广西国税运维审计项目需求功能说明书

广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 广西国税运维审计系统项目广西国税运维审计系统项目 需求功能说明书需求功能说明书 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 目目 录录 第第 1 章章前言前言 5 1 1 编写目的 5 1 2 项目背景 5 1 3 运维管理现状 5 1 4 存在问题 6 1 5 问题分析 6 1 6 带来的后果 7 1 7 参考文档 7 第第 2 章章需求概述需求概述 7 2 1 系统建设需求 8 2 1 1 2 1 1 统一安全防护统一安全防护 8 8 2 1 2 2 1 2 统一统一 ITIT 系统口令管理系统口令管理 8 8 2 1 3 2 1 3 身份认证和授权身份认证和授权 8 8 2 1 4 2 1 4 关键操作监控和报警关键操作监控和报警 8 8 2 1 5 2 1 5 操作审计操作审计 8 8 2 1 6 2 1 6 操作分析报表操作分析报表 9 9 2 2 实现目标 9 2 2 1 2 2 1 提高操作透明度提高操作透明度 9 9 2 2 2 2 2 2 增强操作可控性增强操作可控性 9 9 2 2 3 2 2 3 具体目标具体目标 9 9 第第 3 章章功能需求功能需求 10 3 1 集中管理 10 3 1 1 3 1 1 统一操作入口统一操作入口 1010 3 1 2 3 1 2 统一定制策略统一定制策略 1010 3 1 3 3 1 3 统一操作平台统一操作平台 1010 3 1 4 3 1 4 统一管理审计统一管理审计 1010 3 2 访问控制 10 3 2 1 3 2 1 四要素控制四要素控制 1111 3 2 2 3 2 2 详细规则设置详细规则设置 1111 3 2 3 3 2 3 访问权限控制访问权限控制 1111 3 3 实时控制 11 3 3 1 3 3 1 实时监控实时监控 1111 3 3 2 3 3 2 实时阻断实时阻断 1212 3 4 密码管理 12 3 4 1 3 4 1 密码托管密码托管 1212 3 4 2 3 4 2 自动改密自动改密 1212 3 5 自动告警 12 3 5 1 3 5 1 设备登录提醒设备登录提醒 1313 3 5 2 3 5 2 命令操作告警命令操作告警 1313 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 3 5 3 3 5 3 图形操作告警图形操作告警 1313 3 6 操作审计 13 3 6 1 3 6 1 图形会话操作审计图形会话操作审计 1414 3 6 2 3 6 2 字符命令操作 字符命令操作 Telnet SSHTelnet SSH 的操作审计 的操作审计 1414 3 6 3 3 6 3 HTTPHTTP HTTPSHTTPS 操作审计 防火墙 操作审计 防火墙 IPSIPS IDSIDS 等 等 1515 3 6 4 3 6 4 应用发布操作审计应用发布操作审计 1515 3 6 5 3 6 5 键盘鼠标 剪贴板的操作审计键盘鼠标 剪贴板的操作审计 1515 3 6 6 3 6 6 文件传输操作文件传输操作 FTP SFTP SCP FTP SFTP SCP 审计审计 1616 3 7 数据库审计 16 3 7 1 3 7 1 直接登录到数据库服务器使用命令行的操作审计直接登录到数据库服务器使用命令行的操作审计 1616 3 7 2 3 7 2 通过通过 webweb 进行的操作审计进行的操作审计 1616 3 7 3 3 7 3 使用客户端工具的操作审计使用客户端工具的操作审计 1616 3 8 会话过程回放 17 3 8 1 3 8 1 会话过程回放机制会话过程回放机制 1717 3 9 历史记录查询 17 3 9 1 3 9 1 历史记录查询机制历史记录查询机制 1717 3 10 日志搜索 17 3 10 1 3 10 1 终端会话搜索机制终端会话搜索机制 1717 3 10 2 3 10 2 图形会话搜索机制图形会话搜索机制 1818 3 10 3 3 10 3 键盘输入内容搜索机制键盘输入内容搜索机制 1818 3 11 综合审计报表 18 3 11 1 3 11 1 自定义报表自定义报表 1818 3 11 2 3 11 2 自动报表自动报表 1919 