针对安然、世通等财务欺诈事件，2002年出台的《公众公司会计改革和投资者保护法案》（Sarbanes-Oxley Act）对组织治理、财务会计、监管审计制定了新的准则，并要求组织治理核心如董事会、高层管理、内外部审计在评估和报告组织内部控制的有效性和充分性中发挥关键作用。与此同时，国内相关职能部门亦在内部控制与风险管理方面制定了相应的指引和规范。由于信息系统的脆弱性、技术的复杂性、操作的人为因素，在设计以预防、减少或消除潜在风险为目标的安全架构时，引入运维管理与操作监控机制以预防、发现错误或违规事件，对IT风险进行事前防范、事中控制、事后监督和纠正的组合管理是十分必要的。IT系统审计是控制内部风险的一个重要手段，但IT系统构成复杂，操作人员众多，如何有效地对其进行审计，是长期困扰各组织的信息科技和风险稽核部门的一个重大课题。 系统的运维人员是系统的 特殊 使用团队，一般具有系统的高级权限，对运维人员的行为审计日渐成为安全管理的必备部分，尤其是目前很多企业为了降低网络与系统的维护成本，采用租用网络或者运维外包的方式，由企业外部人员管理网络，由外部维护人员产生的安全案例已经逐渐在上升的趋势。运维人员具有 特殊 的权限，又往往是各种业务审计关注不到的地方，网络行为审计可以审计运维人员经过网络进行的工作行为，但对设备的直接操作管理，比如Console方式就没有记录。运维审计的方式不同于其他审计，尤其是运维人员为了安全的要求，开始大量采用加密方式，如RDP、SSL等，加密口令在连接建立的时候动态生成，通过链路镜像方式是无法审计的。所以运维审计是一种 制度+技术 的强行审计。一般是运维人员必须先登录身份认证的 堡垒机 (或通过路由设置方式把运维的管理连接全部转向运维审计服务器)，所有运维工作通过该堡垒机进行，这样就可以记录全部的运维行为。由于堡垒机是运维的必然通道，在处理RDP等加密协议时，可以由堡垒机作为加密通道的中间代理，从而获取通讯中生成的密钥，也就可以对加密管理协议信息进行审计。 IT运维人员一般应用命令行方式（Telnet、SSH）、和图形化方式（RDP、VNC）、HTTP方式或客户端软件等方式对数据中心的服务器进行管理，这些方式虽然方便、灵活，但接入点多，存在重大安全隐患，并难于管理，特别是，面对成千上万台的设备，一个IT经理或者一个CIO如何能确保所有IT 运维人员的操作都是安全的？倘若有违规操作，如何发现并有效阻止？若阻止不及，如何认定事故责任？ 一、Zendeep 神电 运维审计系统概述 为了解决企业内部IT运维人员的管控问题，泰然神州自主研发了神电运维审计系统（以下简称Zendeep）。 Zendeep就像是信息系统和管理维护人员之间的一个 操作录像机 。它实时地、完整地记录用户的操作，并提供方便灵活的操作回放或查询检索的手段；可以对基于Telnet、SSH、RDP、VNC等协议的访问操作进行过程的抓取，从而可以录像方式对所有运维人员的所有操作进行记录，并具备强大的搜索功能，可对特定时段、特定事件、特定用户等逻辑要素进行搜索与提取——从而达到真正意义上的审计与风险控制。 泰然神州神电运维审计系统不仅可以对IT运维人员应用带内管理工具（Telnet、SSH、RDP、VNC等协议）的管理进行全面的集中管理与审计，可以制定有效的控制策略，进行访问授权、访问阻断，另外也可以根据不同的参数搜索调用历史操作画面，并进行画面回放、查看审计日志、从而进行有效的安全防护。 二、神电运维审计系统架构 泰然神州神电运维审计系统主要由管理平台、分析引擎两部分组成。下面是 神电 的系统架构图： 管理平台是Zendeep整个系统的管理界面、授权界面、系统审计界面，主要功能包括： 提供对系统整体状况的监控、系统参数的配置； 提供服务器主机、用户帐号的管理，并在这基础上提供用户对主机的访问控制策略； 可以对操作命令进行查询检索，可以对用户操作进行回放，可以查看已纳入Zendeep管理的用户数、服务器数的统计，也提供其他汇总报表； 通过策略控制模块实现对用户操作的实时监控，可以对通过网关的访问进行控制、阻断。通过在管理平台上设定访问控制策略，策略控制模块根据策略对采集引擎发送过来的数据进行校验审核，如果符合策略则放行通过，不符合则根据策略告警或直接断开用户连接。 分析引擎负责从流经Zendeep网关的用户输入输出流中，记录用户的所有操作，并从中解析出可读、可审计的操作命令。采集引擎设计成可Plug & Play的方式，方便对各种维护方式的支持。 三、神电运维审计系统产品特色 1、设备可靠性 Zendeep使用优化后的LINUX为系统内核，系统中除必须开启的关键性后台服务，其余均被关闭，对外端口也只开放22（SSH）和 443（HTTPS）两个。这很大程度上减少了Zendeep被有效攻击的可能。而且，本身Zendeep一般是置于企业内部网络的重要位置，是相对较安全的。另外，普通用户访问Zendeep只是通过HTTPS的方式，且登录后是去操作后台服务器的，Zendeep只是一个中间站，因此要得到Zendeep本身的shell是非常困难的。 2、 高可用性 除了之前在密码管理中提到的密码容灾备份外，Zendeep平台本身支持HA（高可用性），主、备间的心跳一旦断开，备机就会在最长20秒内自动启动，开始提供服务，同时，在操作页上出现明显告警标识，提醒使用者此刻心跳已断，备机已启。