网御网络审计系统-运维安全管控型方案模板(42页DOC).docx
《网御网络审计系统-运维安全管控型方案模板(42页DOC).docx》由会员分享,可在线阅读,更多相关《网御网络审计系统-运维安全管控型方案模板(42页DOC).docx(44页珍藏版)》请在淘文阁 - 分享文档赚钱的网站上搜索。
1、最新资料推荐网御网络审计系统-运维安全管控型(LA-OS)方案模板北京网御星云信息技术有限公司文档修订记录版本号日期修订者修订说明V3.0.0.x2014-08-13李彬创建目 录项目概述51安全现状分析51.1内部人员操作的安全隐患51.2第三方维护人员安全隐患51.3高权限账号滥用风险61.4系统共享账号安全隐患61.5违规行为无法控制的风险62运维安全管控系统方案设计62.1建设原则62.2总体目标72.3建设思路83运维管控系统解决方案83.1系统总体设计83.1.1系统概述83.1.2系统组成93.1.3技术架构103.2系统主要功能113.2.1用户认证与SSO113.2.2自动改
2、密123.2.3访问授权管理123.2.4二次审批133.2.5告警与阻断143.2.6实时操作过程监控153.2.7历史回放153.2.8审计报表163.2.9审计存储163.3系统功能特点163.3.1运维协议支持广173.3.2对用户网络影响最小173.3.3多种部署方式,适应多变业务场景173.3.4友好的用户交互体验173.4系统部署173.4.1单台部署183.4.2双机部署193.4.3分布式部署204项目实施计划204.1投入技术力量204.1.1项目人员组织结构214.1.2项目实施人员情况234.2项目实施计划244.2.1成立项目小组264.2.2第一次工程协调会264.
3、2.3设备交货264.2.4到货验收274.2.5施工准备284.2.6第二次工程协调会284.2.7系统实施284.2.8文档整理和现场培训294.2.9终验294.2.10技术支持294.2.11培训计划305项目管理方案325.1项目管理标准325.2质量管理325.2.1质量管理的方法325.2.2不合格品管理335.2.3质量统计分析工具335.2.4质量改进335.2.5变更控制管理345.2.6项目沟通管理365.2.7项目成本管理375.2.8项目风险管理376项目咨询方案406.1.1现场安装需求调研406.1.2制定详细的实施技术方案41项目概述随着XXXX企业信息化应用的
4、迅速发展,企业内部的各种业务和经营支撑系统不断增加,网络规模也迅速扩大。由于信息系统运维人员和业务系统的管理人员掌握着系统资源管理的最高权限,一旦操作出现安全问题将会给企业带来巨大的损失,加强对运维管理人员操作行为的监管与审计成为信息安全发展的必然趋势。在此背景之下,XXXX企业计划针对运维操作和业务管理与审计进行堡垒机项目建设。堡垒机提供了一套多维度的运维操作管控与审计解决方案,使得管理人员可以对网络设备、服务器、安全设备、数据库等资源进行集中账号管理、细粒度的权限管理和访问审计,帮助企业提升内部风险控制水平。1 安全现状分析1.1 内部人员操作的安全隐患随着XXXX企业信息化进程不断深入,
5、企业的业务系统变得日益复杂,由内部员工违规操作导致的安全问题变得日益突出起来。防火墙、防病毒、入侵检测系统等常规的安全产品可以解决一部分安全问题,但对于内部人员的违规操作却无能为力。根据FBI和CSI对484家公司进行的网络安全专项调查结果显示:超过70%的安全威胁来自公司内部,在损失金额上,由于内部人员泄密导致了6056.5万美元的损失,是黑客造成损失的16倍,是病毒造成损失的12倍。另据中国国家信息安全测评中心调查,信息安全的现实威胁也主要为内部信息泄露和内部人员犯罪,而非病毒和外来黑客引起1.2 第三方维护人员安全隐患XXXX企业在发展的过程中,因为战略定位和人力等诸多原因,越来越多的会
