首頁>>廠商>>VoIP設(shè)備廠商>>亞信公司

淺析運營支撐系統(tǒng)的業(yè)務(wù)安全審計實現(xiàn)機(jī)制

2007/01/26

采樣這種技術(shù)的網(wǎng)絡(luò)審計產(chǎn)品，有著以下幾個關(guān)鍵技術(shù)：

1、通信數(shù)據(jù)的獲取

　　網(wǎng)絡(luò)審計產(chǎn)品必須通過某種方式獲取原始的通信數(shù)據(jù)，可以有兩種方式：

　　1) 在目標(biāo)系統(tǒng)中安裝Sniffer軟件，對通信數(shù)據(jù)進(jìn)行偵聽，并將偵聽來的數(shù)據(jù)傳遞給網(wǎng)絡(luò)審計產(chǎn)品進(jìn)行進(jìn)一步的分析和處理；

　　2) 利用網(wǎng)絡(luò)監(jiān)聽技術(shù)，直接獲取網(wǎng)絡(luò)交換機(jī)上的通信流量，進(jìn)行分析和處理。

　　目前，絕大部分的網(wǎng)絡(luò)審計產(chǎn)品均采樣第二種方式。

2、對各種通信協(xié)議的解析

　　網(wǎng)絡(luò)審計的基本原理就是通過對通信數(shù)據(jù)的重組和分析，恢復(fù)出應(yīng)用系統(tǒng)的應(yīng)用層數(shù)據(jù)，然后對這些應(yīng)用數(shù)據(jù)進(jìn)行記錄、匹配和響應(yīng)，因此，一個網(wǎng)絡(luò)審計產(chǎn)品往往要對若干種通信協(xié)議進(jìn)行解析，并且具備一定的協(xié)議解析的擴(kuò)展能力，能夠針對某些特定的通信協(xié)議，迅速地擴(kuò)展支持能力。

　　例如，針對Unix系統(tǒng)的常用維護(hù)協(xié)議（Telnet、FTP、SSH等）進(jìn)行解析，對數(shù)據(jù)庫操作協(xié)議（SQL協(xié)議）進(jìn)行解析，對B/S或C/S類型的業(yè)務(wù)系統(tǒng)進(jìn)行解析。

3、提供靈活、高效的匹配模型和方法

　　網(wǎng)絡(luò)審計系統(tǒng)需要面臨的幾乎是所有底層的通信數(shù)據(jù)，這這些信息量遠(yuǎn)遠(yuǎn)高于日志審計產(chǎn)品所面臨的信息量，這就要求網(wǎng)絡(luò)審計系統(tǒng)必須提供靈活、高效的匹配模型，在所解析恢復(fù)出來的海量的應(yīng)用數(shù)據(jù)中，定位關(guān)鍵的信息，并對這些信息進(jìn)行合理的組織和存儲。

　　同樣，上述三個關(guān)鍵技術(shù)，也成為運營商考察一個網(wǎng)絡(luò)審計產(chǎn)品的三個主要方面。

兩種審計技術(shù)的分析和比較

　　由于技術(shù)思路的不同，使得日志審計產(chǎn)品和網(wǎng)絡(luò)審計產(chǎn)品在很多方面存在著區(qū)別，下表給出了這兩類產(chǎn)品的比較和區(qū)別：

　　由于基于日志收集的審計系統(tǒng)原則上是基于目標(biāo)系統(tǒng)的原始日志信息進(jìn)行加工、整理，因此，這類審計產(chǎn)品并不會增加審計信息量，它更關(guān)注的是如何對原有的日志信息進(jìn)行格式化和歸并，基于某種審計分析模型，提煉出核心的審計信息。

　　從這個層面講，基于日志收集的審計系統(tǒng)的功能難以保障系統(tǒng)的安全，而且也無法滿足事后的偵察和取證應(yīng)用。并且安全審計并非日志功能的簡單改進(jìn)，也并非等同主機(jī)入侵檢測，不能夠僅僅通過網(wǎng)絡(luò)抓包、還原就能夠達(dá)到審計效果。

