天玥网络安全审计系统v6 0-运维安全管控系统-运维人员使用手册-357系列-v1 0-20160108更新

1、2016适用范围：内部运维人员使用手册天玥网络安全审计系统 V6.0运维安全管控系统适用范围：天玥 OSM 系列精细控制合规审计北京启明星辰信息安全技术 目录 1 2 概述1 用户登录1 2.1 WEB 方式1 2.1.1 WEB 访问方式1 2.1.2 相关资料下载1 运维客户端2 登录认证3 2.2 2.3 3 环境准备5 3.1 3.2 3.3 3.4 3.5 环境检测5 安装 JAVA 控件7 浏览器设置9 配置本地工具12 修改 . 14 4 运维说明14 4.1 4.2 4.3 4.4 4.5 4.6 4.7 4.8 4.9 RDP/VNC 访问14 Telnet/SSH/Rlog

2、in 访问16 FTP 访问17 数据库访问18 批量登录主机18 工单操作21 最近访问资源23 高级搜索23 菜单模式24 4.9.1命令行方式24 4.9.2图形方式28 FAQ30 5 5.1 5.2 5.3 5.4 5.5 登录提示应用程序被阻止30 登录设备报错31 提示 Java 过时需要更新32 调用应用发布工具失败33 使用 dbvis 提示 JAVA 环境变量33 天玥网络安全审计系统 V6.0-运维安全管控系统1 概述 启明星辰天玥网络安全审计系统 V6.0-运维安全管控系统（以下简称天玥 OSM），是启明星辰综合内控系列产品之一。 本手册详细介绍了天玥 OSM 进行运维

3、操作过程的使用方法，用户可参考本手册，通过天玥 OSM 进行各种运维操作。 2 用户登录 运维用户可选择通过以下方式使用天玥 OSM 进行运维操作：（1）WEB 方式（依赖 JAVA 环境）；（2）运维客户端方式（不依赖浏览器和 JAVA 环境）；（3）客户端工具直连模式（不依赖浏览器和 JAVA 环境，目前支持运维 SSH、TELNET、RDP、VNC，使用方法参见本手册 4.9章节）。 2.1WEB 方式 2.1.1 WEB 访问方式 通过浏览器访问天玥 OSM 系统，如图 2.1.1 所示：（默认 URL：https:/天玥 OSM 的IP）。浏览器推荐：IE8 及以上版本浏览器、谷歌

4、44 及以下版本浏览器和火狐 42 以下版本浏览器。 图 2.1.1：WEB 访问方式2.1.2 相关资料下载1 / 34天玥网络安全审计系统 V6.0-运维安全管控系统运维用户在天玥 OSM 系统主登录界面下方或运维界面右上方可以看到【相关下载】按钮，点击【相关下载】，系统会跳转到下载页面，提供运维所需的的证书、JAVA 运行环境、用户手册、离线播放器、运行环境监测助手下载和运维客户端，如下图所示： 图 2.1.2 相关下载2.2运维客户端 使用天玥 OSM 运维客户端方式需要先通过 WEB 方式登录管理页面，在“相关下载”中下载运维客户端，并进行安装。安装完成后，在桌面或【开始】程序栏中选

5、择运维客户端图标，打开运维客户端输入天玥 OSM 系统 IP 地址，点击“确定”即可进入主登录界面。 图 2.2.1 运维客户端2 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 2.2.2 运维客户端-登录界面2.3登录认证 天玥 OSM 使用 WEB 方式和运维客户端方式访问时，用户登录认证分为：单因素认证登录和双因素认证登录。由管理员进行设置，运维人员需要从管理员处获取登录的相关信息。 图 2.3.1：系统登录界面登录：输入用户名、即可登录（包括静态账号用户名认证、LDAP 认证、windowsAD 认证和 Radius 认证）。 USB 令牌认证登录：用户需要在运维客户机上

6、插上管理员为用户颁发的 USB 令牌，输入用户名、后，点击“登录”，会提示进行 USB 令牌认证，输入管理员为此用户设置3 / 34天玥网络安全审计系统 V6.0-运维安全管控系统的令牌，即可登录运维界面，如图 2.3.2 所示： 图 2.3.2 用户登录-USB 令牌认证动态口令卡认证登录：管理员为用户提供账号和对应的动态口令卡，用户在输入用户名、后，点击“登录”，会提示进行动态口令卡认证，用户输入登录账号对应的动态口令卡上获取的动态，即可登录成功，如图 2.3.3 所示： 图 2.3.3 用户登录-动态口令卡认证吉大正元电子证书认证登录：用户在输入用户名、后，点击“登录”，会提示进行吉大正

