上海东方CJ内控管理内网监控及数据库审计平台技术解决方案.docx

上海东方CJ内控管理内网监控及数据库审计平台技术解决方案.docx

《上海东方CJ内控管理内网监控及数据库审计平台技术解决方案.docx》由会员分享，可在线阅读，更多相关《上海东方CJ内控管理内网监控及数据库审计平台技术解决方案.docx（88页珍藏版）》请在冰豆网上搜索。

上海东方CJ内控管理内网监控及数据库审计平台技术解决方案

上海东方CJ内控管理内网监控及数据库审计平台技术解决方案

上海东方CJ

内控治理、内网监控及数据库审计平台

技术解决方案

上海络安信息技术

2021年02月

版权声明

上海络安信息技术是一家提供全面网络安全解决方案的咨询与服务为主的高科技企业，为中国宽敞的行业用户提供具有国际标准〔如ISO17799、ISO15408、BS7799等〕的网络安全全面解决方案及咨询服务，并向客户提供全面安全解决方案中所需的各项安全工具，及提供安全解决方案治理所需的治理决策平台、安全咨询、教育培训以及杰出的售后服务。

上海络安信息技术保留此文档的所有电子、纸张类文件资料和相关软件等的所有版权。

任何单位和个人未经许可不得复制、转载或用于任何商业目的，上海络安信息技术保留追究法律责任的权益。

文档修改日志

日期

修改理由

修改章节

版本

2021.02.07

原始版本

1.0

第一章项目综述

一.1项目背景

随着信息技术的不断进展和信息化建设的不断进步，办公系统、商务平台的不断推出和投入运行，信息系统在金融行业内部的运营中全面渗透。

而目前大部分企业系统治理员人数较少，不仅治理和爱护费时费劲，而且帐号或密码外泄、违规访问和操作、人为误操作等安全事件时有发生，也无法对安全事件进行有效的责任定位，这些都会对部门或者企业声誉造成重大阻碍，并严峻阻碍其经济运行效能。

如何提高系统运维治理水平，满足国家或企业内部相关标准要求，防止内部或外部的违规行为，降低运维成本，提供操纵和审计依据，越来越成为企业关怀的问题。

通过自动化的技术手段分别从物理层、网络层、应用层三个方面对公司内网的核心服务器群、网络及应用系统进行7×24小时全天候监测预警，通过连续对各项资源运行状况的监控，建立性能基线，发觉系统中的专门同时及时告警，以便快速作出应对措施，有力提高应用服务保证水平。

数据库的应用差不多十分广泛，深入到各个领域，但随之而来也产生了专门多数据的安全问题。

各种应用系统的数据库中大量数据的安全问题、敏锐数据的防窃取和防篡改问题，越来越引起人们的高度重视。

数据库系统作为信息的集合体，是运算机信息系统的核心部件，其安全性至关重要，关系到企业兴衰、成败。

因此，如何保证数据库自身的安全，已成为现代数据库系统的要紧评测指标之一。

上海东方希杰商务是做电子商务业务的，电子商务、电子贸易的着眼点集中于WEB服务器、Java和其它新技术的同时，应该记住这些以用户为导向和企业对企业的系统差不多上以Web服务器后的关系数据库为基础的。

它们的安全直截了当关系到系统的有效性、数据和交易的完整性、保密性。

系统拖延效率欠佳，不仅阻碍商业活动，还会阻碍公司的信誉。

不可幸免地，这些系统受到入侵的可能性更大，然而并未对商业伙伴和客户敏锐信息的保密性加以更有效的防范。

此外，ERP和治理系统，如ASPR/3和PeopleSoft等，差不多上建立在相同标准的数据库系统中。

无人治理的安全漏洞与时刻拖延、系统完整性问题和客户信任等有直截了当的关系。

因此，如何有效地保证数据库系统的安全，实现数据的保密性、完整性和有效性，差不多成为业界人士探究研究的重要课题之一。

一.2络安简介

上海络安的一站式运维服务立足于ITIL/ISO27001国际治理标准，集网络安全技术、产品和资深工程师为一体，向客户、合作伙伴提供增值、全面、完整的安全托管服务。

