CN103326883A

CN103326883A - 一种统一安全管理与综合审计系统

Info

Publication number: CN103326883A
Application number: CN2013101989505A
Authority: CN
Inventors: 陈云; 姜敏; 覃学晓
Original assignee: PALADI NETWORK TECH Co Ltd HANGZHOU
Current assignee: PALADI NETWORK TECH Co Ltd HANGZHOU
Priority date: 2013-05-27
Filing date: 2013-05-27
Publication date: 2013-09-25

Abstract

本发明公开了一种统一安全管理与综合审计系统。该系统包括命令捕获引擎、策略服务器(NPS)、日志服务器、用户接入和集中配置服务器等五大模块组成。该系统采用分布式处理架构进行处理，启用命令捕获引擎机制，通过策略服务器完成策略审计，通过日志服务器存储操作审计日志，并通过实时监视中心，实时察看用户在服务器上行为。本发明有效地解决了网络信息安全保障问题，全程跟踪用户操作，实时监控，让服务器的操作、管理和运行更加可视、可控、可管理、可跟踪、可鉴定，解决服务器系统级别的安全问题、安全威胁，为国家重要部门和企业服务器的正常有序运行，提供可靠的安全保障。

Description

一种统一安全管理与综合审计系统

技术领域

本发明涉及IT运维安全管理领域，尤其涉及一种统一安全管理与综合审计系统。

背景技术

近些年来，随着互联网信息技术的迅速发展，很多企业网络规模也在不断扩大，越来越多的业务通过网络进行，信息安全问题越来越突显。于是信息安全建设尤其是加大网络边界防护、数据通信安全、病毒防护能力等外部网络安全建设上发展迅速并且日益成熟。但是，我们发现，即使在部署了安全策略、严格控制授权、发布了多项管理制度的情况下，各种网络安全故障有增无减，而且令人惊奇的是造成这些问题的不合规、不合法的行为很多来源于内部合法用户的不合法操作。防火墙、防病毒、入侵检测系统等常规的安全产品可以解决一部分安全问题，但对于内部人员的违规操作却无能为力，一些违规操作导致数据误删、数据破坏、数据泄密等致使企业利益、公众利益、国家利益受损。根据最新统计资料，对企业造成严重攻击中的76％是来自于组织里的内部人员。由于目前系统缺乏审计能力，在用户的误用、滥用造成各种安全事件时，网管人员无法找出真正的原因，不能跟踪详细的事件过程，无法采取针对性措施以阻止下一次事件的重复发生。因此，如何有效地监控设备厂商和代维人员的操作行为，如何从合法的授权使用中发现非法的行为，如何获得网络和应用数据本身的记录、回放、分析，成为企业计算机网络安全管理的关键。

目前，在运维监控领域，国内外已经出现了很多具备相关功能的系统，特别是在国外，已经有一些比较成熟并且功能比较强大的产品，例如IBM Tivoli智能管理软件、HP公司的Open View管理解决方案、CA公司的Unicenter NSM(全称Unicenter Network&System Management)解决方案等，在功能上都可以比较全面的实现各地电信运营商对其营帐系统的监控需求。但是，这些比较成熟的产品系统都很庞大，不但价格昂贵，而且系统实施复杂，实施周期长，加上对中文环境的支持比较弱，并不很适合国内的用户。而对于一些价格相对低一些的比较简单的系统来说，在具体功能上又无法满足具体用户如电信运营商的需要。

我国运维安全审计服务还处于发展初期，从事运维安全审计服务及相关领域研究、咨询和培训的人员和公司的数量相对较少，相关出版物相应缺乏。而且尚无统一的、规范的、体系化的运维安全审计服务支撑系统统一标准。目前，越来越多的企业人士开始关注和接受运维安全审计服务这种理念和方法，国内已经有相关多的厂商开始涉足这个领域，如：江南科友、绿盟、齐治、金万维、极地、北京普安思等。但由于国内运维安全审计服务兴起不久，落地化工作尚不完备，技术开发还不成熟，现有运维体系存在如下不足：

