淺談高校關(guān)于數(shù)據(jù)中心安全運維的方法

劉小云

摘要：伴隨著信息化產(chǎn)業(yè)發(fā)展，信息化建設(shè)成為高校突破傳統(tǒng)管理，推動現(xiàn)代化治理的新動力。另外，大數(shù)據(jù)時代開啟了新的變革，為促進(jìn)高校發(fā)展的方式是充分利用互聯(lián)網(wǎng)、物聯(lián)網(wǎng)等信息化手段，有機(jī)地將學(xué)生的學(xué)習(xí)、生活和教師的工作相融合，更加有效快速地為師生服務(wù)，發(fā)展智慧校園的模式[1]。值得探討的是，在當(dāng)今信息安全事故頻發(fā)的背景下，信息化建設(shè)帶來發(fā)展的同時，安全運維人員對各類主機(jī)資源、應(yīng)用系統(tǒng)的管理及數(shù)據(jù)安全的治理也提出巨大的挑戰(zhàn)，安全運維形勢越來越嚴(yán)峻。利用運維審計設(shè)備這個統(tǒng)一的運維中樞，幫助運維人員高效完成運維工作，做到有效的事前預(yù)防、事中監(jiān)管及事后審計，實現(xiàn)運維操作全生命周期的管控與審計。另外，做到等保2.0要求，保證操作的合法合規(guī)，保障主機(jī)、業(yè)務(wù)及數(shù)據(jù)安全，滿足高校安全管理需求。

關(guān)鍵詞：安全運維;數(shù)據(jù)安全;堡壘機(jī)

隨著信息技術(shù)不斷發(fā)展，部門的各類業(yè)務(wù)及應(yīng)用逐步走向線上。推進(jìn)數(shù)據(jù)中心發(fā)展，加快推進(jìn)移動校園建設(shè)、完善智慧校園基礎(chǔ)建設(shè)和應(yīng)用拓展，構(gòu)建一個“看得見”的信息化校園是高校發(fā)展目標(biāo)。信息系統(tǒng)的使用給全校師生帶來極大便利，教師辦公教學(xué)由傳統(tǒng)的紙質(zhì)走向線上辦公及線上教學(xué)，微課及精品課程的建設(shè)讓教育教學(xué)方式越來越豐富多樣化;學(xué)生通過線上進(jìn)行選課，自由選擇學(xué)習(xí)內(nèi)容及對教師進(jìn)行評測。信息系統(tǒng)的發(fā)展促進(jìn)高校教育教學(xué)和辦公，但由此帶來的安全運維問題不容小覷。信息系統(tǒng)存在的安全問題包括運維人員如何對主機(jī)安全進(jìn)行管控，集成商運維人員或原廠商運維人員如何授權(quán)管理，全校師生的基本信息，學(xué)生的成績信息、學(xué)籍信息等數(shù)據(jù)安全如何保障，如何通過有效的運維審計，做到事前和事中管控以及對事后的回溯追責(zé)是本文要討論的內(nèi)容。通過使用運維審計設(shè)備統(tǒng)一進(jìn)行賬戶管控，在事中監(jiān)控運維人員的整個運維操作，事后通過錄像查看、命令檢索、操作定位等方式對記錄的日志進(jìn)行分析，可以高效便捷地進(jìn)行事件的回溯及追蹤。

1 傳統(tǒng)的安全運維方式所帶來的弊端

傳統(tǒng)的運維方式主要通過遠(yuǎn)程接入服務(wù)器，數(shù)據(jù)中心信息系統(tǒng)所面臨的安全問題有以下幾個方面。

1.1 系統(tǒng)賬號及密碼管理不嚴(yán)格

在運維過程中，由于部分信息系統(tǒng)存在多個運維技術(shù)人員。對于人員相對復(fù)雜的情況下，這些廠商技術(shù)保障人員使用同一個賬號對系統(tǒng)運維，造成校內(nèi)安全技術(shù)人員很難精確識別訪問者身份。當(dāng)出現(xiàn)安全問題時，很難追蹤到實際操作人。另外，由于密碼的復(fù)雜度高就難以記憶，定期修改密碼帶來的工作量也大，因此系統(tǒng)維護(hù)人員常忽視對密碼的管理，弱密碼、弱口令普遍存在。

