统一身份及访问安全管理系统

为公司领导层提供安全决 策支持，为运维层提供安 全操作指向提供满足规范 要求的安全审计报表报告
• 被管资源操作行为审计
Net / DB Sensor
Access control Gateway
– 主机，网络设备，数据库等的所有用户指令操作的记录； 通过旁路部署的网络嗅探方式实 Central Server 通过集中访问接口的方式，让所有对 – 对主机、网络设备、数据库、安全设备上的日志进行集中存储和集中 现对数据库SQL操作指令的审计、 (包含了集中存储、分析、展现等功能) 目标对象的访问必须串行通过该访问 对http、telnet 、ftp、ssh、rlogin 审计； 控制网关，所有访问行为都将接受访 、rsh、pop3、smtp等网络操作行 问控制网关的监督和记录。 – 应用系统的关键操作行为数据； 为的审计
授 权 资 源 列 表
C/S应用
集中应用发布系统 SSO
帐号管理员 审计管理员
LDAP
Ultra-IAM Server Ultra-IAM Resource Management Driver suites
Ultra-IAM系统架构
系统功能

•主从帐号管理 •用户同步 •生命周期管理 •密码管理 •用户自管理
企业员工 张三在公司 企业员工 李四在出差 王五是远程的 第三方维护人员 小刘是现场的 第三方维护人员
集中安全维护接入平台 集中帐号口令管理平台
集中安全 审计平台
企业各类IT资源
建设现状分析
独立的审计，缺乏关联分析。运营出现 的安全问题无法明确定位 独立的用户数据库和独立的 系统管理员；
审计
自然人身份和业务系统帐号 重叠 ；
因为专注所以专业 因为专业所以领先
ULTRA－IAM统一身份及访问安全管理系统
北京神州泰岳软件股份有限公司 信息安全事业部
概要
1 2
3 4
产品概况
Ultra-IAM产品介绍
建设关注点 案例介绍
业界关于4A解决方案的一些名词
• 国际叫法：
– IAM——Identity and Access Management，统一身份及访问安全 管理
27
支持多种报表样式
统计分析
折线趋势分析
柱状统计分析
支持多种操作重现
RDP回放
数据库访问回放
SSH行为回放
会话回放
会话数据
windows回放
支持多种SOX报表和管理类报表
– 提供审计报表处理能力，可根据管理人员的定义生成各类报表 – 根据审计对象，产生指定时间周期（日、周、月、季度、年）的报表。 报表自动产生，报表内容可以根据用户需求进行差别化定制。除了自 动产生静态报表外，还可以由用户配置产生动态报表。报表支持包括 打印和输出各种格式的文件，如PDF、Word、Excel、HTML等等。 – 系统内置了多种报表形式，包括：
• 目前，神州泰岳Ultra-IAM SSO单点登陆系统支持以下强身 份认证方式： • 支持多种认证方式组合，保证认证过程的安全。
单点登录
• 神州泰岳Ultra-IAM SSO单点登陆系统为具有多帐号的用户 提供了方便快捷的访问途经，使用户无需记忆多种登录过程、 用户ID和口令。它通过应用的集中接入和口令代填等方式向 用户提供对其个性化资源的快捷访问提高生产效率和利润
• 通过基于角色授权，实现了用户到资源访问的权限分配
– 实体级集中授权，授权粒度只精确到应用、设备、主机，通俗一点说 就是用户是否有权连接某个IP地址＋端口 从账号1 角色 1 – 实体内部资源级集中授权，授权粒度精确到应用、设备、主机内的资 资产 源。资源包括应用的功能模块、HTML页面、数据库表或字段；主机 从账号2 内的文件或目录等 角色 2 主账号1
• 应用系统：
通过标准接口来实现帐号同步，如JDBC/ODBC 、标准LDAP 通过私有协议来实现和应用系统间帐号接口，提供java或c的标准api 接口，webservice jmx 等接口
完整的生命周期管理
• 对用户从产生到删除各存在状态进行管理,包括统一的用户创 建、维护、删除等功能，并同步到各个系统中去。
认证管理
•主从帐号管理 •用户同步 •生命周期管理 •密码管理 •用户自管理
1
用户管理
2
认证管理
•认证方式选择 •单点登录SSO •认证转发
系统功能
•授权管理 •资源管理 •访问控制 •角色管理 •授权粒度控制
3
授权管理
4
集中审计
•日志采集 •日志分析 •审计还原 •告警处理 •审计报表
认证方式支持
• 神州泰岳产品：
– Ultra-IAM——Account、Authentication、Authorization、Audit and Access Control Management Sysytem