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 第第 1 章章 前言前言 1 1 编编写目的写目的 本文档是广西国税信息系统运维安全审计项目的需求功能说明书 主要描 述了运维安全审计系统 又称堡垒机系统 以下简称堡垒机 的处理和控制 本文档是系统设计 编码 测试 验收的依据 在项目实施过程中 系统的设计 开发必须以本文档为标准 如需对系统 的需求进行修改 则按照本项目计划书中需求变更流程执行 本文档读者对象 广西国税信息中心及其他监管部门 广西国税信息中心负责系统设计 规划的有关人员 广西国税项目组 1 2 项项目背景目背景 根据国税总局上级监管机构对信息科技的审计要求 我局拟启动建设信息 中心运维审计系统 以有效监控我局信息中心内部运维管理人员的操作风险 同时也便于风险管理部门对信息中心风险内控进行监督管理 通过该系统的建 立 对整个信息系统以及网络体系建立起有效的操作监控手段 规范日常的运 维操作 1 3 运运维维管理管理现现状状 广西国税信息中心部门主要负责应用系统以及信息系统基础平台的建设和 维护 以及局内网络的建设和维护 现有近百台各种各样的服务器 其日常运 维过程中都普遍存在以下现状 访问方式以内部直接远程访问为主 其中运维操作的远程访问方式又以 ssh telnet RDP VNC http https 远程访问为主 设备规模比较大 数 据库远程访问则以 PLSQL SQLPLUS OEM 等客户端工具为主 维护人员比较多 并且随着运维规模的不断壮大 运维外包趋势日益明 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 显 目前部分非核心业务系统及设备的维护已经外包给了第三方代维厂 商 凭借设备上的账号密码完成身份的认证和授权 难以保证账号的安全性 密码管理复杂 无法有效落实密码定期修改的规定 运维人员的操作行为无审计 事故发生后无法快速定位事故原因与责任 人 对后台的数据库维护操作缺乏有效的管理手段 对数据库操作也无审计 随着网络安全技术的快速发展 国家和行业对信息安全的要求不断提高 主机的安全问题日益显现 1 4 存在存在问题问题 运维人员身份不唯一 运维人员登录后台设备时 仍然可以使用共享账 号 root administrator 等 访问 从而无法准确识别运维人员的身份 缺乏严格的访问控制 任何人登录到后台其中一台设备后 就可以访问 到后台各种设备 重复枯燥的密码管理工作 大大降低了工作效率的同时 人员的流动还 会导致密码存在外泄的风险 难于限制运维人员登录到后台设备后的操作权限 无法知道当前的运维状况 也不知道哪些操作是违规的或者有风险的 缺乏有效的技术手段来监管代维人员的操作 操作无审计 因操作引起设备故障的时候无法快速定位故障的原因和责 任人 无法满足国家安全等级保护有关方面的要求 如审计 控制等 1 5 问题问题分析分析 出现以上问题的主要原因在于 运维操作不规范 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 运维操作不透明 运维操作风险不可控 1 6 带带来的后果来的后果 违规操作可能会导致设备 服务异常或者宕机 恶意操作可能会导致系统上敏感数据 信息被篡改 被破坏 当发生故障的时候 无法快速定位故障原因或者责任人 1 7 参考文档参考文档 编号编号资料名称资料名称来源来源 第第 2 章章 需求概述需求概述 为了解决以上问题 为运维人员通过使用一种有效的管理平台 来解决对 所有运维操作的集中管理 单点登录 身份认证 操作审计等问题 最终达到 降低运维操作风险的目的 具体需求目前主要集中在以下几点 实现运维操作的集中管理 提高操作管理效率 通过目标设备密码托管功能 实现单点登录 通过运维人员管理和系统帐号分离 实现运维人员身份唯一性管理 运维人员认证要支持和现有的第三方的认证 如 LDAP AD 域 Radius 整合 通过严格的访问控制来限制运维人员可访问的资源 通过对关键指令的实时阻断和告警 实现对运维人员高危操作的主动 控制 提供强大的操作审计功能 完整记录运维人员的所有操作行为 并可 实现对键盘鼠标等操作行为的深度审计 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 可以实现对目标设备密码的定期批量自动修改 降低管理员的改密负 担 提高工作效率 符合相关安全规范 如 SOX ISO27001 BS7799 等 2 1 系统系统建设建设需求需求 