1、存在数据中心人员、分支机构、代维厂商等多种角色，操作人员管理分散，多点登录；

2、管理交叉异构，账号共享，数据中心人员账号同时可以访问网络设备和服务器，存在账号共享风险；

3、内部高权限人员操作不透明，存在违规操作导致敏感信息泄露的风险，以及误操作导致服务异常甚至宕机的风险；

4、外部人员操作风险不可控，存在被黑客盗用账号实施恶意攻击以及无法有效监管操作的风险；

5、缺少必要取证举证手段，无法第一时间发现并阻止不合法的操作，无法追到操作源头，为取证举证提供充分的依据。

因此，开发出一种操作管理统一化、管理流程规范化、操作风险最小化的IT运维服务体系成为IT运维服务行业亟待解决的问题。

发明内容

本发明的目的是克服现有技术的不足，提供一种统一安全管理与综合审计系统。

一种统一安全管理与综合审计系统，包括命令捕获引擎、策略服务器(NPS)、日志服务器、用户接入和集中配置服务器；用户接入模块将访问请求引入审计系统，启用命令捕获引擎机制自动捕获操作命令，通过策略服务器完成策略审计，日志服务器存储操作审计日志，完整记录保存用户操作行为，命令捕获引擎直接与实时监控中心通信，通过实时监视中心，实时察看用户在服务器上操作行为。

所述的统一安全管理与综合审计系统服务器采用基于存储共享的双机热备模式，使用两台服务器互备工作。

所述的策略服务器(NPS)对于UNIX服务器是一层安全防护功能，可以对命令捕获引擎捕获到的操作行为进行策略审计。

所述的策略服务器(NPS)具有细粒度策略控制功能，采用类防火墙策略，利用正则表达式进行模式匹配，支持对登陆地址、服务器地址、用户名、操作时间、操作命令等元素进行策略审计，策略支持“非”逻辑。

所述的策略服务器(NPS)允许通过远程身份验证拨入用户服务(RADIUS)服务器、RADIUS代理和网络访问保护(NAP)策略服务器来集中配置和管理网络策略。

所述的日志服务器具备二次日志记录系统。

所述的日志服务器具备准确日志查询检索功能，根据用户命令、主机地址、主机帐号、时间范围等多项条件任意组合，进行快速、准确的日志定位查询。

所述的统一安全管理与综合审计系统具有菜单类操作回放审计功能，支持AIX SMITTY操作审计、INFORMIX DBACCESS数据库前端操作审计、支持SQL PLUS数据库操作审计、支持文件内容修改审计。

本发明与同类产品相比有着显著的技术和理念优势。本发明支持审计目标设备最全，广泛支持各种运维协议，如telnet、SSH、Rdp、X11、http、https、ftp、sftp，各种数据库运维工具、KVM(单光标)等，实现全面的运维审计不放弃任何可能存在风险的关键点，全面支持各种目标设备类型。其次，本发明所提出的系统各项功能完善、健壮，主要功能优点有：1.完整支持所有协议单点登录，实现细粒度权限分配；2.审计记录完整化、现场化，本发明对运维事件进行完整、现场的记录，决不对审计记录进行任何删减、修改。且录像文件占用空间很小，保障了有效审计事件；3.后端设备自动改密，全面支持Windows、linux、UNIX、网络设备等；4.双主热备，配置信息、审计信息全面同步，保障高可用性；5、运维体验本地化，不牺牲本地客户端功能，用户在本发明进行运维时几乎不需要进行任何操作习惯上的改变，工作效率只增不减。另外，帕拉迪还拥有环境适应性强、构架具前瞻性；协议代理架构，轻松实现透明审计；完全支持瘦终端、哑终端运维审计等。本发明弥补传统审计系统的不足，集身份认证、授权、审计为一体，有效解决了人员管理、操作管理、设备管理混乱的问题，保证了操作审计的可靠性和稳定性，实现了代维人员、开发人员、管理人员对服务器资源操作管理的集中人证、集中控制、集中审计，减少了因内部运维人员操作不当而引起的安全事故，有效地降低外部操作人员带来的风险，提高运行维护的效率，保证运维系统或设备的运行，缩减运维成本。

