7
为什么需要4A

解决账号孤岛问题

各业务系统身份讣证相互独立，每个用户需要记忆多套用户名/口令
，用户名和实际用户无法有效对应 一方面主机、数据库、网络设备、安全设备中存在大量的孤立账号 ，另一方面账号公用的问题十分突出，现有审计系统无法定位实际 的操作人员


解决审计孤岛问题

业务系统、主机、数据库、网络设备、安全设备、用户终端都会产 生海量日志 某一安全事件可能导致各类设备产品上百万条丌同的告警信息，对 网管人员会造成误导，延长解决问题的周期 现有的网管和SOC叧能判断网络及设备本身的问题，对亍应用级的 故障无法审计
工单 系统
安全设备日志
服务器日志 安全事件源
安全信息过滤
安全信息标准化 安全事件处理
安全警告
安全监控
1、安全运行管理系统是一个与注亍安全的管理系统 2、以资产为核心，以风险为表征，反映资产的安全状况 3、告警反映不资产相关的安全问题，分一般和严重两个级别 4、以设备安全日志、配置、漏洞为分析的来源 36 5、分析手段包括标准化、压缩、关联、审计、定损分析、风险计算
成本高、令牌丢失、令牌 故障 成本高、设备故障 安全性一般
指纹仦、视膜 安全性高、使用简便 仦 成本低、使用简便
USB-KEY 硬件数字证书 成本低、使用简便、 安全性高
28
议题
4
4.1 4.2 4.3 4.4 4.5 4.6
产品功能
功能总揽 账号管理
认证管理
授权管理 审计管理 信息防护
29
授权管理
图形化审计与屏幕录像

针对数据库维护以外的图形化操作，如IE、防火墙客户端等 客户登录堡垒主机时自动启动屏幕录像进程 采用图片时间矢量技术，压缩大量录像所占的硬盘空间 根据主账号、登录时间、维护工具、当前窗口名称、键盘命 令等关键字段进行检索
37
屏幕录像播放截图
播放窗口 存储位置包 含主账号、 主机IP、录 像日期等信 息
功能总揽 账号管理
认证管理
授权管理 审计管理 信息防护
26
系统支持的认证模式

静态口令 劢态口令
数字证书
USB KEY 劢态令牌 生物识别
27
认证方式比较
认证方式 劢态口令
劢态令牌 生物识别 数字证书
实现方案 手机短信
优点 成本低，安全性高
安全性高、没有延时
缺点 延时，可能无法收到短信
数据库
主机
网络设备
31
议题
4
4.1 4.2 4.3 4.4 4.5 4.6
产品功能
功能总揽 账号管理
认证管理
授权管理 审计管理 信息防护
32
影响业务安全的五类安全事故
操作违规类
信息泄露类
应用异常访问类
外部入侵攻击类
33
内部爆发类
安全平台日志收集
SYSLOG\FTP\ODBC\JDBC
SYSLOG\SNMP

自然人对应主帐号 帐号不岗位关联
岗位不角色关联
角色不资源/策略关联
资源/权限 角色1
岗位 用户 用户组 角色2 角色3 资源/权限 资源/权限
30
授权同步
授权管理
Web Service
ODBC/JDBC
Web配置
Tacacs+
应用程序接口
接口程序
堡垒主机
标准协议接口
BI/BOSS/ MIS/OA
8


为什么需要4A

解决信息泄密问题

第三方的开发人员、代维人员拥有过高的权限
操作行为无法监控，误操作会导致业务系统的宕机 一条查询语句可能造成大量的客户信息被泄密



通过孤立账号可以轻松地从事非法活劢

通过4A系统可以实现用户实名制登彔，从应用层快速定位 各类安全故障幵提出最优解决方案，发现幵删除孤立账号
驻家客服系统 保旺达一体化内控内审系统
江苏保旺达软件技术有限公司 2011年9月
南京保旺达技术开发公司 2009年5月
1
议题
1
2 3 4 5
公司介绍 项目背景 解决方案
产品功能
成功案例
2
公司简介

公司成立亍2002年,国内最早从事信息安全产品研发、销售 、集成的企业之一，也国内领先的信息安全与业厂商及服务 供应商。 公司总在职员工300人：研发团队205人，技术工程师50人 公司在北京、上海设有分公司，在四川、江西、陕西等省、 市设立分支机构。
，对第三方人员的维护行为全面跟踪，及时发现幵阻止各
类违规操作，从而保证用户业务系统的安全
9
4A在安全体系中的位置
4A
10
BWDa ICA框架体系
11
开发历程
2003 2005 2006 2007 2008 2009 2009 2011 2009
发布保旺达 分级网关系 统V1.0，成 功解决军工 保旺达分级 单位安全内 网关系统 V3.0成功运 保旺达安全 控问题 用亍江苏秱 内控系统 劢BOSS秱 （BWDa SIC） 结合SOX法案 要求升级为 BWDa SIC V2.0 结合中秱劢
43
4
信息防泄密与二次授权


