刘小云

摘要：伴随着信息化产业发展，信息化建设成为高校突破传统管理，推动现代化治理的新动力。另外，大数据时代开启了新的变革，为促进高校发展的方式是充分利用互联网、物联网等信息化手段，有机地将学生的学习、生活和教师的工作相融合，更加有效快速地为师生服务，发展智慧校园的模式[1]。值得探讨的是，在当今信息安全事故频发的背景下，信息化建设带来发展的同时，安全运维人员对各类主机资源、应用系统的管理及数据安全的治理也提出巨大的挑战，安全运维形势越来越严峻。利用运维审计设备这个统一的运维中枢，帮助运维人员高效完成运维工作，做到有效的事前预防、事中监管及事后审计，实现运维操作全生命周期的管控与审计。另外，做到等保2.0要求，保证操作的合法合规，保障主机、业务及数据安全，满足高校安全管理需求。

关键词：安全运维;数据安全;堡垒机

随着信息技术不断发展，部门的各类业务及应用逐步走向线上。推进数据中心发展，加快推进移动校园建设、完善智慧校园基础建设和应用拓展，构建一个“看得见”的信息化校园是高校发展目标。信息系统的使用给全校师生带来极大便利，教师办公教学由传统的纸质走向线上办公及线上教学，微课及精品课程的建设让教育教学方式越来越丰富多样化;学生通过线上进行选课，自由选择学习内容及对教师进行评测。信息系统的发展促进高校教育教学和办公，但由此带来的安全运维问题不容小觑。信息系统存在的安全问题包括运维人员如何对主机安全进行管控，集成商运维人员或原厂商运维人员如何授权管理，全校师生的基本信息，学生的成绩信息、学籍信息等数据安全如何保障，如何通过有效的运维审计，做到事前和事中管控以及对事后的回溯追责是本文要讨论的内容。通过使用运维审计设备统一进行账户管控，在事中监控运维人员的整个运维操作，事后通过录像查看、命令检索、操作定位等方式对记录的日志进行分析，可以高效便捷地进行事件的回溯及追踪。

1 传统的安全运维方式所带来的弊端

传统的运维方式主要通过远程接入服务器，数据中心信息系统所面临的安全问题有以下几个方面。

1.1 系统账号及密码管理不严格

在运维过程中，由于部分信息系统存在多个运维技术人员。对于人员相对复杂的情况下，这些厂商技术保障人员使用同一个账号对系统运维，造成校内安全技术人员很难精确识别访问者身份。当出现安全问题时，很难追踪到实际操作人。另外，由于密码的复杂度高就难以记忆，定期修改密码带来的工作量也大，因此系统维护人员常忽视对密码的管理，弱密码、弱口令普遍存在。

1.2 系统授权管理不合理

由于缺乏对后期应用系统的追踪，对系统具体的部署情况不清楚，对资源进行授权时，仅仅依靠操作系统的应用体系来授权，缺少资源实施层面的授权管理，导致无法基于最小授权分配原则管理用户权限。另外，很多系统没有真正实现“三员管理”，忽略审计管理员及安全管理员，仅仅利用系统管理员管理整个应用系统。这种过于粗放的授权管理极不利于应用系统安全。

1.3 访问控制管理过于粗放

目前，我们对应用系统的管控基本都停留在通过设置访问控制策略来限制对应用系统及数据的访问，而设置的策略只是基于对IP、MAC地址、端口及路由的管控，对操作人员做了哪些操作以及是否合理合规无法知晓。另外，访问控制策略做得比较粗放，对于应用系统的部署没有细化数据库及应用系统的管理人员及访问策略，当出现问题时难以追踪及回溯。

1.4 缺乏运维审计

当运维人员的误操作及非法操作导致网络安全事故发生时，传统的运维方式仅仅是依靠系统日志来人为判断事故发生的原因。由于系统日志量大、分散、可读性差、可修改、可删除，操作行为难以确定具体操作人员，且分析设备日志对安全技术人员的技术水平要求较高，所以这不是有效的运维审计方式。另外，随着高校不断发展，安全设备及網络设备不断增加，日志设备存储容量已难以满足所有运维场景，覆盖面不足也给安全运维留下隐患。

1.5 应用系统快速增多，资产管理复杂

随着部门应用系统的不断增加，虽然各部门都有设立相应的信息员对系统进行跟踪管理，但信息员安全意识普遍不高，安全维护水平较弱，最终应用系统的安全运维工作还是托管到信息中心。这些分散的资产管理及三方人员的沟通协调极大增加了信息中心维护人员的工作量，运维管理相对复杂。

在如今安全事故频发的环境下，安全运维是高校做好安全保障的基石。运维审计设备作为运维管理中枢，通过多层面的管理手段，对目标设备进行统一入口访问和监管维护。

2 运维审计系统工作机制

运维审计系统又叫堡垒机，主要负责安全审计管控和核心区域运维，在技术上通过切断终端计算机的直接访问，以协议代理的方式进行访问。通过记录、审计监控运维人员的操作，简化运维管理人员的工作[2]。通过设置数据中心服务区，将所有的应用系统部署在服务区内，堡垒机旁挂在服务器核心交换机上，作为内外网的网络设备连接应用系统的桥梁，一边为用户提交的运维管理请求做代理，一边管控着各类应用系统资源，工作流程图如下。

厂商运维人员提出访问服务器需求，数据中心交换机将访问流量转发给审计设备，审计设备代理用户端向服务器发起访问请求，服务器将执行结果通过数据中心交换机转发到审计设备，审计设备再把结果反馈给厂商运维人员。审计设备负责对用户的应用请求做代理，根据访问权限策略确认执行与否，用户的整个访问记录及操作记录都被审计设备记录和管控。通过应用代理，减少服务器的IP地址及端口暴露，保证应用系统安全。运维审计设备也支持用户单点登录，厂商运维人员进行一次身份认证后就可以访问多台目标服务器。

利用堡垒机实现对数据中心区域的信息系统进行安全运维管控的具体方式如下：

2.1 统一用户管理和资源管理

做好用户管理，首先要分清应用系统角色。堡垒机通过对应用系统采用“三员管理”的思想，明确各个管理员的职责，从而达到用户的最小化授权管理原则。利用堡垒机支持多种方式的用户来源，如本地用户、校内LDAP用户或域用户、Radius认证系统用户及各种第三方认证用户的优势，不仅方便厂商运维人员登录应用系统，有利于简化校内安全运维管理人员的工作，同时也实现了对来访用户身份的精确定位。另外，维护人员可以在堡垒机上统一对所有系统推送随机强密码，通过邮件的方式下发给系统管理员，也可以灵活在管理后台根据不同应用系统设置不同的密码策略和用户密码强度、有效期及修改次数，通过以上方式可以有效防止忘记密码，弱密码、弱口令等安全风险。应对强力破解密码的方式则是开启黑白名单防范防破解机制，设置锁定账号机输错次数阈值，保证正常用户的访问同时阻止非法用户的攻击。除了加强密码强度，堡垒机还提供了短信认证码、USB KEY及第三方应用等双因子认证，用于门户入口或者敏感及重要数据访问时使用，准确定位操作者身份，做好人员管理。这种完善的系统认证体系，加强应用系统的安全性。