4A統(tǒng)一安全管理平臺(tái)關(guān)鍵技術(shù)分析與評(píng)估

徐驍麟 中國(guó)信息通信研究院技術(shù)與標(biāo)準(zhǔn)研究所工程師

穆琙博 中國(guó)信息通信研究院技術(shù)與標(biāo)準(zhǔn)研究所工程師

宋菲 中國(guó)信息通信研究院技術(shù)與標(biāo)準(zhǔn)研究所工程師

朱曉云 中國(guó)信息通信研究院技術(shù)與標(biāo)準(zhǔn)研究所工程師

4A統(tǒng)一安全管理平臺(tái)關(guān)鍵技術(shù)分析與評(píng)估

徐驍麟 中國(guó)信息通信研究院技術(shù)與標(biāo)準(zhǔn)研究所工程師

穆琙博 中國(guó)信息通信研究院技術(shù)與標(biāo)準(zhǔn)研究所工程師

宋菲 中國(guó)信息通信研究院技術(shù)與標(biāo)準(zhǔn)研究所工程師

朱曉云 中國(guó)信息通信研究院技術(shù)與標(biāo)準(zhǔn)研究所工程師

互聯(lián)網(wǎng)時(shí)代，網(wǎng)絡(luò)空間安全上升到前所未有的高度，對(duì)網(wǎng)絡(luò)空間進(jìn)行全方位安全管控成為國(guó)家、行業(yè)、企業(yè)必須推進(jìn)和落實(shí)的重要工作。4A統(tǒng)一安全管理平臺(tái)在企業(yè)級(jí)安全管控中發(fā)揮著關(guān)鍵作用，其以身份認(rèn)證為核心，對(duì)企業(yè)網(wǎng)絡(luò)空間的賬號(hào)、認(rèn)證、權(quán)限和審計(jì)進(jìn)行統(tǒng)一管理。本文結(jié)合網(wǎng)絡(luò)空間安全需求，對(duì)4A平臺(tái)的架構(gòu)和關(guān)鍵技術(shù)進(jìn)行分析，并對(duì)國(guó)產(chǎn)典型4A平臺(tái)進(jìn)行綜合評(píng)測(cè)，以剖析實(shí)施4A管控方案的重點(diǎn)和難點(diǎn)。

4A；安全管理平臺(tái)；網(wǎng)絡(luò)空間；信息安全

1 引言

隨著互聯(lián)網(wǎng)在世界范圍的進(jìn)一步普及，基于網(wǎng)絡(luò)的應(yīng)用服務(wù)在各行各業(yè)深入發(fā)展，由此產(chǎn)生的安全問(wèn)題也愈演愈烈，安全事件所導(dǎo)致的嚴(yán)重后果和影響難以估量。近年來(lái)，我國(guó)將網(wǎng)絡(luò)空間安全提升到國(guó)家戰(zhàn)略層面，成立了中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組。習(xí)總書(shū)記指出，“網(wǎng)絡(luò)安全和信息化是事關(guān)國(guó)家安全和國(guó)家發(fā)展、事關(guān)廣大人民群眾工作生活的重大戰(zhàn)略問(wèn)題”，一方面要強(qiáng)化網(wǎng)絡(luò)優(yōu)勢(shì)加快促進(jìn)社會(huì)經(jīng)濟(jì)發(fā)展，另一方面要使網(wǎng)絡(luò)可管可控避免安全隱患。

4A統(tǒng)一安全管理平臺(tái)在網(wǎng)絡(luò)空間安全管控中占據(jù)著重要地位，發(fā)揮著關(guān)鍵作用。2002年，美國(guó)薩班斯法案生效，要求管理人員通過(guò)有效的技術(shù)手段能夠?qū)?nèi)部網(wǎng)絡(luò)進(jìn)行嚴(yán)格管理，控制、限制和追蹤用戶行為；2007年，由我國(guó)公安部、保密局、密碼管理局和國(guó)務(wù)院信息工作辦公室聯(lián)合印發(fā)的《信息安全等級(jí)保護(hù)管理辦法》及后續(xù)一系列標(biāo)準(zhǔn)也對(duì)相關(guān)安全工作做出了規(guī)定。由此，4A統(tǒng)一安全管理平臺(tái)的應(yīng)用得到了強(qiáng)有力的推動(dòng)和法律的保障。經(jīng)過(guò)前后二十多年的發(fā)展，4A從概念到實(shí)用化，逐漸成為保障網(wǎng)絡(luò)空間安全不可或缺的一環(huán)。

典型的4A統(tǒng)一安全管理平臺(tái)以身份認(rèn)證為核心，由統(tǒng)一賬號(hào)（Account）管理、統(tǒng)一認(rèn)證（Authentication）管理、統(tǒng)一權(quán)限（Authorization）管理、統(tǒng)一審計(jì)（Audit）管理4個(gè)主要部分構(gòu)成。它隔離了外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)，通過(guò)身份和權(quán)限認(rèn)證，既可以防護(hù)外部惡意入侵和攻擊，還可以監(jiān)控和審計(jì)內(nèi)部行為，對(duì)整個(gè)應(yīng)用環(huán)境進(jìn)行全方位管控。其管控范圍之廣、涉及人員之眾、技術(shù)類型之多樣、工作流程之復(fù)雜，都對(duì)平臺(tái)的部署、測(cè)試、運(yùn)行及維護(hù)帶來(lái)了極大的挑戰(zhàn)。

