企業(yè)4A安全管理平臺(tái)方案

1、企業(yè)4A安全管理平臺(tái)方案4A的建設(shè)意義14A功能介紹2網(wǎng)絡(luò)安全是企業(yè)/單位的生命線，沒(méi)有安全，發(fā)展就如同把樓房建在沙土上，一旦發(fā)生大規(guī)模安全事故，后果不堪設(shè)想。網(wǎng)絡(luò)安全法是我國(guó)第一部全面規(guī)范網(wǎng)絡(luò)空間安全管理方面問(wèn)題的基礎(chǔ)性法律，是我國(guó)網(wǎng)絡(luò)空間法治建設(shè)的重要里程碑，是依法治網(wǎng)、化解網(wǎng)絡(luò)風(fēng)險(xiǎn)的法律重器，是讓互聯(lián)網(wǎng)在法治軌道上健康運(yùn)行的重要保障。網(wǎng)絡(luò)安全法將近年來(lái)一些成熟的好做法制度化，并為將來(lái)可能的制度創(chuàng)新做了原則性規(guī)定，為網(wǎng)絡(luò)安全工作提供切實(shí)法律保障。第二十一條： 國(guó)家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求，履行下列安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)

2、的訪問(wèn)，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改：（一）制定內(nèi)部安全管理制度和操作規(guī)程，確定網(wǎng)絡(luò)安全負(fù)責(zé)人，落實(shí)網(wǎng)絡(luò)安全保護(hù)責(zé)任；（二）采取防范計(jì)算機(jī)病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害網(wǎng)絡(luò)安全行為的技術(shù)措施；（三）采取監(jiān)測(cè)、記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個(gè)月；（四）采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施；（五）法律、行政法規(guī)規(guī)定的其他義務(wù)。解讀：對(duì)于內(nèi)部安全管理應(yīng)從兩方面實(shí)施，一方面制定內(nèi)部安全管理制度，所有操作人員必須按制度嚴(yán)格規(guī)范操作；另一方面采取內(nèi)部訪問(wèn)控制手段（如：賬號(hào)管理、授權(quán)、堡壘機(jī)、審計(jì)等）進(jìn)行日常工作，對(duì)操作流程全程記錄并保存相關(guān)日志便于事后

3、取證，對(duì)敏感信息文件進(jìn)行管控。網(wǎng)絡(luò)安全法應(yīng)針對(duì)系統(tǒng)變更、重要操作、物理訪問(wèn)和系統(tǒng)接入等事項(xiàng)建立審批程序，按照審批程序執(zhí)行審批過(guò)程，對(duì)重要活動(dòng)建立逐級(jí)審批制度，應(yīng)記錄審批過(guò)程并保存審批文檔。身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換。應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。應(yīng)及時(shí)刪除多余的、過(guò)期的帳戶，避免共享帳戶的存在。應(yīng)確保在外部人員訪問(wèn)受控區(qū)域前得到授權(quán)或?qū)徟?，批?zhǔn)后由專人全程陪同或監(jiān)督，并登記備案。信息系統(tǒng)安全等級(jí)保護(hù)基本要求 （GBT 22239-2008）系統(tǒng)應(yīng)提供一種機(jī)制，能按時(shí)間、進(jìn)入方式、地點(diǎn)、網(wǎng)絡(luò)地址或端口等條件規(guī)

4、定哪些用戶能進(jìn)入系統(tǒng) 數(shù)據(jù)庫(kù)管理系統(tǒng)安全技術(shù)要求（GBT 20273 -2006 ）信息安全等級(jí)保護(hù)相關(guān)監(jiān)管要求文本文本ISO27001標(biāo)準(zhǔn)條款A(yù)10.10.1要求組織必須記錄用戶訪問(wèn)、意外和信息安全事件的日志，并保留一定期限，以便為安全事件的調(diào)查和取證；條款A(yù)10.10.4要求組織必須記錄系統(tǒng)管理和維護(hù)人員的操作行為； 條款A(yù)15.1.3明確要求必須保護(hù)組織的運(yùn)行記錄；條款A(yù)15.2.1則要求信息系統(tǒng)經(jīng)理必須確保所有負(fù)責(zé)的安全過(guò)程都在正確執(zhí)行，符合安全策略和標(biāo)準(zhǔn)的要求。CC標(biāo)準(zhǔn)信息技術(shù)通用評(píng)估準(zhǔn)則 （ Common Criteria for Information Technology Se

