Auditsec服务器安全管理软件白皮书.doc

Auditsec 服务器安全管理软件 操作安全审计系统 白皮书 上海柏安信息安全技术有限公司 ISCA 二零壹壹年二月 目 录 一 安全现状分析 5 1 1 安全隐患 5 1 1 1 安全风险分析 5 1 1 2 严格分权管理问题 6 1 2 SOX 萨班斯法案 与 IT 运维管理 6 二 AUDITSEC 安全审计系统产品优势 7 2 1 超强的规范管理能力 8 2 2 最细粒度的审计查询功能 8 2 3 零 影响部署 9 三 AUDITSEC 安全审计系统功能介绍 9 3 1AUDITSEC 安全审计系统理念 9 3 1 1 可视 10 3 1 2 可控 10 3 1 3 可管理 10 3 1 4 可跟踪 10 3 1 5 可鉴定 10 3 2AUDITSEC 安全审计系统应用 11 3 2 1 内部网络行为管理 11 3 2 2 对网络边界网关设备的管理 11 3 3 产品采用的关键技术 11 3 3 1 程序重用与控制技术 11 3 3 2 逻辑命令自动识别技术 12 3 3 3 分布式处理技术 12 3 3 4 实时监控技术 12 3 3 5 日志转储技术 12 3 3 6 加密传输技术 12 3 3 7 多进程 线程与同步技术 13 3 4AUDITSEC 安全审计系统功能 13 3 4 1 产品组件 13 3 4 2 细粒度策略控制功能 13 3 4 3 准确日志查询检索功能 14 3 4 4 菜单类操作回放审计功能 15 3 4 5 密码代填 15 3 4 6 帐号密码的安全管理 15 3 4 8 扩展命令 16 3 4 9 FTP SFTP 文件安全传输 17 3 4 12 图形操作审计 17 3 4 16 操作 现场回放 19 3 4 17 数据库的安全审计 20 3 5AUDITSEC 安全审计系统应用 20 3 5 1 安全管理 ISO17799 20 3 5 2 IT 运维管理 ITIL 21 3 5 3 IT 内控和 SOX COBIT 21 四 AUDITSEC 安全审计系统典型部署模型 21 4 1 网关方式部署 21 5 AUDITSEC 安全审计系统典型部署模型 22 4 1AUDITSEC的 UTM 标准硬件配置 22 4 2AUDITSEC的 UTM 双子星硬件配置 23 一 安全现状分析 当前随着信息技术的发展和信息化建设的高速推进 业务应用 办公系统的不断开发和投入 运行 而支撑这些系统的运行平台 Unix Linux windows 主机被广泛应用 在电信运营商 财税 公安 金融 电力 大型公司和著名门户网站 更是使用数量众多的 Unix Linux windows 主机 来运行关键业务 提供电子商务 数据库应用 运维管理 ERP 和协同工作群件等等的服务 1 1 安全隐患 由于缺乏相应的先进工具和手段 企业无法保证系统管理员严格按照规范来进行管理 如无 法保证系统管理员的真实管理行为 管理报告和规章制度要求一致 造成企业网络及服务器常处于 不可信 不可控 不可视状态 面对系统和网络安全性 IT 运维管理和 IT 内控外审的挑战 管理人员需要有效的技术手 段 按照行业标准进行精确管理 事后追溯审 计 实时监控和警报 如何提高系统运维管理水平 满足相关标 准要求 防止黑客的入侵和恶意访问 跟踪服 务器上用户行为 降低运维成本 提供控制和 审计依据 已经成为越来越困扰这些企业的问 题 1 1 1 安全风险分析 数据库管理员或第三方开发人员远程对数据库的操作和命令 用户登录系统 执行 Oracle SQL Server DB2 INFORMIX Sybase Mysql 等命令 容 易产生数据库破坏 所有的这些操作需要被跟踪和限制 大型集中应用环境不易统一监控 管理和快速响应 对于大型应用环境 网络管理员要管理和配置大量 UNIX LINUX windows 服务器 大量事 故响应 管理人员不堪重负 无法提供对网络通信设备的操作 修改等行为审计 网络通信设备常常在 UNIX