统一安全管理和综合审计系统，通过规范运维权限管理、严密运维过程控制、透明化运维操作过程等手段，对运维工作中的人为风险进行防范、规避。

  从管理角度来看，统一安全管理和综合审计平台是企业内部运维管理制度和规范的技术化落实平台。通过统一运维入口、统一身份认证、统一 资源管理、统一权限管理和统一过程审计等一系列手段，将制度落于实处；通过技术手段硬性规范了运维操作的流程，控制人为风险，提高IT系统整体可用性。

  统一安全管理和综合审计系统以集中监控、SSO 单点登录和身份认证为基础，实现对以SSH，TELNET，FTP，SCP、SFTP、RDP、VNC、X11、HTTP、HTTPS等工具对服务器资源 进行操作管理行为的统一入口、统一认证、统一授权、统一审计；实现对ORACLE，SYBASE，MS SQL，DB2，INFORMIX，MYSQL等商业数据库操作的集中审计和控制；实现企业环境业务应用运维、IP KVM控制台运维的集中审计和控制。

功能介绍
 

1、字符终端审计

能够自动捕获和识别用户输入命令，摆脱单纯键盘监控和捕获机制，真正做到语义级别的用户命令智能捕获；命令捕获和识别不受用户使用的字符终端属性影响，支持任何终端属性下命令实时识别和命令捕获。

 

2、图形终端审计

通过RDP客户端（mstsc.exe），统一操作管理RDP、VNC、X11服务器；实现RDP、VNC、X11操作单点登陆，解决方案 完备；支持X11图形操作审计，防止用户利用X11，逃避监控；系统支持RDP通道中所有子通道功能，且可进行双向授权控制：磁盘镜像、文件拷贝、串行 口、运程桌面大小、颜色、桌面背景等，保证不同分辨率和颜色的情况下，用户窗口色彩不会失真。

 

3、文件传输审计

提供FTP代理，审计和控制FTP传输、备份传输文件，防止用户通过FTP文件传输，变相变更配置；提供统一SFTP文件传输界面，审计SFTP文件传输过程；能够捕获FTP、SFTP文件传输指令，记录用户真实身份和FTP/SFTP帐号，跟踪文件传输过程。

 

4、密码集中管理

支持对Unix、Linux、Windows、网络设备等一系列IT系统权限账号进行自动化周期改密；大幅度提升了IT系统权限账号的坚固性，降低了密码管理员的工作强度；自动改密功能，不需进行任何设备改造、不需加装任何引擎、不需开放任何特殊端口。

 

5、数据库运维审计

实现数据库运维客户端集中发布，实现数据库客户端单点登录、数据库运维客户端操作录像、数据库运维操作SQL语句提取。

 

6、KVM运维审计

支持AVOCENT、RARITAN、ATEN等主流KVM Over IP 设备；支持单光标功能。

 

7、其它

• 支持HTTP、HTTPS等WEB操作运维审计；

• 支持AS400操作运维审计；

• 支持热备，提供高可用性；

• 支持集中管理、分散部署功能，实现对不同物理位置、不同网段、不同内网的虚拟集中功能，实现分级管理，并支持分散部署节点负载均衡功能。


产品优势
 

一、综述

某省农村信用社承担着对全省农村信用社的管理、服务、协调、指导等职能。科技中心作为省联社的科技管理部门，是全省农村信用社的科技管理中心、数据交换中心、数据异地备份中心、网络安全监控中心、软件研发中心，网络系统覆盖全省5693个营业网点。

近年来，某省农村信用社不断加大科技投入，但自身的科技发展水平与其他先进银行相比，与争创“一流金融机构”的目标相比，仍然存在着较大的差距和不足，信息化建设有待于进一步深层次提高，信息科技管理组织体系、制度体系和技术体系还需要进一步健全完善。

随着银监会对银行业金融机构的内部控制要求不断加大，IT控制合规性的问题已经提上大部分银行董事会、高级管理层的议事日程。某省农村信用社意识到引入先进的IT技术理念是提高全省农村信用社信息科技管理水平、防范信息科技风险的重要途径之一。

从金融行业主体的实际信息安全需求出发，充分吸收近年来安全领域出现的信息系统安全保障理论模型和技术架构（如IATF 等）、信息安全管理标准ISO/IEC 27001：2005和ISO/IEC TR 13335系列标准，全面参考《计算机信息系统安全保护等级划分准则》、《商业银行信息科技风险管理指引》、《2002 Sarbanes-Oxley Act （bilingual）》、《Auditing Standard No.2》等相关指引、法规要求，结合帕拉迪多年的攻击防护经验和实践，为对网络信息安全有较高要求的金融行业主体提供IT运维统一安全管理与综合审计 （运维审计堡垒机）的解决方案。本次某省农村信用社采用此方案，主要解决信息中心运维管理面对系统复杂性、网络安全性、IT运维管理和IT内控外审的挑 战，为管理人员提供有效的技术手段，按照行业标准进行精确管理、实时监控和警告、事后追溯审计。

