铁路局信息系统集中运维管控解决方案

1 铁路局信息系统集中运维管控铁路局信息系统集中运维管控 解决解决方案方案建议书建议书 北京市国路安信息技术有限公司 2013 年 11 月 2 目录目录 1. 铁路局信息系统现状概述 .3 1.1 概况.3 1.2 需求分析 .4 2. 方案设计思路 .4 3. 方案部署效果 .6 3.1 解决方案部署图.6 3.2 解决方案部署效果 .6 3.2.1 集中运维管控.6 3.2.2 安全便捷的运维模式 .7 3.2.3 全面运维审计.7 4. 成功案例 .8 4.1 昆明铁路局 .8 4.2 呼和铁路局 .8 4.3 上海铁路局 .9 5. 方案配置清单 . 11 3 1. 铁路铁路局局信息系统信息系统现状现状概述概述 1.11.1 概况概况 铁路作为国家重要的基础设施、国民经济大动脉和大众化的交通工具,在现 代物流体系中发挥着重要的作用。 经过 30 多年的发展， 铁路信息系统从无到有、 从小到大，从单机版本到多层次的网络应用，建立了覆盖铁道部、铁路局和主要 站段的计算机网络及传输网、交换网、数据通信网三大通信基础网，先后开发了 以列车调度指挥系统、铁路运输管理信息系统、客票发售与预订系统为代表的一 大批应用信息系统，铁路信息化建设取得了巨大的成就。 随着铁路信息化程度的不断提高， 各种新应用系统的上线部署和既有应用系 统的升级扩容，各路局的信息系统在数量和种类上都不断增多，各种敏感数据的 安全保密工作显得越来越重要。而在信息安全建设的过程中，有一项非常重要的 工作，就是运维安全。对于铁路系统而言，运维人员有着较大的操作权限，尤其 是第三方运维人员。那么，针对运维人员的身份认证、权限控制成为了运维安全 的重中之重。同样，由于应用系统的种类、数目不断增多，也使运维工作更加复 杂、工作量更大、管理难度加大，如何保证运维工作的便捷高效，也成为了亟待 解决的问题。 我们了解到当前铁路局信息系统拓扑如下图所示： SiSiSiSiSiSiSiSi 办公OA服务器 SiSiSiSi 新调度楼 核心交核心交 换机换机 核心交核心交 换机换机 边界路边界路 由器由器 边界路边界路 由器由器 边界路边界路 由器由器 边界路边界路 由器由器 核心交核心交 换机换机 核心交核心交 换机换机 内网 边界路边界路 由器由器 边界路边界路 由器由器 核心交核心交 换机换机 核心交核心交 换机换机 铁路局铁路局 分所分所 站段站段 内网 内网内网 站段站段 边界路边界路 由器由器 核心交核心交 换机换机 边界路边界路 由器由器 边界路边界路 由器由器 边界路边界路 由器由器 核心交核心交 换机换机 4 当前铁路局信息系统拓扑图 目前铁路局信息系统大部分为铁路局-站段二层架构，部分为铁路局-分所- 站段三层架构。铁路局主要的应用如办公、调度、生产等系统，集中汇总了所有 层级的应用数据，数据量大并具有较高的安全防护要求；分所承担部分数据的汇 总工作；站段则部署基础应用设施，其特点是站点分散、范围广、数目多。针对 以上三个层级应用特点，在运维工作中，铁路局和分所的运维工作需要重点保证 运维安全和行为可控、可追溯；而站段级的运维工作由于比较分散、运维管控强 度不够，在保证安全运维的同时，还需要重点解决运维工作的集中审计问题。 