運(yùn)維安全審計立項(xiàng)需求報告

1、真功夫IT 運(yùn)維安全審計體系建設(shè)需求申請報告1 需求依據(jù)：ISO 27001要求組織必須記錄用戶訪問、意外和信息安全事件的日志，記錄系統(tǒng)管理和維護(hù)人員的操作行為，并保留一定期限，以便為安全事件的調(diào)查和取證，確保所有負(fù)責(zé)的安全過程都在正確執(zhí)行，符合安全策略和標(biāo)準(zhǔn)的要求。SOXSEC相關(guān)規(guī)定及內(nèi)部控制方面的要求企業(yè)內(nèi)控管理規(guī)范運(yùn)用信息技術(shù)加強(qiáng)內(nèi)部控制，建立與經(jīng)營管理相適應(yīng)的信息系統(tǒng)，促進(jìn)內(nèi)部控制流程與信息系統(tǒng)的有機(jī)結(jié)合，實(shí)現(xiàn)對業(yè)務(wù)和事項(xiàng)的自動控制，減少或消除人為操縱因素。計算機(jī)等級保護(hù)根據(jù)國家重要信息系統(tǒng)等級保護(hù)條例 ，對于等保二級以上的系統(tǒng)，應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行

2、日志記錄，能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計報表，同時對審計記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等。2 項(xiàng)目必要性分析2.1 內(nèi)部人員安全隱患形勢嚴(yán)峻根據(jù) FBI 和 CSI 對 484 家公司進(jìn)行的網(wǎng)絡(luò)安全專項(xiàng)調(diào)查結(jié)果顯示： 超過 85%的安全威脅來自公司內(nèi)部，在損失金額上，由于內(nèi)部人員泄密導(dǎo)致了 6056.5 萬美元的損失，是黑客造成損失的 16 倍，是病毒造成損失的 12 倍。另據(jù)中國國家信息安全測評認(rèn)證中心調(diào)查， 信息安全的現(xiàn)實(shí)威脅也主要為內(nèi)部信息泄露和內(nèi)部人員犯罪，而非病毒和外來黑客引起。而在眾多的內(nèi)部人員中， 對于系統(tǒng)的運(yùn)維人員、 第三方系統(tǒng)運(yùn)維人員以及設(shè)備廠商維護(hù)人員

3、，他們享有 “最高權(quán)限” ， 一旦出現(xiàn)惡意操作或誤操作， 將會對業(yè)務(wù)系統(tǒng)帶來巨大影響，造成不可估量的損失。因此，對IT 系統(tǒng)進(jìn)行有效運(yùn)維，是控制內(nèi)部風(fēng)險、保障業(yè)務(wù)連續(xù)性的重要手段，如何保障運(yùn)維工作的有序運(yùn)轉(zhuǎn)、降低運(yùn)維風(fēng)險、提高應(yīng)急響應(yīng)能力，為IT系統(tǒng)提供強(qiáng)有力的后臺支撐，是當(dāng)前急需解決的課題。2.2 現(xiàn)有運(yùn)維安全體系存在不足隨著信息化建設(shè)的快速發(fā)展，真功夫已經(jīng)開始建立起一定規(guī)模的信息化系統(tǒng)，信息系統(tǒng)已經(jīng)涉及公司核心數(shù)據(jù)，業(yè)務(wù)運(yùn)營、日常辦公等方方面面。隨著系統(tǒng)應(yīng)用范圍的逐步擴(kuò)大和應(yīng)用層次的不斷深入 , 應(yīng)用系統(tǒng)越來越多， IT 系統(tǒng)的構(gòu)成越來越復(fù)雜，運(yùn)維操作人員越來越多， IT 操作管理的難度和

