综合it系统运维审计解决方案

1、综合IT系统运维审计处理方案第1页企业审计要求审计要求第2页企业审计要求AMS对主机系统审计要求及满足用户登录退出汇报(302条款 (a)-(4)-(C) (D) 用户登录失败汇报(302条款 (a)-(4)-(C) (D) 特定文件、目录访问汇报系统开机/关机汇报系统时间修改汇报系统日志修改汇报系统远程登录汇报系统帐号管理操作跟踪 (302条款 (a)-(6) 审计策略变更跟踪(302条款 (a)-(5) 用户认证成功/失败汇报应用访问汇报(302条款 (a)-(5) 第3页产品体系结构第4页产品结构说明数据接口层数据接口层实现审计数据采集及标准化，同时还能够完成与其它日志系统日志传输及结核

2、。关键业务层实现数据综合分析和关联分析，生成各种审计报表。还提供日志维护管理，和用户维护管理。展示层展示层以各种汇报报表方式让用户能够从多个角度清楚洞察系统运行情况，实现对审计系统配置管理，实现综合审计和报表展示。第5页综合审计体系结构数据库嗅探硬件URTRAMS日志管理与审计系统 ULTRAMSDB堡垒主机硬件访问控制流量审计标准日志采集日志审计网络嗅探硬件流量审计集中身份管理系统UltrAMSSyslog/snmpApi/jdbcApi/jdbcsyslog/Jdbc/apijdbc审计 产品第三方审计产品api/syslog/snmp第6页产品功效第7页产品功效系统功效日志采集日志起源数

3、据标准化过滤归并压制日志审计行为审计关联分析审计基于用户实体行为审计实时监控事件响应操作阻断审计报表系统管理用户管理用户角色权限管理对象管理采集调度管理数据备份管理系统日志管理系统分级管理第8页日志采集审计日志起源应用系统日志业务系统应用服务标准日志系统日志文件安全设备网络设备网络流量日志网络嗅探外部系统日志（4A）集中用户管理日志集中认证日志集中授权日志访问控制日志单点登录系统堡垒主机日志第9页日志采集全方面获取技术1）面向文件型搜集器，Filestream Collector，提供通用系统格式模板库，支持自定义，配合通用文件采集Agent,布署分客户端安装和外置模式2）面向协议型搜集器，E

4、vent Collector，提供常见协议支持，如Syslog、Snmp Trap、Opsec Lea等，少许可AMS主机内置3）网络嗅探器，Network Sensor，经过旁路监听方式，网络协议还原获取4）数据库嗅探器，DB Sensor，经过旁路监听方式，数据库访问协议还原获取5）特殊探测器，Agent，为特殊目标普通安装在主机上探测软件，如针对UNIX主机操作、Windows系统Eventlog及其它操作运行信息第10页主机系统审计第11页主机系统审计第12页主机系统审计安全设备第13页网络事件审计网络行为第14页网络事件审计数据库第15页设备支持列表分类子类日志内容日志采集方式主机系

5、统Solaris系统日志标准日志采集（syslog） AIX系统日志标准日志采集（syslog）Windows Eventlog日志采集客户端Linux 系统日志标准日志采集（syslog）HP Unix 系统日志标准日志采集（syslog）防火墙Check Point管理日志/告警日志标准日志采集接口（OPSEC LEA）Cisco PIX管理日志/告警日志标准日志采集（syslog）Netscreen管理日志/告警日志标准日志采集（syslog）华为管理日志/告警日志标准日志采集（syslog）入侵检测CA(NIDS)告警日志标准日志采集（syslog）ISS(HIDS)告警日志标准日志采

6、集（syslog）网络设备华为管理日志标准日志采集（syslog）CISCO管理日志标准日志采集（syslog）Juniper管理日志标准日志采集（syslog）服务器WebLogic系统使用日志/管理日志获取日志文件WebSphere系统使用日志/管理日志获取日志文件Apache系统使用日志/管理日志获取日志文件Microsoft IIS系统使用日志/管理日志获取日志文件Domino系统使用日志/管理日志日志API接口 Sendmail系统使用日志/管理日志标准日志采集（syslog）Exchange系统使用日志/管理日志获取日志文件第16页办公Lotus Domino系统使用日志/管理日志

7、日志API接口流量审计telnet会话内容网络嗅探/堡垒主机email收发件地址及邮件内容网络嗅探标准日志采集ftp会话内容网络嗅探/堡垒主机http网页内容恢复、图片恢复网络嗅探/堡垒主机ssh会话过程堡垒主机httpsWeb页面堡垒主机数据库Oracle会话过程网络嗅探DB2会话过程网络嗅探SQL Server会话过程网络嗅探Sybase会话过程网络嗅探Informix会话过程网络嗅探数据库Oracle数据库本身审计日志日志API接口DB2数据库本身审计日志获取日志文件SQL Server数据库本身审计日志日志API接口Sybase数据库本身审计日志获取日志文件Informix数据库本身审

8、计日志获取日志文件第17页行为审计是审计内容重点经过各种技术伎俩取得使用者对信息系统各部分操作活动统计。主机行为操作系统层对用户操作行为跟踪网络行为网络访问行为，http、ftp、smtp/pop、telnet、msn、bt数据库行为主流关系型数据库（Oracle/DB2/Mssql/Sybase/Informix等）SQL操作行为应用行为WEB和中间件服务器访问，应用软件系统本身操作统计第18页关联分析审计操作行为关联审计 能够将系统层日志、数据库日志、应用层日志及网络数据进行相互关联，再现用户操作过程，能够再现所相关键系统数据访问、修改和删除等。能够对不规则或频繁出现事件能进行统计分析、过

