□宋 博 □閆曉敏 □趙倩倩 □劉子涵(河南省水利信息中心)
近年來隨著大數(shù)據(jù)和云計(jì)算技術(shù)的不斷成熟和發(fā)展,更多的新技術(shù)不斷地在水利行業(yè)中得到應(yīng)用,山洪災(zāi)害系統(tǒng),水資源監(jiān)控系統(tǒng),辦公自動(dòng)化和行政審批系統(tǒng)等相繼上線,使得水利信息化管理和維護(hù)任務(wù)日益繁重。政府機(jī)構(gòu)對(duì)網(wǎng)站的依賴程度也越來越大,網(wǎng)站越來越重要。傳統(tǒng)的網(wǎng)站安全產(chǎn)品很難在各式各樣的威脅下保障網(wǎng)站的安全,同時(shí)如何建立合理的管理規(guī)章制度和運(yùn)維流程,提高效率,實(shí)現(xiàn)網(wǎng)站值班工作的量化考核也是急需解決的問題。應(yīng)用安全審計(jì)系統(tǒng),提高運(yùn)維管理精細(xì)度,保障系統(tǒng)安全可靠運(yùn)行就顯得尤為重要。
主要表現(xiàn)在3個(gè)方面:一是內(nèi)部控制環(huán)節(jié)的變化,許多傳統(tǒng)的控制手段已經(jīng)失去意義,評(píng)價(jià)和改進(jìn)內(nèi)部控制必須以信息系統(tǒng)的運(yùn)轉(zhuǎn)為基礎(chǔ);二是管理的風(fēng)險(xiǎn)增加,由于單位經(jīng)營越來越依賴于信息系統(tǒng),除了傳統(tǒng)意義上的經(jīng)營風(fēng)險(xiǎn)、控制風(fēng)險(xiǎn)和財(cái)務(wù)風(fēng)險(xiǎn)之外,企業(yè)信息系統(tǒng)安全性導(dǎo)致的信息技術(shù)風(fēng)險(xiǎn)日益增長;三是對(duì)復(fù)合性高級(jí)人才的需求驟增,要求管理者、審計(jì)工程師和辦公人員必須在精通管理和專業(yè)的同時(shí)熟悉信息系統(tǒng)和網(wǎng)絡(luò)技術(shù)。
審計(jì)系統(tǒng)主要由3部分組成:數(shù)據(jù)庫審計(jì)系統(tǒng),日志審計(jì)系統(tǒng)和運(yùn)維審計(jì)系統(tǒng)。數(shù)據(jù)庫審計(jì)系統(tǒng)能夠記錄數(shù)據(jù)庫的實(shí)時(shí)活動(dòng),對(duì)數(shù)據(jù)庫的操作進(jìn)行合規(guī)性管理和細(xì)粒度審計(jì),對(duì)數(shù)據(jù)庫遭受到的風(fēng)險(xiǎn)行為進(jìn)行警告,對(duì)攻擊行為進(jìn)行阻斷。它通過對(duì)用戶訪問數(shù)據(jù)庫行為的記錄、分析和匯報(bào),用來幫助用戶事后生成合規(guī)報(bào)告、事故追根溯源,同時(shí)加強(qiáng)內(nèi)外部數(shù)據(jù)庫網(wǎng)絡(luò)行為記錄,提高數(shù)據(jù)資產(chǎn)安全性。
日志審計(jì)系統(tǒng)能夠?qū)Σ僮飨到y(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用系統(tǒng)(WEB服務(wù)器、郵件服務(wù)器、FTP服務(wù)器、中間件服務(wù)等)、數(shù)據(jù)庫系統(tǒng)等IT系統(tǒng)中記錄的日志/事件進(jìn)行集中采集、識(shí)別,利用關(guān)聯(lián)分析規(guī)格,識(shí)別優(yōu)先處理的告警事件。利用大數(shù)據(jù)的分布式存儲(chǔ)和關(guān)聯(lián)分析技術(shù),日志審計(jì)系統(tǒng)發(fā)現(xiàn)海量日志中的異常和可疑安全事件。
運(yùn)維審計(jì)系統(tǒng)是用于對(duì)第三方或者內(nèi)部運(yùn)維管理員的運(yùn)維操作行為進(jìn)行集中管控審計(jì)的系統(tǒng)。運(yùn)維審計(jì)系統(tǒng)可以規(guī)范運(yùn)維操作行為、控制并降低安全風(fēng)險(xiǎn)、滿足等級(jí)保護(hù)及其他法規(guī)對(duì)IT內(nèi)控合規(guī)性的要求。運(yùn)維審計(jì)系統(tǒng)集中管理運(yùn)維賬號(hào)、資產(chǎn)設(shè)備,集中控制運(yùn)維操作行為,能夠?qū)崿F(xiàn)實(shí)時(shí)監(jiān)控、阻斷、告警,以及事后的審計(jì)與統(tǒng)計(jì)分析。
