运维安全审计在电网企业的应用摘要。随着it系统不断成熟及广泛的应用，给电网企业中的工作带来规范、便捷、高效的办公流程和业务模式之余，安全问题也随之而来，预防难、控制难、追溯难等问题威胁着电网企业信息中心的安全。因此，为了预防、控制、追溯这些不安全因素，运维安全审计的建设在电网企业中提上了日程。关键词：安全审计；应用；建设一、概述运维安全审计是为企业各类应用提供统一的账号管理平台，同时建立包含账号创建、变更、删除等整个生命周期在内的管理制度和技术手段，以改变目前各应用系统自行管理账号、政出多门的情况，，以及能够跟踪行为人的操作记录并以日志和视频方式记录。二、系统特征（一）技术路线。运维安全审计采用了mvc分层设计及soa的设计思想，使用web程序与组件结合发方式，web程序在框架设计上采用ssh框架结构，并在此基础上使用了ica、udp等协议作为层间交互。为了系统的灵活部署和特定功能实现，软堡垒机、密码代填等组件的技术选型使用了c++开发语言。（二）体系结构。运维安全审计从物理部署上采用三层架构，客户端办公域、虚拟化资源池及实际机房，其中虚拟化资源池承载着应用服务器、citrix服务器及审计组件。（三）技术难点。运维安全审计除物理机其他服务器均为虚拟机，因此在hypervisor核心虚拟化技术上存在一定难点。如：i/o指令或其他特权指令引发的处理器异常、虚拟化应用中断等。三、技术架构（一）总体架构。运维安全审计总体架构包括用户的账号管理、认证管理、授权管理和审计管理。总体框架分为6个层面，展现层、业务逻辑层、服务交互层、持久化层、虚拟化层、外部系统接口层。展现层是提供给管理员维护系统、进行数据展现和分析的管理展现门户；为系统管理员提供不同权限的维第1页共4页护、管理、查询等功能；便于对系统各内部模块进行管理维护、运行监控；集中展现系统中账号管理、认证管理、授权管理、审计查询报表等业务操作。（二）系统软件平台。运维安全审计在技术实现上主要由应用层、业务层、服务层、数据层四层组成。应用层负责系统上层管理界面的展现；其中portal、admincenter、iamreport、bsb、plan、squirrel模块分别负责前台管理、后台管理、报表管理、消息服务总线、计划管理、审计管理；业务层主要承载系统的单点登录、从账号双向同步等关键业务的实现；服务层负责系统及网络日志的采集、通过hibernate或sql对业务数据进行标准化以及内外部接口的实现等；数据层承载整个系统数据持久化。运维安全审计遵循saml协议等国际成熟技术为基础，底层数据库采用ldap目录服务器及传统rdb型数据存储，ldap目录服务器符合目录x.500标准，优势在易于系统间的整合，有效保证资源类产品与外界业务间的共享和整合，发挥了目录存储的查询效率，提升平台性能。在运维安全审计中postgresql数据库主要用于存储系统管理类、日志类数据，并针对业务场景与其他外部业务系统共享和整合。（三）网络环境。运维安全审计运行在信息内网中，来自外部的安全威胁需借助公司统一的安全防护体系和措施。在系统边界部署防火墙、ips等安全检测和防护装置，避免系统间的安全事件扩散，隔离来自接入系统的安全攻击和高风险行为。四、技术特点有别于业界对应用资源管理和系统资源管理基于不同管理系统的分散式管理机制，运维安全审计实现了全it资源的一体化集中管理和控制，全面覆盖各种类型的it资源：（1）应用类资源：实现了应用类资源的统一用户管理、授权管理、集中认证和日志审计管理；（2）系统类资源：实现了主机操作系统、数据库、网络设备等系统资源的集中账号管理、授权管理、统一接入和单点登录、日志审计。（3）提供用户——角色——菜单权限的细粒度授权管理机制，支持对角色的权限进行查询、第2页共4页创建、修改、删除，实现了将菜单权限赋予角色的管理功能。（4）集中认证的目的是实现用户访问it资源的登录入口集中化和统一化，并实现高强度的认证，使整个it系统的登录和认证行为可控和可管。（5）运维安全审计通过与应用虚拟化技术结合，实现了c/s类客户端的集中运行和虚拟化发布，实现了系统资源访问的集中接入。（6）通过与虚拟...