4、和面臨的風(fēng)險也越來越大。主要集中在以下幾個問題：一、IT 系統(tǒng)口令管理IT 系統(tǒng)口令對 IT 系統(tǒng)的安全是非常重要的，因此隨著 IT 令管理工作量越來越大， 復(fù)雜度也越來越高。 但在實(shí)際管理中，矛盾，導(dǎo)致 IT 系統(tǒng)口令管理存在很多安全隱患。主要表現(xiàn)如下：系統(tǒng)數(shù)量龐大， IT 系統(tǒng)的口由于安全性和可用性之間的1、為了滿足安全管理要求，IT系統(tǒng)的口令需定期修改（一般半個月或一個月），這大大加大了口令管理的工作量；2、口令強(qiáng)度要滿足安全要求，其復(fù)雜性也有一定要求。一方面加大了修改口令的工作量和復(fù)雜度， 同時對維護(hù)人員來說也很不方便，經(jīng)常是將口令記錄在記事本上，造成口令泄露問題。同時在實(shí)際操作中，經(jīng)

5、常將口令設(shè)置為很有規(guī)律性，一旦知道一個口令，很容易知道其他系統(tǒng)的口令；3、由于部分系統(tǒng)是由外包廠商提供運(yùn)維服務(wù)，所以口令也容易泄露出去。4、沒有口令管理的策略，口令管理制度寬松，隱患很大。二、多入口操作現(xiàn)象隨著 IT 系統(tǒng)構(gòu)成的復(fù)雜，在運(yùn)維過程中可通過多種入口對IT系統(tǒng)進(jìn)行維護(hù)， 導(dǎo)致無法統(tǒng)一管理、設(shè)置統(tǒng)一安全策略等而引起各種安全隱患。三、交叉運(yùn)維操作現(xiàn)象在 IT 系統(tǒng)運(yùn)維過程中，存在多種管理角色，如設(shè)備管理員、系統(tǒng)管理員、安全管理員和應(yīng)用系統(tǒng)管理員等， 同時對于同一個角色也同樣存在多個管理員，包括來自本公司、 開發(fā)人員、廠商技術(shù)人員等多種技術(shù)人員。對于這些管理員進(jìn)行維護(hù)時，可能是使用 IT

6、系統(tǒng)的同一個帳號，這樣一旦出現(xiàn)問題很難定位具體某個人的操作。四、越權(quán)和違規(guī)操作根據(jù)最新的統(tǒng)計資料， 11%的安全問題導(dǎo)致網(wǎng)絡(luò)數(shù)據(jù)破壞， 14%的安全問題導(dǎo)致數(shù)據(jù)失密，而從惡意攻擊的特點(diǎn)來看， 70%的攻擊來自組織內(nèi)部。尤其面對擁有特權(quán)的維護(hù)用戶，由于以前沒有一種技術(shù)手段來控制其操作，所以出現(xiàn)越權(quán)或違規(guī)操作的現(xiàn)象時有出現(xiàn)。如何建立一種技術(shù)手段， 能保證可信的用戶才能訪問其擁有權(quán)限的資源， 控制這種越權(quán)或違規(guī)操作，并能對這種越權(quán)或違規(guī)操作進(jìn)行告警，以便安全人員能對此類操作進(jìn)行分析，避免出現(xiàn)嚴(yán)重后果的情況下才發(fā)現(xiàn)。五、無詳細(xì)操作記錄針對運(yùn)維操作，IT 系統(tǒng)是靠系統(tǒng)日志方式進(jìn)行記錄的。它存在以下問題：

7、1、系統(tǒng)日志不獨(dú)立，無法防止被篡改，管理人員做了違規(guī)操作后可能會刪除日志，造成無法追查、無法定位等問題。2、系統(tǒng)日志記錄信息不全面，目前系統(tǒng)日志記錄的信息相對簡單，而且檢索不方便。能否建立一種技術(shù)手段， 將運(yùn)維操作的所有內(nèi)容進(jìn)行記錄， 支持在事中或事后進(jìn)行場景回放，并支持防篡改。六、無法滿足合規(guī)性檢查隨著 IT 系統(tǒng)的重要性和對業(yè)務(wù)系統(tǒng)影響越來越大，相關(guān)的法律法規(guī)對其安全性、可持續(xù)性工作、 IT操作風(fēng)險以及企業(yè)內(nèi)控等都有明確的要求，信息安全等級保護(hù)。目前面對這些合規(guī)性檢查， 只能是制度上的檢查， 沒有有效的數(shù)據(jù)和技術(shù)來說明這些制度是如何落實(shí)的。因此需要在 IT 系統(tǒng)安全運(yùn)維方面建立一種或多種技

