保旺达一体化内控内审系统.ppt

驻家客服系统 南京保旺达技术开发公司2009年5月 江苏保旺达软件技术有限公司2011年9月 保旺达一体化内控内审系统 议题 公司简介 公司成立于2002年 国内最早从事信息安全产品研发 销售 集成的企业之一 也国内领先的信息安全专业厂商及服务供应商 公司总在职员工300人 研发团队205人 技术工程师50人公司在北京 上海设有分公司 在四川 江西 陕西等省 市设立分支机构 公司资质 江苏省软件企业江苏省高新技术企业ISO9000 2001质量体系认证ISO27001 2005信息安全管理体系认证国家涉密计算机信息系统集成资质乙级国家信息安全服务资质一级国家计算机信息系统集成资质二级软件能力成熟度 CMMI 三级 4A成功案例 电信运营商江苏移动 业务支撑系统 信息化部江苏电信 业务支撑系统江苏联通 信息化部青海移动 信息化部安徽联通 信息化部 产品创新部中联通总部 产品创新部其他行业中电十四所江苏省地税 议题 什么是4A 帐号管理 Account 建立统一的主账号系统管理业务系统及相关设备的从账号系统主从账号关联认证管理 Authentication 选择多种强身份认证系统账号实名制登录和单点登入子系统授权管理 Authorization 统一 多级分配权限实现三权分立安全审计 Audit 日志收集归并分析维护操作行为审计 为什么需要4A 解决账号孤岛问题各业务系统身份认证相互独立 每个用户需要记忆多套用户名 口令 用户名和实际用户无法有效对应一方面主机 数据库 网络设备 安全设备中存在大量的孤立账号 另一方面账号公用的问题十分突出 现有审计系统无法定位实际的操作人员解决审计孤岛问题业务系统 主机 数据库 网络设备 安全设备 用户终端都会产生海量日志某一安全事件可能导致各类设备产品上百万条不同的告警信息 对网管人员会造成误导 延长解决问题的周期现有的网管和SOC只能判断网络及设备本身的问题 对于应用级的故障无法审计 为什么需要4A 解决信息泄密问题第三方的开发人员 代维人员拥有过高的权限操作行为无法监控 误操作会导致业务系统的宕机一条查询语句可能造成大量的客户信息被泄密通过孤立账号可以轻松地从事非法活动通过4A系统可以实现用户实名制登录 从应用层快速定位各类安全故障并提出最优解决方案 发现并删除孤立账号 对第三方人员的维护行为全面跟踪 及时发现并阻止各类违规操作 从而保证用户业务系统的安全 4A在安全体系中的位置 网管 SOC 4A BWDaICA框架体系 开发历程 议题 人员安全分层 终端接入流程 4A门户网站 系统维护接入流程 授权 统一开发和代维管理软件 PS 可根据用户需求增加 命令阻断功能 议题 BWDaICA 功能一览表 议题 主账号生命周期管理 统一的用户审批管理流程 添加 修改 禁用 启用 删除 制定人员兼职 调动 离职的管理机制 从账号管理 从帐号 从帐号 从帐号 从帐号 从帐号 从帐号 从帐号 从帐号生成方式一 通过主帐号创建 采用帐号同步机制加入现有系统 支持一键删除 自然人 主机1 主机2 网络 数据库 业务1 业务2 业务N BWDaICA 从账号管理 系统及业务帐号 从帐号生成方式二 通过收集 整理业务系统现有帐号 合理与主帐号关联 可及时发现孤立从帐号 业务系统 主账号1 主账号2 主账号3 主账号N BWDaICA 议题 系统支持的认证模式 静态口令动态口令数字证书USBKEY动态令牌生物识别 认证方式比较 议题 授权管理 自然人对应主帐号帐号与岗位关联岗位与角色关联角色与资源 策略关联 2020 3 16 31 可编辑 授权同步 授权管理 应用程序接口 BI BOSS MIS OA 接口程序 堡垒主机 标准协议接口 WebService ODBC JDBC Web配置 Tacacs 网络设备 主机 数据库 议题 影响业务安全的五类安全事故 安全平台日志收集 SYSLOG FTP ODBC JDBC SYSLOG FTP ODBC JDBC SYSLOG FTP ODBC JDBC SYSLOG SNMP 安全管控平台事件 事故的鉴别流程 采集爆发类日志外部入侵类操作违规类业务用户异常访问类信息输出类 全球威胁联动全球探测网络 提供联动实时威胁联动 优先级划分提供用户信息 操作违规信息 数据输出信息的关联分析 进行优先级划分 关联分析利用运维经验 提供关联方法 和关联规则库以及技术参数 归并过滤大量运维经验对事件进行EMR分类归并 标准化与业务厂家 4A厂家 安全厂家接口开发 信息预处理 处理提供更新的知识库提供处理意见 事件 事故 安全信息处理过程 