电信集团网络运维管理信息系统的设计与实现
电信集团网络运维管理信息系统的设计与实现
作者：殷学强
来源：《中国高新技术企业》2013年第14期
        摘要：随着社会信息化改革发展的不断进步，对于电信运营商的网络内部控制要求逐渐提高。电信运营商的网络运维管理系统的控制关键点包括对网络设备、主机终端和数据库系统的执行操作进行严格审计。文章在分析了目前电信集团运维管理信息系统存在问题的基础之上，提出了一套完善的运维管理信息系统设计方案，具有较强的实际应用意义。
        关键词：电信集团；运维管理信息系统；设计实现
        中图分类号：TP311 文献标识码：A 文章编号：1009-2374电信宽带密码修改（2013）21-0048-03
        1 网络运维管理信息系统的发展现状
        随着互联网技术的不断进步，网络建设的规模日益扩大，电信集团对于网络运维的需求也逐渐增多，不止局限于网络运行的正常稳定，还需要增强网络运行的安全性和可靠性。据相关调查研究表明，在企业网络安全事故中，75%都是由于企业内部人员对网络进行了不当操作造
成的，包括企业内部人员对网络的错误操作、越权访问、恶意破坏等等。电信集团作为网络运营商，需要保证IP承载网运行的安全稳定，防止企业内部人员由于错误操作给企业带来巨大的经济损失，因此，电信集团需要建立起完善的网络安全审计体系，当企业内部人员对网络发起访问时能够执行严格的审计命令。
        各大通信集团企业的网络运维管理方式主要采用的是SSH管理方式、VNC管理方式和RDP管理方式等等，对网络核心设备进行相关维护。目前，如何能够将系统管理员在维护网络过程中将操作进行记录，为审计提供明确的依据，真正提高企业网络运维管理的安全性和可靠性，是目前网络内部控制体系建设的重点工作。
        无论是电信集团企业内部网络运维管理人员，还是与第三方合作的网络运维代管人员，对于网络的维护大多数采取的是通过个人账号登录到系统内部，通过认证之后对网络进行维护操作。经常一个系统账号由多个网络运维管理人员共同使用，系统账号和密码也不再具有唯一性，制定的账号密码策略也很难得到有效执行。如果需要对密码进行修改，必须通知到每个使用该账号密码的工作人员，当某个网络运维管理人员辞职或者调离部门，系统账号和密码就非常容易遭到泄露，增加了企业内部人员的错误操作和恶意破坏的可能性，同时也很难追查到责任人。
        2 电信集团网络运维管理信息系统存在的问题
        2.1 系统运维管理人员维护困难
        由于电信集团网络系统中包含了大量的网络设备、主机终端和应用程序等等，分别支持着电信集团的不同业务，由企业不同部门人员使用。
        2.2 账号共享存在安全问题
        网络系统中的不同应用程序都有其独立唯一的账号密码体系，但是，企业为了方便对系统的操作使用，经常是由多名员工共同使用一套账号密码。
        2.3 密码策略得不到有效执行
        当企业员工分配了系统账号和密码之后，大多数员工为了方便使用都将账号密码设置成为安全级数较低的简单密码，甚至不对密码进行任何修改直接使用初始密码。同时，企业也没有采取有效地技术手段来支持密码策略的执行，密码策略的应用只是一种形式而已。
        2.4 系统账号流程管理薄弱
        电信集团的业务系统非常庞大，用户的身份与企业业务系统的账号是相互交叉的，用户与业务系统之间属于短连接的方式，经常以用户的姓名作为登陆系统的账号，这种流程管理使得用户身份非常混乱，这种多重交叉、错综复杂的关系对业务系统的正常运行带来了极大影响。
        2.5 访问控制策略过于简单
        电信集团在日常运维管理过程中，没有设置一个明确的用户访问控制策略，当用户对网络系统中的某个设备发起访问时，运维管理系统不能立刻对其进行鉴别，也没有完善的技术手段来支持用户访问控制策略的有效实施。