8、術(shù)手段來滿足合規(guī)性要求，以滿足合規(guī)性檢查的需要。七、沒有運(yùn)維安全分析報告目前運(yùn)維管理方面， 由于沒有數(shù)據(jù)， 無法實(shí)現(xiàn)定期的運(yùn)維安全情況的分析報告。 對運(yùn)維過程存在的問題無法有定量或定性的分析數(shù)據(jù)，只能簡單從安全事件方面進(jìn)行描述。因此需要有一套系統(tǒng)， 能從運(yùn)維操作的實(shí)際數(shù)據(jù)中分析運(yùn)維安全情況， 定量地展現(xiàn)運(yùn)維安全態(tài)勢。 并能通過安全情況分析， 發(fā)現(xiàn)潛在安全風(fēng)險， 輔助企業(yè)改進(jìn) IT 系統(tǒng)的安全建設(shè)。3 運(yùn)維安全體系建設(shè)要求針對以上的分析，目前機(jī)房維護(hù)現(xiàn)狀在管理和的安全上都存在諸多的不便和安全引患，急需要建設(shè)運(yùn)維安全審計系統(tǒng)， 做到“什么人？什么時間？訪問了什么設(shè)備？能做什么？做了什么操作？等”

9、，通過對每個運(yùn)維人員的權(quán)限進(jìn)行細(xì)粒度的控制和審計，降低安全風(fēng)險。具體的建設(shè)要求如下：集中管理，提供后臺設(shè)備的操作維護(hù)入口。身份管理，提供設(shè)置實(shí)名制登陸帳號，詳細(xì)記錄整個運(yùn)維操作過程。訪問控制， 提供管理員根據(jù)不同的用戶配置不同的操作權(quán)限，控制，確保合法用戶在其系統(tǒng)權(quán)限范圍內(nèi)訪問授權(quán)設(shè)備。實(shí)現(xiàn)命令級別的嚴(yán)格操作審計， 對用戶實(shí)施的操作提供完整，詳細(xì)記錄服務(wù)。 并可以安全地存放于管理平臺中，管理平臺能以方便、友好的界面方式提供對這些記錄的操作、查看、搜索、回放等審計功能。滿足信息安全、IT系統(tǒng)運(yùn)維管理、企業(yè)遵規(guī)三個方面的要求，有效提高企業(yè)信息網(wǎng)絡(luò)的安全性，適應(yīng)企業(yè)業(yè)務(wù)的快速發(fā)展；針對以上建設(shè)要求，

10、我部需要在數(shù)據(jù)中心建立一套集中式 IT 運(yùn)維審計系統(tǒng)，逐步完善公司的 IT 運(yùn)維保障體系，滿足公司管理和業(yè)務(wù)對 IT 系統(tǒng)安全運(yùn)行的需要。4 運(yùn)維安全體系建設(shè)方案IT運(yùn)維審計系統(tǒng)是指通過配置策略，實(shí)現(xiàn)身份認(rèn)證、操作授權(quán)及審計留痕等功能。從而實(shí)現(xiàn)對信息系統(tǒng)運(yùn)維風(fēng)險監(jiān)測、分析、預(yù)警、控制、處理、評價；對發(fā)現(xiàn)異常、可疑、違規(guī)現(xiàn)象立刻阻斷并報警， 并對操作過程畫面進(jìn)行監(jiān)控和電子錄像， 防范運(yùn)維風(fēng)險， 保障信息系統(tǒng)及設(shè)施運(yùn)行安全，完善內(nèi)控審計安全管理。通過部署一套集中式IT 運(yùn)維審計系統(tǒng)，實(shí)現(xiàn)以下運(yùn)維安全管理：一、事前準(zhǔn)備階段資源管理： 系統(tǒng)提供對 IT 系統(tǒng)資源進(jìn)行管理，能夠?qū)Y源進(jìn)行分組管理，并能對

