燕　霞

背景分析

隨著財(cái)政信息化建設(shè)的不斷推進(jìn)，財(cái)政業(yè)務(wù)系統(tǒng)日益增多，信息網(wǎng)絡(luò)日漸龐大。大部分財(cái)政部門(mén)都建立了預(yù)算執(zhí)行、非稅收入、建設(shè)資金管理、辦公自動(dòng)化等10多套應(yīng)用系統(tǒng)。這些業(yè)務(wù)系統(tǒng)彼此之間各自相對(duì)獨(dú)立，數(shù)據(jù)分散。使用多個(gè)業(yè)務(wù)系統(tǒng)的用戶需要頻繁地在不同系統(tǒng)間來(lái)回切換、登錄，既降低了工作效率，又缺乏統(tǒng)一的安全管理，容易產(chǎn)生嚴(yán)重的安全漏洞。目前存在的主要問(wèn)題有：

（1）缺乏安全可靠的用戶身份認(rèn)證。由于財(cái)政信息系統(tǒng)的數(shù)據(jù)具有較高的保密要求，目前我局信息系統(tǒng)基本是采用用戶名/口令的身份認(rèn)證方式，一方面安全性較低，另一方面無(wú)法在傳輸前確認(rèn)信息收發(fā)雙方身份的真實(shí)性和可靠性，無(wú)法滿足對(duì)身份認(rèn)證的高可靠性要求。

（2）缺乏統(tǒng)一的用戶身份認(rèn)證及單點(diǎn)登錄平臺(tái)。出于安全考慮，每個(gè)用戶使用不同業(yè)務(wù)系統(tǒng)分別使用不同密碼，且每個(gè)密碼可能會(huì)不定期更換，以防止被破解。一方面，用戶記憶和保管如此繁多復(fù)雜的密碼非常麻煩，另一方面，對(duì)于經(jīng)常發(fā)生的用戶權(quán)限變更和密碼丟失事件，更是需要系統(tǒng)管理員耗費(fèi)大量時(shí)間處理。

（3）缺乏集中統(tǒng)一的用戶信息管理和資源訪問(wèn)授權(quán)機(jī)制。各業(yè)務(wù)系統(tǒng)內(nèi)用戶信息和權(quán)限管理機(jī)制各自為政、復(fù)雜凌亂，管理員無(wú)法集中管理用戶信息和訪問(wèn)權(quán)限，維護(hù)效率低下。

（4）缺乏完善的安全審計(jì)機(jī)制。涉及資金流轉(zhuǎn)的業(yè)務(wù)系統(tǒng)需要對(duì)數(shù)據(jù)庫(kù)訪問(wèn)日志進(jìn)行記錄和審計(jì)，以保證出現(xiàn)問(wèn)題時(shí)能通過(guò)對(duì)日志記錄的查詢、分析及相關(guān)審計(jì)操作追蹤到問(wèn)題的根源所在。

為了切實(shí)解決上述問(wèn)題，迫切需要部署一套可靠、高效的安全管理平臺(tái)，以提高財(cái)政信息網(wǎng)絡(luò)和電子政務(wù)應(yīng)用的安全，有效保障財(cái)政資金的“安全、高效、協(xié)調(diào)”運(yùn)行。

設(shè)計(jì)目標(biāo)

通過(guò)分階段部署，最終實(shí)現(xiàn)集中賬號(hào)（Accounting）管理、統(tǒng)一認(rèn)證（Authentication）管理、集中授權(quán)（Authorization）管理以及集中安全審計(jì)（Audit）管理——即4A平臺(tái)的構(gòu)建。

（1）一次登錄，所有登錄：實(shí)現(xiàn)多系統(tǒng)、多數(shù)據(jù)庫(kù)的單點(diǎn)登錄。

（2）采用數(shù)字證書(shū)認(rèn)證方式，提供集中身份認(rèn)證功能，實(shí)現(xiàn)可靠的用戶統(tǒng)一身份認(rèn)證。構(gòu)建信息加密通道，確保信息傳輸?shù)陌踩?/p>

（3）實(shí)現(xiàn)用戶信息與后臺(tái)各應(yīng)用系統(tǒng)的自動(dòng)同步和集中的用戶權(quán)限管理。對(duì)用戶權(quán)限進(jìn)行粗粒度控制，實(shí)現(xiàn)到角色級(jí)別的訪問(wèn)控制。

