（计算机应用技术专业论文）基于软件agent的应用过程信息审计平台的设计与实现.pdf

| 幸ij j ! 舭审航大人坝卜：吖t 沦文 摘要 r l 随着社会信息化程度的1 i 断提高，汁算机信息系统广泛深入到社会生活的各个 领域，成为整个社会经济活动的基础。信息系统的广泛应用，使得越来越多的传统 业务转移到信息系统中进行，传统的管理控制手段无法适应新的发展需求，出现了 严重的管理滞后现象，并由此导致了大量犯罪和内部作案的发生。如何在新形势下， 加强业务系统的内控管理和应用监管，保障信息系统的安全、可靠和有效地运行， 成了渚多学者和相关组织研究的一个热门课题。 本文以会鹰软件申报国家创新基金项目“基于应用过程的信息审计平台 ( a p a ) ”的研究和丌发为背景，基于独创的应用过程信息审计技术和软件a g e n t 技 术，为保障关键应用领域信息安全，建立内控可信赖环境提供强有力的技术手段和 工作平台。首先，针对当前的应用背景，本文提出了信息审计的思想方法，并设计 了一个信息审计系统的原型。然后对a g e n t 的相关概念和特性进行了阐述，在此基 础上，提出了基于软件a g e n t 的系统设计，包括各种a g e n t 的构造和a g e n t 之削的 通讯框架设计等。最后，对系统的各组成部分的功能实现作了阐述。较之其它类似 系统，本系统具有可灵活部署、动态重构，面向应用可定制等特点，且能满足多种 平台多种应用领域的不同需要。 关键词：信息审计内控管理 a g e n t 动态重构可定制 r 。- - _ 一一 一一一， 丝丁软件a g e n t 的麻州过程信息审汁平台的垃计与实现 a b s t r a c t w i t ht h ed e v e l o p m e n to ft h ei n f o r m a t i o ni n d u s t r y , t h ec o m p u t e ri n f o r m a t i o n s y s t e m sh a v eg o n ei n t oa l lf i e l d so fs o c i a ll i f ew i d e l ya n dd e e p ly ，a n db e c o m et h eb a s eo f t h ew h o l es o c i a le c o n o m i ca c t i v i t i e s w i t ht h ew i d e s p r e a dr i s eo fm o r ei n f o r m a t i o n s y s t e m s ，m a n yt r a d i t i o n a lo p e r a t i o n sh a v eb e e nd i v e r t i n gi n t ot h ei n f o r m a t i o ns y s t e m s a n dt h et r a d i t i o n a lm e t h o d sf o rm a n a g e m e n ta n dc o n t r o lc a n tm e e tt h en e wn e e d s a | i t h e s el e a dt ot h el a t e rm a n a g e m e n ta n dm o r ei n t e r i o rc r i m e s ，h o wt os u e n g t h e nt h e i n t e r i o rc o n t r o la n dm a n a g e m e n to ft h ei n f o r m a t i o ns y s t e m s ，a n dg u a r a n t e et h es e c u r i t y ， c r e d i b i l i t ya n de f f i c i e n c yo ft h ei n f o r m a t i o ns y s t e m s ，h a sb e c o m eaq u e s t i o nf o r d i s c u s s i o nb ym a n yl i t e r a t e sa n do r g a n i z a t i o n s t h i sp a p e ri sb a s e do n a p p l i c a t i o np r o c e s sa u d rp l a f f o r m ( a p a ) w h i c hi st ob e r e g a r d e da st h en a t i o n a l i n n o v a t ef u n dp r o j e c t b a s e do nt h ei n n o v a t et e c h n o l o g yo f a p p l i c a t i o np r o c e s sa u d i ta n dt h es o f t w a r ea g e n t ，t h ea p ap r o v i d e sas t r o n gt e c h n o l o g y p