下载文档原格式
普通用户使用手册——运维管理审计系统目次1登陆“运维管理审计系统” (3)2运维用户使用运维管理审计系统介绍 (3)2.1简要介绍 (3)2.2系统登录 (4)2.3安装插件 (4)2.4配置客户端关联 (5)2.5使用RDP协议 (5)2.6使用SSH协议 (5)2.7使用TELNET协议 (6)2.8使用SFTP协议 (6)2.9使用FTP协议 (6)2.10使用VNC协议 (7)1 登陆“运维管理审计系统”打开浏览器输入 https://203.0.39.101界面就会自动跳转到运维管理审计系统登录界面。
在此界面输入运维管理审计系统登录用户名与密码。
2 运维用户使用运维管理审计系统介绍2.1 简要介绍运维审计管理系统能够对运维人员的访问过程进行细粒度的授权、全过程的操作记录及控制、全方位的操作审计、支持事后操作过程回放功能，实现运维过程的“事前预防、事中控制、事后审计”，在简化运维操作的同时，全面解决各种复杂环境下的运维安全问题，提升企业IT运维管理水平。
运维用户通过运维管理审计系统访问远程主机，能够有效地对服务器、网络设备、安全设备、企业应用等IT系统的操作行为进行记录、控制和审计；能够实时完整地记录运维过程，并提供灵活方便的记录检索和回放功能，保障企业IT系统的正常运行，提供稳定可靠的运维服务。
2.2 系统登录运维管理审计系统运维用户登录界面，如下图：在上图中填入运维用户账号和密码。
2.3 安装插件运维用户首次登录需要安装插件，如下图：点击上图确定，选择在IE中安装加载项，出现如下界面点击安装完成装载插件。
2.4 配置客户端关联当运维用户使用SSH、TELNET、FTP等需要安装客户端程序进行运维操作时，需要在本地安装客户端程序，并在运维管理审计系统中指定该客户端程序安装的位置。
运维用户登录，出现如下界面：点击运维管理审计系统界面右上角图标“”，出现如下界面点击上图下拉列表框，选择应用名，点击浏览，选择该应用类型所在的位置，点击确定完成配置。
目录1 概述 (1)1.1 各项功能测试目标 (1)1.2 测试范围 (1)1.3 测试对象 (1)2 测试方案拓扑 (3)3 测试计划 (6)3.1 测试时间 (6)3.2 测试地点 (6)3.3 测试人员 (6)4 测试内容 (7)4.1 功能测试 (7)4.1.1 系统基本配置 (7)4.1.2 运维管理配置与测试 (9)4.1.3 保护资源自动登陆配置与测试 (11)4.1.4 运维操作审计测试 (12)4.1.5 审计功能测试 (16)4.1.6 统计报表功能测试 (17)4.1.7 口令保管箱 (18)5 测试结论 (22)1概述1.1各项功能测试目标⏹本次产品测试目标如下:⏹测试HAC。
⏹测试各项功能是否正常运行；协议是否正确。
⏹验证运维安全审计系统HAC产品是否能正常运行。
1.2测试范围⏹本次产品测试范围如下:⏹测试范围在网络系统环境中⏹HAC功能⏹相关协议1.3测试对象2测试方案拓扑⏹由于HAC实施审计条件是所有对被保护资源的运维流量均需要流经HAC, 所以保证HAC工作正常应具备以下要求:⏹当HAC为单臂部署模式时, 为了让运维人员访问被保护资源的流量流经HAC,需要在交换机或安全设备上配置安全策略如访问控制列表, 确保运维人员不能直接访问被保护资源, 只有HAC能访问被保护资源。
●HAC能访问保护资源。
如果HAC到保护资源之间设置了安全策略, 需根据所用协议端口开放相关端口。
开放端口根据运维协议和保护资源服务端口而定, 具体情况如下:●采用Telnet协议运维: 需开放HAC到保护资源的23端口（23端口为保护资源Telnet服务端口, 如果修改请根据实际进行修改, 下同）。
●采用SSH、SFTP协议运维: 需开放HAC到保护资源的22端口。
