網(wǎng)絡(luò)信息安全綜合部署方案建議書

(堡壘機與數(shù)據(jù)庫綜合方案)

帕拉迪統(tǒng)一安全管理與綜合審計系統(tǒng)(簡稱：PLDSEC SMS)，通過規(guī)范運維權(quán)限管理、嚴(yán)密運維過程控制、透明化運維操作過程等手段，對運維工作中的人為風(fēng)險進(jìn)行防范、規(guī)避。

PLDSEC SMS以集中監(jiān)控、SSO 單點登錄和身份認(rèn)證為基礎(chǔ)，實現(xiàn)對以SSH，TELNET，F(xiàn)TP，SCP、SFTP、RDP、VNC、X11、HTTP、HTTPS等工具對服務(wù)器資源進(jìn)行操作管理行為的統(tǒng)一入口、統(tǒng)一認(rèn)證、統(tǒng)一授權(quán)、統(tǒng)一審計；實現(xiàn)對ORACLE，SYBASE，MS SQL，DB2，INFORMIX，MYSQL等商業(yè)數(shù)據(jù)庫操作的集中審計和控制；實現(xiàn)組織環(huán)境業(yè)務(wù)應(yīng)用運維、IP KVM控制臺運維的集中審計和控制。

部署PLDSEC SMS后系統(tǒng)將斷開操作用戶與目標(biāo)服務(wù)器之間的直接連接。用戶對服務(wù)器的遠(yuǎn)程操作全部集中登陸到帕拉迪統(tǒng)一安全管理與綜合審計系統(tǒng)上，通過二次跳轉(zhuǎn)系統(tǒng)將用戶直接連接到指定服務(wù)器，實現(xiàn)用戶對服務(wù)器資源操作管理的集中人證、集中控制、集中審計。

PO-4邏輯模型圖

帕拉迪數(shù)據(jù)庫風(fēng)險分析與安全監(jiān)控審計系統(tǒng)(簡稱：DbXpert)作為國內(nèi)外“流技術(shù)”數(shù)據(jù)庫審計產(chǎn)品第一品牌，結(jié)合各類法案法規(guī)（如等級保護(hù)、組織內(nèi)控管理、SOX法案、PCI等）對數(shù)據(jù)庫審計的要求，運用當(dāng)今最先進(jìn)的流技術(shù)加以全協(xié)議解碼，完成海量數(shù)據(jù)的完整審計與精準(zhǔn)分析。

審計對象：DbXpert所指的審計對象是指DbXpert邏輯上能夠?qū)徲嫷臄?shù)據(jù)庫服務(wù)器；DbXpert可以采用多級部署方式管理審計對象；并且在DbXpert內(nèi)部可以按照多種方式來表示審計對象：如客戶端的登錄IP、登錄用戶名、登錄主機名、登錄程序、來源端口等；服務(wù)端的數(shù)據(jù)庫類型、數(shù)據(jù)庫端口、數(shù)據(jù)庫賬號等。

DbXpert偵聽收集引擎全面監(jiān)聽網(wǎng)絡(luò)連接到數(shù)據(jù)庫的數(shù)據(jù)流，根據(jù)配置的策略，實時監(jiān)視所有數(shù)據(jù)包進(jìn)行分析記錄，并將審計結(jié)果保存在DbXpert數(shù)據(jù)存儲中心的相應(yīng)數(shù)據(jù)庫里；同時DbXpert偵聽收集引擎接收并執(zhí)行DbXpert控制管理中心的各種策略。

DbXpert數(shù)據(jù)存儲中心主要用于各種數(shù)據(jù)保存，并提供各種數(shù)據(jù)查詢。

DbXpert控制管理中心主要用于提供審計、管理等策略設(shè)置接口，如配置數(shù)據(jù)庫服務(wù)器管理；程序升級等接口；DbXpert控制管理中心采用B/S架構(gòu)，通過提供瀏覽器服務(wù)端，使管理人員很方便的通過網(wǎng)頁瀏覽器對網(wǎng)絡(luò)哨兵控制管理中心進(jìn)行操作管理。

面對某金融的網(wǎng)絡(luò)結(jié)構(gòu)圖，我們采用的是將PLDSEC SMS與DbXpert部署在內(nèi)網(wǎng)的核心交換機

因為2臺核心交換機啟用了負(fù)載均衡，所以只需將PLDSEC SMS連接到其中一臺核心交換機上即可。DbXpert的抓包口要連接到2臺交換機的目標(biāo)鏡像端口上。

1、部署描述：

1. 運維審計系統(tǒng)以邏輯網(wǎng)關(guān)的方式部署在運維區(qū)跟生產(chǎn)區(qū)（包含分支服務(wù)器）之間，所有的運維操作都不能繞過運維審計系統(tǒng)。
2. 所有運維操作都必須在運維區(qū)連接到運維審計系統(tǒng)進(jìn)行，且通過網(wǎng)絡(luò)控制只有在運維區(qū)內(nèi)才能訪問運維審計系統(tǒng)。
3. 用戶登錄認(rèn)證采用堡壘機自帶動態(tài)令牌認(rèn)證系統(tǒng)和手機令牌認(rèn)證系統(tǒng)。
4. 專線在運維審計系統(tǒng)運行正常的情況下，不啟用。
5. 雙機熱備模式，一個虛擬地址，兩個物理地址都可以訪問；所有的訪問、配置、操作過程記錄都同時存儲到兩臺系統(tǒng)上。

2、訪問流程：

1. SA、DBA、網(wǎng)絡(luò)、應(yīng)用維護(hù)人員使用實名制賬號通過運維區(qū)域運維終端登錄運維審計系統(tǒng)。
2. 在堡壘機上配置認(rèn)證方式，用戶通過動態(tài)令牌或手機令牌認(rèn)證登錄。
3. 認(rèn)證成功后，運維審計系統(tǒng)將對應(yīng)授權(quán)的資產(chǎn)展現(xiàn)給運維人員，運維人員直接選擇連接進(jìn)行系統(tǒng)維護(hù)操作。
4. 在此階段所有運維過程將實現(xiàn)實施監(jiān)控和過程記錄。