附图说明

图1为统一安全管理与综合审计系统的系统方框图；

图2为统一安全管理与综合审计系统的运维服务管理模型图；

图3为统一安全管理与综合审计系统的双机热备模式图。

具体实施方式

如图1所示，一种统一安全管理与综合审计系统，包括命令捕获引擎、策略服务器(NPS)、日志服务器、用户接入和集中配置服务器；当用户接入模块将访问请求引入审计系统时，启用命令捕获引擎机制，自动捕获操作命令，通过策略服务器完成策略审计，日志服务器存储操作审计日志，完整记录保存用户操作行为，命令捕获引擎直接与实时监控中心通信，通过实时监视中心，实时察看用户在服务器上操作行为。

如图2所示，所述的统一安全管理与综合审计系统在整个运维服务管理体系中是旁路布置方式，但在逻辑上是通路网关，不影响任何网络拓扑和任务数据流。

如图3所示，所述的统一安全管理与综合审计系统服务器采用基于存储共享的双机热备模式，使用两台服务器互备工作。正常情况下主机处于工作状态，备机处于监控状态，主备之间监控使用“心跳线”和“参考地址”方式实现，当主机出现故障时，备机主动接管主机的工作并自动升级为主机身份，故障主机恢复正常后处于备机状态，不提供服务，只负责监控工作主机的状态。

所述的策略服务器(NPS)对于UNIX服务器是一层安全防护功能，可以对命令捕获引擎捕获到的操作行为进行策略审计，此用户命令违反安全策略时，将被禁止执行，而使用危险命令的用户，也将被剔出系统。

所述的日志服务器具备二次日志记录系统，保存用户操作行为过程，通过对比保存于两台日志服务器上的日志材料，可以准确可靠的进行故障鉴定和责任认定。

Claims

1.一种统一安全管理与综合审计系统，其特征在于，包括命令捕获引擎、策略服务器(NPS)、日志服务器、用户接入和集中配置服务器；用户接入模块将访问请求引入审计系统，启用命令捕获引擎机制自动捕获操作命令，通过策略服务器完成策略审计，日志服务器存储操作审计日志，完整记录保存用户操作行为，命令捕获引擎直接与实时监控中心通信，通过实时监视中心，实时察看用户在服务器上操作行为。

2.根据权利要求1所述的一种统一安全管理与综合审计系统，其特征在于，所述的统一安全管理与综合审计系统服务器采用基于存储共享的双机热备模式，使用两台服务器互备工作。

3.根据权利要求1所述的一种统一安全管理与综合审计系统，其特征在于，所述的策略服务器(NPS)对于UNIX服务器是一层安全防护功能，可以对命令捕获引擎捕获到的操作行为进行策略审计。

4.根据权利要求1所述的一种统一安全管理与综合审计系统，其特征在于，所述的策略服务器(NPS)具有细粒度策略控制功能，采用类防火墙策略，利用正则表达式进行模式匹配，支持对登陆地址、服务器地址、用户名、操作时间、操作命令等元素进行策略审计，策略支持“非”逻辑。

5.根据权利要求1所述的一种统一安全管理与综合审计系统，其特征在于，所述的策略服务器(NPS)允许通过远程身份验证拨入用户服务(RADIUS)服务器、RADIUS代理和网络访问保护(NAP)策略服务器来集中配置和管理网络策略。

6.根据权利要求1所述的一种统一安全管理与综合审计系统，其特征在于，所述的日志服务器具备二次日志记录系统。

7.根据权利要求1所述的一种统一安全管理与综合审计系统，其特征在于，所述的日志服务器具备准确日志查询检索功能，根据用户命令、主机地址、主机帐号、时间范围等多项条件任意组合，进行快速、准确的日志定位查询。

8.根据权利要求1所述的一种统一安全管理与综合审计系统，其特征在于，所述的统一安全管理与综合审计系统具有菜单类操作回放审计功能，支持AIXSMITTY操作审计、INFORMIX DBACCESS数据库前端操作审计、支持SQL PLUS数据库操作审计、支持文件内容修改审计。