l a t f o r mt oe n s u r et h ei n f o r m a t i o ns e c u r i t yo fi m p o r t a n ta p p l i c a t i o n ，a n da d d i t i o n a l l y c o n s t r u c t sar e l i a b l e i n t e r i o rc o n t r o le n v i r o n m e n t i nt h i sp a p e r , a c c o r d i n gt or e c e n t a p p l i c a t i o ns i t u a t i o nw ef i r s tb r i n go u ta l li d e ao f i n f o r m a t i o na u d i t ”，a n dt h e nd e s i g na p r o t o t y p eo fi n f o r m a t i o na u d i ts y s t e m a f t e rt h a t ，w ei n t r o d u c et h ec o n c e p ta n d c h a r a c t e r so fa g e n t ，a n da d d i t i o n a l l yi l l u m i n a t et h es y s t e md e s i g nb a s e do ns o f t w a r e a g e n t ，i n c l u d i n gt h es t r u c t u r ea n dc o m m u n i c a t i o no fk i n d so fa g e n t s f i n a l l y , w ee x p l a i n t h ei m p l e m e n t a t i o nf o ra l lf u n c t i o np a r t so ft h ew h o l es y s t e m c o m p a r e dw i t ho t h e r s i m i l a rs y s t e m s ，t h i ss y s t e mh a ss o m ep a r t i c u l a rc h a r a c t e r s ，s u c ha sf l e x i b l ed i s p a t c h ， d y n a m i cr e c o n s t r u c t i o na n dc u s t o m i z a t i o nt oa p p l i c a t i o n ，a n di tc a na l s om e e td i f f e r e n t n e e d so fd i f f e r e n tp l a t f o r m sa n d a p p l i c a t i o nf i e l d s k e y w o r d s ：i n f o r m a t i o na u d i t ，i n t e r i o rc o n t r o l & m a n a g e m e n t ，a g e n t ， d y n a m i cr e c o n s t r u c t i o n ，c u s t o m i z a t i o n 南京航空航犬人学硕 ：1 化论文 1 1 课题背景 第一章绪论 在过去的半个世纪里，计算机技术f 1 新月异，取得了惊人的进步。随着计算机 网络特别是i n t e m e t 的发展，以计算机为核心的信息系统得到了迅猛的发展，并且 广泛深入到社会生活的各个领域，彻底改变着传统经济、社会、文化的结构与运行 方式，改变着人们工作和生活的方式。人类社会j 下日益享受着信息化所带来的种种 方便和效益。 与此同时，随着信息化程度的不断提高，特别是计算机网络的高速发展所带来 的网络互联性、开放性和资源共享程度的进步扩大，计算机信息系统也正日益面 临着越来越多的安全威胁和破坏，网络与信息安全日益成为人们关注的焦点。另一 方面，由于信息系统的广泛应用，越来越多的传统业务都转移到信息系统中进行， 计算机处理业务的先进性使得大量传统的管理控制手段无法适应新的发展需求。管 理的滞后现象，导致了严重的管理空白，甚至产生了内部、外部联合作案和大量犯 罪的发生。如何在新形势下，解决内控管理手段缺乏的状况，减少由此带来的大量 内部犯罪问题，促进企事业单位信息化的不断发展，成了诸多学者和相关组织研究 的一个热门课题。 传统的信息安全思想方法，为保障信息系统安全，提供了许多不同的解决方案。 现有的成熟的信息安全技术，如数据加密，访问控制，防火墙技术等，在定程度 上保障了网络信息安全，但这些传统方法往往都是基于数据存储和数据加密的，因 而更多的是基于网络通信和传输层面的信息安全方法，缺乏基于应用层面的安全方 法。而信息系统安全是个多层次多角度的系统工程，需要综合考虑涉及系统安全的 方方面面。