11、各類資源的賬號口令進(jìn)行統(tǒng)一管理。人員管理： 系統(tǒng)提供IT 運(yùn)維自然人進(jìn)行定義，可以通過支持多種身份認(rèn)證方式：數(shù)字證書、動態(tài)口令、LDAP、AD域、 Radius 等方式進(jìn)行統(tǒng)一認(rèn)證，對于運(yùn)維人員進(jìn)行分組管理。授權(quán)管理： 系統(tǒng)提供基于運(yùn)維人、運(yùn)維組、資源、資源組、組合授權(quán)，實(shí)現(xiàn)對運(yùn)維行為的控制。IP 、起始時間、運(yùn)維時長等二、事中控制階段流程管理： 系統(tǒng)遵循 ITIL 實(shí)現(xiàn)針對運(yùn)維工單、雙人復(fù)核與二次授權(quán)等操作管理，可以通過系統(tǒng)定制與客戶現(xiàn)有工單系統(tǒng)進(jìn)行整合，加強(qiáng) IT 系統(tǒng)變更的管理力度，降低運(yùn)維操作風(fēng)險。實(shí)時控制： 系統(tǒng)能夠?qū)?IT 預(yù)制高風(fēng)險命令的預(yù)警與阻斷，所有運(yùn)維動作。運(yùn)維過程實(shí)現(xiàn)同步

12、在線監(jiān)控、實(shí)時阻斷，對字符型操作可以強(qiáng)化風(fēng)險控制； 系統(tǒng)能夠記錄鍵盤鼠標(biāo)敲擊信息，準(zhǔn)確掌握三、事后分析階段統(tǒng)計報表： 系統(tǒng)完善的報表體系， 內(nèi)部預(yù)制多種 HAC管理報表并且可以支持客戶定制報表，可以生成多種格式（ Word、PDF、 Excel ）與樣式（餅圖、柱狀圖、折線圖等）的報表文件，滿足審計需求。事件追蹤： 系統(tǒng)可以快速檢索定位運(yùn)維記錄， 便于查詢與檢索； 同時可以對運(yùn)維操作進(jìn)行圖形化回訪， 保證審計記錄 100%不丟失；而且能夠針對 ITIL 要求實(shí)現(xiàn)對運(yùn)維行為的審計、復(fù)核，滿足合規(guī)性要求。5 運(yùn)維安全審計系統(tǒng)產(chǎn)品選型5.1 衡量指標(biāo)一、安全資質(zhì)要求產(chǎn)品要具有中華人民共和國公安部頒發(fā)

13、的 計算機(jī)信息系統(tǒng)安全專用產(chǎn)品銷售許可證；中華人民共和國保密局涉密信息系統(tǒng)安全保密測評中心頒發(fā)的檢測證書；涉密信息系統(tǒng)產(chǎn)品中華人民共和國安全測評中心頒發(fā)的信息技術(shù)產(chǎn)品測評證書和國國家版權(quán)局頒發(fā)的計算機(jī)軟件著作權(quán)登記證書 。、具有中華人民共二、硬件性能指標(biāo)及規(guī)格字符會話并發(fā)不少于500 個，圖形會話并發(fā)不少于150 個?？晒芾碣Y源數(shù)量不少于300 臺三、技術(shù)要求1提供的產(chǎn)品系統(tǒng)與運(yùn)維日志分離存儲，系統(tǒng)由電子盤獨(dú)立存儲，運(yùn)維日志由硬盤存儲，確保系統(tǒng)與日志的獨(dú)立性。2部署模式：要求產(chǎn)品旁路兩種部署模式。3運(yùn)維模式：要求支持Portal統(tǒng)一登錄，并兼容終端C/S 客戶端連接設(shè)備。4配置模式：要求支持B

