帕拉迪网络科技有限公司-4A-方案建议书V2

帕拉迪4A系统解决方案建议书

帕拉迪网络科技有限公司

2010年5月

目录

1现状分析 (6)

1.1关键服务器管理风险分析 (6)

1.2关键服务器用户操作风险分析 (8)

1.3数据库运维风险分析 (9)

1.4“人机”运维操作行为风险综合分析 (9)

2相关法规 (11)

3部署方式 (13)

3.1物理部署图 (13)

3.2逻辑部署图 (14)

4建设目标 (15)

5解决方案 (17)

5.1身份管理 (17)

5.1.1用户分级 (17)

5.1.2身份认证 (18)

5.2账号管理 (18)

5.2.1统一账号管理模式 (19)

5.3单点登录 (21)

5.3.1登录门户 (21)

5.3.2B/S运维平台单点登录 (22)

5.4字符终端审计 (24)

5.4.1主机服务器系统 (24)

5.4.2网络/安全设备 (25)

5.4.3字符终端管理网关 (25)

5.5图形终端审计 (29)

5.5.1完备的RDP版本、功能支持 (30)

5.5.2图形终端单点登录 (30)

5.6数据库运维审计 (33)

5.6.1敏感数据保护 (34)

5.6.2SQL语句审计 (36)

5.6.3数据库运维平台 (36)

5.6.4Informix运维审计（dbaccess） .......................................................... 错误！未定义书签。

5.6.5DB2运维审计（db2cmd）................................................................... 错误！未定义书签。

5.6.6Oracle运维审计.................................................................................... 错误！未定义书签。

5.6.7Sybase运维审计（Scview 4.x）........................................................... 错误！未定义书签。

5.6.8SQL Server运维审计（MS SQL Server Management Studio）............ 错误！未定义书签。

5.7KVM运维审计 (38)

5.9Syslog日志输出 (41)

1现状分析

随着信息技术的飞速发展，网络信息应用无处不在。电子商务、电子政务、网上银行、信息高速公路等新兴生产、生活模式的出现不仅大大提高了我们的生产效率，而且对人类社会生活的影响已经上升到了生产关系和社会上层建筑的层面，人类社会开始真正进入信息社会。在各种网络信息应用中，服务器都充当了极其重要的角色，如何管理和维护好服务器，如何保证服务器的安全等就成了首先需要解决的问题。

面对系统和网络安全性、IT运维管理和IT内控外审的挑战，管理人员需要有效的技术手段，按照行业标准进行精确管理、事后追溯审计、实时监控和警报。如何提高系统运维管理水平，满足相关标准要求，防止黑客的入侵和恶意访问，跟踪服务器上用户行为，降低运维成本，提供控制和审计依据，已经成为越来越困扰这些企业的问题。

1.1关键服务器管理风险分析

关键服务器所面临的安全风险是多方面的，主要有以下几种现象值得关注：

对服务器构成的安全风险中，有近80%是发生在系统内部。

服务器的应用相当复杂，维护起来非常困难，当然服务器操作系统也是一样的复杂，配置和管理都需要充足的专业知识。而企业中众多的服务器管理人员的技术水平参差不齐，在管理和维护的过程中，难免会有不当的操作。或是给服务器的安全留下隐患，或是对服务器运行造成影响。更可怕的还有商业间谍可能伪装成第三方厂商维护人员，从而轻易的从系统内部窃取商业机密，给企业造成巨大的损失。

身份认证及授权使用问题。

不同级别、不同行业的众多管理人员，对于某些核心资源，如重要的应用系统及数据库系统，不同级别不同岗位的领导或管理员具有不同的访问权限，管理人员的身份越权或假冒将会造成非授权使用的问题，同时将给办公系统造成重大混乱和损失。

