高校運維安全審計系統(tǒng)建設及應用

1、高校運維平安審計系統(tǒng)建立及應用高校運維平安審計系統(tǒng)建立及應用高校信息化經過多年的迅速開展，建成了大量的校務管理信息系統(tǒng)及相對完善的校園網絡環(huán)境，建立成果在高校校務管理中發(fā)揮了重要作用，積累了豐富的系統(tǒng)建立及運維經歷，同時這些系統(tǒng)的充分應用集聚了大量的學生、教學、科研、人事、財務等業(yè)務數據和工作成果。信息已成為高校組織業(yè)務至關重要的資產，信息的平安對高校的管理乃至今后的開展至關重要，一旦發(fā)生信息數據泄露和信息平安事件，將對高校造成不可估量的損失。因此，保障關鍵信息的平安成為高校信息化建立新的挑戰(zhàn)。1高校運維平安審計系統(tǒng)建立的必要性1.1高校高度依賴信息系統(tǒng)，必須杜絕信息平安事件發(fā)生高校信息化經歷

2、了初創(chuàng)期，開展期，目前已進入成熟期，學校師生及各級管理層、各職能管理部門對信息化給高校教學、科研、管理帶來的變革及效應充分肯定，對管理信息系統(tǒng)建立熱情高漲，摒棄原有落后的辦公形式，全面基于信息平臺開展日常辦公，學校各個方面的管理業(yè)務都建立相應的管理信息系統(tǒng)，特別是挪動應用的開發(fā)，更是給師生帶來全新的人性化效勞和體驗，所以高校已經對信息系統(tǒng)應用產生前所未有的依賴。一旦由于管理或技術原因發(fā)生信息泄露或信息平安事件，將對師生及學校造成不可估量的損失。近年來，高校的各種信息平安事故不斷見諸報端，充分說明高校必須提升信息平安保障工作的程度。1.2運維人員管理權限過高，內部平安威脅日益突出上海財經大學管理

3、信息系統(tǒng)所有應用系統(tǒng)、數據庫及效勞器等IT資源全部由一兩個后臺系統(tǒng)管理員集中管理，局部信息系統(tǒng)建立及運維采用效勞外包形式，效勞承包方技術人員也掌握后臺效勞器局部操作權限，包括應用效勞及本文由論文聯盟.Ll.搜集整理業(yè)務數據庫操作權限。這種管理形式，勢必導致來自單位內部的平安威脅日益增多，學校信息化管理層已經意識到綜合防護、防范內部威脅的重要性，同時，信息化領域相關管理標準，如信息系統(tǒng)等級保護等也對運維人員的操作行為審計提出明確要求。因此，如何化解后臺系統(tǒng)管理員過高的管理權限帶來的內部信息平安風險，是高校信息化技術管理層必須解決的問題。1.3粗放式IT資源管理方式，導致平安事故責任難以追究高校信

4、息化的多年建立，積累了大量的各類軟硬件IT資源，如操作系統(tǒng)、數據庫、網絡設備、應用效勞等，管理龐大的IT資源庫對后臺系統(tǒng)管理員來講，是一項復雜的工程，管理不善，容易出錯，甚至造成嚴重后果，手段不先進，容易造成管理破綻。特別是運維效勞承包方技術人員掌握著學校的相當一局部IT資源的訪問權，這些技術人員經常頻繁流動，往往已經分開公司的技術人員權限不能及時清理，對學校造成極大信息平安隱患。同時，后臺運維人員由于業(yè)務才能或責任心等原因導致誤操作也時有發(fā)生。因此，對IT資源進展精細化管理，做到平安事故責任可追究，成為高校提升IT運維管理程度的必由之路1。1.4完善運維平安技術體系，適應新形勢開展要求上海財

