【正文】 以方便、友好的界面方式提供對這些記錄的操作審計功能。通過本次安全運(yùn)維管控系統(tǒng)的建設(shè)，最終達(dá)到以下目標(biāo)：1. 通過運(yùn)維安全管控系統(tǒng)的建設(shè)為XXXX的系統(tǒng)資源運(yùn)維人員提供統(tǒng)一的入口，支持統(tǒng)一身份認(rèn)證手段。生命周期原則：安全建設(shè)不僅僅要考慮靜態(tài)設(shè)計，還要考慮不斷的變化；系統(tǒng)應(yīng)具備適度的靈活性和擴(kuò)展性。在保證安全的同時，還要保障業(yè)務(wù)的正常運(yùn)行和運(yùn)行效率。信息安全是XXXX正常業(yè)務(wù)運(yùn)營與發(fā)展的基礎(chǔ)；是保證網(wǎng)絡(luò)品質(zhì)的基礎(chǔ)；是保障客戶利益的基礎(chǔ)。IT建設(shè)的核心任務(wù)是運(yùn)用現(xiàn)代信息技術(shù)為企業(yè)整體發(fā)展戰(zhàn)略的實現(xiàn)提供支撐平臺并起到推動作用。而事后追查，只能是亡羊補(bǔ)牢，損失已經(jīng)造成。隨著系統(tǒng)的不斷龐大，運(yùn)維人員與系統(tǒng)賬號之間的交叉關(guān)系越來越復(fù)雜，一個賬號多個人同時使用，是多對一的關(guān)系，賬號不具有唯一性，系統(tǒng)賬號的密碼策略很難執(zhí)行，密碼修改要通知所有知道這個賬號的人，如果有人離職或部門調(diào)動，密碼需要立即修改，如果密碼泄露無法追查，如果有誤操作或者惡意操作，無法追查到責(zé)任人。 高權(quán)限賬號濫用風(fēng)險因為種種歷史遺留問題，并不是所有的信息系統(tǒng)都有嚴(yán)格的身份認(rèn)證和權(quán)限劃分，權(quán)限劃分混亂，高權(quán)限賬號（比如root賬號）共用等問題一直困擾著網(wǎng)絡(luò)管理人員，高權(quán)限賬號往往掌握著數(shù)據(jù)庫和業(yè)務(wù)系統(tǒng)的命脈，任何一個操作都可能導(dǎo)致數(shù)據(jù)的修改和泄露，最高權(quán)限的濫用，讓運(yùn)維安全變得更加脆弱，也讓責(zé)任劃分和威脅追蹤變得更加困難。如何有效地監(jiān)控設(shè)備廠商和代維人員的操作行為,并進(jìn)行嚴(yán)格的審計是企業(yè)面臨的一個關(guān)鍵問題。根據(jù)FBI和CSI對484家公司進(jìn)行的網(wǎng)絡(luò)安全專項調(diào)查結(jié)果顯示：超過70%的安全威脅來自公司內(nèi)部，在損失金額上，是黑客造成損失的16倍，是病毒造成損失的12倍。1 安全現(xiàn)狀分析 內(nèi)部人員操作的安全隱患隨著XXXX企業(yè)信息化進(jìn)程不斷深入，企業(yè)的業(yè)務(wù)系統(tǒng)變得日益復(fù)雜，由內(nèi)部員工違規(guī)操作導(dǎo)致的安全問題變得日益突出起來。在此背景之下，XXXX企業(yè)計劃針對運(yùn)維操作和業(yè)務(wù)管理與審計進(jìn)行堡壘機(jī)項目建設(shè)。網(wǎng)御網(wǎng)絡(luò)審計系統(tǒng)運(yùn)維安全管控型（LAOS）方案模板北京網(wǎng)御星云信息技術(shù)有限公司文檔修訂記錄版本號日期修訂者修訂說明20140813李彬創(chuàng)建目 錄項目概述 51 安全現(xiàn)狀分析 5 內(nèi)部人員操作的安全隱患 5 第三方維護(hù)人員安全隱患 5 高權(quán)限賬號濫用風(fēng)險 6 系統(tǒng)共享賬號安全隱患 6 違規(guī)行為無法控制的風(fēng)險 62 運(yùn)維安全管控系統(tǒng)方案設(shè)計 6 建設(shè)原則 6 總體目標(biāo) 7 建設(shè)思路 83 運(yùn)維管控系統(tǒng)解決方案 8 系統(tǒng)總體設(shè)計 8 系統(tǒng)概述 8 系統(tǒng)組成 9 技術(shù)架構(gòu) 10 系統(tǒng)主要功能 11 用戶認(rèn)證與SSO 11 自動改密 12 訪問授權(quán)管理 12 二次審批 13 告警與阻斷 14 實時操作過程監(jiān)控 15 歷史回放 15 審計報表 16 審計存儲 16 系統(tǒng)功能特點 