基于B/S架構的電力信息設備檢修審計系統設計

王天軍++朱凱進++梁軍士

摘 要 本文設計一款基于B/S架構的電力信息設備檢修審計系統，通過對檢修操作人員的權限配置管理、檢修過程中的危險操作命令監控、檢修全過程記錄回放，設備登陸信息審計等過程進行全面監控，實現檢修全過程管理。

【關鍵詞】信息設備 檢修 審計系統

1 引言

隨著電力信息化應用的不斷深入發展，內部網絡的覆蓋面越來越廣、業務應用復雜，涉及的用戶數量和業務部門眾多，特別是近年來內網安全事件逐漸增多，不但需要從監測、預警、防護的角度采取措施，還需要采取信息安全審計措施，實現對內網業務與系統用戶的運行操作進行全面的記錄與分析管理，確保滿足等級保護對安全審計的要求，實現對內部用戶違規行為的威懾。確保內部網絡與信息系統的安全穩定運行已成為信息安全保障的重要工作內容。

2 系統功能結構

本設計自下而上，由字符串、圖形終端、文件傳輸審計層，數據接口層、數據采集層、數據分析層、和展現層構成。運維管理人員通過審計平臺，實現對檢修操作設備的臺賬維護和訪問權限管理、檢修違規命令阻斷策略的設置、檢修管理人員可操作對象及操作權限的配置。檢修操作人員智能在特定的檢修計劃時間內登陸審計系統，對已授權設備進行檢修工作。各類操作審計數據通過數據采集層接口，傳送到審計系統進行審計操作分析和判斷。對違規操作進行阻斷和告警。運維管理人員可通過審計平臺實時監控檢修操作，如發現非法操作可立即進行阻斷。

3 系統功能原理

審計系統管理員針對不同設備進行IP地址，訪問協議，訪問方式、訪問賬號口令進行配置，并已加密方式進行存儲。針對不同操作員配置可訪問主機列表和可訪問時間。檢修操作人員通過瀏覽器登陸檢修審計系統，通過系統發送訪問請求，審計系統通過調用不同訪問協議完成訪問不同設備和操作。常用協議有：字符終端的操作類型Telnet、SSH；圖形終端的測試類型RDP、VNC、X11；文件傳輸類型SFTP、FTP。

3.1 操作授權安全設計

本設計采用集中式用戶身份認證和支持以設備組、用戶組方式進行批量授權向結合的用戶認證和操作范圍授權模式。提供用戶身份的集中管理功能，系統確定用戶唯一身份，建立基于每位自然人對應一個主賬號的身份管理體系， “自然人—賬號”對應模型能將審計日志與操作人員準確關聯，并實現配置管理賬號與業務操作賬號權限完全分離，防止管理員進行設備操作，加強系統安全性和審計合規性。用戶賬號生命周期管理，支持用戶狀態管理可設置用戶賬號有效期限。同時采用開放靈活、可擴展的認證體系結構，支持本地靜態口令認證，及外部第三方認證機制：Radius、動態令牌卡、AD域。可支持本地靜態口令認證和第三方認證混合使用。

操作訪問控制可通過[用戶]、[用戶組]、[設備IP]、[登錄IP]、[設備賬號]、[目標端口]、[日期]、[時間]的任意邏輯組合設置訪問控制策略，可提供對目標主機的訪問操作行為的控制（允許登錄和禁止登錄），實現單用戶對多設備、用戶組對多設備等多種操作授權方式管理，方便檢修管理人員針對檢修特點靈活進行設備訪問授權。同時支持命令集的配置還支持以“命令”方式或“參數”方式，命令模式準確匹配命令行為，對輸入的命令進行匹配，參數模式屬于模糊匹配，對輸入的參數和命令都進行匹配。。每一條安全策略，對于所選的命令集，可選“接受”“警告”“拒絕”三種動作方式：“接受”允許執行命令集中的命令；“警告”不允許執行命令集中的命令，并實施提示信息；“拒絕”不允許執行命令集中的命令，并斷開用戶與設備連接。

3.2 協議代理模塊設計

協議代理本模塊是運維安全審計系統的核心模塊，它提供了各個協議的代理功能。在堡壘機處向前臺提供服務器功能，向后臺提供客戶端功能，從而使數據從前臺流向后臺運維服務器，而且起到了監控、審計的功能。

協議代理模塊通過使用代理轉發技術，實現任何協議會話數據的記錄、轉發、回放、監控等功能。首先代理調用連接控制與認證模塊驗證客戶端身份，通過身份驗證之后，認證模塊會返回實際運維設備的登錄名和密碼，由協議客戶端單元發起對實際運維設備的會話請求。協議運維會話數據的記錄和解析是由數據處理單元實現。一方面轉發數據包，另一方面將數據寫入共享緩沖區，以便把數據記錄下來實現完整記錄運維人員的操作過程，包括執行的有效命令以及相應的結果等。如果當前會話正接受管理人員的監控，代理模塊會接收到監控模塊發來的消息。這時共享數據區會將相應會話的數據包發送給監控模塊，并由該模塊將數據發往客戶端監控插件進行展示，從而實現任何協議會話的實時監控功能。協議代理模塊能夠接受管理模塊發送的消息，在任意時刻，監控人員都可以主動切斷運維人員的任何協議運維會話，有效防止非法操作的發生。

3.3 回放功能

本文設計的審計系統不只是簡單的錄像功能，而是通過協議轉換傳遞過程，實現對字符、文件傳輸等所有命令進行深度協議解析，包括輸入命令和返回結果分離，操作錄像的快速定位，文件傳輸內容的備份。命令捕獲和識別不受用戶使用的字符終端屬性影響，支持任何終端屬性下命令實時識別和命令捕獲。能夠自動捕獲和識別用戶輸入命令，擺脫單純鍵盤監控和捕獲機制，真正做到語義級別的用戶命令智能捕獲。同時能夠對圖形操作的子通道（剪貼板、磁盤映射、打印機映射、智能卡映射）進行控制授權，對用戶對其管轄的設備是否開放子通道功能進行控制。同時將運維操作數據分為字符操作、圖形操作、文件傳輸操作針對對每種不同的協議進行分類存儲，字符操作存儲為文本信息，文件傳輸操作存儲為文本信息和文件備份，圖形操作存儲為流數據。通過對數據的分類存儲，能夠在查看審計日志時快速定位日志類型，方便審計日志查詢和事件定位。

4 結論

經測試驗證，本文設計的檢修審計系統可支持Telnet、SSH終端命令操作， Windows 圖形： RDP、VNC、pcAnywhere、DameWare 等；Unix/Linux 圖形：VNC；文件上傳和下載： FTP、SFTP；基于 BS 的管理操作：Http、Https；數據庫管理工具：SQLPlus 等所有工具。所有的操作轉換為圖形化界面予以展現，100%審計信息不丟失，具有完善的字符分析系統，包括命令行操作的命令以及回顯信息和非字符型操作時鍵盤、鼠標的敲擊信息。可實時查看字符終端、圖形終端、文件傳輸等操作行為，并對非法操作進行強行切斷，并形成告警信息。

作者單位

國網新疆電力公司信息通信公司 新疆維吾爾族自治區烏魯木齊市 830002endprint