比如：由于生产的特殊性，常常需要用户具有ROOT账户权限。这就造成生产和管理的矛盾，临时ROOT权限分发可以解决ROOT权限生产问题，但是，这极大增大管理的复杂性和不安全性，稍有疏忽，就可能造成管理的混乱。不分发ROOT权限，可能导致生产

不能正常进行，至少影响生产效率。

分散的多点登录管理方式，无法准确的身份认证和授权控制。

多点登录的分散管理方式无法进行强有效的授权控制，致使用户的登录操作难以管理、难以审计。

有规范、规章制度，但没有相应的过程监控手段去监督。

虽然企业内部制定了一系列的操作规范和管理制度，但管理人员有没有严格地按照规范、规章去执行，我们无从知道。当发生安全事件时无法进行责任鉴定和事件追溯。

大型、异构的网络环境难于统一、准确的对用户的行为进行审计和控制。

企业因为业务发展需要，不断更新或升级网络，从而造成自身用户环境差异较大，整个网络系统平台参差不齐，在服务器端Unix/Linux和Windows操作系统共存形成异构网络，甚至于许多相异的网络设备都具有不同安全设置，而至今还没有一个即定的方法来解决这个问题。

黑客对服务器的攻击。

黑客攻击对服务器所造成的破坏往往是不可估量的。黑客为了炫耀其高超的技术，或是为了谋取不正当的利益，都会妨害服务器的正常运行，修改服务器配置，破坏服务器的数据，严重影响服务器的正常运行，给企业和部门造成重大影响。

木马、间谍窃取机密数据。

针对中国的网络间谍攻击正变得越来越多，中国的国家安全从来没有像现在这样与网络密切相关。目前境外有数万个木马控制端IP紧盯着中国大陆被控制的电脑，数千个僵尸网络控制服务器也针对着大陆地区，甚至有境外间谍机构设立数十个网络情报据点，疯狂采用“狼群战术”、“蛙跳攻击”等对我进行网络窃密和情报渗透。

中国是木马、间谍战的最大受害国。中国的互联网正处在一个普及阶段的大规模扩张时期，网络安全比较脆弱，安全意识淡薄，缺乏真正有效的安全管理手段。而且，网络管理、使用不规范，涉密电脑、非涉密电脑混杂使用，内部工作网和外网没有真正物理隔离，机密资料可以随意接触，随便使用，安全漏洞百出。

1.2关键服务器用户操作风险分析

UNIX/LINUX类字符操作系统，命令的复杂性、脚本的隐蔽性等等因素使的我们很难对用户的行为做有效的深层审计。

1）用户可能使用长命令、冷僻命令做一些非法操作，甚至将一些高危命令用alias命令以别名的方式去执行，刻意避开一些简单审计工具监控。

2）对于菜单式操作管理，由于技术上的难度，很少有审计工具可以做到完整的记录和操作过程日志的回放。比如：AIX 中SMITTY命令操作、INFORMIX DBACCESS数据库前端操作。

3）别有用心的用户，可能会将一些非法的命令操作编辑为shell脚本去执行，达到逃避监控的目的。

图形化界面中用户操作的不透明性，使得事后审计难以进行。

RDP、X11、VNC等远程图形化窗口操作的不透明性，使得审计人员无法准确的对管理人员操作的审计，从而，对资源的滥用和泄露机密信息，以及管理维护的误操作等问题的鉴定工作带来了很大的困难。

文件传输安全审计，是最让信息主管头疼的问题。

使用FTP、TFTP等工具进行的文件的上传、下载操作是最容易引发资料泄密的方式之一。如果使用加密方式的SFTP、SCP等命令更是无法进行有效审计。

服务器之间跳转嵌套登录操作。

当用户已经登录到一台服务器上操作之后，可能为了便捷不退出当前的系统而直接以SSH、RDP等方式跳转登录到另外一台服务器去做管理操作。

基于网络的IDS/IPS 开始成熟，可以对部分明文协议进行审计，但面对加密协议却无能为力。

为了远程管理和维护的可靠性，SSH、RDP(远程桌面的协议)等都是加密的通信协议，尤其是RDP（Remote Desktop Protocol远程桌面协议）作为Microsoft公司的自有协议，并未公开其协议内容。要审计这些加密的通信协议，还是要费一番功夫的。

