涉密计算机信息系统的安全审计
发布时间：2009-10-13 10:37
文章来源：国家保密科学技术研究所网站
王雪来
国家保密技术研究所
摘要：涉密计算机信息系统（以下简称“涉密信息系统”）的建设逐渐推进，很多安全产品得到了应用，安全审计系统作为一项新兴的安全技术，近年来也得到了广泛的重视，本文在对涉密信息系统中安全审计需求分析的基础上，讨论了安全审计系统的关键技术、应注意的问题以及今后的发展方向。
关键词：涉密信息系统 安全 审计
一、引言
随着网络的发展，网络信息的安全越来越引起世界各国的重视，防病毒产品、防火墙、入侵检测、漏洞扫描等安全产品都得到了广泛的应用，但是这些信息安全产品都是为了防御外部的入侵和窃取。随着对网络安全的认识和技术的发展，发现由于内部人员造成的泄密或入侵事件占了很大的比例，所以防止内部的非法违规行为应该与抵御外部的入侵同样地受到重视，要做到这点就需要在网络中实现对网络资源的使用进行审计。
在当今的网络中各种审计系统已经有了初步的应用，例如：数据库审计、应用程序审计以及网络信息审计等，但是，随着网络规模的不断扩大，功能相对单一的审计产品有一定的局限性，并且对审计信息的综合分析和综合管理能力远远不够。功能完整、管理统一，跨地区、跨网段、集中管理才是综合审计系统最终的发展目标。
本文对涉密信息系统中安全审计系统的概念、内容、实现原理、存在的问题、以及今后的发展方向做出了讨论。
二、什么是安全审计
国内通常对计算机信息安全的认识是要保证计算机信息系统中信息的机密性、完整性、可控性、可用性和不可否认性（抗抵赖），简称“五性”。安全审计是这“五性”的重要保障之一，它对计算机信息系统中的所有网络资源（包括数据库、主机、操作系统、安全设备等）进行安全审计，记录所有发生的事件，提供给系统管理员作为系统维护以及安全防范的依据。安全审计如同银行的监控系统，不论是什么人进出银行，都进行如实登记，并且每个人在银行中的行动，乃至一个茶杯的挪动都被如实的记录，一旦有突发事件可以快速的查阅进出记录和行为记录，确定问题所在，以便采取相应的处理措施。
近几年，涉密系统规模不断扩大，系统中使用的设备也逐渐增多，每种设备都带有自己的审计模块，另外还有专门针对某一种网络应用设计的审计系统，如：操作系统的审计、数据库审计系统、网络安全审计系统、应用程序审计系统等，但是都无法做到对计算机信息系统全面的安全审计，另外审计数据格式不统一、审计分析规则无法统一定制也给系统的全面综合审计造成了一定的困难。如果在当前的系统条件下希望全面掌握信息系统的运行情况，就需要对每种设备的审计模块熟练操作，并且结合多种专用审计产品才能够做到。
为了能够方便地对整个计算机信息系统进行审计，就需要设计综合的安全审计系统。它的目标是通过数据挖掘和数据仓库等技术，实现在不同网络环境中对网络设备、终端、数据资源等进行监控和管理，在必要时通过多种途径向管理员发出警告或自动采取排错措施，并且能够对历史审计数据进行分析、处理和追踪。主要作用有以下几个方面：
1. 对潜在的攻击者起到震慑和警告的作用；
2. 对于已经发生的系统破坏行为提供有效的追究证据；
3. 为系统管理员提供有价值的系统使用日志，从而帮助系统管理员及时发现系统入侵行为或潜在的系统漏洞；
4. 为系统管理员提供系统的统计日志，使系统管理员能够发现系统性能上的不足或需要改进和加强的地方。
三、涉密信息系统安全审计包括的内容
《中华人民共和国计算机信息系统安全保护条例》中定义的计算机信息系统，是指由计算机及其相关的和配套的设备、设施(含网络)构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。涉密计算机信息系统（以下简称“涉密信息系统”）在《计算机信息系统保密管理暂行规定》中定义为：采集、存储、处理、传递、输出国家秘密信息的计算机信息系统。所以针对涉密信息系统的安全审计的内容就应该针对涉密信息系统的每一个方面，应该对计算机及其相关的和配套的设备、设施（含网络），以及对信息的采集、加工、存储、传输和检索等方面进行审计。