5、curity Evaluation）中，安全審計(jì)是其安全功能要求中最重要的組成部分，同時(shí)也是信息系統(tǒng)安全體系中必備的一個(gè)措施，它是評(píng)判一個(gè)系統(tǒng)是否真正安全的重要尺碼。SOX法案302節(jié)：要求行政人員證明他們公司設(shè)計(jì)和執(zhí)行了適當(dāng)?shù)目刂?，以保證所有財(cái)務(wù)報(bào)表都可靠而且付合公認(rèn)會(huì)計(jì)準(zhǔn)則(GAAP)。404節(jié)：要求所有在302節(jié)中所控制的過(guò)程都有可信的財(cái)務(wù)報(bào)表。這法令要求IT經(jīng)理對(duì)所有有關(guān)財(cái)務(wù)報(bào)表的產(chǎn)生過(guò)程負(fù)責(zé)。 需要符合怎樣的標(biāo)準(zhǔn)？威瑞森電信公司（Verizon）2017 年數(shù)據(jù)泄露報(bào)告這份最新報(bào)告總共分析了42068個(gè)安全事件以及來(lái)自84個(gè)國(guó)家的1935個(gè)漏洞。報(bào)告中顯示，外部人員依然是數(shù)據(jù)泄露的罪

6、魁禍?zhǔn)?，占?5%。有組織犯罪團(tuán)伙的占比為51%，而來(lái)自內(nèi)部人員的威脅也將受到重視，占數(shù)據(jù)泄露原因的25%。在攻擊方式和策略中，惡意軟件、弱口令、社會(huì)攻擊等皆被列入在內(nèi)。而金融機(jī)構(gòu)成為數(shù)據(jù)泄露當(dāng)中的主要受害者，占比24%。1、威瑞森及其合作伙伴在2015年調(diào)查的大量數(shù)據(jù)泄露事件中表示，人的因素是其中最弱的一環(huán)。3、在2260起已證實(shí)數(shù)據(jù)泄露事件的分析過(guò)程中，可以確定，63%都涉及到弱口令、默認(rèn)口令或被盜口令。（2016年度數(shù)據(jù)泄露報(bào)告）2、95%的安全事件均可以追溯到身份訪問(wèn)憑據(jù)被盜，而另外則有10%是由可信人員濫用身份訪問(wèn)憑據(jù)所導(dǎo)致的。2015年度數(shù)據(jù)泄露報(bào)告權(quán)威調(diào)查報(bào)告統(tǒng)計(jì)安全事件案例內(nèi)控

7、缺失：缺乏嚴(yán)格的賬號(hào)管理、訪問(wèn)控制、審計(jì)體系初始攻擊獲取身份竊取數(shù)據(jù)給雅虎員工發(fā)送魚叉式釣魚攻擊郵件，控制YAHOO員工終端。在員工終端上，獲取了一臺(tái)關(guān)鍵服務(wù)器的特權(quán)訪問(wèn)憑證，并發(fā)現(xiàn)了該服務(wù)器上的數(shù)據(jù)庫(kù)及操作數(shù)據(jù)庫(kù)的賬戶管理工具。把YAHOO用戶數(shù)據(jù)庫(kù)的一份拷貝偷偷轉(zhuǎn)移出來(lái)，數(shù)據(jù)庫(kù)包含了姓名、電話、安全問(wèn)題和答案，找回電子郵件的口令和每個(gè)賬戶的唯一加密值。安全事件案例3.15移動(dòng)聯(lián)通網(wǎng)通“內(nèi)鬼”泄密 一調(diào)查公司的“私家偵探”涉案被抓后，牽出“移動(dòng)、聯(lián)通及原中國(guó)網(wǎng)通三大電信運(yùn)營(yíng)商的3個(gè)內(nèi)鬼多次向其泄露公民個(gè)人信息”一事。2010年的3.15晚會(huì)上暴露出該電信行業(yè)內(nèi)鬼泄密事件。 事件的過(guò)程是內(nèi)部坐