14、/S 模式對設(shè)備進(jìn)行基本的管理、配置、運(yùn)維。5審計模式： 要求審計員需通過專有的審計客戶端軟件（ C/S 架構(gòu)）對運(yùn)維會話進(jìn)行安全審計，并能通過審計客戶端軟件制作不同樣式的專業(yè)報表。6集中管控：要求產(chǎn)品支持分布式管理模式，支持總控管理模式。7要除支持Telnet 、Ftp 、 SSH、 SFTP、RDP、 Xwindow、 VNC、 Http 、https等常用協(xié)議運(yùn)維操作審計外，還要支持PcAnywhere、DameWare、數(shù)據(jù)庫管理客戶端、網(wǎng)管客戶端等C/S 類應(yīng)用系統(tǒng)的運(yùn)維操作審計，審計的日志要求以視頻、文本、報表的形式進(jìn)行保存，并可對運(yùn)維人員操作步驟進(jìn)行視頻回放。8產(chǎn)品基于HTTPS

15、/SSL的自身安全管理與審計；審計信息加密存儲，保證運(yùn)維信息不被人工篡改；口令信息加密存儲，保證口令信息不被泄露。9系要求與底層linux操作系統(tǒng)實(shí)行帳號分離，能夠自定義命名root帳號為用戶名的管理帳號且無后臺登陸帳號。10身份認(rèn)證管理：為了確保合法用戶才能訪問其擁有權(quán)限的后臺資源，解決IT系統(tǒng)中普遍存在的交叉運(yùn)維而無法定位到具體人的問題，系統(tǒng)需提供一套完整的身份管理和認(rèn)證功能。11認(rèn)證方式：除支持常規(guī)的運(yùn)維用戶靜態(tài)口令、動態(tài)口令、LDAP、AD域認(rèn)證外，還要支持原廠USBKEY證書認(rèn)證方式；12支持密碼強(qiáng)度、密碼有效期、口令嘗試死鎖、用戶激活等安全管理功能；13支持用戶分組管理，支持用戶信

16、息導(dǎo)入導(dǎo)出；14產(chǎn)品必須支持系統(tǒng)管理員、運(yùn)維管理員、 口令管理員和審計員等不同管理員角色；支持審計員分權(quán)管理（分為全局審計員和會話審計員），其中會話審計員只能審計指定用戶的會話。15帳號代填：支持對后臺資源（RDP/TELNET/SSH/FTP/SFTP等）的帳號口令代填功能，即用戶登錄系統(tǒng)后，系統(tǒng)根據(jù)用戶權(quán)限分配后臺資源的使用權(quán)。16帳號托管：支持對后臺資源（Windows、 linux 、unix ）的系統(tǒng)帳號密碼定期自動修改功能。17授權(quán) : 系統(tǒng)提供基于用戶、運(yùn)維協(xié)議、目標(biāo)主機(jī)、運(yùn)維時間段（年、月、日、周、時間）、會話時長、運(yùn)維客戶端 IP 等組合的授權(quán)功能，實(shí)現(xiàn)細(xì)粒度授權(quán)功能，滿足用

17、戶實(shí)際授權(quán)的需求。18對于字符型協(xié)議、如Telnet 、 SSH、FTP、 SFTP 等，能夠?qū)崿F(xiàn)命令級別的訪問控制。19提供基于用戶到資源的授權(quán)、命令黑白名單： 可以通過命令行配置進(jìn)行規(guī)則匹配，支持黑、白名單功能；提供基于用戶到資源的授權(quán)。20實(shí)時告警： 提供用戶可配置的告警規(guī)則以實(shí)現(xiàn)告警與阻斷，告警規(guī)則支持多條命令，告警規(guī)則支持正則表達(dá)式。21提供基于用戶到資源的授權(quán)。22告警規(guī)則可以按照帳號級別進(jìn)行綁定，可以設(shè)置為只有指定安全級別的帳號才能觸發(fā)告警規(guī)則，針對不同用戶實(shí)施不同的規(guī)則，從而提供更細(xì)粒度的操作控制。23應(yīng)用發(fā)布 : 主要針對C/S 架構(gòu)類運(yùn)維工具的擴(kuò)展支持，通過定義相應(yīng)的訪問規(guī)

