浅谈安全审计系统在电视台总控系统的应用
宋庆峰 周瑞群
（中央电视台 北京启明星辰信息安全技术有限公司）
摘要： 中央电视台新址总控系统建设过程中，依据国家等级保护相关规定，对总控系统进行了详细的安全审计设计。全方面的审计方案满足了总控系统的安全需求。笔者结合中央电视台新址总控系统安全审计系统建设的实践经验，对建设过程中的设计理念和未来安全审计的发展趋势进行探讨。 关键词： 总控系统 安全审计系统 1.前言 随着互联网关键用户信息不断被泄露，各行各业开始对安全审计日趋重视起来。中央电视台新址总控系统安全设计初始，便将安全审计纳入到设计当中。对安全审计进行整体规划，力求达到全覆盖、细粒度的全面审计。对相关敏感的信息修改记录在案，做到事前有授权、事中有监控、事后有审计。信息安全建设作为新址总控系统建设的重要组成部分，核心任务是综合运用技术、管理等手段，保障新址总控系统的安全运行，保证业务的连续性。信息安全是一个复杂的、相对的、动态的系统工程，它贯穿于信息系统的整个生命周期之中，安全审计作为信息安全重中之重的安全组成部分更应该得到足够的认识，为此新址总控系统在建设前期就投入大量资源到安全审计中以保障系统的正常运行及出现故障后的事后审查。 2.总控系统及总控网络简介 总控是节目播出、传送、信号交换的重要环节和枢纽，负责对全台的信号进行调度，同时根据国际、国内节目的要求对光缆、微波和卫星线路进行申请、受理和协调。是全台信号调度和处理的关键和核心，对全台安全播出有着极其重要的地位。 总控在实际工作中主要通过计算机及其网络来完成上述工作，总控系统的基础网络采用星形网络架构（分层设计），分为核心层（网络交换中心）和接入层（负责各区域、楼层各个接入交换机接入和系统外接入），核心层与接入层之间采用千兆网连接形成高速传输网。 总控系统的网络拓扑图如图1所示： 在系统核心层，配置两台核心层交换机，实现双机、双信道互为热备份；在接入层，配置多台区域接入交换机，实现总控系统软件设备及视音频设备的接入；各区域接入交换机上连至核心交换机。 总控系统的IT设备包括应用服务器、接口服务器、数据库服务器、应用操作终端。 1)应用服务器：主要完成总控系统应用域内的设备监控、数据采集、总控任务管理和任务执行的服务端应用等功能。另外资料存储、域控等公共平台工作也由应用服务器来承担。 2)接口服务器：完成控与域外的数据交互的转换和过滤作用； 3) 数据库服务器：主要用于存储采集的监控数据、总控的任务数据和部分日志数据，是总控数据的核心存储地点； 4)操作终端：操作终端是新台址总控系统进行人机交互的接口，工作人员通过操作台式机上的应用软件完成岗位工作。包括录入管理的任务、调整设备参数、执行切换操作、监测设备状态等。 3.总控的安全管理与综合审计系统 3.1 安全管理与综合审计系统工作方式 总控系统的网络按照等级保护三级系统的要求，需要对终端、服务器等重要系统进行安全审计。审计的对象包括对涉及总控系统业务进行操作的终端、接口服务器、WEB服务器、应用服务器和数据库服务器系统等。审计内容为用户行为（如用户创建、登录、注销）、系统资源的异常使用情况（如特权使用、文件权限更改）、重要系统命令（如Telnet过程中出现rm、passwd、shutdown等命令的行为）使用情况等安全相关事件。最终审计日志将通过Syslog、SNMP或其他专用接口的方式发送至总控系统安全管理域综合审计系统。 为实现上述审计要求，在总控系统内部建立整套安全管理与综合审计系统，收集总控系统内部的各类安全审计日志，并最终将这些日志发送至全台统一的安全管理与综合审计平台。安全管理与综合审计系统部署在安全管理区域内，为保证能够获取相关审计信息，需要在Linux类操作系统中开启SYSLOG功能，并将关键日志发送至安全管理与综合审计系统中；在Windows类操作系统中安装Agent代理，将日志发送至平台中，如图2所示，数据库审计系统和运维审计系统通过syslog的形式将审计日志统一发送到安全管理与综合审计系统（见图2）。 安全管理与综合审计系统关键技术在于对收集到的审计事件的关联，关联技术主要在于将在一定时间范围内事件的源地址、目的地址、源端口、目的端口及事件的类型等结合事件的等级、CIA属性等参数，对事件进行关联分析，这种关联分析的目的在于减少报警信息，对事件进行归并过滤。 3.2 安全管理与综合审计系统部署结构 安全管理与综合审计系统的部署采用分布式架构部署（见图3），采集器分布在各大功能区域，作用是将各大功能区域的操作系统及应用操作审计日志发送到安全管理与安全综合审计系统上去，安全管理中心、数据分析中心和安全信息管理系统统一部署在运维管理域安全管理和安全综合审计系统服务器上，其中采集器负责采集服务器资产的审计日志发送到安全管理和安全综合审计系统上去，安全管理中心主要能为实现监控、管理、响应、报表等功能，数据分析中心以后台服务方式实现综合分析、关联分析、资产发现、脆弱性信息采集分析等数据分析处理功能，V-SIMS：安全信息管理系统，它完成了安全信息的采集、过滤、聚并、入库等功能，可以方便的实现分布、分级部署事件采集引擎。 