• 中国移动叫法：
– 安全管控平台 或者 4A，涵盖三个子中心
• 集中维护接入平台 SMAP：对应Access Control • 帐号口令管理系统：对应Account、Authentication、 Authorization • 审计系统：对应Audit
多系统都基于独立的帐 号管理实现访问频繁切 换 帐号
维护
安全问题不断出现， 系统维护和管理工作 负担大，效率低
现状
独立的系统授权机制和 独立的应用授权管理
认证
接入网络没有强制检测手段；
授权
访问系统没有强身份认证 手段；
各应用系统都独立认证；
Ultra-IAM系统概述
• 神州泰岳Ultra-IAM是集账号管理、授权管理、认证管理和 综合审计、安全访问控制于一体的集中账号及安全访问管理 系统(业界称为4A）。
授权管理
•主从帐号管理 •用户同步 •生命周期管理 •密码管理 •用户自管理
1
用户管理
2
认证管理
•认证方式选择 •单点登录SSO •认证转发
系统功能
•授权管理 •资源管理 •访问控制 •角色管理 •授权粒度控制
3
授权管理
4
集中审计
•日志采集 •日志分析 •审计还原 •告警处理 •审计报表
集中授权管理
1
用户管理
2
认证管理
•认证方式选择 •单点登录SSO •认证转发
系统功能
•授权管理 •资源管理 •访问控制 •角色管理 •授权粒度控制
3
授权管理
4
集中审计
•日志采集 •日志分析 •审计还原 •告警处理 •审计报表
主从帐号管理
• 主帐号管理
– 组织管理：能够按照按地域、组织结构进行划分，建立相 应树状目录用于合理组织主帐号。 – 分级管理：以适应分部门、分管理层次的分级管理要求； 不同级别的帐号可以行使不同级别的权限 – 属性管理：包括帐号基本信息、时效策略、密码策略、组 织标识、角色标识。 – 生命周期管理：对用户从产生到删除各存在状态进行管理 – 帐号监控：口令系统对幽灵帐号、弱口令和交叉帐号（不 能修改口令的程序帐号）进行监控，并提供相应的 告警报表 – 自服务功能 ：对自己的属性进行修改
流程设计
• 4A系统内置流程引擎，并内置图形化流程设计器，满足帐号 申请、审批、分配、通知等流程管理制度的需要
提供多种密码管理策略
•
•
•
•
密码安全策略 密码强度（长度、字符、有效期等)，系统还提供多种密码 制定策略，满足不同系统对密码安全的需要 密码修改任务 用户从帐号密码的定期变更，提高密码的安全性 密码定期检查 通过系统定时任务，或相关管理员执行密码检查，找出系统 中存在不满足要求的用户口令 密码同步策略
角色 3 角色 4
从账号1
资产
从账号2
主账号1
主账号2
角色 5 角色 6
从账号1
资产
从账号2
23
集中访问控制
堡垒主机
网络设备 主机系统 数据库系统
联机指令平台
网元
桌面发布系统
C/S应用
Ultra-IAM Portal
B/S应用
集中审计
•主从帐号管理 •用户同步 •生命周期管理 •密码管理 •用户自管理
审计分析
– 分类：基于源地址、用户、操作的对象、操作的类型、操作的时间 和操作结果来进行分类。 – 分级：根据审计信息的内容、对应的事件分类、相关资源、相关人 员不同，将可审计事件的重要程度划分为不同的级别，以便对不同 级别的事件采取不同的处理方式 – 操作行为分析:将系统层的日志、数据库日志、应用层的日志及网络 数据进行相互关联，尤其是所有对财务数据相关的关键系统数据的 访问、修改和删除等，再现用户的完整操作过程。 – 提供强大的审计信息查询，管理人员可根据审计信息的各种属性进 行分类查询。支持基于时间、事件类型、级别、用户帐号，关键字 等字段的查询 – 告警:对非法地址、非法客户应用、非法数据库用户名、非法数据库 对象访问、非法操作类型、非法SQL语句和非法时间进行报警
4A解决什么问题？——错综复杂的日常运行维护管理
企业员工 张三在公司 企业员工 李四在出差 王五是远程的 第三方维护人员 小刘是现场的 第三方维护人员
账户开设 无规可循
弱口令 无法控制
维护接入途径 五花八门
维护操作内容 无从知晓
违规操作 无法控制
企业各类IT资源
4A解决什么问题？——安全管控平台的作用
同步功能
• 神州泰岳Ultra-IAM 通过多种方式来实现对操作系统、数据 库系统、网络设备、应用系统、业务系统的用户同步管理
– – – – – – – – – Telnet/SSH方式 AD域方式 JDBC/ODBC LDAP方式 模拟客户端 Radius协议 Agent Web Service 专用API方式