鑒于此，本文將圍繞4A統(tǒng)一安全管理平臺(tái)的關(guān)鍵技術(shù)進(jìn)行簡(jiǎn)要分析，并對(duì)典型4A系統(tǒng)開(kāi)展相關(guān)評(píng)測(cè)，以剖析實(shí)施4A方案中的難點(diǎn)和重點(diǎn)。

2 網(wǎng)絡(luò)空間4A需求分析

4A平臺(tái)是網(wǎng)絡(luò)空間安全保障體系的重要組成部分。當(dāng)前嚴(yán)峻的網(wǎng)絡(luò)安全形勢(shì)使得國(guó)家和企業(yè)對(duì)4A平臺(tái)的需求更加迫切，同時(shí)對(duì)4A平臺(tái)提供的安全保障能力也更加關(guān)注和期待。

2.1 網(wǎng)絡(luò)安全形勢(shì)不容樂(lè)觀

互聯(lián)網(wǎng)產(chǎn)業(yè)在社會(huì)經(jīng)濟(jì)活動(dòng)中深度融合發(fā)展使我國(guó)網(wǎng)絡(luò)空間安全形勢(shì)愈加嚴(yán)峻。據(jù)國(guó)家互聯(lián)網(wǎng)應(yīng)急中心發(fā)布的《2015年中國(guó)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全報(bào)告》所述，2015年共發(fā)現(xiàn)網(wǎng)絡(luò)安全事件超過(guò)12萬(wàn)起，同比增長(zhǎng)達(dá)125.9%。首屆中國(guó)互聯(lián)網(wǎng)安全領(lǐng)袖峰會(huì)發(fā)布的《CTO企業(yè)信息安全調(diào)查報(bào)告》顯示，超過(guò)45%的企業(yè)在3年內(nèi)發(fā)生過(guò)不同量級(jí)的信息安全事故，有23.9%的企業(yè)沒(méi)有信息安全團(tuán)隊(duì)。大量企業(yè)網(wǎng)站存在各種類型的漏洞，發(fā)生了多次嚴(yán)重的“拖庫(kù)”事件。IDC發(fā)布的報(bào)告顯示，網(wǎng)絡(luò)基礎(chǔ)設(shè)施已被全球性高危漏洞侵?jǐn)_，心臟流血漏洞威脅我國(guó)約3.3萬(wàn)臺(tái)服務(wù)器，Bash漏洞影響全球約5億臺(tái)服務(wù)器及相關(guān)網(wǎng)絡(luò)設(shè)備。這些都使我國(guó)基礎(chǔ)通信網(wǎng)絡(luò)、金融、工控等重要信息系統(tǒng)的安全面臨嚴(yán)峻挑戰(zhàn)。

2.2 亟需統(tǒng)一安全管理體系

大規(guī)模信息技術(shù)的應(yīng)用使得企業(yè)亟需統(tǒng)一化的安全管理體系來(lái)協(xié)同管控不同的業(yè)務(wù)系統(tǒng)。在多年的信息化建設(shè)后，企業(yè)內(nèi)部采用的信息系統(tǒng)逐漸多樣化，且具有較高的復(fù)雜度。一方面，每個(gè)獨(dú)立的信息系統(tǒng)都會(huì)根據(jù)業(yè)務(wù)需求配置一定的安全防護(hù)能力，這些安全模塊各自為陣、互不交互，呈現(xiàn)較高的冗余性和空白點(diǎn)；另一方面，不同的信息系統(tǒng)由不同的系統(tǒng)管理員維護(hù)，面對(duì)安全風(fēng)險(xiǎn)時(shí)往往要協(xié)調(diào)多個(gè)系統(tǒng)管理員處理，存在職責(zé)不清和業(yè)務(wù)不熟等問(wèn)題。這種分散的、分布式的信息系統(tǒng)架構(gòu)給安全管理帶來(lái)了諸多困難，也引入了潛在的安全風(fēng)險(xiǎn)。統(tǒng)一的安全管理體系應(yīng)能夠整合起所有信息系統(tǒng)的安全防護(hù)功能，通過(guò)統(tǒng)一的管理員、入口和工作流對(duì)身份和權(quán)限進(jìn)行管理、控制、認(rèn)證和審計(jì)。

