摘 要：從系統(tǒng)的、整體的、動(dòng)態(tài)的角度，參照國(guó)家對(duì)主機(jī)審計(jì)產(chǎn)品的技術(shù)要求和對(duì)部分主機(jī)審計(jì)軟件的了解，結(jié)合實(shí)際的終端信息安全管理需求，從體系架構(gòu)、安全策略管理、審計(jì)主機(jī)范圍、主機(jī)行為監(jiān)控、綜合審計(jì)及處理措施等方面提出主機(jī)審計(jì)系統(tǒng)的設(shè)計(jì)思想，達(dá)到對(duì)終端用戶(hù)的有效管理和控制。

　　關(guān)鍵詞：涉密網(wǎng)絡(luò)；安全審計(jì)；主機(jī)審計(jì)；系統(tǒng)設(shè)計(jì)

　　1 引 言

　　隨著網(wǎng)絡(luò)與信息系統(tǒng)的廣泛使用，網(wǎng)絡(luò)與信息系統(tǒng)安全問(wèn)題逐漸成為人們關(guān)注的焦點(diǎn)。

　　涉密網(wǎng)與因特網(wǎng)之間一般采取了物理隔離的安全措施，在一定程度上保證了內(nèi)部網(wǎng)絡(luò)的安全性。然而，網(wǎng)絡(luò)安全管理人員仍然會(huì)對(duì)所管理網(wǎng)絡(luò)的安全狀況感到擔(dān)憂(yōu)，因?yàn)檎麄€(gè)網(wǎng)絡(luò)安全的薄弱環(huán)節(jié)往往出現(xiàn)在終端用戶(hù)。網(wǎng)絡(luò)安全存在著“木桶”效應(yīng)，單個(gè)用戶(hù)計(jì)算機(jī)的安全性不足時(shí)刻威脅著整個(gè)網(wǎng)絡(luò)的安全[ 1 ] 。如何加強(qiáng)對(duì)終端用戶(hù)計(jì)算機(jī)的安全管理成為一個(gè)急待解決的問(wèn)題。

　　本文從系統(tǒng)的、整體的、動(dòng)態(tài)的角度，參照國(guó)家對(duì)安全審計(jì)產(chǎn)品的技術(shù)要求和對(duì)部分主機(jī)審計(jì)軟件的了解，結(jié)合實(shí)際的信息安全管理需求，討論主機(jī)審計(jì)系統(tǒng)的設(shè)計(jì)，達(dá)到對(duì)終端用戶(hù)的有效管理和控制。

　　2 安全審計(jì)概念。

　　計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)中信息的機(jī)密性、完整性、可控性、可用性和不可否認(rèn)性，簡(jiǎn)稱(chēng)“五性”，安全審計(jì)是這“五性”的重要保障之一[2 ] 。

　　凡是對(duì)于網(wǎng)絡(luò)信息系統(tǒng)的薄弱環(huán)節(jié)進(jìn)行測(cè)試、評(píng)估和分析，以找到極佳途徑在最大限度保障安全的基礎(chǔ)上使得業(yè)務(wù)正常運(yùn)行的一切行為和手段，都可以叫做安全審計(jì)[3 ] 。

　　傳統(tǒng)的安全審計(jì)多為“日志記錄”，注重事后的審計(jì)，強(qiáng)調(diào)審計(jì)的威懾作用和安全事件的可核查性。隨著國(guó)家信息安全政策的改變，美國(guó)首先在信息保障技術(shù)框架（ IA TF） 中提出在信息基礎(chǔ)設(shè)置中進(jìn)行所謂“深層防御策略（Defense2in2Dept h St rategy） ”，對(duì)安全審計(jì)系統(tǒng)提出了參與主動(dòng)保護(hù)和主動(dòng)響應(yīng)的要求[4 ] 。這就是現(xiàn)代網(wǎng)絡(luò)安全審計(jì)的雛形，突破了以往“日志記錄”

　　等淺層次的安全審計(jì)概念，是全方位、分布式、多層次的強(qiáng)審計(jì)概念，符合信息保障技術(shù)框架提出的保護(hù)、檢測(cè)、反應(yīng)和恢復(fù)（ PDRR） 動(dòng)態(tài)過(guò)程的要求，在提高審計(jì)廣度和深度的基礎(chǔ)上，做到對(duì)信息的主動(dòng)保護(hù)和主動(dòng)響應(yīng)。

