主机审计

”

的重要保障之一

[2 ]

。

凡是对于网络信息系统的薄弱环节进行测试、评估和分析，以 找到极佳途径在

最大限度保障安全的基础上使得业务正常运行的一切行为和手段，都可以 叫做安全

审计

[3 ]

。

传统的安全审计多为

“

日志记录

”

，注重事后的审计，强调审计的威慑作用 和安

全事件的可核查性。随着国家信息安全政策的改变，美国首先在信息保障技术框架< /p>

（

IA TF

）

中提出在信息基础设置中进行 所谓

“

深层防御策略（

Defense 2in2Dept h

St rategy

）

”

< br>，对安全审计系统提出了参与主动保护和主动响应的要求

[4 ]

。这就

是现代网络安全审计的雏形，突破了以往

“< /p>

日志记录

”

等浅层次的安全审计概念，是全方位、分布式、多层次的强审 计概念，符合信

息保障技术框架提出的保护、检测、反应和恢复（

PDRR

）

动态过程的要求，在提

高审计广度和深度的基础上，做到对信息的主动保护和主动响 应。

3

主机审计系统设计。

安全审 计从技术上分为网络审计、数据库审计、主机审计、应用审计和综合审

计。主机审计就是 获取、记录被审计主机的状态信息和敏感操作，并从已有的主机

系统审计记录中提取信息 ，依据审计规则分析判断是否有违规行为。

一般网络系统的主机审计多采用传 统的审计，涉密系统的主机审计应采用现代

综合审计，做到对信息的主动保护和主动响应 。因此，涉密网络的主机审计在设计

时就应该全方位进行考虑。

3. 1

体系架构。

主机审计系统由控制中心、受控端 、管理端等三部分组成。管理端和控制中心

间为

B/ S

架构，管理端通过浏览器访问控制中心。对于管理端，其操作系统应不限

于

Windows ,

浏览器也不是只有

IE

。管理端地位重要，应有一定保护措施，同时管

理端和 控制中心的通讯应有安全保障，可考虑隔离措施和

SHTTP

协议。

主机审计能够分不同的角色来使用，至少划分安全策略管理员 、审计管理员、

系统管理员。

安全策略管理员按照制定的监控审 计策略进行实施；审计管理员负责定期审计

收集的信息，根据策略判断用户行为（包括三 个管理员的行为）

是否违规，出审计

报告；系统管理员负责分配安全策略管理员和审计管理员的权限。三员的任何操作

系统有 相应记录，对系统的操作互相配合，同时互相监督，既方便管理，又保证整

个监控体系和 系统本身的安全。控制中心是审计系统的核心，所有信息都保存在控

制中心。因此，控制 中心的操作系统和数据库最好是国内自己研发的。控制中心的

存储空间到一定限额时报警 ，提醒管理员及时备份并删除信息，保证审计系统能够

采集新的信息。

< br>

3. 2

安全策略管理。

不同的 安全策略得到的审计信息不同。安全策略与管理策略紧密挂钩，体现安

全管理意志。在审 计系统上实施安全策略前，应根据安全管理思想，结合审计系统

能够实现的技术途径，制 定详细的安全策略，由安全员按照安全策略具体实施。如

安全策略可以分部门、分小组制 定并执行。安全策略越完善，审计越彻底，越能反

映主机的安全状态。

< br>

主机审计的安全策略由控制中心统一管理，策略发放采取推拉结合的方式，即

由控制中 心向受控端推送策略和受控端向控制中心拉策略的方式。当安全策略发生

更改时，控制中 心可以及时将策略发给受控端。但是，当受控端安装了防火墙时，

推送方式将受阻，安全 策略发送不到受控端。由受控端向控制中心定期拉策略，可

以保证受控端和控制中心的通 讯不会因为安装个人防火墙或其他认证保护措施而中

断。联网主机（服务器、联网

PC

机）

通过网 络接收控制中心的管理策略向控制中

心传递审计信息。单机（桌面

PC

或笔记本）

通过外置磁介质（如

U

盘、移动硬

盘）

接收控制中心管理策略。

审计信息存放在主机内，

由管理员 定期通过外置磁介

质将审计信息传递给控制中心。

所有通讯采用

SSL

加密方式传输，

确保数据在传 输

过程中不会被篡改或欺骗。

为了防止受控端脱离控制中心管理 ，受控端程序应由安全员统一安装在受控主

机，并与受控主机的网卡地址、

IP

地址绑定。该程序做到不可随意卸载，不能随意

关闭审计服务，且不影响受控端的运行性能。受控端一旦安装受控程序，只有重装

操作 系统或由安全员卸载，才能脱离控制中心的管理。联网时自动将信息传到控制

中心，以保 证审计服务不会被绕过。

3. 3

审计主机范围。

涉密信 息系统中的主机有联网主机、单机等。常用操作系统包括

Windows

98 ,Windows2000 ,Windows XP ,Linux ,Unix

等。主机审计系统的受控端支持装有

不同操作系统 的联网主机、单机等，实现使用同一软件解决联网机、单机、笔记本

的审计问题。