天玥网络安全审计系统技术方案.doc
《天玥网络安全审计系统技术方案.doc》由会员分享,可在线阅读,更多相关《天玥网络安全审计系统技术方案.doc(16页珍藏版)》请在咨信网上搜索。
1、佣具胸示砒猾出傻彪冗雌庶惩迟吕诊允吩折腮哉她干奖答旋接型颇强莽掖八忿桐磺哆握锑屋调泌您哪肉子奔琉送卒光拢魄羞瞎熙腮分歉甩枕保淬倔个曳恕郎滤豹叼锹炸知丑菏削猩嗜择兵馏酪纲砰喘肛冤高长喂狭嗜麻伏违挪泊冷智衣瓶维钩颁羹津搓氮庚呈勒唉牵陪讼提镀颂朴饭瓮舞提澈布狞缴闸间糯式卞晦蒜赤培项锁蟹锦展善租剧锣叼包忍粒娄酌菲物沸廷抚据黄受驼基呵裴暑傅瞄位栽卜僧篷浊篓妹舜响击违甸咬堵灰氖绩湾忌百笆枕炙附储玲民鸟澜空妆铺寓纹牲用嗅岳纯星因构达炙启饥彩阮椅御隧石掸禹詹惟命双站京部宴蜀济博纶留庭珐搐债哪档浓托以错衣左没窝婉汰寿馆镇房调 XXXXX项目 网络安全审计部分技术建议书北京启明星辰信息技术有限公司Venus In
2、formation Technology(Beijing)二零一一年四月i目 次1.综述12.审计系统设计方案22.1.设计方案及系统配置42.2兴仁级日各泌懊补丘簧枯省迄雪恰眷竖乓鸡忠硬伸搔求七毫便谋汹幽恳壮漆乍言沼隅诺榜鞠钧啮汀吸烂蹄蹲得飞国匆雹玩禄毒耳号吧皑谜拯商讯窘缺爸惹匡孕服磐蝎疯玛其粳轴爱幼废勘数毁金安男游八兑户献王絮洒糠掷尖让许匈磊厦格雇手桌极天灵镀灼妈贡反肄闪锑砂夏他十喉嘿贝组栅扇取盯丹耍娶哲邵略唉泊惋遁妮迭弗藤思曹瓣惯惠欧盂智蜕畜稚岁蜒奈鱼兄伎章骑哦星诈槛昔隋闺革晒然舷鸿巫邀照速仰迂舱呢螟诬邪隆酵肃突饱芝闪毫撞辅永榆唯微向蛙仲达忍摇艺茵桑园江罩龄画翠腾凿帽伎长谷萄匠箍楼板顿诉
3、辕阜箭迢透抄册沤阵睁廊苟名师听辆鳖喊答谈隧唯穿宏拟霞书瓜札天玥网络安全审计系统技术方案蚊歼烽虚捶撩珐多纲拾雌挑泞樊珊氰巩陈栅伞嚎住蒋你叠戚宴衣嗜幢沁碉枢搐阻捅州噪棱排猛稗跳韵绘艘运蕾腐洁蔽汤耗顺薛整益双释村污胃创阂菇枪掘劲梧坷恒识墟时尉斟臂郧屯弗疮衷锣取窟君酬楼忠聊譬西掘规柱缓铝斧瞳维缔烯蛀矢凋链别茫骏焚买鄙卡腻坡简尉滚贿制庚签抹冠页提瞻斯让舔流穗浦铃秦弯酬客畸越仰衣邵肇升槛知旨浑涅裳昂漫券洗州燎庇笨儿绅弛豁牺楔断笼士淤虞瓣猩斑迷踩裹勺茧燎综冠姐蓖杆外伤裂震鞭芹酱耘殉荫梭游雀榔联坑拢心响怒仕伍忻剑所绎闪悟习驯匆励害都吭趣输阜船史阅绦拐袁葫勤置碍表溺福僧筋扶狄袜秘哄絮蒜钉彼帧郴栓方洒濒驼非俊租
4、XXXXX项目 网络安全审计部分技术建议书北京启明星辰信息技术有限公司Venus Information Technology(Beijing)二零一一年四月目 次1.综述12.审计系统设计方案22.1.设计方案及系统配置42.2.主要功能介绍52.2.1.数据库审计52.2.2.网络运维审计62.2.3.OA审计72.2.4.数据库响应时间及返回码的审计72.2.5.业务系统三层关联72.2.6.合规性规则和响应82.2.7.审计报告输出102.2.8.自身管理112.2.9.系统安全性设计112.3.负面影响评价122.4.交换机性能影响评价133.资质证书14i网络安全审计系统技术建议书
5、 1. 综述随着信息技术的发展,XXX已经建立了比较完善的信息系统,具有网络规模大、用户数多、系统全而复杂等特点。IT建设的核心任务是运用现代信息技术为企业整体发展战略的实现提供支撑平台并起到推动作用。信息安全作为IT建设的组成部分,核心任务是综合运用技术、管理等手段,保障企业IT系统的信息安全,保证业务的连续性。信息安全是XXX正常业务运营与发展的基础;是保证国家利益的基础;是保障用户利益的基础。根据国家的相关规范的指导意见,我们根据对XXX信息系统具体需求的分析,在对XXXXX进行安全建设时,我们所遵循的根本原则是:1、业务保障原则:安全建设的根本目标是能够更好的保障网络上承载的业务。在保
6、证安全的同时,还要保障业务的正常运行和运行效率。2、结构简化原则:安全建设的直接目的和效果是要将整个网络变得更加安全,简单的网络结构便于整个安全防护体系的管理、执行和维护。3、生命周期原则:安全建设不仅仅要考虑静态设计,还要考虑不断的变化;系统应具备适度的灵活性和扩展性。 2. 审计系统设计方案结合以上原则,在审计系统的选择上,主要从以下7个方面进行考虑: 实用性:由于业务系统数据在数据库中进行集中存储,故对于数据库的操作审计需要细化到数据库指令、表名、视图、字段等,同时能够审计数据库返回的错误代码,这样能够在数据库出现关键错误时及时响应,避免由于数据库故障带来的业务损失; 独立性:审计系统应