●采用FTP协议运维：需开放HAC到保护资源的21端口、20端口和1024以上端口（若FTP采用主动模式, 则只需开放21.20端口；若采用被动模式,则需开放21.1024以上端口）。
HAC安全运维管理解决方案IT运维的安全需求为了保障信息的完整性、可用性、机密性，IT系统网络中大多部署防火墙、IDS、防病毒等各类安全设备，并且采用了如网络边界划分、强化边界访问控制等多种防护手段，但是对于系统内众多的网络系统运维人员、第三方系统运维人员以及设备厂商维护人员，大多却缺乏有效的管理与监控，众所周知系统、网络运维人员享有“最高权限”， 一旦出现恶意操作或误操作，将会对业务系统带来巨大影响，造成不可估量的损失。
对IT系统进行有效运维，是控制内部风险、保障业务连续性的重要手段，但大型机构的IT系统构成复杂，操作人员众多，如何保障运维工作的有序运转、降低运维风险、提高应急响应能力，为IT系统提供强有力的后台支撑，是长期困扰各组织信息科技和风险稽核部门的一个重大课题。
在系统运维安全方面，信息系统主要有以下问题需要解决：1.IT系统口令管理IT系统口令对IT系统的安全是非常重要的，因此随着IT系统数量庞大，IT系统的口令管理工作量越来越大，复杂度也越来越高。
但在实际管理中，由于安全性和可用性之间的矛盾，导致IT系统口令管理存在很多安全隐患。
主要表现如下：1)为了满足安全管理要求，IT系统的口令需定期修改（一般半个月或一个月），这大大加大了口令管理的工作量；2)口令强度要满足安全要求，其复杂性也有一定要求。
一方面加大了修改口令的工作量和复杂度，同时对维护人员来说也很不方便，经常是将口令记录在记事本上，造成口令泄露问题。
同时在实际操作中，经常将口令设置为很有规律性，一旦知道一个口令，很容易知道其他系统的口令；3)由于部分系统是由外包厂商提供运维服务，所以口令也容易泄露出去。
4)有些单位根本没有口令管理的策略，口令管理制度宽松，隐患很大。
2.多入口操作现象随着IT系统构成的复杂，在运维过程中可通过多种入口对IT系统进行维护，导致无法统一管理、设置统一安全策略等而引起各种安全隐患。
3.交叉运维操作现象在IT系统运维过程中，存在多种管理角色，如设备管理员、系统管理员、安全管理员和应用系统管理员等，同时对于同一个角色也同样存在多个管理员，包括来自本公司、开发人员、厂商技术人员等多种技术人员。
产品分享手册广州江南科友科技股份有限公司 运维安全审计系统HAC12什么是安全审计？安全审计，即在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段实时收集和监控网络环境中每一个组成部分的系统状态、安全事件、网络活动，以便集中报警、记录、分析、处理的一种技术手段。
安全审计作为企业信息安全建设不可缺少的组成部分，逐渐受到用户的关注，是企业安全体系中的重要环节。
同时，安全审计是事前预防、事中预警的有效风险控制手段，也是事后追溯的可靠证据来源。
为什么需要安全审计？信息系统的内部滥用和误用; 经营数据泄漏随着我国信息化建设的迅速发展，目前政府、金融、电信、教育等行业以及各大企事业单位都建立起一定规模的信息化系统，同时为了保障信息的完整性、可用性、机密性，许多企业都部署了防火墙、IDS、防病毒、密码机等各类安全设备，然而安全事件仍旧层出不穷。
为什么呢？经过对安全事件的仔细分析、调查取证，最终发现威胁与破坏来自于企业内部。
鉴于信息系统的脆弱性、技术的复杂性、操作的人为因素，信息安全建设在加大网络边界防护、数据通信安全、防病毒等基础上，不能忽略内部网络安全的建设。
引入运维安全管理与操作监控机制以预防、发现错误或违规事件，对IT风险进行事前防范、事中控制、事后监督和纠正的组合管理是十分必要的。