1.3数据库运维风险分析

数据库身份管理、权限管理混乱，数据库业务账号与运维账号混乱，致使数据库敏感数据泄密事件时常发生。

业务系统用户常常通过数据库运维管理工具，直接登录数据库后台，查询、修改甚至下载数据库内数据，致使企业敏感数据时常外泄，给企业造成重大经济损失，有时甚至危害国家安全。

企业业务快速发展，企业数据库规模越发庞大，审计人为非法操作，堪比大海捞针。

由于业务系统也要对数据库进行大量正常的数据库协议访问，目前流行的数据库协议审计系统无法区分正常数据库业务行为和数据库人为运维行为，造成“噪音”过多，致使要审计的数据库非法操作行为，“淹没”在大量正常的业务数据库访问审计数据中，数据库审计系统形同虚设。

数据库后台运维手段多样，数据库人为非法操作既可以在数据库宿主系统上发生，也会通过数据库远程运维工具直接修改数据库数据发生，有时甚至可以通过业务系统后门或者业务系统设计缺陷发生，给数据库操作审计带来巨大难题。

数据库协议审计系统仅能部分解决数据库远程运维工具造成的运维风险，对数据库宿主机上发生的数据库直接修改行为，无能为力。

数据库中间件大量使用，给数据库行为审计“雪上加霜”。

数据库中间件通常采用固定的账号登录数据库，无法区分数据库操作行为真实操作者身份，操作者主体不明，针对数据操作者的行为审计和责任鉴定，也就失去了意义，没有任何价值。

1.4“人机”运维操作行为风险综合分析

按照人机操作行为划分，运维管理方式基本包含三大类：

1）控制台类：直接通过物理键盘、鼠标、监视器进行操作，控制台类人机行为控制可以通过KVM Over IP解决

2）远程终端访问类：通过TELNET、SSH、FTP、SFTP、RDP、VNC、X11远程登录

目标设备操作系统，在目标设备上，通过远程访问协议，操作目标设备

3）各种应用的B/S、C/S管理配置客户端，如针对ORACLE数据库，有SQLPLUS、TOAD、PL/SQL Development Tools、Oracle Enterprise Management Center等，针对INFORMIX，有DBACCESS等管理工具

企业应用的这些远程配置管理工具，可以直接远程登录应用，管理和配置应用，实现配置的远程修改及变更。但是运维管理的远程操作是把双刃剑，为我们工作带来便利、节省成本的同时，又隐藏着巨大的人为操作风险，越权操作、误操作、恶意操作时有发生。

如何提高系统运维管理水平，满足相关标准要求，跟踪主机设备、服务器、数据库等重要资源上用户操作行为，降低运维成本，提供控制和审计依据，实现运维操作的规范化管理及风险防范与规避，已经成为每一位企业管理者需要认真考虑和面临的管理上的问题。

2相关法规

由于服务器安全的重要性日益突出，其安全防护要求也越来越高；而现有的、传统的安全审计工具不论是在功能上、还是在可用性以及稳定性等方面均存在很多不足之处。与此同时，国际、国内的很多标准和规范要求组织对建设审计系统，并保证审计信息的安全性、完整性以及唯一性。

1、在CC标准（信息技术通用评估准则，Common Criteria for Information Technology Security Evaluation）中，安全审计是其安全功能要求中最重要的组成部分，同时也是信息系统安全体系中必备的一个措施，它是评判一个系统是否真正安全的重要尺码。

