齊治運維操作管理解決方案報告書-文庫吧
2025-04-11 03:58 本頁面
【正文】 障原因和責任人；? 可以滿足等保、SOX 、ISO27000BS7799 等安全規(guī)范對運維操作管理的要求。 具體設計 總設計思路因為操作的風險來源于各個方面，所以必須要從能夠影響到操作的各個層面去降低風險。齊治運維操作管理系統(tǒng)（Shterm）采用操作代理（網(wǎng)關(guān)）方式實現(xiàn)集中管理，對身份、訪問、 審計、自 動化操作等統(tǒng)一進行有效管理，真正幫助用戶最 小化運維操作風險。集中管理是前提：只有集中以后才能夠?qū)崿F(xiàn)統(tǒng)一管理，只有集中管理才能把復雜問題簡單化，分散是無法 談得上管理的，集中是運維管理發(fā)展的必然趨勢，也是唯一的選擇。身份管理是基礎(chǔ)：身份管理解決的是維護操作者的身份問題。身份是用來識別和確認操作者的，因為所有的操作都是用 戶發(fā)起的，如果我們連操作的用戶身份都無法確認，那么不管我 們怎么控制，怎么審計都無法準確的定位操作責任人。所以身份管理是基礎(chǔ)。訪問控制是手段：操作者身份確定后，下一個問題就是他能訪問什么資源、你能在目標資源上做什么操作。如果操作者可以隨心所欲訪問任何資源、在資源上做任何操作，就等于沒了控制，所以需要通過訪問 控制 這種手段去限制合法操作者合法訪問資源，有效降低未授 權(quán)訪問所帶來的風險 。操作審計是保證：操作審計要保證在出了事故以后快速定位操作者和事故原因，還原事故 現(xiàn)場和舉證。另外一個方面操作審計做 為 一種驗證機制， 驗證和保證集中管理，身份管理，訪問控制，權(quán)限控制策略的有效性。 自動運維是目標：操作自動化是運維操作管理的終極目標，通過讓該功能，可讓堡壘機自動幫助運維人員執(zhí)行各種常規(guī)操作，從而達到降低運維復雜度、提高運維效率的目的。 操作網(wǎng)關(guān)方式部署集中管理是實現(xiàn)運維操作安全管理的首要前提。針對當前核心設備分散管理的現(xiàn)狀，集中管理倡導的是一種統(tǒng)一管理的理念。集中管理是未來運維操作安全管理的必然趨勢。實現(xiàn)集中管理，關(guān)鍵點在于對用戶原有的運維環(huán)境不造成任何影響。綜合各種部署方案，我們采用了“操作堡壘機”的部署方式。 用好共享賬號在當前的運維環(huán)境中，普遍存在操作者身份無法識別的安全隱患。這主要是由操作者共享使用核心設備上的系統(tǒng)賬號造成的。設備數(shù)量達到一定規(guī)模，必然會使用到共享賬號。共享賬號就是多人共同使用同一個存在于設備上的系統(tǒng)賬號，使用共享賬號會讓整體賬號的數(shù)量最少。但是僅僅依賴系統(tǒng)上的單一系統(tǒng)賬號，無法既能區(qū)分用戶身份，又能完成工作角色的定位。如何準確的區(qū)分用戶身份和工作角色，進而實現(xiàn)操作者和具體的操作過程一一對應？ Shterm 將賬號的用戶身份確認和系統(tǒng)工作角色功能分離，在 Shterm 上增加 了用戶賬號，完成用戶的身份確認。原來系 統(tǒng)上的賬號依然存在，但是作用只是完成工作角色授權(quán)的工作賬號。 用戶登錄 Shterm 是采用唯一的用戶賬號，然后根據(jù)工作角色的需要，轉(zhuǎn)換成系統(tǒng)賬號登錄到被管理設備上。這樣既能夠保證整體賬號數(shù)量最少，管理方便；同時又能夠?qū)崿F(xiàn)對用戶、工作角色的雙重定位。當用戶加入、離職或崗位變動，當代 維人員和原廠商進行維護的時候，只需要在 Shterm 上變更該用戶賬號即可，對系統(tǒng)上的系統(tǒng)賬號沒有任何影響。代維人員維護系統(tǒng)并不需要知道用戶系統(tǒng)的最高權(quán)限的系統(tǒng)帳號密碼，這樣大大降低了管理風險。原廠商進行臨時維護的時候只需要臨時分配一個用戶賬號，當使用結(jié)束后該賬號會自動回收，減少了 賬號管理的成本。 訪問控制規(guī)則目前，用戶只要知道用戶名和密碼就可以任意訪問任意設備,這種現(xiàn)狀必然會帶來“未授 權(quán)訪問的安全 風險” 。部署了 Shterm 后，情況就發(fā)生了變化。 Shterm 邏輯上成為了用戶登錄的唯一入口，因為入口唯一，訪問控制很容易配置了。相同工作任務的集合可以放置在一個訪問規(guī)則組里，當用戶崗位、職責改變時，對用 戶相關(guān)聯(lián)的組、系統(tǒng)權(quán)限、可訪問設備通過 Web 的勾選，很容易 調(diào)整。根據(jù)工作內(nèi)容的需要，可以配置不同的許可或禁止的登錄策略。既可以設定固定日期的登錄策略，也可以 設定固定時間間隔的策略，還可以設定一天中指定 時間段的策略，并且能夠針對具體的地址段進行控制。Shterm 的訪問控制列表可以讓用戶一目了然的知道某臺設備上允許哪些用戶登錄。某臺設備上的系統(tǒng)賬 號有多少個用戶可以使用。另一方面，從安全運維的角度分析，權(quán)限控制策略是從操作的層面上，降低高危操作所帶來的安全風險：對于使用 Tel/SSH 等協(xié)議進行遠程管理的設備（各種網(wǎng)絡設備和 Unix 服務器），操作權(quán)限的多少取決于用戶可以執(zhí)行的命令。所以， 針對操作指令的控制才是核心。對于服務器設備操作，Shterm 可以對服務器的超級用戶 root 操作權(quán)限進行控制，即使是 root 用戶， 權(quán) 限也是受限制的，可以限制 root 用戶只能執(zhí)行某些操作（白名單）
公司管理相關(guān)推薦
鄂ICP備17016276號-1