审计系统在水利信息网中的应用研究

□宋 博 □闫晓敏 □赵倩倩 □刘子涵(河南省水利信息中心)

0 前言

近年来随着大数据和云计算技术的不断成熟和发展，更多的新技术不断地在水利行业中得到应用，山洪灾害系统，水资源监控系统，办公自动化和行政审批系统等相继上线，使得水利信息化管理和维护任务日益繁重。政府机构对网站的依赖程度也越来越大，网站越来越重要。传统的网站安全产品很难在各式各样的威胁下保障网站的安全，同时如何建立合理的管理规章制度和运维流程，提高效率，实现网站值班工作的量化考核也是急需解决的问题。应用安全审计系统，提高运维管理精细度，保障系统安全可靠运行就显得尤为重要。

1 审计的重要性

主要表现在3个方面：一是内部控制环节的变化，许多传统的控制手段已经失去意义，评价和改进内部控制必须以信息系统的运转为基础；二是管理的风险增加，由于单位经营越来越依赖于信息系统，除了传统意义上的经营风险、控制风险和财务风险之外，企业信息系统安全性导致的信息技术风险日益增长；三是对复合性高级人才的需求骤增，要求管理者、审计工程师和办公人员必须在精通管理和专业的同时熟悉信息系统和网络技术。

2 审计系统的构成

审计系统主要由3部分组成：数据库审计系统，日志审计系统和运维审计系统。数据库审计系统能够记录数据库的实时活动，对数据库的操作进行合规性管理和细粒度审计，对数据库遭受到的风险行为进行警告，对攻击行为进行阻断。它通过对用户访问数据库行为的记录、分析和汇报，用来帮助用户事后生成合规报告、事故追根溯源，同时加强内外部数据库网络行为记录，提高数据资产安全性。

日志审计系统能够对操作系统、网络设备、安全设备、应用系统（WEB服务器、邮件服务器、FTP服务器、中间件服务等）、数据库系统等IT系统中记录的日志/事件进行集中采集、识别，利用关联分析规格，识别优先处理的告警事件。利用大数据的分布式存储和关联分析技术，日志审计系统发现海量日志中的异常和可疑安全事件。

运维审计系统是用于对第三方或者内部运维管理员的运维操作行为进行集中管控审计的系统。运维审计系统可以规范运维操作行为、控制并降低安全风险、满足等级保护及其他法规对IT内控合规性的要求。运维审计系统集中管理运维账号、资产设备，集中控制运维操作行为，能够实现实时监控、阻断、告警，以及事后的审计与统计分析。

3 现有水利网络信息系统存在问题

应用系统数量日益庞大，网络设备数量不断增加，当一个设备出现异常后，经常会占用整个网络的大量带宽，导致网络瘫痪。

安全问题不断凸显，来自内外部的攻击事件，病毒，木马等入侵，重要应用系统的宕机，会严重侵害个人正常利益甚至影响社会秩序的稳定。

内部管理人员安全意识不足，误操作等，缺少完整的安全制度体系。

4 部署审计系统及其在水利信息网中的应用

4.1 部署准备工作

审计系统部署需要在核心交换机或者接入交换机上配置需要审计数据库的端口镜像，前提需要了解数据库和中间件都经过哪个交换机，通过镜像把所有对数据库和中间件访问的数据包审计下来。资产管理方面，统计需要审计数据库的业务类型，数据库IP地址，数据库端口号，系统类型重点包括水利网站，水文网站，虚拟平台，中间件服务器IP地址，端口号，相关联数据库。针对人员管理方面，运维人员划分相应的管理权限，添加对应资产和应用发布，设置端口和运维权限。配置所有网络设备，安全设备，服务器设备日志外发到日志审计系统的管理地址。

4.2 系统部署

本次项目包括部署一台数据库审计系统，系统的组网拓扑图如下：通过在核心交换机上旁路部署数据库审计系统，有效的实现了对内外网数据库的监听和审计，当水利网核心应用系统出现故障时，及时排查数据库改动和异常信息，并能够利用记录的操作痕迹在尽量短的时间内恢复系统的公共服务功能。通过相应的中间件关联审计手段，可以发现系统运行是否存在安全隐患，有效的保障了水利信息网络运行数据库的安全稳定运行。如图1所示。

图1 数据库审计部署图

部署一台运维审计系统，系统采用单臂部署的模式，不改变网络拓扑结构，不需要在终端安装客户端软件，不改变管理员、运维人员的操作习惯，不影响正常业务运行。通过划定严格的用户使用权限，分级管理相应的资产设备，在记录运维人员日常工作的同时，有利于实时监控和对风险事件做阻断处理。同时利用运维审计系统的录像回放功能，可以更直观的记录运维信息和发生故障后的恢复，统一的密码管理策略也提升了整个系统的安全等级要求。系统的组网拓扑图如图2所示。

部署一台日志审计系统,采用旁路部署方式，部署方式比较灵活，只需要为其配置一个独立IP地址即可使用。网络中的设备通常都是通过Syslog、SNMP Trap协议自动发送日志到慧眼日志审计系统中，或者通过慧眼审计系统提供的Agent软件从操作系统中采集各类日志信息。如图3所示。

图2 运维审计部署图

4.3 实施效果

4.3.1 满足合规性要求和安全检查等级保护要求

目前，国家对政府机关的安全要求越来越高，每年省政府和工信厅都会对水利行业信息安全进行专项检查，安全审计是检查的重要环节之一；对应用系统进行有效的审计和监听也是信息安全等级保护的基本要求，政府行政事业单位有遵循等级保护、分级保护的合规性要求。

图3 日志审计部署图

4.3.2 有效减少核心信息资产的破坏和泄漏

对政府部门的业务系统来说，真正重要的核心信息资产往往存放在少数几个关键系统上 (如数据库服务器、应用服务器等)，通过使用审计系统，能够加强对这些关键系统的审计，从而有效地减少对核心信息资产的破坏和泄漏。

4.3.3 追踪溯源，便于事后追查原因与界定责任

一个单位里负责运维的部门通常拥有目标系统或者网络设备的最高权限(掌握DBA帐号的口令)，因而也承担着很高的风险(误操作或者是个别人员的恶意破坏)。审计系统能够帮助事后追查原因与界定责任。

4.3.4 直观掌握业务系统运行的安全状况

业务系统的正常运行需要一个安全、稳定的网络环境。对管理部门来说，网络环境的安全状况事关重大。审计系统提供业务流量监控与审计事件统计分析功能，能够直观地反映网络环境的安全状况。

4.3.5 实现独立审计，完善内控机制

从内控的角度来看，IT系统的使用权、管理权与监督权必须三权分立。审计系统实现独立审计，帮助监督人员获得有效的技术手段，从而完善企业IT内控机制。

5 结语

目前我国在信息系统审计领域的研究刚刚起步,因此,探索信息系统审计的理论结构框架,分析信息系统审计技术在具体实践中的应用,探讨信息系统审计的发展策略对于有效促进信息系统审计理论和应用体系的发展,指导信息化建设具有重要的理论和现实意义。通过审计系统的部署，提高了水利信息网络运维的精细度和合规性，从而更加有效的保障整个水利系统信息的安全畅通，使信息化技术更好地服务于水利现代化，同时也为河南省水利信息化数据中心建设提供服务。

[1]徐国爱，陈秀波，郭燕慧.信息安全管理（第2版）[M].北京：北京邮电大学出版社有限公司,2011.

[2]李艇.计算机网络管理与安全技术(第2版)[M].北京：高等教育出版社,2009.