任何对信息系统造成安全威胁的行为，在其发生过程中，总会在信息系 统的各个层面上留下痕迹信息，逯过对这些行为过程信息进行信息审计，并根据审 计规则进行分析处理，就可以达到安全防范，保障应用系统的安全，可靠，有效地 运行的目的。 国际信息系统审计与控制协会i s a c a 是一个推动信息系统审计的国际组织， 一直在努力探讨控制信息技术的一个开放性标准，从而为i t ，的安全管理与控制提 供个一般适用的公认标准，辅助管理者进行信息技术管理。该协会通过提供一些 权威的指南标准，对便对信息系统的整个生命周期进行审计和控制管理，达到对信 息系统的安全运行保障和应用监管的目的。 根据信息审计的思想方法和信息系统审计和控制的指南标准，可以构建基于应 用行为过程的信息审计系统，实现一个灵活的能对应用系统中的关键应用进行多层 基丁软什a g e n t 的庶刈过牲信息审计乎台的设计与实现 次，多角度的事中监管审计系统。从根本上讲，信息审计系统实际上是实现了这样 一种应用模式，即数据信息的采集，信息的分析处理，信息处理结果的生成和相关 动作的产生等。浚模式通过运行在多个业务节点上的功能模块，实时地对系统中的 关键应用( 如数据库，应用程序等) 的运行情况进行监测，完成相关的数据信息的分 布式采集、分析和处理，并以图表，同志文件，系统报警等多种形式实时反映关键 应用的运行状态和性能等；同时，可以根据用户的定制，针对具体业务领域的敏感 或异常业务行为过程进行监测，提供相关的信息审计机制，保障信息系统的安全。 为了实现这应用模式，可以采用现有的对象构件方法，将不同的功能模块进 行定的封装，以完成不同的功能：数掘采集，过滤，分析处理等。软件a g e n t 技 术的发展，为信息审计系统的构建提供了新的设计思路。软件a g e n t 是原有对象构 件技术的发展和深化，是一种具有主动性的智能体，具有自治性和主动性。较之对 象而言，它有自己的目标、知识和分析问题的方法，能理解信息并控制自己的行为， 对环境有应激性，具有很高的智能性，被誉之为“2 l 世纪的软件开发方法”。它不 是对面向对象的否定，而是对象的高级形态与发展。关于a g e n t 的概念的详细介绍 请参见第三章。本文主要研究的是a g e n t 的相关概念，以及在信息审计系统中的 a g e n t 的构造和实现等等。 通过基于应用行为过程信息审计系统的构建，借助于相应的监控和审计手段， 为企业实现数字化和智能化的管理平台，加强内控管理手段。同时，可以进一步研 究信息化环境下的信息安全策略和思想方法，特别是信息系统的审计和控制的方法 手段，以促进信息化的发展。 1 2 论文所做的工作 本次毕设的研究内容为：研究a g e n t 技术，信息审计技术方法以及信息系统的 审计和控制管理，构造并实现了一个基于软件a g e n t 的应用过程信息审计平台。该 平台中通过基于s o c k e t 通讯代理实现a g e n t 之间的交互和远程对象的调用，通过多 种功能a g e n t 的封装，实现了数据采集，过滤和分析处理这一应用模式，具有很强 的适应性。功能a g e n t 的动态部署，远程运行的方式使得系统的架构非常灵活，便 于系统的动态重构；同时运行规则的可配置性，也使得系统具有很强的通用性，能 满足不同用户的不同审计和监管需求。整个系统实现考虑了跨平台，跨应用领域， 更好地满足了关键应用领域用户应用需求，有利于加强信息化环境下的内控管理。 一2 南京航空航天人学硕十 他论文 1 3 课题来源 本课题来源于令鹰国际软件系统有限公司( 以下简称“金鹰软件”) 申报国家创 新基金项目“基于应用过程的信息审计平台a p a ( a p p l i c a t i o np r o c e s sa u d i t p l a t f o r m ) ”。a p a 是金鹰软件首家推出的具有自主版权的应用过程审计产品，是余 鹰软件在应用安全和应用管理技术和产品上的又一大创新。 针对当前信息化带来的管理滞后，内部威胁增大，内控管理手段缺乏的状况， 我们提出了信息审计的思想方法，即通过对信息系统运行过程中遗留下的各种行为 痕迹信息进行实时和准实时扫描处理，并依据合理性、合法性、真实性审计规则， 进行实时分析和预警，以及时发现各种可疑、违规、违法事件。基于这一思想方法， 并依据玎审计与控制以及c o b i t 的指导原则和标准指南，构筑基于软件a g e n t 技 术的a p a 审计平台。该平台通过将数据采集，过滤，和分析处理等功能进行a g e n t 封装，a g e n t 之间采用基于s o c k e t 通讯代理机制来进行交互和协同工作。a p a 独立 于原有业务信息系统，整个系统与平台无关，可以根据具体应用环境和业务审计需 求选择不同a g e n t ，进行系统的动态重构，因丽具有很大的灵活性。另外，通过审 计奴则的动态可配置，领域知识库的构建，也使得系统具有更强的领域适用性，能 更好地满足不同用户的需求。 a p a 以先进的技术、强大的功能、优良的性能、稳定的可靠性，成为应用安全 领域的一颗明珠，赢得了用户的广泛好评。a p a 将为企业“防范计算机犯罪、保障 信息安全、建立内控可信赖环境”提供强有力的技术手段和工作平台。 1 4 论文结构 全文共分五章。 