5、經大學經過幾年的努力，已經在信息平安管理體系方面形成了一系列管理標準，組織體系方面設立了具有一定層次關系的信息平安虛擬組織機構及人員安排，負責全校信息平安工作的正常開展。在技術體系方面雖建立并加固了平安防護網，初步開展了一些平安常規(guī)工作。但新形勢下，國家、教育部及上海市等上級主管部門在信息平安方面不斷提出更高的要求，特別是美國斯諾登事件之后，信息平安形勢嚴峻，學校需根據這些新的要求進一步完善運維平安軟硬件建立，完善相關管理體系和技術體系。據此，建立并施行運維平安審計系統(tǒng)作為完善信息平安管理與技術體系的手段之一，顯得尤為重要2。針對以上問題，上海財經大學歷時幾個月，經過充分的調研與分析，在全校層

6、面設計并建立了運維平安審計系統(tǒng)，從而到達監(jiān)控正在運維的會話及后臺資源被訪問情況，實時監(jiān)控在線運維操作，施行細粒度的平安管控策略，實時告警與阻斷違規(guī)操作，攔截非法訪問、惡意攻擊，阻斷不合法命令，過濾所有對目的設備的非法訪問行為的目的。2運維平安審計系統(tǒng)解決方案上海財經大學運維平安審計系統(tǒng)的整體建立目的是通過構建統(tǒng)一的運維平安審計平臺，集中解決敏感IT資源及數據平安問題，同時為后期統(tǒng)一平安管理平臺建立打好基矗2.1系統(tǒng)審計原理運維平安審計系統(tǒng)之所以可以到達審計目的，主要是依靠截獲運維人員的操作，并可以分析出其操作的內容。特殊的部署方式，確保系統(tǒng)可以截獲運維人員的所有操作行為，分析出其中的操作內容以

7、實現權限控制和行為審計的目的。同時該類系統(tǒng)還采用了應用代理的技術，對于運維操作人員來說運維審計型系統(tǒng)相當于一臺代理效勞器PrxyServer。因此，運維平安審計系統(tǒng)訪問的根本原理是，運維人員在操作過程中首先連接到審計系統(tǒng)，然后向審計系統(tǒng)提交操作懇求；該懇求通過系統(tǒng)的權限審核后，系統(tǒng)的應用代理模塊以用戶身份連接到目的設備并完成相應操作，隨后目的設備將操作結果反應給審計系統(tǒng)，最后系統(tǒng)再將操作結果反應給運維操作人員。2.2系統(tǒng)角色功能運維平安審計系統(tǒng)的使用對象包括3類人員，審計系統(tǒng)管理員、系統(tǒng)運維管理員及審計人員。審計系統(tǒng)管理員主要職責是根據平安策略和系統(tǒng)運維管理員所需的操作權限來配置系統(tǒng)的平安策略

8、。審計系統(tǒng)通過策略管理組件與審計系統(tǒng)管理員進展交互，并將審計系統(tǒng)管理員輸入的平安策略存儲到系統(tǒng)內部的策略配置庫中。系統(tǒng)運維管理員的操作懇求通過系統(tǒng)審核后，系統(tǒng)的應用代理組件負責完成相應操作，并將操作結果反應給運維管理員，同時操作過程被記錄至系統(tǒng)審計日志數據庫，備日后調閱。審計人員那么可在需要調查運維管理員的歷史操作記錄時，讀取審計日志數據庫，開展信息平安審計工作3。2.3系統(tǒng)施行方案2.3.1IT資源訪問操作管理當運維系統(tǒng)管理員對操作系統(tǒng)、數據庫、防火墻、交換機、應用效勞等操作進展命令和圖形界面操作時，運維平安審計系統(tǒng)全程對所有操作界面進展文字記錄和視頻截圖，便于出現問題后進展追蹤。針對上海財