3安全规范及指引萨班斯法案符合性_——美国公众上市公司需要遵循的萨班斯（Sarbanes Oxley）法案，其合规性要求建立严肃的、完备的企业内控体系，而保护组织记录、信息系统的安全审计又是内控体系的重中之重。
安全等级保护国家颁布的安全等级保护技术要求，在确立为第二级（指导保护级）以及以上级的信息系统中必须建立并保存下面的各种访问日志：网络、主机、应用。
企业内控基本规范国家颁布的企业内控基本规范中要求企业应该对其在系统中的操作进行监控，并定期审阅监控日志。
BS7799/ISO27001条款A15.1.3明确要求必须保护组织的运行记录。
运维安全审计系统（HAC）口令管理员手册广州江南科友科技股份有限公司2010年5月版权声明本手册中涉及的任何文字叙述、文档格式、插图、照片、方法、过程等所有内容的版权属于广州江南科友科技股份有限公司所有。
未经广州江南科友科技股份有限公司许可，不得擅自拷贝、传播、复制、泄露或复写本文档的全部或部分内容。
本手册中的信息受中国知识产权法和国际公约保护。
版权所有，翻版必究©目录1.前言 (2)1.1 概述 (2)1.2 阅读说明 (2)1.3 适用版本 (2)1.4 使用环境 (2)2.准备工作 (3)2.1 确定设备对应的帐户 (3)2.2 确定统一帐户进行运维的用户 (3)3.首次登陆 (4)4.统一帐户管理 (6)5.设备帐户管理 (9)5.1 设备帐户管理 (9)5.2 设备帐户托管 (11)5.3 设备帐户获取 (13)6.SSO配置 (15)6.1 配置模板 (15)6.2 配置内容 (17)7.口令管理配置 (19)8.密函打印审批 (20)9.技术支持 (21)1.前言1.1 概述本文档为运维安全审计系统的口令管理员使用手册，是口令管理员使用HAC的操作指南。
1.2 阅读说明本手册包含口令管理员的全部日常操作，主要是与后台核心服务器的帐户密码管理相关的操作。
包含如何添加统一主机帐户，如何添加设备帐户，怎样进行设备口令的托管，帐户的获取，如何根据主机的个性配置情况进行自动登录配置文件的调整，以及与口令相关的配置。
1.3 适用版本本手册，依据HAC 3.6.5374E版本编写，适用于3.6的发布版。
1.4 使用环境HAC的运维管理员使用WEB登录方式作为用户界面。
HAC的运维管理员，可以使用Microsoft Internet Explore或以其为内核的其他浏览器，因部分控件的兼容问题，如果您使用的是IE 8浏览器，请在兼容模式下进行运行。
2.准备工作2.1 确定设备对应的帐户即确定核心服务器中进行运维的登录帐户，管理帐户，以及是否需要HAC进行定期自动更新这些帐户。
网络安全管理员-中级工习题含答案一、单选题（共49题，每题1分，共49分）1.公钥加密与传统加密体制的主要区别是（）A、加密强度高B、密钥管理方便C、密钥长度大D、使用一个公共密钥用来对数据进行加密，而一个私有密钥用来对数据进行解密数据加密标准正确答案：D2.加密技术不能实现（）A、数据信息的完整性B、机密文件加密C、数据信息的保密性D、基于密码技术的身份认证正确答案：D3.能够对IP欺骗进行防护的是（）A、在边界路由器上设置到特定IP的路由B、在边界防火墙上过滤特定端口C、在边界路由器上进行源IP地址过滤D、在边界路由器上进行目标IP地址过滤正确答案：C4.变更经理全面负责变更管理流程所有具体活动执行，保障所有变更依照预定流程顺利执行。
下面不是变更经理职责的是（）。
A、帮助变更主管协调必要的变更时间、人员等工作B、将工作任务具体分派到每个工作人员C、确保变更请求得到有效评估，授权和实施D、确保具体的变更活动得以有效、正确的执行正确答案：B5.安全管理机构-审核和检查要求，安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、（）和数据备份等情况。
