華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書

華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書批準(zhǔn)：版權(quán)所有侵權(quán)必究 1 2 2 2 2 2 3 3 4 4 43.3單點(diǎn)登錄 53.4統(tǒng)一審計(jì) 53.5自動(dòng)運(yùn)維 5 53.7系統(tǒng)自審 6 7 7 7 8 8 8 8 9 4.8.1單機(jī)部署模式 4.8.3集群部署 華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書關(guān)鍵詞：UMA名稱縮寫完整拼寫概述隨著政府部門、金融機(jī)構(gòu)、企事業(yè)單位、商業(yè)組織等對(duì)信息系統(tǒng)依賴程度的日益增強(qiáng)，信息安全問題受到普遍關(guān)注。由于信息化建設(shè)、業(yè)務(wù)不斷擴(kuò)展等因素，在各信息系統(tǒng)中的服務(wù)器及各種網(wǎng)絡(luò)設(shè)備的不斷增加，對(duì)目標(biāo)主機(jī)的管理必須經(jīng)過各種認(rèn)證和登錄過程。在某個(gè)主機(jī)及賬戶被多個(gè)管理人員共同使用的情況下，引發(fā)了如帳號(hào)管理混亂、授權(quán)關(guān)系不清晰、越權(quán)操作、數(shù)據(jù)泄漏等各類安全問題，并加大了IT內(nèi)控審計(jì)的難度。華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書2常見運(yùn)維風(fēng)險(xiǎn)常見運(yùn)維風(fēng)險(xiǎn)2.1來源身份定位難每個(gè)管理人員都需要對(duì)主機(jī)資源進(jìn)行運(yùn)維操作，對(duì)管理者來說無法確定是誰在操作、是誰做了操作等；一旦發(fā)生事故，無法確定責(zé)任人。2.2操作過程不透明每天都有不同的人在操作和維護(hù)主機(jī)。但是現(xiàn)狀是無法得知運(yùn)維人員在主機(jī)中具體做了什么操作、是否有違規(guī)和誤操作，更加無法實(shí)時(shí)監(jiān)控外部人員的操作過程。2.3系統(tǒng)賬戶共享主機(jī)資源越多，系統(tǒng)賬戶也越多，而且面臨著一個(gè)主機(jī)有很多的賬戶；可能一個(gè)賬戶被不同的人使用、一個(gè)人使用不同的賬戶、不同的人交叉使用不同的賬戶等等。對(duì)管理層來說無法集中梳理賬戶與自然人員的關(guān)系，甚至擔(dān)心臨時(shí)賬戶的存在造成數(shù)據(jù)的泄露。2.4運(yùn)維工作效率低隨著主機(jī)賬戶不斷增加，密碼的管理和修改也成為一個(gè)管理員的難題，既要保證密碼的復(fù)雜度，又要確保每隔一段時(shí)間進(jìn)行修改，手工修改只會(huì)增加工作量。主機(jī)類型多了，造成了登錄繁瑣；linux/unix需要使用字符客戶端工具，windows需要使用遠(yuǎn)程桌面連接工具，web系統(tǒng)需要使用瀏覽器，數(shù)據(jù)庫(kù)需要使用數(shù)據(jù)庫(kù)客戶端工具等華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書2常見運(yùn)維風(fēng)險(xiǎn)操作人員可能會(huì)因?yàn)闊o意操作造成數(shù)據(jù)丟失、業(yè)務(wù)故障等，黑客也可能遠(yuǎn)程進(jìn)入主機(jī)之后進(jìn)行有意的數(shù)據(jù)竊取、數(shù)據(jù)篡改等；如果想要做精確控制，需要管理人員在很多主機(jī)中做各種精細(xì)化的策略才有可能控制有意或無意的操作行為。目前國(guó)內(nèi)、國(guó)際的很多標(biāo)準(zhǔn)、法案法規(guī)都要求相關(guān)組織單位建設(shè)安全管理的審計(jì)系統(tǒng)，并確保審計(jì)信息是安全、完整、可查及唯一的：●信息安全等保要求用戶身份識(shí)別、權(quán)限隔離、數(shù)據(jù)審計(jì)、日志記錄、審計(jì)報(bào)表等?！