服务范畴包括全面的整体安全策略制定、定期、性能监控、流量监控、数据备份与复原、系统加固、"白客"攻击测试，安全配置、紧急响应、、7*24*365安全监控服务等。

依靠于上海络安为IDC托管用户提供的高质代维服务，企业可用心于网站要紧业务的运营。

上海络安致力于为企事业单位提供长远的、有效的信息服务解决方案，按需求提供一站式网络运维服务，不断降低企业运营风险水平和长期运营成本。

•上海络安是以提供全面IT咨询与网络运维服务为主的高科技企业。

•具有自主知识产权的安全监控软件，为各行业用户提供具有国际标准的网络安全全面解决方案及咨询服务。

•拥有强大的后端技术支持平台，严格的服务流程专业的工程队伍、完善的监控体系。

本公司优势：

•具完整咨询、设计、实施体会的服务能力

•BCP〔业务连续性打算〕和DRP〔灾难复原打算〕咨询服务能力

•量身订作的业务连续性打算咨询及实施打算

•企业容灾系统的架构设计

•客户应用系统数据移植、数据优化和数据治理

•大型容灾项目的实施体会

•跨平台的系统集成能力

•高素养的运维外包项目治理体会

•上海络安金桥IDC机房，提供专业IDC服务

服务资质：

•2020年公司获得高新技术企业和双软件企业的证书；

•2020年获得工信部〔工信部协[2020]42号〕互联网安全接入试点工作的上海市试点工作任务承担单位；

•2020年获得上海世博会信息安全保证应急响应支撑单位；

•2020年获得工信部颁发的运算机信息系统集成资质

•2020年荣获上海世博会信息安全保证工作优秀集体〔唯独一家企业单位〕

•2020年公司荣获上海市创新型企业称号

•2020年公司获得工信部颁发的信息安全应急处理服务资质

•2020年公司获得中国信息安全测评中心颁发的信息安全服务

•

•

•

第二章项目需求分析

二.1内控治理需求分析

上海东方希杰商务是一家电子商务公司，使用在线网上银行交易系统，因此对数据库的安全性较高。

企业数据中心拥有数量众多的Unix/Linux/Windows主机、网络设备、数据库服务器及必要的安全设备，用来支撑和保证电子商务、数据库应用、ERP和协同工作群件等的稳固、安全运行。

信息安全治理部门在对以上各种设备进行爱护和治理的过程中，面临着如下问题：

二.1.1爱护治理困难

大量设备和系统的爱护治理常常使得系统治理人员忙碌不堪，不同的IP地址登录、纷杂的帐号和密码经历等，经常导致爱护治理纷乱、不到位和误操作等问题显现；显现问题后，也无法及时发觉和处理，爱护治理效率低下。

因此，需要借助技术平台对设备和系统进行爱护治理，以提高治理效能，缓解系统治理人员压力。

二.1.2使用共享帐号的安全隐患

企业的支撑系统中的大量网络设备、主机系统和应用系统，分别属于不同的部门和不同的业务系统。

各系统都有一套独立的帐号体系，用户为了方便登录，经常显现多人共用帐号的情形。

多人共用一个帐号在带来方便的同时，也导致了用户身份唯独性无法确定。

发生问题后，无法准确定位恶意操作或误操作的责任人；假如其中有人离职或者将帐号信息外泄给其他无关人员，会使那个帐号的安全性无法保证。

此外，假如更换密码，那么需要通知所有需要使用此帐号的人员，使密码的治理工作复杂化。

二.1.3密码策略无法有效执行

为了保证密码的安全性，安全治理员制定了严格的密码策略，如密码要定期修改，密码要保证足够的长度和复杂度等，然而由于治理的机器数量和帐号数量太多，往往导致密码策略的实施流于形式。

二.1.4用户授权不清晰

设备多爱护人员少是目前大部分企业面临的一个共同问题，一个爱护人员可能会同时爱护治理多台设备，也就会同时兼任各种系统角色，这就造成了用户权限分配的纷乱性和不合理性，不合理和不清晰的用户授权使得系统的安全性无法得到充分保证。