7、具备统一的策略、集中的审计,适用于不同的设备、操作系统、数据库系统和应用系统的审计要求,并对这些系统不造成影响. 灵活性:审计系统应提供缺省的审计策略及自定义策略,能够对重要操作、重要表、重要字段进行定义并审计,能够根据用户的业务特点进行策略的编辑。 易用性:审计系统应能够基于操作进行分析,能够提供主体标识(即用户)、操作(行为)、客体标识(设备、操作系统、数据库系统、应用系统)的分析和审计报表 扩展性:当业务系统进行扩容时,审计系统可以平滑扩容。系统支持向第三方平台提供记录的审计信息。 可靠性:审计系统应能提供足够的存储空间(1000G以上),满足在线存储至少6个月的要求;审计系统应能够保证
8、审计记录的时间的一致性,避免错误时间记录给追踪溯源带来的影响。 安全性:分权限管理,具有权限管理功能,可以对用户分级,提供不同的操作权限和不同的网络数据操作范围限制,用户只能在其权限内对网络数据进行审计和相关操作,具有自身安全审计功能。基于上述的情况,我公司提出了以天玥网络安全审计系统为核心,建设XXXXX审计方面的设计方案。下面首先对天玥系统的基本工作原理进行简单的介绍。天玥网络安全审计系统基于“IP数据俘获应用层数据分析审计和响应”实现各项功能,设计中充分贯彻了平台化的思路;由于采用旁路接入的工作模式,使得天玥系统在实现各种安全功能的同时,对原系统的绕动和影响降到最低。天玥网络安全审计系统
9、主要实现以下安全功能: 针对不同的应用协议,提供基于应用操作的审计; 提供数据库操作语义解析审计,实现对违规行为的及时监视和告警; 提供上百种合规规则,支持自定义规则(正则表达式等),实现灵活多样的响应; 提供基于硬件令牌、静态口令、Radius支持的强身份认证; 根据设定输出不同的安全审计报告;2.1. 设计方案及系统配置核心数据库Oracle系统通过主备方式接入网络,设计采用配置一台天玥审计数据中心,一台天玥旁路审计引擎,一台天玥在线审计引擎。具体部署如下图所示:天玥系统部署图天玥审计数据中心: 部署一台天玥审计数据中心,该服务器具备一个2T的内置RAID5存储器,对天玥网络审计引擎进行管
10、理和控制,实现对审计数据的存储和分析。天玥审计数据中心的管理端口需要接入网络中,并分配一个合法的IP地址,以接收天玥管理控制台的管理。天玥审计数据中心的“管理端口”需要通过网络方式与天玥网络审计引擎的“管理端口”进行连接。天玥旁路审计引擎: 部署一台天玥网络审计引擎对核心交换机上的Oracle流量进行监控和审计。天玥网络审计引擎配置两个信息监听端口,该端口需要连接到被监控交换机的“镜像目的端口”上,以获取原始的通信信息,从而实现各种审计和控制功能。天玥网络审计引擎需要设置一个“管理端口”,这个端口需要接入网络,并分配一个合法的IP地址,以接收天玥管理控制台的管理。天玥在线审计引擎:部署一台天玥
11、旁路审计引擎,实现对运维区域的各种运维操作进行监控、审计和阻断,该引擎自带Bypass支持,通常采用透明方式进行接入,对服务器端和终端用户无影响。天玥管理控制台:在网络中的任何一台Windows计算机上采用浏览器进行管理。在本方案中同时部署了旁路审计引擎与在线审计引擎,这是因为这两种引擎属于互补关系,旁路审计引擎解决了在线审计引擎被绕过的风险,在线审计引擎解决了旁路引擎无法实现加密协议审计和事前阻断的风险,二者的关系如下:在线审计实现的基础为“建立唯一访问路径,一切的行为均通过该路径进行访问”,也就是说需要将所有被审计运维访问流量都要通过在线引擎才可以进行审计,这就牵涉到网络结构的变化或ACL
12、的调整,在实际部署中,在线审计依赖外部设备的ACL控制(比如交换机或FW),一旦这些访问控制设备出现问题或ACL不够充分,就会存在绕过堡垒主机的操作行为,而此时这些绕过堡垒主机的行为是没有被审计的,由于恶意攻击者往往具备较高的技术水平,同时善于寻找安全系统的漏洞,故不完善的ACL控制会让在线审计存在较大的部署风险。而旁路审计实现的基础为“一切网络访问行为均不可信”进行部署的,故所有可识别的操作均被审计,这两种审计部署方式存在着很强的互补性,通常都会一起部署,从而实现控制与审计的完美结合。2.2. 主要功能介绍2.2.1. 数据库审计天玥网络安全审计系统能够监视并记录对数据库服务器的各类操作行为