　　基于網(wǎng)絡(luò)探測的審計系統(tǒng)原則上可以獲取所有的通信流量，可以審計記錄所有用戶關(guān)心的內(nèi)容，因此，在審計信息量方面、審計粒度方面較基于日志收集的審計系統(tǒng)有很好的擴(kuò)充。

　　但是，基于網(wǎng)絡(luò)探測的審計系統(tǒng)卻面臨如何解析多種通信協(xié)議，尤其是業(yè)務(wù)系統(tǒng)通信協(xié)議的難題，甚至在某些情況下，這類審計系統(tǒng)顯得有些力不從心，比如：基于Windows圖形界面、X-Window圖形界面的操作，對這類審計系統(tǒng)而言，就難以實現(xiàn)有效的操作審計。

　　正是因為這兩種審計技術(shù)都存在各自的優(yōu)缺點，因此，出現(xiàn)了綜合采樣兩種技術(shù)的“綜合型審計”的實際安全需求。以下將結(jié)合在運營商支撐系統(tǒng)領(lǐng)域的一些審計項目經(jīng)驗，重點介紹這方面的技術(shù)實現(xiàn)。

支撐系統(tǒng)安全審計需求

　　運營商業(yè)務(wù)支撐系統(tǒng)發(fā)展至今，應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備、主機(jī)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫由諸多的供應(yīng)商提供，涉及多層次、多廠家、多型號、多版本。數(shù)據(jù)方面涵蓋客戶資料、營業(yè)、計費、客服、管理諸多方面。在人員方面涉及各個系統(tǒng)供應(yīng)商的技術(shù)支持人員、現(xiàn)場開發(fā)人員，內(nèi)部系統(tǒng)管理人員，業(yè)務(wù)系統(tǒng)的使用人員。

　　結(jié)合現(xiàn)狀，以日志形式檢查操作行為已遠(yuǎn)遠(yuǎn)不能滿足關(guān)鍵業(yè)務(wù)支撐系統(tǒng)的發(fā)展需求。對各個系統(tǒng)缺乏集中統(tǒng)一的訪問審計，無法進(jìn)行綜合分析，不能及時發(fā)現(xiàn)非法、違規(guī)行為。需要通過安全審計避免計費系統(tǒng)中的計費信息不被非法修改；保障核心客戶的信息是被拷貝、盜取；減少業(yè)務(wù)使用者、系統(tǒng)管理員、供應(yīng)商越權(quán)訪問等問題。

　　從實際運維來看，內(nèi)部系統(tǒng)維護(hù)人員、集成商、軟件開發(fā)商均需要登錄主機(jī)、數(shù)據(jù)庫進(jìn)行系統(tǒng)維護(hù)和故障診斷。開發(fā)商需要通過遠(yuǎn)程登錄、本地登錄進(jìn)行軟件系統(tǒng)的開發(fā)、調(diào)試、故障診斷。可能帶來如下問題：越權(quán)訪問或越權(quán)修改系統(tǒng)信息、違規(guī)和誤操作、違反操作流程和管理規(guī)范、內(nèi)外勾結(jié)獲取企業(yè)核心機(jī)密信息。

　　這些問題如果不能有效地解決，將給系統(tǒng)留下很大的安全隱患。面對如此復(fù)雜的支撐系統(tǒng)，運營商最需要解決的問題就是高效的監(jiān)督和管理。需要采用可用技術(shù)保證管理規(guī)范、操作規(guī)范的執(zhí)行力度，加強(qiáng)內(nèi)部系統(tǒng)管理和供應(yīng)商網(wǎng)絡(luò)行為的監(jiān)督；進(jìn)一步規(guī)避BOSS、經(jīng)分、網(wǎng)管中面臨的來自設(shè)備層面、系統(tǒng)層面、應(yīng)用層面、管理層面的安全風(fēng)險。