1.21.2 需求分析需求分析 通过以上对当前铁路局信息系统的分析， 在运维管控方面的安全需求主要可 以归纳为以下几个方面： 运维工作的集中管控运维工作的集中管控 对铁路局三级架构中所有的运维工作进行集中管控 对运维资源、账户进行集中管理，统一认证、授权及审计 运维人员的行为控制运维人员的行为控制 对不同角色的运维人员进行权限划分，行为控制 保证运维工作的规范合法，做到非法操作的实时阻断 运维工作的全面审计运维工作的全面审计 详尽、完整的运维审计信息存档 实现铁路局、分所和站段的运维安全事件的可追溯性 2. 方案设计思路方案设计思路 为根本解决铁路局信息系集中运维管控和安全问题， 我公司在不改变原有网 络结构和应用业务逻辑的前提下，推出集中运维管控解决方案。 对于铁路局信息系统集中运维管控方面， 通过部署安全运维审计系统对铁路 局所有运维用户的角色岗位实现系统的授权和认证， 通过统一的安全管理平台对 铁路局信息系统中的安全设备、主机或软件进行安全管理， 保证安全管理过程的 合法合规，并对所有的管理动作进行全面的审计和监控，保证整个系统中运维管 理操作上的可追溯性。 安全运维审计系统典型部署如下图所示： 5 运维区域运维区域 客户端客户端客户端客户端客户端客户端客户端客户端 安全运维审计安全运维审计 系统系统 服务器服务器1 1 服务器服务器2 2服务器服务器3 3服务器服务器4 4 交换机交换机 防火墙防火墙 安全运维审计系统典型部署图 安全运维审计系统的功能如下： 面向角色的运维人员管理面向角色的运维人员管理针对运维用户角色对资源的访问进行权限划 分，最大限度的保护资源安全，通过定义可执行命令（白名单）或不可执行 命令（黑名单）的集合，对运维用户的非法操作进行实时阻断，实现对用户 访问资源的细粒度权限控制 。 面向资源的运维方式管理面向资源的运维方式管理针对运维资源进行运维方式的管理， 支持 SSH、 TELNET、FTP、RDP、X-WINDOWS 等运维协议，并可在安全运维审计系统上添 加用户特有的运维工具，支持运维方式的扩展。 基于角色的运维权限控制基于角色的运维权限控制对用户账号根据不同运维角色进行统一集中 管理，实现对运维用户的认证、授权及用户对资源的运维操作审计，保证用 户运维管理的安全性。 单点单点快速快速登录登录运维用户无须记忆所有资源的帐号和口令等信息，只需登 录安全运维审计系统，即可选择对权限范围内的运维资源进行运维操作，提 高了运维用户的操作便捷性和运维管理效率。 全方位操作回放审计全方位操作回放审计对所有经过安全运维审计系统的操作行为，可完整 记录操作过程，能够以文字或视频回放方式，重现运维管理人员对资源的所 有运维过程，从而真正实现对运维活动的完全记录。 6 3. 方案方案部署部署效果效果 3.13.1 解决方案部署图解决方案部署图 下面为铁路信息系统集中运维管控解决方案图： SiSiSiSiSiSiSiSi 办公OA服务器 SiSiSiSi 新调度楼 核心交核心交 换机换机 核心交核心交 换机换机 边界路边界路 由器由器 边界路边界路 由器由器 边界路边界路 由器由器 边界路边界路 由器由器 核心交核心交 换机换机 核心交核心交 换机换机 内网 边界路边界路 由器由器 边界路边界路 由器由器 核心交核心交 换机换机 核心交换核心交换 机机 铁路局铁路局 分所分所 站段站段 内网 内网内网 站段站段 边界路边界路 由器由器 核心交核心交 换机换机 安全运维审计系统安全运维审计系统 （主机主机） 安全运维审计系统安全运维审计系统 （备机备机） 边界路边界路 由器由器 边界路由边界路由 器器 边界路边界路 由器由器 核心交核心交 换机换机 安全运维审计系统安全运维审计系统 （主机主机） 安全运维审计系统安全运维审计系统 （备机备机） 安全运维审计系统安全运维审计系统 （主机主机） 安全运维审计系统安全运维审计系统 （主机主机） 安全运维审计系统安全运维审计系统 （备机备机） 安全运维审计系统安全运维审计系统 （备机备机） 铁路信息系统集中运维管控解决方案图 3.23.2 解决方案部署效果解决方案部署效果 如上图所示，该方案部署的效果可以从三个方面体现： .1 集中运维管控集中运维管控 运维人员集中管理 对运维用户的账号根据不同的运维角色及岗位进行集中管理， 实现对铁路局 所有运维用户的身份认证和运维权限细分，保证运维用户管理的安全性。 运维方式集中管理 对铁路局信息系统所有运维资源的账号、 设备类型及运维方式进行集中管理， 7 实现铁路局对信息系统资源管理的规范性。 运维审计信息集中管控 通过分级部署后，铁路局不但能够对本地所有运维审计信息进行集中管理， 还能够做到对下面所有分所和站段的运维审计信息进行集中管理。 .2 安全安全便捷的便捷的运维运维模式模式 权限控制 依据最小权限原则，针对用户角色对资源的访问进行权限划分，同时通过定 义可执行命令或不可执行命令的集合，对运维用户的非法操作进行实时阻断。 单点登录 运维用户无需记忆大量资源的帐号或口令等信息， 只需登录安全运维审计系 统，即可选择对权限范围内的运维资源进行运维操作，很大程度的提高了运维用 户的操作便捷性和运维管理效率。 运维不可旁路 运维平台能够对所运维资源的账号、密码进行严格控制，只能通过运维平台 才能获取设备资源账号及密码， 避免运维用户绕开运维平台直连设备进行操作或 跨平台非法操作。 动态口令更新 运维用户无需定期手动修改运维口账号与口令，只需开启自动修改功能、设 定好修改周期，即可让运维账号与口令定期自动修改，保障运维资源安全。 .3 全面全面运维运维审计审计 运维审计信息更全面 铁路局运维管理员可以对所有经过安全运维审计系统的运维人员和操作行 为进行全过程记录和监控， 能够以文字或视频回放的方式重现运维管理人员对资 源的所有操作过程，从而真正实现对运维活动的完全记录。 运维安全事件可追溯性强 对于运维安全事故发生后， 管理员可以根据全面的运维审计信息保证所有运 维操作上的可追溯性。 8 4. 成功案例成功案例 目前，国路安 GLA 天玑安全运维审计系统已经在昆明铁路局、呼和铁路局和 上海铁路局完成测试，实现了针对铁路局的生产、调度和办公系统的安全运维。 4.14.1 昆明铁路局昆明铁路局 昆明铁路局信息系统在运维方面面临的主要问题包括: 1) 集中运维管控维护的设备及系统数量多、运维工作量大、管理难度 高； 2) 运维人员权限控制运维人员权限过大，可以接触到很多敏感信息， 在运维过程中的行为也很难进行管控； 3) 运维审计信息不完全各应用虽然有自身的操作日志，但日志内容不 全面， 甚至有些较早期的应用没有日志记录， 无法支持运维的审计工作， 对运维人员的操作行为的后期追溯无力。 通过本产品的部署实施，已经实现： 1. 运维人员和资源的集中管理 对运维用户的账号根据不同的运维角色及岗位进行集中管理， 实现对铁路局 所有运维用户的身份认证和运维权限细分；对所有运维资源的账号、设备类型及 运维方式进行集中管理，实现铁路局对信息系统资源管理的规范性。 2. 运维人员行为可控 通过身份授权，对运维人员的运维动作和指令进行严格管控，可执行/不可 执行指令实时阻断非法行为，最大限度保护运维资源安全。 3. 避免运维用户信息泄露 对所运维资源的账号、密码进行严格控制，只能通过运维平台才能获取设备 资源账号及密码， 避免运维用户绕开运维平台直连设备进行操作或跨平台非法操 作。