运维安全管理与审计系统产品解决方案

网神SecFox运维安全管理与审计系统

产品解决方案

目录

一、方案背景 (3)

二、面临问题 (3)

三、方案目标 (4)

四、详细方案内容 (5)

4.1架构设计 (5)

4.2方案依据 (5)

4.3方案内容 (7)

4.4部署 (12)

五、应用效益 (15)

一、方案背景

随着云计算技术的迅速产业化，如何保障云安全已成为云产业的严峻挑战。工信部在《工业和信息化部关于加强电信和互联网行业网络安全工作的指导意见》中指出，加强新技术新业务网络安全管理，其中要求对云计算、大数据等新技术的网络安全问题进行跟踪研究，对涉及提供公共电信和互联网服务的基础设施和业务系统要纳入通信网络安全防护管理体系。

二、面临问题

中国云产业联盟在《云计算技术与产业白皮书》指出，我国云安全法律法规和监管体系不健全，云租户责任认定、恶意行为监测与取证、安全与隐私等技术问题，以及云计算第三方评估、认证、审计等配套支持环节的不足已成为中国云计算产业生态的缺失。云资源提供商迫切需要防止云平台被恶意利用，当出现安全隐患时，能够准确地实施对恶意行为的定位、取证与追责，从而保护正常租户和云平台提供商的正当权益，保障云产业的发展。

针对上述问题，本方案基于服务器虚拟化、虚拟机管理器的多样、异构性、所有权和管理控制权分离、软件定义数据中心等云计算模式新特点，突破对租户虚拟机透明的恶意行为监测、记录和审计，以及面向云计算模式的安全追责等核心技术，研发云平台安全管控与审计系统——网神SecFox运维安全管理与审计系统。该系统采用HTML5进行服务器运维的安全管理，不仅支持事后审计，而且实现事中拦截和动态授权功能，能够无缝适配各大主流云平台，不改变现有云平台管理系统，加固云安全管理。

本方案的实施，将有效地防止和避免云资源被恶意利用，为云计算第三方评估、审计、仲裁等配套环节提供支持依据，填补国内针对云平台内部的安全产品的技术空白。

三、方案目标

本方案建设主要体现在以下几个方面：

●国内第一款通过HTML5进行服务器运维的安全管理系统

本方案采用HTML5进行前端界面开发，不同于传统的服务器运维系统。该技术可以让网页自动适应不同大小的屏幕，根据屏幕宽度，自动调整布局。能够提高系统的可用性并改进用户的友好体验，方便运维人员和云平台管理员的使用。

●基于互可信域“黑匣子”方式的云平台问责与追溯机制

本方案通过类比飞机的黑匣子，提出一种基于互可信域“黑匣子”方式的云平台问责与追溯机制。该机制在云提供商和租户之间相互信任区域记录系统日志数据。当出现问题时，能够将“黑匣子”中记录的数据重放出来，以审计租户虚拟机的行为，追溯到相关责任者。该机制包括：对云平台主要角色的责任和权限进一步细分、可信的“黑匣子”日志记录、基于可信日志的重放和追溯等3个组成部分。通过该机制，可有效划分和定位安全责任，并出具可信凭证。

●不仅支持事后审计，而且实现事中拦截和动态授权，填补国内此项技术

的空白

目前，我国尚无此类产品入市，本方案具备此项技术的完整知识产权，本方案将成为我国首个具有完全自主产权的面向云租户的事后审计和事中拦截云安

全产品，首次从云租户的行为监测与取证角度提供来自云平台内部的安全保证。网神SecFox运维安全管理与审计系统支持三种部署模式：

采用“物理旁路，逻辑串联”的单机部署模式，只需将网神SecFox运维安全管理与审计系统连接到企业内部局域网，确保能访问受管控的服务器与云平台，并使运维人员正常访问网神SecFox运维安全管理与审计系统，即可实施有效管控与追责。

采用HA部署模式，只需要两台堡垒机网络路由可达，即可配置HA双机热备。

四、详细方案内容

4.1架构设计

第三方机构需要对企业内部IT资产进行管理与使用，并通过日志进行审计与分析，通过网神SecFox运维安全管理与审计系统的审计功能，企业内部能够将其对IT资产进行管控所有过程记录下来，通过大数据审计平台可以随时获知IT资产的操作日志，完成其审计与分析工作。