單純的審計對用戶幫助是非常有限的，因為審計是在風(fēng)險事件發(fā)生之后，我們的目的是希望風(fēng)險事件不要發(fā)生，那么如果沒有對風(fēng)險的事前控制、事中的監(jiān)控，審計就失去了一個依靠的基石，很難完美的實現(xiàn)。

1. 首先，運維操作面對的是各種各樣的操作方式，有的是圖形操作，有的是命令操作，有的是客戶端操作，那么如何對各種操作方式進(jìn)行統(tǒng)一管理？
2. 其次，運維操作面對的是人，人永遠(yuǎn)是最大的風(fēng)險，在目前的運維環(huán)境中，只是依賴設(shè)備上的系統(tǒng)賬號是無法準(zhǔn)確識別用戶身份的，那么如何確保操作者和操作行為能夠一一對應(yīng)？
3. 再次，操作有正在進(jìn)行的操作和已經(jīng)結(jié)束的操作，如何對這兩種操作進(jìn)行有效的管理？
4. 最后，運維審計面對的是如何從那些海量記錄的數(shù)據(jù)中快速尋找到最有價值的操作數(shù)據(jù)？

我們不能頭疼醫(yī)頭腳疼醫(yī)腳，必須找到問題的根源，首先須從能夠產(chǎn)生風(fēng)險的各個層面去降低風(fēng)險，才能夠徹底解決問題。為什么用戶往往提出的都是操作審計需求，而不是安全管理需求，是因為操作審計其實是露出冰山上的那個角，更多的需求是隱藏在水面下的，不深入挖掘是很難發(fā)現(xiàn)。

我們解決問題的思路是風(fēng)險從哪里來、存在于哪里，才能去解決。因為IT運維操作的風(fēng)險來源于管理模式、用戶、操作等各個方面，所以我們給用戶提供的是一個對操作進(jìn)行集中管理，對身份、訪問、權(quán)限、審計進(jìn)行控制，真正幫助用戶降低運維操作風(fēng)險的整體解決方案，而不是一個單純的審計功能的產(chǎn)品。

專注于網(wǎng)絡(luò)信息安全領(lǐng)域的帕拉迪科技，綜合多年的IT運維管理建設(shè)的經(jīng)驗和業(yè)界信息安全建設(shè)的基礎(chǔ)上，對于組織信息系統(tǒng)中“人”的管理方面進(jìn)行了多年的研究，推出的PLDSEC SMS是一套綜合管理組織信息系統(tǒng)中“人”的身份及訪問安全管理的解決方案。從理順、簡化組織信息系統(tǒng)“人”的操作流程、規(guī)范，約束、控制組織信息系統(tǒng)“人”的網(wǎng)絡(luò)權(quán)限、行為角度出發(fā)，結(jié)合組織業(yè)務(wù)系統(tǒng)的特點，按照信息系統(tǒng)“人”的管理角度進(jìn)行組織信息系統(tǒng)“人”的綜合治理。

集中管理是前提

管理模式是首要因素，管理是從一個很高的高度，綜合考慮整體的情況，然后制定相應(yīng)的策略，最后落實到技術(shù)實現(xiàn)上。管理解決的是面的問題，技術(shù)解決的是點的問題，管理的模式?jīng)Q定了管理的高度。

隨著應(yīng)用的發(fā)展，設(shè)備越來越多，維護(hù)人員也越來越多，當(dāng)管理一個人員組成復(fù)雜、設(shè)備種類繁多（WINDOWS，UNIX，LINUX，網(wǎng)絡(luò)設(shè)備）的復(fù)雜網(wǎng)絡(luò)環(huán)境時，集中管理變得非常必要。只有集中才能夠?qū)崿F(xiàn)統(tǒng)一管理，也只有集中管理才能把復(fù)雜問題簡單化，集中管理是技術(shù)運維管理思想發(fā)展的必然趨勢，也是唯一的選擇。

帕拉迪統(tǒng)一安全平臺（PLDSEC SMS）提供統(tǒng)一的集中操作管理平臺，完成對“你是誰”、“你能去哪里”、“你能做什么”、“你做了什么”的全程跟蹤、控制與審計。

“集中管理”提供服務(wù)器統(tǒng)一操作管理平臺，隔離“人（操作者）”和“主機設(shè)備等重要資源（操作對象）”直接連接，規(guī)范服務(wù)器操作管理行為，將管理、維護(hù)數(shù)據(jù)流和業(yè)務(wù)數(shù)據(jù)流分離，統(tǒng)一操作管理接口，完成和諧、規(guī)范、有序網(wǎng)絡(luò)構(gòu)建和資源使用行為控制，為隨后的“集中認(rèn)證”、“訪問控制”、“權(quán)限控制”和“操作審計”打下堅實基礎(chǔ)。

身份管理是基礎(chǔ)

身份管理解決的是操作者的身份識別和工作角色的問題。用戶的身份和工作的角色并不是一個概念，用戶身份是用來識別和確認(rèn)操作者的，工作角色是為了在目標(biāo)設(shè)備上完成工作任務(wù)的，一個用戶可以對應(yīng)多個工作角色，一個工作角色也可以對應(yīng)多個用戶。

因為所有的操作都是維護(hù)人員進(jìn)行的，如果我們連維護(hù)人員的身份和角色都無法確認(rèn)，那么不管我們怎么控制、怎么審計都無法準(zhǔn)確的定位操作責(zé)任人，所以身份管理是基礎(chǔ)。

帕拉迪實現(xiàn)了“用戶帳號”、“系統(tǒng)帳號”、“用戶密碼”、“系統(tǒng)帳號密碼”的集中管理。實現(xiàn)了“用戶帳號”與“系統(tǒng)帳號”關(guān)聯(lián)，對于用戶來說，每一個用戶有一個主賬號，而從賬號是對應(yīng)到每一個資源，解決了“共享帳號”難題；自動分發(fā)并管理系統(tǒng)帳號密碼，有效降低設(shè)備密碼管理的成本，提高管理效率。

用戶通過支持強身份認(rèn)證的單點登陸完成身份認(rèn)證進(jìn)入用戶資源展現(xiàn)平臺，即組織Portal。資源使用者可以在資源展現(xiàn)界面直接訪問得到授權(quán)的資源，而資源管理者通過資源展現(xiàn)界面對組織資源進(jìn)行配置和管理。

