統(tǒng)，用于實(shí)現(xiàn)賬號同步、認(rèn)證結(jié)合、審計(jì)結(jié)合等方面的數(shù)據(jù)接口工作，支持字符串操作SSH/Telnet、圖形操作RDP/VNC/X11/pcAnywhere/DameWare等。

2.4 系統(tǒng)部署與應(yīng)用

在等級保護(hù)二級區(qū)域和DMZ區(qū)域各部署兩臺堡壘機(jī)，堡壘機(jī)做雙機(jī)主備，實(shí)現(xiàn)對等保二級區(qū)域和DMZ區(qū)域的網(wǎng)絡(luò)設(shè)備及服務(wù)器的運(yùn)維審計(jì)，由于堡壘機(jī)采用旁路部署，實(shí)施過程中對現(xiàn)有網(wǎng)絡(luò)業(yè)務(wù)不會造成任何影響。雙機(jī)熱備與主備之間通過業(yè)務(wù)管理端口線進(jìn)行主備狀態(tài)監(jiān)測和配置同步，主機(jī)節(jié)點(diǎn)一旦斷開，備機(jī)節(jié)點(diǎn)會立刻啟動，無需人工干預(yù)，從而實(shí)現(xiàn)運(yùn)維安全管控業(yè)務(wù)的不間斷運(yùn)行。系統(tǒng)部署后實(shí)現(xiàn)了以下應(yīng)用。

（1）通過集中化管理，實(shí)現(xiàn)單點(diǎn)登錄。通過系統(tǒng)的部署，對資源賬號的統(tǒng)一管理，把復(fù)雜問題簡單化。

（2）通過賬號管理，實(shí)現(xiàn)用戶實(shí)名制及統(tǒng)一身份認(rèn)證。為每個(gè)用戶分配了獨(dú)一無二的用戶賬號，設(shè)備上的系統(tǒng)賬號不變，通過把多個(gè)用戶賬號和單個(gè)系統(tǒng)賬號做關(guān)聯(lián)，讓用戶的身份和具體的操作一一對應(yīng)起來，從而實(shí)現(xiàn)用戶實(shí)名制管理。

（3）有效地執(zhí)行訪問控制，防止非授權(quán)訪問。通過系統(tǒng)設(shè)置詳細(xì)的訪問控制規(guī)則，用戶只能按照規(guī)則設(shè)置來訪問相應(yīng)資源，徹底杜絕了非授權(quán)訪問所帶來的問題。

（4）精準(zhǔn)溯源操作審計(jì)?；诎踩\(yùn)維審計(jì)系統(tǒng)的實(shí)時(shí)監(jiān)控及字符會話審計(jì)技術(shù)，完整地記錄用戶的所有操作行為，使運(yùn)維操作透明化。

（5）實(shí)現(xiàn)獨(dú)立審計(jì)與三權(quán)分立，完善IT內(nèi)控機(jī)制。通過應(yīng)用實(shí)現(xiàn)獨(dú)立的審計(jì)與三權(quán)分立，在三權(quán)分立的基礎(chǔ)上實(shí)施內(nèi)控與審計(jì)，有效地控制操作風(fēng)險(xiǎn)，完善IT內(nèi)控機(jī)制。

3 結(jié) 語

在電力企業(yè)信息化水平快速發(fā)展的今天，技術(shù)發(fā)展與管理模式相輔相成，信息安全不僅需要先進(jìn)的技術(shù)，更需要完善的制度和審計(jì)手段。通過運(yùn)維安全運(yùn)維管控系統(tǒng)的建設(shè)，進(jìn)一步完善了電力企業(yè)在信息運(yùn)維過程中的身份認(rèn)證、訪問控制、權(quán)限控制、操作監(jiān)控和審計(jì)等措施。實(shí)現(xiàn)了全面監(jiān)控和審計(jì)運(yùn)維人員對DMZ區(qū)域和IDC區(qū)域內(nèi)的信息系統(tǒng)和業(yè)務(wù)數(shù)據(jù)的操作，使筆者所在單位的信息安全防護(hù)體系有效的落地，進(jìn)一步提高電力企業(yè)信息安全防護(hù)水平。

主要參考文獻(xiàn)

[1]袁慧萍，董貞良.銀行數(shù)據(jù)中心運(yùn)維安全審計(jì)實(shí)踐探析[J].信息安全與通信保密，2015（4）.

[2]余錚，廖榮濤，陳磊.基于旁路的全周期信息運(yùn)維審計(jì)系統(tǒng)研究與應(yīng)用[J].湖北電力，2013（2）.

[3]龐博.基于內(nèi)控堡壘主機(jī)的運(yùn)維審計(jì)實(shí)踐[J].科技資訊，2015（15）..