运维安全管理系统方案的设计范文

《办公自动化杂志》2015年第三期

一、IT需求解决方案

1、产品选型通过市场调研，发现江南科友的HAC1000堡垒机系统能够实现大部分功能，在此基础上进行定制开发，实现企业其它需求。

2、系统部署运维区人员通过浏览器连接到运维安全系统，在浏览器中可以通过telnet或ssh等命令行模式连接到后台业务主机，也可以通过windows2003使用plsql等客户端工具连接到后台业务主机。根据HAC支持的部署方式和用户网络结构，考虑HAC产品引入尽可能减少对现有网络结构的改变，一般采用单臂部署模式。具体部署位置建议部署在运维区域。所有的运维均通过HAC的认证后方可访问IT基础设施，包括主机、服务器、网络与安全设备等。

3、运维操作流程（1）运维客户端通过https访问HAC系统；（2）HAC接收到运维请求后，则会要求运维人员输入HAC用户名和验证密码，或者是其它身份验证方式。当身份验证通过后，HAC将显示其拥有权限的目标资源；（3）用户在页面选择目标服务器点击运维即发起访问后台服务器的请求，并等待审核人员审批；（4）审核人员在系统中审批运维客户的申请，同意后运维人员才能进入目标服务器运维；（5）运维客户端显示后台服务器桌面，即可进行各种运维操作；（6）HAC将记录运维的所有操作和结果。

二、系统实现功能

1、设备密码管理为了保证运维安全管理，系统将IT系统帐号、口令进行统一管理，并支持系统帐号分配和口令自动修改等功能。（1）口令管理①实现Windows、Unix系统、网络/安全设备帐号口令统一管理；②支持对IT系统帐号的口令实施自动定期修改和人工重置功能；③实现运行中心维护人员通过Telnet/SSH/FTP/SFTP/RDP/Xwindows协议访问IT系统的自动登录功能。（2）帐号管理①提供Unix系统帐号的收集、过滤及管理功能；②提供Windows系统帐号录入及管理功能；③提供IT系统帐号到运维用户的分配功能；④支持IT系统帐号级别设置，通过帐号级别与敏感操作告警与阻断关联。

2、运维用户认证管理HAC系统提供一套运维用户管理功能，实现“谁做了的问题”。具体功能如下：（1）提供用户建立和维护的功能；（2）支持用户组的设置；（3）支持用户多种认证方式，支持双因素动态令牌认证（短信发送）；（4）支持用户口令密码强度、口令长度、口令尝试死锁、口令有效期等安全策略；（5）提供用户是否激活的管理；（6）提供用户信息的导入导出功能。

3、资源管理HAC提供对IT系统资源进行管理，具体功能如下：（1）提供IT系统的建立和维护功能；（2）可细分IT系统提供的不同服务；（3）支持资源组设置，以满足不同业务系统管理的需要。

4、授权管理授权管理是实现运维用户获取访问IT系统资源权限的管理。（1）提供用户到资源、用户组到资源、用户到资源组、用户组到资源组的授权；（2）提供基于客户端地址、访问时间、访问时段的授权规则；（3）支持授权规则模版。

5、运维操作运维操作是用户基于Telnet/FTP/SSH/SFTP/RDP/Xwin-dows协议通过HAC对IT系统进行维护和变更操作。（1）Telnet/FTP/SSH/SFTP运维操作①支持通过Telnet/FTP/SSH/SFTP协议对IT系统的运维操作；②针对Telnet/SSH协议，提供按序号、IP地址、资源名选择需要访问的IT系统，也提供根据资源组（业务系统）方式进行过滤；③针对FTP/SFTP协议，提供方便的运维操作。（2）RDP运维操作①支持通过RDP对Windows2000/2003/2008Server、WindowsXP等Windows环境的服务器的运维操作；②支持Windows服务器本地用户和域用户登录；③支持以会话或Console方式登录Windows服务器；④提供用户可设置是否启用磁盘映射和剪贴板的功能；⑤提供方便的选择Windows服务器方式，支持按资源组、资源名通配、IP过滤；可按资源名、IP、资源组等进行排序。（3）Xwindows运维操作①支持通过Xwindows对Unix服务器的运维操作；②提供方便的选择Unix服务器方式，支持按资源组、资源名通配、IP过滤；可按资源名、IP、资源组等进行排序。（4）双人操作支持对于关键的运维操作，从安全管理上要求必须双人在场方可操作。系统支持以下两种情况下的双人操作：①操作开始就需要双人在场操作；②运维人员在操作过程中，针对有些操作需要双人，可请求双人操作。