訪問控制是手段

操作者身份確定后，下一個問題就是他能訪問什么資源。如果操作者可以隨心所欲訪問任何資源，就等于沒控制，所以需要通過訪問控制確保合法操作者合法訪問資源，有效降低未授權(quán)訪問所帶來的風(fēng)險。

帕拉迪通過訪問控制網(wǎng)關(guān)，實現(xiàn)用戶的主機資產(chǎn)授權(quán)和資源帳號授權(quán)。用戶訪問控制策略根據(jù)“人”進(jìn)行組織:

你是誰？(who)，什么時候？(when)

去哪里？(where)，做什么？(what)

權(quán)限控制是核心

對于運維操作來說，權(quán)限控制是從操作層面控制操作者的權(quán)限，因為操作是最核心的風(fēng)險因素，只有真正控制住用戶的操作權(quán)限，才能有效的降低操作風(fēng)險。

帕拉迪采用類防火墻的命令控制策略，準(zhǔn)確識別用戶操作意圖，識別用戶輸入操作命令，對違反命令策略的操作行為，能夠?qū)崟r阻斷或給予警告；操作限制支持時間、用戶原始IP地址、目標(biāo)服務(wù)器地址、用戶名稱、系統(tǒng)帳號、使用的命令等策略因子。對高危命令要能自動阻斷命令的執(zhí)行，對越權(quán)操作行為要能及時警告。

操作審計是保證

風(fēng)險管理和內(nèi)控管理是現(xiàn)代組織不遺余力地投入資源進(jìn)行建設(shè)的目標(biāo)，而完備的、健全的、有效的集中審計系統(tǒng)就是通往這一目標(biāo)的重要途徑和手段。

一方面，集中審計可以幫助管理層和審計者審核信息系統(tǒng)的運行是否符合法律法規(guī)的要求和組織的安全策略；另一方面，這些寶貴的審計信息在信息系統(tǒng)出現(xiàn)故障和安全事故時，幫助調(diào)查者深入挖掘事件背后的情報，重建事件過程，直至完整的分析定位事件的本源，并部署進(jìn)一步的措施來避免損失的再次發(fā)生。

帕拉迪服務(wù)器統(tǒng)一安全管理系統(tǒng)集中審計模塊幫助記錄發(fā)生在重要信息系統(tǒng)中各種各樣的會話和事件，包括網(wǎng)絡(luò)中的、主機操作系統(tǒng)中的以及應(yīng)用系統(tǒng)中的如ORACLE數(shù)據(jù)庫等。操作行為審計信息反映了信息系統(tǒng)、服務(wù)器資源運行的基本軌跡。

1、“細(xì)粒度”數(shù)據(jù)庫審計：?

1. 深度解碼數(shù)據(jù)庫網(wǎng)絡(luò)傳輸協(xié)議，完整、細(xì)粒度分析并再現(xiàn)用戶數(shù)據(jù)庫操作活動過程。完整記錄用戶數(shù)據(jù)庫會話細(xì)節(jié)，包括用戶數(shù)據(jù)庫登錄行為、登出行為、SQL操作用戶名稱、SQL操作源程序名稱、SQL操作源終端名稱、SQL操作源終端登錄用戶名稱、SQL會話參數(shù)設(shè)置、SQL操作語句、SQL操作返回狀態(tài)、SQL操作涉及表組、字段、視圖、索引、過程?、函數(shù)、SQL DML操作影響行數(shù)、SQL SELECT操作返回行數(shù)、SQL語句執(zhí)行時間、原始數(shù)據(jù)庫記錄包等。此功能國內(nèi)唯一。
2. 完整解析、記錄、關(guān)聯(lián)SQL操作語句綁定參數(shù)，可自動回溯重構(gòu)完整SQL操作語句。
3. 實時監(jiān)控來自各個層面的所有數(shù)據(jù)庫活動，包括來自應(yīng)用系統(tǒng)發(fā)起的數(shù)據(jù)庫操作請求、來自數(shù)據(jù)庫客戶端工具的操作請求。
4. 提供靈活的數(shù)據(jù)庫訪問行為來源限制，可選擇忽略審計特定網(wǎng)絡(luò)和主機產(chǎn)生的數(shù)據(jù)庫SQL操作；亦可限制僅對特定“嫌疑”對象進(jìn)行細(xì)粒度、全方位審計，包括記錄整個數(shù)據(jù)庫操作會話過程所有網(wǎng)絡(luò)數(shù)據(jù)包。
5. 覆蓋主流商用數(shù)據(jù)庫，包括：Oracle 8/9/10/11等、Sybase所有版本、SQL Server 2000/2005、Informix所有版本、DB2所有版本、Mysql所有版本。

2、靈活的數(shù)據(jù)庫訪問策略：

1. 提供來源（客戶端）登錄IP異常探測、數(shù)據(jù)庫登錄用戶名稱異常探測、數(shù)據(jù)庫操作源終端異常探測、數(shù)據(jù)庫操作源程序名稱異常探測、數(shù)據(jù)庫操作源終端用戶名稱異常探測。
2. 提供數(shù)據(jù)庫SQL語句執(zhí)行時間、數(shù)據(jù)庫操作閑置時間策略報警，提供數(shù)據(jù)庫DML操作影響行數(shù)策略報警，提供數(shù)據(jù)庫SELECT SQL操作語句返回行數(shù)策略報警。
3. 提供全方位的策略規(guī)則匹配，策略因子包括：數(shù)據(jù)庫操作來源IP地址、數(shù)據(jù)庫服務(wù)器IP/端口、數(shù)據(jù)庫類型、數(shù)據(jù)庫名稱、數(shù)據(jù)庫登錄用戶名稱、數(shù)據(jù)庫操作源程序名稱、數(shù)據(jù)庫操作源終端名稱、數(shù)據(jù)庫操作源終端用戶名稱、SQL操作語句（DDL、DML、DCL）、高級權(quán)限操作、存儲過程、數(shù)據(jù)庫表組（表、字段、值）、數(shù)據(jù)庫SCHEMA、操作執(zhí)行時間、操作返回條目大小等。
4. 多形式的實時告警：當(dāng)檢測到可疑操作或違反審計規(guī)則的操作時，系統(tǒng)可以通過監(jiān)控中心告警、短信告警、郵件告警、SYSLOG告警等方式通知數(shù)據(jù)庫管理員。
5. 根據(jù)設(shè)定的數(shù)據(jù)庫策略，可選擇對關(guān)鍵資源操作行為進(jìn)行數(shù)據(jù)包錄像、深度分析解析開關(guān)。

3、全面完整的數(shù)據(jù)庫審計與操作回溯：?