　　3 主機(jī)審計(jì)系統(tǒng)設(shè)計(jì)。

　　安全審計(jì)從技術(shù)上分為網(wǎng)絡(luò)審計(jì)、數(shù)據(jù)庫(kù)審計(jì)、主機(jī)審計(jì)、應(yīng)用審計(jì)和綜合審計(jì)。主機(jī)審計(jì)就是獲取、記錄被審計(jì)主機(jī)的狀態(tài)信息和敏感操作，并從已有的主機(jī)系統(tǒng)審計(jì)記錄中提取信息，依據(jù)審計(jì)規(guī)則分析判斷是否有違規(guī)行為。

　　一般網(wǎng)絡(luò)系統(tǒng)的主機(jī)審計(jì)多采用傳統(tǒng)的審計(jì)，涉密系統(tǒng)的主機(jī)審計(jì)應(yīng)采用現(xiàn)代綜合審計(jì)，做到對(duì)信息的主動(dòng)保護(hù)和主動(dòng)響應(yīng)。因此，涉密網(wǎng)絡(luò)的主機(jī)審計(jì)在設(shè)計(jì)時(shí)就應(yīng)該全方位進(jìn)行考慮。

　　3. 1 體系架構(gòu)。

　　主機(jī)審計(jì)系統(tǒng)由控制中心、受控端、管理端等三部分組成。管理端和控制中心間為B/ S架構(gòu)，管理端通過(guò)瀏覽器訪問(wèn)控制中心。對(duì)于管理端，其操作系統(tǒng)應(yīng)不限于Windows ,瀏覽器也不是只有IE。管理端地位重要，應(yīng)有一定保護(hù)措施，同時(shí)管理端和控制中心的通訊應(yīng)有安全保障，可考慮隔離措施和SHTTP 協(xié)議。

　　主機(jī)審計(jì)能夠分不同的角色來(lái)使用，至少劃分安全策略管理員、審計(jì)管理員、系統(tǒng)管理員。

　　安全策略管理員按照制定的監(jiān)控審計(jì)策略進(jìn)行實(shí)施；審計(jì)管理員負(fù)責(zé)定期審計(jì)收集的信息，根據(jù)策略判斷用戶(hù)行為（包括三個(gè)管理員的行為） 是否違規(guī)，出審計(jì)報(bào)告；系統(tǒng)管理員負(fù)責(zé)分配安全策略管理員和審計(jì)管理員的權(quán)限。三員的任何操作系統(tǒng)有相應(yīng)記錄，對(duì)系統(tǒng)的操作互相配合，同時(shí)互相監(jiān)督，既方便管理，又保證整個(gè)監(jiān)控體系和系統(tǒng)本身的安全。控制中心是審計(jì)系統(tǒng)的核心，所有信息都保存在控制中心。因此，控制中心的操作系統(tǒng)和數(shù)據(jù)庫(kù)最好是國(guó)內(nèi)自己研發(fā)的?？刂浦行牡拇鎯?chǔ)空間到一定限額時(shí)報(bào)警，提醒管理員及時(shí)備份并刪除信息，保證審計(jì)系統(tǒng)能夠采集新的信息。

　　3. 2 安全策略管理。

　　不同的安全策略得到的審計(jì)信息不同。安全策略與管理策略緊密掛鉤，體現(xiàn)安全管理意志。在審計(jì)系統(tǒng)上實(shí)施安全策略前，應(yīng)根據(jù)安全管理思想，結(jié)合審計(jì)系統(tǒng)能夠?qū)崿F(xiàn)的技術(shù)途徑，制定詳細(xì)的安全策略，由安全員按照安全策略具體實(shí)施。如安全策略可以分部門(mén)、分小組制定并執(zhí)行。安全策略越完善，審計(jì)越徹底，越能反映主機(jī)的安全狀態(tài)。

　　主機(jī)審計(jì)的安全策略由控制中心統(tǒng)一管理，策略發(fā)放采取推拉結(jié)合的方式，即由控制中心向受控端推送策略和受控端向控制中心拉策略的方式。當(dāng)安全策略發(fā)生更改時(shí)，控制中心可以及時(shí)將策略發(fā)給受控端。但是，當(dāng)受控端安裝了防火墻時(shí)，推送方式將受阻，安全策略發(fā)送不到受控端。由受控端向控制中心定期拉策略，可以保證受控端和控制中心的通訊不會(huì)因?yàn)榘惭b個(gè)人防火墻或其他認(rèn)證保護(hù)措施而中斷。聯(lián)網(wǎng)主機(jī)（服務(wù)器、聯(lián)網(wǎng)PC 機(jī)） 通過(guò)網(wǎng)絡(luò)接收控制中心的管理策略向控制中心傳遞審計(jì)信息。單機(jī)（桌面PC 或筆記本） 通過(guò)外置磁介質(zhì)（如U 盤(pán)、移動(dòng)硬盤(pán)） 接收控制中心管理策略。審計(jì)信息存放在主機(jī)內(nèi)，由管理員定期通過(guò)外置磁介質(zhì)將審計(jì)信息傳遞給控制中心。所有通訊采用SSL 加密方式傳輸，確保數(shù)據(jù)在傳輸過(guò)程中不會(huì)被篡改或欺騙。

