能源
中國石化**分公司業(yè)務(wù)快速發(fā)展，內(nèi)部IT系統(tǒng)服務(wù)器數(shù)量日益龐大，在日常運(yùn)維管理過程中存在廠商代維人員、系統(tǒng)維護(hù)人員、數(shù)據(jù)庫管理人員等多種角色使用同一個賬號直接登陸要維護(hù)的服務(wù)器，所有人員都具有較高權(quán)限的帳號，操作過程無法監(jiān)控且權(quán)限無法細(xì)分的現(xiàn)象。同時由于服務(wù)器數(shù)量多，系統(tǒng)管理員壓力大，人為誤操作的可能性時有發(fā)生，并可能造成企業(yè)的聲譽(yù)、經(jīng)濟(jì)上的重大影響；同時，上級監(jiān)管部門也對公司IT系統(tǒng)的審計也提出了嚴(yán)格的審計、IT內(nèi)控要求，因此國石化**分公司急需一套針對IT系統(tǒng)內(nèi)部服務(wù)器進(jìn)行安全運(yùn)維管理、審計和控制的解決方案。
用戶安全運(yùn)維管理、審計及控制過程中存在的安全問題主要包括：大量的服務(wù)器帶來的賬號和密碼管理難題，比如賬號公用問題、密碼定期修改問題、密碼強(qiáng)度問題等等；特權(quán)賬號的活動管理，操作系統(tǒng)自身難以實現(xiàn)權(quán)限最小化，從而導(dǎo)致過度授權(quán)、數(shù)據(jù)泄露等一系列安全風(fēng)險；運(yùn)維過程引入第三方服務(wù)已是常態(tài)，運(yùn)維人員的誤操作、惡意操作行為時有發(fā)生；缺乏有效的審計和控制手段，系統(tǒng)無法滿足等級保護(hù)需求。
該系統(tǒng)部署后，運(yùn)維人員可以通過B/S、C/S兩種方式登陸該系統(tǒng)并進(jìn)行服務(wù)器的安全管理工作。該系統(tǒng)支持單點(diǎn)登錄功能，運(yùn)維人員登錄系統(tǒng)時，只需輸入一次系統(tǒng)的主帳號，無需輸入服務(wù)器的操作系統(tǒng)帳號密碼即可訪問所有授權(quán)范圍內(nèi)的服務(wù)器等資源。
服務(wù)器賬號和密碼共享是一種普遍存在的現(xiàn)象，賬號共享會導(dǎo)致安全事件無法清晰地定位責(zé)任人。該系統(tǒng)為每一個運(yùn)維人員創(chuàng)建唯一的運(yùn)維賬號（主賬號），并與服務(wù)器賬號（從賬號）均進(jìn)行關(guān)聯(lián)，確保所有運(yùn)維行為審計記錄均可定位至自然人，能夠有效解決賬號共用問題。
該系統(tǒng)支持多種雙因素身份認(rèn)證方式：本地認(rèn)證、短信認(rèn)證、手機(jī)令牌、動態(tài)令牌。
系統(tǒng)通過集中統(tǒng)一的訪問控制和細(xì)粒度的命令授權(quán)策略，確保每個運(yùn)維用戶擁有的權(quán)限是完成任務(wù)所需的最合理權(quán)限。
支持基于用戶角色的訪問控制（RBAC ,Role-Based Access Control）。管理員可根據(jù)用戶、用戶組、訪問主機(jī)、目標(biāo)系統(tǒng)賬號、訪問方式設(shè)置細(xì)粒度訪問策略；支持基于時間的訪問控制；基于指令（黑白名單）的訪問控制。
該系統(tǒng)操作審計包括，事件查詢、歷史操作圖形回放、審計報告。事件查詢支持兩種查詢功能，快速查詢（單一條件）和高級查詢（多重組合條件），審計人員可以根據(jù)操作時間、源、目標(biāo)IP地址、用戶名（運(yùn)維、主機(jī)）、操作指令等條件對歷史數(shù)據(jù)進(jìn)行查詢，快速定位歷史事件。
系統(tǒng)能夠以視頻回放方式，可根據(jù)操作記錄定位回放或完整重現(xiàn)運(yùn)維、外包人員對遠(yuǎn)程主機(jī)的整個操作過程，從而真正實現(xiàn)對操作內(nèi)容的完全審計。
該系統(tǒng)擁有強(qiáng)大的報表功能，內(nèi)置能夠滿足不用客戶審計需求的安全審計報表模板，支持自動或手工方式生成運(yùn)維審計報告，便于管理員全面分析運(yùn)維的合規(guī)性。
該系統(tǒng)支持自動化運(yùn)維，包括密碼托管、自動改密、批量腳本執(zhí)行和網(wǎng)絡(luò)設(shè)備配置備份功能。
主機(jī)系統(tǒng)賬號的密碼維護(hù)托管功能，系統(tǒng)支持自動定期修改windows、Linux服務(wù)器操作系統(tǒng)的賬號密碼：設(shè)定密碼復(fù)雜度策略；設(shè)定改密計劃的自動改密周期；支持隨機(jī)不同密碼、隨機(jī)相同密碼、手工指定密碼等新密碼設(shè)定策略；改密結(jié)果自動發(fā)送至指定密碼管理員郵箱。
該系統(tǒng)支持自動化在多臺機(jī)器上批量執(zhí)行指令。通過批量執(zhí)行功能，管理員可以方便實現(xiàn)對多臺服務(wù)器的升級、備份等工作任務(wù)。
通過設(shè)置網(wǎng)絡(luò)設(shè)備配置備份任務(wù)，可以批量將一批網(wǎng)絡(luò)設(shè)備（路由器和交換機(jī)）的配置進(jìn)行備份，這不僅有助于當(dāng)設(shè)備出現(xiàn)故障時，更換設(shè)備快速恢復(fù)環(huán)境，也對誤操作之后快速恢復(fù)前一天的配置起到幫助。