LINUX 系统上通过 ssh 远程登录进行管理 对网络通信设备的 操作无法审计 埋下安全隐患 网络管理人员需要统一的手段 对服务器组进行安全保护 网络管理人员常用防火墙 IDS 等设备 针对网段进行隔离和操作限制 因此 网络管理 人员需要不同手段 对外网 内网用户应用不同安全保护策略 应用和实施麻烦 容易疏 忽造成隐患 服务器及其集群的运行状态监控已及性能调控 现有服务器监控软件基本上都是单机 单服务器方式运行 需要高素质管理人才进行管理 将服务器状态信息集中化 发现企业服务器运行状态及瓶颈 成为应用比较急切和关心的 问题 1 1 2 严格分权管理 问题 严格分权管理属于多用户多账号管理方式 用户在自己权限下生产和工作 但是 由于 生产的特殊性 常常需要用户具有 ROOT 账户权限 这就造成生产和管理的矛盾 临时 ROOT 权 限分发可以解决 ROOT 权限生产问题 但是 这极大增大管理的复杂性和不安全性 稍有疏忽 就可能造成管理的混乱 不分发 ROOT 权限 可能导致生产不能正常进行 至少影响生产效率 现有操作系统存在许多安全隐患 暴力破解 溢出攻击 社会工程等攻击方式 都可能 使普通用户或者黑客获取 ROOT 账户权限 进而执行普通用户权限外的操作 产生破坏 严格分权管理管理负担比较重 管理员要对权限的分配和服务器上行为负责 同时 用 户在服务器上行为对管理员来说不可视 不可审计 出现问题 没人负责 1 2 SOX 萨班斯法案 与 IT 运维管理 SOX 是 Sarbanes Oxley Act 简称 正式名为 Public Company Accounting Reform and Investor Protection Act of 2002 于二零零二年由总统布什通过成为法例 此法案针 对当年一连串上市公司 Enron Arthur Andersen WorldCom 等 的财务丑闻而立 它为在美上市公司内部财务的管理定下 了一些规范 以保障投资者和公司职员 因为 企业的经营活 动 企业管理 项目和投资基本建立在 IT 基础之上 以下两 点就显得格外重要 如图 1 2 302 节 要求行政人员证明他们公司设计和执行了适当的控制 以保证所有财务报表都 可靠而且付合公认会计准则 GAAP 404 节 要求所有在 302 节中所控制的过程都有可信的财务报表 这法令要求 IT 经理对所 有有关财务报表的产生过程负责 404 节规定外国在美的上市公司必须在零五七月十五日前完成有 关的更改 零五三月美国证券交易委员会将这死线推迟了一年至零六年七月十五日 ITIL 是 Information Technology Infrastructure Library 的缩写 最早由英国商务部开发 是为了应对行业不断增长地对 IT 服务的要求 提供 IT 管理最佳实践 ITIL 融合全球最佳实践 是 IT 部门用于计划 研发 实施和运维的高质量的服务准则 是目前全球 IT 服务领域最受认可 的系统而实用的结构化方法 全球 10 000 多家在各行业处于领先地位的组织都在使用 ITIL 流程 改进 IT 服务的效率和沟通 大量的成功实践表明实施 ITSM 可以提高 IT 部门营运效率 25 300 ITIL 自 1980 年代开始发展 经过行业专家 顾问和实施者的共同努力 已经成为 IT 服务 管理领域最佳实践事实上的国际标准 ITIL 可以与 ISO 9001 兼容 提供 IT 组织服务质量 二 AUDITSEC 安全审计系统产品优势 AUDITSEC 安全审计系统是上海柏安信息技术有限公司 经过长时间的技术积累和攻关研发 推出针对 UNIX 服务器安全管理 审计 业界领先并且拥有自主知识产权的一款产品 AUDITSEC 安全审计系统主要用于服务器系统安全防护 让服务器的操作 管理和运行更加可 视 可控 可管理 可跟踪 可鉴定 解决服务器系统级别的安全问题 安全威胁 为国家重要 部门和企业服务器的正常有序运行 提供可靠的安全保障 另外 也可以对网络设备 安全设备 等各种 