具体来说，应该对一个涉密信息系统中的以下内容进行安全审计：
四、安全审计系统使用的关键技术
根据在涉密信息系统中要进行安全审计的内容，我们可以从技术上分为以下几个模块：
1.网络审计模块：主要负责网络通信系统的审计；
2.操作系统审计模块：主要负责对重要服务器主机操作系统的审计；
3.数据库审计模块：主要负责对重要数据库操作的审计；
4.主机审计模块：主要负责对网络重要区域的客户机进行审计；
5.应用审计模块：主要负责重要服务器主机的应用平台软件，以及重要应用系统进行审计。
还需要配备一个数据库系统，负责以上审计模块生成的审计数据的存储、检索、数据分析等操作，另外，还需要设计一个统一管理平台模块，负责接收各审计模块发送的审计数据，存入数据库，以及向审计模块发布审计规则。如下图所示：
安全审计系统中应解决如下的关键技术：
1.网络监听：
是安全审计的基础技术之一。它应用于网络审计模块，安装在网络通信系统的数据汇聚点，通过抓取网络数据包进行典型协议分析、识别、判断和记录，Telnet、HTTP、Email、FTP、网上聊天、文件共享等的检测，流量监测以及对异常流量的识别和报警、网络设备运行的监测等，另外也可以进行数据库网络操作的审计。
2.内核驱动技术：
是主机审计模块、操作系统审计模块的核心技术，它可以做到和操作系统的无缝连接，可以方便的对硬盘、CPU、内存、网络负载、进程、文件拷贝/打印操作、通过Modem擅自连接外网的情况、非业务异常软件的安装和运行等进行审计。
3.应用系统审计数据读取技术：
大多数的多用户操作系统（Windows、UNIX等）、正规的大型软件（数据库系统等）、多数安全设备（防火墙、防病毒软件等）都有自己的审计功能，日志通常用于检查用户的登录、分析故障、进行收费管理、统计流量、检查软件运行情况和调试软件，系统或设备的审计日志通常可以用作二次开发的基础，所以如何读取多种系统和设备的审计日志将是解决操作系统审计模块、数据库审计模块、应用审计模块的关键所在。
4.完善的审计数据分析技术：
审计数据的分析是一个安全审计系统成败的关键，分析技术应该能够根据安全策略对审计数据具备评判异常和违规的能力，分为实时分析和事后分析：
实时分析：提供或获取审计数据的设备和软件应该具备预分析能力，并能够进行第一道筛选；
事后分析：统一管理平台模块对记录在数据库中的审计记录进行事后分析，包括统计分析和数据挖掘。
五、安全审计系统应该注意的问题
安全审计系统的设计应该注意以下几个问题：
1.审计数据的安全：
在审计数据的获取、传输、存储过程中都应该注意安全问题，同样要保证审计信息的“五性”。在审计数据获取过程中应该防止审计数据的丢失，应该在获取后尽快传输到统一管理平台模块，经过滤后存入数据库，如果没有连接到管理平台模块，则应该在本地进行存储，待连接后再发送至管理平台模块，并且应该采取措施防止审计功能被绕过；在传输过程中应该防止审计数据被截获、篡改、丢失等，可以采用加密算法以及数字签名方式进行控制；在审计数据存储时应注意数据库的加密，防止数据库溢出，当数据库发生异常时，有相应的应急措施，而且应该在进行审计数据读取时加入身份鉴别机制，防止非授权的访问。
2.审计数据的获取
首先要把握和控制好数据的来源，比如来自网络的数据截取；来自系统、网络、防火墙、中间件等系统的日志；通过嵌入模块主动收集的系统内部信息；通过网络主动访问获取的信息；来自应用系统或安全系统的审计数据等。有数据源的要积极获取；没有数据源的要设法生成数据。对收集的审计数据性质也要分清哪些是已经经过分析和判断的数据，哪些是没有分析的原始数据，要做出不同的处理。
另外，应该设计公开统一的日志读取API，使应用系统或安全设备开发时，就可以将审计日志按照日志读取API的模式进行设计，方便日后的审计数据获取。
3.管理平台分级控制
