堡垒机方案.doc

2015
平安医院解决方案建议书

运维安全管控系统
精细控制合规审计
目 录
项目概述 2
1 的指导意见，我们根据对平安医院信息系统具体需求的分析，结合等级保护安全评估的要求，在对平安医院系统进行安全建设时，我们所遵循的根本原则是：
1、业务保障原则：安全建设的根本目标是能够更好的保障网络上承载的业务。在保证安全的同时，还要保障业务的正常运行和运行效率。
2、结构简化原则：安全建设的直接目的和效果是要将整个网络变得更加安全，简单的网络结构便于整个安全防护体系的管理、执行和维护。
3、生命周期原则：安全建设不仅仅要考虑静态设计，还要考虑不断的变化；系统应具备适度的灵活性和扩展性。
总体目标
本次在平安医院业务系统建立运维安全管理系统，实现全局的策略管理、统一访问Portal页面、集中身份认证、统一授权及认证请求转发等功能，对平安医院业务系统的系统资源账号、维护操作实施集中管理、访问认证、集中授权和操作审计。
通过本次安全运维管控系统的建设，最终达到以下目标：
通过运维安全管控系统的建设为平安医院的系统资源运维人员提供统一的入口，支持统一身份认证手段。在完成统一认证后，根据账号所具有访问权限发布、管理、登录各个主机、网络设备、数据库。
系统应根据“网络实名制”原则记录用户从登录系统直至退出的全程访问、操作日志，并以方便、友好的界面方式提供对这些记录的操作审计功能。
系统应具备灵活的管理和扩展能力，系统扩容时不会对系统结构产生较大影响。
系统应具备灵活的授权管理功能，可实现一对一、一对多、多对多的用户授权。
建设思路
为实现平安医院公司构建针对人员帐户管理层面全面完善的安全运维管控系统需要，在本项目的实施过程中，启明星辰将根据“以用户身份集中管理的思路为核心，建立全局唯一的权威身份信息源，可在一点集中管理用户身份和权限，从而降低管理成本”的思路，在统一用户身份的基础上，实现各个系统资源的单点登录、统一认证、统一授权、审计等信息的集中统一管理，并提供与用户现有的数字证书系统进行系统集成的解决方案，规划合理、高效的用户身份管理流程。
本项目建成后，对于用户来说，将实现只需进行一次登录，就可以维护不同的主机、网络设备、数据库等，并能方便的来回切换访问；对于管理员来说，将实现对用户信息、设备信息、访问控制信息等统一定义和描述，能确保信息的一致性；只需在运维安全管控系统进行统一配置管理和维护，降低工作量和复杂度。
运维管控系统解决方案
系统总体设计
系统概述
-运维安全管控系统（以下简称天玥-OSM），是启明星辰综合内控系列产品之一。
天玥-OSM是针对业务环境下的用户运维操作进行控制和审计的合规性管控系统。它通过对自然人身份以及资源、资源账号的集中管理建立“自然人账号——资源——资源账号”对应关系，实现自然人对资源的统一授权，同时，对授权人员的运维操作进行记录、分析、展现，以帮助内控工作事前规划预防、事中实时监控、违规行为响应、事后合规报告、事故追踪回放，加强内部业务操作行为监管、避免核心资产（服务器、网络设备
、安全设备等）损失、保障业务系统的正常运营。
系统组成
天玥-OSM由WEB模块、协议代理模块、行为审计模块和应用发布模块和存储模块组成。
WEB模块
为用户提供web方式访问系统的界面。管理员用户在界面中进行运维用户管理、设备及帐号管理、用户授权管理和运维审计管理等管理功能；运维用户在界面中进行资源单点登录等操作。
协议代理模块
实现对主机、数据库、网络设备维护过程中的协议数据包代理转发、行为还原及记录、高危/违规行为阻断等功能。
行为审计模块
实现对行为操作的审计功能，包括实时高危/违规行为的告警、实时监控、历史数据检索及报表统计等功能。
应用发布模块（可选）
安装在Windows服务器上，用于发布非标准协议或应用客户端，如IE、plsql、sqlplus等。可实现对应用客户端工具的自动调出、密码代填和操作审计功能。
技术架构
协议代理模块
应用发布模块
系统主要功能
用户认证与SSO
在信息系统的运维操作过程中，经常会出现多名维护人员共用设备（系统）账号进行远程访问的情况，从而导致出现安全事件无法清晰地定位责任人。天玥OSM为每一个运维人员创建唯一的运维账号（主账号），运维账号是获取目标设备访问权利的唯一账号，进行运维操作时，所有设备账号（从账号）均与主账号进行关联，确保所有运维行为审计记录的一致性，从而准确定位事故责任人，弥补传统网络安全审计产品