天玥网络安全审计系统

《天玥网络安全审计系统》由会员分享，可在线阅读，更多相关《天玥网络安全审计系统（14页珍藏版）》请在金锄头文库上搜索。

1、天玥网络安全审计系统一、产品概述1、产品简介天玥网络安全审计系统（MA业务堡垒机系列），以下简称天玥（MA），是启明星辰 综合内控系列产品之一。天玥网络安全审计系统（MA系列）是针对业务环境下的网络操作行为进行集中管理 （Management）与细粒度审计（Audit）的合规性管理系统。它通过对自然人身份以及资 源、资源账号的集中管理建立“自然人账号资源资源账号”对应关系，实现自然人对资 源的统一授权，同时，对授权人员的业务操作行为进行记录、分析、展现，以帮助内控工作 事前规划预防、事中实时监控、违规行为响应、事后合规报告、事故追踪回放，加强内部业 务操作行为监管、避免核心资产（数据库、服务器

2、、网络设备等）损失、保障业务系统的正 常运营。2、适用场景天玥（MA ）的用户通常拥有重要的业务系统或者网络基础设施，相应地具备如下需求 中的部分或者全部：1、需要保证重要/关键服务器、网络设备的安全；2、希望对运维人员与核心资产进行集中管理，明确每个人员对核心资产的权限；3、正在或将要开展内控工作，希望有效地控制操作风险；4、需要记录或审计加密协议 SSH 的操作内容；5、需要进行事后追查，但缺乏数据记录与追查方法。天玥MA系列适用与以下行业：电信运营商；金融行业；门户网站运营商；网络游戏服务提供商；有类似需求的企事业 单位。3、核心价值天玥MA的核心价值体现在：完善业务系统的安全防范体系，

3、满足组织机构内外部合规 性要求，全面体现管理者对业务系统信息资源的全局把控和调度能力。主要表现在：（1）结合账号管理、资源管理、单点登录、身份认证、访问授权、操作审计等技术于 一体，融合为有效实用的一体化4A解决方案；（2）当出现安全事件后，能根据翔实的审计记录，一步步地追查出攻击者；（3）通过对客户关键信息资产的业务操作行为进行访问控制、避免核心资产损失；（4）核心服务器与网络设备的账号口令定期修改，并通过安全的方式通知安全管理 员；（5）核心服务器与网络基础设备的实体内授权，用户登录设备之后的行为细粒度控 制；（6）帮助用户加强内外部网络行为监管、满足企业内部控制或者外部政策等要求。4、能

4、够从天玥MA系列获益的用户以下几类用户能够从天玥MA的使用中获益：安全管理部门或IT审计部门：能够凭借天玥MA有效地提供符合内控策略的操作风险控制措施，并且能够弥补在操作审计方面的不足；网络与主机的运维部门：能够利用天玥MA有效地梳理应用系统账号关系、规避操作风 险、使运维操作本身符合组织的信息安全方针。另外，天玥MA提供的操作日志以及过程再现（会话回放）可以作为运维部门的免责依 据或者安全管理/IT审计部门的追查证据。二、用户需求1、内部人员操作安全隐患随着企业信息化进程不断深入，企业的业务系统变得日益复杂，由内部员工违规操作导 致的安全问题变得日益突出起来。防火墙、防病毒、入侵检测系统等常

5、规的安全产品可以解 决一部分安全问题，但对于内部人员的违规操作却无能为力。根据最新统计资料，对企业造 成严重攻击中的 70是来自于组织里的内部人员。2、第三方维护人员安全隐患企业在发展的过程中，因为战略定位和人力等诸多原因，越来越多的会将非核心业务外 包给设备商或者其他专业代维公司。如何有效地监控设备厂商和代维人员的操作行为,并进 行严格的审计是企业面临的一个关键问题。严格的规章制度只能约束一部分人的行为，只有 通过严格的权限控制和操作审计才能确保安全管理制度的有效执行。3、系统共享账号安全隐患无论是内部运维人员还是第三方代维人员，基于传统的维护方式，都是直接采用系统账 号完成系统级别的认证即