8、席維護(hù)人員利用工作中的便利途徑，獲取客服操作員的工號(hào)、口令；利用該操作員身份登錄客戶應(yīng)用系統(tǒng)。利用修改客服口令不需要舊口令的業(yè)務(wù)邏輯漏洞，直接修改用戶客服密碼；以用戶的身份和修改后的新客服密碼直接登錄業(yè)務(wù)系統(tǒng)，導(dǎo)出短信、通話記錄等信息，以此為私家偵探提供線索累計(jì)獲利300多萬(wàn)。程稚瀚北京移動(dòng)充值卡盜竊案 2005年3月至8月間，被告人程稚瀚多次通過(guò)互聯(lián)網(wǎng)，經(jīng)由西藏移動(dòng)通信有限責(zé)任公司（以下簡(jiǎn)稱西藏移動(dòng)公司）計(jì)算機(jī)系統(tǒng)，非法侵入北京移動(dòng)通信有限責(zé)任公司（以下簡(jiǎn)稱北京移動(dòng)公司）充值中心，采取將數(shù)據(jù)庫(kù)中已充值的充值卡數(shù)據(jù)修改后重新寫入未充值數(shù)據(jù)庫(kù)的手段，對(duì)已使用的充值卡進(jìn)行非法充值后予以銷售，非法獲

9、利人民幣3775萬(wàn)元。70%的安全威脅來(lái)自于企業(yè)的內(nèi)部為什么要建設(shè)4A安全最薄弱的環(huán)節(jié)是“人”，只要解決了人的問(wèn)題，就可以解決50%以上的安全問(wèn)題。4A系統(tǒng)是所有安全系統(tǒng)或設(shè)備中用戶數(shù)量最大、最有效的安全系統(tǒng)。4A的本質(zhì)是實(shí)現(xiàn)“人”對(duì)“物”最便捷、最合規(guī)的訪問(wèn)。傳統(tǒng)的安全設(shè)備都是對(duì)“物”的防護(hù)，如：FW/WAF/IDS/IPS等等，4A是所有賬號(hào)口令的管理者，是安全的最后一道屏障。需要解決的問(wèn)題？資源：各類IT應(yīng)用系統(tǒng)、主機(jī)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)等什么是4A？集中管理（入口：4A統(tǒng)一安全管理平臺(tái)）統(tǒng)一身份管理（基礎(chǔ)）訪問(wèn)控制管理（手段）權(quán)限管理（核心）操作行為審計(jì)（保障）你是誰(shuí)？Account 帳

10、號(hào) 你能去哪？ Authentication認(rèn)證你能做什么？ Authorization授權(quán) 你做了什么？Audit審計(jì) 4A核心4A統(tǒng)一安全管理平臺(tái)，即融合統(tǒng)一用戶賬號(hào)管理、統(tǒng)一認(rèn)證管理、統(tǒng)一授權(quán)管理和統(tǒng)一安全審計(jì)四要素后的解決方案將涵蓋單點(diǎn)登錄（SSO）等安全功能，既能夠?yàn)榭蛻籼峁┕δ芡晟频?、高安全?jí)別的4A管理，也能夠?yàn)橛脩籼峁┓纤_班斯法案（SOX）要求的內(nèi)控報(bào)表。安全、高效的使用各類IT資源，降低操作復(fù)雜度：（1）短時(shí)間的用戶帳號(hào)申請(qǐng)、審批與創(chuàng)建（2）一次認(rèn)證，全網(wǎng)通行，不需多次輸入帳號(hào)和口令（3）減少記憶資源URL、IP地址與密碼（4）全網(wǎng)統(tǒng)一的強(qiáng)認(rèn)證介質(zhì)、登錄、認(rèn)證與訪問(wèn)體驗(yàn)降低