16 運(yùn)維協(xié)議支持廣 17 對用戶網(wǎng)絡(luò)影響最小 17 多種部署方式，適應(yīng)多變業(yè)務(wù)場景 17 友好的用戶交互體驗 17 系統(tǒng)部署 17 單臺部署 18 雙機(jī)部署 19 分布式部署 204 項目實施計劃 20 投入技術(shù)力量 20 項目人員組織結(jié)構(gòu) 21 項目實施人員情況 23 項目實施計劃 24 成立項目小組 26 第一次工程協(xié)調(diào)會 26 設(shè)備交貨 26 到貨驗收 27 施工準(zhǔn)備 28 第二次工程協(xié)調(diào)會 28 系統(tǒng)實施 28 文檔整理和現(xiàn)場培訓(xùn) 29 終驗 29 技術(shù)支持 29 培訓(xùn)計劃 305 項目管理方案 32 項目管理標(biāo)準(zhǔn) 32 質(zhì)量管理 32 質(zhì)量管理的方法 32 不合格品管理 33 質(zhì)量統(tǒng)計分析工具 33 質(zhì)量改進(jìn) 33 變更控制管理 34 項目溝通管理 36 項目成本管理 37 項目風(fēng)險管理 376 項目咨詢方案 40 現(xiàn)場安裝需求調(diào)研 40 制定詳細(xì)的實施技術(shù)方案 41項目概述隨著XXXX企業(yè)信息化應(yīng)用的迅速發(fā)展，企業(yè)內(nèi)部的各種業(yè)務(wù)和經(jīng)營支撐系統(tǒng)不斷增加，網(wǎng)絡(luò)規(guī)模也迅速擴(kuò)大。由于信息系統(tǒng)運(yùn)維人員和業(yè)務(wù)系統(tǒng)的管理人員掌握著系統(tǒng)資源管理的最高權(quán)限，一旦操作出現(xiàn)安全問題將會給企業(yè)帶來巨大的損失，加強(qiáng)對運(yùn)維管理人員操作行為的監(jiān)管與審計成為信息安全發(fā)展的必然趨勢。堡壘機(jī)提供了一套多維度的運(yùn)維操作管控與審計解決方案，使得管理人員可以對網(wǎng)絡(luò)設(shè)備、服務(wù)器、安全設(shè)備、數(shù)據(jù)庫等資源進(jìn)行集中賬號管理、細(xì)粒度的權(quán)限管理和訪問審計，幫助企業(yè)提升內(nèi)部風(fēng)險控制水平。防火墻、防病毒、入侵檢測系統(tǒng)等常規(guī)的安全產(chǎn)品可以解決一部分安全問題，但對于內(nèi)部人員的違規(guī)操作卻無能為力。另據(jù)中國國家信息安全測評中心調(diào)查，信息安全的現(xiàn)實威脅也主要為內(nèi)部信息泄露和內(nèi)部人員犯罪，而非病毒和外來黑客引起 第三方維護(hù)人員安全隱患XXXX企業(yè)在發(fā)展的過程中，因為戰(zhàn)略定位和人力等諸多原因，越來越多的會將非核心業(yè)務(wù)外包給設(shè)備商或者其他專業(yè)代維公司。嚴(yán)格的規(guī)章制度只能約束一部分人的行為，只有通過嚴(yán)格的權(quán)限控制和操作審計才能確保安全管理制度的有效執(zhí)行。 系統(tǒng)共享賬號安全隱患無論是內(nèi)部運(yùn)維人員還是第三方代維人員，基于傳統(tǒng)的維護(hù)方式，都是直接采用系統(tǒng)賬號完成系統(tǒng)級別的認(rèn)證即可進(jìn)行維護(hù)操作。 違規(guī)行為無法控制的風(fēng)險網(wǎng)絡(luò)管理員總是試圖定義各種操作條例，來規(guī)范內(nèi)部員工的網(wǎng)絡(luò)訪問行為，但是除了在造成惡性后果后追查責(zé)任人，沒有更好的方式來限制員工的合規(guī)操作。2 運(yùn)維安全管控系統(tǒng)方案設(shè)計 建設(shè)原則隨著信息技術(shù)的發(fā)展，XXXX已經(jīng)建立了比較完善的信息系統(tǒng)，具有網(wǎng)絡(luò)規(guī)模大、用戶數(shù)多、系統(tǒng)全而復(fù)雜等特點。信息安全作為IT建設(shè)的組成部分，核心任務(wù)是綜合運(yùn)用技術(shù)、管理等手段，保障企業(yè)IT系統(tǒng)的信息安全，保證業(yè)務(wù)的連續(xù)性。