　　為了防止受控端脫離控制中心管理，受控端程序應(yīng)由安全員統(tǒng)一安裝在受控主機(jī)，并與受控主機(jī)的網(wǎng)卡地址、IP 地址綁定。該程序做到不可隨意卸載，不能隨意關(guān)閉審計(jì)服務(wù)，且不影響受控端的運(yùn)行性能。受控端一旦安裝受控程序，只有重裝操作系統(tǒng)或由安全員卸載，才能脫離控制中心的管理。聯(lián)網(wǎng)時(shí)自動(dòng)將信息傳到控制中心，以保證審計(jì)服務(wù)不會(huì)被繞過(guò)。

　　3. 3 審計(jì)主機(jī)范圍。

　　涉密信息系統(tǒng)中的主機(jī)有聯(lián)網(wǎng)主機(jī)、單機(jī)等。常用操作系統(tǒng)包括Windows 98 ,Windows2000 ,Windows XP ,Linux ,Unix 等。主機(jī)審計(jì)系統(tǒng)的受控端支持裝有不同操作系統(tǒng)的聯(lián)網(wǎng)主機(jī)、單機(jī)等，實(shí)現(xiàn)使用同一軟件解決聯(lián)網(wǎng)機(jī)、單機(jī)、筆記本的審計(jì)問(wèn)題。

　　根據(jù)國(guó)家有關(guān)規(guī)定，涉密信息系統(tǒng)劃分為不同安全域。安全域可通過(guò)劃分虛擬網(wǎng)實(shí)現(xiàn)，也可通過(guò)設(shè)置安全隔離設(shè)備（如防火墻） 實(shí)現(xiàn)。主機(jī)審計(jì)系統(tǒng)應(yīng)考慮不同安全域中主機(jī)的管理和控制，即能夠?qū)Σ煌W(wǎng)段的受控端和安裝了防火墻的受控端進(jìn)行控制并將信息收集到控制中心，以便統(tǒng)一進(jìn)行審計(jì)。同時(shí)能給出簡(jiǎn)單網(wǎng)絡(luò)拓?fù)?，為管理人員提供方便。

　　3. 4 主機(jī)行為監(jiān)控。

　　一般計(jì)算機(jī)使用人員對(duì)計(jì)算機(jī)軟硬件尤其是信息安全知識(shí)了解不多，不清楚計(jì)算機(jī)的安全狀態(tài)。主機(jī)審計(jì)系統(tǒng)的受控端軟件應(yīng)具有主機(jī)安全狀態(tài)自檢功能，主要用于檢查終端的安全策略執(zhí)行情況，包括補(bǔ)丁安裝、弱口令、軟件安裝、殺毒軟件安裝等，形成檢查報(bào)告，讓使用人員對(duì)本機(jī)的安全狀況有一個(gè)清楚的認(rèn)識(shí)，從而有針對(duì)性地采取措施。自檢功能可由使用人員自行開(kāi)啟或關(guān)閉。檢查報(bào)告上傳給控制中心。

　　主機(jī)審計(jì)系統(tǒng)對(duì)使用受控端主機(jī)人員的行為進(jìn)行限制、監(jiān)控和記錄，包括對(duì)文檔的修改、拷貝、打印的監(jiān)控和記錄，撥號(hào)上網(wǎng)行為的監(jiān)控和記錄，各種外置接口的禁止或啟用（并口、串口、USB 接口等） ,對(duì)USB 設(shè)備進(jìn)行分類(lèi)管理，如USB 存儲(chǔ)設(shè)備（U 盤(pán)，活動(dòng)硬盤(pán)） 、USB 輸入設(shè)備（USB 鍵盤(pán)、鼠標(biāo)） 、USB2KEY以及自定義設(shè)備。通過(guò)分類(lèi)和靈活設(shè)置，增強(qiáng)實(shí)用性，對(duì)受控主機(jī)添加和刪除設(shè)備進(jìn)行監(jiān)控和記錄，對(duì)未安裝受控端的主機(jī)接入網(wǎng)絡(luò)拒絕并報(bào)警，防止非法主機(jī)的接入。

