随着网络化的普及和发展，金融行业电子网络信息化建设也在不断深入，服务手段日益多样化，很多以计算机为依托的相关新业务不断出现，并逐步形成了一整套现代化的崭新模式。

　　近年来，从“数据大集中”到“多业务整合”的发展趋势已获得了我国金融业从业者广泛的认同，各级数据中心建设纷纷围绕业务发展的需要深入展开。面对规模化的IT基础设施、日益复杂的应用系统和不断更新及交换的海量数据，数据中心安全性、稳定性在行业竞争舞台上扮演越来越重要的角色，成为当今时代金融行业迫切需要解决的问题。

　　【金融行业IDC业务现状及需求分析】

　　级机构运维过程中，缺少有效的技术监管手段

　　金融行业的特点是组织机构庞大；地域空间分布分散；省级总行与其下属地市级支行之间的业务互联与数据信息交换基于复杂的广域网技术体系。然而，在各地市级支行数据中心运维安全、内控风险的管理方面，省行只能用制度规范予以约束，并用人工方式进行监督，管理效果欠佳，效率低下，缺乏行之有效的技术辅助手段。

　　运维入口过多、运维通道不集中、运维工具分散

　　金融业IDC常规的运维模式，是由省市各层各级运维人员基于本地客户端启用RDP/VNC/TELENT等远程协议工具直接访问目标设备，展开会话操作。此模式导致运维入口过多（一台客户端提供一个运维入口）、运维通道相互独立（不同协议工具需要建立不同运维通道）、运维工具部署分散（协议工具分别安装于各运维客户端），造成了网内运维环境安全难以管理的局面。

　　需要应对行业新标准所提出的多人核实管理机制

　　根据金融行业安全等级保护基本要求规定，对于核心设备及关键业务系统等高风险运维操作，需采用多人核实机制（即：同时获得两人以上授权情况下，才能发起相应的会话），以提升运维操作行为合规性控制的细粒度。

　　审计手段缺乏全面性，审计信息不够直观

　　目前，金融业IDC现有的审计手段是基于操作系统日志的审计，只能定位到访问设备的IP地址、用户、时间等基本信息，无法准确、直观地追溯运维人员在目标设备上的会话过程，无法客观还原事故原因。

　　【方案部署】

　　针对金融业的业务需求及特点，德讯科技设计了一套运维操作审计（堡垒主机）解决方案。本方案采用“ICS＋DCLive”联合部署模式，突破地域、时空的限制，从技术上实现了“运维操作分布化，监控审计集中化”的管理目标。系统部署如图1所示：

图1 运维操作审计（堡垒主机）解决方案系统部署图

　　如图1所示，本方案的部署具备以下特点：

　　利用原有网络拓扑架构，安装部署简便，无需加装任何客户端代理，不影响任何业务数据流；

　　将ICS设备分布式部署于各地级市支行，实现本地化运维，独立化操作，互不干扰；

　　两台ICS共同分担局域网内并发会话的压力，实现各分支网络的负载均衡；

　　将DCLive管理平台部署于省级中心机房，实现对下级分支机构所有运维过程的集中监视、控制、管理与审计；

　　DCLive主备两台设备HA部署，保障数据的完整性及整个系统的防灾恢复能力。

　　【应用价值】

　　统一的运维平台

　　本套运维操作审计（堡垒主机）解决方案，为用户提供统一的WEB管理入口，对登陆用户身份的合法性实施统一认证；系统提供字符类/图形类/应用类多种运维工具，无需运维客户端自行安装，杜绝运维过程中出现工具不全面、版本不兼容的问题；支持会话代理访问通道的建立，改变原有本地客户端直接发起会话的运维模式，能够对运维过程实现有效监控与审计。

　　图2 运维操作审计（堡垒主机）解决方案体系设计示意图

　　双人授权访问控制

　　本方案能够依据行业安全等级保护标准，实现双人授权访问控制策略管理。权限范围内的任何一人登陆运维平台，即使通过身份认证，也不能独自执行会话操作，需要得到策略内另一用户的授权。系统支持本地口令输入及远程身份认证两种授权方式。通过提升授权管理的细粒度，保障核心设备、关键业务以及第三方运维操作的合规性、安全性。

　　事后全面审计，保证操作留痕

　　方案提供网内运维操作管理全生命周期的审计，采用流媒体形式记录运维人员登陆运维网关至登出运维网关的全过程，支持对字符、图形、数据库、WEB应用等多种类型会话的全面审计。审计结果呈现为操作日志及录像相结合的形式，符合4W(When/Where

　　/Who/What)原则。同时，方案支持录像回放、SQL语句、关键字符与审计录像关联定位与检索，实现运维操作过程的快速定位、精确跟踪以及真实重现，协助审计人员对非法运维操作节点的排查及故障责任的追溯，提升数据中心精细化、规范化的运维安全管理水平。