二、运维环境描述：

1. IT内部运维风险

• IT内部对服务器的维护和管理依赖于操作系统的口令认证，口令可被转授、被窥探及易被遗忘等弱点，另外，在实际环境中还存在经常使用Root权限帐户而导致授权不方便等现象，使得管理困难，成本较高。

• 外围厂商技术支持人员、项目服务商等在对内部核心服务器、网络基础设施进行现场调试或远程技术维护时，无法有效的记录其操作过程、维护内容，极容易泄露核心机密数据或遭到潜在的恶意破坏。

• 研发部门在系统上线运行后，经常会通过普通的权限登录系统分析软件的运行状态，查看问题。从信息的安全角度考虑，这些查询过程必须要留有记录。

2. 资产情况

分布比例:

• 远程命令操作类型（cisco交换机、IBM小机、Linux等）：约50%

• 远程图形操作类型（Windows系统）：约30%

• 数据库、HTTP类型及其他：约20%

3. 用户角色：40多人

• 研发部门20人
    研发部门在上班时间研发人员都是一直连接在一台或者多台服务器或者数据库上进行查询分析，同时的图像并发连接至少为50个。

• 运维部门15人
    运维部门负责日常系统维护、网络维护，日终数据统计备份等工作，相关运维操作人员需要经常性的远程到网络设备、服务器、数据库上查看或者维护设备。

• 其他用户5人
    外围厂商技术服务人员会参与设备测试实施、系统升级、设备巡检及故障分析等工作，需要分配权限登入系统。

三、运维审计系统部署实现

1、部署描述：

• 运维审计系统以逻辑网关的方式部署在运维区跟生产区（包含分支服务器）之间，所有的运维操作都不能绕过运维审计系统。
• 所有运维操作都必须在运维区连接到运维审计系统进行，且通过网络控制只有在运维区内才能访问运维审计系统。
• 用户登录认证采用堡垒机结合RSA双因素动态令牌认证系统。
• 专线在运维审计系统运行正常的情况下，不启用。
• 双机热备模式，一个虚拟地址，两个物理地址都可以访问；所有的访问、配置、操作过程记录都同时存储到两台系统上。

2、访问流程：

• SA、DBA、网络、应用维护人员使用实名制账号通过运维区域运维终端登录运维审计系统。
• 在堡垒机上配置认证接口，用户登入信息会到RSA服务器进行校验，校验正确允许访问。

• 认证成功后，运维审计系统将对应授权的资产展现给运维人员，运维人员直接选择连接进行系统维护操作。
• 在此阶段所有运维过程将实现实施监控和过程记录。
 

四、部署收益：

1、规范运维管理
• 建立统一安全管理和综合审计平台，统一访问入口，集中权限控制，实现运维操作的集中化、规范化管理。平台可对不同系统中的接入维护进行统一管理，进行的帐号管理，身份认证和授权。可以在平台上基于用户的权限，进行统一的网络层和应用层访问控制，提高系统安全性。
• 减轻管理员工作压力，提高工作效率，确保管理制度的顺利实施。

2、满足合规性要求
• 满足IT内控、银监会《商业银行信息科技风险管理指引》等法案法规合规性审计要求。
• 为监管部门提供运维管理的审计报表和原始准确的运维操作日志。
• 有助于完善组织的IT内控与审计体系，使组织能够顺利通过IT审计。

3、降低资源风险，快速故障定位和责任追踪
• 采用堡垒主机的技术，避免了非法终端、不安全终端直接连接核心资源，降低木马、间谍、内部安全威胁等对核心资源造成的影响。
• 对第三方代维、系统集成商现场施工的规范化管理，防范外来风险。
• 发生安全事故，通过回放操作记录可快速、准确的进行责任鉴定和安全事件追踪。

随着电信运营商信息网络规模不断地扩大，网络内控安全管理日益成为电信运营商信息建设的重点。它是电信运营商内部信息化应用管理系统的基本保证，只有计算 机网络畅通并确保网络安全，才能保障电信运营商利用先进的信息化管理系统来改善内部管理，从而提高了电影运营商的效率、管理水平及竞争力。然而，随着内部 信息系统和操作这些系统人员的复杂化，如何实现运营商维护人员安全接入维护网络和内部网络，如何更好保障维护人员对网络内部服务器的权限管理、操作过程的 监控及行为审计，成为各大运营商不得不面对的问题。

