《网御网络审计系统(运维安全管控型)LA-OS-方案模版-346》由会员分享，可在线阅读，更多相关《网御网络审计系统(运维安全管控型)LA-OS-方案模版-346（43页珍藏版）》请在金锄头文库上搜索。
1、编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第1页 共1页网御网络审计系统-运维安全管控型（LA-OS）方案模板北京网御星云信息技术有限公司文档修订记录版本号日期修订者修订说明V3.0.0.x2014-08-13李彬创建目 录项目概述51安全现状分析51.1内部人员操作的安全隐患51.2第三方维护人员安全隐患51.3高权限账号滥用风险61.4系统共享账号安全隐患61.5违规行为无法控制的风险62运维安全管控系统方案设计62.1建设原则62.2总体目标72.3建设思路83运维管控系统解决方案83.1系统总体设计83.1.1系统概述83.1.2系统组成93.1.3技术架构10
2、3.2系统主要功能113.2.1用户认证与SSO113.2.2自动改密123.2.3访问授权管理123.2.4二次审批133.2.5告警与阻断143.2.6实时操作过程监控153.2.7历史回放153.2.8审计报表163.2.9审计存储163.3系统功能特点163.3.1运维协议支持广173.3.2对用户网络影响最小173.3.3多种部署方式，适应多变业务场景173.3.4友好的用户交互体验173.4系统部署173.4.1单台部署183.4.2双机部署193.4.3分布式部署204项目实施计划204.1投入技术力量204.1.1项目人员组织结构214.1.2项目实施人员情况234.2项目实施
3、计划244.2.1成立项目小组264.2.2第一次工程协调会264.2.3设备交货264.2.4到货验收274.2.5施工准备284.2.6第二次工程协调会284.2.7系统实施284.2.8文档整理和现场培训294.2.9终验294.2.10技术支持294.2.11培训计划305项目管理方案325.1项目管理标准325.2质量管理325.2.1质量管理的方法325.2.2不合格品管理335.2.3质量统计分析工具335.2.4质量改进335.2.5变更控制管理345.2.6项目沟通管理365.2.7项目成本管理375.2.8项目风险管理376项目咨询方案406.1.1现场安装需求调研406.
4、1.2制定详细的实施技术方案41项目概述随着XXXX企业信息化应用的迅速发展，企业内部的各种业务和经营支撑系统不断增加，网络规模也迅速扩大。由于信息系统运维人员和业务系统的管理人员掌握着系统资源管理的最高权限，一旦操作出现安全问题将会给企业带来巨大的损失，加强对运维管理人员操作行为的监管与审计成为信息安全发展的必然趋势。在此背景之下，XXXX企业计划针对运维操作和业务管理与审计进行堡垒机项目建设。堡垒机提供了一套多维度的运维操作管控与审计解决方案，使得管理人员可以对网络设备、服务器、安全设备、数据库等资源进行集中账号管理、细粒度的权限管理和访问审计，帮助企业提升内部风险控制水平。1 安全现状分
5、析1.1 内部人员操作的安全隐患随着XXXX企业信息化进程不断深入，企业的业务系统变得日益复杂，由内部员工违规操作导致的安全问题变得日益突出起来。防火墙、防病毒、入侵检测系统等常规的安全产品可以解决一部分安全问题，但对于内部人员的违规操作却无能为力。根据FBI和CSI对484家公司进行的网络安全专项调查结果显示：超过70%的安全威胁来自公司内部，在损失金额上，由于内部人员泄密导致了6056.5万美元的损失，是黑客造成损失的16倍，是病毒造成损失的12倍。另据中国国家信息安全测评中心调查，信息安全的现实威胁也主要为内部信息泄露和内部人员犯罪，而非病毒和外来黑客引起1.2 第三方维护人员安全隐患X
6、XXX企业在发展的过程中，因为战略定位和人力等诸多原因，越来越多的会将非核心业务外包给设备商或者其他专业代维公司。如何有效地监控设备厂商和代维人员的操作行为,并进行严格的审计是企业面临的一个关键问题。严格的规章制度只能约束一部分人的行为，只有通过严格的权限控制和操作审计才能确保安全管理制度的有效执行。1.3 高权限账号滥用风险因为种种历史遗留问题，并不是所有的信息系统都有严格的身份认证和权限划分，权限划分混乱，高权限账号（比如root账号）共用等问题一直困扰着网络管理人员，高权限账号往往掌握着数据库和业务系统的命脉，任何一个操作都可能导致数据的修改和泄露，最高权限的滥用，让运维安全变得更加脆弱
7、，也让责任划分和威胁追踪变得更加困难。1.4 系统共享账号安全隐患无论是内部运维人员还是第三方代维人员，基于传统的维护方式，都是直接采用系统账号完成系统级别的认证即可进行维护操作。随着系统的不断庞大，运维人员与系统账号之间的交叉关系越来越复杂，一个账号多个人同时使用，是多对一的关系，账号不具有唯一性，系统账号的密码策略很难执行，密码修改要通知所有知道这个账号的人，如果有人离职或部门调动，密码需要立即修改，如果密码泄露无法追查，如果有误操作或者恶意操作，无法追查到责任人。1.5 违规行为无法控制的风险网络管理员总是试图定义各种操作条例，来规范内部员工的网络访问行为，但是除了在造成恶性后果后追查责