6、可进行维护操作。随着系统的不断庞大，运维人员与系统账号之间 的交叉关系越来越复杂，一个账号多个人同时使用，是多对一的关系，账号不具有唯一性， 系统账号的密码策略很难执行，密码修改要通知所有知道这个账号的人，如果有人离职或部 门调动，密码需要立即修改，如果密码泄露无法追查，如果有误操作或者恶意操作，无法追 查到责任人。4、最高权限用户安全隐患一般来说，我们都是从各种系统日志里面去发现是否有入侵后留下来的“蛛丝马迹”来 判断是否发生过安全事件。但是，系统是在经历了大量的操作和变化后，才逐渐变得不安全。从系统变更的角度来看，网络审计日志比系统日志在定位系统安全问题上更可信。系统 的超级用户长期以来一

7、直处于不可管理的状态。三 、产品原理天玥 IV 业务堡垒机的产品原理如图 1 所示Telnet客户端 SSH客户端 Sftp客户端Fp客户端RDP客户端图 1 天玥 IV 业务堡垒机的产品原理命令防火墙模块访问控制模块口协议身份认证认证转餐块其核心进程为常用协议的代理，目前可以实现的有：tel net、ssh、ftp、sftp/scp、RDP (Wi ndows 远程桌面)、VNC。代理进程监听相应的端口，捕获通信后，按照授权策略转发到相应的资源，同时对数据 包进行命令级别的解析。四、产品主要功能天玥MA系列基于“用户账号一目标设备一系统账号”的权限管理模式提供各项安全功 能，主要体现在以下几

8、个方面：(1) 集中管理：对所有的自然人以及所有核心服务器、核心网络基础设施及其上面的 账号进行统一集中管理与单点登录；(2) 身份管理：有效解决传统 UNIX 模式的共享账号问题，通过自然人账号与系统账 号的关联实现网络操作的实名制；(3) 访问控制：管理员可自定义访问控制规则，给每个用户分配适当的网络资源；(4) 权限控制：通过命令防火墙可进一步把用户的权限控制到命令级别，可有效限制 root 的操作权限；(5) 操作审计：对所有自然人的访问信息，包括输入命令与输出结果进行记录并回放，能根据翔实的审计记录，一步步地追查出攻击者。1、功能流程人題.押S 宝时监控劇1阈血图2天玥IV业务堡垒机

9、的功能流程图设苍悴理人的管理：角色划分：不同的用户按照职责分成不同的角色，有超级管理员，账号管理员、审计管 理员，配置管理员，密码保管员与普通用户；账号管理：账号采用实名制和用户一一对应；密码策略：密码复杂度设置，密码有效期等严格的密码策略；访问控制：通过严格的访问控制，确保合法用户在其系统权限范围内访问授权设备，降 低人为的安全隐患；权限控制：控制用户可以执行和禁止执行的操作命令。操作管理：操作记录：以人为记录依据，真实完整的记录用户的操作行为；操作搜索：根据各种搜索条件对所有操作记录进行高速精确搜索；操作回放：完整回放用户的历史操作；实时监控：实时窗口显示用户当年的操作行为；统计报表：按照

10、时间与事件生成用户操作行为报表；设备管理：密码管理：按照不同级别密码策略定期自动修改设备的系统密码。SOX 合规性解决方案SOX法案是希望通过严格的内控去解决信任危机的问题。天玥MA作为一个完整的SOX 合规解决方案，实现了：清晰完整的策略：天玥MA有集中管理，身份管理，访问控制，权限控制，操作审计一 系列的针对人的操作管理策略；天玥MA系列通过相应技术手段保证策略在产品上的有效执行；对过程进行真实完整的记录与回放； 能够让审计管理员和第三方审计公司验证以上内容的真实可信天玥MA通过一系列策略（集中管理、身份管理、访问控制、权限控制）的制定和有效 实施以及严格的审计机制，规范用户对 Unix

