论文部分内容阅读
背景分析
随着财政信息化建设的不断推进，财政业务系统日益增多，信息网络日渐庞大。大部分财政部门都建立了预算执行、非税收入、建设资金管理、办公自动化等10多套应用系统。这些业务系统彼此之间各自相对独立，数据分散。使用多个业务系统的用户需要频繁地在不同系统间来回切换、登录，既降低了工作效率，又缺乏统一的安全管理，容易产生严重的安全漏洞。目前存在的主要问题有：
（1）缺乏安全可靠的用户身份认证。由于财政信息系统的数据具有较高的保密要求，目前我局信息系统基本是采用用户名/口令的身份认证方式，一方面安全性较低，另一方面无法在传输前确认信息收发双方身份的真实性和可靠性，无法满足对身份认证的高可靠性要求。
（2）缺乏统一的用户身份认证及单点登录平台。出于安全考虑，每个用户使用不同业务系统分别使用不同密码，且每个密码可能会不定期更换，以防止被破解。一方面，用户记忆和保管如此繁多复杂的密码非常麻烦，另一方面，对于经常发生的用户权限变更和密码丢失事件，更是需要系统管理员耗费大量时间处理。
（3）缺乏集中统一的用户信息管理和资源访问授权机制。各业务系统内用户信息和权限管理机制各自为政、复杂凌乱，管理员无法集中管理用户信息和访问权限，维护效率低下。
（4）缺乏完善的安全审计机制。涉及资金流转的业务系统需要对数据库访问日志进行记录和审计，以保证出现问题时能通过对日志记录的查询、分析及相关审计操作追踪到问题的根源所在。
为了切实解决上述问题，迫切需要部署一套可靠、高效的安全管理平台，以提高财政信息网络和电子政务应用的安全，有效保障财政资金的“安全、高效、协调”运行。
设计目标
通过分阶段部署，最终实现集中账号（Accounting）管理、统一认证（Authentication）管理、集中授权（Authorization）管理以及集中安全审计（Audit）管理——即4A平台的构建。
（1）一次登录，所有登录：实现多系统、多数据库的单点登录。
（2）采用数字证书认证方式，提供集中身份认证功能，实现可靠的用户统一身份认证。构建信息加密通道，确保信息传输的安全。
（3）实现用户信息与后台各应用系统的自动同步和集中的用户权限管理。对用户权限进行粗粒度控制，实现到角色级别的访问控制。
（4）全面、准确的日志审计，审计结果可以多种图表形式展现。
（5）支持所有的业务系统、平台，且对原有系统的改动尽可能少，并对日后新系统的加入有较好地扩展性。
系统总体设计
根据建设目标，我局采用了国富安GFA SSO产品为基础的4A安全平台解决方案。GFA SSO产品由智能口令、SSO门户、WEB过滤器、认证服务器、授权服务器组成，实现信息系统单点登录、统一认证、用户信息和权限与应用系统同步和管理等功能。
（1）智能口令程序安装在每一台需要SSO服务的客户机上，系统以服务的形式运行，帮助用户自动完成对B/S、C/S系统的登录过程。智能口令程序向认证服务器核对用户信息，认证成功后返回结果。用户仅需要登录智能口令软件一次，就可实现对已授权资源的任意访问。
（2）SSO门户主要是对B/S结构的应用系统进行单点登录支持。用户在访问应用系统时，首先登录门户系统，由门户签发票据完成身份识别解析。
（3）Web过滤器是通过Web服务器内部的过滤器机制实现SSO功能的一种方式。过滤器能够对系统访问进行安全性检查，判断用户登录状态，完成用户访问信息的审计，对关键敏感资源的访问提供必要的保护。
（4）认证服务器为单点登录门户系统和智能口令客户端提供用户身份认证支持。认证通过后为用户签发用户信息票据，作为系统识别用户的标识。同时支持帐号同步功能，可方便的将各业务系统中的帐号信息同步到单点登录数据库系统中。
（5）授权管理服务器主要对GFA SSO产品进行以WEB方式进行的系统管理，包括对用户主帐号的设立、用户主帐号与系统从帐号间的对应、用户权限分配等。
