朱紫微,李赫明
(國網(wǎng)新源控股有限公司潘家口蓄能電廠,河北 唐山 064300)
近年來,電力企業(yè)對網(wǎng)絡與信息安全空前重視,隨著企業(yè)信息化工作不斷推進,業(yè)務系統(tǒng)日漸增多,保障系統(tǒng)的安全是信息工作的首要任務,防火墻、入侵檢測系統(tǒng)等安全設備可以做到對外部攻擊威脅的攔截與安全防護,但對于業(yè)務系統(tǒng)內(nèi)部的賬號權限劃分與訪問、運維人員誤操作等隱患仍無法進行管控。當下,解決賬號管控與操作審計才是減少信息系統(tǒng)安全風險的重點工作。
(1)設計原則
1)減少運維風險
運維審計系統(tǒng)須以實現(xiàn)對潘家口電廠信息系統(tǒng)主要設備進行狀態(tài)監(jiān)測及對數(shù)據(jù)庫進行日志記錄、用戶行為審計為建設方向,應能夠對信息系統(tǒng)運維過程做到事前預防、事中控制、事后審計,建立完善的運維審計體系。
2)安全可靠
滿足信息系統(tǒng)網(wǎng)絡安全相關規(guī)范制度要求,運維審計系統(tǒng)自身應具有較高的安全可靠性,并采用HTTPS方式進行遠程安全管理,對賬號權限及設備登陸訪問進行管控,再通過運維審計系統(tǒng)發(fā)起到設備對應服務的訪問,加強內(nèi)部設備的安全性。
3)適應電廠信息網(wǎng)絡現(xiàn)狀
運維審計系統(tǒng)需以潘家口電廠信息網(wǎng)絡現(xiàn)狀為依據(jù)進行設計,避免改變現(xiàn)有網(wǎng)絡結構,支持IPV6網(wǎng)絡環(huán)境。
4)高可用性
系統(tǒng)部署后,保證潘家口電廠使用系統(tǒng)時登陸方式安全、操作界面簡潔,支持按日、周、月為周期生成周期性報表,對運維操作過程實現(xiàn)同步監(jiān)控與回放,便于管理員進行控制與事后審計。
(2)系統(tǒng)功能需求
1)資源管理
需實現(xiàn)對潘家口電廠內(nèi)信息系統(tǒng)設備的管理,包含對設備資源進行基本操作的功能,例如設備新增、修改、刪除、服務添加、聯(lián)通性檢測、賬號添加等。
2)賬號管理
系統(tǒng)應支持多種身份認證方式,并為每一個運維人員創(chuàng)建唯一的運維帳號,在運維操作時,所有設備帳號均與運維賬號進行關聯(lián),確保所有運維行為審計記錄的一致性,從而準確定位事故責任人,有效解決帳號共用問題。管理員可根據(jù)目標資源設置不同角色,通過基于角色的權限訪問控制,實現(xiàn)細粒度授權與策略控制。
3)審計模塊
系統(tǒng)可以實現(xiàn)操作過程同步監(jiān)視,當運維人員在設備上操作時,管理員可以隨時中斷運維人員的違規(guī)操作;系統(tǒng)支持按日、周、月為周期自動生成周期性報表,報表應支持導出;能夠以在線或離線方式視頻回放重現(xiàn)運維人員的整個操作過程,支持拖動、暫停等基本的播放控制操作,從而真正實現(xiàn)對操作內(nèi)容的完全審計。
4)告警功能
系統(tǒng)應支持根據(jù)寫入的訪問控制策略,自動檢測日常運維過程中發(fā)生的越權訪問、違規(guī)操作等安全事件,能夠根據(jù)預設規(guī)則進行自動的告警或阻斷。
運維審計系統(tǒng)采用物理旁路方式部署,只需要確保運維審計系統(tǒng)、服務器與被審計設備之間網(wǎng)絡可達即可。
(1)IP 地址分配
(2)網(wǎng)絡物理連接
將運維審計系統(tǒng)設備及其服務器網(wǎng)口連接入被審計設備所在網(wǎng)絡。
(3)設備配置
1)運維審計系統(tǒng)設備配置
通過串口配置設備,重啟服務,通過服務器登陸設備,檢測設備網(wǎng)絡連通性及運行情況。
2)運維審計系統(tǒng)服務器配置
在服務器上登陸運維審計系統(tǒng)管理網(wǎng)址,在資源管理界面添加當前所需審計設備,完成基礎信息后,進入服務配置界面,輸入需要添加服務的相關信息,檢測運維審計系統(tǒng)到目標資源的對應端口的連通性正常后,根據(jù)分類將被審計設備添加設備組,便于后期分類管理;在用戶管理界面對用戶賬號、認證方式、密碼策略、運維管理相關功能等進行設置;在授權管理界面進行角色創(chuàng)建,選擇“添加授權”來完成運維帳號授權訪問資源操作。
(4)審計管理
在潘家口電廠運維審計系統(tǒng)管理人員登錄系統(tǒng)后可進入審計管理界面,在此界面可查看會話監(jiān)控、審計日志及審計報表。在會話監(jiān)控界面,可實時查看當前運維用戶進行的操作,并可強制阻斷會話來切斷運維用戶與資源的聯(lián)系;在審計日志界面運維人員可詳細查看運維日志、登陸日志、管理日志、系統(tǒng)日志等重要日志,便于運維操作回顧與記錄;在審計報表界面可生成一次性或周期性報表,可根據(jù)運維需求自主設置
潘家口電廠運維審計系統(tǒng)于2020年安裝運行,在信息系統(tǒng)運維過程中,運維人員通過運維審計系統(tǒng)做運維,很大程度上減少了運維人員賬戶風險,避免運維人員非法或無意執(zhí)行高危操作,對運維人員的操作進行實時監(jiān)控和事后審計,能夠準確定位安全事件。目前系統(tǒng)可以完成對電廠網(wǎng)絡設備、安全設備等重要信息系統(tǒng)設備的管控與審計,提供強大的運維審計功能,至今未發(fā)生任何故障,設備運行良好,大大提高潘家口電廠信息系統(tǒng)運維的操作審計和控制能力。