4A平臺技術(shù)講座--中國移動

中國移動通信有限公司 4為什么要做 4444總結(jié) 安全的服務(wù)對象 我們的安全服務(wù)對象一般包含數(shù)據(jù)網(wǎng)絡(luò)和 了突出重點(diǎn)，我們以 簡而言之， 責(zé)高效采集、分析、管理、傳送所有企業(yè)信息的系統(tǒng)工具，是支撐企業(yè)運(yùn)營的 見的 公自動化、計(jì)費(fèi)結(jié)算、網(wǎng)管監(jiān)控等系統(tǒng)。 隨著經(jīng)濟(jì)和社會信息化的迅猛發(fā)展，企業(yè)內(nèi)部核心資料和應(yīng)用可以通過計(jì)算機(jī)和網(wǎng)絡(luò)進(jìn)行訪問、讀取、修改，在高效便捷的同時(shí)， 測攻擊、信息泄漏等諸多安全威脅，尤其是在與互聯(lián)網(wǎng)連接以后，這種情況往往會進(jìn)一步加劇。 從一般意義上講， 件及其管理的數(shù)據(jù)，不受偶然、無意或者惡意的原因而遭到破壞、更改、泄露，是保證其連續(xù)可靠運(yùn)行的技術(shù)手段和管理手段。 從組成上看， 是以安全策略和安全設(shè)備為中心的安全技術(shù)體系；二是以組織機(jī)構(gòu)和規(guī)章制度為中心的安全管理體系。只有這兩個(gè)部分統(tǒng)一協(xié)調(diào)地工作，才能夠保證 大量服務(wù)器、大量終端、大量網(wǎng)絡(luò)設(shè)備、海量應(yīng)用、數(shù)據(jù)庫 防火墻防病毒入侵監(jiān)測漏洞掃描 本課件主要對安全技術(shù)體系中的 4 ，難于確定賬號的實(shí)際使用者，賬號的擴(kuò)散范圍難于控制 大量設(shè)備、應(yīng)用系統(tǒng)都有一套獨(dú)立的認(rèn)證系統(tǒng) 、同時(shí)對多個(gè)系統(tǒng)進(jìn)行維護(hù)時(shí)，工作復(fù)雜度高 審計(jì)相互獨(dú)立的，各個(gè)系統(tǒng)單獨(dú)審計(jì)，缺乏集中統(tǒng)一的系統(tǒng)訪問審計(jì)。無法對支撐系統(tǒng)進(jìn)行綜合分析，不能及時(shí)發(fā)現(xiàn)入侵行為 隨著支撐系統(tǒng)的迅速發(fā)展，各種支撐設(shè)備、應(yīng)用和用戶數(shù)量的不斷增加，網(wǎng)絡(luò)規(guī)模迅速擴(kuò)大，信息安全問題愈見突出 缺乏集中統(tǒng)一的資源授權(quán)管理平臺，隨著用戶數(shù)量的增加，權(quán)限管理任務(wù)越來越重，系統(tǒng)的安全性無法得到充分保證 如何解決？ ，4 4內(nèi)） 帳號（ 理 請出示你的證件 認(rèn)證（ 理 對你的身份進(jìn)行確認(rèn)，并決定你的權(quán)限 授權(quán) (理 把資源與你的權(quán)限對應(yīng)起來 審計(jì) ( 你做了什么我都知道 4外） 國外一般沒有帳號（ 個(gè) A，而是管理（ 突出強(qiáng)調(diào)賬號管理、權(quán)限管理、資源管理是在統(tǒng)一范圍集中解決。 無論是國內(nèi)還是國外，一般業(yè)內(nèi)都逐步認(rèn)同兩點(diǎn)：一是 4網(wǎng)絡(luò)和應(yīng)用安全的基礎(chǔ)設(shè)施；二是4一為數(shù)據(jù)網(wǎng)絡(luò)和支撐系統(tǒng)服務(wù)的公共設(shè)施。 4系統(tǒng)資源：支撐系統(tǒng)的所有設(shè)備，包括主機(jī)操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備（防火墻）等 應(yīng)用資源：支撐系統(tǒng)的所有上層應(yīng)用系統(tǒng) 集中賬號管理 集中賬號管理是 4 帳號管理用于在 中維護(hù)包括自然人（主帳號）和資源（從帳號）在內(nèi)的全部帳號，以及和帳號相關(guān)的、可在 4 集中賬號管理首先需要做的事情是將現(xiàn)有設(shè)備、應(yīng)用的賬號收集起來，集中管理，并將這些信息與自然人對應(yīng)起來。