基于多租戶的安全管理中心

許律賓

（中國移動通信集團云南有限公司，云南 昆明 650228）

1 存在問題

（1）本地建設復雜：安全管理中心基于要求，相關操作審計記錄及原始事件、告警要留存180天，需要本地有大量存儲計算資源來支撐。

（2）信息分散：每一個安全管理中心事件、告警均在近業務系統側，無法在一定宏觀上形成事件共享、告警監控機制。

隨著《信息安全技術網絡安全等級保護基本要求》（GBT22239-2019）的公布，宣告信息安全技術網絡安全等級保護2.0時代正式開啟，并于2019年12月1日正式實施，國家網絡安全工作規劃著重表明了“一個中心，三重防護”。對應到信息安全技術網絡安全等級保護2.0中即安全管理中心、安全通信網絡、安全區域邊界、安全計算環境；其中，安全管理中心主要實現系統管理、審計管理、安全管理和集中管控四個方面；通過運營商云網資源建設支持多租戶的安全管理中心，從建設上可實現統一標準，高度復用，從技術上可實現安全事件、安全漏洞高度集中化處理，具有一定的經濟效益及技術意義。

如何對已采集到的網絡安全事件進行綜合分析、匯總統計、全盤管理是運維管理人員面臨的棘手問題。在對各安全網元的配置使用過程中，利用多租戶的安全管理中心對安全網元設備運維行為的精細化管理、安全網元設備防護反饋匯總統計將切實規范一線運維人員的操作行為規范，將解決一線運維人員面臨大量異構數據中的統計困擾。

2 解決措施及優勢

（1）本地部署簡單：本地僅需建設安全設備，可通過專線或SD-WAN實現安全設備納管，安全管理中心按照信息安全技術網絡安全等級保護2.0安全管理中心要求的標準建設，同時可復用云端存儲計算資源，優化IT建設成本。

（2）信息集中處置：可在宏觀上了解全網安全狀況，并實現不同業務系統之間的事件、告警等威脅情報共享，實現安全數據共享化。

（3）運維集中審計、管理：本系統的建設需要兼顧網元設備遠程托管的運維需要，有效隔離運維管理員與實際操控資產之間的鑒權信息，做到多權分立以及多種管理員身份相互制約的健康運維關系。

3 功能需求

（1）需要以威脅情報為審計目標，致力建設安全情報中臺。傳統的安全威脅審計系統僅僅對安全能力的采集存儲，對安全事件的整合、補全、統計能力不足，通過多租戶安全管理中心的建設為建立安全威脅情報中心提供安全數據能力提供支持，從數據采集對某一類或某幾類安全設備進行規整分析，對缺失的主客體或行為信息進行補齊并規范存儲；并對整合的事件進行標記處處，同時提供標準化外部接口，供內部模塊外部系統進行情報調用，提供一定的聯動參考價值。

（2）基于可視化審計呈現，直觀展示各項網絡指標

需要通過精準的用戶需求采集與廣泛的市場調研，綜合多方面運維專家意見，針對采集的內容、頻率、周期等信息進行合適的圖形化呈現；并根據用戶感興趣的信息在特定環境進行大屏呈現，呈現內容至少需要支持系統運行情況、安全威脅數據存儲類型等運維所重點關注的內容，可以使得網絡中安全狀態情況一目了然。可省去常規運維過程中大量數據整合、手工統計的工作量進行直觀概括呈現。并支持參數設置可對異常情況進行管理員聯動，在基礎的性能監聽需求上如CPU、內存等系統資源占用異常需要支持進行郵件、短信的或即時通信上的預設告警。

多租戶安全管理中心基于響應速度快、信息傳遞準確直觀、檢索能力強大的用戶思路對多租戶安全管理中心的綜合管理能力進行設計，對安全防御的能力進行迅速反饋并協助決策管理。

（3）精確縱深的檢索條件與事件關聯算法。多租戶安全管理中心將采用高性能的數據檢索引擎，對檢索性能需要達到即時檢索即時輸出的建設要求。同時支持利用IP、關鍵詞、時間、用戶進行廣泛、模糊檢索，同時支持多條件檢索篩選，并對檢索到的數據事件進行下鉆關聯，進一步識別威脅事件的影響范圍。

（4）專業的報表輸出系統。可根據客戶需求輸出特定的網絡安全年報、季報、月報、周報、日報或者根據設定范圍進行通用格式的文檔輸出。可涵蓋安全威脅事件審計，資產脆弱審計，運行狀態審計等數據存儲的信息呈現。并且需要支持針對特定客戶允許客戶自定義輸出報告的能力來解決特有單位需要定制報告的運維需求。