（4）全面、準(zhǔn)確的日志審計(jì)，審計(jì)結(jié)果可以多種圖表形式展現(xiàn)。

（5）支持所有的業(yè)務(wù)系統(tǒng)、平臺(tái)，且對(duì)原有系統(tǒng)的改動(dòng)盡可能少，并對(duì)日后新系統(tǒng)的加入有較好地?cái)U(kuò)展性。

系統(tǒng)總體設(shè)計(jì)

根據(jù)建設(shè)目標(biāo)，我局采用了國(guó)富安GFA SSO產(chǎn)品為基礎(chǔ)的4A安全平臺(tái)解決方案。GFA SSO產(chǎn)品由智能口令、SSO門(mén)戶、WEB過(guò)濾器、認(rèn)證服務(wù)器、授權(quán)服務(wù)器組成，實(shí)現(xiàn)信息系統(tǒng)單點(diǎn)登錄、統(tǒng)一認(rèn)證、用戶信息和權(quán)限與應(yīng)用系統(tǒng)同步和管理等功能。

（1）智能口令程序安裝在每一臺(tái)需要SSO服務(wù)的客戶機(jī)上，系統(tǒng)以服務(wù)的形式運(yùn)行，幫助用戶自動(dòng)完成對(duì)B/S、C/S系統(tǒng)的登錄過(guò)程。智能口令程序向認(rèn)證服務(wù)器核對(duì)用戶信息，認(rèn)證成功后返回結(jié)果。用戶僅需要登錄智能口令軟件一次，就可實(shí)現(xiàn)對(duì)已授權(quán)資源的任意訪問(wèn)。

（2）SSO門(mén)戶主要是對(duì)B/S結(jié)構(gòu)的應(yīng)用系統(tǒng)進(jìn)行單點(diǎn)登錄支持。用戶在訪問(wèn)應(yīng)用系統(tǒng)時(shí)，首先登錄門(mén)戶系統(tǒng)，由門(mén)戶簽發(fā)票據(jù)完成身份識(shí)別解析。

（3）Web過(guò)濾器是通過(guò)Web服務(wù)器內(nèi)部的過(guò)濾器機(jī)制實(shí)現(xiàn)SSO功能的一種方式。過(guò)濾器能夠?qū)ο到y(tǒng)訪問(wèn)進(jìn)行安全性檢查，判斷用戶登錄狀態(tài)，完成用戶訪問(wèn)信息的審計(jì)，對(duì)關(guān)鍵敏感資源的訪問(wèn)提供必要的保護(hù)。

（4）認(rèn)證服務(wù)器為單點(diǎn)登錄門(mén)戶系統(tǒng)和智能口令客戶端提供用戶身份認(rèn)證支持。認(rèn)證通過(guò)后為用戶簽發(fā)用戶信息票據(jù)，作為系統(tǒng)識(shí)別用戶的標(biāo)識(shí)。同時(shí)支持帳號(hào)同步功能，可方便的將各業(yè)務(wù)系統(tǒng)中的帳號(hào)信息同步到單點(diǎn)登錄數(shù)據(jù)庫(kù)系統(tǒng)中。

（5）授權(quán)管理服務(wù)器主要對(duì)GFA SSO產(chǎn)品進(jìn)行以WEB方式進(jìn)行的系統(tǒng)管理，包括對(duì)用戶主帳號(hào)的設(shè)立、用戶主帳號(hào)與系統(tǒng)從帳號(hào)間的對(duì)應(yīng)、用戶權(quán)限分配等。

4A安全管理平臺(tái)主要包括四個(gè)子系統(tǒng)模塊：認(rèn)證服務(wù)、權(quán)限管理、安全審計(jì)和用戶信息管理。系統(tǒng)總體結(jié)構(gòu)如圖1所示。

1、 認(rèn)證服務(wù)子系統(tǒng)

認(rèn)證服務(wù)子系統(tǒng)提供用戶身份認(rèn)證的相關(guān)功能，其功能模塊結(jié)構(gòu)圖如圖2所示。

2、權(quán)限管理子系統(tǒng)