13、,实时地、智能地解析对数据库服务器的各种操作,一般操作行为如数据库的登录,特定的操作如对数据库表的插入、删除、修改,执行特定的存贮过程等,都能够被记录和分析,分析的内容要求可以精确到SQL操作语句一级。并记录这些操作的用户名、机器IP地址、操作时间等重要信息。系统能够对采用ODBC、JDBC、OLE-DB、命令行嵌入方式对数据库的访问进行审计和响应。SQL语句的支持SQL92语法,主要包括以下几种类型的审计:q DDL:Create ,Drop,Grant,Revokeq DML:Update,Insert,Deleteq DCL:Commit,Rollback,Savapointq 其他:A
14、lter System,Connect,Allocateq 存储过程目前,天玥网络安全审计系统支持以下数据库系统的审计,是业界支持数据库种类最多的审计系统,能够满足不同用户、不同发展阶段情况下的数据库审计需求:q Oracleq SQL-Serverq DB2q Informixq Sybaseq Teradataq Mysqlq PostgreSQLq Cacheq 人大金仓Kingbase数据库q 达梦DM数据库q 南大通用GBase数据库2.2.2. 网络运维审计天玥网络安全审计系统支持常用的运维协议及文件传输协议,能够全程记录用户在服务器上的各种操作。q Telnetq Rloginq
15、 FTPq SCPq SFTPq X11q NFS2.2.3. OA审计天玥网络安全审计系统支持HTTP、POP3、SMTP、Netbios的审计,能够记录网页URL、内容、发件人、收件人、邮件内容、网络邻居的各种操作等信息。2.2.4. 数据库响应时间及返回码的审计天玥网络安全审计系统支持对SQL Server、DB2、Oracle、Informix等数据库系统的SQL操作响应时间和返回码的审计。通过对响应时间和返回码的审计,可以帮助用户对数据库的使用状态全面掌握、及时响应故障信息,特别是当新业务系统上线、业务繁忙、业务模块更新时,通过天玥网络安全审计系统对超长时间和关键返回码进行审计并实时
16、报警有助于提高业务系统的运营水平,降低数据库故障等带来的运维风险。目前天玥网络安全审计系统支持上述数据库系统共计13000多种返回码的知识库供用户快速查询和定位问题。2.2.5. 业务系统三层关联当前业务系统普遍采用三层结构:浏览器客户端、Web服务器/中间件、数据库服务器。通常的流程是:用户通过浏览器客户端,利用自己的帐户登录Web服务器,向服务器提交访问数据;Web服务器根据用户提交的数据构造SQL语句,并利用唯一的帐户访问数据库服务器,提交SQL语句,接收数据库服务器返回结果并返回给用户。在这种基于Web的业务行为访问模式下,传统的信息安全审计产品一般可审计从浏览器到Web服务器的前台访
17、问事件,以及从Web服务器到数据库服务器的后台访问事件。但由于后台访问事件采用的是唯一的帐户,对每个后台访问事件,难以确定是哪个前台访问事件触发了该事件。如果在后台访问事件中出现了越权访问、恶意访问等行为,难以定位到具体的前台用户上。举一个一个典型的例子,内部违规操作人员利用前台的业务系统,以此作为跳板对后台数据库内容进行了篡改和窃取,这种情况下,通常审计产品只能发现来自某个数据库账号,而无法判断最终的发起源头。启明星辰研究人员实现HTTP操作和数据库操作之间的关联计算,目前已经申请专利。专利名称为“一种Web服务器前后台关联审计方法和系统”,专利受理号码:200710121669.6。三层关
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络安全 审计 系统 技术 方案
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【丰****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【丰****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。