符合SOX的UTM解决方案

在萨班斯(SOX)法案要求上市公司实现企业内控的国际形势下,启明星辰公司推出了针对国内电信运营商市场定制的4A解决方案,该方案结合了启明星辰天?业务审计产品的优势,引入了SafeWord产品系列中的3A组件。

4A包括统一用户账号(Account)管理、统一认证(Authentication) 管理、统一授权(Authorization)管理和统一安全审计(Audit)四要素。

融合后的解决方案将涵盖单点登录(SSO)等安全功能,既能够为客户提供功能完善的、高安全级别的4A管理,也能够为用户提供符合萨班斯法案(SOX)要求的内控报表。

为什么需要4A统一安全管理平台解决方案

随着各大电信运营商的业务网发展,其内部用户数量持续增加,网络规模迅速扩大,安全问题不断出现。而每个业务网系统分别维护一套用户信息数据,管理本系统内的账号和口令,孤立的以日志形式审计操作者在系统内的操作行为。现有的这种账号口令管理、访问控制及审计措施已远远不能满足自身业务发展需求,及与国际业务接轨的需求。问题主要表现在以下几方面:

1. 大量的网络设备、主机系统和应用系统分属不同的部门或业务系统,认证、授权和审计方式没有统一,当需要同时对多个系统进行操作时,工作复杂度成倍增加;

2. 一些设备和业务系统由厂商代维,因缺乏统一监管,安全状况不得而知;

3. 各系统分别管理所属的系统资源,为本系统的用户分配访问权限,缺乏统一的访问控制平台,随着用户数增加,权限管理愈发复杂,系统安全难以得到充分保障;

4. 个别账号多人共用,扩散范围难以控制,发生安全事故时更难以确定实际使用者;

5. 随着系统增多,用户经常需要在各系统间切换,而每次切换都需要输入该系统的用户名和口令,为不影响工作效率,用户往往会采用简单口令或将多个系统的口令设置成相同的,造成对系统安全性的威胁;

6. 对各个系统缺乏集中统一的访问审计,无法进行综合分析,因此不能及时发现入侵行为。

综上,由于缺乏统一的4A管理平台,加重了系统管理人员工作负担,同时,因各业务系统安全策略不一致,实质上也大大降低了业务系统的安全系数。

启明星辰4A统一安全管理平台解决方案

采用启明星辰4A统一安全管理平台解决方案能够解决运营商当前在账号口令管理、访问控制及审计措施方面所面临的主要问题。该解决方案由5个子系统组成:统一的4A管理平台、统一的认证授权子系统、统一的账号管理子系统、统一的日志审计子系统、网络行为审计子系统,它们之间的协作关系如下图所示:

统一4A管理平台向其它四个子系统传递配置参数,包括认证参数、账号参数、审计策略参数等,而四个子系统则将自身的运行状态值传递给统一 4A管理平台;

统一4A管理平台上各参数的变更,以及各告警值通过syslog的方式传递给统一日志审计子系统;

统一认证授权子系统对用户进行统一接入认证后,产生的认证记录通过syslog的方式发送给统一日志审计子系统;

统一账号管理子系统对用户账号进行维护的操作通过syslog的方式发送给统一日志审计子系统;

网络审计引擎部件将采集到的日志信息通过syslog方式发送给统一日志审计子系统。