1. 記錄數(shù)據(jù)庫會話詳細(xì)細(xì)節(jié)，當(dāng)發(fā)生數(shù)據(jù)庫安全事件時，用戶可根據(jù)數(shù)據(jù)庫地址、源客戶端地址、事件發(fā)生時間、數(shù)據(jù)庫安全事件內(nèi)容等，快速檢索定位操作會話。
2. 會話審計記錄細(xì)致到每一次事務(wù)/查詢的原始信息，記錄所有的關(guān)鍵信息，至少包括以下各個方面：數(shù)據(jù)庫服務(wù)器名稱、數(shù)據(jù)庫操作源IP地址、目的IP地址、原始的查詢指令、關(guān)聯(lián)參數(shù)綁定后的數(shù)據(jù)庫SQL操作語句、源應(yīng)用程序名稱、數(shù)據(jù)庫用戶名稱、訪問源操作系統(tǒng)用戶名稱、訪問源操作主機名稱、高級權(quán)限操作、存儲過程、目標(biāo)數(shù)據(jù)庫、SCHEMA、操作回應(yīng)內(nèi)容、操作返回的錯誤代碼、操作回應(yīng)的時間、操作回應(yīng)條目大小、選定的原始數(shù)據(jù)包片段等。
3. 提供完善的違規(guī)實時告警，包括異常告警、違反策略告警等。告警信息可根據(jù)數(shù)據(jù)庫地址、數(shù)據(jù)庫名稱、訪問源IP地址、用戶名稱、源程序名稱、源終端名稱等排序、統(tǒng)計

• 用戶管理

用戶管理的主要對象是使用“IT運維統(tǒng)一安全管理平臺”的人員，它包括系統(tǒng)管理員、操作人員、開發(fā)人員以及第三方維護(hù)人員（比如計算機廠家技術(shù)人員、數(shù)據(jù)庫廠家技術(shù)人員等）。對于大型組織機構(gòu)或組織，其操作系統(tǒng)、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備眾多，系統(tǒng)管理人員可能分屬于不同的部門，因此，身份信息中包含了其他如人員歸屬部門、聯(lián)系方式等信息，以方便在緊急事件發(fā)生時的聯(lián)系、告警等。

用戶管理還根據(jù)每個操作崗位來定義用戶的角色。同一類用戶還可以歸結(jié)為用戶組。

• 身份認(rèn)證

對登錄的身份驗證，采取強認(rèn)證方式。系統(tǒng)可以采用X509 V3數(shù)字證書的數(shù)字簽名及驗簽功能實現(xiàn)用戶身份認(rèn)證，證書可存儲在USB KEY中。同時系統(tǒng)支持動態(tài)口令身份認(rèn)證機制，包括支持動態(tài)口令和靜態(tài)密碼結(jié)合的認(rèn)證模式。

身份認(rèn)證支持多種認(rèn)證方式組合認(rèn)證。

對登錄認(rèn)證失敗采取限時登錄控制。

• 單點登錄

用戶通過身份認(rèn)證后，即可獲得可訪問資源（主機和數(shù)據(jù)庫中的二級賬號）列表，在用戶請求訪問資源時，可以通過自身遠(yuǎn)程連接工具或者通過B/S方式訪問”IT運維統(tǒng)一安全管理平臺”登錄所訪問的資源，從而實現(xiàn)單點登錄（SSO）。

系統(tǒng)管理員在單點登錄的條件下，不需要記憶眾多二級帳號的密碼，帳號密碼也將按照密碼管理策略進(jìn)行定期更新，避免因為密碼被破譯而造成安全風(fēng)險。同時客戶端也不會出現(xiàn)明文密碼傳輸。單點登錄支持常見的Telnet、FTP、SSH、RDP、X11、VNC、Oracle、Sybase、SQL server等的單點登錄，包括以主機為“跳板”的登錄。

這里資源指的是各種主機(操作系統(tǒng))、數(shù)據(jù)庫、中間件、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等。

資源的描述采用標(biāo)準(zhǔn)標(biāo)記進(jìn)行描述，如主機的描述項主要有：訪問協(xié)議、IP地址、服務(wù)器名稱、別名、操作系統(tǒng)類型/版本等。其目的是便于對眾多需要進(jìn)行管理的資源進(jìn)行分類保護(hù)、審計、管理。

目前”IT運維統(tǒng)一安全管理平臺”支持管理的資源如表1。

UNIX

IBM-AIX

HP-UNIX

對資源的管理還包括：資源的變更、資源注銷、資源編輯、下線等一系列運維管理的需求。

用戶是指使用信息系統(tǒng)的組織內(nèi)正式或臨時的員工、來自合作伙伴或設(shè)備供應(yīng)商的工作人員等。

賬號是指具體使用系統(tǒng)和業(yè)務(wù)系統(tǒng)的主體，一個賬號信息包括用戶ID、用戶名稱、所屬的組ID，一個賬號可以屬于多個不同的組。

用戶與賬號的關(guān)系是這樣的：一個用戶可以擁有信息系統(tǒng)中的一個或多個賬號，也可以不擁有任何賬號；賬號一般與一個特定的用戶相關(guān)聯(lián)，也可以不屬于任何一個用戶（孤立的賬號），甚至可以屬于多個用戶（多個用戶共享同一賬號）。為了分解這種復(fù)雜的應(yīng)用關(guān)系，在我們的系統(tǒng)中賬號的概念還要區(qū)分一級賬號和二級賬號：一級賬號與用戶關(guān)聯(lián)，二級帳號存在于各種資源中。通過賬號管理模塊管理用戶一級賬號和二級賬號之間的關(guān)系，并捆綁相關(guān)的訪問策略。在賬號管理中主要管理以下幾個方面：