11、设备、网络设备以及安全设别的操作行为，控 制企业内部以及第三方代维的操作风险，并对全部的操作与结果进行真实完整的记录，为第 三方审计提供真实的原始材料，最终实现SOX合规要求。集中管理 当管理一个包含各种各样异构设备的环境时，拥有一个集中管理控制平台以降低成本、 合并冗余的操作就变得非常重要，天玥MA能够为管理员提供唯一的策略执行点和对所有用 户的访问控制点，从而对用户的操作实现集中控制。单点登陆（Sin gle Sig n-On）天玥MA作为用户登录的唯一入口，是实现集中化管理的必要条件。鉴于天玥MA采用 旁路的部署方式，需要在用户的核心路由或防火墙上配置适当的策略保证所有用户的 telne

12、t/SSH访问都转发到天玥MA上面来。用户身份管理对业务系统中的运维、操作人员进行集中管理：根据工作职责为每个运维人员分配一个唯一标识其身份的用户账号，实现用户账号与人 员身份的一一对应；集中管理账号属性，包括账号名称、真实姓名、邮箱地址、账号开始日期、失效日期、 账号所属部门、账号状态（活动/禁用）、账号权限以及备注信息；管理员可手工设定用户账号使用规则，确保用户账号可用性：当用户处于休假、换岗、 离职等状态，及时对其账号可用性（活动、禁用）进行调整；集中管理与分发账号口令，创建用户账号时即可给用户分配强壮的口令，口令可以通过 系统随即生成并发送到用户邮箱或由管理员手工定义，管理员可随之重置

13、用户口令，用户可 通过web界面修改自己的口令；集中管理用户口令策略，可根据安全级别自定义用户口令策略，口令策略包括密码最短 长度（默认为8）、密码最长使用天数（默认为13，最长为90）、失败尝试次数（默认为 5）、必须包含数字位数、必须包含大写字母位数、必须包含小写字母位数、必须包含特殊 字符位数。部门以及权限管理 支持分级权限管理，严格按照三权分立的思想对管理员进行授权。部门管理：根据用户实际环境配置业务部门，每个部门下面管理相应的业务系统、用 户、资源、资源账号，不同部门之间相对独立；权限管理：支持二级权限管理，系统有一个全局的超级管理员，然后是每个部门内部的 账号管理员、配置管理员、审

14、计管理员、密码保管员。超级管理员：能够创建部门与各部门的二级管理员，进行系统的全局策略配置，如双机 热备策略、密码策略、邮件服务器配置、系统备份、授权管理以及当前系统健康状态的查 看。账号管理员：创建本部门内的用户账号； 配置管理员：为本部门添加资源与资源账号，并创建“用户账号资源资源账号”的 分组访问控制关系，配置分组与用户账号的命令防火墙策略，管理本部门内 SSH 资源的证 书。审计管理员：集中管理本部门账号所产生的会话日志、登录日志、操作日志、审计日志 与审计报表，并对本部门内的日志进行查询与检索。密码保管员：集中接收与记录本部门内资源账号密码的修改结果。设备以及资源管理对用户业务环境中

15、的UNIX、网络设备、安全设备、Oracle数据库、话务网元进行集中 管理，具体包括：集中管理资源的主机名、 IP 地址、登录协议以及端口号、所属部门以及设备类型； 资源的认证管理：根据资源的类型模拟资源的自动登录过程，通过密码代填的方式由天 玥 MA 完成到资源的认证，避免了用户记录大量资源账号和密码的繁琐工作，提高了工作效 率，提高系统的整体安全性。资源的自动登录脚本可根据实际情况由管理员来定义，支持正 则表达式与通配符。支持二次跳转设备的管理，某些行业存在一些特殊应用，要访问该类资源，需要先登录 到一台堡垒机上，再运行命令跳转到最终资源上。天玥MA完全支持这样的维护方式。针对SSH设备，可为设备生成SSH证书，通过天玥MA系统与SSH设备交换SSH 证书创建MA与设备之间的SSH通道，这样，就可以通过SSH证书方式实现MA到设备而 的二次登录认证，而不使用资源账号来实现，在一定程度上提高了访问认证的安全性。资源账号管理集中管理业务系统内资源上面的账号与密码，具体包括：资源账号密码策略的管理，按照不同安全级别分为HighDevPWDPolicy、MiddleDevPWDPolicy、LowDevPWDPolicy 以及 GeneryDevPWDPolicy，分别定义了密码 最短长度、密