运维安全管理技术在烟草行业的应用

摘 要：随着信息安全技术不断发展，系统安全运维管理已经形成了比较完善的工作流程和方法，对系统运维安全管理也有了很多研究成果。堡垒机和安全配置核查产品是当前普遍使用的系统运维安全管理产品，通过两类产品灵活的组合联动，可以实现对系统运维安全管理手段的强化，本文就讨论这种强化系统运维安全管理的技术。

关键词：堡垒机;配置核查;运维

一、当前系统安全运维管理的问题

随着全球信息技术的不断发展和信息化建设的不断进步，烟草行业信息化水平得到飞速提升，其办公系统、业务平台不断推出和投入运行，信息系统在企业的运营中全面渗透，在企业内网中，使用越来越多的服务器主机来运行关键业务。

这种情况下，企业对IT系统的依赖程度也越来越高，各类业务系统也变得日益复杂。就一个信息化程度很高的网络信息系统而言，其针对传统的信息安全问题防护已经比较完善，最大的威胁和破坏来自企业内部。据相关机构对用户调研数据显示，10.7%的安全问题导致网络数据破坏，13%的安全问题导致数据失密，18%的病毒程序感染问题导致系统短暂故障，而从恶意攻击的特点来看，70%的攻击来自组织内部。

所有内部隐患中，权限无法控制，安全策略不当、特权用户的随意操作等等情况，归结起来主要体现在以下几个方面：

●账号管理无序，暗藏巨大风险。

●权限管理粗放，安全性难保证。

●日志粒度粗犷，事件定位不易。

●第三方运维管理带来安全隐患。

●传统安全审计已无法满足要求。

●面临政策和行业合规遵从压力。

以上问题会随着IT系统的发展而变得越来越严重，IT安全运维管理的变革刻不容缓。

二、系统配置变更管理和审计

针对以上情况，堡垒机应运而生。堡垒机，又被具体称为“内控堡垒机”，它综合了运维管理和安全性，切断了终端计算机对网络和服务器资源的直接访问，而是采用协议代理的方式，接管了终端计算机对网络和服务器的访问。形象地说，终端计算机对目标的访问，均需要经过堡垒主机的翻译。主要包含四大功能点：

其一，单点登录功能：用户通过一次登录系统后，就可以无需认证地访问包括被授权的多种基于B/S和C/S的应用系统。单点登录为具有多账户的用户提供了方便快捷的访问途径，使用户无需记忆多种登录用户ID和口令。它通过向用户和客户提供对其个性化资源的快捷访问提高生产效率。同时，由于系统自身是采用强认证的系统，从而提高了用户认证环节的安全性。

其二，账号管理功能：账号和资源的集中管理是集中授权、认证和审计的基础。集中账号管理可以完成对账号整个生命周期的监控和管理，而且还降低了企业管理大量用户账号的难度和工作量。同时，通过统一的管理制定统一的、标准的用户账号安全策略，可实现从账号的自动改密，第三方运维人员无法获知设备的密码信息。强制运维人员通过堡垒机进行系统安全运维。

其三，资源授权功能：通过集中访问授权和访问控制可以对用户通过B/S、C/S对服务器主机、网络设备的访问进行审计和阻断。在集中访问授权里强调的“集中”是逻辑上的集中，而不是物理上的集中。

其四，操作审计功能：操作审计管理主要审计人员的账号使用（登录、资源访问）情况、资源使用情况等。在各服务器主机、网络设备的访问日志记录都采用统一的账号、资源进行标识后，操作审计能更好地对账号的完整使用过程进行追踪、并通过系统自身的用户认证系统、用户授权系统以及訪问控制等详细记录整个会话过程中用户的全部行为日志，还可以将产生的日志传送给第三方产品。

在这些主干功能构筑的强大安全体系下，堡垒机将实现对系统用户管理、对内网操作审计、对网络设备管理和对黑客行为防范四大功能，完美地演绎了内网安全“终结者”角色，成为烟草行业单位内网安全建设的未来战士。