2 1 1 统统一安全防一安全防护护 所有对 IT 系统的运维操作必须通过统一的入口方可进行 在统一入口设置相关安全策 略 保证操作安全 降低 IT 操作风险 2 1 2 统统一一 IT 系系统统口令管理口令管理 将 IT 系统的管理员口令进行统一管理 解决口令管理相关问题 实现口令定期自动修 改 口令安全管理等 所有运维人员进行操作不再需要知道 IT 系统的帐户口令 2 1 3 身份身份认证认证和授和授权权 使用独立的身份认证管理实现对运维人员的身份认证 授权 保证只有合法运维人员 才能使用其拥有运维权限的关键资源 2 1 4 关关键键操作操作监监控和控和报报警警 能根据运维实际情况 制定特定运维操作监控和报警策略 对敏感操作或违规行为及 时发现 并实现实时报警和阻断 2 1 5 操作操作审计审计 对常用运维协议 Telnet FTP SFTP SSH RDP Xwindows 等网络会话的完成记录 和审计 并能提供基于图像的操作回放 方便 直观地将操作展现给审计人员 2 1 6 操作分析操作分析报报表表 基于运维操作数据 能基于时间 资源 人员的操作 违规事件的统计报表 为安全 人员分析安全态势提供辅助数据 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 2 2 实现实现目标目标 2 2 1 提高操作透明度提高操作透明度 目前的运维操作类似一个 黑匣子 首先不知道当前有哪些操作正在进 行 其次是在哪一台设备上进行的操作 更不知道是哪一个运维人员执行的操 作 因为所有的操作都不透明 更谈不上对操作进行跟踪和审计 只有将操作 最大限度的透明 随时知道目前的操作状况 才能让操作变的可以被管理 2 2 2 增增强强操作可控性操作可控性 在当前的运维操作过程中 一方面超级权限运维人员 Root enable 等 的操作是无法控制的 同时在日常的操作中会出现多个运维人员同时使用一个 超级权限运维人员的情况 只有通过更加细粒度的控制 让某些运维人员能操 作什么某些运维人员不能操作什么 即使多个运维人员获取同一个超级权限运 维人员 操作权限也完全不一样 才能真正的降低操作的风险 2 2 3 具体目具体目标标 集中管理 集中管理 集中所有待管理审计的重要系统进行统一管理 身份管理 身份管理 解决维护操作者的身份问题 准确定位操作责任人 访问控制 访问控制 限制合法操作者合法访问资源 有效降低未授权访问所带来的 风险 权限控制 权限控制 对于运维操作来说 权限控制是从操作层面控制操作者的权限 因为操作是最核心的风险因素 只有真正控制住运维人员的操作权限 才能有 效的降低操作风险 操作审计 操作审计 操作审计要保证在出了事故以后快速定位操作者和事故原因 还原事故现场和举证 另外一个方面操作审计做为一种验证机制 验证和保证 集中管理 身份管理 访问控制 权限控制策略的有效性 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 第第 3 章章 功能需求功能需求 3 1 集中管理集中管理 3 1 1 统统一操作入口一操作入口 通过使用堡垒机的密码托管功能和相应的网络访问控制 堡垒机能够成为 企业运维的唯一操作入口 3 1 2 统统一定制策略一定制策略 将操作人员 操作行为和目标设备集中到一个平台后 就可以对其进行统 一分组并统一定制相关策略 3 1 3 统统一操作平台一操作平台 系统运维中 管理人员和操作人员要面对大量不同厂家不同类型的设备 从硬件上看可以分成网络设备和服务器 3 1 4 统统一管理一管理审计审计 使用统一操作入口 定制相关策略并完成相应操作及操作审计 把操作审 计工作通过统一的操作出入口的模式 使审计变得易于实现和不可逃避 3 2 访问控制访问控制 堡垒机可实现 运维人员 系统 系统帐号 的对应关系 从而实现严格 的访问控制 实现实体级的访问控制授权 设置完成后 运维人员只能按照规 则设置来访问相应资源 彻底杜绝了非授权访问所带来的问题 3 2 1 四要素控制四要素控制 如下图所示 规则包括运维人员帐号 目标设备 系统帐号和服务类型访 问这几个要素 编写规则就是将已有的信息选入相关栏目内 而且 此策略为 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 即时生效 策略 相关要素一旦被关联入策略后 相应人员就能开始使用 一旦 使用完毕 管理员可以即刻取消关联 相应权利即被收回 3 2 2 