6、将非核心业务外包给设备商或者其他专业代维公司。如何有效地监控设备厂商和代维人员的操作行为,并进行严格的审计是企业面临的一个关键问题。严格的规章制度只能约束一部分人的行为,只有通过严格的权限控制和操作审计才能确保安全管理制度的有效执行。1.3 高权限账号滥用风险因为种种历史遗留问题,并不是所有的信息系统都有严格的身份认证和权限划分,权限划分混乱,高权限账号(比如root账号)共用等问题一直困扰着网络管理人员,高权限账号往往掌握着数据库和业务系统的命脉,任何一个操作都可能导致数据的修改和泄露,最高权限的滥用,让运维安全变得更加脆弱,也让责任划分和威胁追踪变得更加困难。1.4 系统共享账号安全隐患无
7、论是内部运维人员还是第三方代维人员,基于传统的维护方式,都是直接采用系统账号完成系统级别的认证即可进行维护操作。随着系统的不断庞大,运维人员与系统账号之间的交叉关系越来越复杂,一个账号多个人同时使用,是多对一的关系,账号不具有唯一性,系统账号的密码策略很难执行,密码修改要通知所有知道这个账号的人,如果有人离职或部门调动,密码需要立即修改,如果密码泄露无法追查,如果有误操作或者恶意操作,无法追查到责任人。1.5 违规行为无法控制的风险网络管理员总是试图定义各种操作条例,来规范内部员工的网络访问行为,但是除了在造成恶性后果后追查责任人,没有更好的方式来限制员工的合规操作。而事后追查,只能是亡羊补牢
8、,损失已经造成。2 运维安全管控系统方案设计2.1 建设原则随着信息技术的发展,XXXX已经建立了比较完善的信息系统,具有网络规模大、用户数多、系统全而复杂等特点。IT建设的核心任务是运用现代信息技术为企业整体发展战略的实现提供支撑平台并起到推动作用。信息安全作为IT建设的组成部分,核心任务是综合运用技术、管理等手段,保障企业IT系统的信息安全,保证业务的连续性。信息安全是XXXX正常业务运营与发展的基础;是保证网络品质的基础;是保障客户利益的基础。根据集团的相关规范的指导意见,我们根据对XXXX信息系统具体需求的分析,结合等级保护安全评估的要求,在对XXXX系统进行安全建设时,我们所遵循的根
9、本原则是:1、业务保障原则:安全建设的根本目标是能够更好的保障网络上承载的业务。在保证安全的同时,还要保障业务的正常运行和运行效率。2、结构简化原则:安全建设的直接目的和效果是要将整个网络变得更加安全,简单的网络结构便于整个安全防护体系的管理、执行和维护。3、生命周期原则:安全建设不仅仅要考虑静态设计,还要考虑不断的变化;系统应具备适度的灵活性和扩展性。2.2 总体目标本次在XXXX业务系统建立运维安全管理系统,实现全局的策略管理、统一访问Portal页面、集中身份认证、统一授权及认证请求转发等功能,对XXXX业务系统的系统资源账号、维护操作实施集中管理、访问认证、集中授权和操作审计。通过本次
10、安全运维管控系统的建设,最终达到以下目标:1. 通过运维安全管控系统的建设为XXXX的系统资源运维人员提供统一的入口,支持统一身份认证手段。在完成统一认证后,根据账号所具有访问权限发布、管理、登录各个主机、网络设备、数据库。2. 系统应根据“网络实名制”原则记录用户从登录系统直至退出的全程访问、操作日志,并以方便、友好的界面方式提供对这些记录的操作审计功能。3. 系统应具备灵活的管理和扩展能力,系统扩容时不会对系统结构产生较大影响。4. 系统应具备灵活的授权管理功能,可实现一对一、一对多、多对多的用户授权。2.3 建设思路为实现XXXX公司构建针对人员帐户管理层面全面完善的安全运维管控系统需要
11、,在本项目的实施过程中,网域星云将根据“以用户身份集中管理的思路为核心,建立全局唯一的权威身份信息源,可在一点集中管理用户身份和权限,从而降低管理成本”的思路,在统一用户身份的基础上,实现各个系统资源的单点登录、统一认证、统一授权、审计等信息的集中统一管理,并提供与用户现有的数字证书系统进行系统集成的解决方案,规划合理、高效的用户身份管理流程。本项目建成后,对于用户来说,将实现只需进行一次登录,就可以维护不同的主机、网络设备、数据库等,并能方便的来回切换访问;对于管理员来说,将实现对用户信息、设备信息、访问控制信息等统一定义和描述,能确保信息的一致性;只需在运维安全管控系统进行统一配置管理和维
