信息安全审计系统在等级保护建设中的应用分析

信息安全审计系统在等级保护建设中的应

用分析

引言

在国外，随着诸如Iso27001,萨班斯法案等信息安全标准和法规的颁布，国外的信息安全审计己经企业，得到了广泛的应用。而在我国，信息安全审计主要来源于企业信息安全管理的需求、企业内控的要求并且获得了一定规模的应用。而随着计算机信息安全等级保护的推进，信息安全审计必然越来越受到政府、企事业单位的重视。目前市场上存在着各种各样的信息安全审计系统，其功能不一，部署使用力一式也不相同。如何在等保建设中更好的应用审计系统，木文在以下内容中给出了分析和建议。

1信息安全审计的意义和目的

计算机信息安全是要保证计算机信息系统中信息的机密性、完整性、可控性、可用性和不可否认性(抗抵赖)，简称五性。安全审计是这五性的重要保障之一，它对计算机信息系统中的所有IT资源(包括数据库、主机、操作系统、安全设备、网络行为等)进行安全审计，提供给系统管理员作为系统维护以及安全防范的依据。安全审计如同银行的CCAV监控系统，任何人进出银行，柜台操作都进行如实录像记录，一旦有异常事件可以快速的查阅进出记录和行为记录，确定问题所在，以便采取相应的处理措施。

信息系统的安全审计工作更为复杂，通过统一收集信息系统中的设

备、系统、终端、应用的登录、操作日志以及其它各种网络行为，例如互联网访问，FTP传输、电子邮件等记录，通过综合关联分析从各类记录中进行多层而、多视角的跟踪、分析和处理，发现异常事件，及时采取相应措施。

通过以上分析可以看到信息安全审计在信息安全管理体系中是不可缺失的部分。它的作用主要如下:

(1)对正在发生的各类信息事件进行监控、记录和告警;

(2)为安全主管提供审计记录和分析决策，及时针对异常行为采取措施;

(3)通过安全审计记录，可以对于发生的信息系统破坏行为提供有效的法律追究证据;

(4)有效的安全审计策略和安全审计防护措施可以对潜在的攻击者起到震慑和警告的作用。

2等级保护中安全审计问题

2.1等级保护中的安全审计要求

等级保护是我国目前在非涉密系统信息安全防护一个有效的政策依据。等级保护测评中对网络，主机，数据库和应用都有相应的安全审计要求。

2.1.1各安全域通用要求

(1)审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等;

(2)应保护审计进程，避免受到未预期的中断;

(3)应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。

2.1.2网络设备和网络安全设备特殊要求

应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。

2.1.3主机和数据安全审计特殊要求

(1)审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户;

(2)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等;

(3)应能够根据记录数据进行分析，并生成审计报表。

2.2等级保护中存在的安全审计问题

在实际测评中由于企业对安全审计不够重视导致存在诸多安全隐患，不但影响了测评结果也给企业带来了安全风险。

2.2.1网络设备和安全设备存在的问题

(1)未开启安全审计功能，或只设置了相应的日志服务器但没专人定期对日志分析、记录;

(2)记录内容较简单，只包含用户登录行为，而对设备运行情况、网络告警信息、流量信息都未记录;

(3)只是简单的对日志进行保存，并未能运用这些数据做分析统计并从中发现问题;

(4)对审计记录的保存未做过优化或定期检查，没有专人进行维护，不能确保审计记录不会被修改或删除。

2.2.2主机和数据库存在的问题

(1) LINUX系列主机安全审计功能一般都未启，而对于WINDOWS系列的主机安全审计功能均是系统默认设置。

(2)主机开启了审计服务但审计对象只包含了操作系统用户，而对数据库用户和其他系统的用户并未进行审计。

(3)只是简单对日志进行保存，并没有专人对这些数据统进行计分析统计。

(4)对审计日志的记录的内容采取了系统默认保存方法，对日志存储位置、存储最大值以及达到最大值后的处理都未设置。

(5)对审计进程和审计日志均没有专人去做维护检查，不能保证审计系统的安全运行，审计日志不被非法修改。

2.3等级保护中安全审计的重要性

从保测评的结果看来，不少企业对安全审计不够重视，信息安全建设主要集中于传统的信息安全基础设施，如部署防火墙，IPS等。目前企业的信息安全管理主要依托于这类网关型安全设备上，忽略了事中监控和事后审计溯源的安全管理。从实际测评中发现造成这一系列问题的主要原因是未能认识信息安全审计的重要性，对信息安全审计所需的各类资源投入不足。有效安全审计手段的缺失不仅使企业信息安全等级保护不足，而且也使企业自身信息安全管理体系存在短板，导致企业存在以下安全风险:

(1)内部风险:由内部员工违规操作导致的安全风险和网络的非法接入带来的风险。

(2)第二力一维护:企业系统由第二力一维护所带来的风险。

(3)系统日志:单纯的分析业务系统或者数据库系统的日志，都无法对整个访问过程是否存在风险进行判断。

4信息安全审计系统在等级保护建设中的应用

等级保护建设中提出了很多具体的安全审计要求。不少企业不知从何处着手开展工作。信息安全审计系统种类繁多、针对性强，在等级保护建设过程应该根据等级保护的具体要求并结合这些审计系统的特点，有针对性的进行建设才能最终满足等级保护要求，提高企业安全水平。

4.1等保三级系统中网络设备和网络安全设备的安全审计

4.1.1等级保护基木要求

(1)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录;

(2)审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;

(3)应能够根据记录数据进行分析，并生成审计报表;

(4)应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。

4.1.2可采用的审计系统

按照等级保护二级系统中对网络设备和网络安全设备的安全审计基本要求，可采用网络审计系统。

4.1.3符合度分析

网络审计系统通过网络数据的采集、分析、识别，实时动态监测通