信息系統(tǒng)特權(quán)賬號(hào)管控與審計(jì)建設(shè)

摘 要：隨著企業(yè)對(duì)信息系統(tǒng)依賴程度越來越高，導(dǎo)致系統(tǒng)出現(xiàn)了大量特權(quán)賬號(hào)。特權(quán)賬號(hào)，泛指具有高級(jí)別權(quán)限的賬號(hào)，如系統(tǒng)管理賬號(hào)、權(quán)限分配賬號(hào)、數(shù)據(jù)備份賬號(hào)等。特權(quán)賬號(hào)猶如通向信息系統(tǒng)大門的“鑰匙”，對(duì)這些特權(quán)賬號(hào)的管理，是信息系統(tǒng)安全管理的前提，顯得越來越重要。

關(guān)鍵詞：信息系統(tǒng)；特權(quán)賬號(hào)；管控與審計(jì)；密碼管理

中圖分類號(hào)：TP315 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1674-7712 （2014） 04-0000-01

一、背景

近幾年來，國(guó)內(nèi)、國(guó)際很多標(biāo)準(zhǔn)和規(guī)范要求組織建設(shè)審計(jì)系統(tǒng)，并保證審計(jì)信息的安全性、完整性及唯一性。如國(guó)家等級(jí)保護(hù)技術(shù)要求中明確規(guī)定，第二級(jí)及以上信息系統(tǒng)必須記錄并保存各種訪問日志；國(guó)際安全管理標(biāo)準(zhǔn)及最佳實(shí)踐ISO27001：2005及美國(guó)SOX法案，都要求建立嚴(yán)格、完整的企業(yè)內(nèi)控體系；而從IT內(nèi)控（或IT治理）的框架和技術(shù)要求來看，安全審計(jì)也是內(nèi)控體系中必不可少的環(huán)節(jié)。

上述標(biāo)準(zhǔn)和規(guī)范要求中可以看出，組織必須要建立完備、有效和可靠的安全審計(jì)系統(tǒng)，輔助實(shí)現(xiàn)其IT內(nèi)控和風(fēng)險(xiǎn)管理的業(yè)務(wù)目標(biāo)。相關(guān)標(biāo)準(zhǔn)、政策的陸續(xù)出臺(tái)，推動(dòng)了“特權(quán)賬號(hào)”管控與審計(jì)系統(tǒng)的快速發(fā)展。

為領(lǐng)先市場(chǎng)、把握先機(jī)，集團(tuán)啟動(dòng)了“云計(jì)算關(guān)鍵技術(shù)研究及產(chǎn)業(yè)化”項(xiàng)目，旨在推動(dòng)和加快“云計(jì)算”在集團(tuán)的落地。項(xiàng)目共包含基礎(chǔ)架構(gòu)研究、SaaS架構(gòu)研究、云計(jì)算安全建設(shè)等9個(gè)子項(xiàng)，本審計(jì)系統(tǒng)建設(shè)隸屬于云計(jì)算安全建設(shè)子項(xiàng)，成為該子項(xiàng)的一個(gè)重要組成部分。

二、目標(biāo)

作為云計(jì)算信息安全建設(shè)子項(xiàng)的一個(gè)重要組成部分，特權(quán)賬號(hào)管控與審計(jì)系統(tǒng)建成后，為云計(jì)算中心所有管理員/運(yùn)維人員賬號(hào)（涵蓋各應(yīng)用系統(tǒng)、主機(jī)系統(tǒng)、網(wǎng)絡(luò)安全等系統(tǒng)）提供統(tǒng)一賬號(hào)、統(tǒng)一認(rèn)證、統(tǒng)一授權(quán)及統(tǒng)一審計(jì)管理服務(wù)，為整體信息安全建設(shè)提供有力的支撐。

三、現(xiàn)狀分析

目前，云計(jì)算中心各管理員/運(yùn)維人員通過紙質(zhì)或電子表格記錄等方式自行保管系統(tǒng)賬號(hào)及口令信息，每人維護(hù)多個(gè)系統(tǒng)，賬號(hào)及口令管理“分散”。隨著運(yùn)維系統(tǒng)數(shù)量不斷增多，這種“分散”的管理方式，存在如下諸多問題：

（1）針對(duì)系統(tǒng)的訪問授權(quán)由系統(tǒng)管理員自行負(fù)責(zé)，一般都難于審計(jì)和約束；加之賬號(hào)密碼更新周期長(zhǎng)，使得對(duì)系統(tǒng)的訪問授權(quán)變得更難于管理；

（2）系統(tǒng)管理員負(fù)責(zé)對(duì)他所管理的系統(tǒng)的訪問進(jìn)行授權(quán)，但是，通常管理員沒有足夠精力對(duì)系統(tǒng)的訪問進(jìn)行嚴(yán)格審計(jì)；

（3）系統(tǒng)密碼的設(shè)置、存儲(chǔ)、更改由系統(tǒng)管理員負(fù)責(zé)，很難確保密碼的安全存儲(chǔ)，同時(shí)很難做到釋放密碼后適時(shí)更改。

四、建設(shè)方案概述

為解決上述問題，設(shè)計(jì)在云計(jì)算中心部署特權(quán)賬號(hào)管控與審計(jì)系統(tǒng)，該系統(tǒng)由審計(jì)中心和應(yīng)用托管中心兩部分組成。審計(jì)中心負(fù)責(zé)“統(tǒng)一賬戶、統(tǒng)一認(rèn)證、統(tǒng)一授權(quán)”管理，實(shí)現(xiàn)所有操作賬號(hào)集中管理，同時(shí)把操作人員與被管資產(chǎn)賬號(hào)關(guān)聯(lián)，實(shí)現(xiàn)“統(tǒng)一授權(quán)”功能。而在應(yīng)用發(fā)布中心，安裝常用的第三方管理客戶端，如mputty、Toad4DB2等客戶端軟件，以實(shí)現(xiàn)針對(duì)C/S客戶端應(yīng)用的審計(jì)需求。