　　《薩班斯法案》第404條款要求進(jìn)行評價的內(nèi)部控制包括針對與會計報表中所有重要科目和信息披露相關(guān)的所有會計認(rèn)定所實施的內(nèi)部控制，包括：

　　主要交易是如何啟動、授權(quán)、記錄、處理和報告在財務(wù)報告中；

　　用以防范或找出與重要賬戶、交易種類和披露相關(guān)的錯誤或舞弊的內(nèi)部控制措施；

　　其它重要內(nèi)控措施所依賴的內(nèi)部控制，包括一般性控制，例如信息系統(tǒng)控制；

　　非經(jīng)常性、非系統(tǒng)交易或財務(wù)估計的內(nèi)控措施；

　　財務(wù)報表關(guān)賬和匯總過程中的內(nèi)控措施等等。

　　圍繞《薩班斯法案》第404條款的基本要求，結(jié)合運營商的業(yè)務(wù)支撐系統(tǒng)運維特點，面向業(yè)務(wù)系統(tǒng)的安全審計系統(tǒng)一般應(yīng)具備以下功能：

　　針對主機(jī)、數(shù)據(jù)庫、安全設(shè)備、應(yīng)用多個層次的操作，UNIX命令、數(shù)據(jù)庫SQL、安全設(shè)備Syslog、應(yīng)用日志的細(xì)粒度審計；其中BOSS所有重要操作，特別是對財務(wù)報表有關(guān)的操作留有系統(tǒng)日志。

　　重要數(shù)據(jù)庫操作的審計主要包括數(shù)據(jù)庫進(jìn)程運轉(zhuǎn)情況、繞過應(yīng)用軟件直接操作數(shù)據(jù)庫的違規(guī)訪問行為、對數(shù)據(jù)庫配置的更改、數(shù)據(jù)備份操作和其他維護(hù)管理、對重要數(shù)據(jù)的訪問和更改、數(shù)據(jù)完整性等。

　　重要應(yīng)用系統(tǒng)的審計主要針對BOSS、經(jīng)分、網(wǎng)管等。審計內(nèi)容包括：業(yè)務(wù)系統(tǒng)正常運轉(zhuǎn)情況、用戶開設(shè)/中止等重要操作、授權(quán)更改操作、數(shù)據(jù)提交/處理/訪問/發(fā)布操作、業(yè)務(wù)流程等內(nèi)容。

　　提供審計記錄、告警、實時阻斷多種控制措施，對于特別關(guān)鍵的業(yè)務(wù)、操作，提供原始記錄和審計憑證；

　　提供命令查詢、會話查詢、安全策略查詢等綜合查詢和報表，并可以通過“回放”對記錄的TCP會話進(jìn)行事后重現(xiàn)；

　　多種審計/查詢手段和審計報告，能夠根據(jù)需要自行定義審計報表，以多種方式獲取系統(tǒng)的相關(guān)審計信息。

　　運行維護(hù)規(guī)范化、制度化，關(guān)鍵系統(tǒng)的維護(hù)操作的運行狀況、使用狀況可視化。

　　確保原有系統(tǒng)的正常運轉(zhuǎn)，盡量減少對原系統(tǒng)的擾動，盡可能使系統(tǒng)做最小修改，并對系統(tǒng)性能產(chǎn)生最小影響。

　　因此，針對運營支撐系統(tǒng)中的安全設(shè)備和網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)和運行狀況進(jìn)行全面的收集、分析、評估是保障網(wǎng)絡(luò)安全的重要手段。安全審計應(yīng)當(dāng)包括多方面、多層次，不是靠一套簡單產(chǎn)品就能夠全面覆蓋，需要建立實時、集中、可視化審計，有效/及時的審查系統(tǒng)究竟是不是違背安全策略，并及時定位安全隱患。

中國計費網(wǎng)(www.billingchina.com)