德讯 基于IT设施安全运维风险控制解决方案

一、应用背景与现状

　　随着数据大集中进程的日益加快，大型数据中心的规模扩大迅速——投入大量如服务器类、网络类、安全类等IT基础设施；同时，信息网络技术的应用层次不断深入，应用领域从传统的、小型业务系统逐渐向大型、关键业务系统扩展，像类似于业务系统瘫痪，篡改信息或失窃之类的重大安全事故，都意味着巨大损失，根据美国FBI机构统计：在计算机网络、基础设施、存储数据遭受多种攻击和破坏中，有大概占80%的比例是来自内部人员所为，其发生频率远远高于外部黑客攻击。而对于目前大型数据中心来说，随着机房规模扩大，应用系统增加，运维人员数量增多，则意味着其发生的操作风险机率也在不断加大。

　　纵观当前市场上IT服务、安全管理产品，维护主体还是IT运维人员，只在权限方面有限制外，对于IT运维人员本身所带来的潜在操作风险却没有涉及如何防范，主要还是基于信任或责任基础上，对于管理来讲存在很大风险。

　　目前，已经越来越多的相关法令法规出台，如，美国萨班斯（Sarbanes Oxley）法案、最新发布的《巴塞尔新资本协议》我国信息安全管理体系ISO27000的总体思路、我国颁布的安全等级保护技术要求要求企业，特别是一些关键行业企事业单位，如金融、电力、政府等行业单位，建立起有效的内部审计制度，IT操作行为审计成为内部审计重中之重。
如何实现网内行为审计，控制与防范风险，是目前行业所关注的核心问题。

二、德讯IT设施安全运维风险控制解决方案

　　德讯在安全管理领域积累很深的造诣基础上，按照安全标准和规范，结合公司多年专业内控设计经验，依据目前国内外行业的安全现状以及“防范与控制运维风险”应用需求，顺应安全技术未来发展趋势，对单位内的各种操作行为进行深入研究调研、整体设计、自主研发的一套风险控制系统——基于IT设施安全运维风险控制解决方案。

　　本解决方案根据IT设施规模、业务发展特点、管理现状，兼顾国家政策法规，从四大主体（网络、服务器、数据库、应用系统）面临的五大运维操作风险行为（越权访问、权限滥用、误操作、盗用数据、篡改数据等）进行。核心内容即是对内部IT运维人员操作风险进行审计，核心控制体系即是：建立内控体系，实施访问控制、进行安全审计，预防与控制操作风险。
本解决方案主要从数据中心运维角度考虑，其实现目标：对内部运维管理人员实现有效监管；其监管的核心：一是“审计”，二是“控制”。

　　【审计】全面覆盖一般运维管理各种途径，全面审计、录像与回放操作；——其操作行为：可定为人、时间、事件以及操作行为内容;——其作用:可威慑违规人员，防范风险，明确责任，确保系统安全稳定。

　　【控制】包含“访问控制”与“访问集中”。访问控制：即对未经授权网络访问连接进行阻断并报警，保障运维安全、防范意外风险；访问集中：通过代理方式确定网络访问通道唯一性，实现所有运维过程强制集中化管理，规范运维人员操作行为与操作习惯。

　　本方案以“旁路侦测与会话代理”相结合的方式运行，可以智能识别流经它的各种网络协议，通过特定安全管理策略，对企业所有操作行为进行实时、多层面监测、管控、审计与录像；将旁路侦测网络数据严格地按照访问会话进行重组恢复和还原用户的访问过程传送回数据中心并完成信息采集、分析和处理；以图表、日志文件、报警等多种形式实时反映。

　　通过“旁路侦测”方式实现对TELNET/HTTP/FTP/RLOGIN/ SNMP/POP3 /SMTP/等进行实时、多层面监测、管控与审计；

　　通过“会话代理”方式实现对TELNET/SSH/VNC/RDP/SCP/SFTP/ XWindows等加密与图形化方式进行实时、多层面监测、管控与审计。

图：典型部署

　　本方案采用平台部署应用模式，具有集中式和分布式灵活部署特性，能很好适应数据中心复杂的网络结构和管理要求，支持分支机构、可跨VLAN。适用于各行业对机房IT基础设施安全运维风险控制与审计的管理需求，如，电信、金融、政府、电力、保险、税务、海关、铁路、民航、军工、大型院所以及大中型企业等各行业用户。

三、某商业银行典型应用

　　某商业银行是经国家银监会批准，依照《商业银行法》、《公司法》等法律法规设立的具有一级法人资格的地方性股份制商业银行。某商业银行发展迅速，下设多家分支机构，分布于各区。某商业银行为了实现以完善法人治理结构、建立资本约束机制、增强风险控制能力等各手段，保证某商业银行信息系统安全稳定运行，将建立运维安全审计系统。

　　在单位规划建设运维安全审计系统主要目的是：对科技信息部人员及非本单位系统维护人员对行内信息系统操作行为进行监控审计，从而达到方便人员登录管理、关键系统口令安全管理、排除操作风险及事后问题追查的效果。

　　结合单位业务应用需求出发，面向采区平台模式，通过ICA旁路接入和ICS代理访问联合部署，涉及整个商业银行范围来实现安全运维需求，满足单位从“行为审计、访问控制、操作权限、报表展现、设备安全”等方面提出的具体需求。

　　本部署方案从安全审计方面实现对行内科技信息部人员及非本单位系统维护人员对行内信息系统操作行为(如Telnet、SSH终端命令操作；RDP、X-windows图形操作、FTP、SFTP、SCP等文件传输操作；http浏览器操作)进行监测、审计、预警、控制与处理，从而达到方便人员登录管理、关键系统口令安全管理、事后问题追查的效果。

　　本部署方案从运维行为控制方面实现对行内运维操作风险进行有效监控，督促业务人员规范业务操作，减少不合规、随意性，排除操作风险，从而达到减少违规操作、堵截案件的目的，可确保某商业银行在整个维护过程中安全，有效降低意外风险。