华为UMA1000系列统一运维审计产品技术白皮书

华为UMA1000系列统一运维审计产品技术白皮书批准：版权所有侵权必究 1 2 2 2 2 2 3 3 4 4 43.3单点登录 53.4统一审计 53.5自动运维 5 53.7系统自审 6 7 7 7 8 8 8 8 9 4.8.1单机部署模式 4.8.3集群部署 华为UMA1000系列统一运维审计产品技术白皮书关键词：UMA名称缩写完整拼写概述随着政府部门、金融机构、企事业单位、商业组织等对信息系统依赖程度的日益增强，信息安全问题受到普遍关注。由于信息化建设、业务不断扩展等因素，在各信息系统中的服务器及各种网络设备的不断增加，对目标主机的管理必须经过各种认证和登录过程。在某个主机及账户被多个管理人员共同使用的情况下，引发了如帐号管理混乱、授权关系不清晰、越权操作、数据泄漏等各类安全问题，并加大了IT内控审计的难度。华为UMA1000系列统一运维审计产品技术白皮书2常见运维风险常见运维风险2.1来源身份定位难每个管理人员都需要对主机资源进行运维操作，对管理者来说无法确定是谁在操作、是谁做了操作等；一旦发生事故，无法确定责任人。2.2操作过程不透明每天都有不同的人在操作和维护主机。但是现状是无法得知运维人员在主机中具体做了什么操作、是否有违规和误操作，更加无法实时监控外部人员的操作过程。2.3系统账户共享主机资源越多，系统账户也越多，而且面临着一个主机有很多的账户；可能一个账户被不同的人使用、一个人使用不同的账户、不同的人交叉使用不同的账户等等。对管理层来说无法集中梳理账户与自然人员的关系，甚至担心临时账户的存在造成数据的泄露。2.4运维工作效率低随着主机账户不断增加，密码的管理和修改也成为一个管理员的难题，既要保证密码的复杂度，又要确保每隔一段时间进行修改，手工修改只会增加工作量。主机类型多了，造成了登录繁琐；linux/unix需要使用字符客户端工具，windows需要使用远程桌面连接工具，web系统需要使用浏览器，数据库需要使用数据库客户端工具等华为UMA1000系列统一运维审计产品技术白皮书2常见运维风险操作人员可能会因为无意操作造成数据丢失、业务故障等，黑客也可能远程进入主机之后进行有意的数据窃取、数据篡改等；如果想要做精确控制，需要管理人员在很多主机中做各种精细化的策略才有可能控制有意或无意的操作行为。目前国内、国际的很多标准、法案法规都要求相关组织单位建设安全管理的审计系统，并确保审计信息是安全、完整、可查及唯一的：●信息安全等保要求用户身份识别、权限隔离、数据审计、日志记录、审计报表等。●ISO27001标准要求记录用户访问、意外和信息安全事件的日志，以便为安全事件●企业内控规范要求企业严格执行规范要求，以加强和规范内部控制、提高风险防范华为UMA1000系列统一运维审计产品技术白皮书UMA产品介绍华为UMA统一运维审计系统(简称：UMA)是华为在控管理、分级保护、ISO/IEC27001等)对运维审计的要求，采用B/S架构，集“身份认证(Authentication)、账户管理(Account)、控制权限(Authorization)、日志审计3.1用户分权3.2集中授权8IMy5QL]roote192160.65.107ssh代华为UMA1000系列统一运维审计产品技术白皮书3UMA产品介绍3.3单点登录UMA支持托管主机的账户和密码，运维人员直接点击<登录>即可成功自动登录到目标主机中进行运维操作，无需输入主机的账户和密码。3.4统一审计UMA对所有的操作进行详细记录，并提供综合查询功能；审计日志可以在线播放也可以离线播放，所有的审计日志支持自动备份和自动归档。主机IP/主机名协议/登录名9情情3.5自动运维对运维人员来说，需要定期手工执行命令；对网管人员来说，需要定期手工备份网络设备的配置信息。通过UMA的自动化运维功能，实现自动化的运维任务并将执行结果通知相关人员。3.6命令控制UMA提供了集中的命令控制策略功能，实现基于不同的主机、不同的用户设置不同的命令控制策略，策略提供命令阻断、命令黑名单、命令白名单、命令审核四种动作条件。9览用户/资产动制命今控物协调空制市此配状态日启用命令控制9D:四2念令及auof中任0一个参数：请填写psa*use中到相应的列表中，参数匹配与融序无关华为UMA1000系列统一运维审计产品技术白皮书3UMA产品介绍3.7系统自审UMA作为审计类产品，不光要实现对操作行为进行审计，还要做到对系统自身变化信息进行审计，并且形成系统报表分析。