神盾主机监控与审计系统简介.pdf

《神盾主机监控与审计系统简介.pdf》由会员分享，可在线阅读，更多相关《神盾主机监控与审计系统简介.pdf（12页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、 神盾主机监控与审计系统简介 IMB standardization office【IMB 5AB-IMBK 08-IMB 2C】西安市信息技术应用研究所 神盾主机监控与审计系统功能及实施简介 文档版本：文档编号：SD-INAS-Whitepaper 目录 1 系统概述 1.1 系统背景 随着现代科学技术的发展，国与国之间的窃密与反窃密斗争越来越带有高科技抗衡的特点，发展内网保密技术已成为防止泄密的重要保障。特别是近几年来国家涉密 单位网络失泄密事件的不断发生，为内网的安全防泄密敲响了警钟。国家涉密单位使用的内部局域网，都是范围不同的内网，内网从物理结构上与外部完全隔离，因此，防范来自于网络外

2、部的各种入侵（比如黑客、非法入侵等）已经不是主要方面，相对而言，来自于网络内部的安全威胁就显得越来越严重了。以人为控制的教育加监督的安全管理方式是无法阻止内部工作人员运用现今的高科技信息载体主动或被动泄密，如利用 EMAIL，FTP，光盘，打印，笔记本，可移动硬盘等方式造成的失泄密事件，根据近几年来的网络失泄密事件统计，87的网络泄密都是内部人员或内外勾结造成的。针对上述的情况，为了给涉密单位提供一个更加安全而有效的内部网络环境，我们研制了神盾主机监控与审计系统。内网安全防泄密系统就是从信息源头上抓安全。从终端电脑上信息产生后就加密，文件打出来加密存盘，在局域网中加密传输，在服务器中加密保存。

3、在移动存贮介质中加密存放。信息无论是在移动中还是在固定磁盘中都处于加密状态，实现全程全网全过程的加密，这样即使泄露后也看不懂，解不开。内网安全防泄密系统对电脑终端的各种接口都实行了控制，USB 口、串口、并口、1394 口等。外部非本单位的笔记本电脑、U 盘、移动硬盘、数码相机等产品非法接入，不能使用并告警锁定，后台审计系统记录。你这台机子不能使用，只有与管理员联系解除锁定后才能使用。本单位经过认证的笔记本电脑、U 盘、移动硬盘、数码相机等产品可以正常使用。本单位经过认证的笔记本电脑、U 盘、移动硬盘、数码相机等产品带到外部接入任何网络或插入任何外部电脑上也不能使用。内网安全防泄密系统从技术上

4、解决了涉密产品的专用问题。1.2 系统目标 在此网络中，安全系统管理要求有着如下的部署效果：（1）网络内部的数据安全交换平台；依据于强大的域数据交换体系。可以保证在内部网络内，安全域之间的任何数据在交换过程中是安全的，即使是有第三方能够获得传输过程中的数据，这些数据对于其也是没有任何意义的。有效的防止了任何非法外联的主机窃取重要数据。（2）主机的资源审计和管理平台；对于网络内部需要管理的重要主机信息进行实时的审计，并且根据相应的审计信息定制科学的安全策略；包括软件信息、硬件信息、主机服务信息、网络连接状况信息、可能非法外联信息等等。（3）主机外设端口管理平台；对于一切可能通过外设形成泄密的行为

5、进行控制，有效地防止了核心数据区的服务器被第三方通过各种网络接口直接从服务器将机密数据盗窃，保障了核心区的数据安全。（4）磁盘管理平台；能够提供磁盘管理手段，保证了数据的存储介质磁盘的科学使用，可以规定每台主机上磁盘的存储方式（只度、正常读写、加密读写）及其磁盘的数据有效范围（单机有效、域有效、第三方有效），从而可以保证了重要数据在未授权的前提下，不可能被带出网络，解决了用户身份和数据身份的访问控制问题；根据以上实际情况，为此网络信息系统安全管理规划了安全目标，我们认为规划、设计、实施此网络信息系统的安全系统的目标是：通过安全系统项目的实施，建立完整的网络信息系统的安全防护体系，在安全法律、法