　　主機(jī)審計(jì)系統(tǒng)對(duì)接入計(jì)算機(jī)的存儲(chǔ)介質(zhì)進(jìn)行認(rèn)證、控制和報(bào)警。做到經(jīng)過(guò)認(rèn)證的合法介質(zhì)可以從主機(jī)拷貝信息；未通過(guò)認(rèn)證的非法介質(zhì)只能將信息拷入主機(jī)內(nèi)，不能從主機(jī)拷出信息到介質(zhì)內(nèi)，否則產(chǎn)生報(bào)警信息，防止信息被有意或者無(wú)意從存儲(chǔ)設(shè)備（尤其是移動(dòng)存儲(chǔ)設(shè)備） 泄漏出去。在認(rèn)證時(shí)，把介質(zhì)分類(lèi)標(biāo)識(shí)為非密、秘密、機(jī)密。當(dāng)合法介質(zhì)從主機(jī)拷貝信息時(shí)，判斷信息密級(jí)（國(guó)家有關(guān)部門(mén)規(guī)定，涉密信息必須有密級(jí)標(biāo)識(shí)） ,拒絕低密級(jí)介質(zhì)拷貝高密級(jí)信息。

　　在認(rèn)證時(shí)，把移動(dòng)介質(zhì)編號(hào)，編號(hào)與使用人員對(duì)應(yīng)。移動(dòng)介質(zhì)接入主機(jī)操作時(shí)記錄下移動(dòng)介質(zhì)編號(hào)，以便審計(jì)時(shí)介質(zhì)與人對(duì)應(yīng)。涉密信息被拷貝時(shí)會(huì)自動(dòng)加密存儲(chǔ)在移動(dòng)介質(zhì)上，加密存儲(chǔ)在移動(dòng)介質(zhì)上的信息也只能在裝有受控端的主機(jī)上讀寫(xiě)，讀寫(xiě)時(shí)自動(dòng)解密。認(rèn)證信息只有在移動(dòng)介質(zhì)被格式化時(shí)才能清除，否則無(wú)法刪除。有防止系統(tǒng)自動(dòng)讀取介質(zhì)內(nèi)文檔的功能，避免移動(dòng)介質(zhì)接在計(jì)算機(jī)上（無(wú)論是合法還是非法計(jì)算機(jī)） 被系統(tǒng)自動(dòng)將所有文檔讀到計(jì)算機(jī)上。

　　3. 5 綜合審計(jì)及處理措施。

　　要達(dá)到綜合審計(jì)，主機(jī)審計(jì)系統(tǒng)需要通過(guò)標(biāo)準(zhǔn)接口對(duì)多種類(lèi)型、多個(gè)品牌的安全產(chǎn)品進(jìn)行管理，如主機(jī)IDS、主機(jī)防火墻、防病毒軟件等，將這些安全產(chǎn)品的日志、安全事件集中收集管理，實(shí)現(xiàn)日志的集中分析、審計(jì)與報(bào)告。同時(shí)，通過(guò)對(duì)安全事件的關(guān)聯(lián)分析，發(fā)現(xiàn)潛在的攻擊征兆和安全趨勢(shì)，確保任何安全事件、事故得到及時(shí)的響應(yīng)和處理。把主機(jī)上一個(gè)個(gè)原本分離的網(wǎng)絡(luò)安全產(chǎn)品聯(lián)結(jié)成一個(gè)有機(jī)協(xié)作的整體，實(shí)現(xiàn)主機(jī)安全管理過(guò)程實(shí)時(shí)狀態(tài)監(jiān)測(cè)、動(dòng)態(tài)策略調(diào)整、綜合安全審計(jì)、數(shù)據(jù)關(guān)聯(lián)處理以及恰當(dāng)及時(shí)的威脅響應(yīng)，從而有效提升用戶(hù)主機(jī)的可管理性和安全水平，為整體安全策略制定和實(shí)施提供可靠依據(jù)。