權(quán)限管理子系統(tǒng)采用基于角色的訪問(wèn)控制方法實(shí)現(xiàn)用戶與訪問(wèn)權(quán)限的邏輯分離，對(duì)用戶使用信息系統(tǒng)資源的具體情況進(jìn)行合理分配，實(shí)現(xiàn)不同用戶對(duì)系統(tǒng)不同資源的訪問(wèn)控制，以改善現(xiàn)有應(yīng)用系統(tǒng)因角色眾多且權(quán)限各不相同而帶來(lái)的用戶使用復(fù)雜度較高、系統(tǒng)安全管理難度大等難題。

權(quán)限管理子系統(tǒng)的功能模塊如圖3所示。

3、安全審計(jì)子系統(tǒng)

安全審計(jì)系統(tǒng)提供全面、集中的安全審計(jì)功能，能及時(shí)發(fā)現(xiàn)非法登錄和非法操作，對(duì)非法登錄和非法操作快速分析、定位和響應(yīng)，實(shí)現(xiàn)系統(tǒng)內(nèi)部的集中安全審計(jì)功能，包括安全審計(jì)自動(dòng)響應(yīng)、安全審計(jì)數(shù)據(jù)生成及安全審計(jì)瀏覽三個(gè)方面。系統(tǒng)功能模塊如圖4所示。

其中日志記錄模塊完成對(duì)身份認(rèn)證、權(quán)限管理、賬號(hào)管理的日志進(jìn)行記錄；審計(jì)分析模塊完成對(duì)日志記錄進(jìn)行審計(jì)和分析，并對(duì)非法操作及異常情況發(fā)送警報(bào)；審計(jì)報(bào)告模塊可隨時(shí)捕獲和查看有關(guān)用戶的重要訪問(wèn)信息和統(tǒng)計(jì)信息；系統(tǒng)管理模塊負(fù)責(zé)對(duì)安全審計(jì)子系統(tǒng)進(jìn)行管理和維護(hù)。

4、用戶信息管理子系統(tǒng)

用戶信息管理子系統(tǒng)主要對(duì)所有用戶信息和登錄會(huì)話信息進(jìn)行統(tǒng)一保存管理，包括所有關(guān)于用戶、組、資源、應(yīng)用、登錄參數(shù)和訪問(wèn)控制規(guī)則等信息。

總之，4A安全管理平臺(tái)系統(tǒng)的主要優(yōu)點(diǎn)是：

（1）一次登錄即可安全訪問(wèn)所有有權(quán)訪問(wèn)的信息系統(tǒng)。

（2）基于數(shù)字證書(shū)的身份認(rèn)證，可確保用戶身份的安全。

（3）根據(jù)用戶身份信息，自動(dòng)完成各系統(tǒng)的權(quán)限分配。

（4）全面、精確地記錄日志，可按日期、地址、用戶、資源等信息對(duì)日志進(jìn)行查詢、統(tǒng)計(jì)和分析。

（5）與用戶采用的數(shù)字證書(shū)無(wú)縫集成，具有標(biāo)準(zhǔn)性、安全性、穩(wěn)定性、可擴(kuò)展性高的特點(diǎn)。

（6）系統(tǒng)維護(hù)管理快速、高效，安全度大大增強(qiáng)。

我們通過(guò)部署4A安全管理平臺(tái)，將所有用戶信息都集中到安全管理中心，由安全管理中心自動(dòng)完成復(fù)雜的身份驗(yàn)證與權(quán)限分配過(guò)程，實(shí)現(xiàn)統(tǒng)一環(huán)境的單點(diǎn)登錄。用戶擺脫了過(guò)去記憶復(fù)雜密碼的煩惱，同時(shí)可以有效解決身份識(shí)別、權(quán)限控制、安全審計(jì)和單點(diǎn)登錄等安全訪問(wèn)問(wèn)題，我局信息系統(tǒng)的整體安全水平得到大幅提高。該系統(tǒng)的實(shí)施經(jīng)驗(yàn)對(duì)加強(qiáng)各政府部門(mén)及企業(yè)的信息系統(tǒng)的安全高效管理都具有借鑒意義。

(作者單位：無(wú)錫市財(cái)政局信息中心)