1 安全运行管理系统是一个专注于安全的管理系统2 以资产为核心 以风险为表征 反映资产的安全状况3 告警反映与资产相关的安全问题 分一般和严重两个级别4 以设备安全日志 配置 漏洞为分析的来源5 分析手段包括标准化 压缩 关联 审计 定损分析 风险计算 图形化审计与屏幕录像 针对数据库维护以外的图形化操作 如IE 防火墙客户端等客户登录堡垒主机时自动启动屏幕录像进程采用图片时间矢量技术 压缩大量录像所占的硬盘空间根据主账号 登录时间 维护工具 当前窗口名称 键盘命令等关键字段进行检索 屏幕录像播放截图 存储位置包含主账号 主机IP 录像日期等信息 检索窗口 淘宝 检索 删除文件 窗口 文字输入检索 taobao 文字输入检索 安全 报表输出 支持TXT EXCEL WORD PDF等多种格式 议题 信息保护解决方案 利用一定规则扫描数据库 发现敏感信息保存在数据库的具体位置 哪个表的哪个字段 2 通过堡垒主机细粒度授权功能 限制代维人员对含有敏感信息的字段的访问 如果确实需要访问 必须由室经理进行二次授权 3 当用户将敏感信息从数据库拷贝到堡垒主机时 系统及时发现并自动定义该信息的安全级别 4 通过堡垒主机用户环境WEB页面可以查看到可供下载的数据文件 如果该数据文件不包含敏感信息 可以任意下载 如果该数据文件包含敏感信息 就根据数据文件的安全级别授权 可以下载 二次授权下载 不可下载 数据库扫描 数据库扫描 电信行业扫描策略 44 信息防泄密与二次授权 禁止应用系统后台数据库 主机的数据直接下载到维护终端根据信息重要程度 可分5个安全等级 数据库敏感信息汇总表 IP地址 敏感信息所在服务器的地址数据库名称 含有敏感信息所在的数据库表名 含有敏感信息表的名称字段名 敏感信息所在的字段安全级别 根据字段含有敏感信息的关键字的种类 安全级别 关键字出现频率等综合评估出该字段的安全级别 为堡垒机细粒度授权提供依据 查询受限 用户访问含有敏感信息字段时 根据权限访问受限 查询二次授权审计及审批 主机敏感信息汇总表 账号 用户登录堡垒主机的账户 每个用户从数据库下载的文档都存在堡垒主机的Profile中文件名称 文件名称是指该文件的最终名称 用户可能将文件改名 压缩 文件可以是WORD意外的其他格式安全级别 根据字段含有敏感信息的关键字的种类 安全级别 关键字出现频率等综合评估出该字段的安全级别 为下载到用户终端授权提供依据是否可下载 针对信息的安全级别 账号的安全级别自动划分 下载受限 下载二次授权审计及审批 用户必须填写正确的理由 提交相关领导确认后才能下载该数据 议题 项目概况 名称 中国电信江苏公司安全运营管理平台规模 主账号2000用户 统一安全维护网关并发500用户 项目实施 安全管理平台建设 应用级资源4A建设 2011 3 2011 4实现系统级资源的账号管理 统一认证 授权控制和集中审计 完善系统级账号数据安全管理 2011 2 2011 3建立安全运营管理平台 系统级资源4A建设 安全管理集中化 平台上线前 众多系统的人员类型多 构成复杂 权限分散不易控制 关键资源的安全性没有保证 维护流程繁琐 缺乏集中审计 平台上线后 在安全平台上各系统按照统一的管控策略或规则进行账号 授权管理 并加强了日志记录的集中审计建立了自然人唯一身份ID 为统一强认证 实现单点登录 提高人员登录效率 提升安全审计效率提供了关键基础平台提供大量的批量操作功能 提高了日常账号增删改和授权变更的效率平台的图形化和自动化功能界面提高了日常账号与授权管理过程的准确性和安全性 安全管理规范化 推动了安全管理策略的纵向梳理和细化 安全管理平台的建设 推广过程本质上是在全网层面推动 人员身份管理 账号密码管理 授权管理 强认证管理和审计管理 等几方面安全管理策略的统一化 规范化 并强制落地执行这些安全管理策略的过程 例如 梳理主机 数据库 网络设备 安全设备等系统各类 各级使用人员的自然人身份信息并赋予唯一身份ID 梳理所有自然人的从账号授权是否符合最小化授权 不相容等原则 梳理并统一所有主从账号的密码策略 推动BASS配合改造符合信息安全规范和安全审计策略等 提升安全管理水平 推动了安全管理策略的横向覆盖与拓展 各系统原有的账号管理 授权管理和审计管理相对分散 独立 4A实施之后将这些工作进行了集中和统一 大幅度降低了管控的复杂度和管控失效的风险 为各系统原有的账号管理 授权管理情况的日常监控与内控审核提供了统一展现平台 通过统一的安全管控模型推动BASS系统的账号管理 授权管理和日志管理等安全功能统一趋向4A技术规范的相关模型 终结了各系统的安全建