6、规、政策的支持与指导下，通过制定客户化的安全策略，采用合适的安全技术和制度化的安全管理，从安全策略、安全域、安全系统、安全管理多个层次，多个角度，构建网络内部信息安全保障技术框架，实现：有效管理移动存储设备，防止非法（未注册）的移动存储设备的接入。终端外设端口受控合法地使用。对所需保护的主机进行详细的管理和审计。内部安全解决方案的设计目标是在最小安全投资的前提下，最大限度的管理网络内部信息的安全。系统内容 内部网络安全管理的核心是数据的安全，神盾主机监控与审计系统通过对内网数据安全的关注和有效管理，建立了一个完整的内网数据安全保护体系。依据标准 国家保密标准 BMB15-2004涉及国家秘密信

7、息系统安全审计产品技术要求 GB/T18336-2001 信息技术 安全技术 信息技术安全性评估准则 2 总体方案设计 2.1 系统设计原则 系统的总体设计遵循以下原则：实用性 充分理解并分析本单位各项管理的模式和特点，应用系统的开发应做到功能完善、使用方便、经济合理、切合实际、运作高效，力求达到科技人性化。安全性 系统设计具有高度的可靠性，产品成熟，性能稳定，保证系统长时间无故障运行。系统严格划分不同操作权限，不同职能授予不同的管理权限；数据方面，通过定期备份数据库数据等，来保证数据库服务器的安全和正常运行。方便性 简洁的界面，中文版的文字，易懂的文字，让每个操作员都能清楚的了解每个功能的意

8、思。做到通俗易懂。专用性 服务器里嵌有严格的保密系统，根据单位计算机数量等量身定做服务器，做到保密性和专用性的统一。2.2 系统部署规划 神盾主机监控与审计系统（LPS）是 C/S/C结构，管理服务器（MS）通过客户端管理代理（MA）来实现对整个网络的管理和安全监控，管理员通过管理控制台（MC）来管理服务器（MS），并且定制相关的安全策略。LPS 支持广域网络部署，其构造的安全控制域是逻辑上的，而不要求物理上是一个内部网络。神盾主机监控与审计系统（LPS）自身是建立在一个安全架构中的，它使用 PKI框架和密码学技术保护自身的安全，从而使系统自身具有可靠的安全性。下图是LPS的典型部署结构。图表

9、 1LPS 系统典型部署 2.3 系统设计 2.3.1 系统结构 LPS 系统是一个涉及技术面非常广泛的系统，图 1 显示了 LPS 系统架构规划。LPS 系统采用“集中管理、分布控制”的结构实现，每个 LPS 系统管理服务器和其控制的所有客户计算机及其外设构成一个安全控制域，这个域的边界不是绝对的物理边界，而是由 LPS 系统采用各种控制技术在逻辑上构造的一个安全控制域。LPS 系统保护的就是其控制安全域内所有的计算机系统的信息，防止这个域内的敏感信息从安全控制域内任何一台计算机以任何方式泄漏出去。每个 LPS 安全控制域内有一个管理服务器（MS），每个被控客户机有一个相应的管理代理（MA）

10、，一个 LPS 安全体系由一个 MS 和多个 MA 组成。图表 2LPS 系统结构图 在图 2 中，列出了一个客户机可能发生信息泄漏的可能途径，这些途径包括网络链路、存储设备（如移动USB 硬盘和软驱等）、打印机和通信端口。所有这些，都是 LPS 系统要进行控制的对象，也是属于整个LPS 安全控制域内的范畴。从图 2 可以看到，LPS 系统的特点和应该解决和考虑的问题如下：采用“集中管理，分布控制”控制的分布式结构，并且是在情况非常复杂的物理网络中构建一个逻辑上的安全控制域，系统研发过程中要充分考虑网络状况不稳定以及网络中可能出现的安全威胁，确保MS 和 MA 之间通信的安全性和稳定性。控制对