一級帳戶管理

由于”IT運維統(tǒng)一安全管理平臺”系統(tǒng)是采用數(shù)字證書認(rèn)證模式，在管理系統(tǒng)中以員工或自然人為單位建立賬戶（一級賬戶），并進(jìn)行集中的員工合法身份識別。

1. 實現(xiàn)一級帳號的組織管理，建立相應(yīng)樹狀目錄用于合理組織主帳號。
2. 實現(xiàn)一級帳號的組管理，建立相應(yīng)的帳號組，用于對帳號集合進(jìn)行集中維護(hù)。
3. 實現(xiàn)對一級帳號生命周期管理，包括建立、激活、鎖定、凍結(jié)、修改、刪除等功能。
4. 實現(xiàn)一級屬性管理，用于對帳號的多種屬性進(jìn)行管理，包括帳號認(rèn)證方式、時效性和其他屬性的管理。

二級帳戶管理

“IT運維統(tǒng)一安全管理平臺”系統(tǒng)要求對信息支撐體系生產(chǎn)環(huán)境中所有服務(wù)器上各類操作系統(tǒng)、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備中的賬號（以下簡稱二級賬戶）的訪問行為實現(xiàn)認(rèn)證，做到一次身份驗證成功，按照權(quán)限定義可以登陸不同IT設(shè)施的不同二級賬戶，而無須再輸入二級賬戶本身設(shè)置的密碼。

二級帳戶管理主要功能是：

1. 實現(xiàn)對二級賬戶生命周期管理，包括同步、修改、刪除等功能。
2. 實現(xiàn)對二級賬戶屬性管理，包括從帳號的密碼等內(nèi)容。
3. 實現(xiàn)二級帳戶的添加管理和編輯。

HA主機管理功能：關(guān)鍵業(yè)務(wù)系統(tǒng)會采取HA運行模式。由于HA模式與操作系統(tǒng)有關(guān)，不同的操作系統(tǒng)有不同的同步方式。系統(tǒng)目前支持：HP集群、IBM集群、SUN集群以及Linux、SUSZ集群賬號管理的策略，那些主機的賬號同步保持一致，均可以進(jìn)行策略的定制，以滿足HA主機的賬號同步的需求。例如在資源的控制中我們可以設(shè)定主機A與主機B的二級賬號管理策略完全一樣，這樣就有效的避免了HA系統(tǒng)切換后的浮動IP遷移造成的問題。

通過用戶與權(quán)限的分離，使得權(quán)限管理方便靈活；通過用戶與角色的指定，角色與權(quán)限的配置，又可使基于角色的訪問控制達(dá)到所需的安全要求。在本系統(tǒng)中權(quán)限管理分幾個層面：

1. 系統(tǒng)實現(xiàn)分權(quán)管理：通過系統(tǒng)初始化授權(quán)，系統(tǒng)自身管理可以達(dá)到三權(quán)分立效果，???即平臺管理員負(fù)責(zé)用戶身份信息模塊、資源模塊等基礎(chǔ)配置信息的管理；系統(tǒng)管理員負(fù)責(zé)資源授權(quán)、訪問控制管理模塊授權(quán)以及加載訪問策略；審計管理員負(fù)責(zé)審計信息管理；并且通過角色互斥策略，可以防止一人同時擔(dān)任多個管理員角色，真正實現(xiàn)三權(quán)分立。
2. 平臺管理員對使用本系統(tǒng)的操作人員進(jìn)行角色定義和可訪問資源范圍的授權(quán)。
3. 各業(yè)務(wù)系統(tǒng)的系統(tǒng)管理員（或者是網(wǎng)絡(luò)管理員）負(fù)責(zé)自己管理范圍內(nèi)資源中二級帳號的訪問授權(quán)和賦予相應(yīng)的訪問控制策略，比如建立黑白命令策略。

在實際應(yīng)用中用戶通過賬號管理，完成一級賬號和二級帳號、可訪問資源的關(guān)聯(lián)管理后，可根據(jù)用戶的崗位角色來分類，再根據(jù)角色集中授權(quán)，這樣可以實現(xiàn)不同的用戶對不同的資源進(jìn)行訪問控制。集中授權(quán)管理分兩個階段，即統(tǒng)一權(quán)限分配階段和訪問授權(quán)階段。

1. 系統(tǒng)對主機設(shè)備的授權(quán)粒度包括：限制設(shè)備IP地址、限制設(shè)備IP地址段、定制用戶在目標(biāo)主機上的權(quán)限和限制（可至命令級），如：可用Shell命令和其它可執(zhí)行程序等。
2. 系統(tǒng)對網(wǎng)絡(luò)設(shè)備的授權(quán)粒度包括：訪問的設(shè)備IP地址、以管理員身份進(jìn)行管理、限定特權(quán)用戶和定制可用命令集等。
3. 系統(tǒng)對數(shù)據(jù)庫的授權(quán)粒度包括：限制的訪問主機IP地址、數(shù)據(jù)庫名、數(shù)據(jù)庫表名，數(shù)據(jù)表項和數(shù)據(jù)庫操作等。
4. 系統(tǒng)支持對被訪問資源的其他限制包括：訪問時間段、訪問頻率、訪問次數(shù)和IP地址等。
5. 操作策略控制：系統(tǒng)不僅可以對操作命令定制相應(yīng)的黑名單、白名單，同時對于重要的操作也進(jìn)行相應(yīng)的警示和控制，如刪除系統(tǒng)中的重要文件，刪除重要數(shù)據(jù)庫表中的數(shù)據(jù)或表本身。系統(tǒng)不僅提供常規(guī)審計存儲，而且將這些數(shù)據(jù)單獨存儲并每日提供分析報表，以便用戶在發(fā)生數(shù)據(jù)安全事故時快速查找到事故原因。