2.3 增強(qiáng)安全架構(gòu)擴(kuò)展性

企業(yè)的持續(xù)發(fā)展和信息化水平的不斷提高要求安全平臺(tái)架構(gòu)具有較高的擴(kuò)展能力。在網(wǎng)絡(luò)空間擴(kuò)展、安全管控范圍擴(kuò)大、規(guī)模增加的情況下，應(yīng)避免安全管理平臺(tái)出現(xiàn)錯(cuò)漏甚至崩潰。這體現(xiàn)在兩個(gè)層面，分別是系統(tǒng)級(jí)擴(kuò)展和資源級(jí)擴(kuò)展。系統(tǒng)級(jí)擴(kuò)展面向應(yīng)用系統(tǒng)、安全系統(tǒng)和功能的增加場(chǎng)景，能夠集成、兼容網(wǎng)絡(luò)空間中的新系統(tǒng)和功能，從而保證系統(tǒng)在擴(kuò)展后仍然處于安全可控狀態(tài)。資源級(jí)擴(kuò)展面向資源、用戶數(shù)量的增加場(chǎng)景，能夠保證足夠的安全平臺(tái)擴(kuò)容空間，從而在集成新資源、提升用戶數(shù)量后仍然能夠高效處理新增安全管控需求。通過(guò)提升這兩個(gè)層面的擴(kuò)展能力來(lái)增強(qiáng)網(wǎng)絡(luò)空間安全保障的有效性和可用性。

2.4 提高管控平臺(tái)安全性

企業(yè)網(wǎng)絡(luò)空間安全的前提是安全管理平臺(tái)自身的安全可靠。4A平臺(tái)的安全性需求主要體現(xiàn)在數(shù)據(jù)安全和通信安全兩個(gè)方面。數(shù)據(jù)安全要求4A平臺(tái)在數(shù)據(jù)的生成、存儲(chǔ)和使用過(guò)程中應(yīng)嚴(yán)格遵守相關(guān)安全規(guī)范，要有清晰的數(shù)據(jù)操作日志，要有完善的數(shù)據(jù)備份和恢復(fù)機(jī)制。對(duì)于系統(tǒng)中的敏感數(shù)據(jù)，如用戶名、密碼等信息要采用適當(dāng)?shù)募用芊绞酱鎯?chǔ)，確保關(guān)鍵數(shù)據(jù)的完整性和可恢復(fù)性。通信安全要求4A平臺(tái)在內(nèi)部系統(tǒng)交互、數(shù)據(jù)傳輸過(guò)程中支持加密通信協(xié)議，防止信息被竊聽(tīng)和篡改。只有確保了4A平臺(tái)自身的安全性，才可能保證網(wǎng)絡(luò)空間的安全性。

34 A平臺(tái)架構(gòu)及關(guān)鍵技術(shù)

4A平臺(tái)面向信息系統(tǒng)的賬號(hào)、權(quán)限、認(rèn)證和審計(jì)等4個(gè)方面進(jìn)行統(tǒng)一管理，較高的安全性要求決定了其架構(gòu)、功能及工作流程具有較高的復(fù)雜度，這里分別從這3個(gè)角度進(jìn)行分析。

3.1 平臺(tái)架構(gòu)

總體來(lái)看，一個(gè)完整4A平臺(tái)的典型架構(gòu)如圖1所示，由5個(gè)層次構(gòu)成，分別為展現(xiàn)層、功能層、數(shù)據(jù)層、接入層、資源層。

（1）展現(xiàn)層

4A平臺(tái)采用B/S模式構(gòu)建，展現(xiàn)層以門(mén)戶形式集成了各項(xiàng)安全管控服務(wù)接口。面向管理員的門(mén)戶系統(tǒng)提供了對(duì)平臺(tái)的管理、維護(hù)、審計(jì)、查詢，以及對(duì)賬號(hào)的管理、授權(quán)、認(rèn)證等功能的可視化訪問(wèn)操作接口；面向操作員的門(mén)戶系統(tǒng)提供了對(duì)資源的接入管理、授權(quán)綁定等功能的可視化訪問(wèn)操作接口。展現(xiàn)層通過(guò)對(duì)各模塊的重新組織來(lái)適應(yīng)基本業(yè)務(wù)流程的變更，而不會(huì)對(duì)功能層和數(shù)據(jù)層產(chǎn)生影響。

（2）功能層

功能層是4A平臺(tái)的核心，提供了與4A安全管理相關(guān)的業(yè)務(wù)邏輯和子系統(tǒng)，包括統(tǒng)一的賬號(hào)、授權(quán)、認(rèn)證、審計(jì)管理等核心服務(wù)，也包括平臺(tái)安全性管理、應(yīng)急管理等增強(qiáng)型服務(wù)。縱向上，功能層向展現(xiàn)層暴露出各項(xiàng)服務(wù)的管理和應(yīng)用接口，提供業(yè)務(wù)邏輯和數(shù)據(jù)訪問(wèn)入口；從數(shù)據(jù)層獲取業(yè)務(wù)所需的數(shù)據(jù)結(jié)構(gòu)和數(shù)據(jù)處理能力，并將數(shù)據(jù)導(dǎo)入各服務(wù)模塊。橫向上，功能層與外部系統(tǒng)進(jìn)行互聯(lián)，負(fù)責(zé)與其他管理平臺(tái)的功能集成或聯(lián)動(dòng)。

