背景介紹
中信銀行業(yè)務輻射全球70多個國家和地區(qū)，全國640余家分支機構(gòu)
銀行內(nèi)部運行有大量的網(wǎng)絡設備和服務器。隨著各項業(yè)務的不斷發(fā)展，銀行各類信息系統(tǒng)和用戶數(shù)量的不斷增加，網(wǎng)絡規(guī)模迅速擴大，信息安全問題愈見突出，原有的手工管理措施已不能滿足目前及未來業(yè)務發(fā)展的要求。因此需要根據(jù)網(wǎng)絡現(xiàn)狀，建設服務器和設備訪問安全管理系統(tǒng)，使得系統(tǒng)和安全管理人員可以對信息系統(tǒng)的用戶和各種資源進行集中管理、集中權(quán)限分配、集中審計，從技術(shù)上保證信息系統(tǒng)安全策略的實施 。
項目建設具體需求如下：
1. 滿足信息安全、IT系統(tǒng)運維管理、企業(yè)遵循三個方面的要求，有效提高銀行信息網(wǎng)絡的安全性，適應業(yè)務的快速發(fā)展；
2. 滿足全行運維安全管理的整體要求，形成統(tǒng)一管理手段，最小化操作風險;
3. 提供一套可靠、有效的統(tǒng)一監(jiān)控，統(tǒng)一安全策略部署的集中監(jiān)控系統(tǒng)，并基于分行運維安全審計數(shù)據(jù)，實現(xiàn)對全行運維安全狀況的分析 ，為全行IT系統(tǒng)的安全運維提供數(shù)據(jù)支持;
4. 能提供完備的訪問策略管理，提供細粒度的訪問授權(quán);
5. 系統(tǒng)應提供統(tǒng)一、集中的管理界面完成策略管理、人員管理、服務器管理，提供系統(tǒng)管理人員的工作效率;
6. 提供對運維人員的強身份認證方法、用技術(shù)手段保證操作員的身份證明與其本人的統(tǒng)一;
審計系統(tǒng)應該詳細記錄操作員的操作行為，能達到客觀地再現(xiàn)操作活動的情況，備日后統(tǒng)計;
審計系統(tǒng)記錄的操作日志應保證不被操作本人篡改或刪除，且服務器的宕機也不影響行為審計的獨立性;
解決方案
根據(jù)項目建設總目標和需求，我們推薦采用網(wǎng)域數(shù)據(jù)安全的運維安全審計系統(tǒng)和運維安全集中管控平臺來實現(xiàn)。
部署方案：在總部和各分部分別架設IT運維安全審計系統(tǒng)，集中管控平臺進行所有設備的統(tǒng)計監(jiān)控和審計，如上圖。
系統(tǒng)組成
本項目整體包括兩部分：
運維安全審計系統(tǒng)NSA和運維安全審計集中管理平臺
運維安全審計系統(tǒng)：部署在總行以及分支辦公系統(tǒng)，實現(xiàn)對本地IT基礎設施維護操作的審計。
運維安全審計集中管理平臺：部署在總行，對所有運維安全審計系統(tǒng)的統(tǒng)一管理、監(jiān)控、日志管理，對全行運維安全狀況分析等。
實現(xiàn)功能
本地操作審計功能
1. 提供完善的身份管理和認證，確保可信用戶才能進行操作，解決了IT系統(tǒng)中普遍存在的交叉運維而無法定位到具體人的問題，滿足審計系統(tǒng)“誰做的”的要求;
2. 提供基于用戶、用戶地址、協(xié)議、設備地址、時間段、會話時長等組合的授權(quán)功能，靈活的解決“能對誰操作”的問題;
3. 提供對正在運維的會話的監(jiān)控和回放，有效實現(xiàn)事中管理與控制;
4. 提供根據(jù)用戶安全策略定義違規(guī)操作的實時告警和阻斷功能，解決“能做什么”的問題;
5. 提供常用運維協(xié)議Telnet、FTP、SSH、SFTP、RDP(Windows Terminal)、AS400、VNC、Xwindows等網(wǎng)絡會話的完整會話記錄，完全滿足內(nèi)容審計中信息百分百不丟失的要求;
6. 提供詳盡的會話審計和回放功能，解決“做了什么”的問題;
7. 提供多層面的審計報表功能，為運維安全管理提供有效數(shù)據(jù)。
運維安全審計集中管理平臺
1. 運維安全審計集中管理平臺是在不影響各NSA運維審計管理和運行的基礎，實現(xiàn)對各NSA設備的監(jiān)控、統(tǒng)計和管理功能，達到為全行運維安全審計系統(tǒng)的運行和管理提供一個統(tǒng)一平臺的目的。
2. 運維安全審計集中管理平臺主要實現(xiàn)系統(tǒng)監(jiān)控、系統(tǒng)管理、日志管理和統(tǒng)計分析等功能。
3. 系統(tǒng)管理功能：實現(xiàn)總行根據(jù)安全需求，統(tǒng)一對全行NSA的安全部署與配置進行管理。4. 系統(tǒng)管理功能包括設備管理、權(quán)限管理、策略配置等;
5. 系統(tǒng)監(jiān)控功能：實現(xiàn)準實時的監(jiān)控各分行NSA設備運行狀態(tài)。它包括NSA系統(tǒng)狀態(tài)和工作狀態(tài)等;
6. 日志管理功能是對NSA的操作日志進行查看、收集和審計;
7. 統(tǒng)計分析功能：實現(xiàn)對全行NSA整體使用情況的統(tǒng)計和分析?？梢愿鶕?jù)實際情況按天、周、月或選擇時間范圍統(tǒng)計、分析全行NSA的使用情況。
方案特點
提供了一套面向全行運維安全管理的整體解決方案，最小化全行IT人為操作風險;
滿足全行在信息安全、IT系統(tǒng)運維管理、企業(yè)和規(guī)三個方面的要求;
為總行規(guī)范、統(tǒng)一運維安全管理制度和流程提供一種有效的技術(shù)手段;
通過對全行運維數(shù)據(jù)的統(tǒng)計和分析，為提高全行安全運維管理提供依據(jù)。