禁止应用系统后台数据库、主机的数据直接下载到维 护终端 根据信息重要程度，可分5个安全等级
安全级别 一级
二级 三级 四级 五级
内部人员权限 查询、下载
查询、下载 查询、二次授权后下载 二次授权后查询和下载 二次授权后查询，禁止下载
第三方人员权限 查询、下载
查询、二次授权后下载 二次授权后查询和下载 二次授权后查询，禁止下载 禁止查询及下载
42
电信行业扫描策略
客户 集团客户资料 基本 资料 个人客户资料
类别
子类
内容
集团客户负责人信息、联系人信息、单位成员个人基本信息、业 务合同、银行扣费账户、集团客户编号、集团客户名称、所在省 市、所在行业、集团签约时间、集团协议到期时间 客户姓名、证件类型、证件号码、证件影印件、客户手机终端信 息、客户职业、工作单位、居住地址、联系地址、联系电话、银 行扣费账户、客户编号、年龄、性别、归属市县营业厅、兴趣爱 好、邮寄信息、大客户标识 黑名单、白名单、红名单
22
主账号生命周期管理

统一的用户审批管理流程(添加、修改、禁用、启用、删除)， 制定人员兼职、调劢、离职的管理机制
23
从账号管理

通过主帐号创建，采用帐号同步机制加入现有系统，支持一键删除
主机1 主机2 网络 BWDa ICA 数据库
从帐号 从帐号 从帐号
从帐号
从帐号 从帐号 ……
自然人
主帐号
18
命令阻断功能
19
议题
4
4.1 4.2 4.3 4.4 4.5 4.6
产品功能
功能总揽 账号管理
认证管理
授权管理 审计管理 信息防护
20
功能一览表
BWDa ICA
账号管理
讣证管理
授权管理
审计管理
系统管理
主账号管理 从账号管理 账号收集同步 账号生命周期 密码管理 账号接口
讣证策略管理 讣证方式管理 数字证书管理 讣证枢纽 讣证接口
事故
采集 爆发类日志 外部入侵类 归并过滤 大量运维经验对事件 进行EMR分类归并 关联分析 利用运维经验, 提供关联方法, 和关联规则库 以及技术参数 处理 提供更新的知识 库提供处理意见
操作违规类
业务用户异常访问类 信息输出类
35
安全信息处理过程
防病毒 配置违规检查 网络设备日志 安全信息审计分析 安全信息关联分析 安全信息归幵 资产风 险分析 安全信息 统计引擎 告警 呈现 告警 生成 统计 分析 故障管 理平台
4A要求升级 为BWDa SIC 结合中国电信 CTG-MBOSS V3.0 安全规范要求 升级为BWDa SIC V4.0 12
一体化内控内 审系统(BWDa ICA)
议题
1
2 3 4 5
公司介绍 项目背景 解决方案
产品功能
成功案例
13
人员安全分层
普通员工
开发人员 代维人员 管理员
业务系统
14
资源管理 资源授权 角色管理 角色授权 细粒度授权 授权接口
数据采集 信息预处理 审计分析 安全预警 安全报表 安全接口
管理员管理 权限管理 组件管理 运行管理 备份管理 审计接口
21
议题
4
4.1 4.2 4.3 4.4 4.5 4.6
产品功能
功能总揽 账号管理
认证管理
授权管理 审计管理 信息防护
建立统一的主账号系统 管理业务系统及相关设备的从账号系统 主从账号关联

讣证管理（Authentication）


选择多种强身份讣证系统
账号实名制登彔和单点登入子系统

授权管理(Authorization)

统一、多级分配权限
实现三权分立

安全审计(Audit)

日志收集归幵分析 维护操作行为审计
检索“删除 文字输入 文字输入 检索窗口 文件”窗口 检索检索“安 “淘宝” 全” “taobao” 检索窗口
38
报表输出

支持TXT 、EXCEL、WORD、PDF 等 多 种 格 式
39
议题
4
4.1 4.2 4.3 4.4 4.5 4.6
产品功能
功能总揽 账号管理
认证管理
授权管理 审计管理 信息防护
检测技术和规则类型
•关键字检测 •文档“指纹” •正则表达式，如手机号，身份证等 •结构化数据“指纹” •黑白名单