（5）滿足合規性要求的操作人員角色設立。系統的角色需要依照《信息安全技術網絡安全等級保護基本要求》至少分為系統管理員、運維管理員、審計管理員三種角色；各管理員的功能要求如下：

①系統管理員。由系統管理員對本系統進行管理，將鑒權信息集中保存，可添加需要管理的網元資產，針對添加的系統進行鑒權信息的錄入，并將錄入成功的資產分配給需要進行管理的安全運維人員及安全審計人員。

②操作管理員。操作管理員由系統管理員進行賬戶生成，授予相關操作權限后可針對網元資產進行單點登錄運維管理，其運維過程由中心進行錄制審計，并對操作管理員的操作行為進行管理，超出許可范圍的操作將被攔截，以保護代管的運維資產；操作管理員從登錄、運維、登出的全操作周期范圍內，無法獲取到對資產的原始鑒權令牌（用戶名口令）等信息，在操作管理員身份發生變化時，保護資產的準入權限不被剩余信息處置不當導致的越權行為。

③審計管理員。系統的操作行為、操作管理員的操作行為以及系統運行情況信息將統一采集，將采集情況進行匯總、清洗、補全、分類、分配、呈現。審計管理員對系統運維狀態在可視化頁面中一目了然，真正在信息系統運維過程中做到縱觀大局。

（6）多租戶安全管理中心建設應考慮高可用性、安全性、合規性。在實際建設過程中，現有網絡中的安全設備供應廠商通常存在多種，多租戶的安全管理中心的建設需要考慮在異構廠商中對接入廠商安全技術輸出結果的范式化，各安全廠商日志系統及告警輸出根據不同品牌的產品習慣千變萬化，為了統一審計安全系統告警、系統操作，集中采集系統安全事件、系統登錄記錄、系統運行情況、系統操作日志等各類日志信息等功能亦是運維過程中的阻礙，多IDC安全管理中心需要將采集到的業務信息進行識別、提取、過濾、格式化后并根據適合環境的算法進行補全、規整，并集中存儲；并對原始日志的內容進行解析，并提取主體、客體、事件內容、時間等等信息后以統一的格式進行補全、關聯并標記不同的日志來源，以供追溯調取。同時，針對采集的原始日志，需要按照相關合規要求進行存儲備案，在需要相關部門調查時可迅速輸出所需材料內容。

多租戶安全管理中心設計功能完善的同時，系統的可用性亦是實際關注的重點，在部署與設計的初期在容災、備份方面，需要考慮數據丟失的風險，在遇到故障或災害時可自我恢復需要滿足《信息安全技術網絡安全等級保護基本要求》中“在自身遭到損害后，能夠較快恢復絕大部分功能”的要求。

網絡安全行業現今在國內處于高速發展期，在國家的政策要求下，各法規、條例相繼落地，對于安全、運維系統的整體要求在不斷提高，本系統需滿足各項合規性要求，并適應行業發展需要，從資源占用、功能擴充、硬件的兼容上保持標準化接口設計，為多租戶安全管理中心管理的客戶網絡資源可提供長久有效的運維服務保障。

針對多租戶安全管理中心自身安全也成為考慮的重點，系統的整體設計需要參照EAL相關標準要求，在人機交互上，系統中心需要滿足相關合規性要求中提到多因子校驗的策略，如口令+郵箱、口令+短信等方式，且并在數據的采集、存儲、流轉過程中進行加密、脫敏處理，滿足數據安全成熟度模型的具體要求。

4 結束語

隨著網絡技術的高速發展，在網絡上，不法行為者攻擊手段層出不窮，因此網絡安全事件防護不應局限與某一行為或某一事件進行分析應對，多租戶安全管理中心的設計依照已頒布的網絡建設合規性要求標準，并考慮整合國內外優秀廠商的設計思路，旨在降低運維人員操作難度，提升運維人員工作效率。

在系統分發、安裝方面：應具有易部署、高融合的特點，將傳統的托管運維、代管系統、匯總信息的各等網絡管理系統融合歸納，形成匯總獨立的安全運維管理中心。在功能權限規劃方面，需要符合從安全管理員、運維管理員視角的信息側重點考量，根據數據源、信息價值、信息歸屬以及信息表達的主體、客體等信息維度，在不同場景下將收集到的網絡指標進行統計比對；用直觀的數據反饋方法、以可視化報表的形式展現給用戶，需要兼容在多個傳統安全管理中心的網絡環境中著力解決數據量雜、多、需要處理的時效性高等實際問題。