（3）數(shù)據(jù)層

數(shù)據(jù)層以數(shù)據(jù)為中心，對(duì)4A平臺(tái)的各類數(shù)據(jù)進(jìn)行倉(cāng)庫(kù)式統(tǒng)一集中管理，包括數(shù)據(jù)基本管控、數(shù)據(jù)處理分析和數(shù)據(jù)災(zāi)備。數(shù)據(jù)的基本管控是指從接入層和功能層獲取用戶、資源相關(guān)信息，以及對(duì)信息的聚合、結(jié)構(gòu)化、持久化存儲(chǔ)等；數(shù)據(jù)的處理分析是對(duì)采集上來(lái)的數(shù)據(jù)進(jìn)行離線或在線、批量或流式的計(jì)算分析，按照業(yè)務(wù)邏輯要求向功能層提供必要的數(shù)據(jù)支持；數(shù)據(jù)災(zāi)備是對(duì)數(shù)據(jù)安全的重要保障，通過(guò)雙機(jī)熱備、鏡像存儲(chǔ)等方式來(lái)提高數(shù)據(jù)層的可用性和可靠性。

圖1 4A統(tǒng)一安全管理平臺(tái)系統(tǒng)架構(gòu)圖

（4）接入層

接入層是溝通4A平臺(tái)與應(yīng)用、資源的橋梁，是用戶訪問(wèn)應(yīng)用系統(tǒng)、資源設(shè)備的統(tǒng)一入口。通過(guò)接入層，主機(jī)、服務(wù)器、網(wǎng)管系統(tǒng)等設(shè)備可以無(wú)縫接入4A平臺(tái)，接受統(tǒng)一的安全管控，支持用戶的單點(diǎn)登錄；應(yīng)用系統(tǒng)同樣可以納入4A管控，在門(mén)戶系統(tǒng)中集成相應(yīng)入口，支持用戶的直接訪問(wèn)。

（5）資源層

廣義上，資源層是所有可以被納入4A管控體系的虛擬實(shí)體、物理實(shí)體等資源構(gòu)成的集合；狹義上，資源層是所有受4A平臺(tái)管控的應(yīng)用、設(shè)備的集合，這些資源由不同廠商開(kāi)發(fā)和生產(chǎn)，具備或不具備自身安全管控能力，對(duì)訪問(wèn)和其他操作有一定的鑒權(quán)需求。資源層中的實(shí)體應(yīng)當(dāng)具有一定兼容性和擴(kuò)展能力，以支持4A平臺(tái)的接入和集成。

3.2 核心功能

如上所述，4A平臺(tái)的核心是提供面向4個(gè)A的管理，即統(tǒng)一的賬號(hào)管理、統(tǒng)一的認(rèn)證管理、統(tǒng)一的權(quán)限管理及統(tǒng)一的審計(jì)管理，這里對(duì)這4個(gè)核心功能的關(guān)鍵點(diǎn)做一歸納。

（1）賬號(hào)（Account）

統(tǒng)一賬號(hào)管理是對(duì)包括系統(tǒng)主賬號(hào)、從賬號(hào)、賬號(hào)密碼策略、同步等功能在內(nèi)的全生命周期管理。4A平臺(tái)通過(guò)主賬號(hào)來(lái)標(biāo)識(shí)一個(gè)唯一的自然人，該類賬號(hào)可以為內(nèi)部系統(tǒng)員工賬號(hào)、系統(tǒng)運(yùn)維人員賬號(hào)、外部系統(tǒng)接入賬號(hào)等。從賬號(hào)為綁定具體資源的可被主賬號(hào)使用的接入賬號(hào)，通過(guò)主從賬號(hào)間的映射實(shí)現(xiàn)應(yīng)用或設(shè)備資源的登錄與操作。賬號(hào)信息包括與用戶身份識(shí)別相關(guān)的基本信息、與部門(mén)機(jī)構(gòu)相關(guān)的組織信息、與賬號(hào)可用性相關(guān)的時(shí)效信息等。

（2）認(rèn)證（Authentication）

統(tǒng)一認(rèn)證管理是對(duì)用戶登錄各信息系統(tǒng)過(guò)程進(jìn)行集中管控，維護(hù)認(rèn)證策略，根據(jù)用戶的身份標(biāo)識(shí)來(lái)鑒別用戶是否能登錄相關(guān)系統(tǒng)，并提供應(yīng)用系統(tǒng)和設(shè)備資源的單點(diǎn)登錄功能。在傳統(tǒng)的“用戶名—密碼”認(rèn)證方式基礎(chǔ)上，還可以集成短信動(dòng)態(tài)認(rèn)證、郵件認(rèn)證、智能卡、數(shù)字證書(shū)等多種高級(jí)認(rèn)證方式。對(duì)于不同安全等級(jí)的用戶或場(chǎng)景，可以自定義不同的認(rèn)證策略，也可以選擇多種認(rèn)證策略的協(xié)同。