        2.6 用户操作缺乏有效审计
        如果要保证电信集团各个业务系统的独立运行和维护管理，对于每个业务系统的审计也要使其相互独立。要保证网络系统中的网络设备单独审计、主机终端单独审计。当网络系统发生安全事故之后，要认真审计每个系统的日志记录，但是，大多数情况下虽然能够定位到具体事故发生日期，也很难到具体是哪个账号实施的破坏行为。而且，由于不同操作系统的日志记录内容和详细程度并不相同，因此仍然存在较多的漏洞和问题。
        3 电信集团网络运维管理信息系统功能需求分析
        电信集团网络运维管理信息系统集中管理示意图如图1所示：
        3.1 统一管理和维护系统用户账号
        在对电信集团实施用户账号统一管理之前，对于每个新建立的信息系统都要为其配置一套用户账号管理系统，分别由专门的系统管理人员对其进行管理维护。但是，用户账号管理系统的建设成本较高，后期维护成本开销也相对较大，如果能够建立一套统一的系统账号管理系统，实现对整个网络系统中的各种业务系统账号进行有效管理，包括对用户身份的管理、部门信息的管理、合作单位的管理等等，同时为网络系统中的各种业务应用系统提供最为基础的用户信息。对用户的维护和管理由专门的入口进行操作，才能真正保证用户账户信息的更新同步和信息可靠。
        3.2 对用户账号进行定期审查
        网络系统超级管理人员的账号具有级别较高的权限，因此，需要对超级管理人员的系统账号进行定期审查，对于不再使用的账号立刻进行清理。由于网络系统中的主机终端、数据
库服务器、应用程序的账号是由专门管理人员分散管理的，难以对其进行全面的审查和清理。运维管理信息系统中的审计系统能够实现用户账号的统一注册、定期管理。
        3.3 用户账号共享使用问题
        目前，电信集团网络系统中的数据库服务器、主机设备和各种应用系统都存在用户账号共享使用的问题，一旦发生网络安全事故，很难定位到账号的使用人员。运维管理信息系统的审计系统能够为每个用户建立唯一的账号，不再受制于账号共享的弊端。
        4 电信集团网络运维管理信息系统的设计与实现
        4.1 电信集团网络运维管理信息系统结构设计
        根据电信集团网络系统运维安全的需求，本文设计了网络运维管理信息系统的结构框架，系统设计原则要满足操作灵活、使用简单、认证可靠、审计严格的特点，同时建立一套统一的审计机制，使用户对网络系统中的相关设备的操作和控制能够更加规范，控制网络内部的风险以及与其他单位合作开发应用的风险发生，对任何用户进行的操作行为进行完全真实的记录。
        电信集团网络运维管理信息系统采用的是B/S架构模式，由数据层、管理层和外部接口层三个部分共同组成。电信集团网络运维管理信息系统的总体架构如图2所示：
        数据呈现层：为电信集团网络系统提供统一简介、操作方便的Web界面，运维管理人员只需要通过Web页面登陆到系统中，就能够实现对目标设备的管理维护以及审计用户行为操作等。
        数据管理层：数据管理层是将操作审计作为核心，实现用户账户管理、相关数据报表统计以及资产清查管理等功能，操作审计包括图形图片审计、字符信息审计和数据信息传输审计。
        外部接口层：外部接口层负责支撑电信集团网络运维管理信息系统的全部外部接口，包括SNMP接口、SYSLOG接口等等。
        4.2 电信集团网络运维管理信息系统功能模块设计
        电信集团网络运维管理信息系统的整体部署如图3所示：