二.1.5访问操纵策略不严格

目前，在网络治理中没有一个清晰的访问操纵列表，无法一目了然看到哪个用户能够以何种身份访问哪些关键设备，同时缺少有效的技术手段来保证访问操纵策略被有效执行。

二.1.6用户操作无法有效审计

各系统独立运行、爱护和治理，因此各系统的审计信息也是相互独立的。

每个网络设备，每个主机系统分别进行审计，安全事故发生后需要排查各设备、系统的日志，费时费劲；即使审计日志找到了，也专门难定位到行为人。

另外，各系统的日志记录能力各不相同，日记记录功能也都存在着一定的缺陷。

例如关于Unix系统来说，日志记录功能就存在以下问题：

◆Unix系统中，用户在服务器上的操作有一个历史命令记录的文件，然而用户能够随意更换和删除自己的记录；

◆root用户不仅仅能够修改自己的历史记录，还能够修改他人的历史记录，系统本身的历史记录文件差不多变的不可信；

◆记录的命令数量有限制；

◆无法记录操作人员、操作时刻、操作结果等详细内容；

二.2内网监控需求分析

二.2.1功能需求分析

上海东方希杰商务内网监测预警平台是针对主机、网络、应用、数据库的运行性能及安全状态进行监测的应用系统，必须满足如下要求：

1、集中运行治理

信息系统治理人员面对的往往是异构的治理对象和多种治理需求，假如没有一套统一、集成的治理系统，需要花费专门长时刻和精力学习治理技能，导致治理效率无法有效的提升，因此需具备统一监测、集中治理功能：

（1）解放人力，依靠智能化技术化的治理手段，降低故障发生率，降低爱护成本，并同时提高爱护效率。

（2）IT资源监测结果综合展现，排除各个监控工具之间各自为政、系统治理员在各个界面间频繁切换的情形，并通过统一的展现界面进行展现。

（3）统一的告警平台，建立性能基线，发觉系统专门并及时告警，将所有告警纳入监测治理平台，并通过短信、邮件统一告警。

（4）以业务的角度将传统的技术设备的治理整合到基于业务的治理平台上来，不仅能完成对设备监控的需求同时能满足依照业务的组成定位问题根源，定位性能瓶颈，推测业务进展趋势和稳固性。

（5）提供各种报表和视图，出现IT资源的运行状况和运行趋势。

（6）统一的中文界面，扫瞄器治理方式，能够多人同时通过扫瞄器进行访问和操作。

2、网络监测

监测预警平台针对网络故障和性能瓶颈等各种问题能实现网络流量、网络质量和网络拓扑治理功能：

（1）自动、准确地发觉网络的拓扑结构；

（2）可连续地监视、报告网络的运行情形；

（3）提供网络运行状态和性能的多角度分析与统计；

（4）对网络、安全设备告警事件进行采集和跨类型、跨厂商的分析。

3、主机系统监测

监测预警平台能够实现对各种服务器〔Linux、AIX、Windows2003等〕的监测治理，包括主机硬件、操作系统、文件系统、进程和应用等。

监测的重点是对操作系统关键指标，如CPU、内存、进程、文件系统等进行全面的监控治理，要求不仅能够在状态改变或性能指标超越门限时生成告警，同时还应该提供实时和历史的性能数据展现，并能够储存历史性能数据，以形成统计分析报表。

4、应用监测

监测预警平台能够全面智能的监测各种与Web应用相关的服务，如ApacheServer、MSIISServer、FTP、DNS、News、Weblogic等。

该监测基于TCP/IP协议族中的各种应用层协议〔、FTP、DNS等〕，不需要对被监测服务进行配置。

组合使用它们能够对WEB、Email、DNS、FTP、ERP、CRM、中间件等从应用可用性、系统资源占用和性能指标三个层面进行全面深入的监测治理，保证服务的可用性和性能。

5、数据库监测

监测预警平台能对Oracle、MS-SQL、MySQL、DB2等多种数据库从应用可用性、系统资源占用和数据库性能指标三个方面提供全面的监测治理策略，确保数据库的运行正常。

数据库监测要紧是对关键参数，例如文件储备空间、系统资源使用率、配置情形、当前的各种锁资源情形、进程状态、进程所占内存空间、缓冲区命中率、可用性等实现监测。

监测预警平台能够在数据库运行服务中断时捕捉问题信息，同时自动发送到告警操纵台，使系统治理员能够及时采取措施，幸免灾难性的事故。

二.2.2项目建设目标

通过上海东方希杰商务内网监测预警平台的建设，将做到IT系统故障早发觉、早解决，确保运算机系统、网络和应用的连续、可靠、安全运行，降低发生故障的可能性，提高IT系统运行治理水平和服务保证能力。