而且，由于Zendeep的部署和物理位置无关（参见系统构架），可以将Zendeep的物理部署位置分开，这样可以避免遭遇一些不可抗灾害的发生而引起主机备机同时不能工作。 注：主机备机间的数据同步可根据具体设定的时间间隔完成。 另外，灵活的配置导入导出功能，使得管理人员随时都能保存完成的配置文件，必须要使用新机的时候，只需简单的导入，就能恢复之前的配置。 3、支持协议 针对目前运维系统中主要使用到的操作协议，Zendeep支持如下： 终端字符命令Telnet、SSH 终端文本菜单HP的SAM、IBM的SMIT、LINUX的SETUP等 Windows图形 RDP UNIX / LINUX 图形 X-Window 文件上传下载 FTP、SFTP、SCP Web方式 HTTP、HTTPS 4、 C / S模式解决方式 目前在企业操作运维过程中，不仅会使用到Zendeep平台本身支持的协议也可能使用一些特殊的操作协议和操作客户端，此类C / S结构的操作模式不便于通过协议解析来进行平台统一和操作审计，原因如下： 协议解析必须做到100%解析，只有全面解析才能彻底监管基于协议的操作。 协议在不断变化，任何的升级或修改都可能带来协议变化导致之前解析工作的失效。 协议多种多样，很难做到全面支持。 所以，针对 C / S结构的应用Zendeep采用跳板机的方式实现管理，即，通过在一台Windows Server上安装各种客户端工具，实现对各种客户端工具的集中管理，并同时配以相应的网络配置，目标设备配置和管理制度，如果可能的话收回应用系统的密码。通过多方面的控制，可以彻底杜绝有客户端就能随意访问的情况。 普通操作用户先登录Zendeep，然后由Zendeep登录特定的某台Windows Server，再由此Server上以安装好的Client端访问后台相应的应用服务器，比如数据库服务器。如此，所做的所有操作都被Zendeep所审计。同时因为Client端是预先统一发布的，且可以根据系统账户不同做使用限制。所以，这样同时做到了管理和审计两方面的工作。 5、一次性口令认证登陆 作为增强身份验证的方式，动态令牌身份验证是Zendeep内置支持一次性口令系统，通过RADIUS协议进行通信。使得登录Zendeep的方式更加安全可靠。 系统支持Usb-Key 方式和Windows 智能手机方式，用户密码每20秒变幻一次，每个密码只允许使用一次。 6、广泛的目标平台支持 　　Zendeep支持各种Unix操作系统（AIX，HP-UX，Solaris，SCO，Linux，FreeBSD 等），支持Windows系统，支持Cisco、Juniper、华三等网络及安全设备，此外也支持Oracle、MySQL、Informix等数据库。只要是使用telnet/ssh、http/https等方式进行管理维护的服务器、网络设备、安全设备、数据库、应用系统，都可以纳入Zendeep进行管理。 7、健壮的安全机制 Zendeep建立了三权分立的安全管理机制，把用户分为配置管理员、审计管理员和普通用户。配置管理员负责配置用户访问权限；审计管理员负责对所有用户的操作进行审计；普通用户在已有权限控制下对自己维护的设备进行操作与管理。这种管理机制真正做到了三权分立，各行其责、相互制约，实现了系统的权力分配和责任认定。 8、支持角色划分 　　Zendeep支持系统管理员、策略配置员、审计管理员、监控管理员、网关用户这五种角色。 9、灵活的策略控制 Zendeep提供两种策略控制：基于资源的策略控制和基于操作的策略控制。基于资源的策略控制可以让管理员轻松的定义谁能在什么时候以何种权限访问哪些设备，让管理一目了然。基于操作的策略控制，帮助管理员建立更加细粒度的权限控制。根据业务属性，在系统帐号权限范围内，使不同用户帐号获得全部命令权限或部分命令权限，结束了系统或网络帐号中超级用户权限无限制情况。针对用户执行的命令，可以设置命令组的黑白名单规则列表。 10、更大限度的细粒度审计 Zendeep支持对每一条命令的审计，甚至包括TAB键、回退键，删除键、方向键等功能键；Zendeep支持对用户的操作现场进行完全复原回放，更大限度地审计用户操作。 11、灵活的审计方式 Zendeep支持分权审计，可以为审计人员指定审计范围； Zendeep支持多种审计方式，包括Web在线审计、离线审计，并提供各种图表用于审计管理员分析用户操作行为特征。同时，Zendeep也支持实时审计方式，更大限度的保证了审计的及时性； Zendeep提供审计回放工具，对字符会话和远程桌面会话可以完全重现用户操作过程；Zendeep提供审计分发工具，可以脱离系统进行第三方审计。 12、记录数据量小 对远程桌面会话，Zendeep采用记录增量RDP数据的方式，并选用高效的压缩缩放对数据进行压缩存储，使会话数据存储量最小化，可以高效利用存储空间，也有利于会话的分发速度。 13、简单的部署方式 　　部署Zendeep，无需在数据库、服务器主机、网络设备所在的机器上安装代理程序，不需要改变原有网络架构，保证了业务系统原有的安全性和整体架构，并且不会影响业务的性能和稳定。所有的协议支持都可以在同一台网关上完成。 14、人性化管理界面 　　Zendeep以多种手段提供人性化用户界面，减轻用户的学习负担，方便用户的日常操作。