11、日常安全管理與運(yùn)營(yíng)工作壓力，提升安全支撐服務(wù)能力：（1）貫徹最小化授權(quán)，不需面對(duì)基礎(chǔ)設(shè)施（2）統(tǒng)一帳號(hào)權(quán)限管理流程，減少學(xué)習(xí)成本和時(shí)間（3）集中審計(jì)各類訪問(wèn)日志，及時(shí)發(fā)現(xiàn)并追蹤定位（4）減少用戶帳號(hào)盜用、冒用、濫用、共享等及時(shí)、準(zhǔn)確并可控的實(shí)現(xiàn)各類安全檢查與考核要求：（1）落實(shí)SOX、等保中帳號(hào)、權(quán)限、審計(jì)、認(rèn)證方面的控制點(diǎn)（2）減少業(yè)務(wù)和管理的違規(guī)操作、漏洞利用及客戶信息泄露（3）確保系統(tǒng)穩(wěn)定安全運(yùn)行，不存在單個(gè)系統(tǒng)安全短板（4）落實(shí)崗位匹配、適度夠用、職責(zé)分離落實(shí)國(guó)家法律法規(guī)，降低安全事件的影響：（1）提升企業(yè)形象和競(jìng)爭(zhēng)力；（2）落實(shí)國(guó)家、行業(yè)安全保障要求中層管理人員高層決策人員業(yè)務(wù)及運(yùn)維

12、人員（營(yíng)業(yè)、客服、維護(hù)、實(shí)施）管理及運(yùn)營(yíng)人員（應(yīng)用、系統(tǒng)、安全）高效減壓合規(guī)影響4A平臺(tái)建設(shè)目的：節(jié)約資源、降低成本、促進(jìn)生產(chǎn)、優(yōu)化流程、穩(wěn)定合規(guī)4A管理平臺(tái)建設(shè)目的和意義14A的建設(shè)意義24A功能介紹信息安全解決方案4A管理平臺(tái)業(yè)務(wù)價(jià)值：核心能力主要體現(xiàn)在以下幾個(gè)方面：統(tǒng)一的身份認(rèn)證和單點(diǎn)登錄統(tǒng)一的帳號(hào)、授權(quán)管理全面的安全審計(jì)完善的運(yùn)營(yíng)稽核和金庫(kù)審批安全的運(yùn)維管控、命令級(jí)控制落實(shí)國(guó)內(nèi)外以及企業(yè)的安全政策，降低安全事件的影響降低日常安全管理工作壓力，提升安全管理效率安全、高效的使用各類IT資源，降低操作復(fù)雜度 4A安全支撐平臺(tái)作為安全架構(gòu)中的基礎(chǔ)安全服務(wù)系統(tǒng)，側(cè)重于用戶安全層面實(shí)現(xiàn)統(tǒng)一訪問(wèn)控制

13、、帳號(hào)管理、授權(quán)管理、密碼管理、身份認(rèn)證、數(shù)據(jù)安全與審計(jì)，提升IT系統(tǒng)安全性和可管理能力。認(rèn)證、授權(quán)與流程整合安全審計(jì)與報(bào)表管理數(shù)據(jù)庫(kù)接口適配器應(yīng)用接口適配器主機(jī)接口適配器網(wǎng)絡(luò)設(shè)備接口適配器安全設(shè)備接口適配器接口層認(rèn)證中心訪問(wèn)控制通道資源權(quán)限SSO流程管理用戶管理權(quán)限管理策略管理認(rèn)證管理運(yùn)營(yíng)管理業(yè)務(wù)操作人員應(yīng)用管理人員系統(tǒng)管理人員安全管理人員運(yùn)行管理安全管理機(jī)構(gòu)管理口令監(jiān)控帳號(hào)監(jiān)控身份服務(wù)AgentServer密碼比對(duì)時(shí)間令牌認(rèn)證服務(wù)認(rèn)證服務(wù)第三方認(rèn)證轉(zhuǎn)發(fā)服務(wù)認(rèn)證鏈服務(wù)字符型堡壘登錄門戶B/S單點(diǎn)登錄C/S單點(diǎn)登錄數(shù)據(jù)采集數(shù)據(jù)規(guī)格化數(shù)據(jù)過(guò)濾實(shí)時(shí)告警分析審計(jì)服務(wù)主帳號(hào)管理從帳號(hào)管理帳號(hào)策略身份管

