省级BOSS系统安全认证审计解决方案.docVIP

省级BOSS系统安全认证审计解决方案 ■ 曹健 BOSS系统是中国移动面向用户服务的综合性业务支撑系统，含有众多敏感数据。为了确保系统安全，部分省级公司实施了安全认证审计的综合安全解决方案，取得了比较好的效果。 目前绝大多数移动公司已经在网络级、系统级安全防护方面部署了相关的安全产品，但是这些是针对外部防护安全，而缺少在应用级安全防护措施，例如非授权用户访问、存在一部分公用账户、管理员对BOSS系统的管理维护和对数据的读写缺少审计日志等，因而有可能出现用户详单外泄或用户数据被篡改等事件发生后无法追查，进而给移动公司造成较大的经济损失和社会影响。为从根本上解决上述安全隐患，业内不少厂家提出了不同的解决办法，下面以某省移动公司为例介绍其采用的ACA（Authenti-cation Control Audit）安全认证解决方案。 针对该移动公司的业务运营支撑系统已部署的安全产品，结合目前的安全需求，该移动通信公司提出在BOSS系统上建立的安全审计认证系统必须具备如下功能： 1. 加强用户身份防护，防止合法用户身份轻易泄漏； 2. 实现对应用系统访问的操作过程进行审计； 3. 对业务运营支撑系统内重要业务主机之间的通信进行审计； 4. 及时对业务系统的非法操作和访问做出响应； 5. 为用户提供统一的远程维护登录接口，包括某些特殊情况下处理突发事件提供统一登录接口。 总体方案设计 通过分析该省业务系统现状及安全审计认证需求，决定采用以下技术方式实现。具体实现逻辑架构图如图1所示： 1. 在整个应用平台之前增加统一的身份认证安全模块，对系统管理员、操作员及厂商维护人员等内部合法用户身份进行认定。 2. 在整个应用平台之前增加统一的访问控制安全模块，结合系统管理员、操作员及厂商维护人员等内部合法用户的身份赋予其不同的访问权限并对其访问相关业务主机进行控制； 3. 在整个应用平台之前增加统一的应用审计安全模块，对系统管理员、操作员及厂商维护人员等内部合法用户访问相关业务主机的操作进行日志记录并提供事后的安全审计报告。 该移动公司业务系统安全产品的部署如图2所示。其中被保护的应用都通过直接或者是间接的方式接入BOSS系统核心交换机,并且两台核心交换机之间做了负载均衡。 ● 为审计所有相关的数据，这里部署了两台ACA安全服务器，其抓报端口分别通过SPAN连接两台交换机上，这样就可以通过侦听、抓报的方式得到相关的数据，而且对原有系统不产生任何影响。 ● 为了对合法用户进行身份认证，在业务运营支撑系统内部署了ACA管理中心，通过ACA管理中心可以为合法的用户（系统管理员、操作员、厂商开发人员等）发放相关的数字证书令牌。 ● 通过部署ACA管理中心，我们可以对相关的合法用户（系统管理员、操作员、厂商开发人员等）进行访问授权，通过他们与ACA安全服务器的控制通信接口下发相关的访问授权策略，由ACA安全服务器进行相应的用户策略控制。 ● 要进行操作审计的对象在ACA管理中心进行审计策略设置并下发到ACA安全服务器进行与策略相关的抓报审计工作，抓到的相关数据包提交到ACA审计中心并存储到相关的存储设备中以备事后审计。 ● 当紧急事件发生时，如果管理员或开发厂商不在公司，需要用拨号的方式接入公司内网，进行系统维护，ACA系统可以支持如下解决方案：在核心交换机接入相关数量的堡垒主机来提供接入通道。 ● 由于要对使用拨号方式访问公司内部业务主机的用户进行审计与控制，所有通过堡垒主机访问公司内部业务主机的所有数据流必须经过核心交换机，这样安全服务器就可以对其进行控制与审计。 系统构建 系统各主要组成部分及主要功能如下： 1．ACA安全服务器提供客户登录认证、权限控制、抓包日志记录、阻断非法连接等功能。 2．ACA管理中心提供主机与用户的登记和管理、主机与用户安全策略的管理、数据过滤管理、开放主机管理、信任客户IP管理、安全服务器策略管理、系统设置、安全服务器配置管理、实时监控管理、用户登录审计管理等功能。 3．ACA审计中心提供存储审计日志、IP包审计管理、数据库备份管理、查看导出数据等功能。 4．ACA客户端提供基于USB硬件的身份认证、用户授权依据、登录ACA安全服务器等功能。 ACA安全服务器部署在核心网络与其他网络的交汇处（路由器或交换机上），并接在网络设备上，网络设备将外来数据流SPAN（镜像）给ACA安全服务器。 ACA系统的审计数据存放在ACA审计中心服务器内，并通过ACA审计中心控制台对记录下来的审计日志进行处理。 ACA客户端是一套客户端软件和一个USB令牌，软件安装在客户端用户的PC上，插入USB令牌，登录ACA安全服务器进行认证，之后即可进行其正常的、权限内的业务操作。如果越权访问，将会