实现对各业务系统、应用程序、服务器、储备设备、网络系统、网络设备以及安全系统等的监测和治理，直截了当提供与应用相关的集中监测的能力、手段和工具。

具体目标如下：

1、面向基础设施的治理：

1〕全面治理系统资源：

提供对网络、主机、储备设备、安全设备、数据库、中间件及应用软件等IT资源的全面治理。

2〕智能化故障治理：

自动收集各种治理功能产生的故障事件，完成故障事件收集和自动告警等工作，以实现对故障的快速定位、处理。

3〕性能治理与优化：

对网络和应用等性能进行监控，定期提供性能报表和趋势表，为网络性能优化提供科学依据。

2、面向爱护治理者：

1〕运维服务治理：

实现日常运维工作的自动化；

2〕智能总控中心：

实时展现当前IT系统的运行状态及趋势，关心治理人员快速发觉问题，分析故障问题所在；

3、面向决策者：

综合报表：

对系统运行状况信息进行汇总，关心领导更全面的了解网络系统的运行状况和趋势，为领导决策提供科学依据。

二.2.3项目效益分析

通过预警监测平台建设和部署，能够实现如下积极和有益的目标：

建成提早预警、快速定位故障的综合监控系统，监测各种业务系统基础资源，如网络设备、数据库、服务器、中间件等，通过设定各个基础资源性能阀值，一旦触发性能阀值，就发出告警，同时以短信、声音、邮件等即时方式通知治理员，让治理员能够在众多的资源中提早定位故障源，把故障扼杀在萌芽之中，减少业务系统的故障风险。

建成规范、科学、灵活、符合用户使用适应的运维电子流程，转变过去手工无序的运维模式为主动可控有序的运维服务模式，让运维过程能够跟踪、审计、量化，通过规范的流程服务，减少运维成本的投入，提高运维效率，提升信息部门的运维形象，增强运维工作的阻碍力。

建成针对业务系统可用性的状态监控机制，对业务系统可用性进行实时监控，通过醒目颜色图标表示业务系统状况，起到直观整体掌控业务的状态，提高治理员运维的效率和提高业务系统无故障率，让业务系统真正无忧运行。

建成通过集中的治理平台，集中展现各种视图，如网络拓扑视图、业务拓扑视图、机房视图等等，能够起到治理多系统展现目的。

二.3数据库审计需求分析

上海东方希杰商务目前的业务系统中大多数关键数据均储备在数据库服务器中，这些关键的数据库系统也成为了公司信息系统和业务系统的心脏。

这些数据库中储存着诸如银行账户、订单信息、客户信息、生产或交易明细、产品资料等极其重要和敏锐的信息。

针对上海东方希杰商务的现状，我们总结了以下要紧风险和需求分析：

二.3.1数据库治理

Ø内部人员误操作、违规操作、越权操作，损害业务系统安全运行

内部人员的误操作、违规操作、越权操作缺少实时告警和阻拦机制，通常在事件发生后并造成严峻后果后才能被发觉，这时可能差不多对业务系统造成严峻阻碍。

因此，我们期望能够建立一套完善的实时告警机制，能对上述情形进行实时告警。

能够第一时刻排除潜在风险。

Ø多人公用一个帐号，责任难以分清

目前，只能通过简单的数据库访问日志查看相关人员的操作记录。

然而，因为爱护人员多使用相同爱护账号，专门难区分责任。

我们需要更为强大的审计工具，能够记录源地址、源应用程序、远程登录的OS主机名、OS主机账号等信息区分责任。

Ø第三方爱护人员的误操作，恶意操作和篡改

第三方人员的误操作、恶意操作、篡改、数据窃取也需要有系统能够监管。

目前缺乏对这些人员的监管。

Ø超级治理员用户操作难以监管和审计

超级治理员、特权用户都有着专门大的权限，目前缺少监管手段。

而且，有专门多数据库数据库治理员还能够访问和治理审计日志，这就明显违反了审计中权责分离的要求。

Ø数据库权限分配问题

数据库用户权限分配纷乱。

随着应用的不断增加和时刻的推移，存在大量给予过高权限的数据库用户和长期没有人使用的数据库账号，我们需要定期对这些数据库账号进行清理，严格遵照〝业务必须明白〞的最小原那么来进行数据库账号分配。

