首頁>>廠商>>VoIP設備廠商>>亞信公司

淺析運營支撐系統(tǒng)的業(yè)務安全審計實現(xiàn)機制

2007/01/26

采樣這種技術的網(wǎng)絡審計產(chǎn)品，有著以下幾個關鍵技術：

1、通信數(shù)據(jù)的獲取

　　網(wǎng)絡審計產(chǎn)品必須通過某種方式獲取原始的通信數(shù)據(jù)，可以有兩種方式：

　　1) 在目標系統(tǒng)中安裝Sniffer軟件，對通信數(shù)據(jù)進行偵聽，并將偵聽來的數(shù)據(jù)傳遞給網(wǎng)絡審計產(chǎn)品進行進一步的分析和處理；

　　2) 利用網(wǎng)絡監(jiān)聽技術，直接獲取網(wǎng)絡交換機上的通信流量，進行分析和處理。

　　目前，絕大部分的網(wǎng)絡審計產(chǎn)品均采樣第二種方式。

2、對各種通信協(xié)議的解析

　　網(wǎng)絡審計的基本原理就是通過對通信數(shù)據(jù)的重組和分析，恢復出應用系統(tǒng)的應用層數(shù)據(jù)，然后對這些應用數(shù)據(jù)進行記錄、匹配和響應，因此，一個網(wǎng)絡審計產(chǎn)品往往要對若干種通信協(xié)議進行解析，并且具備一定的協(xié)議解析的擴展能力，能夠針對某些特定的通信協(xié)議，迅速地擴展支持能力。

　　例如，針對Unix系統(tǒng)的常用維護協(xié)議（Telnet、FTP、SSH等）進行解析，對數(shù)據(jù)庫操作協(xié)議（SQL協(xié)議）進行解析，對B/S或C/S類型的業(yè)務系統(tǒng)進行解析。

3、提供靈活、高效的匹配模型和方法

　　網(wǎng)絡審計系統(tǒng)需要面臨的幾乎是所有底層的通信數(shù)據(jù)，這這些信息量遠遠高于日志審計產(chǎn)品所面臨的信息量，這就要求網(wǎng)絡審計系統(tǒng)必須提供靈活、高效的匹配模型，在所解析恢復出來的海量的應用數(shù)據(jù)中，定位關鍵的信息，并對這些信息進行合理的組織和存儲。

　　同樣，上述三個關鍵技術，也成為運營商考察一個網(wǎng)絡審計產(chǎn)品的三個主要方面。

兩種審計技術的分析和比較

　　由于技術思路的不同，使得日志審計產(chǎn)品和網(wǎng)絡審計產(chǎn)品在很多方面存在著區(qū)別，下表給出了這兩類產(chǎn)品的比較和區(qū)別：

　　由于基于日志收集的審計系統(tǒng)原則上是基于目標系統(tǒng)的原始日志信息進行加工、整理，因此，這類審計產(chǎn)品并不會增加審計信息量，它更關注的是如何對原有的日志信息進行格式化和歸并，基于某種審計分析模型，提煉出核心的審計信息。

　　從這個層面講，基于日志收集的審計系統(tǒng)的功能難以保障系統(tǒng)的安全，而且也無法滿足事后的偵察和取證應用。并且安全審計并非日志功能的簡單改進，也并非等同主機入侵檢測，不能夠僅僅通過網(wǎng)絡抓包、還原就能夠達到審計效果。

　　基于網(wǎng)絡探測的審計系統(tǒng)原則上可以獲取所有的通信流量，可以審計記錄所有用戶關心的內容，因此，在審計信息量方面、審計粒度方面較基于日志收集的審計系統(tǒng)有很好的擴充。

　　但是，基于網(wǎng)絡探測的審計系統(tǒng)卻面臨如何解析多種通信協(xié)議，尤其是業(yè)務系統(tǒng)通信協(xié)議的難題，甚至在某些情況下，這類審計系統(tǒng)顯得有些力不從心，比如：基于Windows圖形界面、X-Window圖形界面的操作，對這類審計系統(tǒng)而言，就難以實現(xiàn)有效的操作審計。

　　正是因為這兩種審計技術都存在各自的優(yōu)缺點，因此，出現(xiàn)了綜合采樣兩種技術的“綜合型審計”的實際安全需求。以下將結合在運營商支撐系統(tǒng)領域的一些審計項目經(jīng)驗，重點介紹這方面的技術實現(xiàn)。

支撐系統(tǒng)安全審計需求

　　運營商業(yè)務支撐系統(tǒng)發(fā)展至今，應用系統(tǒng)、網(wǎng)絡設備、主機設備、操作系統(tǒng)、數(shù)據(jù)庫由諸多的供應商提供，涉及多層次、多廠家、多型號、多版本。數(shù)據(jù)方面涵蓋客戶資料、營業(yè)、計費、客服、管理諸多方面。在人員方面涉及各個系統(tǒng)供應商的技術支持人員、現(xiàn)場開發(fā)人員，內部系統(tǒng)管理人員，業(yè)務系統(tǒng)的使用人員。