18、則限制使用發(fā)布后工具的越權(quán)訪問。24支持工具類型：可支持對數(shù)據(jù)庫維護(hù)工具、pcAnywhere 、DameWare等不同工具的運(yùn)維操作進(jìn)行監(jiān)控和審計、通過專用的應(yīng)用發(fā)布平臺，能夠限制運(yùn)維用戶訪問的目標(biāo)IP ，并對整個運(yùn)維操作過程進(jìn)行完整記錄，實(shí)現(xiàn)詳盡的會話審計和回放；運(yùn)維操作全程可控，最大降低對后臺目標(biāo)服務(wù)集群的可能安全風(fēng)險；25會話監(jiān)控：支持對正在運(yùn)維會話，信息包括運(yùn)維用戶、運(yùn)維客戶端地址、資源地址、協(xié)議、開始時間等的監(jiān)控。26已授權(quán)資源審核：審計員能夠?qū)σ咽跈?quán)的資源進(jìn)行審核，防止資源授權(quán)過當(dāng)引起的安全隱患問題。27實(shí)時監(jiān)控：提供在線運(yùn)維操作的實(shí)時監(jiān)控功能，針對命令協(xié)議和圖形協(xié)議可以圖像方式

19、實(shí)時監(jiān)控正在運(yùn)維的各種操作，其信息與運(yùn)維客戶端所見完全一致。28遠(yuǎn)程阻斷：審計員可以遠(yuǎn)程阻斷在線的運(yùn)維會話。29完整記錄網(wǎng)絡(luò)會話過程: 系統(tǒng)提供運(yùn)維協(xié)議Telnet 、FTP、SSH、SFTP、RDP（ WindowsTerminal ）、 Xwindows、 VNC、 Http 、 Https以及應(yīng)用發(fā)布等網(wǎng)絡(luò)會話的完整會話記錄，完全滿足內(nèi)容審計中信息百分百不丟失的要求；會話信息包括運(yùn)維用戶、運(yùn)維地址、后臺資源地址、資源名、協(xié)議、起始時間、終止時間、流量大小信息。30會話審計與回放: 會話查詢：運(yùn)維操作審計以會話為單位，提供當(dāng)日和條件查詢定位。條件查詢支持按運(yùn)維用戶、運(yùn)維地址、后臺資源地址、

20、協(xié)議、起始時間、結(jié)束時間和操作內(nèi)容中關(guān)鍵字等組合方式；文本顯示：針對命令交互方式的協(xié)議，提供逐條命令及相關(guān)操作結(jié)果的文本顯示；錄像顯示：提供圖像形式的回放，真實(shí)、直觀、可視地重現(xiàn)當(dāng)時的操作過程，并支持回放過程中得快放、慢放、拖拉等方式，方便快速定位和查看，針對 RDP、Xwindows、 VNC協(xié)議，提供按時間進(jìn)行定位回放。31提供運(yùn)維人員操作、管理員操作以及違規(guī)事件等多種審計報表。32提供日常報表，包括今日會話、今日自審計、用戶信息、資源信息、權(quán)限信息、規(guī)則信息、管理員角色信息等報表；33提供會話報表，可根據(jù)用戶選定時間、用戶、資源形成會話報表。34自審計操作報表，可根據(jù)用戶選定時間、管理員、模塊形成自審計報表。35告警報表，可根據(jù)告警類別、級別、資源、運(yùn)維用戶、協(xié)議、時間等條件形成報表。36綜合統(tǒng)計報表，可根據(jù)時間、資源、用戶等條件形成綜合統(tǒng)計報表，報表中包括