9、經大學的情況，該審計系統(tǒng)可通過操作命令記錄和錄屏的方式對現有Linux、Unix、inds操作系統(tǒng)、rale數據庫、raleAS等相關操作系統(tǒng)、數據庫和應用效勞的操作日志進展記錄。實時監(jiān)控通過SSH、SFTP、RDP、VN、Telnet、FTP等協(xié)議的操作行為，對監(jiān)控到的非法操作，可實時手工切斷。可以對使用PLSQL、Tad等數據庫客戶端的應用效勞系統(tǒng)數據庫管理員數據操作和數據庫對象操作進展記錄，同時，可以記錄效勞器管理員對Linux、Unix操作系統(tǒng)的命令操作，同時可以對inds操作系統(tǒng)、負載平衡、虛擬化平臺客戶端、交換機、防火墻等效勞器操作界面進展視頻截圖，做到任何操作事前權限可分級，事后

10、可追蹤4。2.3.2IT資源訪問權限管理針對學校IT資源龐大，管理網絡復雜，平安事故責任難以追究的問題，建立完成的運維平安審計系統(tǒng)，可對各類IT資源對象權限進展精細管理。對用戶有權限管理的目的設備，可按部門、設備類型、業(yè)務類型等分組管理，對不同類型的用戶設置不同的訪問權限。如可限制數據庫管理員對特定數據庫對象的數據操作權限，防止數據庫管理員的越權操作，同時可記錄數據訪問情況，從而真正進步資源訪問平安。2.3.3IT資源訪問賬號管理以往的操作中，經常存在多人共用一個IT資源訪問賬號的問題，如應用系統(tǒng)數據庫賬號，一旦操作失誤，系統(tǒng)管理員將無法確定詳細操作人員，無法追究相關責任。建立完成的運維平安審

11、計系統(tǒng)那么可向不同數據庫操作員發(fā)放不同動態(tài)口令卡，做到用戶與口令卡唯一對應，從而識別數據和數據對象的操作人員，操作人員只有同時輸入靜態(tài)口令和動態(tài)口令，才能訪問數據庫對象和數據。一旦出現失誤操作，可準確定位到詳細操作人員。2.3.4IT資源訪問密碼管理效勞器密碼重置是一項運維常規(guī)工作，以往一直只能通過人工操作或通過編寫代碼實現，存在操作不穩(wěn)定和誤操作的風險。通過該審計系統(tǒng)的施行，可設置自動定期修改目的設備密碼，且非專業(yè)的密碼管理員不需要掌握修改后的詳細密碼。運維平安審計系統(tǒng)會自動代填效勞器密碼，所有效勞器管理員都通過審計系統(tǒng)統(tǒng)一入口直接訪問效勞器資源，進步密碼重置工作效率的同時，進步了效勞器管理

12、員訪問操作的效率，也防止了效勞器密碼人為泄露的風險5。運維平安審計系統(tǒng)的施行，特別對外包型工程的公司方技術人員訪問系統(tǒng)數據庫和應用效勞操作的審計，發(fā)揮了重要作用。公司人員僅能通過統(tǒng)一入口訪問權限內的數據庫及應用效勞資源，且校方不會告知其詳細用戶和密碼。運維平安審計系統(tǒng)從密碼管理相關角色可分為普通運維人員、密碼管理員和權限管理員。其中普通運維人員只能訪問有權限的資源，且不掌握該資源密碼；密碼管理員只掌握所有效勞器密碼，但無操作效勞器權限；權限管理員負責向不同運維人員分配不同資源，但不掌握詳細密碼。通過以上角色和權限的設置，可以到達互相制約的效果，從而大大進步效勞器人員操作層面的平安。3建立成效通過運維平安審計系統(tǒng)的施行，上海財經大學IT運維部門實現了對各個業(yè)務系統(tǒng)以及操作系統(tǒng)、數據庫、網絡設備等各種IT資源的賬號、認證、受權和審計的集中控制和管理；實現了集中化、基于角色的主從賬號管理，實現了角色屬性級別的細粒度權限分配和管理；實現了集中化的身份認證和訪問入口；實現了集中訪問受權，基于集中管控平安策略的訪問控制和角色的受權管理；實現了集中平安審計管理，搜集、記錄用戶對業(yè)務支撐系統(tǒng)關鍵重要資源的使用情況。4結語高校信息平安