7、元电子证书认证，证书认证成功后即可登录成功，如图 2.3.4 所示： 4 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 2.3.4 用户登录-吉大正元电子证书认证3 环境准备 3.1环境检测 用户在使用天玥 OSM 系统 WEB 方式进行运维操作时（天玥 OSM 运维客户端方式不依赖浏览器和 JAVA 环境，首次使用也需要运行环境检测助手），所使用的客户端必须满足以下环境要求： 1.客户端操作系统要求：windows XP SP3、windows7、windows8、windows10 2.客户端 RDP 版本要求：通过天玥 OSM 使用 RDP 运维 windows 主机需要客

8、户端 RDP 版本6.0 及以上、通过天玥 OSM 系统使用应用发布工具需要客户端 RDP 版本 6.1 及以上； 3.浏览器的要求：IE8 及以上版本浏览器、谷歌 44 及以下版本浏览器和火狐 42 以下版本浏览器（如火狐版本为 42 对应使用 JRE 8 update66）； 4.JAVA 环境：JRE 6 及以上版本； 5.导入根证书（运行首页下载的环境检测助手自动完成根证书导入）； 6.天玥 OSM 系统的本地运行组件（运行首页下载的环境检测助手自动完成本地运行组件的加载）。 当天玥 OSM 为 857 以上版本时，需要手动运行环境检测助手对本机环境进行检测，环境检测助手

9、会自动完成导入根证书和更新天玥 OSM 系统的本地运维组件。在登录天玥5 / 34天玥网络安全审计系统 V6.0-运维安全管控系统OSM 主界面时，下载环境检测助手。 图 3.1.1下载环境检测助手图 3.1.2运行环境检测助手，检测本机环境。环境检测提示6 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 3.1.3 运行环境检测助手安装 JAVA 控件 3.2如果使用WEB 方式进行运维操作，当环境检测助手检测到JAVA 缺失，则需要安装JAVA控件。可以选择在运维登录页面中的相关下载中进行下载。如图 3.2.1 所示，注意：windows操作系统是 32 位的用户，下载安装“J

10、ava 运行环境 32 位”；windows 操作系统是 64 位的用户，需要下载安装“Java 运行环境 32 位”和“Java 运行环境 64 位”。7 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 3.2.1 Java 软件下载下载 JRE 并在本地计算机安装。安装完成后，进入 JAVA 控制面板，确认已勾选“启用浏览器中的 Java 内容”，如下图所示。图 3.2.2 Java 控制面板安全设置 在 JAVA 控制面板高级属性中，确保“对以下项执行已签名代码证书撤销检查”和“对以下执行 TLS 证书撤销检查”两项为查，如图 3.2.3 所示。 8 / 34天玥网络安全审计

11、系统 V6.0-运维安全管控系统图 3.2.3 Java 控制面板高级属性3.3浏览器设置 在 IE 浏览器中 internet 选项-安全-可信站点中加入天玥 OSM 系统的 URL 地址，如图3.3.1 所示。 图 3.3.1 internet 选项信任站点 用户使用火狐浏览器登录天玥 OSM 系统时，需要进行如图 3.3.2-3.3.4 设置: 9 / 34天玥网络安全审计系统 V6.0-运维安全管控系统 图 3.3.2 火狐浏览器-例外站点图 3.3.3 火狐浏览器-安全设置 110 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 3.3.4 火狐浏览器-安全设置 2如果是

12、谷歌内核的浏览器，在地址栏输入 chrome:/flags/#enable-npapi，启用 NANPI插件，如图 3.3.5 所示（注意：谷歌浏览器 45 及以上版本不支持调用 JAVA 控件）。 图 3.3.5 谷歌浏览器启用 NANPI 插件 进入设置高级设置隐私设置内容设置插件停用单个插件，找到“Java(TM) ”，勾选“始终允许”。如图 3.3.6 所示。 11 / 34天玥网络安全审计系统 V6.0-运维安全管控系统 图 3.3.6 谷歌浏览器设置3.4配置本地工具 在运维界面中，点击【配置工具】，进入本地客户端工具路径配置界面。如图 3.4.1 所示： 图 3.4.1 配置工具