A、系统漏洞B、设备管理C、变更管理D、事件管理正确答案：A6.TELENET服务自身的主要缺陷是（）A、服务端口23不能被关闭B、明文传输用户名和密码C、不用用户名和密码D、支持远程登录正确答案：B7.根据《中国南方电网有限责任公司信息运行调度业务指导意见（2015年）》，（）指操作复杂度中或影响程度中。
变更实施虽然较复杂，需要制定特定的变更方案，但不涉及多个运维专业。
A、标准变更B、简单变更C、紧急变更D、复杂变更正确答案：A8.物理安全是整个信息系统安全的前提。
以下安全防护措施中不属于物理安全范畴的是（）。
A、安装烟感、温感报警系统，禁止工作人员在主机房内吸烟或者使用火源B、要求工作人员在主机房内工作时必须穿着防静电工装和防静电鞋，并定期喷涂防静电剂C、为工作人员建立生物特征信息库，并在主机房入口安装指纹识别系统，禁止未经授权人员进入主机房D、对因被解雇、退休、辞职或其他原因离开信息系统岗位的人员，收回所有相关证件、徽章、密钥和访问控制标记等正确答案：B9.下列不是操作系统安全配置的是（）。
运维安全审计系统（HAC）口令管理员手册广州江南科友科技股份有限公司2010年5月版权声明本手册中涉及的任何文字叙述、文档格式、插图、照片、方法、过程等所有内容的版权属于广州江南科友科技股份有限公司所有。
未经广州江南科友科技股份有限公司许可，不得擅自拷贝、传播、复制、泄露或复写本文档的全部或部分内容。
本手册中的信息受中国知识产权法和国际公约保护。
版权所有，翻版必究©目录1.前言 (2)1.1 概述 (2)1.2 阅读说明 (2)1.3 适用版本 (2)1.4 使用环境 (2)2.准备工作 (3)2.1 确定设备对应的帐户 (3)2.2 确定统一帐户进行运维的用户 (3)3.首次登陆 (4)4.统一帐户管理 (6)5.设备帐户管理 (9)5.1 设备帐户管理 (9)5.2 设备帐户托管 (11)5.3 设备帐户获取 (13)6.SSO配置 (15)6.1 配置模板 (15)6.2 配置内容 (17)7.口令管理配置 (19)8.密函打印审批 (20)9.技术支持 (21)1.前言1.1 概述本文档为运维安全审计系统的口令管理员使用手册，是口令管理员使用HAC的操作指南。
1.2 阅读说明本手册包含口令管理员的全部日常操作，主要是与后台核心服务器的帐户密码管理相关的操作。
包含如何添加统一主机帐户，如何添加设备帐户，怎样进行设备口令的托管，帐户的获取，如何根据主机的个性配置情况进行自动登录配置文件的调整，以及与口令相关的配置。
1.3 适用版本本手册，依据HAC 3.6.5374E版本编写，适用于3.6的发布版。
1.4 使用环境HAC的运维管理员使用WEB登录方式作为用户界面。
HAC的运维管理员，可以使用Microsoft Internet Explore或以其为内核的其他浏览器，因部分控件的兼容问题，如果您使用的是IE 8浏览器，请在兼容模式下进行运行。
2.准备工作2.1 确定设备对应的帐户即确定核心服务器中进行运维的登录帐户，管理帐户，以及是否需要HAC进行定期自动更新这些帐户。
这些帐户需要手动的添加到对应设备帐户中。
2.2 确定统一帐户进行运维的用户统一帐户在添加时，对于其使用的用户要进行定义，所以需要提前准备。
3.首次登陆用IE浏览器访问：https://172.16.1.162/admin；访问过程中，如果是IE7/8，会出现证书安全警告等信息：选择“继续浏览此网站”，进入登陆页面。
用户登录，如果是令牌模式的口令管理员，或证书认证的口令管理员，请不勾选“口令认证”。
以下以口令认证的管理员登录为例进行说明：以下是登录成功首页：首页内容为：当前日期、上次登录时间及登录IP、最近10次操作记录。
操作记录包含操作时间、操作的客户IP、操作功能模块以及操作内容。