三、系统配置安全核查

为保证信息系统安全可控，我们建议在信息系统中还应该部署安全配置核查类产品。安全配置核查类的产品是通过管理员的授权，以授权的用户身份（多为管理员身份）登录目标IT系统，然后对IT系统的系统配置进行检查。安全配置核查类产品可以定义各类操作系统、数据库、虚拟化平台、应用服务、网络设备等产品的配置规范，然后依照系统配置规范对目标系统进行配置核查，确保系统配置是满足安全规范要求的。

通过安全配置核查类产品，可以摒弃传统的人工逐一检查，可以快速地对大规模网络中上百台服务器、网络设备、虚拟化平台进行配置核查工作，降低人工成本和操作复杂度。

但是安全配置核查类产品在对IT系统的系统配置进行检查时，需要得到系统的用户名密码。而使用了堡垒机后，用户将只知道自己在堡垒机上的主账号密码，而不知道实际登录IT系统的从账号密码，这样将无法使用安全配置核查类产品对IT系统进行检查。

四、联动实现系统配置变更闭环管理

通过堡垒机的使用，可以有效地对系统配置变更进行管理，通过安全配置核查产品可以有效地实现系统配置安全性的检查，但是堡垒机的IT系统密码保护机制会阻碍安全配置核查类产品发挥作用。由于堡垒机可以管理IT系统的账户密码，如果通过联动机制，将堡垒机管理的IT系统账户密码传递给安全配置核查系统，那么安全配置核查系统就可以实现其配置核查作用了。

通过堡垒机和安全配置核查系统的使用，我们可以有效解决系统配置变更管理的问题，系统管理员收到运维的需求后，首先登录堡垒机，在堡垒机中按照运维需求对IT系统的配置进行调整。整个配置变更的全过程都要通过堡垒机进行，由堡垒机进行全程审计。堡垒机将IT系统的账户密码传递给安全配置核查系统，在系统管理员完成配置变更后，由安全配置核查系统对IT系统进行配置核查，检查修改后的系统配置是否符合现有的安全规范。如果发现有不符合安全规范的地方，则可以在安全配置核查产品中进行告警，并且在出具的检查报告中体现。安全管理员可以及时发现系统配置异常情况，并通过堡垒机的审计信息定位到修改配置的人员。在定位到运维人员与不合规配置项后，安全管理员可以对运维人员进行追责，要求其进行整改，整改过程实际上也是系统配置变更过程，依旧在整个堡垒机和配置核查体系中收到监控和审计。当系统整改完成，IT系统全部配置符合安全规范后，整个配置变更运维的过程才算完成闭环。

通过上述介绍可以看出，互相冲突阻碍的产品，通过互相间取长补短、强强联合，可以发挥出原有单一产品不具备的安全功能。可见，在信息安全领域，只要能够合理地利用安全设备的功能特点，灵活组合，就可以获得更强的安全管理能力，实现更好的安全管理效果。

参考文献：

[1]臧劲松.物联网安全性能分析[J].计算机安全，2010（6）：51-52.

[2]李士宁.工业物联网技术及应用概述[J].电信网技术，2014 （3）：26-31.

[3]宋慧欣.破解“工业控制系统信息安全”迷局[J].自动化博览，2012（7）：30-35.

[4]范红，邵华，李程远等.物联网安全技术体系研究[J].电信网技术，2011（9）：5-8.

[5]刘宴兵，胡文平.物联网安全模型及其关键技术[J].数字通讯，2013，37（4）：28-29.

[6]彭瑜.物联网技术的发展及其工业应用方向[J].自动化仪表，2011（32）：1-7.

[7]钱萍，吴蒙.物联网隐私保护研究与方法综述[J].计算机应用研究，2013（1）：13-20.

[8]王会波，李新，吴波.物联网信息安全技术体系研究[J].信息安全与通信保密，2013（5）：98-101.

作者简介：

王涛（1976--），工程硕士，高级工程师，主要研究方向为信息安全.