详细规则设详细规则设置置 针对每一条访问控制规则 可以创建一条或者几条详细的登录规则 可以设置允许运维人员登录的 IP 范围 可以设置允许运维人员登录的时间段 可具体到多少分钟 3 2 3 访问权访问权限控制限控制 堡垒机通过命令防火墙对同一个系统账号进行权限再分配 使得可以让使 用同一个系统账号的不同运维人员拥有不同的权限 可灵活配置权限控制规则 支持通配符设置 具有 允许 拒绝 禁止 等多种功能 3 3 实时控制实时控制 管理员可以在堡垒机的 WEB 界面 除了可以实时监控运维人员在后台设备 上的所有操作外 还可以实时监控运维人员正在目标设备上进行的任意操作 实现操作透明 从而达到边操作边审计的目的 3 3 1 实时监实时监控控 可查看运维人员的操作会话状态 在 WEB 界面实现实时监控 可以实时监控任意类型 图形操作和字符操作 的活动会话 3 3 2 实时实时阻断阻断 管理员在实时监管的过程中 如果发现运维人员正在做一些违规或有可能 导致设备宕机的高危操作时 可以直接在 WEB 界面切断此运维人员的会话连接 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 3 4 密码管理密码管理 3 4 1 密密码码托管托管 对于目标设备的访问帐号密码 可以由堡垒机进行集中托管 只要配置管 理员在相应设备的密码管理中将目标设备的帐号密码添加上去即可 使用了密码托管功能后 运维人员以后访问目标设备时 只需要记住自己 的上的帐号和密码 即可通过堡垒机自动登录目标设备 3 4 2 自自动动改密改密 堡垒机可以灵活配置目标设备密码的修改策略 实现密码的批量定期自动 修改 修改后的结果可以以加密邮件方式发送给密码保管员 从而实现密码的 集中管理 同时密码保管员也可以随时在系统的 WEB 界面手动修改目标设备的 密码 并可以打包备份设备的密码到本地 提高改密功能可用性 3 5 自动告警自动告警 设备登录告警 针对核心设备 可设置登录告警 当运维人员登录核心设 备时 会发一条告警信息给管理员 命令操作告警 对于字符会话设备 运维人员在输入一些高危命令时 系 统在主动阻断的同时 还会发一条告警信息给管理员 图形操作告警 对于图形会话设备 运维人员在通过键盘输入一些高危指 令时 系统会在第一时间发出告警信息给管理员 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 3 5 1 设备设备登登录录提醒提醒 当有运维人员登录到目标设备时 堡垒机会马上生成一条告警信息 以邮 件或短信的形式通知管理员 让管理员第一时间得知这台设备的具体情况 如 果发生操作事故时 可以通过登录人员人信息快速查找出事故原因及定位事故 责任人 登录提醒功能支持的操作类型包括 字符设备 Telnet SSH 登录 图形 设备 RDP VNC Xwindow HTTP HTTPS 登录 文件传输设备 FTP SFTP SCP 登录和数据库登录等 3 5 2 命令操作告警命令操作告警 针对命令操作会话 如果运维人员触发了设置好的监控级别命令 堡垒机 就会把这些事件进行详细的记录并发邮件告知管理员 同时还可以支持 syslog 方式和短信网关方式的告警信息发送 3 5 3 图图形操作告警形操作告警 针对图形操作会话 如果运维人员触发了设置好的监控级别命令 堡垒机 就会把这些事件进行详细的记录并发邮件告知管理员 同时还可以支持 syslog 方式和短信网关方式的告警信息发送 3 6 操作审计操作审计 堡垒机可以完整记录运维人员的所有操作行为 具体体现在 所见即所得 记录运维人员真实 原始的操作 而不是处理过的操作 以人为本 基于运维人员身份和工作角色的双审计 保证操作审计到人 关联分析 完整记录运维人员多次联系跳转的操作会话 准确分析关联操 作 支持基于 Http Https 协议的操作审计 深度审计 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 为了进一步增加运维操作的完善性 堡垒机可以记录图形操作的鼠标点击 情况和键盘输入情况 从而实现深度审计 快速定位 对历史字符操作会话 可以实现从任一命令点回放下面的操作 对历史图形操作会话 还可以做到完整得在线回放和下载到本地回放 回放方式支持拖拉定位 倍速回放和自动过滤静止会话 3 6 1 图图形会形会话话操作操作审计审计 堡垒机可以完整记录普通运维人员的图形操作 对于审计结果的查看 可 以做到 拖拉定位回放 