为了安全性考虑，建议静态口令用户登录后，点击页面右上角“修改密码”，对密码进行更新。
4.统一帐户管理统一帐户，是根据HAC用户反映的现实应用而增加的一种比较特殊的帐户，用于方便，快捷的统一管理相同帐户。
在实际应用中，会有如下情形：一个运维用户负责维护多台服务器，出于方便记忆和管理，这些服务器上的帐户和密码相同。
通过统一帐户管理进行帐户、密码的分配，实现了添加一次，则自动匹配所有的符合统一帐户条件的授权，同时，可以做到多台服务器帐户密码同时进行定期更新，大大减轻了口令管理员和运维用户的工作量。
统一帐户的特殊性，添加成功有以下的前提：1.运维管理员已经配置了运维用户对资源的授权；2.如果是Linux和类Linux的帐户，必须满足相同操作系统，相同的登录配置（具体参见本文的第6章节）；3.如果是Windows帐户，在服务器端需要安装sso同步软件。
见光盘。
具体操作步骤：选择“设备口令管理/统一帐户管理”，进入统一帐户管理页面：¾可添加、编辑、删除设备统一帐户；¾可查看统一帐户日志；¾可添加、删除统一帐户的隶属设备；1）添加设备统一帐户，点击“添加”按钮，进入帐户添加页面帐户名、密码、确认密码：即服务器的帐户和密码密码有效期：密码有效期分为7天、15天、30天、60天、90天，默认为永久有效即不启用托管。
当密码有效期设置不为永久有效时，启用密码托管功能，根据设置的时间周期，定期自动修改该帐户的密码。
运维用户：将该设备帐户关联到对应的运维用户，必填项。
帐户备注：输入该帐户的备注信息。
帐户状态：只有被激活的帐户才能在运维过程被使用。
添加完后，在“设备帐户管理”页面中，也会自动添加该设备帐户。
并且该帐户不能重置密码，进入编辑页面后，只能修改帐户备注和帐户性质。
在设备帐户分配页面中，会自动完成对该运维用户的帐户分配。
2）编辑设备统一帐户，点击主机帐户后面对应操作中的“编辑”，可对帐户信息进行编辑。
3）查看设备帐户日志：4）隶属设备，设备统一帐户添加完成，检测到用该帐户的设备会在这里显示，可添加，删除隶属设备：5) 设备统一帐户删除，在您要删除的设备统一帐户前面复选框打钩，点击“删除”即可。
5.设备帐户管理设备帐户管理，实现的是对单个主机帐户的配置。
选择“设备口令管理/设备帐户管理”，页面如下：¾可对主机进行添加、编辑、删除帐户；¾可获取主机帐户；¾可对主机帐户进行密码重置；¾可进行帐户导出；¾可查看主机帐户日志；¾可进行SSO配置。
5.1 设备帐户管理1）设备帐户添加，选择所要添加的设备：2）点击“添加”进入添加页面：设备名：设备名是上一步您选择的设备；帐户名、密码、确认密码：即服务器10.10.1.23的帐户和密码；帐户备注：对该帐户的补充说明；密码有效期：密码有效期分为7天、15天、30天、60天、90天，默认为永久有效即不启用托管。
当密码有效期设置不为永久有效时，启用密码托管功能，根据设置的时间周期，定期自动修改该帐户的密码；帐户类型：可设置为普通帐户（系统帐户）或ftp专属帐户；帐户性质：帐户本身具备主机的管理员权限，并在本页面定义为管理帐户时，对应主机的“帐户获取”功能才能使用；帐户状态：设置帐户激活或未激活，激活时可用；点击“保存”完成添加。
3）编辑设备帐户，点击对应帐户操作下面的“编辑”，以root帐户为例：可编辑帐户备注、密码有效期（是否启用托管）、帐户类型、帐户性质、帐户状态等信息。
4）删除设备帐户，勾选您要删除的帐户前面的复选框，点击“删除”完成帐户删除。
5）查看帐户日志，点击对应帐户操作下面的“日志”，以root帐户为例：可查看管理员对帐户的操作记录。
5.2 设备帐户托管当密码有效期设置不为永久有效时，启用密码托管功能。
启用密码托管功能时，密码更改一次，以后根据设置的时间周期，定期自动修改该帐户的密码。
