財政信息系統４Ａ安全管理平臺的構建

燕　霞

背景分析

隨著財政信息化建設的不斷推進，財政業務系統日益增多，信息網絡日漸龐大。大部分財政部門都建立了預算執行、非稅收入、建設資金管理、辦公自動化等10多套應用系統。這些業務系統彼此之間各自相對獨立，數據分散。使用多個業務系統的用戶需要頻繁地在不同系統間來回切換、登錄，既降低了工作效率，又缺乏統一的安全管理，容易產生嚴重的安全漏洞。目前存在的主要問題有：

（1）缺乏安全可靠的用戶身份認證。由于財政信息系統的數據具有較高的保密要求，目前我局信息系統基本是采用用戶名/口令的身份認證方式，一方面安全性較低，另一方面無法在傳輸前確認信息收發雙方身份的真實性和可靠性，無法滿足對身份認證的高可靠性要求。

（2）缺乏統一的用戶身份認證及單點登錄平臺。出于安全考慮，每個用戶使用不同業務系統分別使用不同密碼，且每個密碼可能會不定期更換，以防止被破解。一方面，用戶記憶和保管如此繁多復雜的密碼非常麻煩，另一方面，對于經常發生的用戶權限變更和密碼丟失事件，更是需要系統管理員耗費大量時間處理。

（3）缺乏集中統一的用戶信息管理和資源訪問授權機制。各業務系統內用戶信息和權限管理機制各自為政、復雜凌亂，管理員無法集中管理用戶信息和訪問權限，維護效率低下。

（4）缺乏完善的安全審計機制。涉及資金流轉的業務系統需要對數據庫訪問日志進行記錄和審計，以保證出現問題時能通過對日志記錄的查詢、分析及相關審計操作追蹤到問題的根源所在。

為了切實解決上述問題，迫切需要部署一套可靠、高效的安全管理平臺，以提高財政信息網絡和電子政務應用的安全，有效保障財政資金的“安全、高效、協調”運行。

設計目標

通過分階段部署，最終實現集中賬號（Accounting）管理、統一認證（Authentication）管理、集中授權（Authorization）管理以及集中安全審計（Audit）管理——即4A平臺的構建。

（1）一次登錄，所有登錄：實現多系統、多數據庫的單點登錄。

（2）采用數字證書認證方式，提供集中身份認證功能，實現可靠的用戶統一身份認證。構建信息加密通道，確保信息傳輸的安全。

（3）實現用戶信息與后臺各應用系統的自動同步和集中的用戶權限管理。對用戶權限進行粗粒度控制，實現到角色級別的訪問控制。

（4）全面、準確的日志審計，審計結果可以多種圖表形式展現。

（5）支持所有的業務系統、平臺，且對原有系統的改動盡可能少，并對日后新系統的加入有較好地擴展性。

系統總體設計

根據建設目標，我局采用了國富安GFA SSO產品為基礎的4A安全平臺解決方案。GFA SSO產品由智能口令、SSO門戶、WEB過濾器、認證服務器、授權服務器組成，實現信息系統單點登錄、統一認證、用戶信息和權限與應用系統同步和管理等功能。

（1）智能口令程序安裝在每一臺需要SSO服務的客戶機上，系統以服務的形式運行，幫助用戶自動完成對B/S、C/S系統的登錄過程。智能口令程序向認證服務器核對用戶信息，認證成功后返回結果。用戶僅需要登錄智能口令軟件一次，就可實現對已授權資源的任意訪問。

（2）SSO門戶主要是對B/S結構的應用系統進行單點登錄支持。用戶在訪問應用系統時，首先登錄門戶系統，由門戶簽發票據完成身份識別解析。

（3）Web過濾器是通過Web服務器內部的過濾器機制實現SSO功能的一種方式。過濾器能夠對系統訪問進行安全性檢查，判斷用戶登錄狀態，完成用戶訪問信息的審計，對關鍵敏感資源的訪問提供必要的保護。

（4）認證服務器為單點登錄門戶系統和智能口令客戶端提供用戶身份認證支持。認證通過后為用戶簽發用戶信息票據，作為系統識別用戶的標識。同時支持帳號同步功能，可方便的將各業務系統中的帳號信息同步到單點登錄數據庫系統中。

（5）授權管理服務器主要對GFA SSO產品進行以WEB方式進行的系統管理，包括對用戶主帳號的設立、用戶主帳號與系統從帳號間的對應、用戶權限分配等。

4A安全管理平臺主要包括四個子系統模塊：認證服務、權限管理、安全審計和用戶信息管理。系統總體結構如圖1所示。

1、 認證服務子系統

認證服務子系統提供用戶身份認證的相關功能，其功能模塊結構圖如圖2所示。

2、權限管理子系統

權限管理子系統采用基于角色的訪問控制方法實現用戶與訪問權限的邏輯分離，對用戶使用信息系統資源的具體情況進行合理分配，實現不同用戶對系統不同資源的訪問控制，以改善現有應用系統因角色眾多且權限各不相同而帶來的用戶使用復雜度較高、系統安全管理難度大等難題。

權限管理子系統的功能模塊如圖3所示。

3、安全審計子系統

安全審計系統提供全面、集中的安全審計功能，能及時發現非法登錄和非法操作，對非法登錄和非法操作快速分析、定位和響應，實現系統內部的集中安全審計功能，包括安全審計自動響應、安全審計數據生成及安全審計瀏覽三個方面。系統功能模塊如圖4所示。

其中日志記錄模塊完成對身份認證、權限管理、賬號管理的日志進行記錄；審計分析模塊完成對日志記錄進行審計和分析，并對非法操作及異常情況發送警報；審計報告模塊可隨時捕獲和查看有關用戶的重要訪問信息和統計信息；系統管理模塊負責對安全審計子系統進行管理和維護。

4、用戶信息管理子系統

用戶信息管理子系統主要對所有用戶信息和登錄會話信息進行統一保存管理，包括所有關于用戶、組、資源、應用、登錄參數和訪問控制規則等信息。

總之，4A安全管理平臺系統的主要優點是：

（1）一次登錄即可安全訪問所有有權訪問的信息系統。

（2）基于數字證書的身份認證，可確保用戶身份的安全。

（3）根據用戶身份信息，自動完成各系統的權限分配。

（4）全面、精確地記錄日志，可按日期、地址、用戶、資源等信息對日志進行查詢、統計和分析。

（5）與用戶采用的數字證書無縫集成，具有標準性、安全性、穩定性、可擴展性高的特點。

（6）系統維護管理快速、高效，安全度大大增強。

我們通過部署4A安全管理平臺，將所有用戶信息都集中到安全管理中心，由安全管理中心自動完成復雜的身份驗證與權限分配過程，實現統一環境的單點登錄。用戶擺脫了過去記憶復雜密碼的煩惱，同時可以有效解決身份識別、權限控制、安全審計和單點登錄等安全訪問問題，我局信息系統的整體安全水平得到大幅提高。該系統的實施經驗對加強各政府部門及企業的信息系統的安全高效管理都具有借鑒意義。

(作者單位：無錫市財政局信息中心)