在我們的系統(tǒng)管理中，密碼管理是系統(tǒng)的核心，它主要是對資源中的二級帳號管理過程中起到接管控制作用，從而杜絕內(nèi)部人員以及黑客通過木馬等非法手段獲取關(guān)鍵生產(chǎn)數(shù)據(jù)，提高了信息系統(tǒng)的安全等級。通過這種管理模式強化主機系統(tǒng)和數(shù)據(jù)庫系統(tǒng)、網(wǎng)絡(luò)設(shè)備的賬號密碼策略，可以提供高強度組合密碼策略；集中管理密碼的時間策略、位長策略。

1. 能夠通過TELNET、SSH，自動更新遠(yuǎn)程服務(wù)器密碼
2. 自動更新密碼支持復(fù)雜密碼，支持字母、數(shù)字、大寫、特殊字符密碼隨意組合。
3. 遠(yuǎn)程密碼自動更新支持定時更新和周期更新
4. 遠(yuǎn)程密碼自動更新帳號可選擇，能夠?qū)x定帳號進(jìn)行自動更新，其它密碼保持不變。
5. 遠(yuǎn)程密碼自動更新的同時不影響字符終端、圖形終端、SFTP傳輸單點登陸功能，自動更新周期支持“秒”級單位。
6. 通過密碼自動更新功能，降低部署難度和復(fù)雜度。

在”IT運維統(tǒng)一安全管理平臺”平臺中的日志有兩類來源：通過安全訪問網(wǎng)關(guān)實時記錄的日志信息，以及系統(tǒng)操作日志。對這些日志信息進(jìn)行歸類、整理、分析、統(tǒng)計、以及可疑事件的告警、回放、追蹤，構(gòu)成了日志管理分析子系統(tǒng)的主要內(nèi)容。日志管理的主要功能包括：

日志收集保存

對上述兩類日志進(jìn)行處理、分類、存儲。在結(jié)構(gòu)上采用可靠性很高的消息傳輸機制，將訪問控制、身份和授權(quán)管理與日志管理分析子系統(tǒng)從結(jié)構(gòu)上解耦，使得整個系統(tǒng)更可靠、更穩(wěn)定，而且可以確保日志信息不會因網(wǎng)絡(luò)等意外而丟失。

日志查詢

由于日志信息量大，因此好的查詢功能非常重要。在本系統(tǒng)中，查詢條件支持：目標(biāo)主機地址、登錄地址、網(wǎng)關(guān)帳號、主機帳號、起始日期、結(jié)束日期、起始時間、結(jié)束時間、用戶命令等。查詢支持用戶原始操作數(shù)據(jù)以文本和錄像方式展現(xiàn)。

準(zhǔn)確識別用戶操作意圖，識別用戶輸入操作命令，并對用戶操作進(jìn)行限制。操作限制支持時間、用戶原始IP地址、目標(biāo)服務(wù)器地址、用戶名稱、系統(tǒng)帳號、使用的命令等策略因子。對高危命令要能自動阻斷命令的執(zhí)行，對越權(quán)操作行為要能及時警告。

用戶通過SSH、TELNET、RDP、 X11、VNC 、FTP、SFTP、SCP等方式在服務(wù)器上的所有操作行為以及對Oracle、DB2、Sybase等數(shù)據(jù)庫訪問行為，都能做到全記錄、全審計，可真實再現(xiàn)用戶操作現(xiàn)場。

深度解碼數(shù)據(jù)庫網(wǎng)絡(luò)傳輸協(xié)議，完整、細(xì)粒度分析并再現(xiàn)用戶數(shù)據(jù)庫操作活動過程。完整記錄用戶數(shù)據(jù)庫會話細(xì)節(jié)，包括用戶數(shù)據(jù)庫登錄行為、登出行為、SQL操作用戶名稱、SQL操作源程序名稱、SQL操作源終端名稱、SQL操作源終端登錄用戶名稱、SQL會話參數(shù)設(shè)置、SQL操作語句、SQL操作返回狀態(tài)、SQL操作涉及表組、字段、視圖、索引、過程 、函數(shù)、SQL DML操作影響行數(shù)、SQL SELECT操作返回行數(shù)、SQL語句執(zhí)行時間、原始數(shù)據(jù)庫記錄包等，此功能國內(nèi)唯一。

完整解析、記錄、關(guān)聯(lián)SQL操作語句綁定參數(shù)，可自動回溯重構(gòu)完整SQL操作語句。實時監(jiān)控來自各個層面的所有數(shù)據(jù)庫活動，包括來自應(yīng)用系統(tǒng)發(fā)起的數(shù)據(jù)庫操作請求、來自數(shù)據(jù)庫客戶端工具的操作請求。提供靈活的數(shù)據(jù)庫訪問行為來源限制，可選擇忽略審計特定網(wǎng)絡(luò)和主機產(chǎn)生的數(shù)據(jù)庫SQL操作；亦可限制僅對特定“嫌疑”對象進(jìn)行細(xì)粒度、全方位審計，包括記錄整個數(shù)據(jù)庫操作會話過程所有網(wǎng)絡(luò)數(shù)據(jù)包。

覆蓋主流商用數(shù)據(jù)庫，包括：Oracle 8/9/10/11等、Sybase所有版本、SQL Server 2000/2005、Informix所有版本、DB2所有版本、Mysql所有版本。

IT運維統(tǒng)一安全管理平臺提供下列報表：

1. 字符操作報表：為系統(tǒng)管理員提供字符化主機各種賬號管理的情況。
2. 圖形操作報表：為系統(tǒng)管理員提供圖形化主機各種賬號管理的情況。
3. 文件傳輸報表：為系統(tǒng)管理員提文件服務(wù)器各種賬號管理的情況。
4. 統(tǒng)計報表：這是為審計提供的參考報表，反映用戶運維相關(guān)操作記錄匯總數(shù)據(jù)。
5. 事件審計報表：提供安全審計人員參考，詳細(xì)分析具體用戶操作記錄。
6. 可以提供Excel、PDF等格式報表。

隨著組織對內(nèi)控和安全審計意識的不斷增強、網(wǎng)絡(luò)安全理念的不斷更新，帕拉迪服務(wù)器管理審計系統(tǒng)也會隨之成為服務(wù)器安全審計管理的一項有力工具和措施。整體項目實施完畢后可以為用戶在服務(wù)器運維管理方面節(jié)省大量的人力、財力等，幫助用戶構(gòu)建更為安全、規(guī)范的IT運維環(huán)境。