IT 设备进行操作行为管理 2 1 超强的规范管理能力 可兼容管理所有支持 ssh telnet ftp 标准协议 CLI 命令方式管理的设备 对高危命令的操作系统将实时阻断或给予警告 可手机短信通知信息主管人员 对授权用户的命令操作实时全程监控 对第三方厂商程序开发人员 系统维护人员 数据库管理人员等多种角色进行身份 的认证及操作监控 规范用户操作习惯 防止授权用户的误操作 无用操作 全方位的主机信息安全保障 可以制定严格的策略和用户权限的分配做到事前预防 事中危险操作的实时阻断 事后的责任认定 2 2 最细粒度的审计查询功能 用户可根据具体的操作命令 用户名 时间 IP 地址等 8 个条件任意组合查询 定 位操作日志 对菜单向导类操作的智能审计并可对其操作过程实时的历史回放 对共用帐号的操作进行全记录全审计 如 对多个拥有 root 权限的操作人员做强身 份识别 对用户在服务器间的跳转登录的全记录 每个跳转动作单独生成一个 Session 2 3 零 影响部署 不影响任何业务数据流 设备的部署不更改现有的网络拓扑 不增加系统和网络性能的负载 部署方式灵活多样 适合任何构架的网络环境 部署周期短 不改变管理员操作习惯 不需要安装客户端工具 三 AUDITSEC 安全审计系统功能介绍 3 1AUDITSEC 安全审计系统理念 柏安咨询产品安全管理理念 3 1 1 可视 AUDITSEC 安全审计系统能够动态实时的捕获 UNIX 系统用户使用的操作命令 真正做到让 UNIX 服务器上的操作和行为可视 系统管理员可以直观的了解服务器上发生过的操作命令及其运 行结果 结束 UNIX 服务器操作管理的黑匣子时代 AUDITSEC 安全审计系统可以实时监控系统管理 员操作过程 提供实时监控中心和值班中心 可以集中实时的监控所有用户的操作行为和过程 3 1 2 可控 AUDITSEC 安全审计系统动态实时的捕获系统管理员操作行为 并可以对其进行策略审计 违 反安全策略的用户命令 将被禁止执行 使用危险命令的用户 将被剔出系统 这样 UNIX 服务 器将增加一层安全防护功能 即使用户 恶意用户 黑客 取得命令的操作权限 该命令也不能 生效 进而保护 UNIX 服务器上关键资源和重要服务 3 1 3 可管理 AUDITSEC 安全审计系统可以根据需要对指定用户或所有用户展开监控 可以限制和管理可疑 用户行为 真正让 UNIX 服务器摆脱操作和使用的黑匣子状态 监控和管理 UNIX 服务器上用户操 作行为 3 1 4 可跟踪 AUDITSEC 安全审计系统通过远程日志服务器保存所有用户操作行为和运行结果 可以通过对 用户操作行为及其结果进行回放 跟踪用户在服务器上的操作过程 查看用户在服务器上的所有 操作行为 准确无误的了解用户的行为意图 AUDITSEC 安全审计系统日志服务器提供日志动态查 询功能 支持特色化报表生成功能 可以根据用户环境进行报表定制 及时直观的报告用户所关 心的资源使用情况 3 1 5 可鉴定 AUDITSEC 安全审计系统使用二次日志记录系统 保存用户操作行为过程 日志文件不可修改 不可杜撰 通过对用户操作行为日志的分析 可以鉴定用户行为 并进行责任认定 二次日志记 录加强了原始日志材料的防伪防杜撰功能 通过对比保存于两台日志服务器上的日志材料 可以 准确可靠的进行故障鉴定和责任认定 3 2AUDITSEC 安全审计系统应用 AUDITSEC 安全审计系统非常适合于企事业加强对 UNIX 服务器的安全管理 减轻和防止企事业 的 UNIX 系统安全级别威胁 AUDITSEC 安全审计系统应用领域非常广阔 产品多种部署方式 可以 非常灵活的兼容于企事业现有安全架构 3 2 1 内部网络行为管理 严重的攻击来自系统内部 75 来自内部攻击 AUDITSEC 安全审计系统主要应用于内部用户行 为管理 保证内部用户的操作和行为可控 可视 可管理 可跟踪 可鉴定 防止内部人员对机 密材料的非法获取和使用 保护企事业核心机密 3 2 2 对网络边界网关设备的管理 