2、国际安全管理标准及最佳实践ISO27001:2005

条款A10.10.1要求组织必须记录用户访问、意外和信息安全事件的日志，并保留一定期限，以便为安全事件的调查和取证；

条款A10.10.4要求组织必须记录系统管理和维护人员的操作行为；

条款A15.1.3明确要求组织必须保护其信息系统中的运行记录；

条款A15.2.1则要求组织信息系统负责人（CIO）必须确保所有的安全程序和过程都在正确执行，以符合组织安全策略和标准的要求。

3、美国上市公司需要遵循的萨班斯法案（简称SOX法案，Sarbanes Oxley），其合规性要求建立严格、完整的企业内控体系，而从IT内控（或IT治理）的框架和技术要求来看，安全审计是内控体系中必不可少的环节。

图：1.0 SOX法案对公司不同部门的影响程度

4、国家颁布的安全等级保护技术要求中明确规定，第二级（指导保护级）以及以上级的信息系统中必须记录并保存的各种访问日志：

网络（网络安全审计8.1.2.4）

主机（安全审计8.1.3.3）

应用（安全审计8.1.4.3）

从上述标准和规范要求中可以看出，组织必须要建立完备、有效和可靠的安全审计系统，以通过技术手段来验证其内部人员的行为是否符合其安全策略和标准的要求，辅助实现其IT内控和风险管理的业务目标。从安全审计的范畴来看，数据库安全审计和应用审计是密不可分的，而且是安全审计中其最核心、最重要的一个部分。

3部署方式

3.1物理部署图

运维用户

3.2逻辑部署图

4建设目标

4A管理平台的建设目的是将业务支撑系统中的帐号（Account）管理、认证（Authentication）管理、授权(Authorization)管理和安全审计(Audit) 整合成集中、统一的系统，简称4A管理平台。

提供统一的基础安全服务技术架构，使新的应用可以很容易的集成到4A管理平台中。通过该平台对业务支撑系统各种IT资源（包括应用和系统）进行集中管理，为各个业务系统提供集中4A安全服务，提升业务支撑系统安全性和管理能力。

4A管理平台的主要目标如下：

●实现对业务支撑系统系统、以及操作系统、数据库、网络设备等各种IT资源的帐

号、认证、授权和审计的集中控制和管理。有效地保障业务支撑系统安全可靠地

运行。为业务支撑系统提供机制统一、多样化的认证与授权安全服务，实现平滑过

渡并实现与其他4A管理平台之间的数据交互。

●实现集中化、基于角色的的主从帐号管理，实现角色属性级别的细粒度权限分配

和管理。自然人与其拥有的主帐号关联，统一规划用户身份信息和角色，对不同系

统中的帐号进行创建、分配、同步，最终建立业务支撑系统中自然人的单一视图（主

帐号管理）、建立业务支撑系统中资源的单一视图（从帐号管理）。

●实现集中化的身份认证和访问入口。根据安全需要选择不同的身份认证方式，在

不更改或只对应用进行有限更改的情况下，即可在原来只有弱身份认证手段的应用

上，增加强身份认证手段。最终实现认证手段和应用的相对隔离和灵活使用。

●实现集中访问授权，基于集中管控安全策略的访问控制和角色的授权管理。对用

户使用业务支撑系统中资源的具体情况进行合理分配，实现不同用户对不同部分实

体资源的访问。最终建立完善的资源对自然人的授权管理。

●实现集中安全审计管理，收集、记录用户对业务支撑系统关键重要资源的使用情

况。便于统计自然人对资源的访问情况，在出现安全事故时，可以责任追踪。对人

员的登录过程、操作行为进行审计和处理。最终建立完善针对“自然人→资源”访

问过程的完整审计。

5解决方案

5.1身份管理

建立基于每位自然人对应一个主账号的身份管理体系，是整个安全审计系统的基石。“自然人——账号”对应模型能将审计日志与操作人员准确关联。在此基础上，还会面临两个问题：

1）如何体现自然人的不同角色。

自然人由于岗位、职务的不同，在整个安全审计体系中居于不同的角色地位。例如，对于整个安全审计系统，需要有一位（或多位）资源管理者，他（们）负责系统中资源权限的发布、授权。