由于涉密信息系统的迅速发展，系统规模也在不断扩大，所以在安全审计设计的初期就应该考虑分布式、跨网段，能够进行分级控制的问题。也就是说一个涉密信息系统中可能存在多个统一管理平台，各自管理一部分审计模块，管理平台之间是平行关系或上下级关系，平级之间不能互相管理，上级可以向下级发布审计规则，下级根据审计规则向上级汇报审计数据。这样能够根据网络规模及安全域的划分灵活的进行扩充和改变，也有利于整个安全审计系统的管理，减轻网络的通信负担。
4.易于升级维护
安全审计系统应该采用模块设计，这样有利于审计系统的升级和维护。
专家预测，安全审计系统在2003年是最热门的信息安全技术之一。国内很多信息安全厂家都在进行相关技术的研究，有的已经推出了成型的产品，另一方面，相关的安全审计标准也在紧锣密鼓的制定当中，看来一个安全审计的春天已经离我们越来越近了。
但是信息系统的安全从来都是一个相对的概念，只有相对的安全，而没有绝对的安全。安全也是一个动态发展的过程，随着网络技术的发展，安全审计还有很多值得关注的问题，如：
1. 网络带宽由现在的100兆会增加到1G，安全审计如何对千兆网络进行审计就是值得关注的问题；
2. 当前还没有一套为各信息安全厂商承认的安全审计接口标准，标准的制定与应用将会使安全审计跨上一个新的台阶；
3. 现在的安全审计都建立在TCP/IP协议之上，如果有系统不采用此协议，那么如何进行安全审计。
六、小结
安全审计作为一门新的信息安全技术，能够对整个计算机信息系统进行监控，如实记录系统内发生的任何事件，一个完善的安全审计系统可以根据一定的安全策略记录和分析历史操作事件及数据，有效的记录攻击事件的发生，提供有效改进系统性能和的安全性能的依据。本文从安全审计的概念、在涉密信息系统中需要审计的内容、安全审计的关键技术及安全审计系统应该注意的问题等几个方面讨论了安全审计在涉密信息系统中的应用。安全审计系统应该全面地对整个涉密信息系统中的网络、主机、应用程序、数据库及安全设备等进行审计，同时支持分布式跨网段审计，集中统一管理，可对审计数据进行综合的统计与分析，从而可以更有效的防御外部的入侵和内部的非法违规操作，最终起到保护机密信息和资源的作用。
王雪来
国家保密技术研究所
摘要：涉密计算机信息系统（以下简称“涉密信息系统”）的建设逐渐推进，很多安全产品得到了应用，安全审计系统作为一项新兴的安全技术，近年来也得到了广泛的重视，本文在对涉密信息系统中安全审计需求分析的基础上，讨论了安全审计系统的关键技术、应注意的问题以及今后的发展方向。
关键词：涉密信息系统 安全 审计
一、引言
随着网络的发展，网络信息的安全越来越引起世界各国的重视，防病毒产品、防火墙、入侵检测、漏洞扫描等安全产品都得到了广泛的应用，但是这些信息安全产品都是为了防御外部的入侵和窃取。随着对网络安全的认识和技术的发展，发现由于内部人员造成的泄密或入侵事件占了很大的比例，所以防止内部的非法违规行为应该与抵御外部的入侵同样地受到重视，要做到这点就需要在网络中实现对网络资源的使用进行审计。
在当今的网络中各种审计系统已经有了初步的应用，例如：数据库审计、应用程序审计以及网络信息审计等，但是，随着网络规模的不断扩大，功能相对单一的审计产品有一定的局限性，并且对审计信息的综合分析和综合管理能力远远不够。功能完整、管理统一，跨地区、跨网段、集中管理才是综合审计系统最终的发展目标。
本文对涉密信息系统中安全审计系统的概念、内容、实现原理、存在的问题、以及今后的发展方向做出了讨论。
二、什么是安全审计
国内通常对计算机信息安全的认识是要保证计算机信息系统中信息的机密性、完整性、可控性、可用性和不可否认性（抗抵赖），简称“五性”。安全审计是这“五性”的重要保障之一，它对计算机信息系统中的所有网络资源（包括数据库、主机、操作系统、安全设备等）进行安全审计，记录所有发生的事件，提供给系统管理员作为系统维护以及安全防范的依据。安全审计如同银行的监控系统，不论是什么人进出银行，都进行如实登记，并且每个人在银行中的行动，乃至一个茶杯的挪动都被如实的记录，一旦有突发事件可以快速的查阅进出记录和行为记录，确定问题所在，以便采取相应的处理措施。