根據(jù)集團(tuán)的相關(guān)規(guī)范的指導(dǎo)意見，我們根據(jù)對XXXX信息系統(tǒng)具體需求的分析，結(jié)合等級保護(hù)安全評估的要求，在對XXXX系統(tǒng)進(jìn)行安全建設(shè)時，我們所遵循的根本原則是：業(yè)務(wù)保障原則：安全建設(shè)的根本目標(biāo)是能夠更好的保障網(wǎng)絡(luò)上承載的業(yè)務(wù)。結(jié)構(gòu)簡化原則：安全建設(shè)的直接目的和效果是要將整個網(wǎng)絡(luò)變得更加安全，簡單的網(wǎng)絡(luò)結(jié)構(gòu)便于整個安全防護(hù)體系的管理、執(zhí)行和維護(hù)。 總體目標(biāo)本次在XXXX業(yè)務(wù)系統(tǒng)建立運(yùn)維安全管理系統(tǒng)，實現(xiàn)全局的策略管理、統(tǒng)一訪問Portal頁面、集中身份認(rèn)證、統(tǒng)一授權(quán)及認(rèn)證請求轉(zhuǎn)發(fā)等功能，對XXXX業(yè)務(wù)系統(tǒng)的系統(tǒng)資源賬號、維護(hù)操作實施集中管理、訪問認(rèn)證、集中授權(quán)和操作審計。在完成統(tǒng)一認(rèn)證后，根據(jù)賬號所具有訪問權(quán)限發(fā)布、管理、登錄各個主機(jī)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫。3. 系統(tǒng)應(yīng)具備靈活的管理和擴(kuò)展能力，系統(tǒng)擴(kuò)容時不會對系統(tǒng)結(jié)構(gòu)產(chǎn)生較大影響。 建設(shè)思路為實現(xiàn)XXXX公司構(gòu)建針對人員帳戶管理層面全面完善的安全運(yùn)維管控系統(tǒng)需要，在本項目的實施過程中，網(wǎng)域星云將根據(jù)“以用戶身份集中管理的思路為核心，建立全局唯一的權(quán)威身份信息源，可在一點集中管理用戶身份和權(quán)限，從而降低管理成本”的思路，在統(tǒng)一用戶身份的基礎(chǔ)上，實現(xiàn)各個系統(tǒng)資源的單點登錄、統(tǒng)一認(rèn)證、統(tǒng)一授權(quán)、審計等信息的集中統(tǒng)一管理，并提供與用戶現(xiàn)有的數(shù)字證書系統(tǒng)進(jìn)行系統(tǒng)集成的解決方案，規(guī)劃合理、高效的用戶身份管理流程。3 運(yùn)維管控系統(tǒng)解決方案 系統(tǒng)總體設(shè)計 系統(tǒng)概述網(wǎng)御網(wǎng)絡(luò)審計系統(tǒng)運(yùn)維安全管控型（以下簡稱網(wǎng)御LAOS），是網(wǎng)域星云綜合內(nèi)控系列產(chǎn)品之一。它通過對自然人身份以及資源、資源賬號的集中管理建立“自然人賬號——資源——資源賬號”對應(yīng)關(guān)系，實現(xiàn)自然人對資源的統(tǒng)一授權(quán)，同時，對授權(quán)人員的運(yùn)維操作進(jìn)行記錄、分析、展現(xiàn)，以幫助內(nèi)控工作事前規(guī)劃預(yù)防、事中實時監(jiān)控、違規(guī)行為響應(yīng)、事后合規(guī)報告、事故追蹤回放，加強(qiáng)內(nèi)部業(yè)務(wù)操作行為監(jiān)管、避免核心資產(chǎn)（服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等）損失、保障業(yè)務(wù)系統(tǒng)的正常運(yùn)營。l WEB模塊為用戶提供web方式訪問系統(tǒng)的界面。l 協(xié)議代理模塊實現(xiàn)對主機(jī)、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備維護(hù)過程中的協(xié)議數(shù)據(jù)包代理轉(zhuǎn)發(fā)、行為還原及記錄、高危/違規(guī)行為阻斷等功能。l 應(yīng)用發(fā)布模塊（可選）安裝在Windows服務(wù)器上，用于發(fā)布非標(biāo)準(zhǔn)協(xié)議或應(yīng)用客戶端，如IE、plsql、sqlplus、pcanywhere等。 技術(shù)架構(gòu). 協(xié)議代理模塊. 應(yīng)用發(fā)布模塊 系統(tǒng)