第一章绪论首先简要叙述当前国内外信息安全和信息系统审计以及信息系 统内控管理的应用背景，介绍了解决内控管理和信息系统行为过程审计思想方法和 技术手段，说明了本文的主要研究内容和采用的技术，论文所做工作等情况，然后 说明了课题的来源和项目背景，最后介绍了全文的结构。 第二章信息审计技术方法研究首先分析了当前信息安全的现状，指出了信息 系统环境下审计控制和内部管理手段的缺乏，介绍了当前的i s ；a c a 组织信息系统 审计与控制的思想和指南规范，i t 审计的相关概念等。在此基础上，提出了信息系 统信息审计的思想方法，并基于此思想设计了一种信息审计系统原型，作为信息系 统审计和强化信息系统内控管理手段的辅助工具。 第三章a g e n t 技术研究本章主要研究a g e n t 的起源，概念，主要特性和分类， 软件a g e n t 与程序和对象的区别。最后对当f ；i a g e n t 领域的研究现状作了个总结。 一3 一 兰立兰型竺尘兰堂型塾壁堡垒! 生：堡鱼塑堡生竺茎婴 第四章基于软件a g e n t 的应用过程信息审计平台分析及设计本章在第二章信 息审计系统原型的基础上，对构筑基于a g e n t 的应用过程信息审计系统进行了系统 分析和系统设计，包括接口a g e n t ，功能a g e n t 以及系统a g e n t 的设计，a g e n t 的系 统通讯框架等。 第五章基于软件a g e n t 的应用过程信息审计平台实现基于第四章的设计，介 绍了系统各个组成部分的功能实现，包括控制服务器，数据采集节点以及用户控制 台等；并对系统的典型应用作了介绍，最后对系统的运行性能和效率进行了简单的 一4 。一 南京肮空航大人学硕卜学能沦文 第二章信息审计技术方法研究 2 1 信息安全的现状及技术方法研究 2 1 1 信息安全的现状 二十一世纪是信息化世纪，随着计算机网络，尤其是i n t e m e t i n t r a n e t 的迅猛发 展，以计算机和宽带通讯网络技术为核心的信息技术正在日益改变着人们的生活和 工作方式。信息成为维持社会的重要基础性资源，信息系统广泛深入地渗透到社会 生活的方方面面，成为政治、经济、军事、文化乃至社会一切领域的基础，其结果 导致了整个社会对信息系统的极大依赖性。一方面，网络及信息系统变革着经济、 生活、文化等诸多方面的结构和运行模式，改变着人们的思维方式，人类社会正享 受着信息化所带来的方便和效益；而另一方面，由于网络的高速发展所带来的网络 互联性、开放性和共享性程度的扩大，计算机网络及信息系统面临着越来越多的威 胁和破坏，信息安全曰益成为人们关注的焦点。 归纳起来，当前对信息系统造成的种种威胁与破坏有： 非法访问破坏，即“黑客”攻击； 计算机病毒以及不良信息的侵入； 电子邮件炸弹； 机密信息的泄露； 破坏信息系统和网络资源，造成信息系统和网络瘫痪等。 另外，由于信息系统以及企业信息化的不断深入，企业原有许多经营管理活动 逐渐转移到信患系统中进行，致使相应的管理和控制滞后于信息化的进程，从而给 内部控制和管理机制提出了更大的挑战，越来越多的内部犯罪也日渐增加。有关调 查资料表明，近几年来，内部犯罪( 或与内部人员有关的犯罪) 已经占到了计算机 犯罪总量的7 0 以上，内部威胁已经成了一个异乎严峻的现实。 2 1 2 成熟的信息安全技术方法 针对当前出现的种神安全威胁，同样产生了许多成熟的安全技术方法： 密码技术 密码技术是信息安全中的核心技术，许多信息安全技术方法都包含了密码技术 的应用，并且是非常基础性的应用。很多的安全功能和机制的实现都是建立在密码 一亏一 基r 软t l ：a g c n t 的府川过料信息审计，f 台的殴计与实现 技术的基础之上，甚至可以浣没有密码技术就没有安全可言。 密码技术除了提供信息的加密解密外，还提供刘信息i 来源的鉴别、保证信息的 完整和不可否认等功能。数字签名和身份验证就是由密码技术派生出来的新技术与 应用。 访问控制技术 访问控制是指当客户身份被确认合法后，对该客户进行文件和数据操作权限的 限制。这种权限包括读、写、执行及从属权等，授权通常是经过访问控制来实现的。 访问控制通常有三种策略：自主访问控制、强制访问控制、角色访问控制。自主访 问控制安全性最低、但灵活性高。强制访问策略将每个用户及文件赋于一个访问级 别。角色访问策略则是根据用户在系统里表现的活动性质而定的。 防火墙技术 从根本上讲，防火墙技术也是一种访问控制技术。在计算枫互联网中，防火墙 被设置于晦部网络与外部网络之间，用于限制出入网的访问，是种网间信息访问 保护的有效途径。实现防火墙所用的主要技术有数据包过滤、应用网关( a p p l i c a t i o n g a t e w a y ) 和代理服务器( p r o x ys e r v e r ) 等。大部分防火墙都将这几种机制结合起来使 用。 当然，防火墙的防范能力也是有限的，防火墙的防范对象是来自被保护网块外 部的对网络安全的威胁。显然，不经过防火墙的信息流是无法受防火墙保护的，即 使经过防火墙的信息流也未必完全受防火墙保护特别是它不能防止数据驱动的攻 击( 如病毒等) 。另外，底层协议的防火墙也不能保护上层协议的攻击。 漏洞扫描技术 漏洞扫描是自动检测远端或本地主机安全脆弱点的技术。