近几年，涉密系统规模不断扩大，系统中使用的设备也逐渐增多，每种设备都带有自己的审计模块，另外还有专门针对某一种网络应用设计的审计系统，如：操作系统的审计、数据库审计系统、网络安全审计系统、应用程序审计系统等，但是都无法做到对计算机信息系统全面的安全审计，另外审计数据格式不统一、审计分析规则无法统一定制也给系统的全面综合审计造成了一定的困难。如果在当前的系统条件下希望全面掌握信息系统的运行情况，就需要对每种设备的审计模块熟练操作，并且结合多种专用审计产品才能够做到。
为了能够方便地对整个计算机信息系统进行审计，就需要设计综合的安全审计系统。它的目标是通过数据挖掘和数据仓库等技术，实现在不同网络环境中对网络设备、终端、数据资源等进行监控和管理，在必要时通过多种途径向管理员发出警告或自动采取排错措施，并且能够对历史审计数据进行分析、处理和追踪。主要作用有以下几个方面：
1. 对潜在的攻击者起到震慑和警告的作用；
2. 对于已经发生的系统破坏行为提供有效的追究证据；
3. 为系统管理员提供有价值的系统使用日志，从而帮助系统管理员及时发现系统入侵行为或潜在的系统漏洞；
4. 为系统管理员提供系统的统计日志，使系统管理员能够发现系统性能上的不足或需要改进和加强的地方。
三、涉密信息系统安全审计包括的内容
《中华人民共和国计算机信息系统安全保护条例》中定义的计算机信息系统，是指由计算机及其相关的和配套的设备、设施(含网络)构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。涉密计算机信息系统（以下简称“涉密信息系统”）在《计算机信息系统保密管理暂行规定》中定义为：采集、存储、处理、传递、输出国家秘密信息的计算机信息系统。所以针对涉密信息系统的安全审计的内容就应该针对涉密信息系统的每一个方面，应该对计算机及其相关的和配套的设备、设施（含网络），以及对信息的采集、加工、存储、传输和检索等方面进行审计。
具体来说，应该对一个涉密信息系统中的以下内容进行安全审计：
 |
四、安全审计系统使用的关键技术
根据在涉密信息系统中要进行安全审计的内容，我们可以从技术上分为以下几个模块：
1.网络审计模块：主要负责网络通信系统的审计；
2.操作系统审计模块：主要负责对重要服务器主机操作系统的审计；
3.数据库审计模块：主要负责对重要数据库操作的审计；
4.主机审计模块：主要负责对网络重要区域的客户机进行审计；
5.应用审计模块：主要负责重要服务器主机的应用平台软件，以及重要应用系统进行审计。
还需要配备一个数据库系统，负责以上审计模块生成的审计数据的存储、检索、数据分析等操作，另外，还需要设计一个统一管理平台模块，负责接收各审计模块发送的审计数据，存入数据库，以及向审计模块发布审计规则。如下图所示：
 |
安全审计系统中应解决如下的关键技术：
1.网络监听：
是安全审计的基础技术之一。它应用于网络审计模块，安装在网络通信系统的数据汇聚点，通过抓取网络数据包进行典型协议分析、识别、判断和记录，Telnet、HTTP、Email、FTP、网上聊天、文件共享等的检测，流量监测以及对异常流量的识别和报警、网络设备运行的监测等，另外也可以进行数据库网络操作的审计。
2.内核驱动技术：
是主机审计模块、操作系统审计模块的核心技术，它可以做到和操作系统的无缝连接，可以方便的对硬盘、CPU、内存、网络负载、进程、文件拷贝/打印操作、通过Modem擅自连接外网的情况、非业务异常软件的安装和运行等进行审计。
3.应用系统审计数据读取技术：
大多数的多用户操作系统（Windows、UNIX等）、正规的大型软件（数据库系统等）、多数安全设备（防火墙、防病毒软件等）都有自己的审计功能，日志通常用于检查用户的登录、分析故障、进行收费管理、统计流量、检查软件运行情况和调试软件，系统或设备的审计日志通常可以用作二次开发的基础，所以如何读取多种系统和设备的审计日志将是解决操作系统审计模块、数据库审计模块、应用审计模块的关键所在。