14、理口令策略驗(yàn)證策略帳號(hào)接口管理認(rèn)證方式管理用戶認(rèn)證策略令牌卡管理認(rèn)證管理認(rèn)證接口管理審計(jì)接口管理審計(jì)采集策略管理告警策略管理審計(jì)管理審計(jì)報(bào)表資源管理權(quán)限管理用戶自服務(wù)備份管理崗位管理角色管理命令集管理授權(quán)管理命令級(jí)控制RDP圖形化操作控制自定義報(bào)表服務(wù)器告警方式管理資源認(rèn)證策略認(rèn)證鏈管理用戶組管理用戶導(dǎo)入口令重設(shè)帳號(hào)收集Unix/Linux/ Windows數(shù)據(jù)庫(kù)代理應(yīng)用系統(tǒng)代理事件令牌認(rèn)證服務(wù)USB-KEY令牌短信認(rèn)證服務(wù)系統(tǒng)功能架構(gòu)圖網(wǎng)絡(luò)設(shè)備訪問(wèn)控制VPN設(shè)備訪問(wèn)控制授權(quán)服務(wù)主機(jī)設(shè)備訪問(wèn)控制應(yīng)用系統(tǒng)訪問(wèn)控制單點(diǎn)登錄會(huì)話管理票據(jù)管理認(rèn)證管理4A圖形化堡壘信息安全解決方案功能框架4A管理平臺(tái)相

15、關(guān)概念介紹概念說(shuō)明用戶（自然人）使用IT資源的物理存在的人。用戶訪問(wèn)系統(tǒng)的唯一身份標(biāo)識(shí)User ID。從帳號(hào)用戶對(duì)應(yīng)的在應(yīng)用或系統(tǒng)中的帳號(hào)。資源用戶要訪問(wèn)的實(shí)體，包括應(yīng)用資源和系統(tǒng)資源。應(yīng)用資源一種資源類型，主要指應(yīng)用系統(tǒng)（如：ERP、CRM等）的被用戶訪問(wèn)的實(shí)體。系統(tǒng)資源一種資源類型，主要指主機(jī)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)等系統(tǒng)中被用戶訪問(wèn)的實(shí)體。權(quán)限用戶對(duì)各類資源訪問(wèn)能力的標(biāo)識(shí)。角色資源中若干訪問(wèn)權(quán)限的集合。4A管理平臺(tái)管理的資源類型資源類型描述資源特點(diǎn)4A管理重點(diǎn)應(yīng)用資源功能組件應(yīng)用主要包括各種應(yīng)用系統(tǒng)，如ERP財(cái)務(wù)、PMS、財(cái)務(wù)共享等系統(tǒng)，組件是構(gòu)成這些應(yīng)用的主要實(shí)體，是用戶進(jìn)行操作的載體用戶對(duì)

16、象：資源的使用者通常為普通用戶，如財(cái)務(wù)、計(jì)劃相關(guān)員工，用戶量比較大；技術(shù)特點(diǎn)：資源大多為自主開(kāi)發(fā)產(chǎn)生，標(biāo)準(zhǔn)化程度不高，但開(kāi)放性較好；集成角度：一般通過(guò)SOA平臺(tái)實(shí)現(xiàn)對(duì)資源的訪問(wèn)和控制用戶：提升用戶管理的標(biāo)準(zhǔn)化和效率授權(quán)：優(yōu)化授權(quán)流程，提升授權(quán)效率認(rèn)證：實(shí)現(xiàn)多認(rèn)證手段的采用審計(jì)：審計(jì)信息采集的規(guī)范流程組件數(shù)據(jù)組件系統(tǒng)資源操作系統(tǒng)開(kāi)放系統(tǒng)OS，各類UNIX（如AIX、HP-UX、RedHat、）和Windows等用戶對(duì)象：資源的使用者通常為系統(tǒng)管理員，如操作系統(tǒng)管理員、數(shù)據(jù)庫(kù)DBA等；技術(shù)特點(diǎn)：由于大多數(shù)系統(tǒng)相對(duì)成熟、商業(yè)化，所以其資源的標(biāo)準(zhǔn)化程度較高；集成角度：一般需要通過(guò)專用網(wǎng)關(guān)實(shí)現(xiàn)對(duì)資源的訪