网络边界安全设备是企事业网络安全防护系统的重要组成部分 网络边界安全设备的安全策 略 对企事业内部网络安全 起着非常重要的作用 AUDITSEC 安全审计系统可以记录管理员对这 些安全设备的配置过程 保证安全策略的一致性 其生成的日志系统 可以比较方便的集成到企 事业现有安全策略管理架构中 对黑客行为的防范 黑客常常通过手段 如 社会工程 恶意程序 系统设置漏洞 缓冲区溢出程序等 获取用 户权限 然后使用该权限登陆系统 AUDITSEC 安全审计系统可以记录该黑客的操作过程 对于事 后查证和数据恢复 有非常好的适用价值 AUDITSEC 安全审计系统还可以通过地址绑定功能对黑 客行为进行限制 即使黑客取得系统权限 也不能对系统做任何操作 3 3 产品采用的关键技术 AUDITSEC 安全审计系统采用系列先进技术 成功实现命令捕获与控制 为 UNIX 系统安全运行 提供强有力的武器 3 3 1 程序重用与控制技术 AUDITSEC 安全审计系统采用先进的程序重用与控制技术 可以启用和控制任何 UNIX 程序 通 过程序重用与控制技术 可以完全利用现有程序的先进功能 避免重新开发 同时 在重用的过 程中 可以控制重用程序的行为 实现新的功能需求 如 通过重用 bash 可以实现对 bash 命令 行的控制功能 AUDITSEC 安全审计系统控制被重用程序的输入与输出 再通过高效同步技术 完美重用和控 制现成 UNIX 类程序 同时 对程序现有功能进行扩充 改变现有程序行为 增加现有程序功能 该技术还可以进行自定义扩充 如 截获数据 自动输入 隐藏或者改变输出等 达到自动 控制程序运行效果 3 3 2 逻辑命令自动识别技术 AUDITSEC 安全审计系统自动识别当前操作终端 对当前终端的输入输出进行控制 组合输入 输出流 自动识别逻辑语义命令 系统会根据输入输出上下文 确定逻辑命令编辑过程 进而自 动捕获出用户使用的逻辑命令 该项技术解决了逻辑命令自动捕获功能 在传统键盘捕获与控制 领域取得新的突破 可以更加准确的控制用户意图 该技术能自动识别命令状态和编辑状态以及私有工作状态 准确捕获逻辑命令 现在该技术 已经申请专利 3 3 3 分布式处理技术 AUDITSEC 安全审计系统采用分布式处理架构进行处理 启用命令捕获引擎机制 通过策略服 务器完成策略审计 通过日志服务器存储操作审计日志 并通过实时监视中心 实时察看用户在 服务器上行为 这种分体式设计有利于策略的正确执行和操作记录日志的安全 同时 各组件之间采用安全 连接进行通信 防止策略和日志被篡改 各组件可以独立工作 可以分布于不同的服务器上 亦 可所有组件安装于一台服务器 3 3 4 实时监控技术 AUDITSEC 安全审计系统实现远程值班中心和实时监控中心 集团 UNIX 服务器运行状态监控可 以实时进行 实时监控中心直接和命令捕获引擎通信 避免日志服务器和策略服务器的运行负载 有利于系统实时性的提高 3 3 5 日志转储技术 AUDITSEC 安全审计系统提供日志本地存储和异地存储 本地存储直接保存在本机上 异地存 储是与专业存储设备对接实现异地存储功能 确保监控日志安全 通过多种存储技术 实现日志 冗余目的 解决了日志单一存储丢失的问题 为事故责任鉴定提供有力依据 3 3 6 加密传输技术 AUDITSEC 安全审计系统所有组件之间采用安全连接技术 避免数据在传输过程中被监听 修 改 系统采用 3 DES 算法进行加密 另外 系统还采用 rc2 和 rc4 等加密算法 实现日志的保密 处理 3 3 7 多进程 线程与同步技术 AUDITSEC 安全审计系统主体采用多进程 线程技术实现 利用独特的通信和数据同步技术 准 确控制程序行为 多进程 线程方式逻辑处理准确 事务处理不会发生干扰 这有利于保证系统的 稳定性 健壮性 3 4AUDITSEC 安全审计系统功能 3 4 1 产品组件 AUDITSEC 安全审计系统由命令捕获引擎 策略服务器 日志服务器 用户接入和集中配置服 务器等五大模块组成 各模块之间相互关系如下图 