13、 1各运维工具推荐版本如下表所示：12 / 34服务 本地运维工具 推荐版本 说明 Oracle PLSQLDev 7、8、9、10 版本 Toad4Oracle v16 SQLPlus 9i、10g、11g 应用发布推荐使用 11g ImpExp 5.7.0 Navicat Premium 11.1.9 Dbvis 9.1.7 SQL server SSMS SqlService2008R2 Navicat Premium 11.1.9 sybase SqlAdvantage 12.5.3 informix Sqleditor 4.0 Dbvis 9.1.7 天玥网络安全审计

14、系统 V6.0-运维安全管控系统13 / 34 操作说明： 1、 选择待保存路径的工具，点击其右侧“修改”按钮，填入本地工具路径信db2 Db2cmd Dbvis 9.1.7 SqlDbx SqlDbxPro QuestCentral mysql Navicat Premium 11.1.9 Mysql Dbvis 9.1.7 teradata TeradataSQL Assistant 14.10 postgresql PgAdmin3 1.18.1 Dbvis 9.1.7 Telnet Putty 只能使用系统自带版本 SecureCRT 6.2.3 及以上版本 Xshel

15、l 3.0 及以上版本 2.0 版本无法连接资源主机 SSH Putty 只能使用系统自带版本 SecureCRT 6.2.3 及以上版本 Xshell 3.0 及以上版本 2.0 版本无法连接资源主机 WinSCP 5.5.6 FlashFXP 5.1.0 SSH Secure Shell Client 3.2.9 http IE IE8 只能使用应用发布 Firefox 35 及以下版本 只能使用应用发布，并且最新36 版本无法实现代填 FTP WinSCP 5.5.6 FFFTP 1.97 FlashFXP 5.1.0 RDP mstsc 6.1 及以上版本 VNC mstsc 6.1

16、及以上版本 如果目标资源服务为 RealVNC 5.x Server ，需对 VNC Server 做如下配置方能运维： (1) 配 置 Security 为Encryption 为 prefer on； (2) 配 置 Security为Authentication为 VNC password 或者 None rlogin Putty 只能使用系统自带版本 天玥网络安全审计系统 V6.0-运维安全管控系统3.5修改 在运维界面中，点击【修改】，修改用户的登录，如图 3.5.1 所示： 图 3.5.1 运维账号修改 修改：修改本账号的登录。每次修改后请用户牢记（如用户被设置为需要通过令牌认证，

17、可修改令牌登录） 4 运维说明 4.1RDP/VNC 访问 运维用户成功登录天玥 OSM 后，选择需要通过 RDP/VNC 协议实现远程访问的资源，点击服务图标，右侧会显示该资源下 RDP 或 VNC 的所有从账号，选择从账号后，再选择运维工具（V6.0.3 及以后版本 VNC 的运维都通过 mstsc 工具进行，本地工具不需要再配置 VNC 的工具路径，如图 4.1.2 所示），使用 RDP 服务时可选择屏幕大小、RDP 剪切板功能、磁盘映射功能和访问方式，最后点击“连接服务”，如图 4.1.1 所示： 14 / 34息，点击保存即可； 2、 此页面列表中的客户端工具，均支持用户调用时，代填

18、连接参数以实现直接登录目标主机； 3、 如通过不同本地计算机在不同时间使用用户账号登录的情况下，需要重新配置本地工具路径。 天玥网络安全审计系统 V6.0-运维安全管控系统 图 4.1.1 RDP 访问图 4.1.2 VNC 访问查询：查询可访问的资源 选择资源：选择待访问的资源名称 IP 地址：若该资源有多个 IP 地址，请选择待访问的 IP 地址 服务名称：显示当前选择要访问的服务名 选择账号：选择该服务的系统账号进行访问 自定义账号：在运维操作界面登录目标资源前，可选择自行输入登录资源的账号和 选择工具：选择本地工具、应用发布访问该服务 屏幕大小：选择远程桌面连接目标服务器时屏幕的大小

19、开启 RDP 剪切板：选择远程桌面连接目标主机后是否启用剪切板功能 开启磁盘映射：选择远程桌面登录连接目标主机后是否启用磁盘映射功能和具体映射哪些磁盘 15 / 34天玥网络安全审计系统 V6.0-运维安全管控系统访问方式：当使用远程桌面服务时，可选择 NORMAL 和 CONSOLE。NORMAL：为普通的远程桌面连接模式；CONSOLE：等同于本地终端显示器登录 连接服务：单击后通过客户端连接至目标主机 4.2Telnet/SSH/Rlogin 访问 运维用户成功登录天玥 OSM 后，选择需要通过 Telnet/SSH/Rlogin 协议实施远程访问的资源，点击服务图标，右侧会显示该资源下