它查询t c p i p 端口， 并纪录目标的响应，收集关于某些特定项目的有用信息，如正在进行的服务，拥有 这些服务的用户，是否支持匿名登录，是否有某些网络服务需要鉴别等。这项技术 的具体实现就是安全扫描程序。通过安全扫描程序，收集初_ 步的证据，最大范围地 发现自身的弱点。 入侵检测技术 入侵检测可被定义为对计算机和网络资源上的恶意使用行为进行识别和响应 的处理过程。它不仅检测来自外部的入侵行为，同时也指内部用户的未授权活动。 入侵检测应用了以攻为守的策略，它所提供的数据不仅有可能用来发现合法用户滥 用特权。还有可能在一定程度上提供追究入侵者法律责任的有效证据。 ( i ) 从具体的检测方法上，可将检测系统分为基于行为的和基于知识的两类。 基于行为的检测指根据使用者的行为或资源使用状况的正常程度来判断是否 发生入侵，而不依赖于具体行为是否出现来检测，即建立被检测系统正常行为的参 考库，并通过与当前行为进行比较来寻找偏离参考库的异常行为。例如般在白天 一6 南京航空航天人学硕十学位论文 使用汁算机的用户，如果他突然在午夜注册登录，则被认为是异常行为，有可能是 某入侵者在使用。基于行为的检测也被称为异常检测( a n o m a l y d e t e c t i o n l 。 基于知识的检测指运用己知攻击方法，根据已定义好的入侵模式，通过判断这 些入侵模式是否出现来判断。因为很大一部分入侵是利用了系统的脆弱性，通过分 析入侵过程的特征、条件、排列以及事件问关系具体描述入侵行为的迹象。这些 迹象不仅对分析已经发生的入侵行为有帮助，而且对即将发生的入侵也有警戒作 用，因为只要部分满足这些入侵迹象就意味着可能有入侵发生。基于知识的检测也 被称为误用检测( m i s u s ed e t e c t i o n ) 。 ( 2 ) 根据检测系统所分析的原始数据不同，可入侵检测分为来自系统日志和网 络数据包两种。 操作系统的曰志文件中包含了详细的用户信息和系统调用数据，从中可分析系 统是否被侵入以及侵入者留下的痕迹等审计信息。随着i n t e m e t 的推广，网络数据 包逐渐成为有效且直接的检测数据源，因为数据包中同样也含有用户信息。入侵检 测的早期研究主要集中在主机系统的日志文件分析上。因为用户对象局限于本地用 户，随着分布式大型网络的推广，用户可随机地从不同客户机上登录，主机间也经 常需要交换信息，据统计入侵行为大多数发生在网络上，这样就使入侵检测的对象 范围也扩大至整个网络。 2 1 3 传统方法的不足 传统的信息安全策略和技术方法在一定程度上满足了当前信息安全领域的相 关需求，并形成了一些有着鲜明特点的产品。但面对当前日益严峻的安全现状和种 种风险危机，传统的技术方法显得有些乏力和无奈，自身也存在着种种不足之处： 安全应用需求不明，应用针对性不够。表现在技术、产品的发展趋向主要跟踪 国外信息化发展的商业趋势，而国内的信息安全需求得不到很好满足，相关关 键应用领域( 如金融，证券等) 的信息安全缺乏合适的解决方案； 许多安全策略和思想方法更多她是对外，而忽视了内部威胁和控制，缺乏强有 力的针对性内控措旖； 现有的信息安全方法措施，往往是基于网络通信和传输层次的，很少有针对应 用层面的安全防范策略。主要表现在产品高度集中在网络周边防护和密码设备 上，而应用监管和信息审计( 尤其是基于应用过程的信息审计) 等产品相对较 少： 已有的安全产品往往都缺乏很强的通用性，通常只能适用于某些领域的某些应 用需求，一旦应用领域发生改变或是具体的应用安全策略发生改变，现有的安 全产品就很难适应这种改变。 、 一7 一 丛丁软什a g e n t 的席j h 过群信q ，t 台的设计0 实现 缺乏对信息系统安全的整体考虑包括从系统规划设计，到运行维护等整个生 命周期的综合解决方案。 基于软件a g e n t 技术的应用过程信息审计平台正是为了弥补当前信息安全技 术方法和产品的不足，针对当前关键应用领域的应用系统运行过程中存在的各种安 全隐患和业务风险，构建的基于行为过程的信息审计和内控管理辅助工具。 2 2 信息系统审计与控制 当今企业f 面临着严峻的挑战，传统的企业管理模式产生变革，信息技术正渗 透到各行各业，并对企业运作的成败起着关键的作用。一个企业生存及成功的重要 因素是对信息及信息技术的有效管理，如何控制信息化过程中各个环节的风险，管 理好信息与信息资源? 如何保护好信息与信息系统平台，确保赖以生存的信息系统 的安全、可靠和有效? 如何将原有传统的控制措施与信息技术相结合，在信息系统 运行过程中，对信息系统的相关要素的行为过程进行实时监控，建立严密的“全过 程、全方位”风险内控机制，以防范内部的安全缺口? 这些问题越来越受到国内外政府部门、企业与社会各界人士的广泛关注，特别 是在美国等信息技术比较发达的国家，很早就开展了由独立的具有资格的第三方进 行的信息系统审计( “i s 审计”或“l t 审计”) ，对信息系统从计划开始，到设计、 编程、测试、运行、维护直至淘汰的整个生命周期都实施i t 审计。国际信息系统 审计与控制协会i s a c a ( i n f o r m a t i o ns y s t e ma u d i ta n dc o n t r o la s s o c i a t i o n ) ，针对“计 算机信息系统环境下的审计”制定了一套对信息系统审计及过程控制的规范 c o b i t ：对内控职责、内控执行的监控、基准、错误或异常报告、自动评估、组织 报告、合法合规等七个方面进行了规定。