17、問(wèn)和控制用戶：禁止系統(tǒng)資源公用帳號(hào)的共用，尤其是特權(quán)帳號(hào)的使用授權(quán)：規(guī)范化授權(quán)流程，提升授權(quán)安全認(rèn)證：加強(qiáng)安全認(rèn)證的強(qiáng)度，如第三方認(rèn)證審計(jì)：用戶行為審計(jì)數(shù)據(jù)庫(kù)關(guān)系型數(shù)據(jù)庫(kù)，如Oracle、MS SQL Server、MySQL等網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)管理硬件設(shè)備，如交換機(jī)安全設(shè)備基于安全管理的硬件設(shè)備，如入侵檢測(cè)設(shè)備、防火墻等4A管理平臺(tái)帳號(hào)管理用戶開(kāi)通用戶支持IdentityLifecycle用戶離職刪除用戶刪除權(quán)利同步刪除用戶維護(hù)口令重設(shè)權(quán)利新建新建資源用戶變更升職調(diào)動(dòng)權(quán)利變更新建用戶身份創(chuàng)建身份憑據(jù)頒發(fā)權(quán)利賦予用戶變更用戶離職自然人IT運(yùn)維系統(tǒng)主機(jī)1主機(jī)2網(wǎng)絡(luò)業(yè)務(wù)1數(shù)據(jù)庫(kù)網(wǎng)銀主帳號(hào)從帳號(hào)業(yè)務(wù)2業(yè)務(wù)

18、3從帳號(hào)從帳號(hào)從帳號(hào)從帳號(hào)從帳號(hào)從帳號(hào)從帳號(hào)自然人唯一的ID主帳號(hào)提供強(qiáng)認(rèn)證方式、時(shí)間訪問(wèn)控制、區(qū)域訪問(wèn)控制的策略配置認(rèn)證策略提供單點(diǎn)登錄認(rèn)證憑證信息的生成以及認(rèn)證接口等功能認(rèn)證處理主帳號(hào)在登錄4A平臺(tái)后訪問(wèn)資源時(shí)，4A平臺(tái)應(yīng)自動(dòng)完成被管資源登錄單點(diǎn)登錄提供將主帳號(hào)、從帳號(hào)的認(rèn)證請(qǐng)求轉(zhuǎn)發(fā)到強(qiáng)認(rèn)證組件或認(rèn)證處理，并應(yīng)支持主帳號(hào)身份認(rèn)證、VPN身份認(rèn)證、被管應(yīng)用資源認(rèn)證等認(rèn)證樞紐4A管理平臺(tái)認(rèn)證管理 可以根據(jù)用戶應(yīng)用的實(shí)際需要，為用戶提供不同強(qiáng)度的認(rèn)證方式，既可以保持原有的靜態(tài)口令方式，又可以提供具有雙因子認(rèn)證方式的高強(qiáng)度認(rèn)證（一次性口令、數(shù)字證書、動(dòng)態(tài)口令），而且還能夠集成現(xiàn)有其它如生物特征等新

19、型的認(rèn)證方式。不僅可以實(shí)現(xiàn)用戶認(rèn)證的統(tǒng)一管理，并且能夠?yàn)橛脩籼峁┙y(tǒng)一的認(rèn)證門戶，實(shí)現(xiàn)企業(yè)信息資源訪問(wèn)的單點(diǎn)登錄。4A管理平臺(tái)授權(quán)管理4A平臺(tái)統(tǒng)一授模框架應(yīng)用資源授權(quán)由4A平臺(tái)調(diào)用授權(quán)頁(yè)面或者調(diào)用響應(yīng)的授權(quán)接口實(shí)現(xiàn)；網(wǎng)絡(luò)設(shè)備，建議通過(guò)TACACS協(xié)議在4A平臺(tái)配置用戶可使用的命令集，來(lái)控制用戶對(duì)網(wǎng)絡(luò)設(shè)備的操作命令，從而實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備的實(shí)體內(nèi)授權(quán)；(TACACS終端訪問(wèn)控制器訪問(wèn)控制系統(tǒng))采用堡壘機(jī)進(jìn)行實(shí)體內(nèi)授權(quán)，把用戶或用戶組和命令集關(guān)聯(lián)，從而實(shí)現(xiàn)對(duì)主機(jī)的命令級(jí)訪問(wèn)控制；4A平臺(tái)可通過(guò)ODBC/JDBC接口連接數(shù)據(jù)庫(kù)，執(zhí)行用戶授權(quán)語(yǔ)句，利用數(shù)據(jù)庫(kù)本身授權(quán)機(jī)制實(shí)現(xiàn)對(duì)用戶賬號(hào)權(quán)限的控制；授權(quán)方式4A管