　　結合現(xiàn)狀，以日志形式檢查操作行為已遠遠不能滿足關鍵業(yè)務支撐系統(tǒng)的發(fā)展需求。對各個系統(tǒng)缺乏集中統(tǒng)一的訪問審計，無法進行綜合分析，不能及時發(fā)現(xiàn)非法、違規(guī)行為。需要通過安全審計避免計費系統(tǒng)中的計費信息不被非法修改；保障核心客戶的信息是被拷貝、盜取；減少業(yè)務使用者、系統(tǒng)管理員、供應商越權訪問等問題。

　　從實際運維來看，內部系統(tǒng)維護人員、集成商、軟件開發(fā)商均需要登錄主機、數(shù)據(jù)庫進行系統(tǒng)維護和故障診斷。開發(fā)商需要通過遠程登錄、本地登錄進行軟件系統(tǒng)的開發(fā)、調試、故障診斷。可能帶來如下問題：越權訪問或越權修改系統(tǒng)信息、違規(guī)和誤操作、違反操作流程和管理規(guī)范、內外勾結獲取企業(yè)核心機密信息。

　　這些問題如果不能有效地解決，將給系統(tǒng)留下很大的安全隱患。面對如此復雜的支撐系統(tǒng)，運營商最需要解決的問題就是高效的監(jiān)督和管理。需要采用可用技術保證管理規(guī)范、操作規(guī)范的執(zhí)行力度，加強內部系統(tǒng)管理和供應商網(wǎng)絡行為的監(jiān)督；進一步規(guī)避BOSS、經(jīng)分、網(wǎng)管中面臨的來自設備層面、系統(tǒng)層面、應用層面、管理層面的安全風險。

　　《薩班斯法案》第404條款要求進行評價的內部控制包括針對與會計報表中所有重要科目和信息披露相關的所有會計認定所實施的內部控制，包括：

　　主要交易是如何啟動、授權、記錄、處理和報告在財務報告中；

　　用以防范或找出與重要賬戶、交易種類和披露相關的錯誤或舞弊的內部控制措施；

　　其它重要內控措施所依賴的內部控制，包括一般性控制，例如信息系統(tǒng)控制；

　　非經(jīng)常性、非系統(tǒng)交易或財務估計的內控措施；

　　財務報表關賬和匯總過程中的內控措施等等。

　　圍繞《薩班斯法案》第404條款的基本要求，結合運營商的業(yè)務支撐系統(tǒng)運維特點，面向業(yè)務系統(tǒng)的安全審計系統(tǒng)一般應具備以下功能：

　　針對主機、數(shù)據(jù)庫、安全設備、應用多個層次的操作，UNIX命令、數(shù)據(jù)庫SQL、安全設備Syslog、應用日志的細粒度審計；其中BOSS所有重要操作，特別是對財務報表有關的操作留有系統(tǒng)日志。

　　重要數(shù)據(jù)庫操作的審計主要包括數(shù)據(jù)庫進程運轉情況、繞過應用軟件直接操作數(shù)據(jù)庫的違規(guī)訪問行為、對數(shù)據(jù)庫配置的更改、數(shù)據(jù)備份操作和其他維護管理、對重要數(shù)據(jù)的訪問和更改、數(shù)據(jù)完整性等。

　　重要應用系統(tǒng)的審計主要針對BOSS、經(jīng)分、網(wǎng)管等。審計內容包括：業(yè)務系統(tǒng)正常運轉情況、用戶開設/中止等重要操作、授權更改操作、數(shù)據(jù)提交/處理/訪問/發(fā)布操作、業(yè)務流程等內容。

　　提供審計記錄、告警、實時阻斷多種控制措施，對于特別關鍵的業(yè)務、操作，提供原始記錄和審計憑證；

　　提供命令查詢、會話查詢、安全策略查詢等綜合查詢和報表，并可以通過“回放”對記錄的TCP會話進行事后重現(xiàn)；

　　多種審計/查詢手段和審計報告，能夠根據(jù)需要自行定義審計報表，以多種方式獲取系統(tǒng)的相關審計信息。

　　運行維護規(guī)范化、制度化，關鍵系統(tǒng)的維護操作的運行狀況、使用狀況可視化。

　　確保原有系統(tǒng)的正常運轉，盡量減少對原系統(tǒng)的擾動，盡可能使系統(tǒng)做最小修改，并對系統(tǒng)性能產(chǎn)生最小影響。

　　因此，針對運營支撐系統(tǒng)中的安全設備和網(wǎng)絡設備、應用系統(tǒng)和運行狀況進行全面的收集、分析、評估是保障網(wǎng)絡安全的重要手段。安全審計應當包括多方面、多層次，不是靠一套簡單產(chǎn)品就能夠全面覆蓋，需要建立實時、集中、可視化審計，有效/及時的審查系統(tǒng)究竟是不是違背安全策略，并及時定位安全隱患。

中國計費網(wǎng)(www.billingchina.com)