馡SO27001標(biāo)準(zhǔn)要求記錄用戶訪問、意外和信息安全事件的日志，以便為安全事件●企業(yè)內(nèi)控規(guī)范要求企業(yè)嚴(yán)格執(zhí)行規(guī)范要求，以加強(qiáng)和規(guī)范內(nèi)部控制、提高風(fēng)險(xiǎn)防范華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書UMA產(chǎn)品介紹華為UMA統(tǒng)一運(yùn)維審計(jì)系統(tǒng)(簡(jiǎn)稱：UMA)是華為在控管理、分級(jí)保護(hù)、ISO/IEC27001等)對(duì)運(yùn)維審計(jì)的要求，采用B/S架構(gòu)，集“身份認(rèn)證(Authentication)、賬戶管理(Account)、控制權(quán)限(Authorization)、日志審計(jì)3.1用戶分權(quán)3.2集中授權(quán)8IMy5QL]roote192160.65.107ssh代華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書3UMA產(chǎn)品介紹3.3單點(diǎn)登錄UMA支持托管主機(jī)的賬戶和密碼，運(yùn)維人員直接點(diǎn)擊<登錄>即可成功自動(dòng)登錄到目標(biāo)主機(jī)中進(jìn)行運(yùn)維操作，無需輸入主機(jī)的賬戶和密碼。3.4統(tǒng)一審計(jì)UMA對(duì)所有的操作進(jìn)行詳細(xì)記錄，并提供綜合查詢功能；審計(jì)日志可以在線播放也可以離線播放，所有的審計(jì)日志支持自動(dòng)備份和自動(dòng)歸檔。主機(jī)IP/主機(jī)名協(xié)議/登錄名9情情3.5自動(dòng)運(yùn)維對(duì)運(yùn)維人員來說，需要定期手工執(zhí)行命令；對(duì)網(wǎng)管人員來說，需要定期手工備份網(wǎng)絡(luò)設(shè)備的配置信息。通過UMA的自動(dòng)化運(yùn)維功能，實(shí)現(xiàn)自動(dòng)化的運(yùn)維任務(wù)并將執(zhí)行結(jié)果通知相關(guān)人員。3.6命令控制UMA提供了集中的命令控制策略功能，實(shí)現(xiàn)基于不同的主機(jī)、不同的用戶設(shè)置不同的命令控制策略，策略提供命令阻斷、命令黑名單、命令白名單、命令審核四種動(dòng)作條件。9覽用戶/資產(chǎn)動(dòng)制命今控物協(xié)調(diào)空制市此配狀態(tài)日啟用命令控制9D:四2念令及auof中任0一個(gè)參數(shù)：請(qǐng)?zhí)顚憄sa*use中到相應(yīng)的列表中，參數(shù)匹配與融序無關(guān)華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書3UMA產(chǎn)品介紹3.7系統(tǒng)自審UMA作為審計(jì)類產(chǎn)品，不光要實(shí)現(xiàn)對(duì)操作行為進(jìn)行審計(jì)，還要做到對(duì)系統(tǒng)自身變化信息進(jìn)行審計(jì)，并且形成系統(tǒng)報(bào)表分析。時(shí)間日志類型日志內(nèi)容用戶高低低中低登錄主機(jī)：root@6華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書4功能特點(diǎn)功能特點(diǎn)4.1支持手機(jī)APP、動(dòng)態(tài)令牌等多種雙因子認(rèn)證為了提高來源身份的可靠性，防止身份冒用，UMA可以利用以下認(rèn)證機(jī)制實(shí)現(xiàn)：●內(nèi)置了手機(jī)APP認(rèn)證(谷歌動(dòng)態(tài)口令驗(yàn)證)、OTP動(dòng)態(tài)令牌、USBkey雙因素認(rèn)證引擎●支持多種認(rèn)證方式同時(shí)使用、多種認(rèn)證方式組合使用華為統(tǒng)一運(yùn)維審計(jì)華為統(tǒng)一運(yùn)維審計(jì)豆用戶名4.2覆蓋最全的運(yùn)維協(xié)議，讓運(yùn)維安全無死角據(jù)庫(kù)服務(wù)器、虛擬服務(wù)器、遠(yuǎn)程管理服務(wù)器等等。UMA兼容的運(yùn)維協(xié)議更全面，實(shí)現(xiàn)“統(tǒng)一管理”的要求。字符運(yùn)維圖形運(yùn)維文件傳輸數(shù)據(jù)庫(kù)運(yùn)維其他應(yīng)用運(yùn)維華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書4功能特點(diǎn)UMA適應(yīng)不同的運(yùn)維人員的運(yùn)維習(xí)慣，兼容多種客戶端工具(如Xshell、SecureCRT、mstsc、VNCViewer、Putty、winscp、flashFXP、SecureFX、OpenSSH等)和更加靈活●Web登錄運(yùn)維，適用于習(xí)慣從Web頁(yè)面登錄目標(biāo)主機(jī)的運(yùn)維人員●客戶端登錄運(yùn)維，適用于習(xí)慣使用本地客戶端工具登錄UMA再登錄目標(biāo)主機(jī)的運(yùn)維人員●批量自動(dòng)登錄運(yùn)維，適用于習(xí)慣一次性登錄多臺(tái)目標(biāo)主機(jī)的運(yùn)維人員●網(wǎng)關(guān)透明登錄運(yùn)維，適用于習(xí)慣使用本地客戶端工具直接登錄目標(biāo)主機(jī)的運(yùn)維人員機(jī)的運(yùn)維人員，以及自動(dòng)化運(yùn)維等復(fù)雜場(chǎng)景基于H5技術(shù)，實(shí)現(xiàn)瀏覽器客戶端運(yùn)維，無需安裝本地工具，直接支持瀏覽器打開運(yùn)維UMA支持自動(dòng)收集主機(jī)的IP、協(xié)議、端口號(hào)、賬戶、密碼等信息，并且可以學(xué)習(xí)到運(yùn)維人員的權(quán)限關(guān)系，進(jìn)一步實(shí)自動(dòng)授權(quán)。