業務系統安全接入策略管控研究

吳飛

【摘要】 隨著我國信息技術的快速發展，企業業務系統也在逐漸的發展和完善。而業務系統集 中了企業大量的運營信息和生產數據，是企業業務發展的基礎。本文就結合國網福建省電力公司主要業務系統的構成特點，設計出了一種適合于該公司業務系統的安全接入監測解決方案。為實現對信息內網中業務系統的違規接入行為進行告警。有效的加強安全接入管控，確保了企業業務平穩有序的進行下去。

【關鍵詞】 安全接入 違規告警 管控

隨著信息技術的快速發展，企業業務系統也逐漸朝著信息化和智能化的方向發展，并成為一種必然的趨勢。當前，國網福建省電力公司建設“三集五大”體系，是公司實現“兩個轉變”、創建“兩個一流”的重大戰略舉措，根據公司“三集五大”體系建設總體實施方案，需要實現信息系統的集約管理、統一運維，保障信息系統對公司“三集五大”業務的有力支撐和保障。因此，需要公司全面清理地市單位自建信息系統，逐步消除業務功能的重復建設、數據重復錄入和線下操作，確保數據唯一性、準確性。

為解決公司信息系統接入管理中存在的問題，結合公司現有的應用系統接入現狀、用戶接入需求，提出信息系統安全接入監測管理平臺的建設目標：建立電子化工作流程，規范公司信息系統上下線及系統檢修過程。通過技術手段，實時監測信息內網中應用系統的運行情況，結合系統的上下線審批信息、檢修工作信息及時識別信息內網中業務系統的違規接入行為并進行告警，最終達到對信息系統接入的統一管理，保證公司業務應用、數據的一致性和準確性。

一、業務系統的設計思想

1.1 系統設計原理

業務系統的非法安裝和部署是公司業務系統管理面臨的重要問題，在制定信息系統上下線、檢修審批等規范流程的基礎上，更需要通過技術手段對制度、規范進行支撐，業務系統安全接入監測管理平臺通過對違規部署系統、違規部署應用工程、違規新增數據庫表等常見違規類型的監測來實現業務系統接入監測的落地。

（1）違規部署系統。違規部署系統是指未經許可在信息網內接入新的主機進行應用系統的部署，或在合法接入信息網絡的主機上部署一套應用系統，形成新的業務系統。（2）違規部署應用工程。違規部署應用工程是指未經許可在某個合法的系統應用工程中再單獨部署一套應用工程，從而實現單獨的系統功能或模塊。（3）違規新增數據庫表。違規新增數據庫表是指在某個合法的數據庫系統中新增未經許可的數據庫實例、數據用戶和數據庫表，為新的業務應用或功能提供數據存儲。

公司已經部署了信息系統綜合網管系統，實現了業務系統各組成要素如主機狀態、進程、數據表空間、應用服務器運行情況的監測。因此，本次系統監測方式設計，只需要在此基礎上，梳理業務系統與主機、數據庫、應用服務器之間的關系，通過業務系統依賴的主機、應用服務器、數據庫進行違規部署、違規應用部署、違規新增數據庫表的監測從而完成對業務系統非法接入的監測。

1.2 系統工作機制

業務系統（見圖1）主要監測信息網內網絡內核心IP地址、業務系統所依賴的主機、應用服務器（Weblogic、Websphere、Tomcat等）、數據庫來進行業務系統接入的判斷。主要工作機制如下：（1）建立主機網段合法接入IP地址清單，定期監測主機網段內IP地址的變化情況，對于新增IP且不包含在合法接入IP地址清單中的IP地址，說明信息網內有新的主機接入，存在新建業務系統的可能而進行告警。（2）建立信息網內應用系統工程、中間件主機進程清單，定期監測信息網內主機的進程信息，對于主機中出現的新增進程，且包含在進程清單中，說明在主機上存在業務系統的安裝。判斷該進程信息是否經過許可，如果未經許可則進行告警，反之不告警。（3）建立信息網內數據實例、用戶名、表空間信息清單，定期監測數據庫的運行狀態，對于數據庫中出現的新增實例、或新增用戶、新增數據庫表，且這些信息不包含在數據庫實例、用戶名、表空間清單中，說明該數據庫存在新業務應用或業務功能的增加，判斷該新增實例、用戶、數據庫表是否經過許可，如果未經許可則進行告警，反之不告警。（4）建立信息網內應用服務器（Weblogic、Websphere、Tomcat）工程名稱、數量清單，定期監測信息網內應用服務器運行狀態，對于應用服務器中出現的新增工程名，且不包含在工程名清單中，說明該應用服務器中存在業務系統的安裝。判斷該進程信息是否經過許可，如果未經許可則進行告警，反之不告警。