11、象是每一个被控计算机所有的资源，包括计算机系统进程、网络进出信息、存储设备、打印设备和红外端口等各种通信端口，情况非常复杂，涉及的技术面也非常广泛，在系统的研发过程中不但要克服每个技术难点，并且要综合考虑所有这些控制技术之间的兼容性和协调性。由于 LPS 控制系统的核心控制器是管理代理（MA），而 MA 是运行于被控计算机中的，所以必须在系统研发过程中对 MA 本身的安全性进行充分的考虑，此外，也要最大限度减少由于 MA 的运行给被控计算机可能带来的系统性能降低的影响，避免由于 MA 运行可能给被控客户机开来额外的不稳定因素。MS 管理员用户和 MA 用户本身的身份认证也是 LPS 系统安全性

12、的重要保证，在研发过程中对 MS 管理员用户和 MA 用户本身的身份认证也需要进行详细的规划。2.3.2 系统操作平台 采用操作系统 Windows Server2003，多任务、对称多处理及群集功能便于系统部署、管理和使用；该操作系统安全的基础结构提供了安全、高效的网络计算能力；3 功能简介 在接触主机监控与审计系统（SD-INAS）的所有人员中，各自的角色不同，职能不同，彼此之间相互制约，共同维护系统的安全。SD-INAS 的设计体现“管理-审计”两权分离的思想，用户管理的规约如下：1.administrator、operator 和 audit 为系统保留帐户，用户类型和名称不能更改；2

13、.administrator 和 audit 具有相对独立性，密码设置通过各自登录界面右上点“更改密码”图标来更改，不能被其他帐号设置；3.超级管理员可以增加、删除、改变除 administrator、operator 和 audit 帐户外其他用户的信息。管理控制功能 项目 目的 操作说明 管理方式 管理方式操作方便，界面友好，能够正常配置和管理。登录神盾主机监控与审计系统后，进行监控审计策略的设置、下发和查看日志等相关操作。身份鉴别 系统对管理员口令应具有的长度、强度检查功1.登录神盾主机监控与审计系统，进行修改管理员口令操作。能。2.口令一定要符合本系统的长度、强度，才可登录到本系统中。

14、3.登录到本系统后方可进行操作。具有身份鉴别尝试次数限制功能 1.登录神盾主机监控与审计系统，连续三次输入错误的口令，系统将自动重启。2.必须输入正确的口令才可进入本系统。具有超时认证功能 3登录神盾主机监控与审计系统后长时间不进行操作，再次进行操作时需要进行管理员身份鉴别。权限划分 系统配置管理与日志审计权限分开 超级管理员可以新建不同的管理员共同管理此系统，超级管理员可以给二级操作员划分不同的权限，只允许其对某些操作进行策略的下发，也可让他对某些终端进行审计，根据需求设置不同的权限。客户端主机审计 项目 目的 操作说明 状态审计 获取受控主机操作系统版本、补丁，主机名等信息。登录神盾主机监

15、控与审计系统，选择受控主机，查看受控主机操作系统版本、补丁，主机名等信息，并可查看主机状态信息是否与主机显示一样。硬件配置 对硬件配置信息和变更信息进行查看 可以审计到硬件资产信息，包裹操作类型、资产类型、硬件名称，重要的是可以查看到硬件的变更资产。对其进行审计。软件信息审计 对软件信息和变更信息进行审计 可以查看到系统装了那些软件，并可查询到软件的变更信息，包括操作类型、软件类型、软件名称、和变更时间等信息。系统日志审计 获取受控主机操作系统自身的日志 可以审计到系统日志、应用程序日志和安全日志 服务审计 对相关服务信息进行审计 可以审计到服务的名称、描述信息、类型和启动状态等 进程审计 对