20、待访问服务的所以从账号，选择从账号后，再选择运维工具，最后点击“连接服务”，如图 4.2.1-4.2.2 所示： 图 4.2.1 telnet 访问 图 4.2.2 SSH 访问查询：查询待访问的资源 选择资源：选择待访问的资源名称 IP 地址：若该资源有多个 IP 地址，请选择待访问的 IP 地址 服务名称：显示当前选择要访问的服务名 16 / 34天玥网络安全审计系统 V6.0-运维安全管控系统选择账号：选择该服务的系统账号进行访问 自定义账号：在运维操作界面登录目标资源前，可选择自行输入登录资源的账号和 选择工具：选择本地工具、应用发布或者 WEB 控件访问该服务 WEB 控件：选择 W

21、EB 的控件访问该服务 连接服务：单击后通过 Web 控件或者客户端连接至目标主机 4.3FTP 访问 运维用户成功登录天玥 OSM 后，选择需要通过 FTP 协议实施远程访问的资源，点击服务图标，右侧会显示该资源下待访问服务的所以从账号，选择从账号后，再选择运维工具，最后点击“连接服务”，如图 4.3.1 所示： 图 4.3.1FTP 访问选择资源：选择待访问的资源名称 查询：查询待访问的资源 IP 地址：若该资源有多个 IP 地址，请选择待访问的 IP 地址 服务名称：显示当前选择要访问的服务名 选择账号：选择该服务的系统账号进行访问 自定义账号：在运维操作界面登录目标资源前，可选择自行输

22、入登录资源的账号和 选择工具：选择本地工具、应用发布或者 WEB 控件访问该服务（支持 Winscp 和FlashFXP 客户端工具） WEB 控件：选择 WEB 的控件访问该服务 连接服务：单击后通过 Web 控件或者其它客户端连接至目标主机 17 / 34天玥网络安全审计系统 V6.0-运维安全管控系统4.4数据库访问 运维用户成功登录天玥 OSM 后，选择需要通过数据库 Oracle、Sybase、DB2 等协议进行远程访问的资源，点击服务图标，右侧会显示该资源下待访问服务的所以从账号，选择从账号后，再选择运维工具，最后点击“连接服务”，如图 4.4.1 所示： 图 4.4.1 数据库访

23、问选择资源：选择待访问的资源名称 查询：查询待访问的资源 IP 地址：若该资源有多个 IP 地址，请选择待访问的 IP 地址 服务名称：显示当前选择要访问的服务名 选择账号：选择该服务的系统账号进行访问 自定义账号：在运维操作界面登录目标资源前，可选择自行输入登录资源的账号和 选择工具：选择本地工具、应用发布访问该服务 连接服务：单击后通过本地客户端连接至目标主机 4.5批量登录主机 运维用户成功登录天玥 OSM 后，在界面的左侧可看到系统资源组和我的资源组， 18 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 4.5.1 运维操作界面系统资源组：运维人员有权限访问的所有资源，按

24、照管理员对资源的分组进行展现 我的资源组：运维人员可自定义资源组，并将系统资源的一个或多个资源加入该资源组，便于管理和运维操作 添加我的资源组：点击【我的资源组】右侧的图标,输入我的资源组的名称，然后【保存】，如图 4.5.2-4.5.3 所示 图 4.5.2 添加我的资源组 1图 4.5.3 添加我的资源组 219 / 34天玥网络安全审计系统 V6.0-运维安全管控系统我的资源组中加入资源：点击【系统资源组】，选择需要加入我的资源组的主机，长按鼠标左键，移动鼠标到【我的资源组】，按此方式将其它需要的资源加入我的资源组，如图 4.5.4-4.5.5 所示 图 4.5.4 加入我的资源组 1图

25、 4.5.5 加入我的资源组 2 添加到批量连接：在添加好我的资源组后，点击【添加到批量连接】，将我的资源组中的资源添加到批量连接列表中，如图 4.5.6-4.5.7 所示 20 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 4.5.6 添加到批量连接 1图 4.5.7 添加到批量连接 2 批量连接：在添加好我的批量连接后，选择【我的批量连接】，选择本次需要批量连接的主机，从账户，和连接方式后，选择【批量连接】进行批量登录主机，如图4.5.8-4.5.9 所示 图 4.5.8 批量连接 4.6工单操作 当管理员为运维用户下发工单后，运维用户登录天玥 OSM，可以查看工单信息，并执