20、理平臺(tái)堡壘系統(tǒng)有效控制用戶可訪問(wèn)設(shè)備范圍1控制數(shù)據(jù)不流向客戶端2集中定制用戶使用操作軟件3記錄用戶操作軌跡，支持審計(jì)4資源、用戶的集中管理5全WEB化應(yīng)用操作，交互便捷6 堡壘系統(tǒng)主要實(shí)現(xiàn)自然人對(duì)系統(tǒng)資源(主機(jī)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、數(shù)據(jù)庫(kù)等)的訪問(wèn)控制。其核心思想就是將自然人與系統(tǒng)資源在邏輯上實(shí)現(xiàn)分離，從傳統(tǒng)的“自然人資源”的訪問(wèn)模式改造為“自然人堡壘主機(jī)資源”的模式。完成對(duì)于資源訪問(wèn)的“單點(diǎn)登錄訪問(wèn)鑒權(quán)操作管控操作記錄”的全過(guò)程監(jiān)管。PLSQLSqlplus個(gè)人文件夾10.153.170.70_ORACLE10.153.170.71_ORACLESelectUpdate清單/詳單表敏感數(shù)據(jù)1

21、敏感數(shù)據(jù)2工具授權(quán)數(shù)據(jù)庫(kù)實(shí)體授權(quán)數(shù)據(jù)庫(kù)細(xì)粒度授權(quán)敏感數(shù)據(jù)授權(quán)堡壘系統(tǒng)細(xì)粒度訪問(wèn)控制對(duì)敏感賬號(hào)和高風(fēng)險(xiǎn)操作實(shí)施金庫(kù)模式管理，加強(qiáng)事前、事中、事后三個(gè)環(huán)節(jié)的控制，形成全流程的金庫(kù)管理模式。事前事中事后金庫(kù)模式也稱為“雙人操作”或“多人操作”模式，指對(duì)于涉及到公司高價(jià)值信息的高風(fēng)險(xiǎn)操作，強(qiáng)制要求必須由兩人或以上有相應(yīng)權(quán)限的員工共同協(xié)作完成操作，防止部分擁有高權(quán)限賬號(hào)的操作人員濫用權(quán)限違規(guī)獲取、篡改相關(guān)信息，通過(guò)相互監(jiān)督、利益制約確保高風(fēng)險(xiǎn)操作和高價(jià)值信息的安全性。事中控制是現(xiàn)有信息安全技術(shù)體系的短板聚焦關(guān)鍵系統(tǒng)、聚焦關(guān)鍵操作、聚焦高價(jià)值信息；關(guān)鍵操作，多人完成，分權(quán)控制；授權(quán)不操作，操作不授權(quán)；金庫(kù)模式4A管理平臺(tái)集中審計(jì)身份認(rèn)證審計(jì)：身份認(rèn)證統(tǒng)計(jì)失敗身份認(rèn)證統(tǒng)計(jì)4A平臺(tái)帳號(hào)管理審計(jì)：主帳號(hào)與從帳號(hào)對(duì)應(yīng)關(guān)系主帳號(hào)的創(chuàng)建時(shí)間創(chuàng)建人主、從帳號(hào)的有限期密碼更改規(guī)則設(shè)備主機(jī)數(shù)據(jù)庫(kù)等管理員用戶帳號(hào)授權(quán)審計(jì)：權(quán)限分配時(shí)間、分配者主、從帳號(hào)的訪問(wèn)權(quán)限資源的授權(quán)訪問(wèn)者登錄過(guò)程審計(jì)：什么人用什么帳號(hào)登錄什么時(shí)間登錄什么系統(tǒng)什么時(shí)間退出登錄后行為審計(jì)：用戶訪問(wèn)了哪些資源對(duì)資源做了什么操作收集系統(tǒng)日志記錄授權(quán)管理帳號(hào)管理用戶登錄用戶操作第25頁(yè)在集中的資源管理為基礎(chǔ)，通過(guò)各種堡壘主機(jī)能夠?qū)崿F(xiàn)用戶資源訪問(wèn)會(huì)話的還原審計(jì)。對(duì)于字符堡壘主機(jī)，可以還原完整的