（3）權(quán)限（Authorization）

統(tǒng)一權(quán)限管理是對(duì)用戶、角色、資源等一系列元素間關(guān)系的集中管控，維護(hù)“用戶—角色”、“角色—權(quán)限”、“權(quán)限—資源”的配置策略，控制用戶對(duì)應(yīng)用和資源的操作粒度。通過(guò)權(quán)限管理可以實(shí)現(xiàn)角色（組）、權(quán)限、資源（組）的創(chuàng)建、修改、查詢、刪除等基本控制操作，還可以實(shí)現(xiàn)權(quán)限綁定、角色綁定、資源綁定等授權(quán)操作。認(rèn)證管理和權(quán)限管理的結(jié)合構(gòu)成了平臺(tái)訪問(wèn)控制的基礎(chǔ)，通過(guò)認(rèn)證實(shí)現(xiàn)入口管控，通過(guò)授權(quán)實(shí)現(xiàn)內(nèi)部管控，從而達(dá)到全工作流程的安全控制。

（4）審計(jì)（Audit）

統(tǒng)一審計(jì)管理是對(duì)合法和非法用戶對(duì)各類應(yīng)用和資源的訪問(wèn)操作的記錄、統(tǒng)計(jì)和分析過(guò)程。通過(guò)對(duì)終端、主機(jī)、網(wǎng)絡(luò)設(shè)備的系統(tǒng)日志采集、自定義日志采集、網(wǎng)絡(luò)偵聽(tīng)等多種方式來(lái)獲取操作記錄，并通過(guò)相關(guān)數(shù)據(jù)和用戶行為的關(guān)聯(lián)分析實(shí)現(xiàn)敏感事件的統(tǒng)計(jì)和過(guò)濾，并具備高危事件的告警能力。平臺(tái)管理員可以自定義配置審計(jì)策略和報(bào)表規(guī)則，從而選取合適的審計(jì)模塊和報(bào)表模塊，在效率和精確性中做出權(quán)衡。

（5）安全性管理

平臺(tái)安全性管理模塊是對(duì)4A平臺(tái)自身安全性的增強(qiáng)，提供關(guān)鍵模塊間及跨平臺(tái)的加密通信功能，針對(duì)敏感數(shù)據(jù)的加密存儲(chǔ)和備份功能，采用VPN等安全遠(yuǎn)程訪問(wèn)通道。應(yīng)急管理功能是對(duì)4A平臺(tái)可用性的增強(qiáng)，提供在突發(fā)事故時(shí)的平臺(tái)可用性。應(yīng)急系統(tǒng)能夠（準(zhǔn)）實(shí)時(shí)同步主系統(tǒng)數(shù)據(jù)，在主系統(tǒng)損壞無(wú)法訪問(wèn)時(shí)臨時(shí)承擔(dān)部分安全管理功能。

3.3 關(guān)鍵業(yè)務(wù)流程

在上述核心功能中，起到關(guān)鍵作用的是主從賬號(hào)之間的映射、用戶單點(diǎn)登錄、用戶權(quán)限映射等3個(gè)主要業(yè)務(wù)。

（1）主、從賬號(hào)映射

主賬號(hào)與從賬號(hào)之間的映射決定了用戶可以通過(guò)哪些從賬號(hào)訪問(wèn)到哪些資源。在4A平臺(tái)運(yùn)行時(shí)，主、從賬號(hào)映射如圖2所示。

業(yè)務(wù)流程如下：

配置具有主、從賬號(hào)和資源管理權(quán)限的管理員賬號(hào)，通過(guò)此賬號(hào)登錄管理門(mén)戶。

創(chuàng)建/選擇用戶主賬號(hào)，配置主賬號(hào)信息。

創(chuàng)建/選擇從賬號(hào)，配置從賬號(hào)信息，并將從賬號(hào)同步至資源上。

進(jìn)入目標(biāo)主賬號(hào)配置界面，將上述從賬號(hào)綁定至該主賬號(hào)下，映射信息持久化存入數(shù)據(jù)庫(kù)。

由目標(biāo)主賬號(hào)登錄用戶門(mén)戶，通過(guò)上述從賬號(hào)測(cè)試訪問(wèn)應(yīng)用和資源。

（2）單點(diǎn)登錄

單點(diǎn)登錄使得用戶對(duì)多應(yīng)用、多資源的訪問(wèn)更加便捷和安全。在通過(guò)主賬號(hào)登錄認(rèn)證后，即可操作所有已被授權(quán)的應(yīng)用資源；在登出當(dāng)前主賬號(hào)后，所有相關(guān)應(yīng)用資源即同步登出。單點(diǎn)登錄如圖3所示。

業(yè)務(wù)流程如下：

用戶通過(guò)主賬號(hào)登錄門(mén)戶系統(tǒng)。

統(tǒng)一認(rèn)證管理模塊鑒別登錄請(qǐng)求合法性及信息的正確性。

登錄成功后獲得訪問(wèn)令牌，在令牌有效期內(nèi)選擇從賬號(hào)直接訪問(wèn)所有已授權(quán)應(yīng)用資源。

令牌失效后，發(fā)出的訪問(wèn)請(qǐng)求被鑒別為非法，無(wú)法繼續(xù)訪問(wèn)資源，可通過(guò)重新登錄再次獲取。

登出系統(tǒng)后，設(shè)置令牌為失效狀態(tài)或?qū)⑵鋭h除。

（3）用戶、角色、權(quán)限映射

圖2 4A平臺(tái)主、從賬號(hào)映射流程示意圖

圖3 4A平臺(tái)用戶單點(diǎn)登錄流程示意圖

權(quán)限映射是實(shí)現(xiàn)訪問(wèn)控制至關(guān)重要的一步，通過(guò)對(duì)權(quán)限的細(xì)粒度劃分，實(shí)現(xiàn)用戶對(duì)資源訪問(wèn)操作的細(xì)粒度控制。用戶、角色、權(quán)限3者的映射如圖4所示。