應(yīng)用系統(tǒng)數(shù)量日益龐大,網(wǎng)絡(luò)設(shè)備數(shù)量不斷增加,當(dāng)一個(gè)設(shè)備出現(xiàn)異常后,經(jīng)常會(huì)占用整個(gè)網(wǎng)絡(luò)的大量帶寬,導(dǎo)致網(wǎng)絡(luò)癱瘓。
安全問題不斷凸顯,來自內(nèi)外部的攻擊事件,病毒,木馬等入侵,重要應(yīng)用系統(tǒng)的宕機(jī),會(huì)嚴(yán)重侵害個(gè)人正常利益甚至影響社會(huì)秩序的穩(wěn)定。
內(nèi)部管理人員安全意識(shí)不足,誤操作等,缺少完整的安全制度體系。
審計(jì)系統(tǒng)部署需要在核心交換機(jī)或者接入交換機(jī)上配置需要審計(jì)數(shù)據(jù)庫的端口鏡像,前提需要了解數(shù)據(jù)庫和中間件都經(jīng)過哪個(gè)交換機(jī),通過鏡像把所有對(duì)數(shù)據(jù)庫和中間件訪問的數(shù)據(jù)包審計(jì)下來。資產(chǎn)管理方面,統(tǒng)計(jì)需要審計(jì)數(shù)據(jù)庫的業(yè)務(wù)類型,數(shù)據(jù)庫IP地址,數(shù)據(jù)庫端口號(hào),系統(tǒng)類型重點(diǎn)包括水利網(wǎng)站,水文網(wǎng)站,虛擬平臺(tái),中間件服務(wù)器IP地址,端口號(hào),相關(guān)聯(lián)數(shù)據(jù)庫。針對(duì)人員管理方面,運(yùn)維人員劃分相應(yīng)的管理權(quán)限,添加對(duì)應(yīng)資產(chǎn)和應(yīng)用發(fā)布,設(shè)置端口和運(yùn)維權(quán)限。配置所有網(wǎng)絡(luò)設(shè)備,安全設(shè)備,服務(wù)器設(shè)備日志外發(fā)到日志審計(jì)系統(tǒng)的管理地址。
本次項(xiàng)目包括部署一臺(tái)數(shù)據(jù)庫審計(jì)系統(tǒng),系統(tǒng)的組網(wǎng)拓?fù)鋱D如下:通過在核心交換機(jī)上旁路部署數(shù)據(jù)庫審計(jì)系統(tǒng),有效的實(shí)現(xiàn)了對(duì)內(nèi)外網(wǎng)數(shù)據(jù)庫的監(jiān)聽和審計(jì),當(dāng)水利網(wǎng)核心應(yīng)用系統(tǒng)出現(xiàn)故障時(shí),及時(shí)排查數(shù)據(jù)庫改動(dòng)和異常信息,并能夠利用記錄的操作痕跡在盡量短的時(shí)間內(nèi)恢復(fù)系統(tǒng)的公共服務(wù)功能。通過相應(yīng)的中間件關(guān)聯(lián)審計(jì)手段,可以發(fā)現(xiàn)系統(tǒng)運(yùn)行是否存在安全隱患,有效的保障了水利信息網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)庫的安全穩(wěn)定運(yùn)行。如圖1所示。
圖1 數(shù)據(jù)庫審計(jì)部署圖
部署一臺(tái)運(yùn)維審計(jì)系統(tǒng),系統(tǒng)采用單臂部署的模式,不改變網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu),不需要在終端安裝客戶端軟件,不改變管理員、運(yùn)維人員的操作習(xí)慣,不影響正常業(yè)務(wù)運(yùn)行。通過劃定嚴(yán)格的用戶使用權(quán)限,分級(jí)管理相應(yīng)的資產(chǎn)設(shè)備,在記錄運(yùn)維人員日常工作的同時(shí),有利于實(shí)時(shí)監(jiān)控和對(duì)風(fēng)險(xiǎn)事件做阻斷處理。同時(shí)利用運(yùn)維審計(jì)系統(tǒng)的錄像回放功能,可以更直觀的記錄運(yùn)維信息和發(fā)生故障后的恢復(fù),統(tǒng)一的密碼管理策略也提升了整個(gè)系統(tǒng)的安全等級(jí)要求。系統(tǒng)的組網(wǎng)拓?fù)鋱D如圖2所示。
