張順喜

摘 要：依據(jù)國家信息安全等級保護基本技術(shù)要求，結(jié)合公司信息安全現(xiàn)狀和當(dāng)前信息安全審計先進技術(shù)，建設(shè)運維權(quán)限集中管理與審計系統(tǒng)，規(guī)范和完善公司信息系統(tǒng)運維審計，落實信息系統(tǒng)運維人員實名制，加強對主機、網(wǎng)絡(luò)、數(shù)據(jù)庫等系統(tǒng)的運維操作審計，規(guī)范信息系統(tǒng)運維人員操作行為，提升對信息系統(tǒng)運維操作的監(jiān)管能力，提高公司網(wǎng)絡(luò)與信息安全管理與運維水平。

關(guān)鍵詞：信息安全；運維管理；文件備份

依據(jù)國家信息安全等級保護基本技術(shù)要求，結(jié)合公司信息安全現(xiàn)狀和當(dāng)前信息安全審計先進技術(shù)，建設(shè)運維權(quán)限集中管理與審計系統(tǒng)，規(guī)范和完善公司信息系統(tǒng)運維審計，落實信息系統(tǒng)運維人員實名制，加強對主機、網(wǎng)絡(luò)、數(shù)據(jù)庫等系統(tǒng)的運維操作審計，規(guī)范信息系統(tǒng)運維人員操作行為，提升對信息系統(tǒng)運維操作的監(jiān)管能力，提高公司網(wǎng)絡(luò)與信息安全管理與運維水平。

⑴實現(xiàn)維護接入的集中化管理。對運行維護進行統(tǒng)一管理，包括設(shè)備賬號管理、運維人員身份管理。⑵實現(xiàn)運維人員統(tǒng)一權(quán)限管理，解決操作者合法訪問操作資源的問題，避免可能存在的越權(quán)訪問，建立有效的訪問控制。⑶實現(xiàn)運維日志記錄，記錄運維操作的日志信息，包括對被管理資源的詳細操作行為。⑷實現(xiàn)運維操作審計，對運維人員的操作進行全程監(jiān)控和記錄，實現(xiàn)運維操作的安全審計滿足信息安全審計要求。

1 主要技術(shù)創(chuàng)新點

⑴網(wǎng)絡(luò)安全性：運維權(quán)限集中管理與審計系統(tǒng)的部署對整個網(wǎng)絡(luò)結(jié)構(gòu)影響應(yīng)盡可能小。系統(tǒng)對現(xiàn)有網(wǎng)絡(luò)不應(yīng)有特殊要求。對系統(tǒng)故障有完善的保護機制，系統(tǒng)故障后不會影響業(yè)務(wù)系統(tǒng)正常運營，并能夠快速恢復(fù)達到保障運維正常進行的要求。⑵信息安全性：運維權(quán)限集中管理與審計系統(tǒng)提供完善的用戶管理、賬號管理、行為審計等多種安全手段的同時，確保系統(tǒng)本身的信息收集、處理和保存過程的安全，系統(tǒng)提供保存信息的加密存儲確保敏感信息不能泄露或被竊取，系統(tǒng)提供嚴格的自審計系統(tǒng)，保證對設(shè)備操作的完整記錄。⑶準(zhǔn)確性：運維權(quán)限集中管理與審計系統(tǒng)應(yīng)保證數(shù)據(jù)處理的準(zhǔn)確性和一致性。⑷開放性：運維權(quán)限集中管理與審計系統(tǒng)采用符合河南有線現(xiàn)有的、規(guī)范的、開放的接口協(xié)議，以保證系統(tǒng)對各種外部系統(tǒng)的互連能力。⑸擴展性：運維權(quán)限集中管理與審計系統(tǒng)具備平滑擴容的能力，擴容時應(yīng)不改變組網(wǎng)結(jié)構(gòu)，不降低系統(tǒng)性能，能滿足河南有線業(yè)務(wù)發(fā)展的需求。⑹易用性：運維權(quán)限集中管理與審計系統(tǒng)具有良好的人機操作界面、更好的提示信息，方便系統(tǒng)管理人員使用。⑺技術(shù)領(lǐng)先以及后續(xù)支持能力保證原則：能夠提供開放和完整的API接口供二次開發(fā)使用，并在業(yè)內(nèi)同類型產(chǎn)品中處于領(lǐng)先地位并有持續(xù)的研發(fā)技術(shù)團隊，能夠滿足河南有線的特色化需求。