该协会已经在世界上1 6 0 个国家和地区设 立了分会，制定和颁布i t 审计准则、实务指南等，来规范与指导i t 审计师( 按照 i t 审计准则、实务指南进行i t 审计工作的人员) 的工作。 事实表明，作为信息社会的安全策略，i t 审计能有效地管理与i t 相关的风险， 从而确保信息系统的安全、可靠及有效，是健全地进入信息化社会的重要保证。 2 2 1i t 审计的背景及定义 i t 审计是社会信息化的基础，是企业变革，改进内部控制，保障信息系统安全 性、可靠性和有效性的需要。企业要建立完善的信息系统管理和控制机制，i t 审计 就是对这种管理和控制机制的评价和监控。 在国外，由于信息系统应用的普遍性，有关i t 审计的理论和实践已经发展了 一8 南京航空航大人学硕i 一学位论文 几十年。早期，i t 审计被称为计算机审计。在会计电算化初期，人们没有意识到计 算机对数据处理产生的影响，出于对计算机处理准确高效的信任，仅对计算机打印 出的一部分资料进行传统的手工审计。后来，一些计算机犯罪事件的发生，促使人 们兀：始应用计算机辅助审计技术对电子数据处理系统本身进行审计，即 e d p ( e l e c t r o n i cd a t ap r o c e s s i n g ) 审计。随着经济活动的发展，审计对象日趋复杂， 审计范围逐渐扩大，计算机辅助审计技术c a a t s ( c o m p u t e ra s s i s t e da u d i t t e c h n i q u e sa u d i ts o f t w a r e ) 丌始被广泛应用。此时，计算机审计还只是传统审计业务 的一种辅助工具，帮助财务报表审计人员快速准确地完成各种繁复的计算和审计处 理，从而提高审计效率和质量。 上个世纪8 0 、9 0 年代以来，随着信息系统在企业内部应用的扩展，对被审计 单位各个业务环节的影响越来越大。人们开始关注信息系统的安全性、保密性、完 整性及实现企业目标的效率和效果。真正的i t 审计遂开始出现。对i t 审计，国外 业界普遍认可的定义是，“获取并评价证据，以判断信息系统是否能保证资产安全、 数据完整，并且有效利用资源，从而使组织目标有效实现的审计过程。”i t 审计通 过对企业信息系统应用、管理和控制上的评价和监控，“能发现企业在信息系统应 用、管理和控制方面的一些弱点，帮助企业设计可操作的管理程序。” i t 审计涉及到信息系统的整个生命周期，对以计算机为核心的信息系统从规划 开始，到设计、编程、测试、运行、维护直至淘汰的整个生命周期进行审计。这不 仅是一个技术问题，更是一个管理问题。因此，i t 审计是一项以管理为核心，以法 律法规为保障，以技术为支撑的系统综合工程。 英国i t 审计师协会认为i t 审计的目的是对信息系统开发、运行及维护等有关 各项内容进行检查、评价并提交报告，包括以下内容： ( 1 ) i t 审计准则及遵守程度。 ( 2 ) 计算机信息的安全与应急对策。 ( 3 ) 用户需求的满足程度。 ( 4 ) 计算机资源利用的有效程度。 从全球来看，i t 审计还是一个新兴发展的业务。1 9 6 9 年在美国成立的信息系 统审计与控制协会i s a c a 是i t 审计的主要推动者。这个由从事信息系统审计人员 ( i t 审计师) 组成的国际专业组织，一直在努力探讨控制信息技术的一个开放性标 准，从而为i t 的安全管理与控制提供一个一般适用的公认标准，辅助管理者进行 信息技术管理。目前这个协会在全球已经建有t 0 0 多个分会，全球有2 7 0 0 0 多名 c i s a ( c e r t i f i e di n f o r r n a t i o ns y s t e m a u d i t o r ) 资格会员。 一9 毖下软t l ： g c n l 的麻川过程信恳h 计平台的设计与实现 2 2 2i t 审计的范围 i t 巾计的对象是以计算机为核心的信息系统，并覆盖信息系统从计她、分析、 设计、编程、测试、运行维护到该系统淘汰为止的全生命周期的各种业务。随着网 络与应用不断普及，与信息系统相关的业务范围也越来越广泛。如果把i t 审计仅 仅理解为是对硬件与软件的审计是不够的，i t 审计必须是针对整个信息系统进行 的，而整体信息系统是包括信息系统坏境以及与此有关的业务等在内的有机结合的 整体，是以促进企业整体的健全信息化为目标的。要进行i t 审计，必须熟悉i t 审 计对象的业务，在信息系统的整个生命周期，必须要明确i t 审计的各个项目及各 个项目的衡量标准。l t 审计的对象范围如图l 所示。 图1i t 审计的对象范围 有关i t 审计的业务内容，归纳如下 计算机资源管理审计 硬件、软件等获取审计 系统软件审计 程序审计 数据完整性审计 系统生命周期审计 应用系统开发审计 系统维护审计 操作审计 安全审计 i t 审计业务内容的相互关联如图2 所示。 