浅析省级BOSS系统安全认证审计解决方案.docx

BOSS系统是中国移动面向用户服务的综合性业务支撑系统，含有众多敏感数据。为了确保系统安全，部分省级公司实施了安全认证审计的综合安全解决方案，取得了比较好的效果。
目前绝大多数移动公司已经在网络级、系统级安全防护方面部署了相关的安全产品，但是这些是针对外部防护安全，而缺少在应用级安全防护措施，例如非授权用户访问、存在一部分公用账户、管理员对BOSS系统的管理维护和对数据的读写缺少审计日志等，因而有可能出现用户详单外泄或用户数据被篡改等事件发生后无法追查，进而给移动公司造成较大的经济损失和社会影响。为从根本上解决上述安全隐患，业内不少厂家提出了不同的解决办法，下面以某省移动公司为例介绍其采用的ACA（Authenti-cation Control Audit）安全认证解决方案。
针对该移动公司的业务运营支撑系统已部署的安全产品，结合目前的安全需求，该移动通信公司提出在BOSS系统上建立的安全审计认证系统必须具备如下功能：
1. 加强用户身份防护，防止合法用户身份轻易泄漏；
2. 实现对应用系统访问的操作过程进行审计；
3. 对业务运营支撑系统内重要业务主机之间的通信进行审计；
4. 及时对业务系统的非法操作和访问做出响应；
5. 为用户提供统一的远程维护登录接口，包括某些特殊情况下处理突发事件提供统一登录接口。
总体方案设计
通过分析该省业务系统现状及安全审计认证需求，决定采用以下技术方式实现。具体实现逻辑架构图如图1所示：

1. 在整个应用平台之前增加统一的身份认证安全模块，对系统管理员、操作员及厂商维护人员等内部合法用户身份进行认定。
2. 在整个应用平台之前增加统一的访问控制安全模块，结合系统管理员、操作员及厂商维护人员等内部合法用户的身份赋予其不同的访问权限并对其访问相关业务主机进行控制；
3. 在整个应用平台之前增加统一的应用审计安全模块，对系统管理员、操作员及厂商维护人员等内部合法用户访问相关业务主机的操作进行日志记录并提供事后的安全审计报告。
该移动公司业务系统安全产品的部署如图2所示。其中被保护的应用都通过直接或者是间接的方式接入BOSS系统核心交换机,并且两台核心交换机之间做了负载均衡。