圖4 4A平臺(tái)用戶、角色、權(quán)限映射流程示意圖

業(yè)務(wù)流程如下：

配置具有用戶、角色、權(quán)限管理權(quán)限的管理員賬號(hào)，通過(guò)此賬號(hào)登錄管理門(mén)戶。

創(chuàng)建角色，給該角色配置功能模塊權(quán)限，實(shí)現(xiàn)角色與權(quán)限綁定。

選取主賬號(hào)，將上述角色分配給該主賬號(hào)，實(shí)現(xiàn)用戶與角色綁定。

用戶通過(guò)上述主賬號(hào)登錄門(mén)戶系統(tǒng)，可執(zhí)行綁定角色所具備權(quán)限的操作。

更新用戶、角色綁定或角色、權(quán)限綁定后，可（準(zhǔn)）實(shí)時(shí)反饋至當(dāng)前會(huì)話中。

4 典型4A平臺(tái)評(píng)估

當(dāng)前4A統(tǒng)一安全管理平臺(tái)已基本實(shí)現(xiàn)國(guó)產(chǎn)化，為了深入了解國(guó)產(chǎn)4A平臺(tái)的發(fā)展現(xiàn)狀，選取5個(gè)典型平臺(tái)進(jìn)行評(píng)測(cè)，重點(diǎn)關(guān)注4A平臺(tái)的基本功能，同時(shí)關(guān)注不同4A平臺(tái)在功能和性能表現(xiàn)上的差異。

4.1 評(píng)測(cè)項(xiàng)目及標(biāo)準(zhǔn)

此次評(píng)測(cè)覆蓋4A平臺(tái)共7個(gè)大類的功能項(xiàng)和4個(gè)大類的性能項(xiàng)，具體參見(jiàn)表1。這些測(cè)試項(xiàng)可進(jìn)一步細(xì)化成共計(jì)49項(xiàng)功能項(xiàng)和8項(xiàng)性能項(xiàng)，針對(duì)這57個(gè)測(cè)試項(xiàng)對(duì)所選取的4個(gè)典型4A平臺(tái)逐一進(jìn)行評(píng)測(cè)。

功能測(cè)試范圍為：賬號(hào)管理、權(quán)限管理、認(rèn)證管理、訪問(wèn)控制、審計(jì)管理、安全性管理、應(yīng)急管理。

評(píng)測(cè)結(jié)果分為：通過(guò)、不通過(guò)。

性能測(cè)試范圍為：用戶并發(fā)、響應(yīng)時(shí)間、實(shí)時(shí)性、穩(wěn)定性。

評(píng)測(cè)結(jié)果分為3個(gè)檔次：通過(guò)、不通過(guò)、比較項(xiàng)。

在評(píng)測(cè)過(guò)程中，允許對(duì)系統(tǒng)進(jìn)行一定調(diào)試，在調(diào)試后仍然不能滿足要求的，該步驟將被判定為不通過(guò)，受此影響，該測(cè)試項(xiàng)會(huì)被判定為不通過(guò)項(xiàng)。

4.2 評(píng)測(cè)結(jié)果及分析

（1）功能評(píng)測(cè)結(jié)果

功能測(cè)試總體結(jié)果如表2所示。

按照通過(guò)項(xiàng)數(shù)量分類，5個(gè)4A平臺(tái)劃分為3個(gè)梯隊(duì)，第一梯隊(duì)（A）平臺(tái)通過(guò)了全部的功能測(cè)試，第二梯隊(duì)（B、C、D）平臺(tái)存在少數(shù)不通過(guò)項(xiàng)，第三梯隊(duì)（E）平臺(tái)存在大量不通過(guò)項(xiàng)。由此可以看出，不同國(guó)產(chǎn)4A平臺(tái)在功能完備性上存在顯著差距，部分平臺(tái)未能覆蓋主要工作流程，甚至缺少關(guān)鍵功能模塊。

為進(jìn)一步探究4A平臺(tái)的功能缺陷主要集中在哪些模塊，分析了通過(guò)項(xiàng)和不通過(guò)項(xiàng)在各測(cè)試大項(xiàng)中的分布情況。經(jīng)過(guò)調(diào)試后通過(guò)項(xiàng)集中在前3個(gè)大項(xiàng)中，即賬號(hào)管理、權(quán)限管理、認(rèn)證管理，特別是在涉及到賬號(hào)生命周期管理和資源接入時(shí)，存在較多的不穩(wěn)定狀態(tài)，需要進(jìn)行多次調(diào)試才能繼續(xù)測(cè)試。不通過(guò)項(xiàng)在各測(cè)試大項(xiàng)中均有所分布，特別是D平臺(tái)在功能完備性的各方面都較弱。

