省級BOSS系統(tǒng)安全認(rèn)證審計(jì)解決方案

1、.：.；省級BOSS系統(tǒng)平安認(rèn)證審計(jì)處理方案 曹健BOSS系統(tǒng)是中國挪動面向用戶效力的綜合性業(yè)務(wù)支撐系統(tǒng)，含有眾多敏感數(shù)據(jù)。為了確保系統(tǒng)平安，部分省級公司實(shí)施了平安認(rèn)證審計(jì)的綜合平安處理方案，獲得了比較好的效果。 目前絕大多數(shù)挪動公司曾經(jīng)在網(wǎng)絡(luò)級、系統(tǒng)級平安防護(hù)方面部署了相關(guān)的平安產(chǎn)品，但是這些是針對外部防護(hù)平安，而短少在運(yùn)用級平安防護(hù)措施，例如非授權(quán)用戶訪問、存在一部分公用賬戶、管理員對BOSS系統(tǒng)的管理維護(hù)和對數(shù)據(jù)的讀寫短少審計(jì)日志等，因此有能夠出現(xiàn)用戶詳單外泄或用戶數(shù)據(jù)被篡改等事件發(fā)生后無法清查，進(jìn)而給挪動公司呵斥較大的經(jīng)濟(jì)損失和社會影響。為從根本上處理上述平安隱患，業(yè)內(nèi)不少廠家提出了不

2、同的處理方法，下面以某省挪動公司為例引見其采用的ACAAuthenti-cation Control Audit平安認(rèn)證處理方案。 針對該挪動公司的業(yè)務(wù)運(yùn)營支撐系統(tǒng)已部署的平安產(chǎn)品，結(jié)合目前的平安需求，該挪動通訊公司提出在BOSS系統(tǒng)上建立的平安審計(jì)認(rèn)證系統(tǒng)必需具備如下功能： 1. 加強(qiáng)用戶身份防護(hù)，防止合法用戶身份隨便走漏； 2. 實(shí)現(xiàn)對運(yùn)用系統(tǒng)訪問的操作過程進(jìn)展審計(jì)； 3. 對業(yè)務(wù)運(yùn)營支撐系統(tǒng)內(nèi)重要業(yè)務(wù)主機(jī)之間的通訊進(jìn)展審計(jì)； 4. 及時對業(yè)務(wù)系統(tǒng)的非法操作和訪問做出呼應(yīng)； 5. 為用戶提供一致的遠(yuǎn)程維護(hù)登錄接口，包括某些特殊情況下處置突發(fā)事件提供一致登錄接口。 總體方案設(shè)計(jì) 經(jīng)過分析該省

3、業(yè)務(wù)系統(tǒng)現(xiàn)狀及平安審計(jì)認(rèn)證需求，決議采用以下技術(shù)方式實(shí)現(xiàn)。詳細(xì)實(shí)現(xiàn)邏輯架構(gòu)圖如圖1所示： 1. 在整個運(yùn)用平臺之前添加一致的身份認(rèn)證平安模塊，對系統(tǒng)管理員、操作員及廠商維護(hù)人員等內(nèi)部合法用戶身份進(jìn)展認(rèn)定。 2. 在整個運(yùn)用平臺之前添加一致的訪問控制平安模塊，結(jié)合系統(tǒng)管理員、操作員及廠商維護(hù)人員等內(nèi)部合法用戶的身份賦予其不同的訪問權(quán)限并對其訪問相關(guān)業(yè)務(wù)主機(jī)進(jìn)展控制； 3. 在整個運(yùn)用平臺之前添加一致的運(yùn)用審計(jì)平安模塊，對系統(tǒng)管理員、操作員及廠商維護(hù)人員等內(nèi)部合法用戶訪問相關(guān)業(yè)務(wù)主機(jī)的操作進(jìn)展日志記錄并提供事后的平安審計(jì)報(bào)告。 該挪動公司業(yè)務(wù)系統(tǒng)平安產(chǎn)品的部署如圖2所示。其中被維護(hù)的運(yùn)用都經(jīng)過直接