本方案設(shè)計(jì)在云中心部署兩套特權(quán)賬號(hào)管控與審計(jì)平臺(tái)，平臺(tái)采用冗余架構(gòu)設(shè)計(jì)，用于對(duì)云計(jì)算中心各類主機(jī)、網(wǎng)絡(luò)、安全等設(shè)備提供統(tǒng)一入口，實(shí)現(xiàn)授權(quán)管理和操作審計(jì)功能。

五、角色和權(quán)限規(guī)劃

特權(quán)賬號(hào)管控與審計(jì)系統(tǒng)包含一個(gè)超級(jí)管理員，它具有最高的管理權(quán)限。通過該賬號(hào)創(chuàng)建系統(tǒng)密碼管理員、審計(jì)員及組管理員。組管理員包括網(wǎng)絡(luò)組、主機(jī)組、安全組管理員等，各組管理員自行管理本組內(nèi)密碼管理員、審計(jì)員及運(yùn)維人員，根據(jù)具體應(yīng)用需求授予運(yùn)維人員不同權(quán)限。

（一）應(yīng)用發(fā)布設(shè)計(jì)

特權(quán)賬號(hào)管控與審計(jì)系統(tǒng)中第三方應(yīng)用由應(yīng)用發(fā)布中心（AppBox）統(tǒng)一管理，通過設(shè)置發(fā)布中心相應(yīng)配置文件，來提供所需的第三方應(yīng)用，如RDP、IE、Toad等。

（二）信息存儲(chǔ)策略

特權(quán)賬號(hào)管控與審計(jì)系統(tǒng)的審計(jì)信息保存在系統(tǒng)自身硬盤中，審計(jì)信息保存時(shí)間為半年。根據(jù)信息存儲(chǔ)容量需要，可配置大容量外接網(wǎng)絡(luò)存儲(chǔ)，以滿足審計(jì)信息量不斷增加的需求。

（三）主要功能實(shí)現(xiàn)

統(tǒng)一賬號(hào)管理：為各租戶操作人員配置賬號(hào)，每個(gè)租戶相關(guān)賬號(hào)設(shè)置一個(gè)用戶組，每個(gè)用戶組創(chuàng)建一個(gè)組管理員賬戶，便于管理本組內(nèi)賬戶操作。

統(tǒng)一認(rèn)證管理：支持本地認(rèn)證、Radius認(rèn)證、LDAP及證書認(rèn)證方式，鑒別信息以加密方式存儲(chǔ)在本地?cái)?shù)據(jù)庫中，后期可結(jié)合數(shù)字證書以滿足“雙因素”認(rèn)證要求。

統(tǒng)一授權(quán)管理：訪問控制策略由“允許賬號(hào)、目標(biāo)主機(jī)、目標(biāo)賬號(hào)、目標(biāo)應(yīng)用”四個(gè)層面組成，通過建立各管理賬號(hào)與目標(biāo)主機(jī)的關(guān)聯(lián)關(guān)系，來實(shí)現(xiàn)細(xì)粒度的訪問控制。

統(tǒng)一審計(jì)管理：平臺(tái)審計(jì)內(nèi)容包含字符類、圖形類、數(shù)據(jù)庫等，通過歷史記錄查詢、指令查看、過程回放等功能，對(duì)所有賬號(hào)的操作行為做統(tǒng)一管理和審計(jì)。

六、結(jié)束語

特權(quán)賬號(hào)管控與審計(jì)系統(tǒng)在云計(jì)算中心成功部署后，經(jīng)過1年多的不間斷運(yùn)行，從系統(tǒng)穩(wěn)定性、可用性及安全性等方面均收到良好的實(shí)施效果，主要體現(xiàn)在如下幾個(gè)方面：

操作規(guī)范方面：對(duì)云計(jì)算中心資產(chǎn)管理操作均通過云中心管理專網(wǎng)訪問，賬號(hào)及訪問權(quán)限集中控制，實(shí)現(xiàn)操作的規(guī)范化管理。

法律/法規(guī)的合規(guī)性要求方面：使公司的內(nèi)控與審計(jì)體系更加完善，為公司順利通過IT年審及第三方審計(jì)提供有力保障。

降低資源操作風(fēng)險(xiǎn)方面：最大程度的杜絕了操作人員對(duì)特權(quán)賬號(hào)的誤操作、越權(quán)及濫操作行為對(duì)系統(tǒng)造成的數(shù)據(jù)破壞。

行為追溯及責(zé)任認(rèn)定方面：審計(jì)平臺(tái)能詳細(xì)記錄所有的操作行為，并能通過錄像方式回放查看，能提供精確的責(zé)任鑒定和事件追溯。

參考文獻(xiàn)：

[1][美]斯穆特等著，潘怡譯.私有云計(jì)算：整合、虛擬化和面向服務(wù)的基礎(chǔ)設(shè)施[M].北京：機(jī)械工業(yè)出版社，2013.

[2]楊文志.云計(jì)算技術(shù)指南：應(yīng)用、平臺(tái)與架構(gòu)[M].北京：化學(xué)工業(yè)出版社，2010.

[3][美]Ronald L.Krutz Russell Dean Vines.云計(jì)算安全指南[M].北京：人民郵電出版社，2013.

[4]《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（GB/T 22239-2008）.