        由图3可以看出，电信集团网络运维管理信息系统通过旁路代理的方式置于整个网络系统中，其部署只需要一根独立的网络地址即可完成。为了能够对网络系统进行全面有效地控制审计，需要在电信集团各个业务服务器的网络设备和防火墙设备中设置访问控制列表，使全部运维操作只能通过网络运维管理信息系统实现，其他的业务通道不需要进行任何改变，即使运维操作审计过程中出现任何问题，也不会影响到网络系统中的业务正常稳定运行。
        为了能够保证系统审计操作的有效性，所以增加了一台时间同步服务器，使所有运维操作审计行为能够与时间服务器完全同步，也将业务服务器与时间服务器之间进行同步，从而能够有效保证系统日志管理、运维审计操作的时间相同，对网络安全事故的分析奠定良好基础。
        4.2.1 统一认证和鉴别用户身份。在对网络系统的各种信息系统进行维护和管理时，经常会出现多名系统运维管理人员共同使用一个账号登陆系统进行维护管理的情况，即使出现了网络安全事故也很难定位到具体责任人。电信集团网络运维管理信息系统能够利用服务器账号与运维审计账号相互关联的方式，即在运维审计操作中为每个系统运维管理人员单独创建一个唯一的登陆账号，系统运维管理人员通过自己的账号登录到电信集团网络运维管理信
息系统，之后再登录到目标服务器中，以便能够将用户访问的身份进行准确记录。电信集团网络运维管理信息系统能够支持单点登录功能，系统运维管理人员只要登录到网络运维管理信息系统中，就可以对已经授权的服务器系统发起正常访问，而不需要再进行第二次系统登陆和认证。电信集团网络运维管理信息系统通过一个用户身份认证中心，使各个业务系统都能够利用用户身份认证中心来验证登陆用户的真实信息，这个方法的实现是基于单点登录技术实现的，但是只能够保存用户的信息，用户权限的认证需要各个业务系统进行判断。在不同的业务系统中，用户登陆信息的保存是通过Session实现的。
        4.2.2 用户访问权限控制策略。电信集团网络运维管理信息系统的运维操作审计能够对系统运维管理人员采用细粒度的形式进行权限控制，系统运维管理人员可根据用户账户、操作命令等对用户访问权限进行控制：一是能够限制用户对服务器访问的范围；二是对用户的登陆时间进行限制；三是设置用户操作的黑白名单，防止用户违规操作；四是能够支持用户授权访问机制，对于某些特殊用户来说，如果需要对特定网络设备进行访问，每次都要经过系统运维管理人员的授权才能进行，避免访问过的用户还拥有临时系统账号的访问权限，在系统运维管理人员不知情的情况下越权访问；五是用户登录系统之后需要保存用户的信息，根据用户角信息来查询其拥有的网页地址访问权限，再调用函数得到该用户拥有的网页地
址，进行匹配之后允许用户访问。
        4.2.3 远程访问会话同步监控。对于用户对远程目标服务器发起访问的所有会话连接来说，电信集团网络运维管理信息系统能够对其进行实时同步监控，用户的任何操作都会同步显示到电信集团网络运维管理信息系统的审计管理画面中，系统运维管理人员可以根据实际情况随时中断用户的违规操作。
        4.2.4 用户异常操作行为告警。电信集团网络运维管理信息系统内部包含的网络安全事件规则数据库，能够对用户的操作行为进行实时检测，如果发现用户存在违规操作的现象立刻以短消息、E-mail的形式向系统运维管理人员发出告警信息，并且自动终止该用户的违规操作。网络安全事件规则数据库能够支持扩展功能，系统运维管理人员可以根据实际需求对网络安全事件规则数据库的内容进行调整和扩充。
        4.3 历史操作记录查询
        电信集团网络运维管理信息系统能够支持界面查询功能，可以对电信集团以往的网络安全事故进行查询，系统运维管理人员能够根据网络地址、用户名、发生时间等条件进行组合
查询，快速到需要的历史操作记录。历史操作记录查询结果可以以表格的形式输出，方便系统运维管理人员的后续处理。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。