4、或者是間接的方式接入BOSS系統(tǒng)中心交換機(jī),并且兩臺中心交換機(jī)之間做了負(fù)載平衡。 為審計(jì)一切相關(guān)的數(shù)據(jù)，這里部署了兩臺ACA平安效力器，其抓報(bào)端口分別經(jīng)過SPAN銜接兩臺交換機(jī)上，這樣就可以經(jīng)過偵聽、抓報(bào)的方式得到相關(guān)的數(shù)據(jù)，而且對原有系統(tǒng)不產(chǎn)生任何影響。 為了對合法用戶進(jìn)展身份認(rèn)證，在業(yè)務(wù)運(yùn)營支撐系統(tǒng)內(nèi)部署了ACA管理中心，經(jīng)過ACA管理中心可以為合法的用戶系統(tǒng)管理員、操作員、廠商開發(fā)人員等發(fā)放相關(guān)的數(shù)字證書令牌。 經(jīng)過部署ACA管理中心，我們可以對相關(guān)的合法用戶系統(tǒng)管理員、操作員、廠商開發(fā)人員等進(jìn)展訪問授權(quán)，經(jīng)過他們與ACA平安效力器的控制通訊接口下發(fā)相關(guān)的訪問授權(quán)戰(zhàn)略，由ACA平安效力器

5、進(jìn)展相應(yīng)的用戶戰(zhàn)略控制。 要進(jìn)展操作審計(jì)的對象在ACA管理中心進(jìn)展審計(jì)戰(zhàn)略設(shè)置并下發(fā)到ACA平安效力器進(jìn)展與戰(zhàn)略相關(guān)的抓報(bào)審計(jì)任務(wù)，抓到的相關(guān)數(shù)據(jù)包提交到ACA審計(jì)中心并存儲到相關(guān)的存儲設(shè)備中以備事后審計(jì)。 當(dāng)緊急事件發(fā)生時，假設(shè)管理員或開發(fā)廠商不在公司，需求用撥號的方式接入公司內(nèi)網(wǎng)，進(jìn)展系統(tǒng)維護(hù)，ACA系統(tǒng)可以支持如下處理方案：在中心交換機(jī)接入相關(guān)數(shù)量的堡壘主機(jī)來提供接入通道。 由于要對運(yùn)用撥號方式訪問公司內(nèi)部業(yè)務(wù)主機(jī)的用戶進(jìn)展審計(jì)與控制，一切經(jīng)過堡壘主機(jī)訪問公司內(nèi)部業(yè)務(wù)主機(jī)的一切數(shù)據(jù)流必需經(jīng)過中心交換機(jī)，這樣平安效力器就可以對其進(jìn)展控制與審計(jì)。 系統(tǒng)構(gòu)建 系統(tǒng)各主要組成部分及主要功能如下：

6、 1ACA平安效力器提供客戶登錄認(rèn)證、權(quán)限控制、抓包日志記錄、阻斷非法銜接等功能。 2ACA管理中心提供主機(jī)與用戶的登記和管理、主機(jī)與用戶平安戰(zhàn)略的管理、數(shù)據(jù)過濾管理、開放主機(jī)管理、信任客戶IP管理、平安效力器戰(zhàn)略管理、系統(tǒng)設(shè)置、平安效力器配置管理、實(shí)時監(jiān)控管理、用戶登錄審計(jì)管理等功能。 3ACA審計(jì)中心提供存儲審計(jì)日志、IP包審計(jì)管理、數(shù)據(jù)庫備份管理、查看導(dǎo)出數(shù)據(jù)等功能。 4ACA客戶端提供基于USB硬件的身份認(rèn)證、用戶授權(quán)根據(jù)、登錄ACA平安效力器等功能。 ACA平安效力器部署在中心網(wǎng)絡(luò)與其他網(wǎng)絡(luò)的交匯處路由器或交換機(jī)上，并接在網(wǎng)絡(luò)設(shè)備上，網(wǎng)絡(luò)設(shè)備將外來數(shù)據(jù)流SPAN鏡像給ACA平安效力器

7、。 ACA系統(tǒng)的審計(jì)數(shù)據(jù)存放在ACA審計(jì)中心效力器內(nèi)，并經(jīng)過ACA審計(jì)中心控制臺對記錄下來的審計(jì)日志進(jìn)展處置。 ACA客戶端是一套客戶端軟件和一個USB令牌，軟件安裝在客戶端用戶的PC上，插入U(xiǎn)SB令牌，登錄ACA平安效力器進(jìn)展認(rèn)證，之后即可進(jìn)展其正常的、權(quán)限內(nèi)的業(yè)務(wù)操作。假設(shè)越權(quán)訪問，將會斷開銜接，并前往“回絕銜接的信息。 上述四個部分組成的系統(tǒng)，都是在網(wǎng)絡(luò)層進(jìn)展任務(wù)，不需求嵌入用戶的業(yè)務(wù)系統(tǒng)，安裝配置簡單，運(yùn)用環(huán)境要求少，極易進(jìn)展測試、試用和廣泛運(yùn)用。 系統(tǒng)部署風(fēng)險(xiǎn)分析 由于平安效力器是經(jīng)過SPAN并行接在網(wǎng)絡(luò)中，所以用戶數(shù)據(jù)流不是穿過該設(shè)備，而是旁路，平安設(shè)備只是監(jiān)聽數(shù)據(jù)流，對非法數(shù)據(jù)做