一1 0 南京航空航犬人学硕 ：学化沦文 计算机资源管理的审计 系统开发审计k 一埂什、软件等获取审计 赢1 日j 蟊鬲订i 墨竺氅竺! 竺 叫堂竺! 兰 开发审计r li 一l 下翻志 系统维护审计 数据完整性 审计 图2i t 审计业务内容相互关联图 ( 载自“美国公认i t 审计师考试”) 2 2 3 i t 审计的实施 前面已经了解到，i t 审计的对象是指以计算机为核心的各种信息系统并覆盖信 息系统的整个生命周期，本节简单介绍i t 审计的实施。按照系统的生命周期可分 为：系统计划开发阶段的i t 审计，系统运行维护阶段的i t 审计以及系统生命周期 相同业务的i t 审计。 系统计划开发阶段的i t 审计，包括对系统的整体计划的信息安全策略，系统 分析设计以及编程测试等阶段的审计要点进行审计评估等，对系统安全、机密保护 等提出规劝，对故障及发现的问题给出警告，并最终给出综合评价。 系统运行维护阶段的i t 审计是在开发阶段审计的基础上，对信息系统是否被 正确操作和是否有效运行，是否能适应运行环境的变化，保障系统处理数据的正确 性和有效性，从而真正实现信息系统的开发目标、满足用户需求而进行的审计。在 这一阶段，主要是从信息系统本身的运行和用户对系统的运行管理两方面进行审 计，指出现行系统的缺陷和不足，以及用户操作管理的疏漏和误区，并提出相应的 改进建议。 系统生命周期的相同业务的i t 审计是指信息系统在计划i 开发、运行维护各 阶段相同的文档管理、进度管理、人员管理、外部委托以及灾害对箢等的i t 审计。 为了实施i t 率计，i t 审计人员根掘i t 审计的目的，可以选择不同的审计方法 和工具来进行。大量的计算机辅助审计工具和审计软件的使用，极大地提高了i t 审计的效率，在审计证掘收集的同时，进行相关的信息处理和评价工作，提供相关 的审计报告。基于软件a g e n t 技术的应用过程信息审计平台也正是在强化信息系统 一l 】一 基丁软i ia g e n t 的戍川过程信息市计平台的i 垃汁与实现 内控手段的同时，对信息系统运行维护期的i t 审计所提供的辅助审计工具平台 2 3 信息审计思想概述 随着计算机信息系统的广泛应用，传统的系统业务方式发生了根本转变，多种 业务形态的出现，使得传统的安全审计和业务审计方式已经不能适应信息化的要 求必须利用信息技术手段对审计领域的审计方法、形式和内容进行创新，开展更 广泛的信息审计：同时按照信息系统审计和控制的原则和方法指南，建立独立于业 务信息系统的内部控制机制，创造内控可信赖环境。 应用系统信息审计就是以信息技术为手段，对各种信息系统的应用构架、应用 过程、应用结果，就其系统安全的合理性、过程行为的合法性、结果数据的真实性， 按照业务处理的安全、规范、真实性等要求进行客观、适时的监测与审核，将各神 违规、可疑事件及时报警，并提交各种审计报告。 信息审计主要包括事前设计审计、事中过程审计以及事后结果审计。 事前设计审计是对信息系统的应用构架，包括网络构架、操作系统和数据库系 统等平台软件的选型、应用软件的业务逻辑和规范等，进行设计合理性审计，以保 证应用系统是一个安全、可靠、可用的系统。在一个应用系统- 丌_ 发前的设计评审和 运行前的各种测试都属于事前审计。 事中过程审计是对信息系统的应用行为过程，进行使用合理性、合法性、真实 性审计，以及时发现各种违规、可疑事件，防范计算机犯罪，降低运营风险。 事后结果审计是对信息系统的应用结果数据，进行复核验证，以保证应用结果 数据的真实性和合规性。许多商业银行使用的各种事后监督系统都属于事后审计。 图3 信息审计示意图 一1 2 一 南京肌窀航犬人学硕十。、列f 论文 基于应用过程的信息审计，是指对应用系统在运行过程中的各种内部、外部行 为过程在信息系统各个层面上( 应用系统、数据库、操作系统、网络) 所遗留的痕迹 信息进行实时和准实时扫描，依照相关的信息审计规则，进行分析处理和预警，以 跟踪监控系统的运行，达到加强内部控制管理和安全防范的目的。基于应用过程的 信息审计也属于事中过程审计的范畴，a p a 也是进行事中审计的工具平台。 2 4 信息审计系统的原型研究 信息审计系统i a s ( i n f o r m a t i o na u d i ts y s t e m ) 是指根据“信息审计”的思想方 法，从信息系统审计和控制的角度出发，针对信息系统运行过程中的多层次、多角 度的行为过程信息的扫描处理，以达到实时监控，保障信息系统的安全、可靠和有 效的运行。本节对信息审计系统的系统原型作一个简单分析和研究。 基于“信息审计”的思想方法，i a s 实际上是这样一种应用模式，即源数据的 采集和过滤，关联数据的分析处理以及相关的系统响应和动作，具体功能模块包括 用于数据采集的探针p r o b e ，数据过滤用的过滤器f i l t e r 以及用于数据分析和触发系 统响应动作的分析器a n a l y s e r 。 图4“信息审计系统”应用模式 数据采集和过滤 在信息系统的运行过程中，任何行为过程，无论是外部的还是内部的，总会在 信息系统内部各个层面上留下痕迹信息，并且会分布式存储在多个节点上。