运营商整体运营网络有三大“网”组成，包括通信网、业务支持网、增值业务网。随着运营商各种业务和经营支撑系统的不断增加，网络规模迅速扩大，原有的由各 个系统分散管理用户和访问授权的管理方式造成了在业务管理和安全之间的失衡，已经成为业务发展的瓶颈之一，不能满足企业目前及未来业务发展的要求。目前数 据中心安全运维管理的限制和问题如下：

运维管理现状：

1、目前业务支持网、增值业务网是运营商业务运营的重要支撑，运维管理人员日常要对业务支持网中的综合结算系统、计费账务系统、经营分析系统、客户关系管 理系统、合作伙伴关系管理系统；增值业务网的系统有智能网系统、短信系统、彩信系统进行运维管理，系统种类多，业务逻辑复杂，运维人员要同时负责多个业务 系统的运维管理。

2、核心业务系统的关键的核心业务上，应用系统及数据库的密码管理和权限管理工作复杂，部分合规性要求定期修改设备管理密码给运维人员带来不可想象的工作负荷。

3、核心业务系统应用的复杂度决定了多角色（系统/数据库/安全/审计管理员/代维厂商等）交叉管理

4、运维人员误配置、误操作无法得到合理的规避和追朔。

运维管理问题：

1、多对多交叉管理，账号共享；

2、多点登陆，分散管理，无法准确的身份认证和授权控制；

3、人为操作风险，责任无法追溯；

4、黑客的攻击和木马的导入等；

5、各种系统和应用的联动互动性不够。

以上问题可以总结为—“操作步骤繁琐，操作行为不可控，操作内容不可知”

运维操作风险：

1、操作行为不可控，加之运维人员的操作不当

2、误操作，可导致关键应用服务

3、违规/恶意操作。导致系统上敏感数据信息泄露或破坏

4、操作内容不可知。当操作事故发生时,无法快速定位操作事故原因,无法对操作事故有效取证和举证

相关安全规范：

1、电信网与互联网安全等级保护

国家公安部和保密局颁布的等级保护技术要求，在确定为第二级指定保护级别（含）以上的信息系统中必须建立并保存个子操作日志，包括网络、主机、数据库、应用。

2、移动通信网安全防护要求

根据电信网和互联网安全防护体系的要求，将移动通信网安全防护内容分为安全风险评估、安全等级保护、灾难备份及恢复等三个部分。

3、萨班斯法案（SOX）

按照该法案404节的规定，在美上市的国外企业必须保证公司管理层建立和维护内部控制系统及相应控制程序充分有效的责任体系，同时提供管理层最近财年对内 部控制体系及控制程序有效性的证明及内控机制评价报告，强调企业的信息技术策略和系统中的内部控制，以及对审计过程存档的要求，即企业的内控活动(不论是 人还是机器)的操作流程都必须明白地定义并保存相关记录，而后才能实施。

二、解决方案

如何对操作者以及操作行为进行有效和规范管理，是数据中心运维管理的核心。统一安全管理与综合审计系统解决方案通过“事前防范、事中控制、事后审计”的管理思路。从如何降低操作风险的角度出发，以人、操作、技术做为管理核心。

通过统一安全管理与综合审计系统的建设，达到以下效果：

1、为用户提供统一的操作和维护的入口和平台

2、实现对业务支撑系统、DCN网运营管理系统以及操作系统、数据库、网络设备等各种IT资源的帐号、认证、授权和审计的集中控制和管理

3、实现集中化、基于角色的的主从帐号管理，实现角色属性级别的细粒度权限分配和管理

4、实现集中化的身份认证和访问入口

5、实现集中访问授权，基于集中管控安全策略的访问控制和角色的授权管理

6、实现集中安全审计管理，收集、记录用户对业务支撑系统关键重要资源的使用情

7、满足合规性审计及运维管理的要求

三、典型部署

1、采用双机热备，保证配置和数据备份，防止单点故障；

2、不影响任何业务数据流；

3、设备的部署采用物理旁路，逻辑网关方式，不更改现有的网络拓扑；

4、不增加系统和网络性能的负载；

5、部署方式灵活多样，部署周期短；

6、不改变管理员操作习惯（不需要安装客户端工具）；

一、安全概述

作为与国家经济命脉和人民生活紧密相关的国家基础性行业，电力行业一直以来就是中国信息化建设的先行者，而电力二次系统作为电网公司的重要生产系统，更加需要完善、成熟的安全防护能力。

电力监管委员会《电力二次系统安全防护规定》（5号令）、《电力二次系统安全防护总体方案》这两个文件从政策法规的层面和技术方案的层面，明确了信息安全 建设的具体措施。根据电监会要求，把电力网络划分为一区、二区、三区和四区，其中一区为生产实时控制大区，二区为生产非实时控制大区，三区则为生产管理 区，四区主要为管理信息系统和企业ERP系统等；把一区、二区称为生产控制大区，把三区和四区称为管理信息大区。电力二次系统安全防护总体方案遵循十六字 方针“安全分区、网络专用、横向隔离、纵向认证”。

