運維審計系統在潘家口電廠信息網絡中的應用

朱紫微，李赫明

（國網新源控股有限公司潘家口蓄能電廠，河北 唐山 064300）

1 引言

近年來，電力企業對網絡與信息安全空前重視，隨著企業信息化工作不斷推進，業務系統日漸增多，保障系統的安全是信息工作的首要任務，防火墻、入侵檢測系統等安全設備可以做到對外部攻擊威脅的攔截與安全防護，但對于業務系統內部的賬號權限劃分與訪問、運維人員誤操作等隱患仍無法進行管控。當下，解決賬號管控與操作審計才是減少信息系統安全風險的重點工作。

2 前期設計

（1）設計原則

1）減少運維風險

運維審計系統須以實現對潘家口電廠信息系統主要設備進行狀態監測及對數據庫進行日志記錄、用戶行為審計為建設方向，應能夠對信息系統運維過程做到事前預防、事中控制、事后審計，建立完善的運維審計體系。

2）安全可靠

滿足信息系統網絡安全相關規范制度要求，運維審計系統自身應具有較高的安全可靠性，并采用HTTPS方式進行遠程安全管理，對賬號權限及設備登陸訪問進行管控，再通過運維審計系統發起到設備對應服務的訪問，加強內部設備的安全性。

3）適應電廠信息網絡現狀

運維審計系統需以潘家口電廠信息網絡現狀為依據進行設計，避免改變現有網絡結構，支持IPV6網絡環境。

4）高可用性

系統部署后，保證潘家口電廠使用系統時登陸方式安全、操作界面簡潔，支持按日、周、月為周期生成周期性報表，對運維操作過程實現同步監控與回放，便于管理員進行控制與事后審計。

（2）系統功能需求

1）資源管理

需實現對潘家口電廠內信息系統設備的管理，包含對設備資源進行基本操作的功能，例如設備新增、修改、刪除、服務添加、聯通性檢測、賬號添加等。

2）賬號管理

系統應支持多種身份認證方式，并為每一個運維人員創建唯一的運維帳號，在運維操作時，所有設備帳號均與運維賬號進行關聯，確保所有運維行為審計記錄的一致性，從而準確定位事故責任人，有效解決帳號共用問題。管理員可根據目標資源設置不同角色，通過基于角色的權限訪問控制，實現細粒度授權與策略控制。

3）審計模塊

系統可以實現操作過程同步監視，當運維人員在設備上操作時，管理員可以隨時中斷運維人員的違規操作；系統支持按日、周、月為周期自動生成周期性報表，報表應支持導出；能夠以在線或離線方式視頻回放重現運維人員的整個操作過程，支持拖動、暫停等基本的播放控制操作，從而真正實現對操作內容的完全審計。

4）告警功能

系統應支持根據寫入的訪問控制策略，自動檢測日常運維過程中發生的越權訪問、違規操作等安全事件，能夠根據預設規則進行自動的告警或阻斷。

3 實施步驟

運維審計系統采用物理旁路方式部署，只需要確保運維審計系統、服務器與被審計設備之間網絡可達即可。

（1）IP 地址分配

（2）網絡物理連接

將運維審計系統設備及其服務器網口連接入被審計設備所在網絡。

（3）設備配置

1）運維審計系統設備配置

通過串口配置設備，重啟服務，通過服務器登陸設備，檢測設備網絡連通性及運行情況。

2）運維審計系統服務器配置

在服務器上登陸運維審計系統管理網址，在資源管理界面添加當前所需審計設備，完成基礎信息后，進入服務配置界面，輸入需要添加服務的相關信息，檢測運維審計系統到目標資源的對應端口的連通性正常后，根據分類將被審計設備添加設備組，便于后期分類管理；在用戶管理界面對用戶賬號、認證方式、密碼策略、運維管理相關功能等進行設置；在授權管理界面進行角色創建，選擇“添加授權”來完成運維帳號授權訪問資源操作。

（4）審計管理

在潘家口電廠運維審計系統管理人員登錄系統后可進入審計管理界面，在此界面可查看會話監控、審計日志及審計報表。在會話監控界面，可實時查看當前運維用戶進行的操作，并可強制阻斷會話來切斷運維用戶與資源的聯系；在審計日志界面運維人員可詳細查看運維日志、登陸日志、管理日志、系統日志等重要日志，便于運維操作回顧與記錄；在審計報表界面可生成一次性或周期性報表，可根據運維需求自主設置

4 應用情況

潘家口電廠運維審計系統于2020年安裝運行，在信息系統運維過程中，運維人員通過運維審計系統做運維，很大程度上減少了運維人員賬戶風險，避免運維人員非法或無意執行高危操作，對運維人員的操作進行實時監控和事后審計，能夠準確定位安全事件。目前系統可以完成對電廠網絡設備、安全設備等重要信息系統設備的管控與審計，提供強大的運維審計功能，至今未發生任何故障，設備運行良好，大大提高潘家口電廠信息系統運維的操作審計和控制能力。