16、进程运行情况进行审计 可以审计到进程名、ID和内存使用情况 网络连接审计 审计到网络连接状况 可以审计到协议类型、源 IP 地址和端口以及状态信息。网络共享审计 审计网络共享情况 可以审计到网络共享情况；并可以对打开、关闭网络共享情况进行审计。驱动审计 能够对驱动情况进行审计 可以审计到驱动程序，包括名称、描述信息、类型和启动状态等信息 程序窗口开启审计 能够对程序开启窗口进行审计 可以审计到当前客户端都开了那些应用窗口 文件审计 能够对其文件进行审计 可以审计到文件的编辑、复制、重命名等操作进行审计，可以审计到其主机名称、文件名称、文件路径等信息。客户端主机审计 项目 目的 操作说明 拨号连

17、接 显示拨号信息 禁止或允许拨号连接 外设端口控制 设置外设端口信息 禁止或允许使用外设端口，包括 U 口，软驱、光驱等。文件打印控制 能够禁止受控打印机文件 受控打印机文件设置禁止本地打印、网络打印、和虚拟打印等策略。网络控制 网址控制 允许、禁止或按条件访问网址并记录 邮件控制 允许、禁止或按条件发送或接受邮件并记录 FIP 控制 允许、禁止或按条件访问 FIP 端口控制 允许、禁止或按条件访问地址端口 脱离服务器下的功能 离网状态下的策略 离网状态下，可以下发不同的策略，管理系统。虚拟磁盘控制 项目 目的 操作说明 创建虚拟磁盘 在本地磁盘中创建虚拟磁盘 打开虚拟磁盘看到 SDSecur

18、eFolder文件，输入用户名和密码方可打开 关闭虚拟磁盘 关闭创建的虚拟磁盘 关闭虚拟磁盘后，SDSecureFolder文件自动隐藏 删除虚拟磁盘 删除已有的虚拟磁盘 删除安全文件夹，要求输入用户名和口令确认后才可删除。存储设备管理 项目 目的 操作说明 未注册磁盘使用 允许后禁止未注册磁盘使用 禁止未注册磁盘在客户端中使用 允许未注册磁盘使用并划分了使用权限，只读和正常读写权限。注册磁盘 给定不同的权限使用 只读：只能看注册磁盘中的信息，不能往里拷贝东西。正常读写：允许查看并修改文件。加密读写：磁盘中的文件只能在装有客户端的指定范围内打开，并且文件是加密的。4 项目实施 为保证项目的进度

19、、质量，我研究所有富有管理经验的项目管理者，资深的系统分析员，经验丰富的开发队伍，能够完全按照单位项目管理流程严格执行的质量控制人员和配置管理人员，服务热情、周到的技术支持人员，具有保障项目实施的可靠资源及严格的管理流程，能够确保项目的顺利实施。实施流程图 图表 3 实施流程图 实施环境确认 一、机房环境部分 1 LPS 机房应分隔为主机室和操作室（或监控室）两个部分进行安装；主机应严格控制接触；管理台应由专人负责 2 LPS 服务器主机要求置于主机室中，LPS 网管机可置于操作室或工作场地中。备注：二、辅助部分 1 配电柜等电源设备 2 LPS 供电电源要求使用独立专线电源，且绝不可和动力、照明器材或复印机等与电脑系统无关的设备共用 备注：三、项目分界 1 此单位负责提电源、网络接口。2 神盾提供 LPS 系统，由此单位提供设备互连时所需机架。3 设备在本地的连接由神盾负责，但此单位需要为走线提供必要的条件。4 由此单位提供相应的客户端资料、包括需要安装客户端的主机 ip 规划、部门划分、涉及到的网络安装结构拓朴图。备注：西安市信息技术应用研究所