1. 滿足IT內(nèi)控、SOX、COBIT等法案法規(guī)合規(guī)性要求
2. 規(guī)范管理，梳理管理數(shù)據(jù)流和業(yè)務(wù)數(shù)據(jù)流，做到對管理數(shù)據(jù)流進(jìn)行操作審計，解決安全管理領(lǐng)域“人”的問題。
3. 解決操作管理、重要應(yīng)用、機密資料安全審計難題，通過“操作機”將使用者電腦變?yōu)椤笆菘蛻魴C”，避免使用者電腦通過網(wǎng)絡(luò)直接接觸重要應(yīng)用和機密資料，降低木馬、間諜、內(nèi)部安全威脅。
4. 建立統(tǒng)一資源操作管理平臺，完成服務(wù)器集群統(tǒng)一操作管理。管理行為不再“隨時隨地”，操作審計不再“若有若無”，用戶行為不再“無法無天”，管理員從此擺脫網(wǎng)絡(luò)管理“黑匣子”時代，對服務(wù)器上管理行為“了然于胸”。
5. 操作審計方案完備，解決審計“死角”，解決圖形審計難題，解決服務(wù)器間跳轉(zhuǎn)操作（WINDOWS跳轉(zhuǎn)到UNIX）進(jìn)而逃避審計行為，不留審計漏洞，惡意用戶無法逃避監(jiān)控。
6. 減輕管理員工作壓力，提高工作效率，確保管理制度的順利實施
7. 完成對第三方代維、系統(tǒng)集成商現(xiàn)場施工的規(guī)范化管理，防范外來風(fēng)險
8. 如果發(fā)生事故，快速、準(zhǔn)確的進(jìn)行責(zé)任鑒定和安全事件追溯，采取補救措施
9. 準(zhǔn)確審計數(shù)據(jù)庫SQL操作語句，防范ORACLE、SYBASE、MS SQL、INFORMIX、DB2、Mysql等數(shù)據(jù)庫安全風(fēng)險

1. 可兼容管理所有支持（ssh/telnet、ftp標(biāo)準(zhǔn)協(xié)議） CLI命令方式管理的設(shè)備。
2. 對高危命令的操作系統(tǒng)將實時阻斷或給予警告（可手機短信通知信息主管人員）。
3. 對授權(quán)用戶操作的實時全程監(jiān)控。
4. 對第三方廠商程序開發(fā)人員、系統(tǒng)維護(hù)人員、數(shù)據(jù)庫管理人員等多種角色進(jìn)行身份的認(rèn)證及操作監(jiān)控。
5. 規(guī)范用戶操作習(xí)慣（防止授權(quán)用戶的誤操作、無用操作）。
6. 全方位的主機信息安全保障，可以制定嚴(yán)格的策略和用戶權(quán)限的分配做到事前預(yù)防，事中危險操作的實時阻斷，事后的責(zé)任認(rèn)定。

最細(xì)粒度的審計查詢功能

1. 用戶可根據(jù)具體的操作命令、用戶名、時間、IP地址等8個條件任意組合查詢、定位操作日志。
2. 對菜單向?qū)ь惒僮鞯闹悄軐徲嫴⒖蓪ζ洳僮鬟^程實時的歷史回放，如：informix數(shù)據(jù)庫操作、smitty 命令。
3. 對共用帳號的操作進(jìn)行全記錄全審計（如：對多個擁有root權(quán)限的操作人員做強身份識別）。
4. 對用戶在服務(wù)器間的跳轉(zhuǎn)登錄的全記錄，每個跳轉(zhuǎn)動作單獨生成一個會話。

“零”影響部署

1. 不影響任何業(yè)務(wù)數(shù)據(jù)流。
2. 設(shè)備的部署不更改現(xiàn)有的網(wǎng)絡(luò)拓?fù)洹?/li>
3. 不增加系統(tǒng)和網(wǎng)絡(luò)性能的負(fù)載。
4. 部署方式靈活多樣，部署周期短。
5. 不改變管理員操作習(xí)慣（不需要安裝客戶端工具）。

PLDSEC SMS與DbXpert綜合平臺的建設(shè)是為了集中管理，集中管理的好處就在于簡化了系統(tǒng)的操作流程。最大好處就是PLDSEC SMS與DbXpert綜合平臺實現(xiàn)了系統(tǒng)資源、應(yīng)用資源的單點登錄。包括系統(tǒng)管理員、普通用戶在內(nèi)的所有系統(tǒng)用戶，登錄到PLDSEC SMS與DbXpert綜合平臺后，由PLDSEC SMS與DbXpert綜合平臺授權(quán)并列出用戶可訪問的所有系統(tǒng)，用戶只需要點擊按鈕就可以登錄到系統(tǒng)。這樣用戶就不需要輸入賬號、口令來進(jìn)行系統(tǒng)間的切換，當(dāng)用戶可訪問的系統(tǒng)較多時，單點登錄就可以簡化用戶的切換流程、節(jié)約用戶切換系統(tǒng)的時間，這將提高用戶的系統(tǒng)訪問效率。

帕拉迪統(tǒng)一安全管理與綜合審計系統(tǒng)對用戶實現(xiàn)統(tǒng)一的賬號管理、統(tǒng)一的資源管理和統(tǒng)一的用戶身份認(rèn)證，這不僅實現(xiàn)了統(tǒng)一、集中的管理，而且相對于傳統(tǒng)的系統(tǒng)管理方式，是一種質(zhì)的提高。因為在傳統(tǒng)計算機系統(tǒng)管理模式下，各個系統(tǒng)都單獨有其賬號管理、資源管理、身份認(rèn)證的應(yīng)用模塊，當(dāng)系統(tǒng)比較多時，這些模塊就顯得非常的繁雜，不同的系統(tǒng)需要有不同的人員進(jìn)行管理和維護(hù)，并且維護(hù)工作量較大。當(dāng)PLDSEC SMS與DbXpert綜合平臺建設(shè)完成后，對于這些模塊可以基于統(tǒng)一平臺開發(fā)，并且開發(fā)的接口可以是一直的，所以在后期新建應(yīng)用系統(tǒng)時，一方面可以進(jìn)行代碼的移植，各新建系統(tǒng)直接采用統(tǒng)一的賬號管理、資源管理、身份認(rèn)證等程序模塊；另一方面可以使開發(fā)人員的開發(fā)和調(diào)試周期大大縮短，相應(yīng)的降低開發(fā)和管理成本。對于管理員來說，可以利用PLDSEC SMS與DbXpert綜合平臺統(tǒng)一管理各系統(tǒng)的接口，可以簡化原有系統(tǒng)管理人員的數(shù)量，有效降低系統(tǒng)管理成本。