特別適用與前期對(duì)授權(quán)關(guān)系不清晰、資產(chǎn)信息運(yùn)維人員只需通過UMA成功登錄一次目標(biāo)主機(jī)即可自動(dòng)錄入主機(jī)信息，這大大減輕了管理員配置主機(jī)信息、用戶與主機(jī)關(guān)系的工作量。對(duì)運(yùn)維人員來說，修改主機(jī)的密碼和記住主機(jī)的密碼是最重要的任務(wù)。一旦發(fā)生密碼遺失和泄露，將帶來的風(fēng)險(xiǎn)無法估量。UMA提供了完善的自動(dòng)改密功能，可以實(shí)現(xiàn)：華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書4功能特點(diǎn)●自動(dòng)修改SSH、telnet、RDP、SFTP、FTP協(xié)議的主機(jī)密碼，無需安裝改密客戶端、無需開啟特殊端口●可以指定修改密碼、自動(dòng)生成隨機(jī)密碼、上傳密碼文件、密碼復(fù)雜度等方式生成新密碼；可以制定自動(dòng)改密任務(wù)周期、手工執(zhí)行、自定義改密腳本等任務(wù)計(jì)劃●通過SFTP、FTP、郵件方式保存密碼文件，做到改密前自動(dòng)備份、發(fā)送失敗不改密、改密后自動(dòng)備份，防止密碼丟失●提供密碼手工驗(yàn)證、自動(dòng)恢復(fù)的容錯(cuò)機(jī)制，確保密碼修改失敗之后恢復(fù)到正確的密碼●密碼文件加密保存，須運(yùn)維管理員和密碼管理員同時(shí)解密才能查看到主機(jī)的密碼作為運(yùn)維審計(jì)系統(tǒng)，審計(jì)是最終目標(biāo)；審計(jì)內(nèi)容的完整體現(xiàn)了產(chǎn)品的審計(jì)能力。不僅實(shí)現(xiàn)了對(duì)所有操作會(huì)話的在線監(jiān)控、實(shí)時(shí)阻斷、日志回放、起止時(shí)間、來源用戶、來源IP、目標(biāo)設(shè)備、協(xié)議/應(yīng)用類型、命令記錄、操作內(nèi)容(如對(duì)文件的上傳、下載、刪除、修改等操作等)等行為記錄。還實(shí)現(xiàn)了對(duì)SFTP/FTP/SCP/RDP/RZ/SZ傳輸?shù)奈募暾麄浞菰赨MA中，為上傳惡意文件、拖庫(kù)、竊取數(shù)據(jù)等危險(xiǎn)行為起到了查詢依據(jù)。結(jié)標(biāo)ch體迅-所模作D-空上項(xiàng)-2010-94.07n0上傳文件□銹建又本文標(biāo)04.07下文件新文本文test華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書4功能特點(diǎn)4.8部署模式統(tǒng)一認(rèn)證統(tǒng)一授權(quán)統(tǒng)一審計(jì)部署說明：1)部署模式：在核心交換機(jī)上旁路部署一套UMA(統(tǒng)一運(yùn)維審計(jì)系統(tǒng))硬件設(shè)備，通過防火墻或者交換機(jī)上的ACL策略，切斷用戶原有運(yùn)維訪問通道。2)部署條件：保證業(yè)務(wù)服務(wù)器與UMA之間的路由可達(dá)，保證運(yùn)維終端與UMA之間的路由可達(dá)；3)登錄過程：集中管理的標(biāo)志就是入口唯一，UMA(統(tǒng)一運(yùn)維審計(jì)系統(tǒng))是用戶操作的唯一入口。用戶通過唯一的自然人ID登錄到統(tǒng)一運(yùn)維審計(jì)系統(tǒng)上，然后系統(tǒng)會(huì)根據(jù)配置管理員預(yù)先設(shè)置好的訪問控制規(guī)則，提示用戶選擇可以訪問的目標(biāo)設(shè)備和相應(yīng)系統(tǒng)登錄賬戶，用戶選擇完成后會(huì)自動(dòng)登錄到目標(biāo)設(shè)備，實(shí)現(xiàn)單點(diǎn)登錄。華為UMA1000系列統(tǒng)一運(yùn)維審計(jì)產(chǎn)品技術(shù)白皮書4功能特點(diǎn)統(tǒng)一認(rèn)證統(tǒng)一授權(quán)統(tǒng)一審計(jì)1)部署模式：在核心交換機(jī)上旁路部署兩套UMA(統(tǒng)一運(yùn)維審計(jì)系統(tǒng))硬件設(shè)備，保證服務(wù)的連續(xù)性和可靠性。通過防火墻或者交換機(jī)上的ACL策略，切斷用戶原有運(yùn)2)部署條件：保證業(yè)務(wù)服務(wù)器與UMA之間的路由可達(dá)