信息审 计系统所关注的审计轨迹可能来自于应用系统，数据库，操作系统或是网络层面等， 并且会以日志信息，配置文件，数据表，访问记录，资源利用记录或是网络数据包 等形式存在，因此源数据的采集也就是多层次，多角度的分布式数据采集，并且针 对不同类型的数据源必须要考虑采用不同的数据采集策略。 在传统方法里，为了实现批量的数据采集，可以考虑通过分布在各节点上的功 能固定的代理a g e n t 收集大量的信息，并送至服务器端集中处理的方式。但这种集 中式的方式有许多不足之处：采集数据量大，数据采集完成后不作过滤处理，网络 负载加重；响应速度慢：功能固定，不能适应网络及其应用的多样性，包括所带来 的安全策略和审计方法的多样性的需要。 为了减少数据的传输量，解决大批量数据传输效率的问题，必须要在数据采集 的同时根据相应的过滤策略进行数据的过滤，形成中介数据。同时考虑到数据源的 一1 3 。 丛j 软仆a g e n t 的麻川过科信触h 汁、l 台的殴计与实现 多样性，必须要将数据采集的处理逻辑进行组件化封装，构建不同的数据采集探针 ( p r o b e ) ，以满足不同的数掘采集工作的需要，例如：专门进行网络数据采集的网络 探针( n e t p r o b e ) ，专门进行文件信息采集的文件探针( f i l e p r o b e ) 等。这样，可以根 据需要选取合适的数据采集模块，动念分发到相应的受控节点，进行数据采集工作。 关于数据过滤时所采用的过滤器( f i l t e r ) ，也必须要是组件化，可动态装载的， 所选用的过滤策略，也必须要是可定制的。针对不同类型的数据，所采用的过滤模 块和过滤策略也有所不同，具体的数据过滤模块在接受到传送过来的采集数据时， 会根据不同的过滤规则，在本地进行快速的过滤处理后，形成中介数据，发送到服 务器端，进行集中分析处理。 数据分析和处理 数据分析是指根据具体的审计规则和运行参数，从过滤器过滤得到数据中捕获 符合规则的特殊痕迹信息或是异常的资源状况信息，并进行实时或准实时关联分 析，生成相关的审计报告信息。数据分析是由分析器a n a l y s e r 进行的。 在数据分析过程中，审计规则是判断信息系统安全与否的依据，是违规违法事 件的判断依据。它主要来自于相应的信息安全策略和领域用户的定制，是相关的法 律法规、内控制度以及信息安全方法策略的体现。 基于应用过程的信息审计规则可以通过系统行为分解来进行。信息系统中的行 为，由信息系统行为主体，行为动作以及相关的行为特征构成。主体合法。动作正 常，特征值符合管理要求，则为合法合规的行为；反之，则为违规或可疑行为。基 于此，可关注的痕迹信息关联要素包括：应用过程身份、地点、时间、事件操作痕 迹、事件发生频度操作动作时序信息、关键数据项的突变信息等。审计规则的要素 组成也就可以从以上几个方面获得，比如，可能是其中的某项特征值的阀值范围控 制或是用户登陆记录的异常行为( 时间点，权限等) 控制等或是几个关联要素的组 合。分析器在进行分析时，可以对所采用的规则进行动态配置，以适应多种应用领 域不同安全策略的需要。 基于单个分析器和分析器规则定制，可以把它推广到莱个应用领域，建立包含 该领域特征业务行为，对应的行为要素以及相关的行为特征点的规则模板( r u l e t e m p l a t e ) 。这样，在遇到相同的应用领域时，可以很方便地进行规则库的导入和 复用，快速地建立对应的运行分析环境。 与过滤器类似，分析器的构建也必须要是组件化，可复用的，所采用的规则必 须是可定制的。根据不同的行为特点可以构建多种分析器，有通用型的，也有针对 某个应用领域某种业务行为的。另外，根据数据分析的实时性，分析器可以分为实 时分析型和事后型的，前者在过滤器数据过滤完成后，即进行数据分析工作：后者 则是过滤数据进行缓存后，每隔定的时间段进行批量数据分析。通常在信息审计 系统中，同时存在这两种分析器，以满足不同应用环境的需要。在应用安全要求较 一lz l 堕室! i ：遨盔叁兰堡! ：i ：! 丝堡苎 高的领域，实时数据分析是非常必要的：而事后型往往是需要进行批量历史数据的 关联分析，对f i 阶段的运行数据生成相关的审计报告等，每次分析需要消耗大量 的资源所以通常是阶段性进行，且选择在业务系统非繁忙时间，以免影响原业务 系统运行的效率。 系统响应和动作 系统响应动作是跟分析器关联在一起的，属于事件触发型的。当分析器根据审 计规则检查到违规事件时t 会通过适当的方式进行相关的预警或报告。比如，可以 通过发送e _ m a i l ，短消息，或是启动特定的应用程序处理等方式来进行实时报警， 并提交相关报告。 同时，通过建立相关的指导知识库，分析器分析报警时会结合相关的知识，给 出相应的解决方案和可能原因分析，并进而以自学习的方式扩充原有知识库，逐步 形成领域知识库，便于行业用户的监控管理。 基于上述的应用模式，可以看出一个信息审计系统的基本组成，原型示意图如 图5 信息审计系统原型示意图 上图中，除了前面所提到的数据采集探针p r o b e ，过滤器f i l t c r 以及分析器 a n a l y s e r 外，还包括用户控制台部分。用户控制台主要是为了便于用户根据需要和 运行环境，对多种探针，过滤器和分析器进行选择性部署，以及勃态参数配置提供 一个平台，其中包括配置管理和节点管理两个模块。 基于这种应用模式的处理，可以适应很多种应用的需