部署一臺(tái)日志審計(jì)系統(tǒng),采用旁路部署方式,部署方式比較靈活,只需要為其配置一個(gè)獨(dú)立IP地址即可使用。網(wǎng)絡(luò)中的設(shè)備通常都是通過Syslog、SNMP Trap協(xié)議自動(dòng)發(fā)送日志到慧眼日志審計(jì)系統(tǒng)中,或者通過慧眼審計(jì)系統(tǒng)提供的Agent軟件從操作系統(tǒng)中采集各類日志信息。如圖3所示。
圖2 運(yùn)維審計(jì)部署圖
4.3.1 滿足合規(guī)性要求和安全檢查等級(jí)保護(hù)要求
目前,國家對(duì)政府機(jī)關(guān)的安全要求越來越高,每年省政府和工信廳都會(huì)對(duì)水利行業(yè)信息安全進(jìn)行專項(xiàng)檢查,安全審計(jì)是檢查的重要環(huán)節(jié)之一;對(duì)應(yīng)用系統(tǒng)進(jìn)行有效的審計(jì)和監(jiān)聽也是信息安全等級(jí)保護(hù)的基本要求,政府行政事業(yè)單位有遵循等級(jí)保護(hù)、分級(jí)保護(hù)的合規(guī)性要求。
圖3 日志審計(jì)部署圖
4.3.2 有效減少核心信息資產(chǎn)的破壞和泄漏
對(duì)政府部門的業(yè)務(wù)系統(tǒng)來說,真正重要的核心信息資產(chǎn)往往存放在少數(shù)幾個(gè)關(guān)鍵系統(tǒng)上 (如數(shù)據(jù)庫服務(wù)器、應(yīng)用服務(wù)器等),通過使用審計(jì)系統(tǒng),能夠加強(qiáng)對(duì)這些關(guān)鍵系統(tǒng)的審計(jì),從而有效地減少對(duì)核心信息資產(chǎn)的破壞和泄漏。
4.3.3 追蹤溯源,便于事后追查原因與界定責(zé)任
一個(gè)單位里負(fù)責(zé)運(yùn)維的部門通常擁有目標(biāo)系統(tǒng)或者網(wǎng)絡(luò)設(shè)備的最高權(quán)限(掌握DBA帳號(hào)的口令),因而也承擔(dān)著很高的風(fēng)險(xiǎn)(誤操作或者是個(gè)別人員的惡意破壞)。審計(jì)系統(tǒng)能夠幫助事后追查原因與界定責(zé)任。
4.3.4 直觀掌握業(yè)務(wù)系統(tǒng)運(yùn)行的安全狀況
業(yè)務(wù)系統(tǒng)的正常運(yùn)行需要一個(gè)安全、穩(wěn)定的網(wǎng)絡(luò)環(huán)境。對(duì)管理部門來說,網(wǎng)絡(luò)環(huán)境的安全狀況事關(guān)重大。審計(jì)系統(tǒng)提供業(yè)務(wù)流量監(jiān)控與審計(jì)事件統(tǒng)計(jì)分析功能,能夠直觀地反映網(wǎng)絡(luò)環(huán)境的安全狀況。
4.3.5 實(shí)現(xiàn)獨(dú)立審計(jì),完善內(nèi)控機(jī)制
從內(nèi)控的角度來看,IT系統(tǒng)的使用權(quán)、管理權(quán)與監(jiān)督權(quán)必須三權(quán)分立。審計(jì)系統(tǒng)實(shí)現(xiàn)獨(dú)立審計(jì),幫助監(jiān)督人員獲得有效的技術(shù)手段,從而完善企業(yè)IT內(nèi)控機(jī)制。
目前我國在信息系統(tǒng)審計(jì)領(lǐng)域的研究剛剛起步,因此,探索信息系統(tǒng)審計(jì)的理論結(jié)構(gòu)框架,分析信息系統(tǒng)審計(jì)技術(shù)在具體實(shí)踐中的應(yīng)用,探討信息系統(tǒng)審計(jì)的發(fā)展策略對(duì)于有效促進(jìn)信息系統(tǒng)審計(jì)理論和應(yīng)用體系的發(fā)展,指導(dǎo)信息化建設(shè)具有重要的理論和現(xiàn)實(shí)意義。通過審計(jì)系統(tǒng)的部署,提高了水利信息網(wǎng)絡(luò)運(yùn)維的精細(xì)度和合規(guī)性,從而更加有效的保障整個(gè)水利系統(tǒng)信息的安全暢通,使信息化技術(shù)更好地服務(wù)于水利現(xiàn)代化,同時(shí)也為河南省水利信息化數(shù)據(jù)中心建設(shè)提供服務(wù)。
[1]徐國愛,陳秀波,郭燕慧.信息安全管理(第2版)[M].北京:北京郵電大學(xué)出版社有限公司,2011.
[2]李艇.計(jì)算機(jī)網(wǎng)絡(luò)管理與安全技術(shù)(第2版)[M].北京:高等教育出版社,2009.