运维安全审计系统对外提供统一登录入口，用户可以通过任何支持HTML5浏览器的终端设备，比如Mac、Windows、Linux来登录企业资源。登录用户的所有操作会被系统记录下来，任何敏感操作将被系统拦截。内置的大数据分析平台从不同维度分析人员的活动情况、资源的使用情况等。系统的南向接口支持多种协议，可以适配主流的云平台，服务器和网络设备等企业资源。其系统架构如图所示。

图1运维安全审计系统架构

4.2方案依据

安全体系建设方案依据国家、国际和行业相关标准等进行规划设计，具体如下：

●国家标准

GB/T31167-2014《信息安全技术云计算服务安全指南》

GB/T31168-2014《信息安全技术云计算服务安全能力要求》

《中华人民共和国网络安全法》

●国际标准化组织

ISO/IEC27017—Information technology--Security techniques--Code of practice for information security controls based on ISO/IEC27002 for cloud services

●云安全联盟CSA

《云计算关键领域安全指南》（Security Guidance For Critical Areas Of Focus In Cloud Computing）

●美国国家标准与技术研究院NIST

白皮书《美国联邦政府使用云计算的安全需求》（White Paper,Challenging Security Requirements for US Government Cloud Computing Adoption）SP800-144《公共云计算安全性和保密性指南》（NIST Special Publication 800-144,Guidelines on Security and Privacy in Public Cloud Computing）SP800-125《完全虚拟化技术安全导引》（NIST Special Publication800-125, Guide to Security for Full Virtualization Technologies）

《信息安全等级保护管理办法》

行业《SOX法案》

4.3方案内容

运维安全审计系统采用“物理旁路，逻辑串联”的部署模式，只需将4A安全管理系统连接到企业的内部网络中，确保能访问受管控的服务器与网络设备，并使用户正常访问4A安全管理系统即可。

运维安全审计系统主要从账号管理、认证管理、权限管理、审计管理的思路进行设计，具体通过以下几个方面来解决云平台的安全问题：

集中的账号管理：拥有系统的统一账号管理，统一授权的功能，在用户与资源层面上均可进行授权；

统一登录与访问：支持多种内网设备的统一登录，包括服务器、网络设备等，无需在用户端及运维目标设备上安装任何特定软件和系统。

访问控制与授权：支持远程命令运维中动态授权，成功拦截命令后，系统提供权限申请与复核流程，达到动态授权的效果；

记录与审计：全程采用HTML5的浏览器方式回放审计录像，无需在内网安装任何客户端软件；支持字符会话中指令定位、输入/输出信息；支

持图形会话中的键盘输入信息审计功能，能够完全记录图形会话操作过

程中的键盘输入信息。

数据分析：通过对系统管理员和运维人员日常操作的安全大数据分析，界定责任归属。

运维安全管理系统针对内网服务器提供安全访问控制，对用户操作权限进行细粒度划分。4A安全管理系统针对不同的用户角色，设置云管理员、系统管理和维护人员等角色，为服务器和网络设备提供比传统堡垒机更全面的安全访问控制。

4A安全管理系统核心业务功能包括：集中账号管理，统一登录与管控，记录与审计，访问控制与授权，敏感指令复核。

图2集中账户管理

●集中帐号管理

在4A安全管理系统中建立基于唯一身份标识的全局用户帐号，统一维护服务器管理帐号，实现与各服务器、网络设备等无缝连接，如图4-2所示。

●统一登录与管控

4A安全管理系统是国内第一款通过HTML5进行服务器、网络设备运维的安全管理系统，且用户体验不逊色于任何成熟的登录客户端。

用户通过4A安全管理系统单点登录到相应的服务器和网络设备，就可以轻松适配各种服务器和网络设备，并且所有操作将通过4A安全管理系统进行统一管控，如图3-3所示，只需要使用4A安全管理系统提供的访问IP、用户名、密码登录后，用户即可登录相应的服务器和网络设备，而不需要反复填写对应服务