时间日志类型日志内容用户高低低中低登录主机：root@6华为UMA1000系列统一运维审计产品技术白皮书4功能特点功能特点4.1支持手机APP、动态令牌等多种双因子认证为了提高来源身份的可靠性，防止身份冒用，UMA可以利用以下认证机制实现：●内置了手机APP认证(谷歌动态口令验证)、OTP动态令牌、USBkey双因素认证引擎●支持多种认证方式同时使用、多种认证方式组合使用华为统一运维审计华为统一运维审计豆用户名4.2覆盖最全的运维协议，让运维安全无死角据库服务器、虚拟服务器、远程管理服务器等等。UMA兼容的运维协议更全面，实现“统一管理”的要求。字符运维图形运维文件传输数据库运维其他应用运维华为UMA1000系列统一运维审计产品技术白皮书4功能特点UMA适应不同的运维人员的运维习惯，兼容多种客户端工具(如Xshell、SecureCRT、mstsc、VNCViewer、Putty、winscp、flashFXP、SecureFX、OpenSSH等)和更加灵活●Web登录运维，适用于习惯从Web页面登录目标主机的运维人员●客户端登录运维，适用于习惯使用本地客户端工具登录UMA再登录目标主机的运维人员●批量自动登录运维，适用于习惯一次性登录多台目标主机的运维人员●网关透明登录运维，适用于习惯使用本地客户端工具直接登录目标主机的运维人员机的运维人员，以及自动化运维等复杂场景基于H5技术，实现浏览器客户端运维，无需安装本地工具，直接支持浏览器打开运维UMA支持自动收集主机的IP、协议、端口号、账户、密码等信息，并且可以学习到运维人员的权限关系，进一步实自动授权。特别适用与前期对授权关系不清晰、资产信息运维人员只需通过UMA成功登录一次目标主机即可自动录入主机信息，这大大减轻了管理员配置主机信息、用户与主机关系的工作量。对运维人员来说，修改主机的密码和记住主机的密码是最重要的任务。一旦发生密码遗失和泄露，将带来的风险无法估量。UMA提供了完善的自动改密功能，可以实现：华为UMA1000系列统一运维审计产品技术白皮书4功能特点●自动修改SSH、telnet、RDP、SFTP、FTP协议的主机密码，无需安装改密客户端、无需开启特殊端口●可以指定修改密码、自动生成随机密码、上传密码文件、密码复杂度等方式生成新密码；可以制定自动改密任务周期、手工执行、自定义改密脚本等任务计划●通过SFTP、FTP、邮件方式保存密码文件，做到改密前自动备份、发送失败不改密、改密后自动备份，防止密码丢失●提供密码手工验证、自动恢复的容错机制，确保密码修改失败之后恢复到正确的密码●密码文件加密保存，须运维管理员和密码管理员同时解密才能查看到主机的密码作为运维审计系统，审计是最终目标；审计内容的完整体现了产品的审计能力。不仅实现了对所有操作会话的在线监控、实时阻断、日志回放、起止时间、来源用户、来源IP、目标设备、协议/应用类型、命令记录、操作内容(如对文件的上传、下载、删除、修改等操作等)等行为记录。还实现了对SFTP/FTP/SCP/RDP/RZ/SZ传输的文件完整备份在UMA中，为上传恶意文件、拖库、窃取数据等危险行为起到了查询依据。结标ch体迅-所模作D-空上项-2010-94.07n0上传文件□锈建又本文标04.07下文件新文本文test华为UMA1000系列统一运维审计产品技术白皮书4功能特点4.8部署模式统一认证统一授权统一审计部署说明：1)部署模式：在核心交换机上旁路部署一套UMA(统一运维审计系统)硬件设备，通过防火墙或者交换机上的ACL策略，切断用户原有运维访问通道。2)部署条件：保证业务服务器与UMA之间的路由可达，保证运维终端与UMA之间的路由可达；3)登录过程：集中管理的标志就是入口唯一，UMA(统一运维审计系统)是用户操作的唯一入口。用户通过唯一的自然人ID登录到统一运维审计系统上，然后系统会根据配置管理员预先设置好的访问控制规则，提示用户选择可以访问的目标设备和相应系统登录账户，用户选择完成后会自动登录到目标设备，实现单点登录。华为UMA1000系列统一运维审计产品技术白皮书4功能特点统一认证统一授权统一审计1)部署模式：在核心交换机上旁路部署两套UMA(统一运维审计系统)硬件设备，保证服务的连续性和可靠性。通过防火墙或者交换机上的ACL策略，切断用户原有运2)部署条件：保证业务服务器与UMA之间的路由可达