二.3.2技术风险

Ø数据库服务器操作系统漏洞攻击

我们需要定期针对数据库服务器操作系统进行安全漏洞扫描，确认其是否存在安全漏洞，并及时修补或者通过安全系统防护。

Ø数据库系统漏洞攻击

数据库系统本身的漏洞以及不安全、不合理的配置也需要定期进行扫描，并修补。

或者通过安全系统防护。

Ø离职职员留下后门

需要对用户权限进行及时治理；对专门的数据库访问进行及时分析和处理。

二.3.3审计风险

Ø审计日志缺失或不完整

目前只有部分数据库系统能够提供的审计日志，而这些审计日志专门不完整。

例如，缺少源程序的记录、数据库返回信息的记录、Bind参数的记录、等等。

而且因为在数据库系统上启用审计功能会大大阻碍现有数据库系统的性能，因此，大多数数据库系统并没有都启用审计功能。

Ø不同数据库的审计

目前公司内数据库系统越来越多、数据库的类型也不断增加，这为数据库系统审计的集中治理带来了相当大的挑战。

因为，数据库种类不同，自身的审计功能也不同，这为审计日志的查看带来相当大的困难。

同时，数据库数量的增加，又无法集中进行统一查看。

因此，我们需要采纳更为集中的、独立的、能够同时支持多种数据库平台、多个数据库的审计系统。

Ø审计独立性的问题

启用数据库自身的审计功能，既阻碍自身性能，又存在了严峻的审计独立性问题。

审计规范中要求数据库治理员和审计人员必须权责分离。

Ø安全事件难以追查和定位

目前的公司现状全然无法准确定位和最终相关数据库安全事件。

需要进行技术方案的优化和改进。

因此，我们建议上海东方希杰商务采纳Imperva专业的数据库安全方案，能够完满的应对上述风险和场景。

二.4平台性能需求分析

作为对企业内部各种服务器、网络设备和安全设备等核心资产的综合治理平台，除需要强大技术功能支撑外，系统本身也需要具有良好的性能，以保证正常、安全的对被管资源进行爱护和治理。

二.5自身安全性需求分析

作为内部服务器和网络设备的统一入口和集中治理平台，系统会成为非法用户攻击的重点，不管是系统的登录认证依旧数据的传输，都需要进行严格的操纵和爱护，防止恶意用户通过各种非法手段进入系统或篡改数据。

同时，也需要对进入系统的用户行为进行详细的审计，并对审计记录进行安全爱护，防止篡改审计记录的情形发生，以保证审计数据的有效性。

第三章Webcare智能网络监控软件解决方案

三.1系统架构设计

上海络安提供的Webcare智能网络监控软件解决方案，能解决已往对网络、服务器、数据库、中间件、应用系统等的分割化治理，将各类资源进行统一监控与预警，从而实现对资源的集中、统一、全面的管控，以满足规划、爱护、治理、审计的多方面要求的整合，实现规范化、细颗粒、标准化、流程化的统一业务信息监控治理平台能力，提升治理效率和服务水平。

上海络安的Webcare智能网络监控软件整体方案设计框架如以下图：

图1.系统架构

如上图，整个治理平台在保持技术的先进性、扩展性的基础上，采纳系统化、层次化、模块化的设计理念，提供和主流治理厂商产品的对接，通过开放的接口来连续集成，同时解决方案对系统的有用性、合理性进行完善，通过合理的层次和角色来降低系统的使用难度，提高运维的效率，推动项目的生命周期治理。

从整个系统层次上看，系统按照逻辑层次上划分为：

基础设施与业务系统数据采集层、监操纵数据代理与传输层和监控数据处理服务层，通过综合事件库将所有采集上来的各种性能数据、故障告警以及各种事件信息进行统一的分析、处理和储备。

基础设施与业务系统数据采集层要紧针对各类信息资源，包括基础架构的网络设备、服务器、操作系统、数据库、中间件、应用、文件系统以及各业务系统等差不多实体。

监控数据代理与传输要紧完成监控数据的上传和动态指令的下发，能够将基础设施监控系统所采集到的网络、IT资源和业务系统的运行信息、故障告警信息以及其他事件信息上传至综合事件库进行统一分析、整理、归类和储备。