器和网络设备的地址、用户名、密码。

图3统一登录与管控

用户通过4A安全管理系统单点登录windows、linux服务器，进行远程操作，以linux为例，如图所示。

图4-4单点登录linux服务器

记录与审计

通过4A安全管理系统的访问历史记录回放功能，可随时查看每个用户对所属服务器、网络设备的访问情况，如图所示。

图4历史回放

在回放过程中，用户可以试用4A安全管理系统的加快回放速度、截屏功能，

指令快速定位到用户可疑操作位置，如图所示。

图5指令定位

4A安全管理系统还提供实时会话功能。可以通过4A安全管理系统快速查看

用户会话，实时监控，以及中断会话，如图4-7所示。

图6实时会话

●访问控制与授权（双人授权，金库模式）

4A安全管理系统，通过集中统一的访问控制和细粒度的命令级授权策略，确保用户拥有的权限是完成任务所需的最小权限。

●敏感指令拦截与复核

国内第一款不仅支持事后审计，而且实现事中拦截和动态授权的安全管理系统。

用户通过4A安全管理系统网关进行服务器和网络设备管理，当发现有未经授权的操作将提示“操作未经4A安全管理系统授权”，表明该操作被4A安全管理系统拦截，用户回到4A安全管理系统管理界面时将提醒当前有拦截下的请求，可以申请授权，4A安全管理系统管理员通过审核后，用户即获得之前操作的授权，再次执行操作将不再拦截；当用户进行敏感操作或输入敏感指令，则需要系统管理员输入其帐号和密码进入权限复核，复核成功方可执行相应操作。

4A安全管理系统通过设置黑白名单的方式对服务器指令进行拦截。如图所

示采用黑名单方式设置指令拦截策略。

如图所示是对指令rm进行拦截，当运维人员输入rm时会给出相应提示。

图8指令拦截

4.4部署

网神SecFox运维安全管理与审计系统管理员通过管理功能将管理地址、认

证信息录入到网神SecFox运维安全管理与审计系统中；

管理员登录网神SecFox 运维安全管理与审计系统，对其拥有权限的被管资源进行管理；

通过大数据审计平台可以随时获知管理员的操作日志，观察管理员对运维的管理特点。

网神SecFox 运维安全管理与审计系统支持以下三种部署方式：

1.单机部署（云堡垒与硬件堡垒机）

堡垒机采用旁路模式进行部署，需要为系统分配一个IP 地址，并确保该地址与需要安全的服务器路由可达，协议可访问即可，不影响企业网络的拓扑结构。其部署设计如图所示。

Inte

虚拟机业务应用服务器数据库服务器网络设备

应用发布服务器

存储服务器

堡垒机用户

图9单机部署2.HA 部署（云堡垒与硬件堡垒机）

堡垒机支持HA 部署，只需要两台堡垒机网络路由可达，即可配置HA 双机热备。配置主节点IP 、从节点IP 、服务IP ，主节点宕机时服务转移到从节点。其部署设计如图所示。

Inte

虚拟机业务应用服务器

数据库服务器网络设

备

应用发布服务器存储服务器

堡垒机A（主节点）用户堡垒机B（从节点）图10HA 部署

3.分级部署（云堡垒与硬件堡垒机）

针对多个分支机构部署堡垒机，用户希望统一进行管理的使用场景，我司推出分级部署、集中管控方案。

采用分级部署方案，如图12所示，将堡垒机加入到统一管理平台，实现异地多台云堡垒的集中管理。统一管理平台需要与各堡垒机逻辑上保持连通，通过堡垒机的Restful API 进行交互。统一管理平台的存储容量要求与被管理节点数量有关，并支持弹性扩展，平台与被管理节点之间的带宽应不小于2Mbps

图12分级部署方案

五、应用效益

本方案的实施利用信息和网络技术，实现信息化管理的自动化和智能化，对促进云平台管理公正、公开和透明，具有重大的应用价值和社会效益。

本方案将提升云平台的公共置信力和服务能力，有效防止和监测利用云资源从事的恶意行为，实现对用户的公正、有效安全管理，对国家安全和云产业发展

具有重要意义。