各模块处理关系 3 4 2 细粒度策略控制功能 策略采用类防火墙策略 利用正则表达式进行模式匹配 符合通常使用习惯 支持对登陆地 址 服务器地址 用户名 操作时间 操作命令等元素进行策略审计 策略支持 非 逻辑 控制策略定义 3 4 3 准确日志查询检索功能 AUDITSEC 安全审计系统提供了人性化的日志管理 查询功能 管理人员可以根据 用户命令 主机地址 主机帐号 时间范围等多项条件任意组合 进行快速 准确的日志定位查询 日志查询 3 4 4 菜单类操作回放审计功能 AUDITSEC 安全审计系统支持 AIX 操作审计 IBM HP 等服务器操作系统 使用自身提供的集 中管理工具管理服务器 这些管理工具基于图形菜单设计 审计 图形 菜单操作行为 方便后 期管理查询和审计 是 AUDITSEC 安全审计系统的一大特色 3 4 5 密码代填 为了增加主机帐号密码安全 AUDITSEC 安全审计系统提供密码代填功能 在 AUDITSEC 安全审 计系统 WEB 控制台上 管理员为每台主机资产添加帐号与密码 用户通过二次跳转的方式登录目 标主机进行操作 只要输入一次网关用户登录密码 然后选择目标资产编号和账号编号就完成目 标主机登录任务 目标主机帐号密码对用户透明有效防止主机密码的泄漏 同时也方便了用户操 作服务器 密码代填 3 4 6 帐号密码的安全管理 主机账号密码自动分发 自动根据固定时间和更新周期 更新目标主机账号密码 减少管理 员工作量 大型异构网络 密码管理成为管理员非常头痛的事情 AUDITSEC 安全审计系统可以自 动根据管理员要求 定时或者周期更改远程主机相关账号密码 增大密码更新频度 避免密码长 时间不变被泄露 造成安全隐患 同时 系统支持密码推送结构邮件分发和密码管理员 WEB 下载 功能 需要二次身份验证 最新密码副本可以安全的分发到管理员手中 避免密码丢失风险 邮件服务设置 帐号动态密码设置 3 4 8 扩展命令 用户操作服务器重复输入某些命令的情况时有发生 AUDITSEC 安全审计系统针对这一情况提 供了扩展命令功能 用户如要在某台服务器上重复执行命令集 只需将重复执行的命令添加到扩 展命令表中 当用户通过二次跳转方式登录目标主机时 AUDITSEC 安全审计系统对用户自定义命 令集进行预处理 扩展命令管理 3 4 9 FTP SFTP 文件安全传输 为了提高安全性 在部署 AUDITSEC 安全审计系统后系统将断开操作用户与目标服务器之间的 连接 为方便服务器的维护和文件传输的安全 柏安咨询推出两种文件传输方式 一种是 FTP 代 理 一种是 SFTP 一站式传输 用户直接将文件通过 AUDITSEC 安全审计系统 将文件 SFTP 到目标 主机 中间没有停留 直接到站 整个使用 FTP SFTP 方式传输文件的过程 都会被 AUDITSEC 安 全审计系统实时完整的记录下来 FTP SFTP 审计设置 3 4 12 图形操作审计 针对图形终端的远程操作 AUDITSEC 安全审计系统推出特有的图形操作审计功能 用户对 Windows Unix 服务器的远程桌面操作全部集中登陆到 AUDITSEC 安全审计系统上 再通过二次跳 转的方式对服务器进行远程操作 系统将根据用户的权限分配给用户可访问的资源 实现用户远 程桌面操作强审计 且审计结果不可更改 不可杜撰 用户使用柏安咨询 RDP 审计客户端连接 AUDITSEC 安全审计系统进行图形操作日志下载 播放 日志播放支持快进 暂停 播放点定位等功能 方便管理员追溯关键操作 AUDITSEC 安全审计系统支持图形界面操作审计包括 RDP X WINDOW VNC RDP 日志播放 X WINDOW 日志播放 3 4 16 操作 现场回放 服务器操作 WEB 播放功能可再现用户操作全过程 专门用来即时监控用户在服务器上操作行 为 让管理员可以实时察看用户执行的命令 命令结果等 可以用来监控第三方维护人员 普通 用户在服务器 网关等设备上的操作 及时发现 阻断非法用户和授权用户的恶意操作行为 