二、系統總體架構設計

平臺主要用戶為地市公司運維人員、信通公司運維人員、電科院督查人員、科信部管理人員。地市公司運維管理人員、信通公司運維人員是系統的主要用戶，使用系統對本單位的業務系統接入情況進行檢查和管理。電科院督查人員負責業務系統違規接入信息的督查和違規處理審核工作?？菩挪抗芾砣藛T通過系統對業務系統安全接入業務進行管理和指導。

平臺分為9個業務模塊來實現業務系統的實時監測，主要有違規IP監測、主機進程監測、應用服務監測、數據庫表監測、違規接入告警、違規分析、系統臺賬管理、業務系統注冊審批管理、數據采集管理功能。平臺通過SNMP、SSH、JMX、JDBC等協議實現對業務系統所依賴的網絡IP地址、主機進程、應用服務、數據表的監測。平臺從公司信息系統綜合監管系統（IMS）獲取業務系統的檢修信息，通過檢修信息中主機IP信息、主機進程信息、數據庫信息、應用服務器工程名稱作為違規接入的判斷依據。

三、系統模塊功能3.1 數據采集管理

數據采集管理是系統的基礎功能，采集部分主要負責從Windows、Linux、HP Unix主機采集進程信息，從Weblogic、Websphere、Tomcat等采集應用服務列表，從Oracle等數據庫采集數據庫實例、用戶、數據庫表信息，為業務系統安全接入平臺進行違規分析提供支撐。數據采集管理功能主要包括：數據采集模板管理、數據采集執行管理、采集數據管理。

3.2 業務系統注冊審批管理

平臺建立業務系統注冊審批機制，通過業務系統接入審批流程規范公司業務系統上下線管理，對未進行審批備案的系統通過監測機制進行自動告警，從而保證系統建設、運行維護各階段的平穩過渡和有序銜接，確保系統安全穩定可靠運行。業務系統注冊審批管理主要功能包括：業務系統上下線申請、系統上下線審批、上下線審批查詢。

3.3 違規IP監測

違規IP監測功能采用IP白名單的方式進行監測，用戶根據需要在系統內建立主機段內信任IP地址形成IP白名單，當監測到主機網段內存在不屬于IP白名單外的IP地址時，且該IP地址沒有與之對應的主機接入審批單，則向運維人員發出違規接入告警。違規IP監測主要功能包括：主機掃描網段配置、主機網段掃描、違規主機告警。

3.4 主機進程監測

平臺通過數據采集管理實時從Windows、Linux、HP Unix主機采集進程信息、作為進程監測的依據。系統采用黑名單監測的方式進行進程的監測，即用戶根據需要，在系統中事先設定需要監測的進程名稱列表作為系統進程監測的黑名單，當監測到主機上實際運行中的進程信息包含黑名單進程信息時，且此進程沒有與之對應的檢修審批單，則向運維人員發出違規接入告警。主機進程監測主要功能包括：主機進程白名單設置、主機進程核對、違規主機及進程告警。

3.5 應用服務監測

平臺通過數據采集管理實時從Weblogic、Websphere、Tomcat等采集應用服務列表、作為進程監測的依據。平臺提供一致性檢查的方式進行應用服務工程名和數量的監測。事先獲取要監測的每個應用服務器應用工程數量和名稱作為監測的基準，當監測到應用服務器上應用工程數量或工程名稱與監測基準不一致，且此應用服務器沒有與之對應的檢修審批單，則向運維人員發出違規接入告警。應用服務監測主要功能包括：應用服務器監測基準設置、應用服務器監測信息核對、應用工程違規告警。

3.6 數據庫表監測

平臺提供與應用服務相同的一致性檢查方式對數據庫實例數量、數據庫用戶數量、數據庫用戶表數量和名稱進行監測。系統事先獲取要監測的每個數據庫實例數量和名稱、數據庫實例下的用戶數量和名稱、每個用戶下的數據表數量和名稱作為監測的基準。當監測到數據庫上數據庫實例、數據用戶數量、數據庫表數量三者有其一與監測基準不一致，且新增的數據庫實例、用戶、數據庫表沒有與之對應的檢修審批單，則向運維人員發出違規接入告警。數據庫表監測主要功能包括：數據庫監測基準設置、數據庫監測信息核對、數據庫違規告警。