另外，运维账号与口令可定期自动修改，保障运维资源安全。 4. 运维审计信息全面可追溯 铁路局运维管理员可以对所有经过安全运维审计系统的运维人员和操作行 为进行全过程记录和监控， 能够以文字或视频回放的方式重现运维管理人员对资 源的所有操作过程， 从而真正实现对运维活动的完全记录和所有运维操作上的可 追溯性。 4.24.2 呼和铁路局呼和铁路局 9 呼和铁路局信息系统之前采购过一款堡垒机， 但随着铁路局信息系统的不断 升级，应用增多，由于原有产品本身的局限性与实际应用的不理想，该产品已经 不能满足越来越复杂的运维需求。 铁路局在运维方面的需求主要可以概括为以下 几点: 1) 运维安全防护需要对运维人员的身份认证、权限控制等进行管理； 2) 运维审计对运维人员的操作行为进行详细的记录， 做到运维历史可 回溯； 3) 运维管理解决维护的设备及系统数量多、运维工作量大、管理难度 高的现状。 通过本产品的部署实施，已经实现： 1、安全运维 定期自动修改用户名口令、最小权限控制，降低人为安全风险。 2、实时监控，全面审计 详细记录整个操作过程中用户的全部行为日志，并支持日志传送第三方，对 于生成的日志支持丰富的查询和操作。 3、提高运维及管理效率 单点登陆，集中账号管理，统一后台安全配置，提升管理效率，降低运维工 作复杂度。 4.34.3 上海铁路局上海铁路局 上海铁路局信息系统在运维方面没有部署相应设备， 主要的运维用户都是第 三方厂家的设备运维人员，采用直接连通应用服务器的方式进行运维，因此运维 安全问题极为突出。亟待解决的问题主要包括： 1) 运维人员的身份认证、权限控制问题； 2) 运维过程中的安全防护，对运维人员的操作合法性进行控制； 3) 运维之后的安全审计，保证所有运维安全事件可追溯，防止由于运维产 生的安全威胁。 通过本产品的部署实施，已经实现： 1运维人员身份合法 对运维用户的账号根据不同的运维角色及岗位进行集中管理， 实现对铁路局 所有运维用户的身份认证，保证运维用户身份合法性。 10 2.运维人员行为可控 对运维人员根据角色进行权限划分，对所运维资源的账号、密码进行严格控 制，只能通过运维平台才能获取设备资源账号及密码，避免运维用户绕开运维平 台直连设备进行操作或跨平台非法操作。 3.运维审计信息全面可追溯 铁路局运维管理员可以对所有经过安全运维审计系统的运维人员和操作行 为进行全过程记录和监控， 能够以文字或视频回放的方式重现运维管理人员对资 源的所有操作过程，从而真正实现对运维活动的完全记录。 一旦有运维安全事故发生后， 管理员可以运维审计信息的历史信息来保证所 有运维操作上的可追溯性。 4.运维管理更便捷 运维用户无需记忆大量资源的帐号或口令等信息， 只需登录安全运维审计系 统，即可选择对权限范围内的运维资源进行运维操作，这样可以很大程度的提高 了运维用户的操作便捷性和运维管理效率。 运维用户无需定期手动修改运维口账号与口令，只需开启自动修改功能、设 定好修改周期，即可让运维账号与口令定期自动修改，保障运维资源安全。 通过几个月的试用，GLA 天玑安全运维审计系统总体来讲全部安全功能运行 正常且使用较为简便。通过部署该系统解决了铁路局运维工作复杂、运维活动难 全面追踪、管控安全低效等问题，实现安全管理高效的运维。昆明铁路局、呼和 铁路局和上海铁路局计划正式采购 GLA 天玑安全运维审计系统， 并在今后其他部 门的改造过程中增加采购量。 11 5. 方案配置清单方案配置清单 产品名称 产品说明 备注 安全运维审计系统 软硬件一体化平台；处理能力：22G