8、任人，没有更好的方式来限制员工的合规操作。而事后追查，只能是亡羊补牢，损失已经造成。2 运维安全管控系统方案设计2.1 建设原则随着信息技术的发展，XXXX已经建立了比较完善的信息系统，具有网络规模大、用户数多、系统全而复杂等特点。IT建设的核心任务是运用现代信息技术为企业整体发展战略的实现提供支撑平台并起到推动作用。信息安全作为IT建设的组成部分，核心任务是综合运用技术、管理等手段，保障企业IT系统的信息安全，保证业务的连续性。信息安全是XXXX正常业务运营与发展的基础；是保证网络品质的基础；是保障客户利益的基础。根据集团的相关规范的指导意见，我们根据对XXXX信息系统具体需求的分析，结合等
9、级保护安全评估的要求，在对XXXX系统进行安全建设时，我们所遵循的根本原则是：1、业务保障原则：安全建设的根本目标是能够更好的保障网络上承载的业务。在保证安全的同时，还要保障业务的正常运行和运行效率。2、结构简化原则：安全建设的直接目的和效果是要将整个网络变得更加安全，简单的网络结构便于整个安全防护体系的管理、执行和维护。3、生命周期原则：安全建设不仅仅要考虑静态设计，还要考虑不断的变化；系统应具备适度的灵活性和扩展性。2.2 总体目标本次在XXXX业务系统建立运维安全管理系统，实现全局的策略管理、统一访问Portal页面、集中身份认证、统一授权及认证请求转发等功能，对XXXX业务系统的系统资
10、源账号、维护操作实施集中管理、访问认证、集中授权和操作审计。通过本次安全运维管控系统的建设，最终达到以下目标：1. 通过运维安全管控系统的建设为XXXX的系统资源运维人员提供统一的入口，支持统一身份认证手段。在完成统一认证后，根据账号所具有访问权限发布、管理、登录各个主机、网络设备、数据库。2. 系统应根据“网络实名制”原则记录用户从登录系统直至退出的全程访问、操作日志，并以方便、友好的界面方式提供对这些记录的操作审计功能。3. 系统应具备灵活的管理和扩展能力，系统扩容时不会对系统结构产生较大影响。4. 系统应具备灵活的授权管理功能，可实现一对一、一对多、多对多的用户授权。2.3 建设思路为实
11、现XXXX公司构建针对人员帐户管理层面全面完善的安全运维管控系统需要，在本项目的实施过程中，网域星云将根据“以用户身份集中管理的思路为核心，建立全局唯一的权威身份信息源，可在一点集中管理用户身份和权限，从而降低管理成本”的思路，在统一用户身份的基础上，实现各个系统资源的单点登录、统一认证、统一授权、审计等信息的集中统一管理，并提供与用户现有的数字证书系统进行系统集成的解决方案，规划合理、高效的用户身份管理流程。本项目建成后，对于用户来说，将实现只需进行一次登录，就可以维护不同的主机、网络设备、数据库等，并能方便的来回切换访问；对于管理员来说，将实现对用户信息、设备信息、访问控制信息等统一定义和
12、描述，能确保信息的一致性；只需在运维安全管控系统进行统一配置管理和维护，降低工作量和复杂度。3 运维管控系统解决方案3.1 系统总体设计3.1.1 系统概述网御网络审计系统-运维安全管控型（以下简称网御LA-OS），是网域星云综合内控系列产品之一。网御LA-OS是针对业务环境下的用户运维操作进行控制和审计的合规性管控系统。它通过对自然人身份以及资源、资源账号的集中管理建立“自然人账号资源资源账号”对应关系，实现自然人对资源的统一授权，同时，对授权人员的运维操作进行记录、分析、展现，以帮助内控工作事前规划预防、事中实时监控、违规行为响应、事后合规报告、事故追踪回放，加强内部业务操作行为监管、避免
13、核心资产（服务器、网络设备、安全设备等）损失、保障业务系统的正常运营。3.1.2 系统组成网御LA-OS由WEB模块、协议代理模块、行为审计模块和应用发布模块和存储模块组成。l WEB模块为用户提供web方式访问系统的界面。管理员用户在界面中进行运维用户管理、设备及帐号管理、用户授权管理和运维审计管理等管理功能；运维用户在界面中进行资源单点登录等操作。l 协议代理模块实现对主机、数据库、网络设备维护过程中的协议数据包代理转发、行为还原及记录、高危/违规行为阻断等功能。l 行为审计模块实现对行为操作的审计功能，包括实时高危/违规行为的告警、实时监控、历史数据检索及报表统计等功能。l 应用发布模块
14、（可选）安装在Windows服务器上，用于发布非标准协议或应用客户端，如IE、plsql、sqlplus、pcanywhere等。可实现对应用客户端工具的自动调出、密码代填和操作审计功能。3.1.3 技术架构3.1.3.1. 协议代理模块3.1.3.2. 应用发布模块3.2 系统主要功能3.2.1 用户认证与SSO在信息系统的运维操作过程中，经常会出现多名维护人员共用设备（系统）账号进行远程访问的情况，从而导致出现安全事件无法清晰地定位责任人。网御LA-OS为每一个运维人员创建唯一的运维账号（主账号），运维账号是获取目标设备访问权利的唯一账号，进行运维操作时，所有设备账号（从账号）均与主账号进行关联，确保所有运维行为审计记录的一致性，从而准确定位事故责任人，弥补传统网络安全审计产品无法准确定位用户身份的缺陷，有效解决账号共用问题。网御LA-OS支持多种身份认证方式： 本地认证 Radius认证 LDAP认证 AD域认证等网御LA-OS系统还支持SSO功能，运维人员一次登陆，即可访问所有目标资源，无需二次输入用户名、口令信息。网御LA-OS部署后，运维人员可以通过不同的方式对目标对象进行访问、维护： WEB控件方式访问，所有协议均可通过WEB控件方式从WEB直接发起访问，访问过程支持IE（7-11版本）浏览器； 支持通过WEB直接调用本地客户端方式进行访问；运维