同時(shí)保證賬號管理具有一致性、準(zhǔn)確性、實(shí)效性和安全性。 有了賬號管理，企業(yè)員工和外圍人員就有了唯一的賬號，這種唯一性保證了認(rèn)證、授權(quán)、審計(jì)的可行性。 集中認(rèn)證管理 認(rèn)證是確認(rèn)訪問系統(tǒng)的用戶身份的手段，是進(jìn)入安全系統(tǒng)的第一道關(guān)卡。 認(rèn)證的方式或者手段：需要用戶提供相應(yīng)的憑據(jù) 所知：口令 所有：智能卡、動態(tài)口令發(fā)生器、數(shù)字證書、生物特征 當(dāng)前各系統(tǒng)都有自己的認(rèn)證功能，方式不是太少而是太多、太雜。因此次登錄）就成為認(rèn)證需要重點(diǎn)解決的問題。 集中授權(quán) 對用戶訪問的各種系統(tǒng)的各種資源進(jìn)行權(quán)限分配和訪問控制，即集中實(shí)現(xiàn)擁有某種權(quán)限的用戶，能夠以什么方式，訪問或者使用哪些資源。 授權(quán)公式 F（ O,T,P）： 決于訪問者的權(quán)限； 授權(quán)的粒度 實(shí)體級（設(shè)備、應(yīng)用的主體資源），實(shí)際上就是能夠做到權(quán)限與資源的 絡(luò)端口對應(yīng) 應(yīng)用級（實(shí)體內(nèi)部細(xì)粒度的資源），實(shí)際上就是對實(shí)體內(nèi)部各種資源的使用，例如可以控制到 記錄等 授權(quán)方式 訪問控制列表（ 基于角色的訪問控制（ 其他 集中審計(jì) 對 4限分配、登錄過程、資源訪問等等一些環(huán)節(jié)進(jìn)行記錄和檢查，從而發(fā)現(xiàn)其中存在的問題。 審計(jì)按照階段劃分可以分為事前和事后 事前審計(jì)：重點(diǎn)檢查對 4賬號逾期沒有收回、授權(quán)過渡或者不足等 事后審計(jì)：重點(diǎn)檢查是否存在利用假冒賬號嘗試登錄，試圖使用合法賬號訪問未經(jīng)授權(quán)的資源 集中審計(jì)要從賬號管理、認(rèn)證管理、授權(quán)管理系統(tǒng)收集相應(yīng)的日志文件，然后再進(jìn)行分析、比對，最終生成可識別、可判斷的報(bào)表。 從理論而言，審計(jì)是一個(gè)相對獨(dú)立的部分，即使沒有集中的賬號、認(rèn)證、授權(quán)管理，審計(jì)也可以實(shí)現(xiàn)。 ，及時(shí)發(fā)現(xiàn)異常 帳號管理 對應(yīng)用和系統(tǒng)內(nèi) 的帳號統(tǒng)一管理 單點(diǎn)登錄 一次登錄 全網(wǎng)通行 系統(tǒng)資源 應(yīng)用資源 4 4準(zhǔn)也多種多樣，因此 4提出相應(yīng)的解決辦法。 4何在統(tǒng)一框架下提供各種認(rèn)證方式，并且這種方式能夠與授權(quán)有機(jī)地結(jié)合起來。 當(dāng)前國際主流標(biāo)準(zhǔn) 全斷點(diǎn)標(biāo)記語言），是一種基于 要用于在 口令密碼、 支持 CA 擴(kuò)展訪問控制標(biāo)記語言 )，同樣是一種基于 一種標(biāo)識訪問控制策略的語言。 其他技術(shù)或者標(biāo)準(zhǔn) 4 4 展示層：通過 應(yīng)用層：由身份管理、認(rèn)證管理、授權(quán)權(quán)利、審計(jì)管理構(gòu)成，負(fù)責(zé)用戶主從帳號管理、認(rèn)證管理和調(diào)度、權(quán)限分配和控制、審計(jì)信息搜集和管理。 接口層：實(shí)現(xiàn)對資源層信息收集和權(quán)限管理，以及與第三方組件的信息交互。 