● 为审计所有相关的数据，这里部署了两台ACA安全服务器，其抓报端口分别通过SPAN连接两台交换机上，这样就可以通过侦听、抓报的方式得到相关的数据，而且对原有系统不产生任何影响。
● 为了对合法用户进行身份认证，在业务运营支撑系统内部署了ACA管理中心，通过ACA管理中心可以为合法的用户（系统管理员、操作员、厂商开发人员等）发放相关的数字证书令牌。
● 通过部署ACA管理中心，我们可以对相关的合法用户（系统管理员、操作员、厂商开发人员等）进行访问授权，通过他们与ACA安全服务器的控制通信接口下发相关的访问授权策略，由ACA安全服务器进行相应的用户策略控制。
● 要进行操作审计的对象在ACA管理中心进行审计策略设置并下发到ACA安全服务器进行与策略相关的抓报审计工作，抓到的相关数据包提交到ACA审计中心并存储到相关的存储设备中以备事后审计。
● 当紧急事件发生时，如果管理员或开发厂商不在公司，需要用拨号的方式接入公司内网，进行系统维护，ACA系统可以支持如下解决方案：在核心交换机接入相关数量的堡垒主机来提供接入通道。
● 由于要对使用拨号方式访问公司内部业务主机的用户进行审计与控制，所有通过堡垒主机访问公司内部业务主机的所有数据流必须经过核心交换机，这样安全服务器就可以对其进行控制与审计。
系统构建
系统各主要组成部分及主要功能如下：
1．ACA安全服务器提供客户登录认证、权限控制、抓包日志记录、阻断非法连接等功能。
2．ACA管理中心提供主机与用户的登记和管理、主机与用户安全策略的管理、数据过滤管理、开放主机管理、信任客户IP管理、安全服务器策略管理、系统设置、安全服务器配置管理、实时监控管理、用户登录审计管理等功能。
3．ACA审计中心提供存储审计日志、IP包审计管理、数据库备份管理、查看导出数据等功能。
4．ACA客户端提供基于USB硬件的身份认证、用户授权依据、登录ACA安全服务器等功能。
ACA安全服务器部署在核心网络与其他网络的交汇处（路由器或交换机上），并接在网络设备上，网络设备将外来数据流SPAN（镜像）给ACA安全服务器。
ACA系统的审计数据存放在ACA审计中心服务器内，并通过ACA审计中心控制台对记录下来的审计日志进行处理。
ACA客户端是一套客户端软件和一个USB令牌，软件安装在客户端用户的PC上，插入USB令牌，登录ACA安全服务器进行认证，之后即可进行其正常的、权限内的业务操作。如果越权访问，将会断开连接，并返回“拒绝连接”的信息。
上述四个部分组成的系统，都是在网络层进行工作，不需要嵌入用户的业务系统，安装配置简单，应用环境要求少，极易进行测试、试用和广泛应用。
系统部署风险分析
由于安全服务器是通过SPAN并行接在网络中，所以用户数据流不是穿过该设备，而是旁路，安全设备只是监听数据流，对非法数据做出反应，即使安全设备死机也不会对用户业务造成影响（当然，此时的安全功能自然消失）。客户端系统只是用于与中心安全设备交互信息，与用户的业务系统毫无牵连。当中心端安全安全服务器不启用时，客户端用户也可正常操作其业务系统。所以，若遇意外情况要恢复原有系统，只需将安全服务器关机，即可立即恢复到原有网络状况。
为了让ACA系统的部署达到预期的目标，系统针对各种用户对相关业务的访问方式有针对性地添加了ACA系统访问控制策略，但不对所有策略生效，只对用户策略进行生效确保主机的通信可以正常。如果有意外情况发生，只需拆出ACA安全服务器与CISCO 4507之间的抓包线路即可恢复原有系统网络环境。
ACA系统部署完成后如有意外情况发生，断开ACA安全服务器的抓包连接，即可恢复原有业务运营支撑系统网络环境、应用环境。
解决方案特点
该BOSS系统安全认证审计方案具有如下特点：
1. 客户端采用USB令牌硬件作为身份证。由于以前的口令/用户名认证机制不便于管理，容易造成滥用，该安全系统采用硬件作为身份证，并可保证不被复制和读取，一旦出现丢失，管理员在中心可以马上进行作废处理。
2. 对系统管理员、操作员、厂商开发人员进行跨业务平台的集中审计审计管理员可以根据需要进行审计，从而大大增强了系统的审计能力，为事后的故障分析提供了充分的证据。
3. 集中管理访问授权便于控制。安全系统管理人员可以随时对每个客户端进行策略配置和修改，允许访问哪些服务器，不允许访问哪些，并可详细控制访问哪些端口号、哪些数据需要审计、是上行数据或下行数据、哪些网络需要保护、哪些客户端网络可以自由访问等。
4. 作为防火墙的补充，弥补防火墙的缺陷。防火墙只能基于远程主机（IP地址和端口号）进行控制，而不能针对操作人员本身进行权限控制，同时，防火墙的审计功能也很薄弱，ACA系统则能很好地解决这两个问题。
5. 对原有系统无影响。中心端的ACA安全服务器是并接在网络上的，用户数据流不是穿过该设备。若要恢复原有系统，只需将安全服务器关机，即可立即恢复到原有网络状况。
6. 自动切断非法访问。一旦发现非法连接，安全安全服务器自动发出切断信息给访问者和被访问者，断开该连接。弥补了其他安全系统的漏洞，进一步加强了系统的安全性。
7. 基于X.509数字证书的强身份认证。不论访问中心的哪个服务器，都需要到安全服务器进行认证，同时服务器本身的认证仍是需要的，这样更加强了系统的安全性。

通过对该省所采用的这套ACA系统在实际使用中的情况分析，已经证实该系统在BOSS系统的实际运行中起到了非常重要的安全保障作用。同时，该系统又是一套很好的跨平台的、绿色的安全管理系统。