表1 4A平臺(tái)評(píng)測(cè)項(xiàng)范圍及判定標(biāo)準(zhǔn)

表2 4A平臺(tái)功能項(xiàng)評(píng)測(cè)結(jié)果

（2）性能評(píng)測(cè)結(jié)果

性能評(píng)測(cè)在功能評(píng)測(cè)基礎(chǔ)之上展開(kāi)，測(cè)試數(shù)據(jù)未達(dá)到預(yù)設(shè)值的性能項(xiàng)判定為不通過(guò)，不具備所需功能項(xiàng)的性能項(xiàng)也判定為不通過(guò)，對(duì)并發(fā)數(shù)和響應(yīng)時(shí)長(zhǎng)數(shù)據(jù)進(jìn)行歸一化處理。4A平臺(tái)性能項(xiàng)評(píng)測(cè)結(jié)果參見(jiàn)表3。

可以看出，絕大多數(shù)平臺(tái)都順利通過(guò)判定項(xiàng)測(cè)試，B、C兩個(gè)平臺(tái)因部分功能缺失和數(shù)據(jù)不達(dá)標(biāo)而產(chǎn)生不通過(guò)項(xiàng)。并發(fā)性體現(xiàn)了4A平臺(tái)在（性能可接受前提下）所能承受的最大負(fù)載量，越大的并發(fā)性說(shuō)明平臺(tái)能承受越大的負(fù)載壓力。對(duì)比各平臺(tái)的并發(fā)數(shù)據(jù)，D平臺(tái)具有最高的并發(fā)性能，C平臺(tái)并發(fā)性最差，A、B、E平臺(tái)處于同一水平線。響應(yīng)時(shí)間體現(xiàn)了4A平臺(tái)處理事務(wù)的效率，越短的響應(yīng)時(shí)間體現(xiàn)了平臺(tái)具有較高的處理能力。對(duì)比各平臺(tái)的響應(yīng)時(shí)長(zhǎng)數(shù)據(jù)，B平臺(tái)具有最短的響應(yīng)時(shí)間，因此具有最好的事務(wù)處理能力，C平臺(tái)的響應(yīng)時(shí)間最長(zhǎng)，E平臺(tái)與C平臺(tái)處于同一水平線。穩(wěn)定性體現(xiàn)了4A平臺(tái)在長(zhǎng)時(shí)間大負(fù)載壓力下的性能維持情況，如果在測(cè)試中出現(xiàn)會(huì)話斷開(kāi)的情況認(rèn)為不穩(wěn)定。C平臺(tái)在12h壓測(cè)中的掉線率為3.4%，為評(píng)測(cè)中唯一出現(xiàn)會(huì)話斷開(kāi)的平臺(tái)。

比較功能評(píng)測(cè)和性能評(píng)測(cè)結(jié)果，由于各4A平臺(tái)采用的架構(gòu)和實(shí)現(xiàn)技術(shù)的差異，部分在功能測(cè)試中表現(xiàn)優(yōu)異的平臺(tái)，在性能評(píng)測(cè)中取得的結(jié)果卻并不理想。因此，在設(shè)計(jì)4A平臺(tái)過(guò)程中，應(yīng)全面考慮功能需求和性能需求，避免由復(fù)雜結(jié)構(gòu)和工作流程所導(dǎo)致的潛在性能瓶頸。

4.3 存在的主要問(wèn)題

從整體來(lái)看，國(guó)內(nèi)主流的成熟4A平臺(tái)基本實(shí)現(xiàn)了功能覆蓋，基于不同業(yè)務(wù)模式和處理流程達(dá)到了統(tǒng)一安全管控的目的。但是，各個(gè)平臺(tái)之間在性能、易用性、可靠性等方面還存在一定差距，也存在一些共同問(wèn)題，值得進(jìn)一步探討和改進(jìn)。具體可以從以下幾個(gè)方面持續(xù)進(jìn)行完善：

表3 4A平臺(tái)性能項(xiàng)評(píng)測(cè)結(jié)果

（1）加強(qiáng)4A平臺(tái)標(biāo)準(zhǔn)化建設(shè)

標(biāo)準(zhǔn)化是對(duì)4A平臺(tái)外部特性和內(nèi)部特性的規(guī)范，同時(shí)也是對(duì)企業(yè)采用4A平臺(tái)行為的規(guī)范。以中國(guó)移動(dòng)、中國(guó)聯(lián)通為代表的一些大型企業(yè)已經(jīng)或正在制定相關(guān)的企業(yè)標(biāo)準(zhǔn)，這在一定程度上能夠促進(jìn)4A平臺(tái)標(biāo)準(zhǔn)化建設(shè)。但從整體上看，4A平臺(tái)的標(biāo)準(zhǔn)化依然任重而道遠(yuǎn)。