1.2 系統(tǒng)授權(quán)管理不合理

由于缺乏對后期應(yīng)用系統(tǒng)的追蹤，對系統(tǒng)具體的部署情況不清楚，對資源進(jìn)行授權(quán)時，僅僅依靠操作系統(tǒng)的應(yīng)用體系來授權(quán)，缺少資源實施層面的授權(quán)管理，導(dǎo)致無法基于最小授權(quán)分配原則管理用戶權(quán)限。另外，很多系統(tǒng)沒有真正實現(xiàn)“三員管理”，忽略審計管理員及安全管理員，僅僅利用系統(tǒng)管理員管理整個應(yīng)用系統(tǒng)。這種過于粗放的授權(quán)管理極不利于應(yīng)用系統(tǒng)安全。

1.3 訪問控制管理過于粗放

目前，我們對應(yīng)用系統(tǒng)的管控基本都停留在通過設(shè)置訪問控制策略來限制對應(yīng)用系統(tǒng)及數(shù)據(jù)的訪問，而設(shè)置的策略只是基于對IP、MAC地址、端口及路由的管控，對操作人員做了哪些操作以及是否合理合規(guī)無法知曉。另外，訪問控制策略做得比較粗放，對于應(yīng)用系統(tǒng)的部署沒有細(xì)化數(shù)據(jù)庫及應(yīng)用系統(tǒng)的管理人員及訪問策略，當(dāng)出現(xiàn)問題時難以追蹤及回溯。

1.4 缺乏運維審計

當(dāng)運維人員的誤操作及非法操作導(dǎo)致網(wǎng)絡(luò)安全事故發(fā)生時，傳統(tǒng)的運維方式僅僅是依靠系統(tǒng)日志來人為判斷事故發(fā)生的原因。由于系統(tǒng)日志量大、分散、可讀性差、可修改、可刪除，操作行為難以確定具體操作人員，且分析設(shè)備日志對安全技術(shù)人員的技術(shù)水平要求較高，所以這不是有效的運維審計方式。另外，隨著高校不斷發(fā)展，安全設(shè)備及網(wǎng)絡(luò)設(shè)備不斷增加，日志設(shè)備存儲容量已難以滿足所有運維場景，覆蓋面不足也給安全運維留下隱患。

1.5 應(yīng)用系統(tǒng)快速增多，資產(chǎn)管理復(fù)雜

隨著部門應(yīng)用系統(tǒng)的不斷增加，雖然各部門都有設(shè)立相應(yīng)的信息員對系統(tǒng)進(jìn)行跟蹤管理，但信息員安全意識普遍不高，安全維護(hù)水平較弱，最終應(yīng)用系統(tǒng)的安全運維工作還是托管到信息中心。這些分散的資產(chǎn)管理及三方人員的溝通協(xié)調(diào)極大增加了信息中心維護(hù)人員的工作量，運維管理相對復(fù)雜。

在如今安全事故頻發(fā)的環(huán)境下，安全運維是高校做好安全保障的基石。運維審計設(shè)備作為運維管理中樞，通過多層面的管理手段，對目標(biāo)設(shè)備進(jìn)行統(tǒng)一入口訪問和監(jiān)管維護(hù)。