系统每8个小时自动检测一次密码是否过期。
密码有效期分为7天、15天、30天、60天、90天。
托管前提：存在管理帐户，对应操作系统的SSO配置要正确。
windows服务器只有在开启windowsSSO帐户检测功能时才能设置密码托管1）启用密码托管以帐户meng为例，设置密码有效期为15天：保存后，帐户meng的密码托管显示为“是”：2）密码重置勾选帐户meng前面的复选框，点击右上角的“密码重置”：重置成功：5.3 设备帐户获取1)帐户获取选择已经定义了管理帐户的主机，点击“帐户获取”，如下图：帐户获取成功：说明：通过“帐户获取”功能获得的帐户，默认“帐户性质”是“普通帐户”，默认“密码托管”是“否”，默认“帐户状态”是“未激活”。
如果定义了两个或两个以上管理帐户，那么在帐户获取时，系统只匹配第一个管理账户来获取其他帐户。
对于windows系统，不能使用帐户获取功能。
2)帐户导出“帐户导出”功能，可以导出全部主机或者指定主机的帐号信息。
导出指定主机的帐号，如下图：6.SSO配置SSO配置在设备帐户的托管方面，起到非常关键的作用，通过配置文件，可以实现自动登录，帐户的更新托管。
HAC系统默认出厂时，配置了常用的操作系统文件，因操作系统，尤其是Linux各版本或多或少存在些特殊设置，所以当出现帐户添加失败，托管不成功的错误等，就要检查此部分配置文件是否需要更新。
选择“设备口令管理/设备帐户管理”，右上角“SSO配置”进入以下页面：6.1 配置模板目前有三类模板：Linux、SCO（Unix）、网络设备：1）linux模板的配置内容为：2）sco模板的配置内容为：3）网络设备模板的配置内容为：6.2 配置内容配置内容时，首先选择需要配置的操作系统，然后选择模板。
当显示的模板符合要求时，再进行配置。
以Redhat_AS4系统为例¾telnet登录配置，如下图：¾SSH登录配置，如下图：¾修改密码配置，如下图：该部分的配置是根据系统的普通用户修改自身密码来填写，而非root帐号的修改密码。
图形终端命令：指的是xwin协议自动登录时，启动的应用程序，比如xterm，或firefox 等。
7.口令管理配置托管通知：实现当帐户密码被更改时，系统会自动发送邮件到指定的邮箱。
接收人邮箱：填写密码变更时要通知的管理员的邮箱地址；邮件主题：填写邮件主题；状态：设为启用时有效；点击“保存“完成设置。
（发邮件前提：邮件发送服务器完成配置，DNS完成配置）托管验证：开启后，添加windows服务器设备帐户时，系统对后台服务器进行帐户校验；密函打印审批超时：核心服务器的帐户密码，提出打印申请的超时失效时间，默认为24小时，超过此时限则申请过期。
8.密函打印审批密函打印的申请功能参见《运维安全审计系统（HAC）_密函打印客户端使用手册》。
本文只对密函打印申请审批过程进行描述。
选择“设备帐户管理/密函打印审批”，进入以下页面，查看所有密函打印申请的当前状态：勾选“列出可审批申请”选项，可显示当前可审批的申请：选择需审批的条目，点击“批准”或“拒绝”按钮，即可批准或拒绝该申请。
批准过的申请，可在密函打印客户端中进行实际的打印。
9.技术支持HAC技术支持联系方式如下：广州总部：地址：广州市天河区科韵路16号广州信息港C栋1003室邮编：510665电话：(0086)-020-********传真：(0086)-020-********北京分公司：地址：北京上地东路5-3号烽火科技大厦七层邮编：100085电话：(0086)-010-********传真：(0086)-010-********上海分公司：地址：上海市田州路159号3单元401室邮编：200233电话：(0086)-021-********传真：(0086)-021-********。