2）如何与IT环境中已有身份认证系统的整合。

身份管理不仅是安全审计系统的基石，也是整个IT设施的基石。在广东电网IT建设过程中，身份认证系统已经先期建立起来，如基于Windows系统的AD域认证，Radius认证，PKI认证等。IT运维审计系统作为整个IT体系建设中重要一环，应当支持与原有的认证系统无缝结合。

5.1.1用户分级

针对问题一，帕拉迪4A系统在系统层面将自然人账号划分为六大类角色，如下表所示。

通过上述用户角色的划分，避免了权限过分集中以及由此引起的安全隐患的集中，也使安全审计的管理更加合规、合理、可行。

5.1.2身份认证

帕拉迪4A系统内部采用高度灵活的体系架构，具备极强的可扩展性。在身份认证功能模块，即可以本地身份认证，也支持外部认证方式。目前已支持的外部认证方式包括：windows系统AD域认证，Radius认证，PKI认证。完全满足广东电力公司的系统整合要求。

5.2账号管理

账号管理与单点登录是安全审计系统的必要功能，在实际的用户环境中有以下问题需要特别考虑：

其一：资源账号的集中管理和分散管理，两种管理模式如何共存。

资源账号的集中管理，是指普通用户可用的运维资源账号，由资产管理员统一进行授权，由密码管理员统一进行密码管理，普通运维用户本人不掌握资源账号的密码，当其需要登录资源进行运维操作时，由系统为其进行单点登录。分散管理模式，是由普通运维人员本人直接掌握资源账号密码，当其需要登录资源时再次输入账号密码。在实际IT环境中，对关键业务系统的账号，基于分散安全风险的角度考虑，可能采用分散管理模式；对其他周边支撑

系统的账号，基于易用性考虑，可能采用集中管理模式。

其二：数据库运维，账号密码被记录如何解决。

数据库运维单点登录功能对数据库审计的整体功能有重大影响。一般安全审计产品，都会对图形界面提供键盘记录功能。如果产品不支持单点登录，首先，则无法支持账号的集中管理；另一方面，用户打开数据库客户端需手动配置数据库连接字符串，包括手工输入数据库用户名、密码等，此时键盘记录功能将会记录用户的账号信息，当审计管理员审阅审计日志时，就造成了账号泄露。

其三：特殊账号的单点登录如何实现。

除了一般的“用户名-密码”对形式的普通账号，还存在各种特殊特殊账号。例如，交换机设备广泛存在的Enable账号，它是交换机的特权账号，但是使用它无法直接登录设备，只能使用一般账号登录后再转换到enable账号。还有一些网络设备无需输入账号即可登录。

5.2.1统一账号管理模式

帕拉迪4A系统总结多年安全审计项目经验，实现了一套创新的账号管理模式（帕拉迪统一账号管理），其具有如下特点：

统一了集中管理模式与分散管理模式。对任意资产，可以使用任意一种管理模式，或两种模式的组合。提供了极大的管理灵活性。

产品的内部实现统一采用单点登录方式。无论是账号集中管理还是分散管理模式，当用户登录目标资产时，在系统内部统一采用单点登录方式。这种内部实现方式统一了用户使用方式，简化了系统实现复杂度，也在系统架构层面解决了上述提出的问题二。

帕拉迪统一账号管理的核心（用户界面）是“unused”特殊标识账号。当在帕拉迪4A 系统界面配置资源账号时，如果某资产需要用户自己输入“用户名——密码”，则只需在资产账号设置页面将用户名与密码都设置为“unused”特殊标识即可。如下图所示：

当运维用户登录后，即可看到一条对应的运维资产记录。如下图：

用户点击运维按钮后，系统弹出一个对话框，提示用户输入资产用户名和密码。如下图。

系统随后执行统一单点登录过程，直接登录目标系统。用户无需在数据库客户端作任何