堡垒机可以快速精确地定位播放点 可以对图形设备上进 行的操作录像进行无延时的拖拉定位回放 静止会话自动过滤 堡垒机记录图形会话是以增量方式进行记录的 因此 对于没有任何操作的静止画面堡垒机会自动过滤掉 在播放的过程中会自 动跳过静止画面的时间段 缩略图查看 对于大的会话 可以以缩略图分段显示 根据时间定位回放 可以根据指定时间 从该时间点开始回放图形操作 回放抓屏 在回放的过程中 可以随时进行抓图 3 6 2 字符命令操作 字符命令操作 Telnet SSH 的操作 的操作审计审计 堡垒机可以完整记录普通运维人员的字符命令操作 对于审计结果的查看 可以做到 输入命令和输出结果的智能分离 对于命令行操作的审计结果查看 堡垒 机可以做到输入输出的智能分离 当打开审计界面的时候 默认是让管理 员只看到运维人员输入的命令 定位回放 运维人员在查看命令行回放时 可以做到从任意命令点开始回 放 只需点开 P 则马上可以从从这条命令开始回放运维人员的操作 操作会话统计 执行的命令总数 被拒绝 被禁止的命令数量 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 3 6 3 HTTP HTTPS 操作操作审计审计 防火 防火墙墙 IPS IDS 等 等 针对使用 HTTP HTTPS 管理的设备 如防火墙 IPS IDS 等 可通过堡垒 机登录到被管理设备的 WEB 界面进行操作 所有的操作都可以实时监控 记录 审计 3 6 4 应应用用发发布操作布操作审计审计 针对通过 C S 客户端工具 如 PL SQL SQLPLUS TOAD PCOM 等 的运维 操作 可使用堡垒机的应用发布 将需要的应用程序发布出来 所有的操作过 程都被记录下来 3 6 5 键盘键盘鼠鼠标标 剪 剪贴贴板的操作板的操作审计审计 为了进一步完善运维操作的完整性 堡垒机具有图形操作的鼠标点击记录 查询和审计功能 同样对于运维人员键盘输入的内容 通过剪贴板的复制粘贴 内容 堡垒机会以文本的形式记录在页面中 鼠标审计 在查看审计记录时 在审计的页面中会有三个代表鼠标按键的 图标 分别代表着鼠标按键的左键 中键及右健 回放时 根据运维人员 点击鼠标不同的按键 所代表的图标就会以不同的颜色进行显示 并且改 变的次数与鼠标点击的次数形成对应关系 键盘审计 可以完整记录运维人员的键盘输入操作 并将输入内容以文本 方式整理保存 通过键盘搜索实现定位回放 支持通过对键盘输入内容进行搜索 以实现 定位回放 3 6 6 文件文件传输传输操作操作 FTP SFTP SCP 审计审计 完整记录运维人员的操作过程 包括对文件的上传 下载 删除 修改权 限等等 并能通过时间 运维人员 服务 类型 结果等条件进行筛选搜索 广西国税运维审计系统项目需求功能说明书广西国税运维审计系统项目需求功能说明书 3 7 数据库审计数据库审计 3 7 1 直接登直接登录录到数据到数据库库服服务务器使用命令行的操作器使用命令行的操作审计审计 对于直接登录到数据库服务器上的命令行操作 堡垒机要求能够记录操作 者所有的 sql 语句和输出结果 并且能够在输入输出内容中进行文本搜索 3 7 2 通通过过 web 进进行的操作行的操作审计审计 对于使用 https http 的 web 操作 堡垒机可以记录所有的操作过程 包 括键盘的输入内容和鼠标的点击 左右键 单双击 其中键盘的输入可以进行 文本搜索 3 7 3 使用客使用客户户端工具的操作端工具的操作审计审计 1 数据库客户端一定要集中管理 不允许随意在笔记本 台式机等操作终 端上安装客户端程序 客户端程序必须统一安装在 1 台 几台指定的 windows 服务器上 2 操作者必须通过堡垒机登录到指定的 Windows 服务器上 然后在这台 服务器上打开客户端程序进行操作 3 堡垒机完整的记录所有的图形操作过程 并且可以实时监控所有的数 据库操作 如果发现操作有风险 可以随时阻断 4 堡垒机 把各种 sql 输入语句以文本的方式展现 并能够进行关键词搜 索 5 堡垒机 把搜索出来的 SQL 语句根据时间和执行该操作的图形会话关联 起来进行上下文回放 单独的 sql 语句并不能帮助运维人员进行问题 确认 必须知道 sql 语句的上下文语义才能准确的判断出操作行为 既能看到每一条 SQL 操作指令 又能根据当时执行指令的时间定位到 当时指令相关操作过程 真正方便运维人员进行快速排查问题 3 8 会话过程回放会话过程回放 广西国税运维审计系统项目需求功能说明书广西国税运维审