9、滤和事件聚合等。能够支持自定义安全事件，能检测自定义安全事件。能够提供自定义匹配模式便于查询。 事件关联审计 能够将系统层日志、数据库日志、中间层、应用层日志、网络数据和用户关联起来，并能够区分不一样用户行为，而且将全部事件聚合为对同一用户事件关联审计。 基于网络实名审计系统经过与身份管理系统结合，将某个账号操作行为与自然人关联，实现基于网络实名行为审计；能够对主机，网络设备，数据库全部用户指令操作统计；第19页高危行为审计能够对以下数据库高危操作进行审计包含：数据库表删除、关键数据项修改及删除等。能够对以下应用层高危操作进行审计包含：用户数据修改、关键业务系统配置修改。能够对以下高危操作进行

10、审计包含：用户越权访问、用户权限升级、更改口令、新建用户、非正常时间登陆、屡次错误登陆、审计策略更改和其它异常事件。能够对以下系统层高危操作进行审计包含：系统文件删除、系统文件修改、系统文件属性修改、格式化磁盘、操作服务端口开启、开启后台进程和运行可执行文件等。 第20页实时规则库结合自定义实时规则支持各种告警方式邮件短信声音发送SYSLOG等支持工单接口发送工单状态跟踪行为阻断防火墙联动堡垒主机应用代理日志分析和响应第21页砖取方式报表展示展示：用户选择好纵维和横维后，展示区中显示内容，即为基本展示单元或报表单元（参考详细分类报表），用户可点击纵维或横维来展某一分类进行钻取查看。用户也能够直

11、接点击数据字段查看某组事件。纵轴：按照从整体经过地域或业务系统两种路径准确到IP（人员）。用户能够点击总体一直进入某个详细IP地址；横轴：按照各种事件分类方法（事件源特点、级别特点、事件分类）；用户经过任一路径逐层定位到详细事件细节；第22页审计报表报表前转报表前转主要包含两个方面：前转到工单和自动邮件发送。前转到工单：能将报表经过已经有电子工单系统进行发送和处理自动邮件发送：报表生成后，系统能自动将生成报表发送到指定邮箱第23页产品功效报表分类（1）总体状态报表这类汇报主要面向管理层，便于管理层把握全局业务状态，方便安全运维决议，要求能直观进行各种操作，并能对报表进行各种层面预定义。报表支持

12、导航功效，支持个性化报表和个性化报表菜单，能将本期总体状态分析数据和上期（或其它）数据进行对比分析，而且能将分析结果经过详细情况分析统计进行定位。审计分析平台能直观查看各业务系统、服务器、终端、人员、安全和网络状态，而且能经过总体状态汇报，以钻取方式定位到各种详细以及趋势汇报，并能将出现威胁、风险或者操作与终端或者人员相对应。 统计趋势报表统计趋势分析统计，这类汇报主要面向管理层，把握全局业务状态。要求能将与业务相关各种风险以及事件趋势进行统计，能经过各个部门或地域来进行统计分析。详细分类报表 详细情况分析统计，这类汇报主要面向技术层。要求能将各种与业务相关联数据进行分析统计，定位系统故障。这

13、类报表必须能支持数据钻取和切片。要求支持对各种不一样类别数据源数据进行关联和综合分析、统计。 第24页产品功效报表分类（2）总体状态报表主机设备（Windows、UNIX）网络设备（交换机、路由器）安全设备（防火墙、入侵检测、防病毒）应用系统（邮件、web/http、msn）统计趋势报表趋势统计时间单位能够是：小时、天、星期、月、季、年；按照总体、业务、部门、地域生成趋势统计统计；按照事件源、事件特征生成趋势统计分析表； 详细分类报表 按照事件源、事件特征产生报表；灵活查询报表会话（帐号实体）报表应用报表第25页查询报表TELNET会话查询报表第26页审计报表数据库会话审计报表第27页日志存放

14、管理第28页高可靠数据管理采取RAID 5磁盘阵列，支持高效压缩日志存放（压缩比20:1）支持手工原始数据批量导入支持定时和自定义自动归档，归档文件可下载支持归档数据恢复支持外部存放设备，如磁盘阵列柜、NAS高效数据检索引擎存放和检索日志量（万条）查询条件复杂度第一遍第二遍第三遍第四遍500单条件检索2213双条件检索2322三条件检索3322四条件检索33431000单条件检索2222双条件检索2223三条件检索3323四条件检索3554第29页系统本身安全保障第30页内部通讯检验机制内置安全防火墙128位加密传输缓冲区设计管理界面与其它功效模块分离合理权限管理所需即所见系统本身安全第31页本身安全性保障在全部组件之间进行可选加密方式确保安全通信引擎可利用数字证书对全部用户类代理进行身份验证增强用户和管理界面可采取基于SSL身份验证可在全部组件之间实现统一配置第32页产品布署第33页日志及流量审计产品布署第34页具备访问控制日志及流量审计产品布署第35页分布式布署集团地方1地方2第36页产品型号及性能指标第37页名称AMS-500AMS-1000AMS- AMS-5000 动态缓存 300 万条 600 万条 1000 万条 1000