用户操作 WEB 播放 WEB 播放需要 JAVA 运行环境的支持 3 4 17 数据库的安全审计 运维和开发客户终端 PC 机 本身不需要安装 SQL LUS PL SQL OEMC oracle enterprise management console 的 oracle 客户端软件 也可以实现远程的通过 IE 浏览器 调用安全审计平 台上的 QL LUS PL SQL OEMC oracle enterprise management console oracle 客户端软件 用户通过自然人账号 登录 Portal 之后 选择安全审计平台上 自动账号和密码 用户可以 自动登录到审计平台上 然后出现该用户所能够访问的服务器和设备列表 用户选择其中之一 例如 选择了 Oralce 主机 IP 采用 PL SQL 客户端登录 oracle 服务器 点击之后 可以自动登录 oracle 服务器上 然后在 oracle 的操作行为 都被记录下来 记录的格式有录像和命令 3 5AUDITSEC 安全审计系统应用 3 5 1 安全管理 ISO17799 AUDITSEC 安全审计系统非常适合于企事业加强对 UNIX 服务器的安全管理 做到对服务器上行 为的可视 可控 可管理 可跟踪 可鉴定 减轻企业的系统安全级别威胁 针对企事业应用 AUDITSEC 安全审计系统具有如下鲜明特点 防范来自内部 外部的安全风险 不可擦除的精确管理会话审计使管理操作能够被完全监控 精确的事故过程和责任审计 简化用户权限管理 降低系统风险 集中管理异构的 UNIX 环境 solaris hpux aix irix linux etc 系统快速部署 降低部署的顾问实施费用 不影响业务系统的运行稳定性和运行效率 集中快速高效方便的确定安全威胁 将 UNIX LINUX 用户操作变为可视 可核实 阻止黑 客和恶意用户的安全威胁 3 5 2 IT 运维管理 ITIL 通过部署 AUDITSEC 安全审计系统 记录配置变更过程 记录运维过程 设置主机的唯一入口 点 所有 telnet ssh ftp 都被监控 拦截 审计日志 发现配置过程导致的问题 界定责任 覆盖的范围广 从主机到网络设备等 通过 SYSLOG 转 发日志 3 5 3 IT 内控和 SOX COBIT AUDITSEC 安全审计系统为满足 IT 内控的审计和控制要求 提供了足够的日志资料 记录操作 的过程 提供独立的日志 满足 COBIT 审计的要求 另外 控制功能 起到了 SESSION WALL 的 作用 控制命令行会话 转播并根据策略拦截会话 策略内容包括 访问地址 访问时间和访问 位置 四 AUDITSEC 安全审计系统典型部署模型 4 1 网关方式部署 网关方式部署 AUDITSEC 安全审计系统应用比较广泛 这种方式不但可以完成对服务器的操作 进行审计 还可以完成对交换机 路由器 防火墙等边界网关的策略配置行为进行审计 加强边 界网关的策略的正确配置 保证企事业内部安全 经过配置 该部署方式不但可以用于内网安全 也可以用于监控外部用户在内部网络的活动 达到防止黑客捣乱的目的 5 AUDITSEC 安全审计系统典型部署模型 4 1Auditsec 的 UTM 标准硬件配置 注 表格的配置为最小配置 选项 UTM 硬件 硬件配置 CPU 1 4 核 2 0G 内存 4G 网卡数量 4 10 100 1000M 电口 硬盘容量 1T 审计内容 SSH TELNET RDP X11 FTP SFTP 等 4 2Auditsec 的 UTM 双子星硬件配置 注 表格的配置为最小配置 选项 UTM 其他模块 双子星 硬件配置 CPU 2 4 核 2 0G 内存 4G 4G 网卡数量 4 2 10 100 1000M 电口 硬盘容量 1T UTM 1T APP KVM Web 审计内容 SSH TELNET RDP X11 FTP SFTP 等 Oracle SQL Server DB2 INFORMIX Sybase Mysql 等