12、护,降低工作量和复杂度。3 运维管控系统解决方案3.1 系统总体设计3.1.1 系统概述网御网络审计系统-运维安全管控型(以下简称网御LA-OS),是网域星云综合内控系列产品之一。网御LA-OS是针对业务环境下的用户运维操作进行控制和审计的合规性管控系统。它通过对自然人身份以及资源、资源账号的集中管理建立“自然人账号资源资源账号”对应关系,实现自然人对资源的统一授权,同时,对授权人员的运维操作进行记录、分析、展现,以帮助内控工作事前规划预防、事中实时监控、违规行为响应、事后合规报告、事故追踪回放,加强内部业务操作行为监管、避免核心资产(服务器、网络设备、安全设备等)损失、保障业务系统的正常运营
13、。3.1.2 系统组成网御LA-OS由WEB模块、协议代理模块、行为审计模块和应用发布模块和存储模块组成。l WEB模块为用户提供web方式访问系统的界面。管理员用户在界面中进行运维用户管理、设备及帐号管理、用户授权管理和运维审计管理等管理功能;运维用户在界面中进行资源单点登录等操作。l 协议代理模块实现对主机、数据库、网络设备维护过程中的协议数据包代理转发、行为还原及记录、高危/违规行为阻断等功能。l 行为审计模块实现对行为操作的审计功能,包括实时高危/违规行为的告警、实时监控、历史数据检索及报表统计等功能。l 应用发布模块(可选)安装在Windows服务器上,用于发布非标准协议或应用客户端
14、,如IE、plsql、sqlplus、pcanywhere等。可实现对应用客户端工具的自动调出、密码代填和操作审计功能。3.1.3 技术架构3.1.3.1. 协议代理模块3.1.3.2. 应用发布模块3.2 系统主要功能3.2.1 用户认证与SSO在信息系统的运维操作过程中,经常会出现多名维护人员共用设备(系统)账号进行远程访问的情况,从而导致出现安全事件无法清晰地定位责任人。网御LA-OS为每一个运维人员创建唯一的运维账号(主账号),运维账号是获取目标设备访问权利的唯一账号,进行运维操作时,所有设备账号(从账号)均与主账号进行关联,确保所有运维行为审计记录的一致性,从而准确定位事故责任人,弥
15、补传统网络安全审计产品无法准确定位用户身份的缺陷,有效解决账号共用问题。网御LA-OS支持多种身份认证方式: 本地认证 Radius认证 LDAP认证 AD域认证等网御LA-OS系统还支持SSO功能,运维人员一次登陆,即可访问所有目标资源,无需二次输入用户名、口令信息。网御LA-OS部署后,运维人员可以通过不同的方式对目标对象进行访问、维护: WEB控件方式访问,所有协议均可通过WEB控件方式从WEB直接发起访问,访问过程支持IE(7-11版本)浏览器; 支持通过WEB直接调用本地客户端方式进行访问;运维人员登录网御LA-OS系统时,系统会根据访问授权列表自动展示授权范围的主机,避免用户访问未
16、经授权主机。3.2.2 自动改密网御LA-OS支持主机系统账号的密码维护托管功能,系统支持自动定期修改Linux、Unix、Windows、AIX以及Oracle、SqlServer、PostgreSQL、MySql的内置账号密码。自动密码管理支持以下功能: 设定密码复杂度策略; 针对不同设备制定不同改密计划; 设定改密计划的自动改密周期; 支持随机不同密码、随机相同密码、手工指定密码等新密码设定策略; 改密结果自动发送至指定密码管理员邮箱; 设定指定的改密对象,支持AD域账号改密; 手工下载部分或全部密码列表; 自动改密结果确认功能,密码管理员必须人工确认已经下载或收到密码文件;否则改密计划
17、自动停止执行,确保改密过程可靠性; 改密结果高强度加密保护功能。3.2.3 访问授权管理网御LA-OS系统通过集中统一的访问控制和细粒度的命令级授权策略,确保每个运维用户拥有的权限是完成任务所需的最合理权限。 基于向导式的配置过程; 支持基于用户角色的访问控制(RBAC ,Role-Based Access Control)。管理员可根据用户、用户组、访问主机、目标系统账号、访问方式设置细粒度访问策略; 支持基于时间的访问控制; 支持基于访问者IP的访问控制; 基于指令(黑白名单)的访问控制;除访问授权之外,网御LA-OS还支持针对访问协议进行深层控制,比如: 限制SSH协议使用SFTP 限制