資源層：系統(tǒng)資源和應(yīng)用資源 外部組件 認(rèn)證組件： A 數(shù)字證書；短信隨機(jī)碼 審計(jì)組件：獨(dú)立的第三方產(chǎn)品 賬號、權(quán)限、授權(quán)、審計(jì)的現(xiàn)狀 現(xiàn)狀 1：分散的、大量的、多樣的應(yīng)用和不同的系統(tǒng)管理員 現(xiàn)狀 2：分散的系統(tǒng)授權(quán)機(jī)制和授權(quán)管理 現(xiàn)狀 3：自然人身份和應(yīng)用系統(tǒng)帳號重疊 現(xiàn)狀 4：多系統(tǒng)的訪問頻繁切換都基于分散的帳號管理實(shí)現(xiàn) 問題 5：分散的審計(jì)，缺乏關(guān)聯(lián)分析和責(zé)任定位 4現(xiàn)狀梳理 系統(tǒng)改造 項(xiàng)目協(xié)調(diào) 4 A 同 時(shí) 側(cè) 重 于 系 統(tǒng) 和 應(yīng) 用 的 安 全 管 理和 審 計(jì) ， 與 傳 統(tǒng) 系 統(tǒng) 安 全 、 網(wǎng) 絡(luò) 安 全工 程 建 設(shè) 相 比 ， 具 有 層 次 更 深 、 范 圍更 廣 、 難 度 更 高 的 特 點(diǎn) 。非 系 統(tǒng) 安 全4 A 項(xiàng) 目 不 僅 需 要 自 身 支 持 ， 更 需 要 應(yīng)用 系 統(tǒng) 進(jìn) 行 接 口 定 制 開 發(fā) ， 不 是 一 個(gè)獨(dú) 立 性 工 程 。非 獨(dú) 立 工 程 44機(jī)、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備）和應(yīng)用系統(tǒng)，其發(fā)展和實(shí)現(xiàn)過程中必然有相應(yīng)的改造工作，因此 4步實(shí)現(xiàn)的原則。 第一階段：現(xiàn)狀梳理系統(tǒng)級授權(quán) 第二階段：應(yīng)用改造應(yīng)用級授權(quán) 第三階段：自身優(yōu)化流程簡化 第一階段：現(xiàn)狀梳理系統(tǒng)級授權(quán) 所有系統(tǒng)資源的賬號、權(quán)限信息保存在統(tǒng)一的 統(tǒng)一的 實(shí)現(xiàn)系統(tǒng)資源的單點(diǎn)登錄。 第二階段：應(yīng)用改造應(yīng)用級授權(quán) 應(yīng)用系統(tǒng)將其賬號、權(quán)限信息按照 4植到 4 4現(xiàn)與應(yīng)用系統(tǒng)的接口 實(shí)現(xiàn)應(yīng)用資源的單點(diǎn)登錄 第三階段：自身優(yōu)化流程簡化 各應(yīng)用資源不再存貯自身的賬號和權(quán)限信息 簡化和完善的賬號、認(rèn)證、授權(quán)、審計(jì)流程 具備較好的穩(wěn)定性與擴(kuò)展性 4安全管理 4括威脅管理、身份識別、訪問管理和安全審計(jì)等。 有效滿足法規(guī)、標(biāo)準(zhǔn)遵從性的要求， 集中化監(jiān)控和管理用戶，實(shí)現(xiàn)權(quán)限最小化，并通過權(quán)限管理流程，有效避免權(quán)限濫用。 實(shí)現(xiàn)用戶單點(diǎn)登錄 使用戶行為具備可追溯性 可以對所有目標(biāo)用戶行為進(jìn)行審計(jì)。 可以通過 新增用戶上線周期大大縮短， 安全性提高；系統(tǒng)整合 統(tǒng)一管理平臺 4術(shù)語 解釋 4帳號管理，授權(quán)管理，認(rèn)證管理，審計(jì)管理。 自然人 使用業(yè)務(wù)支撐網(wǎng)中資源的物理存在的人。 資源 自然人要訪問的業(yè)務(wù)支撐系統(tǒng)中實(shí)體，包括應(yīng)用資源和系統(tǒng)資源。 應(yīng)用 業(yè)務(wù)支撐系統(tǒng)中的一種資源類型，包括 營分析系統(tǒng)、 系統(tǒng) 業(yè)務(wù)支撐系統(tǒng)中的一種資源類型，包括主機(jī)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫、安全設(shè)備等。 主帳號 自然人在 4 從帳號 資源中的帳號。 帳號組 由主帳號或從帳號構(gòu)成的集合。 權(quán)限 資源訪問能力的標(biāo)識。 角色 資源中若干訪問權(quán)限的集合。 角色組 角色構(gòu)成的集合。 日志 資源對行為的記錄。 審計(jì) 針對各類資源操作行為進(jìn)行收集、分析、預(yù)警的過程。 息驗(yàn)證碼。 點(diǎn)登錄。