4.完善的审计数据分析技术：
审计数据的分析是一个安全审计系统成败的关键，分析技术应该能够根据安全策略对审计数据具备评判异常和违规的能力，分为实时分析和事后分析：
实时分析：提供或获取审计数据的设备和软件应该具备预分析能力，并能够进行第一道筛选；
事后分析：统一管理平台模块对记录在数据库中的审计记录进行事后分析，包括统计分析和数据挖掘。
五、安全审计系统应该注意的问题
安全审计系统的设计应该注意以下几个问题：
1.审计数据的安全：
在审计数据的获取、传输、存储过程中都应该注意安全问题，同样要保证审计信息的“五性”。在审计数据获取过程中应该防止审计数据的丢失，应该在获取后尽快传输到统一管理平台模块，经过滤后存入数据库，如果没有连接到管理平台模块，则应该在本地进行存储，待连接后再发送至管理平台模块，并且应该采取措施防止审计功能被绕过；在传输过程中应该防止审计数据被截获、篡改、丢失等，可以采用加密算法以及数字签名方式进行控制；在审计数据存储时应注意数据库的加密，防止数据库溢出，当数据库发生异常时，有相应的应急措施，而且应该在进行审计数据读取时加入身份鉴别机制，防止非授权的访问。
2.审计数据的获取
首先要把握和控制好数据的来源，比如来自网络的数据截取；来自系统、网络、防火墙、中间件等系统的日志；通过嵌入模块主动收集的系统内部信息；通过网络主动访问获取的信息；来自应用系统或安全系统的审计数据等。有数据源的要积极获取；没有数据源的要设法生成数据。对收集的审计数据性质也要分清哪些是已经经过分析和判断的数据，哪些是没有分析的原始数据，要做出不同的处理。
另外，应该设计公开统一的日志读取API，使应用系统或安全设备开发时，就可以将审计日志按照日志读取API的模式进行设计，方便日后的审计数据获取。
3.管理平台分级控制
由于涉密信息系统的迅速发展，系统规模也在不断扩大，所以在安全审计设计的初期就应该考虑分布式、跨网段，能够进行分级控制的问题。也就是说一个涉密信息系统中可能存在多个统一管理平台，各自管理一部分审计模块，管理平台之间是平行关系或上下级关系，平级之间不能互相管理，上级可以向下级发布审计规则，下级根据审计规则向上级汇报审计数据。这样能够根据网络规模及安全域的划分灵活的进行扩充和改变，也有利于整个安全审计系统的管理，减轻网络的通信负担。
4.易于升级维护
安全审计系统应该采用模块设计，这样有利于审计系统的升级和维护。
专家预测，安全审计系统在2003年是最热门的信息安全技术之一。国内很多信息安全厂家都在进行相关技术的研究，有的已经推出了成型的产品，另一方面，相关的安全审计标准也在紧锣密鼓的制定当中，看来一个安全审计的春天已经离我们越来越近了。
但是信息系统的安全从来都是一个相对的概念，只有相对的安全，而没有绝对的安全。安全也是一个动态发展的过程，随着网络技术的发展，安全审计还有很多值得关注的问题，如：
1. 网络带宽由现在的100兆会增加到1G，安全审计如何对千兆网络进行审计就是值得关注的问题；
2. 当前还没有一套为各信息安全厂商承认的安全审计接口标准，标准的制定与应用将会使安全审计跨上一个新的台阶；
3. 现在的安全审计都建立在TCP/IP协议之上，如果有系统不采用此协议，那么如何进行安全审计。
六、小结
安全审计作为一门新的信息安全技术，能够对整个计算机信息系统进行监控，如实记录系统内发生的任何事件，一个完善的安全审计系统可以根据一定的安全策略记录和分析历史操作事件及数据，有效的记录攻击事件的发生，提供有效改进系统性能和的安全性能的依据。本文从安全审计的概念、在涉密信息系统中需要审计的内容、安全审计的关键技术及安全审计系统应该注意的问题等几个方面讨论了安全审计在涉密信息系统中的应用。安全审计系统应该全面地对整个涉密信息系统中的网络、主机、应用程序、数据库及安全设备等进行审计，同时支持分布式跨网段审计，集中统一管理，可对审计数据进行综合的统计与分析，从而可以更有效的防御外部的入侵和内部的非法违规操作，最终起到保护机密信息和资源的作用。