帕拉迪統(tǒng)一安全管理與綜合審計系統(tǒng)的最終目標(biāo)是在實現(xiàn)統(tǒng)一、集中的管理模式下，大力提高計算機系統(tǒng)的安全性。

對于系統(tǒng)資源和應(yīng)用資源來說，在PLDSEC SMS與DbXpert綜合平臺下實現(xiàn)統(tǒng)一的賬號管理，賬號管理基本功能是對員工賬號的全生命周期管理，即當(dāng)用戶入職時創(chuàng)建賬號，當(dāng)用戶崗位變化時改變用戶賬號的屬性，當(dāng)用戶離職時注銷用戶的賬號；另外賬號管理系統(tǒng)可以對用戶的口令設(shè)置安全策略，例如，可以設(shè)置口令的最少長度、口令的復(fù)雜度、口令更改的頻度等。PLDSEC SMS與DbXpert綜合平臺的統(tǒng)一身份認(rèn)證功能，支持動態(tài)口令，這將有力的保證用戶賬號的口令不被暴力破解，使系統(tǒng)賬號的安全性發(fā)生了質(zhì)的提高。對于用戶的訪問控制，是PLDSEC SMS與DbXpert綜合平臺保證系統(tǒng)安全的防盜門，管理員可以對某一個賬號進(jìn)行權(quán)限的劃分，使用戶在最小權(quán)限內(nèi)完成自己的工作，杜絕用戶的越權(quán)訪問。例如，可以對第三方的廠家、系統(tǒng)維護(hù)人員，限定可訪問的范圍、限定可執(zhí)行的命令，這樣就可以保證系統(tǒng)資源被正確的訪問，而不發(fā)生越權(quán)行為，對于黑客的惡意攻擊也是一種事前防范的措施。最后，PLDSEC SMS與DbXpert綜合平臺提供的安全審計功能，可以有效的記錄用戶的操作行為，提供有力的事后追蹤依據(jù)。

在PLDSEC SMS與DbXpert綜合平臺的有效安全管理之下，系統(tǒng)資源和應(yīng)用資源的安全性，必然發(fā)生質(zhì)的飛躍。從而減少安全事件的發(fā)生，保證系統(tǒng)安全、穩(wěn)定的運行，最終帶來顯性的經(jīng)濟(jì)效益。

PLDSEC SMS與DbXpert綜合平臺的報表系統(tǒng)是PLDSEC SMS與DbXpert綜合平臺的財富所在。PLDSEC SMS與DbXpert綜合平臺集中的審計數(shù)據(jù)庫包括了系統(tǒng)資源、應(yīng) 用資源所有的日志數(shù)據(jù)，是一個集中的掘金庫，因為其數(shù)據(jù)的集中度是前所未有的，對于用戶的行為審計和關(guān)聯(lián)分析就成為非常容易的事情。我們知道，PLDSEC SMS與DbXpert綜合平臺要求每一個系統(tǒng)用戶都有自己的一個主賬號，用戶登錄各個資源所用的是從賬號，這樣的審計信息將包含用戶主賬號、從賬號的信息，有力的維護(hù)了審計信息的抗抵賴性。

兩套系統(tǒng)是基于自主開發(fā)的安全管理平臺，報表系統(tǒng)可以根據(jù)用戶的不同需求進(jìn)行定制開發(fā)，從強大的審計數(shù)據(jù)庫中掘取用戶真正關(guān)心的數(shù)據(jù)。默認(rèn)情況下，可以提供符合SOX法案要求的報表格式，這些報表可滿足SOX審計的要求。對于用戶個性化的報表，帕拉迪將為用戶定制開發(fā)，真正做到有效、有用的報表。

DbXpert的應(yīng)用，可以讓客戶對產(chǎn)品的應(yīng)用體現(xiàn)出其真正價值所在，其產(chǎn)品優(yōu)勢有：數(shù)據(jù)庫服務(wù)器的應(yīng)用優(yōu)化、數(shù)據(jù)庫服務(wù)器的運維正常運行、敏感數(shù)據(jù)信息的泄密防護(hù)和法律責(zé)任的規(guī)避。

數(shù)據(jù)庫服務(wù)器的應(yīng)用優(yōu)化

DbXpert的部署，管理員可以通過管理平臺的各種流量排名工具，來發(fā)現(xiàn)網(wǎng)絡(luò)中的異常訪問網(wǎng)絡(luò)服務(wù)器行為、從而優(yōu)化數(shù)據(jù)庫服務(wù)器的對外應(yīng)用。

數(shù)據(jù)庫服務(wù)器的運維正常運行

DbXpert的部署，運維人員以及管理人員可以通過DbXpert的詳細(xì)審計信息、訪問者操作數(shù)據(jù)庫的指令等，用于當(dāng)數(shù)據(jù)庫因為外部操作出現(xiàn)異常、錯誤以及報警時，來判斷錯誤原因和幫助恢復(fù)服務(wù)器的正常運行。

敏感數(shù)據(jù)信息的泄密防護(hù)

DbXpert的部署，運維人員以及管理員可以通過DbXpert中的數(shù)據(jù)庫審計信息，來發(fā)現(xiàn)數(shù)據(jù)庫中的內(nèi)部敏感資料的外泄企圖和事實。

法律責(zé)任的規(guī)避

DbXpert的部署，可以審計數(shù)據(jù)庫的各種不符合當(dāng)前法律所允許的內(nèi)容，滿足相關(guān)部門對使用數(shù)據(jù)庫設(shè)備的備案審計要求。