2 系統(tǒng)主要功能

⑴身份認證與授權(quán)：身份認證采取設(shè)置不同賬號，來區(qū)分自然人的身份，從而將誰使用共享賬號的情況準(zhǔn)確定位到自然人身上；授權(quán)，能夠?qū)⒕S護不同設(shè)備的管理員嚴格劃分，使管理員只能看到自己維護的設(shè)備資源。系統(tǒng)提供基于用戶、運維協(xié)議、目標(biāo)主機、運維時間段、會話時長、運維客戶端IP等組合的授權(quán)功能，實現(xiàn)細粒度授權(quán)功能，滿足用戶實際授權(quán)的需求。

⑵用戶管理：可以根據(jù)具體的維護人員添加唯一與其身份對應(yīng)的用戶，實現(xiàn)維護人員身份的唯一性管理?？梢詣澐侄喾N用戶角色，以實現(xiàn)賬號權(quán)限的三權(quán)分立（使用權(quán)、管理權(quán)、監(jiān)督權(quán)）；提供臨時用戶賬號功能，臨時帳號可定期自動回收；提供賬號有效期管理，設(shè)置用戶賬號的有效時間，時間精確到天。

⑶訪問控制：可實現(xiàn)基于用戶、目標(biāo)設(shè)備、系統(tǒng)帳號、登陸規(guī)則、訪問協(xié)議類型，設(shè)定比較詳細的訪問控制列表，可以對用戶訪問權(quán)限進行查看、變更、刪除等操作；針對每條訪問控制，可以設(shè)置一條或者多條基于時間段、地址范圍的登錄規(guī)則，以方便對用戶接入的限制管理。針對采用http/https協(xié)議的訪問，可以做到基于URL訪問控制；

⑷密碼管理：以靜態(tài)口令登錄的服務(wù)器，可以用運維權(quán)限集中管理與審計系統(tǒng)統(tǒng)一管理，這樣可以控制將設(shè)備口令透露給第三方人員。通過對目標(biāo)設(shè)備密碼的托管，實現(xiàn)對后臺設(shè)備的自動登錄；可以實現(xiàn)對后臺windows、unix、linux設(shè)備系統(tǒng)密碼的定期自動修改。

⑸設(shè)備訪問：可以通過運維操作管理系統(tǒng)的WEB頁面直接登錄到后臺各類設(shè)備，不再依賴任何客戶端程序；字符類型操作設(shè)備，也可以同時支持常用客戶端軟件登陸；字符設(shè)備訪問支持賬號間的自動切換登錄和不同設(shè)備間的自動切換登錄；windows的遠程登錄要支持磁盤映射功能。

⑹實時監(jiān)控：可以通過網(wǎng)絡(luò)連接查看當(dāng)前正在運維人員對設(shè)備的實時操作情況。

監(jiān)控正在運維的會話，信息包括運維用戶、運維客戶端地址、資源地址、協(xié)議、開始時間等；

監(jiān)控后臺資源被訪問情況；提供在線運維操作的實時監(jiān)控功能。針對命令交互性協(xié)議可以圖像方式實時監(jiān)控正在運維的各種操作，其信息與運維客戶端所見完全一致。

⑺文件傳輸：對于Windows設(shè)備，還可以支持磁盤映射功能，將本地磁盤映射到目標(biāo)服務(wù)器上去，以方便文件的傳輸操作。用戶可以通過運維操作管理系統(tǒng)，進行文件的FTP/SFTP/SCP方式的傳輸操作；

⑻報表功能：運維權(quán)限集中管理與審計系統(tǒng)提供多種報表展示的同時還能夠提供客戶自定義報表生成；審計員可導(dǎo)出報表后發(fā)郵件給相關(guān)負責(zé)人，可以將用戶信息、設(shè)備信息、系統(tǒng)用戶和權(quán)限列表生成表格，并以excel格式導(dǎo)出備份。

[參考文獻]

[1]徐茂智.信息安全概論.人民郵電出版社.北京： 2007.8.

[2]楚狂，等，編著.《網(wǎng)絡(luò)安全與防火墻技術(shù)》.北京：人民郵電出版社，2000.4.

[3]韓海東，王超，李群.《入侵檢測系統(tǒng)實例剖析》.北京：清華大學(xué)出版社，2002.5.