26、行工单。运维用户登录天玥 OSM 系统，选择“工单信息”，如图 4.6.1 所示： 21 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 4.6.1 运维界面 进入工单信息页面后，运维用户可以看到管理员下发给他的所有工单信息，当运维用户进行工单操作时，需要选择相应工单后的“连接”选项，如图 4.6.2 所示： 图 4.6.2 工单信息 进入工单操作页面后，运维用户可以看到该工单授权给运维用户的运维资源，并提供连接运维资源主机通道，如图 4.6.3 所示： 22 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 4.6.3 工单操作 4.7最近访问资源 运维用户最近访问的

27、10 个运维资源会在运维菜单左侧目录树“最近访问资源”选择中列出，方便用户在此访问该资源(天玥 OSMV811 及以后版本具备该功能)，如图 4.7.1所示： 图 4.7.1 最近访问资源 4.8高级搜索 当运维资源较多的情况下，要快速定位运维资源主机，除了普通搜索之外还可以进行高级搜索，对资源名称、所属组、IP 地址、服务等进行关联搜索(天玥 OSMV811 及以后版本具备该功能)，如图 4.8.1 所示： 23 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 4.8.1 高级搜索 4.9菜单模式 4.9.1 命令行方式 当运维终端是 Linux、MA

28、C 等系统，或是该终端本地环境不满足我们基本要求，可以无需登录天玥 OSMweb 运维界面，而使用 SSH 工具直连天玥 OSM 来进行安全运维，目前此种菜单模式支持的运维方式有 SSH 和 telnet。(天玥 OSMV811 及以后版本具备该功能) 首先通过SecureCRT 工具连接天玥OSM，主机名为天玥OSM 管理IP 地址，端为5107，如图 4.9.1 所示： 图 4.9.1 连接天玥 OSM 和该运维用户从 web 界面登录的账号登录账号一致，如图 4.9.2 所示： 24 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 4.9.2 登录天玥 OSM

29、进入菜单管理界面后，运维用户可以开始选择运维资源。其中“Enter”建为确定，“Esc”建为返回，如图 4.9.3-4.9.7 所示： 图 4.9.3 选择资源组 25 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 4.9.4 选择资源主机 图 4.9.5 选择服务 26 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 4.9.6 确认连接 图 4.9.7 开始安全运维 注意事项：SSH 连接必须保证终端类型为 VT100 或 xterm，字符编码：UTF-8（如目标设备字符编码为非 UTF-8，需用户在成功登录目标设备后，再自行调整字符编码），如图4.9.8-4.9

30、.9 所示： 27 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 4.9.8 终端类型 图 4.9.9 终端编码4.9.2 图形方式 运维用户若希望通过 RDP、VNC 协议远程访问主机资源，可以启用 Windows 系统默认的远程桌面连接工具（RDP：mstsc.exe）进入图形化访问资源菜单。如图 4.9.10 所示，直接输入天玥 OSMIP 地址，端口为 5106，然后选择连接，如果需要映射磁盘，请展开选项卡进行设置，如图 4.9.11 所示。 28 / 34天玥网络安全审计系统 V6.0-运维安全管控系统图 4.9.10 图形方式访问菜单登录图 4.9.11 开启磁盘映射

31、，如图 4.9.12 所示。 输入运维账号、图 4.9.12 运维用户身份认证29 / 34天玥网络安全审计系统 V6.0-运维安全管控系统运维账号认证通过后，展现出用户可访问的资源列表，如图 4.9.13 所示，选择对应的资源和账号后，选择“连接”，便会登录到目标服务器上，如图 4.9.14 所示。 图 4.9.13 资源菜单图 4.9.14 连接到服务器5 FAQ 5.1登录提示应用程序被阻止 问题：登录时提示如图 5.1.1 所示，应用程序被安全设置阻止时 解决方式：在控制面板中的 JAVA 安全设置中，将访问天玥 OSM 的 URL 地址添加到例外30 / 34天玥网络安全审计系统 V6.0-运维安全管控系统站点列表，如图 5.1.2 所示。 图 5.1.1应用程序被安全设置阻止图 5.1.2 JAVA 安全设置-添加例