工控安全

运维安全审计系统

由于在IT系统建设中存在事前身份不确定、授权不清晰，事中操作不透明、过程不可控，事后结果无法审计、责任不明确导致客户业务及运维服务面临安全风险。

运维安全审计系统可对服务器、网络设备、安全设备的操作监控，实现账号集中管理、高强度认证加固、细粒度访问授权控制、加密和图形操作协议的审计等功能，让内部人员、第三方人员的操作处于可管、可控、可见、可审的状态下，规范运维的操作步骤，避免了误操作和非授权操作带来的隐患。

系统框架图：

主要功能

SSO单点登录

运维审计系统提供了基于B/S和C/S的应用系统(可实现不同行业用户C/S架构系统的定制开发)。单点登录为具有多账号的用户提供了方便快捷的访问途经，使用户无需记忆多种登录用户ID和口令,同时由于系统自身是采用强认证的系统，从而提高了用户认证环节的安全性。

SSO单点登录支持web见面在线登录和离线单点登录操作，无需登录Web页面，可联动本地CRT等客户端实现直连模式的登录，不改变使用习惯，方便快捷。

集中账号管理

运维审计系统对所有服务器、网络设备账号的集中管理。可以完成对账号整个生命周期的监控和管理，且降低了管理大量用户账号的难度和工作量。同时，通过统一的管理还能够发现账号中存在的安全隐患，并且制定统一的、标准的用户账号安全策略。单位可以实现将账号与具体的自然人相关联。

集中身份认证

运维审计系统为用户提供统一的认证接口,支持多种认证方式。采用统一的认证接口不但便于对用户认证的管理，且系统具有灵活的定制接口，可以方便的与第三方LDAP认证服务器对接。能够采用更加安全的认证模式，提高认证的安全性和可靠性。

统一资源授权

运维审计系统提供统一的界面，对相应用户、角色及行为和资源进行授权，系统不但能够授权用户可以通过什么角色访问资源这样基于应用边界的粗粒度授权，对某些应用还可以限制用户的操作，以及在什么时间进行操作等的细粒度授权，最大限度保护用户资源的安全。

集中访问控制

运维审计系统能够提供细粒度的访问控制，最大限度保护用户资源的安全。细粒度的命令策略是命令的集合，用来分配给具体的用户限制其系统行为，管理员根据其自身的角色为其指定相应的控制策略来限定用户，真正做到who、where、when、what。然而更好的提高系统的安全性。对做到运维用户多次登录失败自动锁定账号功能，支持限制运维用户访问源IP、访问时间段的功能。

集中操作审计

操作审计管理分为内部审计和行为审计，内部审计针对堡垒机自身的操作情况的审计。行为审计主要针对操作人员的账号使用（登录、资源访问）情况、资源使用情况等。在各服务器主机、网络设备的访问日志记录都采用统一的账号、资源进行标识后，操作审计能更好地对账号的完整使用过程进行追踪。生成的日志支持丰富的查询和操作方式。

工单审批

工单审批模式，第三方运维人员或普通运维用户访问特定的服务器设备必须经过管理员的临时审批授权才能进行运维操作，更好的提高运维流程简单并记录相应操作。

计划任务

计划任务对被管资源进行账号同步、密码定期手动指定、自动策略密码修改，可通过（设备组、系统帐号、计划开始时间、改密周期、密码策略、改密结果发送等生成详细的密码信封，并能严格遵守密码强度设置。

应用部署

运维审计系统接入用户网络中的方式是旁路，仅需要为系统分配一个IP，并确保该地址与需要运维的主机IP可达，协议可访问。

不需要在被管理设备上安装代理程序。

不改变原有的网络拓扑结构。

不更改用户网络设备上的配置。

不影响任何业务数据流。

几分钟就可以部署完毕。

支持双机热备。

维护人员维护被管服务器或者网络设备时，首先以WEB方式登录运维审计系统，然后通过运维审计系统上展现的访问资源列表直接访问授权资源。

不论运维人员以何种方式（局域网直连、VPN、ADSL拨号等）访问运维审计系统，只要保证运维工作站与运维审计系统路由可达即可。

运维审计系统部署采用分区域、分安全域部署，根据实际网络环境，每个安全域部署一台（套），采用“分布式部署，集中式管理”模式，即“物理分布，逻辑集中”。

区域内部署

运维审计系统部署逻辑图：

运维审计系统部署物理图：

区域内部署

如图，运维审计系统部署在被管服务器区的访问路径上，通过防火墙或者交换机的访问控制策略限定只能由运维审计系统直接访问服务器的远程维护端口。

分布式部署

运维审计系统分布部署图：

如图，以IDC机房运维为例，在分布在各地的IDC机房内视其网络安全域划分情况部署运维审计系统。运维人员只需登陆被管资源所属的运维审计系统即可对该资源进行运维操作。