◆张国梁 郭晓军

（西藏民族大学信息工程学院 陕西 712000）

高校网络运维审计系统的应用

◆张国梁 郭晓军

（西藏民族大学信息工程学院 陕西 712000）

本文首先分析了高校网络运维现状和面临的风险，提出建立校园网络运维审计系统的必要性，并使用运行审计系统（即内控堡垒机）来解决面临的问题。接着描述了运维审计系统的结构和主要功能，并进行了实施和部署。通过在校园网中部署运维审计系统解决高校网络在运维方面存在的问题，有效控制运维风险。

运维审计系统；内控堡垒机；网络管理

0 引言

校园网作为高校信息化重要的基础设施，通过先进的计算机技术和网络技术，构建了一个全方位的数字空间，为高校校园提供了丰富的信息载体，对内实现了资源的数字化和共享，对外成为信息交流的重要工具，在教学、科研、各项管理以及对外交流与合作中扮演了重要角色。高校网络信息系统规模不断扩大，随之而来的是不断增长的运维风险。一旦运维操作出现安全问题将会给高校带来不可估量的损失。

同时国家公安部《信息系统安全等级保护基本要求》中明确规定了二级（含）以上的重要信息系统网络安全、主机安全、应用安全都需要具有安全审计功能。所以，根据等级保护要求以及单位的实际情况必须建立校园网的运维审计系统。

1 高校网络运维风险分析

目前校园网主要采用传统的三层架构模式，各种服务器、网络设备、安全设备加一起数量庞大，日常运维任务繁琐而复杂。运维环境日益复杂，运维责任和挑战愈来愈大，极大增加了校园网安全运维的风险。究其原因如下：

（1）运维人员构成复杂。运维人员大体上可分为三类：第一类网络信息中心在内部运维人员；第二类为二级单位运维人员；第三类为第三方厂商的临时运维人员。这三类人员多点登录、分散管理。

（2）运维人员操作不合规。信息系统具有结构复杂、变更频度高、技术难度大、实现技术多样化等特点，在传统的运维管理模式下，由于缺乏有效的监管，运维人员普遍存在随意操作、越权操作、不按流程操作、变更操作范围等不合规的操作行为。

（3）账号管理分配混乱。基于传统的运维管理模式，无论内部还是外部运维人员，都是直接采用系统账号登录目标系统进行操作，同一个系统多个用户同时维护，共享同一账号，如果发生误操作或者恶意操作，将很难追查到责任人。

（4）无法有效的审计用户操作。信息系统自身的日志审计功能无法全面记录运维人员的操作行为，无法第一时间发现并阻止违规的操作行为，难以追溯到不合规的操作源头，更无法对违规操作行为进行还原和复现，很难为相关事件的取证举证提供充分的依据。

（5）运维权限无法管理和控制。在传统运维模式下没有对系统的运维用户账户进行权限分配管理，各设备、操作系统、数据库多用户账户多采用管理员权限，并未根据实际用户的需求进行最小权限的分配设置。这将导致运维人员越权操作或恶意操作的隐患。

总之，现有运维环境中的这些维护方法缺乏一个统一的平台，对所有运维用户和账号进行统一管理，缺乏对设备所有操作记录的审计功能，此外，对运维人员的操作无法有效记录，也无法记录先前故障处理过程和追溯不合规的操作。

2 运维审计系统

面对传统运维模式带来的风险，加强对运维人员操作行为的监管与审计是信息安全发展的必然趋势。在此背景之下，针对运维操作管理与审计的堡垒机应运而生。运维审计型堡垒机被部署在内网中，对运维人员的操作权限进行控制，并对操作行为进行审计。解决了运维人员权限难以控制混乱局面，又可对违规操作行为进行控制和审计，提升内部风险控制水平。

运维审计系统功能的设计：

运维审计系统的主要功能模块分为：用户管理、主机管理、实时监控、运维管理和策略管理等五个模块。运行审计系统功能结构如图1所示。

图1 运维审计系统结构

运维审计系统中的用户分为超级用户，管理员用户，运维终端用户。不同的用户有着不同的权限。超级用户是拥有最高权限用户角色，可进行所有的系统配置、用户管理、权限授权以及操作审计等。管理员用户的功能权限主要有：主机管理、策略管理、运维管理，运维终端用户管理等，并为运维终端用户访问主机关联授权。运维终端用户权限最小，拥有被授权管理设备的权限和修改自身信息和登录密码的权限。

实时监控实现对所有运维过程的实时监控，包括主机监控、用户监控、会话监控、异常会话监控、操作监控、异常操作监控和系统监控。

运维审计实现对运维过程事后审计，主要功能有字符终端审计、图形终端审计、数据库运维审计等。并可以对运维过程的多种检索、审计报表等。

主机管理实现对主流服务器、网络设备、安全设备和数据库系统的统一管理，主要包括主机的添加，主机的删除等功能。

策略管理主要实现对运维终端用户访问主机授权的功能，并对所有授权策略进行管理。通过策略授权运维终端用户就可以访问指定设备。

3 实施和部署

运维审计堡垒机采用物理旁路，逻辑串联的模式，不需要改变网络拓扑结构，不需要在终端安装客户端软件，不改变管理员、运维人员的操作习惯，也不影响正常业务运行。部署方式如图2所示。系统的实施过程，将运维审计堡垒机及其应用发布服务器的部署位置单独剥离，划分为管理区，把内部网络的其他设备如服务器、网络设备数据库等等划分为业务区。在运维审计堡垒机上架后，运维人员将集中通过堡垒机对主机业务区的目标设备进行日常运维操作。运维人员只有通过堡垒机才访问具体主机，并可以在堡垒机上对主机的单点登录及会话进行完整审计。

图2 运维审计系统部署

4 总结

运维审计系统作为高校网络安全体系建设中必不可少一部分。通过在校园网中部署运维审计系统，可以对运维人员、主机、网络设备统一管理，统一授权和审计。满足运维审计过程的实时监控、审计，并可以对操作过程进行控制、记录和回放。实时阻断违规、越权的访问行为，同时提供维护人员操作的全过程的记录与报告。有效控制运维风险。

[1]庞博.基于内控堡垒主机的运维审计实践[J].科技资讯，2015.

[2]黄瑞涛，陈劲松.堡垒机在医院信息系统的运用[J].信息安全与技术，2011.

[3]韩荣杰，于晓宜.基于堡垒主机概念的运维审计系统[J].信息化建设，2012.

[4]伍闽敏.建设企业计算机网络安全审计系统的必要性及其技术要求[J].信息安全与技术，2011.

[5]潘玉珣.新一代堡垒主机[J].信息安全与通信保密，2011.

第四期高校科研创新团队建设项目“藏区网络空间安全与舆情智能监管科研创新团队建设”，西藏自治区高校教师创新支持计划项目（QCZ2016-41），西藏民族大学2016教改项目“面向区内学生的《网络安全技术》课程教学方法探索”。