18、RDP访问使用剪贴板功能 限制RDP访问使用磁盘映射功能 是否启用强制审批功能(访问和操作前必须经过管理员审批) 是否启用备注功能(访问前必须先填写维护内容)3.2.4 二次审批网御LA-OS支持根据需求对特殊访问与操作进行二次审批功能,该功能可以进一步加强对第三方人员访问或关键设备访问操作的控制力度,确保所有访问操作都在实时监控过程中进行。二次审批功能支持以下两种方式: 对新建远程访问会话进行审批 对特殊指令执行进行审批由于每次访问操作都需要管理员进行审批确认,该功能也可以代替部分客户使用的双人密码管理方式。3.2.5 告警与阻断网御LA-OS系统支持根据已设定的访问控制策略,自动检测日常运
19、维过程中发生的越权访问、违规操作等安全事件,系统能够根据安全事件的类型、等级等条件进行自动的告警或阻断处理。 阻断未经授权用户访问主机; 阻断从异常客户端、异常时间段发起的访问行为; 阻断指令黑名单的操作行为; 阻断方式支持:断开会话、忽略指令; 告警方式支持:以SYSLOG、短信、邮件、SNMP方式实时发送告警信息。3.2.6 实时操作过程监控对于所有远程访问目标主机的会话连接,网御LA-OS均可实现操作过程同步监视,运维人员在远程主机上做的任何操作都会同步显示在审计人员的监控画面中。 实时同步显示操作画面; 支持vi、smit、setup等字符菜单操作同步显示;3.2.7 历史回放网御LA
20、-OS能够以视频回放方式,可根据操作记录定位回放或完整重现维护人员对远程主机的整个操作过程,从而真正实现对操作内容的完全审计。 以WEB在线视频回放方式重现维护人员对服务器的所有操作过程,无须在客户端安装播放客户端软件; 支持从特定操作指令开始进行定位回放; 支持倍速/低速播放、拖动、暂停、停止、重新播放等播放控制操作; 支持空闲时间过滤;3.2.8 审计报表网御LA-OS系统拥有强大的报表功能,内置能够满足不用客户审计需求的安全审计报表模板,支持自动或手工方式生成运维审计报告,便于管理员全面分析运维的合规性。 系统内置多种运行维护报表模板; 支持以html、CSV方式生成并导出报表; 支持管
21、理员自定义审计报表; 支持以日报、周报、月报的方式自动生成周期性报表。3.2.9 审计存储网御LA-OS系统支持自动化审计数据存储管理,管理员可以对审计数据进行手工备份、导出,也可以设定自动归档策略进行自动归档。 手工归档、到处审计数据; 存储空间不足时自动归档并删除最早数据; 支持通过自动上传归档文件; 周期性自动归档功能;3.3 系统功能特点3.3.1 运维协议支持广网御LA-OS支持多种运维访问协议,能够充分满足日常运维需要。 字符协议:SSHv1v2、TELNET、RLOGIN、TN5250(AS400) 图形协议:RDP、VNC 文件传输协议: 数据库访问:Oracle、MS SQL
22、 Server、IBM DB2、Sybase、IBM Informix Dynamic Server、MySQL、PostgreSQL通过应用发布进行协议扩展,支持Radmin、Pcanywhere、 HTTP/HTTPS,支持定制开发其他访问协议及第三方客户端。3.3.2 对用户网络影响最小物理旁路、逻辑串联方式部署,不必更改现有的网络拓扑结构,同时不需要在被管理设备上安装任何代理程序,对用户业务和网络结构影响最小。3.3.3 多种部署方式,适应多变业务场景网御LA-OS单臂、双臂、分布式多种部署方式,适应多变业务场景。3.3.4 友好的用户交互体验系统的用户界面具备友好的用户交互体验。系统
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络 审计 系统 安全 管控型 方案 模板 42 DOC
限制150内