主机访问控制解决方案技术白皮书

《主机访问控制解决方案技术白皮书》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、ChinaEtekServiceKerbsphere主机访问管理平台软件技术白皮书V1.0文档信息文档名称Kerbsphere主机访问管理平台软件简明用户使用手册作者蔡明审批者万庆说明本文件是主机访问管理平台软件的技术白皮书文件名称Kerbsphere技术白皮书1.doc修订历史(REVISIONHISTORY)RevSection类型日期作者内容12007-10-17蔡明13北京市西城区金融大街17号中国人寿中心608室上海浦东陆家嘴东路161号招商局大厦2114室电话：（010）66220708

2、传真：（010）6622069613电话：（021）58777686传真：（021）58409993ChinaEtekService目录第一章存在的问题2第二章Kerbsphere解决方案分析32.1Kerbsphere方案设计32.2管理流程52.3Kerbsphere拓扑逻辑5第三章Kerbsphere主机系统功能架构和管理功能模块73.1系统技术架构73.2系统功能模块8第四章Kerbsphere优点分析94.1清晰明了的主机设备清单和详细情况94.2明确、易于管理的特权使用人和主机访问帐号的

3、对应关系104.3全面、完善的访问记录104.4可以很快跟踪到特权使用的申请和审批记录114.5可靠、符合审计要求的密码管理功能11第五章Kerbsphere监控模块功能12第六章总结1313北京市西城区金融大街17号中国人寿中心608室上海浦东陆家嘴东路161号招商局大厦2114室电话：（010）66220708传真：（010）6622069613电话：（021）58777686传真：（021）58409993ChinaEtekService第一章主机访问管理存在的问题开放系统的主机特别是Unix

4、、Linux已经逐渐成为金融、电信、交通、证券等各大行业的中坚业务支撑平台。但是由于系统本身设计的时候，操作系统本身对安全的考虑和现在需求、应用环境严重脱节，操作系统本身带的安全控制和审计功能已经严重不满足我们的保密和安全法律、法规的要求。为了加强主机的安全，一套有针对性地访问管理解决方案将会极大增强关键服务器的安全；简化和降低服务器管理成本；有效的提高系统的审计能力。总结问题如图：现阶段主要问题是：•特权滥用和不充分的角色权限分离•高花费的服务器主机管理•操作系统弱点和漏洞•法律、法规服从的需要•

5、缺乏个体的责任监控13北京市西城区金融大街17号中国人寿中心608室上海浦东陆家嘴东路161号招商局大厦2114室电话：（010）66220708传真：（010）6622069613电话：（021）58777686传真：（021）58409993ChinaEtekService•审计日志的不足，银监会和外部的审计机构度提出了对核心主机的访问授权和记录要求例如：²某行制定了操作手册，但是由于缺乏有效的监督，系统管理员甲某在生产机上试用、学习Init命令，结果造成生产机重起，对业务产生重大影响。²某行系

6、统管理员乙某，通过DB2的clp命令直接修改帐务数据库的数据为自己谋利，由于缺乏有效的监控手段，我们只有在帐务不匹配的情况下通过业务手段查找问题，没有当时操作的纪录，这也是导致乙某敢于违法想钻孔子的原因之一。²现在都是一个人掌握几十台设备的管理员密码。如何记忆？用同一个密码会导致安全性下降，不用统一密码管理员自己又无法记忆，手写记忆也是安全隐患。。。。。。。第二章Kerbsphere解决方案分析2.1Kerbsphere方案设计中亦安图科技发展（北京）有限公司（以下简称中亦安图）的服务队伍多年服务于

7、金融、电信、保险、制造等各大行业，并且立足于系统的管理、维护和优化之上。具有丰富的操作系统理论知识，熟悉客户的现状，精心分析客户的要求，严格设计出满足客户现状的-Kerbsphere主机访问管理解决方案。根据系统的设计原理和现状分析，我们使用如下的设计方案来达到我们的要求13北京市西城区金融大街17号中国人寿中心608室上海浦东陆家嘴东路161号招商局大厦2114室电话：（010）66220708传真：（010）6622069613电话：（021）58777686传真：（021）58409993Ch

8、inaEtekService图示的下半段是我们在系统原有的基础上增加的功能和模块，可以看出主要是针对系统维护人员的管理并且增加操作记录审计等内容。13北京市西城区金融大街17号中国人寿中心608室上海浦东陆家嘴东路161号招商局大厦2114室电话：（010）66220708传真：（010）6622069613电话：（021）58777686传真：（021）58409993ChinaEtekService2.2管理流程•1用户根据自己的身份和角色申请需要访问的服务器以及