2 運維審計系統(tǒng)工作機(jī)制

運維審計系統(tǒng)又叫堡壘機(jī)，主要負(fù)責(zé)安全審計管控和核心區(qū)域運維，在技術(shù)上通過切斷終端計算機(jī)的直接訪問，以協(xié)議代理的方式進(jìn)行訪問。通過記錄、審計監(jiān)控運維人員的操作，簡化運維管理人員的工作[2]。通過設(shè)置數(shù)據(jù)中心服務(wù)區(qū)，將所有的應(yīng)用系統(tǒng)部署在服務(wù)區(qū)內(nèi)，堡壘機(jī)旁掛在服務(wù)器核心交換機(jī)上，作為內(nèi)外網(wǎng)的網(wǎng)絡(luò)設(shè)備連接應(yīng)用系統(tǒng)的橋梁，一邊為用戶提交的運維管理請求做代理，一邊管控著各類應(yīng)用系統(tǒng)資源，工作流程圖如下。

廠商運維人員提出訪問服務(wù)器需求，數(shù)據(jù)中心交換機(jī)將訪問流量轉(zhuǎn)發(fā)給審計設(shè)備，審計設(shè)備代理用戶端向服務(wù)器發(fā)起訪問請求，服務(wù)器將執(zhí)行結(jié)果通過數(shù)據(jù)中心交換機(jī)轉(zhuǎn)發(fā)到審計設(shè)備，審計設(shè)備再把結(jié)果反饋給廠商運維人員。審計設(shè)備負(fù)責(zé)對用戶的應(yīng)用請求做代理，根據(jù)訪問權(quán)限策略確認(rèn)執(zhí)行與否，用戶的整個訪問記錄及操作記錄都被審計設(shè)備記錄和管控。通過應(yīng)用代理，減少服務(wù)器的IP地址及端口暴露，保證應(yīng)用系統(tǒng)安全。運維審計設(shè)備也支持用戶單點登錄，廠商運維人員進(jìn)行一次身份認(rèn)證后就可以訪問多臺目標(biāo)服務(wù)器。

利用堡壘機(jī)實現(xiàn)對數(shù)據(jù)中心區(qū)域的信息系統(tǒng)進(jìn)行安全運維管控的具體方式如下：

2.1 統(tǒng)一用戶管理和資源管理

做好用戶管理，首先要分清應(yīng)用系統(tǒng)角色。堡壘機(jī)通過對應(yīng)用系統(tǒng)采用“三員管理”的思想，明確各個管理員的職責(zé)，從而達(dá)到用戶的最小化授權(quán)管理原則。利用堡壘機(jī)支持多種方式的用戶來源，如本地用戶、校內(nèi)LDAP用戶或域用戶、Radius認(rèn)證系統(tǒng)用戶及各種第三方認(rèn)證用戶的優(yōu)勢，不僅方便廠商運維人員登錄應(yīng)用系統(tǒng)，有利于簡化校內(nèi)安全運維管理人員的工作，同時也實現(xiàn)了對來訪用戶身份的精確定位。另外，維護(hù)人員可以在堡壘機(jī)上統(tǒng)一對所有系統(tǒng)推送隨機(jī)強(qiáng)密碼，通過郵件的方式下發(fā)給系統(tǒng)管理員，也可以靈活在管理后臺根據(jù)不同應(yīng)用系統(tǒng)設(shè)置不同的密碼策略和用戶密碼強(qiáng)度、有效期及修改次數(shù)，通過以上方式可以有效防止忘記密碼，弱密碼、弱口令等安全風(fēng)險。應(yīng)對強(qiáng)力破解密碼的方式則是開啟黑白名單防范防破解機(jī)制，設(shè)置鎖定賬號機(jī)輸錯次數(shù)閾值，保證正常用戶的訪問同時阻止非法用戶的攻擊。除了加強(qiáng)密碼強(qiáng)度，堡壘機(jī)還提供了短信認(rèn)證碼、USB KEY及第三方應(yīng)用等雙因子認(rèn)證，用于門戶入口或者敏感及重要數(shù)據(jù)訪問時使用，準(zhǔn)確定位操作者身份，做好人員管理。這種完善的系統(tǒng)認(rèn)證體系，加強(qiáng)應(yīng)用系統(tǒng)的安全性。