而事件处理服务层实际完成基础设施和业务系统的数据分析、归并、处理、储备和展现功能，监控系统采集网络设备、服务器、操作系统、数据库、中间件、各种应用系统等性能、告警信息，通过各自的监控数据采集接口，通过代理与传输层上传给数据归并统计模块、通过统一性能分析和统一事件分析处理引擎、配置数据治理跟踪等功能模块，通过数据处理后，再为统一展现和处理提供数据支持。

统一事件分析引擎是大型治理平台的处理核心，是真正表达治理价值，提供完善运行服务的基础，系统应具备接入不同的基础监测系统的事件；利用事件规那么库进行事件的过滤压缩、关联分析，大大压缩告警数量，定位真正故障缘故；提供事件处理的策略，完成真正告警的通知和自动化处理；同时在此基础上提供业务关联性分析。

通过全面的展现和通知手段，使运行值班人员掌控各类IT系统运行状况，保证业务的稳固运行。

通过集中化的各种视图，为不同角色的人员提供完整的运维监控界面。

事件处理服务层具备事件接口，将从底层采集到告警数据与运维服务流程治理实现双向数据操作。

从监控治理系统，能够将告警事件信息传输给IT服务治理系统中的治理流程，由相应治理流程进行事件处理，事件处理完成之后，可通过接口传递给监控治理系统，对相应的事件状态进行同步。

上海络安依照多年治理系统的设计开发、项目实施和系统集成体会，在充分了解用户的现状，遵循了高度模块化设计、数据的采集与数据的分析分离、表示逻辑和处理逻辑分离、各个模块之间通过接口完成等最优设计原那么，所采纳的解决方案设计原那么完全贴合用户需求。

三.2关键功能简介

上海络安为本次项目提供的Webcare智能网络监控软件遵循IT综合运维平台一体化、标准化、高效性、扩展性等指导原那么，采纳先进的模块化建设理念来组织系统逻辑架构，使得系统间关系明确、流程清晰，功能界定准确，衔接紧密。

图2.Webcare智能网络监控软件操作界面

三.2.1集中式监控平台

Webcare智能网络监控软件能够实现对IT基础设施的所有监控，包含有基础架构的网络设备、服务器、操作系统、数据库、中间件、各种应用系统的监控治理，实现所有IT基础设施的集中式监控治理等功能，做到〝有故障、早发觉、早解决〞的建设思路。

Webcare智能网络监控软件定位于对网络和业务应用实施深入而全面的监控，提供高细粒度的全方位监控方案，保证业务应用健康有序的运行。

对监控对象提供基于〝性能基线〞的阀值告警机制，通过依照一段时刻的运行参数采集，系统自动把握信息系统在〝忙时〞和〝闲时〞的负荷情形，自动生成性能负荷基线，在超过〔或低于〕基线一定比例〔如15%〕为告警阀值，实现性能与故障监控的智能化，显著降低告警的误报比例，在为治理员提供了工具的同时，也提供了体会。

同时，以业务应用系统为主线，对业务应用提供〝人工感知式〞的可用性监测，系统自动模拟人工访问被监控的应用系统，从网站用户登陆-〉模拟操作-〉终止提出，全程掌控系统的可用性、服务响应时延等信息，从业务角度、〝端到端〞的保证服务的可用性。

通过底层监控平台，实现对IT基础设施的故障、性能、运行状态及服务可用性的监控，并提供统一的运行展现和故障告警，实现资源的集中监控。

通过统一事件平台处理机制，实现对各类告警的标准化、识别、过滤和关联分析，去伪存真，快速定位故障根源，并通过指定的告警方式〔如手机短信、邮件等〕及时通知到相关人员。

系统同时具备独立的告警通知平台，支持以短信猫或者短信接入平台的方式，实现以手机短信的方式故障告警发送。

三.2.2统一资源配置平台

Webcare智能网络监控软件的资源库〔ResourceDB〕采纳自动收集的手段，在提供设备实时CPU、内存、流量等性能数据的同时，还能提供设备的型号、厂商、责任人、联系方式、部门信息等等。

Webcare智能网络监控软件提供编辑工具，用户通过编辑工具，即可按照需建立资源与业务的关联关系，形成直观、易明白的资源展现视图。

通过自