6、敏感操作告警与阻断（1）针对命令交互性协议提供敏感操作的设置；（2）敏感操作响应方式支持告警和阻断方式；（3）告警支持邮件告警、审计平台告警、声音告警；（4）邮件告警信息包括会话基本信息、敏感操作内容等；（5）结合帐号级别，可实现不同用户级执行不同响应方式；（6）对当前存在告警的会话操作，允许管理员强行中断会话；（7）阻断命令和强行中断会话在客户端有良好的提示。7、运维操作监控（1）提供正在活动会话情况的监控；（2）提供当前活动用户情况监控；（3）提供当前被访问资源情况监控；（4）提供当前操作的会话操作实时监控（图形协议除外）；（5）允许管理员强行中断某一个活动会话，并在客户端有良好的提示。

三、审计功能设计开发

1、运维操作审计（1）提供当天会话操作显示，并针对存在敏感操作的会话进行标识，并且根据敏感操作级别采用不同颜色进行标识；（2）提供基于用户、客户端地址、资源名、资源地址、时间和操作关键字（RDP协议除外）进行会话检索功能；（3）提供会话图形化的回放功能，回放支持快进、慢放、暂停、拖拉等功能，对命令交互式协议支持按命令进行定位回放，对图形协议支持按时间进行定位回放；（4）针对命令交互式协议，支持逐条命令及其结果显示的审计方式，并能基于关键字进行检索；（5）对已审计的会话操作具有标识；（6）提供运维操作统计，可支持根据时间、用户、资源、用户组、资源组进行运维操作的统计，提供列表、饼图、直方图和曲线图，并可关联到具体的会话操作。

2、告警审计（1）在审计平台上实时显示今日发生的告警，并依据告警级别用不同颜色进行标识；（2）支持告警类别、级别、资源、用户、协议、时间进行告警检索；（3）对于正在会话的告警，可关联到运维操作监控中的实时监控功能；（4）对于已完成的会话告警，可关联到运维操作审计。

3、系统自审计（1）系统记录系统管理员对HAC的操作进行记录，记录内容包括时间、管理员、客户端地址、操作模块、操作内容等信息；（2）能显示今日管理操作记录，并支持根据模块、管理员进行过滤；（3）支持根据模块、管理员、时间进行管理操作的查询；（4）提供运维用户操作权限审计功能，支持用户名、资源名过滤；（5）提供管理员角色、用户情况、资源情况和授权规则的审计。

四、统计与报表

1、提供基于日、月、年和用户自定义条件为单位的运维操作统计报表功能，具有总操作数、敏感操作总数、流量总量等情况，资源被操作top10、资源被操作反top10、资源被操作情况分布（操作次数、敏感操作发生次数、流量）、用户操作top10、用户操作情况分布（操作次数、敏感操作发生次数、流量）、协议分布情况（操作次数、敏感操作发生次数、流量）、时间分布情况（以小时为单位，以操作开始时间为准次数、敏感操作次数）等；

2、提供系统管理操作统计报表功能，具有操作总数，各模块操作分布情况、管理员操作情况分布、时间分布情况等；

3、提供系统管理操作查询报表功能，支持按时间、模块、管理员等进行查询形成报表；

4、提供敏感操作统计报表功能，具有发生总数、按级别分布情况、按资源分布情况、按用户分布情况，按时间分布情况；

5、提供资源、用户、权限等系统配置情况查询报表功能；

6、提供相关报表的定时产生功能。

五、应用效果

系统投入运行后，满足了IT审计的合规性，规避了IT操作风险。主要体现在：

1、任何操作有记录：运维人员的任何操作行为有详细记录，包括用户、时间、IP、对象、内容和审批信息等等，符合IT审计要求。

2、任何操作可追索：运维人员对服务器的各种操作，都有录像保存，选择回放，可以把运维人员的每一动作看的清清楚楚。

3、提供定制各种分析报表。

作者：刘冬喜单位：南车成都机车车辆有限公司信息中心