　　系統(tǒng)的安全隱患可以從審計(jì)報(bào)告反映出來(lái)，因此審計(jì)系統(tǒng)的審計(jì)報(bào)告是很重要的。審計(jì)報(bào)告應(yīng)將收集到的所有信息綜合審計(jì)，按要求顯示并打印出來(lái)，能用圖形說(shuō)明問(wèn)題，能按標(biāo)準(zhǔn)格式（WORD、HTML 、文本文件等） 輸出。但是，審計(jì)信息數(shù)據(jù)多，直接將收集的信息分類(lèi)整理形成的報(bào)告不能很好的說(shuō)明問(wèn)題，還應(yīng)配合審計(jì)員的人工分析。這些信息可以由審計(jì)員定期從控制中心數(shù)據(jù)庫(kù)備份恢復(fù)。備份的數(shù)據(jù)自動(dòng)加密，恢復(fù)時(shí)自動(dòng)解密。審計(jì)信息也可以刪除，但是刪除操作只能由審計(jì)員發(fā)起，經(jīng)安全員確認(rèn)后才執(zhí)行，以保證審計(jì)信息的安全性、完整性。

　　審計(jì)系統(tǒng)發(fā)現(xiàn)問(wèn)題的修復(fù)措施一般有打補(bǔ)丁、停止服務(wù)、升級(jí)或更換程序、去除特洛伊等后門(mén)程序、修改配置和權(quán)限、專(zhuān)門(mén)的解決方案等。為了保證所有主機(jī)都能得到有效地處理，通過(guò)控制中心統(tǒng)一向受控端發(fā)送軟件升級(jí)包、軟件補(bǔ)丁。發(fā)送時(shí)針對(duì)不同版本操作系統(tǒng)，由受控端自行選擇是否自動(dòng)執(zhí)行。因?yàn)橛行┸浖?jí)包、軟件補(bǔ)丁與應(yīng)用程序有沖突，會(huì)影響終端用戶(hù)的工作。針對(duì)這種情況，只能采取專(zhuān)門(mén)的解決方案。

　　在復(fù)雜的網(wǎng)絡(luò)環(huán)境中，一個(gè)涉密網(wǎng)往往由不同的操作系統(tǒng)、服務(wù)器，防火墻和入侵檢測(cè)等眾多的安全產(chǎn)品組成。網(wǎng)絡(luò)一旦遭受攻擊后，專(zhuān)業(yè)人員會(huì)把不同日志系統(tǒng)里的日志提取出來(lái)進(jìn)行分析。不同系統(tǒng)的時(shí)間沒(méi)有經(jīng)過(guò)任何校準(zhǔn)，會(huì)不必要地增加日志分析人員的工作量。系統(tǒng)應(yīng)提供全網(wǎng)統(tǒng)一的時(shí)鐘服務(wù)，將控制中心設(shè)置為標(biāo)準(zhǔn)時(shí)間，受控端在接收管理的同時(shí)，與控制中心保持時(shí)間同步，實(shí)現(xiàn)審計(jì)系統(tǒng)的時(shí)間一致性，從而提供有效的入侵檢測(cè)和事后追查機(jī)制。

　　4 結(jié)束語(yǔ)

　　涉密系統(tǒng)的終端安全管理是一個(gè)非常重要的問(wèn)題，也是一個(gè)復(fù)雜的問(wèn)題，涉及到多方面的因素。本文從體系架構(gòu)、安全策略管理、審計(jì)主機(jī)范圍、主機(jī)行為監(jiān)控、綜合審計(jì)及處理措施等方面提出主機(jī)審計(jì)系統(tǒng)的設(shè)計(jì)思想，旨在與廣大同行交流，共同推進(jìn)主機(jī)審計(jì)系統(tǒng)的開(kāi)發(fā)和研究，最終開(kāi)發(fā)出一個(gè)全方位的符合涉密系統(tǒng)終端安全管理需求的系統(tǒng)。

　　參考文獻(xiàn)：

　　[1 ] 網(wǎng)絡(luò)安全監(jiān)控平臺(tái)技術(shù)白皮書(shū)。 北京理工大學(xué)信息安全與對(duì)抗技術(shù)研究中心，2005.

　　[2 ] 王雪來(lái)。 涉密計(jì)算機(jī)信息系統(tǒng)的安全審計(jì)。 見(jiàn)：中國(guó)計(jì)算機(jī)學(xué)會(huì)信息保密專(zhuān)業(yè)委員會(huì)論文集，13 :67 - 72.

　　[3 ] 侯小東。 安全：防火墻和安全審計(jì)是基礎(chǔ)。 中國(guó)計(jì)算機(jī)報(bào)，2003.

　　[4 ] 電子政務(wù)系統(tǒng)中的安全審計(jì)。 保密技術(shù)信息，2004 , （36） :13 - 15