IT运维安全管理与综合审计系统应用

1 引言

随着业务发展，企业IT支撑系统和网络在迅速扩大，拥有的服务器、数据库和网络设备数量在不断增加，如何管理和维护好这些设备，如何保证这些资源安全等成为了迫切需要解决的问题。继续沿用“主机管理员账号/口令的本机认证授权、日志记录本地保存”的模式有很大的局限性，容易产生账号/口令复杂度不规范，管理员操作日志不完整或缺失，操作维护和审计角色不易分开，集中有效审计困难等问题。

2 IT运维安全风险与需求

IT系统中数据库、主机、操作系统、网络设备维护起来相当复杂，其配置和管理都需要充足的专业知识。企业中IT系统管理人员的技术水平参差不齐，在管理和维护的过程中，难免会有不当的操作，或是给服务器的安全留下隐患，或是对服务器正常运行造成影响。另外，必须采取措施加强对IT系统第三方厂商维护人员的监管，减少企业信息泄密事件的发生。

在身份认证和授权使用方面，不同角色的管理人员，对于某些核心资源，如重要的应用系统及数据库系统，应具有不同的访问权限，管理人员的身份越权或假冒将会造成非授权使用的问题。比如，root权限分发虽可以解决root权限生产问题，但是，这会极大地增加管理的复杂性和安全风险，稍有疏忽，就可能造成管理的混乱。另外，多点登录的分散管理方式无法进行有效的授权控制，致使用户的登录操作过程难以管理、难以审计。

虽然企业内部也制定了一系列的安全操作规范和管理制度，但是，管理人员有没有严格地按照规章制度去执行，却缺乏长效的监督手段。当发生安全事件时，常面临着无法进行责任鉴定和事件追溯的尴尬局面。

在对以往出现的网络安全事件进行反思后，企业IT主管意识到，必须采取技术和管理的手段对内部人员的IT维护操作行为及结果进行集中日志记录，以震慑违规操作情况的发生，也为事后追溯提供依据。因此，为解决IT系统安全管理面临的上述风险，迫切需要建立一个统一的安全管理平台，实现IT维护人员单点登录认证、统一账号管理、集中权限分配、集中操作审计等功能。

3 安全管理与审计

谈到信息系统的安全，就不得不提“五性”，即保证计算机信息系统中信息的机密性、完整性、可控性、可用性和不可否认性（抗抵赖）。安全审计是这“五性”的重要保障之一，通过对IT系统中数据库、主机、操作系统、网络设备等主要资源进行安全审计，记录所有发生的事件，作为系统维护以及安全防范的依据。安全管理与审计如同监控系统，一旦有突发事件可以快速的查阅进出记录和行为记录，确定问题所在，

以便采取相应的处理措施。

IT内控及审计要求提供了独立、足够的日志资料，完整记录操作过程，能够方便地对整个IT系统进行审计，就需要设计综合的安全审计系统。它的目标是通过数据挖掘和数据仓库等技术，实现对跨网段、异构环境下的Unix/Linux服务器、Windows服务器、数据库服务器以及网络设备进行集中的监控和管理，在必要时通过多种途径向安全管理员发出警告或自动采取排错措施，并且能够对历史审计数据进行分析、处理和追踪。IT安全管理与审计系统主要作用有以下几个方面：a)对潜在的攻击者起到震慑和警告的作用；b)对于已经发生的系统破坏行为提供有效的追究证据；c)为系统管理员提供有价值的系统使用日志，从而帮助系统管理员及时发现系统入侵行为或潜在的系统漏洞；d) 解决单一设备审计模块，如操作系统审计、数据库审计、网络安全审计等，审计数据格式不一致、审计分析规则无法统一等问题，做到全面综合审计。

4 部署架构

对统一安全管理与综合审计系统应用而言，逻辑网关（堡垒机）方式部署比较常见，这种方式关键点是：a）在网络防火墙上设置安全访问控制策略，不允许系统管理员、数据库管理员以及第三方维护人员对目标主机/网络设备的直接运维操作，包括TELNET、SSH、RDP、 X11、VNC 、FTP和SFTP等，但允许访问逻辑网关；b）将目标主机管理账号托管在逻辑网关，维护人员没有直接访问目标主机/网络设备的管理账号，因此无法直接登录目标主机/网络设备进行不受监控的操作；c）系统管理员、数据库管理员以及第三方维护人员必须先登录到逻辑网关，经身份认证后，才能看到并访问其事先获得授权的目标主机和网络设备，所有针对目标主机和网络设备的维护操作（键盘输入信息和结果回显）都必须经由逻辑网关转发并记录。根据事先制定的策略，逻辑网关还可以对某些操作命令予以拒绝；d）维护人员对Windows目标主机的远程桌面连接RDP操作，逻辑网关可以对目标主机进行屏幕监控录像；e）数据库管理员对目标数据库服务器的SQL操作维护，必须先通过逻辑网关人员远程桌面连接RDP/VNC连接到专门的代理终端（安装数据库连接客户端软件），通过该代理终端再连接到数据库服务器进行操作，操作过程SQL操作语句将被监控记录。结合企业内网结构，IT安全管理与综合审计系统部署架构如图1所示。