网络安全审计有法

网络运维部因为多种原因并没有建立工程师的操作权限管理制度，只是在设备上面设置管理帐号，供多个工程师共同使用，这样问题就产生了，当出现人员的错误操作引起网络故障时，没有办法追究根源，仅仅依靠设备的日志信息难以追索。

为了解决这个问题，参考了多家厂商提供的解决方案，网络运维部最后决定采用启明星辰公司的天玥网络安全审计系统。该系统其实也是堡垒主机的一种，系统集成在一台物理硬件设备上，外观尺寸看起来像一台交换机，采用旁挂的部署方式。

原本网络运维部门是划分在一个单独的网络区域，拥有最高级别的访问权限，能对路由交换设备、网络安全设备、服务器设备等进行远程管理。以往的经验是运维工程师直接使用telnet、SSH等协议远程登录设备进行管理，部署了网络安全审计系统，我们要求所有远程管理的操作都必须先登陆安全审计系统才能进行，在所有的网络设备上面预先配置ACL策略，只允许网络安全审计系统这个设备的IP地址远程登录，拒绝其他的登录地址。

下面简单介绍一下网络安全审计系统的工作原理，它是一种BS架构，配置的过程大概分为：定义用户管理组、添加被管理主机，设置访问策略。运维工程师通过自己的密码帐号登录到系统，再通过这个设备作为代理远程管理其他的网络设备，所有的配置操作命令都会被记录下来，审计人员可以查看工程师的配置命令日志，甚至是通过查看截屏回放的视频记录判断工程师是否存在违规操作行为，每一个工程师分配惟一的帐号，用户名密码也只有他本人知道。有了这样的系统，所有的配置变更都被记录下来，能够对追索故障原因提供依据。

下面描述一下我们对这款产品的具体配置过程。首先用超级管理员的角色登陆设备，结合单位的情况，我们在用户管理菜单栏添加了三个组别，分别是网络安全运维组、服务器运维组、临时应用组，然后再添加工程师的用户并划分到对应的组别。然后在主机管理菜单栏里面添加被管理的主机，这里面支持的功能非常丰富，可以针对不同的主机类型，对不同的访问方式进行记录。最后配置策略管理，这里面我们根据不同的组别实施策略。对网络安全运维组、服务器运维组启用SSH传输记录、进行图形访问键盘记录、启用RDP磁盘映射、启用RDP剪贴板。临时应用组启用进行图表访问键盘记录。简单几步的配置以后，最前线的工程师对设备的远程管理操作都会被记录下来，部门主管可以用审计的帐号登录系统查看工程师的操作日志。可以单独地将配置的命令筛选出来审核，也可以通过回放的截屏视频查看整个操作过程，这在一定程度上对业务的操作进行规范，另一方面通过分析操作配置的日志，能作为考核员工业务水平的依据。