8、出反響，即使平安設(shè)備死機(jī)也不會對用戶業(yè)務(wù)呵斥影響當(dāng)然，此時的平安功能自然消逝?？蛻舳讼到y(tǒng)只是用于與中心平安設(shè)備交互信息，與用戶的業(yè)務(wù)系統(tǒng)毫無牽連。當(dāng)中心端平安平安效力器不啟用時，客戶端用戶也可正常操作其業(yè)務(wù)系統(tǒng)。所以，假設(shè)遇不測情況要恢復(fù)原有系統(tǒng)，只需將平安效力器關(guān)機(jī)，即可立刻恢復(fù)到原有網(wǎng)絡(luò)情況。 為了讓ACA系統(tǒng)的部署到達(dá)預(yù)期的目的，系統(tǒng)針對各種用戶對相關(guān)業(yè)務(wù)的訪問方式有針對性地添加了ACA系統(tǒng)訪問控制戰(zhàn)略，但不對一切戰(zhàn)略生效，只對用戶戰(zhàn)略進(jìn)展生效，確保主機(jī)的通訊可以正常。假設(shè)有不測情況發(fā)生，只需拆出ACA平安效力器與CISCO 4507之間的抓包線路即可恢復(fù)原有系統(tǒng)網(wǎng)絡(luò)環(huán)境。 ACA系統(tǒng)部

9、署完成后如有不測情況發(fā)生，斷開ACA平安效力器的抓包銜接，即可恢復(fù)原有業(yè)務(wù)運(yùn)營支撐系統(tǒng)網(wǎng)絡(luò)環(huán)境、運(yùn)用環(huán)境。 處理方案特點(diǎn) 該BOSS系統(tǒng)平安認(rèn)證審計(jì)方案具有如下特點(diǎn)： 1. 客戶端采用USB令牌硬件作為身份證。由于以前的口令/用戶名認(rèn)證機(jī)制不便于管理，容易呵斥濫用，該平安系統(tǒng)采用硬件作為身份證，并可保證不被復(fù)制和讀取，一旦出現(xiàn)喪失，管理員在中心可以馬上進(jìn)展作廢處置。 2. 對系統(tǒng)管理員、操作員、廠商開發(fā)人員進(jìn)展跨業(yè)務(wù)平臺的集中審計(jì)。審計(jì)管理員可以根據(jù)需求進(jìn)展審計(jì)，從而大大加強(qiáng)了系統(tǒng)的審計(jì)才干，為事后的缺點(diǎn)分析提供了充分的證據(jù)。 3. 集中管理訪問授權(quán)便于控制。平安系統(tǒng)管理人員可以隨時對每個客戶

10、端進(jìn)展戰(zhàn)略配置和修正，允許訪問哪些效力器，不允許訪問哪些，并可詳細(xì)控制訪問哪些端口號、哪些數(shù)據(jù)需求審計(jì)、是上行數(shù)據(jù)或下行數(shù)據(jù)、哪些網(wǎng)絡(luò)需求維護(hù)、哪些客戶端網(wǎng)絡(luò)可以自在訪問等。 4. 作為防火墻的補(bǔ)充，彌補(bǔ)防火墻的缺陷。防火墻只能基于遠(yuǎn)程主機(jī)IP地址和端口號進(jìn)展控制，而不能針對操作人員本身進(jìn)展權(quán)限控制，同時，防火墻的審計(jì)功能也很薄弱，ACA系統(tǒng)那么能很好地處理這兩個問題。 5. 對原有系統(tǒng)無影響。中心端的ACA平安效力器是并接在網(wǎng)絡(luò)上的，用戶數(shù)據(jù)流不是穿過該設(shè)備。假設(shè)要恢復(fù)原有系統(tǒng)，只需將平安效力器關(guān)機(jī)，即可立刻恢復(fù)到原有網(wǎng)絡(luò)情況。 6. 自動切斷非法訪問。一旦發(fā)現(xiàn)非法銜接，平安平安效力器自動發(fā)出切斷信息給訪問者和被訪問者，斷開該銜接。彌補(bǔ)了其他平安系統(tǒng)的破綻，進(jìn)一步加強(qiáng)了系統(tǒng)的平安性。 7. 基于X.50