在总体网络安全结构不断完善，自身技术水平不断提高，制度管理规范不断落实的同时，数据库安全也成为电力系统对于总体安全防范整改的重要关键点，对于如何有效保护、监控、审计、分析数据库信息等问题成为电力行业信息安全重要思考的问题。

二、需求分析

随着电力系统信息化的飞速发展，生产及业务系统不断丰富，越来越复杂。生产控制大区系统，如：电能量管理系统、电能量计量系统、调度安全校核系统、广域向 量测量系统等；管理控制大区，如：电力交易系统、ERP系统、生产系统、财务管控系统、电力营销系统等。很多业务系统都存在着跨区数据交换，这就对数据库 的数据安全提出了非常高的要求。随着信息安全等级保护测评以及风险评估工作的全面展开，对数据库安全也提出了相关的要求。

1、完整记录数据库的所有操作，发现违规操作和异常访问能及时告警；

2、审计所有用户对数据库的操作，及时发现超级用户、管理员用户或临时用户的越权使用或者数据泄密行为；

3、提供审计报表，满足合规性要求；

4、为贯彻落实国家有关要求，全面推进电力二次系统安全等级保护工作，满足《电力二次系统安全等级保护要求》；

三、解决方案

1、“细粒度”数据库审计

完整记录用户数据库会话细节，包括用户数据库登录行为、登出行为、SQL操作用户名称、SQL操作源程序名称、SQL操作源终端名称、SQL操作源终端登 录用户名称、SQL会话参数设置、SQL操作语句、SQL操作返回状态、SQL操作涉及表组、字段、视图、索引、过程、函数、SQL DML操作影响行数、SQL语句执行时间、原始数据库记录包等。

2、全协议解析

DbXpert在流技术基础上，实现了全协议解析。支持各主流商用数据库，包括：Oracle 8/9/10/11等、Sybase所有版本、SQL Server 2000/2005、Informix所有版本、DB2所有版本，能够实现变量绑定、超长SQL命令和字段级的审计；

3、高精细度告警策略

提供完善的违规实时告警，包括异常告警、策略告警等；告警信息可根据数据库地址、数据库名称、访问源IP地址、高危SQL命令、客户端网络地址、客户端应 用程序、数据库用户名称、客户端主机名称、客户端系统名称、SELECT返回值以及数据库表组（关键表名、组名）等信息进行组合配置；

4、超长SQL语句审计

能完整的、细粒度的解析超长SQL语句。通过对超长SQL语句的完全审计，监控了恶意攻击者妄想通过逃避审计对数据库造成非法操作的途径，为安全事件的追溯提供了强有力的证据；同时也为实际业务中SQL语句的全面审计提供了保障。

5、绑定变量解析技术

可以精确定位到操作客体，真正审计到数据发生了什么事情。通过变量绑定以及SQL语句的全记录，可以完整的重溯整个业务流程，追溯信息的来龙去脉，成为全 球第一家通过变量绑定技术真正解决中间件审计问题的数据库审计厂商，为数据的完整性、有用性和准确性提供了强有力的技术保证和原始证据。

6、SELECT返回值解析

DbXpert基于流会话跟踪审计，实现SELECT返回值解析。通过记录访问的回应信息，可以有效的防止数据泄密和窃取，监视和控制被存取的数据。

7、原始流数据包记录（PCAP）

DbXpert不仅完整记录SQL语句，还能完整审计原始数据包，实现超级嗅探器功能。只有原始数据才能还原真实的数据现场，提供无可抵赖的强有力证据。

8、全文检索功能

记录数据库会话详细细节，当发生数据库安全事件时，用户可根据数据库地址、源客户端地址、事件时间、SQL语句关键词、数据库账号、数据库地址等，快速检索定位操作会话。

9、异常告警、实时监控

提供完善的违规实时告警，包括异常告警、违反策略告警等。及时发现数据库非法接入、SQL注入、数据泄密等安全事件。多形式的实时告警：当检测到可疑操作或违反审计规则的操作时，系统可以通过WEB告警、邮件告警等方式通知数据库管理员。

实时监控来自各个层面的所有数据库活动，包括网络流量、数据包、突发连接、并发连接、SQL语句的实时数量，并且提供实时的视图窗口查看数据库的运行状态。

10、业务跟踪审计

拥有业务跟踪审计的能力，对于整个业务流程的操作以及业务数据的删除、添加或修改进行完全审计。通过审计信息，可以重溯整个业务流程。

11、灵活的统一报表

可灵活定制报表格式和规范，可根据要求生成用户环境（如：数据库地址、数据库名称、访问源IP地址、用户名称、源程序名称、源终端名称等）自定义报表。