3.7 違規接入告警

業務系統違規接入告警提供對網段IP、主機進程、應用服務、數據庫表違規告警的集中展示與處理功能。地市單位、信通公司運維人員通過告警展示功能實時監測本單位的業務系統違規接入告警，對出現的違規告警信息進行處理。公司電科院對各單位處理后的告警信息進行審批，審批通過后系統自動消除違規告警。系統提供豐富的查詢條件可以對歷史的違規告警信息進行查詢。業務系統違規接入告警主要功能包括：違規告警展示、違規告警處理、違規告警查詢。

3.8 違規分析

違規分析是基于歷史數據對業務系統的違規情況進行集中分析和展示，通過數據的分析可以協助地市、信通公司運維人員發現本單位違規接入的分布和趨勢，及時制定對應的解決措施。電科院督查人員、科信部管理人員可以通過系統查看各單位業務系統違規情況，針對不同單位的具體情況，制定業務系統安全接入策略和管理方法，從而提高業務管理能力。違規分析主要功能有：違規趨勢分析、違規數量分析、違規類型分析。

3.9 系統臺賬管理

系統臺賬管理功能分為系統臺賬信息和系統配置關系管理兩部分。系統臺賬信息按照業務應用、公共服務平臺、配套保障三類對業務系統進行劃分。按照基本信息、采購信息、服務信息、維護信息、應用與配置信息、審批單信息、所屬主機列表信息進行業務系統臺賬的管理。系統配置關系直觀、形象、全面地反映業務系統所依賴的主機、數據庫、中間件之間的關系，同時可以在相互依賴關系圖上進一步查看詳細的設備配置情況。

四、業務系統安全接入策略管控

對于業務系統安全接入策略管控來說，完成各軟件的功能任務是十分重要的。通過對企業業務系統行為的刻畫，了解系統與環境的關系，通過各功能的完成，滿足業務基本需要。業務系統安全接入策略實現了系統與綜合網管系統完美集成，同時還具備綜合網管系統優點和特色。應用數據采集節點沒有數據限制、新增類型的數據采集易擴充、采集探測頻率的周期可調等靈活性措施。系統采用了OSGI架構，加強服務器的進行采集的配置監控策略。業務流程監測系統采用OSGI架構的數據采集框架，憑借其可分布式部署，系統的可用性有了顯著的提升，有效完善了業務應用監控的功能。采用OSGI架構，通過監控組件的支持進行部署。在系統正常運行的過程當中，加強監控組件的部署，提升系統的監控功能。作為全新的java框架技術，加強運維管理平臺的功能擴展，以實現組件化開發。組件化開發通過獨立運行功能組件的細分，對外提供訪問接口。利用java支持工具整理，編譯jar包，以滿足OSGI組件的要求。獨立運行的組件有效的聯系。一切工作就緒后，采取遠程管理方式，對監控插件的安裝、運行、停止、升級進行有效的監管，以實現對OSGI端的監控。另外，基于Esper規則引擎實現指標計算和預警規則，ExtJS頁面開發框架以及基于Quartz的任務調度組件，都可以作為業務策略安全接入的有效途徑和方法。

五、結束語

綜上所述，業務系統安全接入監測管理平臺，有效防范了未經許可的系統接入和主機入網。為信息系統運行管理和監督提供了有力的技術手段，提高了運維人員管理水平。它能夠實現信息網內業務系統及其組件的監測，能及時發現信息系統的主機違規接入、服務器進程、數據庫實例、用戶及數據表的變動情況，讓運維人員及時發現關聯的信息系統接入異常，并能盡快處理問題，提高人員工作效率。同時，通過系統的應用，規范了業務系統的上下線及檢修流程，為業務系統管理提供支撐。目前該系統已在國網福建電力公司建成投運，運行效果非常好。

參 考 文 獻

[1]邵一波.業務平臺安全運維方案研究[J].電信技術，2015，08：90-96.

[2]蔣誠智，劉婷婷，余勇.一種國際業務信息安全防護模型[J].計算機技術與發展，2014，01：158-162.

[3]陳姣，周智勛.移動安全接入平臺的安全機制[J].中國新通信，2015，12：49-51.