運維審計在氣象信息系統的應用

導語：運維審計在氣象信息系統的應用一文來源于網友上傳，不代表本站觀點，若需要原創文章可咨詢客服老師，歡迎參考。

一、引言

隨著氣象信息化業務的不斷發展，支撐氣象業務系統的網絡設備、服務器及各種業務平臺隨之增多，對系統的安全訪問控制要求也越來越高，因此部署一套運維安全審計，使得網絡管理人員可以對安全設備進行集中賬號管理，實時記錄運維人員的用戶行為，實現對數據訪問行為的審計監控，已成為氣象信息網絡安全建設不可缺少的組成部分。

二、氣象信息系統中的主要運維風險

近幾年，越來越多的基于互聯網、政務網的氣象應用平臺被投入使用，對這些應用平臺運行過程出現的安全問題，大多安裝一些用于防范外部的入侵和破壞的安全產品，如防火墻、防病毒軟件和入侵檢測系統等，但對于運維人員和內部人員的違規操作卻缺少必要的防范措施，主要表現在以下幾個方面：（一）賬號共用。在機房中，存在著大量的網絡設備和服務器，每個設備都有自己獨立的賬號，由于工作需要，多個網絡值班人員需要同時系統管理這些設備,只能多用戶共享同一賬號,多人共用這個賬號，這就導致運維過程中無法準確定位到人,事后責任不清,存在較大的安全風險和隱患。（二）運維操作無全過程審計。運維人員對服務器，網絡設備，數據庫等進行的各種操作缺乏監控，無專屬的審計記錄。安全事故發生后，無法對他們的違規操作或誤操作進行追查。（三）第三方維護人員安全隱患。隨著氣象業務現代化發展需求，大部分的氣象服務平臺是第三方開發商研發的，維護也是由第三方技術人員來處理，由于代維人員流動性大，又缺少對他們操作行為的監控，這些不確定因素，帶來了不穩定的安全風險問題。

三、運維審計系統的主要功能

針對氣象信息系統運維中存在的風險，主要要解決以下幾個問題：一是賬號管理及授權問題；二是運維的實時監控問題；三是運維事件事后審計問題。運維審計綜合了核心系統運維和安全審計管控兩大主干功能，對網絡安全設備和服務器等資源訪問采用協議的方式替換直接訪問，并經過運維審計系統的統一認證和授權，達到最小化運維風險目的。運維審計系統側重于運維安全管理，集單點登錄、賬號管理、身份認證、資源授權、訪問控制和操作審計為一體。

四、運維審計系統的部署與應用

（一）運維審計。系統部署依據氣象信息系統中存在的風險，將運維審計系統主機部署在運維管理區(見圖1)，接入網絡的方式采用旁路部署，用戶訪問方式采用瀏覽器/服務器模式，只要在客戶端主機裝上控件插件，就可以用瀏覽器登錄平臺進行維護和操作。（二）運維審計。系統實際應用整理本局網絡設備、服務器及各類氣象業務平臺納入運維審計系統，使之成為相互信任的應用系統，并對所有網絡設備、服務器、交換機等資源的設備賬號進行集中管理，這樣使網絡管理員無需記憶眾多系統密碼，只需要以自己賬號登錄運維審計平臺即可實現自動登錄所授權的目標設備，便捷安全。最重要的是必須在防火墻上設置氣象信息網絡內所有網絡資源和服務器主機只有運維審計系統可以訪問。對運維審計系統進行3級權限設置，分設為系統管理員、操作員和審計員。系統管理員具有最高權限，包括建立賬號、賬號授權、訪問控制、制定策略等；操作員具有對所授權的網絡資源進行運行和維護操作；審計員的主要權限是監控和查看運維審計系統上的操作和審計信息。我們將網絡負責人賬號設為唯一的系統管理員，由其建立網絡值班人員和第三方運維人員賬號，同時授予操作員權限，部門負責人賬號授予審計員權限。通過對運維審計系統進行策略制定，做好訪問控制。針對不同的賬號進行不同策略的制定，杜絕任何資源均能被任意運維人員登錄操作，嚴防非法，越權訪問事件的發生，從而保護合法操作者合法訪問資源。將福建省寧德市氣象局內部的網絡值班人員賬號授予操作員權限，賦予其日常維護的網絡設備和業務平臺的運行維護權限；將第三方運維人員賬號授予臨時操作員權限，該權限是由第三方運維人員提出申請后，臨時授予短期權限，并僅對授權的平臺具有操作權限，通過嚴格的權限控制和操作行為審計，加強對代維人員的行為管理，從而達到消除隱患、規避風險的目的。做好留痕和審計工作，對部門負責人賬號授予審計員權限。具有查看運維審計系統上的所有審計信息，在出現任何問題時，都可以在審計管理行為審計里查看和回放當時的情景，準確定位出錯誤來源，以更好的解決問題。

五、總結

通過運維審計系統在氣象信息網絡內的部署，福建省寧德市氣象局各業務應用平臺的運維審計安全監管的工作得到了很大的改善。網管人員只需要登錄運維系統就可以完成所管理的所有設備的安全配置工作，極大的減輕了管理員的工作量，提升了工作效率。有效地降低了氣象信息系統受外部攻擊和信息泄漏等風險，進一步提高了福建省寧德市氣象局信息安全防護水平。

作者:王金萍 袁小燕 林鋮 葉德彪 單位:福建省寧德市氣象局