为了实现上述的目标，通过终端管理控制、运维管理、操作审计等形式将维护操作进行有效管理，统一审计日志管理。总控系统安全管理中心的综合审计包括网络安全审计、终端系统及数据库审计、网络审计以及应用审计等各个层面，能够进行有效的风险控制。 数据库系统均有自身操作审计功能，开启操作审计功能后可以对维护人员的操作记录在案，但其有几个弊端分别为: 1)消耗大量系统资源占用正常业务应用的资源，降低了数据库存取的效率。 2)审计记录得不到安全保障，一般黑客入侵数据库系统后会对日志进行清除，另外非授权人员（高权限账户）对数据库操作后也可以对日志进行删。出现安全事故后无法进行事后溯源。 3)数据库本地审计配置的定制，对数据库管理人员的专业水平和经验有较高的技术要求。数据库审计系统就很好的解决了数据库系统自身审计的一些弊端，部署方式采用过旁路方式部署，主要通过监听主备核心交换机数据库交互数据并进行解析，对现有的数据库业务访问流量影响较小，提高了审计效率和保障了业务的原有效率。 3.2.1 数据库审计系统 数据库审计系统由数据中心和审计引擎组成（见图4）。 数据中心由管理系统、认证系统和报表系统三个子系统构成。管理系统负责对整个系统进行管理配置，包括系统状态监控和维护、运维审计对象定义、规则定义、审计策略配置等；认证系统负责对自然人进行身份认证和授权；报表系统负责审计日志的记录和维护、日志检索、统计和分析，并可根据用户要求生成各种格式的审计报表。 审计引擎的工作基础为审计策略，设备内置捕包、解析、响应模块，捕包模块负责对网络数据包进行捕获和重组，并根据预置的审计范围进行初步过滤，为后续解析做好准备；解析模块利用状态检测、协议解析等技术，对网络数据库包进行分类过滤和解析，然后依据审计规则对重要事件和会话的进行审计，同时也会检测数据包是否携带关键攻击特征。审计事件、会话和攻击均会提交至响应模块，响应模块负责根据审计策略对此进行响应，包括将审计日志上传至数据中心进行存储、发送事件到实时告警界面进行告警、对关键威胁操作进行阻断，也能通过邮件、Syslog、SNMP信息的方式将审计日志发送给其他外部系统。 3.2.2 运维审计系统 运维审计系统，通过部署该系统解决了账号管理无序、过度授权，设备自身日志粒度粗以及IT运维不合规等现象。运维审计系统利用业务代理的方式，为运维人员提供一个统一的运维接口。运维人员通过运维审计系统对相关资产进行维护，相关操作会记录在案。另外，为了防止运维人员绕行运维审计系统进行操作维护，在访问路径上通过防火墙进行相应限制。确保运维人员运维通道的唯一性。 3.2.3 终端管理系统 终端管理系统对运维终端进行统一的管理，在运维的一开始就对运维的规范性进行有效的管理。防止因为终端管理空白造成终端机受到病毒的感染。对维护使用移动存储介质进行严格的控制和管理，通过终端管理系统对移动存储介质的使用进行审计。 3.3 总控安全管理与综合审计系统系统功能 总控系统中部署的网络安全审计系统主要覆盖涵盖了网络行为审计及数据库审计，网络设备、操作系统以及应用系统也有各自的审计事件，通过对这几个系统的部署，已经对各个层面的操作日志进行记录审计。为了有效的对上述操作日志进行管理，需要部署安全管理与综合审计系统，利用统一的接口将审计数据发送到的安全管理与综合审计系统，就能实现总控系统的统一审计。 在安全域部署相应服务器，windows服务器需要安全agent代理程序，对系统的相关日志进行统一收集审计，Linux服务器需要配置syslog，通过syslog的形式将日志发送到平台进行统一管理。通过安全管理与综合审计平台的部署，完美的将各系统整合成一套综合审计管理的系统。为以后的追踪溯源提供了有力的工具。 最终部署的安全管理与综合审计系统的主要功能包括： 1)对总控系统网络中的网络设备、服务器、终端及应用系统等的安全日志审计信息进行统一采集并集中管理； 2)对总控系统网络中的防火墙、入侵检测、防病毒网关、防病毒软件、终端安全管理、应用交付等系统的安全事件进行统一采集并集中管理； 3)能保护总控系统的审计记录，避免受到未预期的删除、修改或覆盖等； 4)能提供总控系统中审计记录的查询、检索、统计、分析及生成报表的能力； 5)能够定期对总控系统中的审计记录进行分析，以便及时发现异常行为； 6)能够定期生成审计报表； 7)能够对90天以上的审计日志进行归档，归档日志至少保存三年以上。 4.小结 笔者认为通过部署整套综合审计管理系统对各系统、设备的日志进行有效管理，大大的提高了故障排查及定位的及时性和有效性。按照等级保护对三级系统的审计要求建设综合审计管理系统，提高了系统建设的规范性。 参考文献 [1]王希忠，王智，黄俊强，安全审计在信息安全策略中的作用，信息技术，2010年；第3期；172页 [2]GB/T20273-2006,信息安全技术，数据库管理系统安全技术要求 [3]GA/T 708-2007,信息安全技术，信息系统安全等级保护体系框架 [4]沈昌祥，高安全级信息系统等级保护建设整改技术框架，信息安全与通信保密， 2008年；第12期；11-13页
评论 点击评论