（2）提高兼容性

4A平臺(tái)在網(wǎng)絡(luò)空間中的獨(dú)特地位要求其必須具有較強(qiáng)的兼容性，以保障不同型號(hào)設(shè)備的可靠接入和各種類型軟件的有效集成。對(duì)典型4A平臺(tái)的評(píng)測(cè)顯示，應(yīng)用和設(shè)備接入兼容性是一個(gè)普遍存在的軟肋，這將是4A平臺(tái)在今后發(fā)展中值得重點(diǎn)關(guān)注的一個(gè)地方。

（3）改善易用性

4A平臺(tái)的用戶類型多樣，用戶需求也不盡相同，這對(duì)平臺(tái)的易用性提出了較高要求。平臺(tái)界面應(yīng)發(fā)揮有效的人機(jī)交互接口作用，使用戶便于理解相應(yīng)的功能；平臺(tái)操作流程應(yīng)統(tǒng)一、流暢，避免易產(chǎn)生誤解和誤操作的冗余過(guò)程。部分4A平臺(tái)仍需對(duì)這兩個(gè)方面進(jìn)行改善。

（4）持續(xù)優(yōu)化技術(shù)路線

當(dāng)前，針對(duì)網(wǎng)絡(luò)空間的攻擊和入侵手段日益復(fù)雜。作為多種安全保障技術(shù)的集大成者，4A平臺(tái)必須持續(xù)優(yōu)化技術(shù)路線，不斷引入新的安全機(jī)制和策略，通過(guò)不斷的技術(shù)集成和更新來(lái)確保4A平臺(tái)對(duì)網(wǎng)絡(luò)空間的有效和可靠地防護(hù)。

5 結(jié)束語(yǔ)

在安全威脅日益嚴(yán)重的今天，保障網(wǎng)絡(luò)不受非法入侵和使用成為一個(gè)企業(yè)必須關(guān)注和解決的一個(gè)重要課題。作為保障企業(yè)網(wǎng)絡(luò)空間安全的關(guān)鍵組件，4A統(tǒng)一安全管理平臺(tái)能夠識(shí)別用戶身份，設(shè)置和驗(yàn)證用戶權(quán)限，安全接入終端設(shè)備，監(jiān)控和審計(jì)操作流程，通過(guò)一系列工作流來(lái)管控人、機(jī)、物的行為模式、規(guī)范性和安全性。一個(gè)成熟的4A平臺(tái)，在滿足必要功能的同時(shí)，還應(yīng)當(dāng)滿足一定的性能要求，通過(guò)性能的提升來(lái)增強(qiáng)系統(tǒng)的抗壓能力和防攻擊能力，從而進(jìn)一步提高網(wǎng)絡(luò)空間安全防護(hù)水平。未來(lái)，可以通過(guò)推進(jìn)標(biāo)準(zhǔn)化建設(shè)、持續(xù)集成新技術(shù)與新應(yīng)用、關(guān)注易用性與兼容性等方式來(lái)強(qiáng)化4A平臺(tái)的研發(fā)與部署，以更穩(wěn)定、更可靠、更高效地履行自身職責(zé)，保障網(wǎng)絡(luò)空間安全。

[1]http∶//www.venustech.com.cn/Case/181/120.Html.

[2]http∶//www.ecdoer.com/post/cmcc-boss-bass-bomc-vgop. html.

[3]姜泓.中國(guó)移動(dòng)4A管理平臺(tái)的測(cè)試研究與實(shí)踐[D].南京：南京郵電大學(xué),2013.

[4]劉竑宇.4A安全平臺(tái)在管理信息系統(tǒng)中的部署和實(shí)現(xiàn)[D]西安：西安電子科技大學(xué),2013.

[5]馮志杰,檀鵬.基于SOA架構(gòu)的業(yè)務(wù)支撐網(wǎng)4A系統(tǒng)設(shè)計(jì)[A].中國(guó)通信學(xué)會(huì)信息通信網(wǎng)絡(luò)技術(shù)委員會(huì).中國(guó)通信學(xué)會(huì)信息通信網(wǎng)絡(luò)技術(shù)委員會(huì)2009年年會(huì)論文集（上冊(cè)）[C].中國(guó)通信學(xué)會(huì)信息通信網(wǎng)絡(luò)技術(shù)委員會(huì),2009∶5.

Keytechnologies analysis and evaluation of 4Aplatforms

XUXiaolin，MUYubo，SONGFei，ZHUXiaoyun

In the Internet era, the network space security has raised to an unprecedented height. The full range of securitymanagement and control of the network space has become an important work that nationals, industries, and enterprises have topromote and implement. The 4A unified security management platform plays a key role in the security management on anenterprise level. It makes identity authentication as the core, managing accounts, authentication, authorization, and auditwithin a unified form. In this paper,weanalyze the architecture and key technologies of the 4Aplatform by combining with thenetwork space security requirements, and evaluate some typical 4Aplatforms comprehensively in order to indicate the keyand difficult points during the implementation of future4Aprojects.

4A；securitymanagementplatform；networkspace；informationsecurity

2016-11-20）