安全运维管理审计系统在高校行业应用解决方案V1.0.docVIP

高校行业运维管理审计系统解决方案 文档编号：201107-SECURITY-运维管理审计-V1.0 高校行业运维管理审计应用解决方案 上讯运维管理审计系统 上讯信息技术有限公司 2011年7月 ====================================================================== 上讯信息技术有限公司——专业的信息安全整体解决方案提供商====================================================================== 目 录 TOC \o 1-3 \h \z \u 第一章 概述 3 第二章 高校行业背景分析 4 2.1 业务应用与技术管理需求 4 2.1.1一卡通应用 4 2.1.2考试查询系统应用 5 2.1.3第三方运维管理带来的安全隐患 5 2.1.4难以进行细粒度访问授权 5 2.1.5服务器密码安全策略难以有效执行 6 2.1.6缺乏对运维过程的监督审计能力 6 2.2法律法规遵从需求 6 2.2.1 ISO27001标准 6 2.2.2 等级保护要求 6 第三章 构建高校行业安全运维管理体系 8 3.1 方案设计原则 8 3.1.1先进性和成熟性原则 8 3.1.2可靠性原则 8 3.1.3最小影响原则 8 3.1.4安全性原则 8 3.2 产品原理及架构 8 3.2.1 产品技术原理 8 3.2.2 产品架构 9 3.2.3 支持的访问协议 9 3.3 部署方式 10 3.3.1旁路模式网络拓扑 10 3.4 产品功能介绍 10 3.4.1操作行为审计 10 3.4.2系统管理功能 12 第四章 公司介绍-上讯信息 13 第一章 概述 随着信息技术的不断发展和信息化建设的不断进步，IT 系统在高校行业发挥的重要性越来越高，高校的教学应用系统、一卡通等业务系统以及办公系统都高度依赖IT 网络。然而，随着IT系统规模的扩大，以及IT系统资产价值的增加，系统面临的安全威胁也随之增加。这些威胁中除了来自外部的黑客攻击以外，更多的是由于内部运维管理水平的不足或不够重视而产生的，如：内部运维人员的恶意破坏操作、误操作，第三方维护人员的越权访问、数据窃取等等。这些由于内部与第三方支持人员而产生的安全事件，对高校造成很大的负面影响，其所能造成的损失往往是不可估量。 此外，随着国内IT管理水平的提升，IT 法规的健全，无论是高校、政府还是企业单位、上市公司等，对于IT 法规遵从的要求都越来越高，IT 法规遵从的重点之一就是如何处理来自内部的IT 运维管理风险日益，规避内部IT 操作风险。因此，如何针对内部IT 运维人员的运维行为进行审计，如何提高系统运维管理水平，满足相关法规标准要求，已经成为很多高校IT 技术管理人员急需解决的问题。 InforCube 运维审计系统就是新一代运维安全审计产品，它能够对运维人员的访问过程进行细粒度的授权、全过程的操作记录及控制、全方位的操作审计、并支持事后操作过程回放功能，实现运维过程的“事前预防、事中控制、事后审计”，在简化运维操作的同时，全面解决各种复杂环境下的运维安全问题，提升高校IT 运维管理水平。 第二章 高校行业背景分析 2.1 业务应用与技术管理需求 2.1.1一卡通应用 随着高校数字化校园十二-五规划的不断深入，一卡通在校园中的应用也越来越广泛，统一一卡通已成为数字化校园建设的一个主要部分，传统的一卡通应用主要在消费层面，而现今的一卡通应用几乎包括了高校很多方面的应用，不仅在消费层面，更多的在身份识别层面的需求，已逐步成为身份的象征。而在高校，面积大，建筑规模大、楼多，人群密度大。这就涉及到一卡通在各个层面的安全问题： 如何实现学校内部食堂、小卖部、超市、校医院、洗浴、上机、娱乐中心等校园消费的各个领域，全面实现“以卡代币” 的各种消费问题，保障消费数据的安全; 学校重要区域如学校图书馆、实验室、网络中心、办公楼、学生宿舍大门的人员出入权限安全控制管理以及身份识别问题，保障身份的合法化; 学校对现有教职工上班和学生考勤管理问题、重点仪器设备安全的管理，保障设备与管理的安全性; 未来可能会跟银行接轨，如何实现银行金融服务为数字化校园一卡通服务的问题。 通过上述的分析，一卡通系统在高校得到越来越广泛的应用，管理员或第三方外包人员通过修改数据库带来的经济利益驱动；管理人员或第三方外包人员的误操作，带来的身份混乱，造成未授权的用户去了不该去的地方，