4A安全管理平台主要包括四个子系统模块：认证服务、权限管理、安全审计和用户信息管理。系统总体结构如图1所示。
1、 认证服务子系统
认证服务子系统提供用户身份认证的相关功能，其功能模块结构图如图2所示。
2、权限管理子系统
权限管理子系统采用基于角色的访问控制方法实现用户与访问权限的逻辑分离，对用户使用信息系统资源的具体情况进行合理分配，实现不同用户对系统不同资源的访问控制，以改善现有应用系统因角色众多且权限各不相同而带来的用户使用复杂度较高、系统安全管理难度大等难题。
权限管理子系统的功能模块如图3所示。
3、安全审计子系统
安全审计系统提供全面、集中的安全审计功能，能及时发现非法登录和非法操作，对非法登录和非法操作快速分析、定位和响应，实现系统内部的集中安全审计功能，包括安全审计自动响应、安全审计数据生成及安全审计浏览三个方面。系统功能模块如图4所示。
其中日志记录模块完成对身份认证、权限管理、账号管理的日志进行记录；审计分析模块完成对日志记录进行审计和分析，并对非法操作及异常情况发送警报；审计报告模块可随时捕获和查看有关用户的重要访问信息和统计信息；系统管理模块负责对安全审计子系统进行管理和维护。
4、用户信息管理子系统
用户信息管理子系统主要对所有用户信息和登录会话信息进行统一保存管理，包括所有关于用户、组、资源、应用、登录参数和访问控制规则等信息。
总之，4A安全管理平台系统的主要优点是：
（1）一次登录即可安全访问所有有权访问的信息系统。
（2）基于数字证书的身份认证，可确保用户身份的安全。
（3）根据用户身份信息，自动完成各系统的权限分配。
（4）全面、精确地记录日志，可按日期、地址、用户、资源等信息对日志进行查询、统计和分析。
（5）与用户采用的数字证书无缝集成，具有标准性、安全性、稳定性、可扩展性高的特点。
（6）系统维护管理快速、高效，安全度大大增强。
我们通过部署4A安全管理平台，将所有用户信息都集中到安全管理中心，由安全管理中心自动完成复杂的身份验证与权限分配过程，实现统一环境的单点登录。用户摆脱了过去记忆复杂密码的烦恼，同时可以有效解决身份识别、权限控制、安全审计和单点登录等安全访问问题，我局信息系统的整体安全水平得到大幅提高。该系统的实施经验对加强各政府部门及企业的信息系统的安全高效管理都具有借鉴意义。
(作者单位：无锡市财政局信息中心)
随着财政信息化建设的不断推进，财政业务系统日益增多，信息网络日渐庞大。大部分财政部门都建立了预算执行、非税收入、建设资金管理、办公自动化等10多套应用系统。这些业务系统彼此之间各自相对独立，数据分散。使用多个业务系统的用户需要频繁地在不同系统间来回切换、登录，既降低了工作效率，又缺乏统一的安全管理，容易产生严重的安全漏洞。目前存在的主要问题有：
（1）缺乏安全可靠的用户身份认证。由于财政信息系统的数据具有较高的保密要求，目前我局信息系统基本是采用用户名/口令的身份认证方式，一方面安全性较低，另一方面无法在传输前确认信息收发双方身份的真实性和可靠性，无法满足对身份认证的高可靠性要求。
（2）缺乏统一的用户身份认证及单点登录平台。出于安全考虑，每个用户使用不同业务系统分别使用不同密码，且每个密码可能会不定期更换，以防止被破解。一方面，用户记忆和保管如此繁多复杂的密码非常麻烦，另一方面，对于经常发生的用户权限变更和密码丢失事件，更是需要系统管理员耗费大量时间处理。
（3）缺乏集中统一的用户信息管理和资源访问授权机制。各业务系统内用户信息和权限管理机制各自为政、复杂凌乱，管理员无法集中管理用户信息和访问权限，维护效率低下。
（4）缺乏完善的安全审计机制。涉及资金流转的业务系统需要对数据库访问日志进行记录和审计，以保证出现问题时能通过对日志记录的查询、分析及相关审计操作追踪到问题的根源所在。
为了切实解决上述问题，迫切需要部署一套可靠、高效的安全管理平台，以提高财政信息网络和电子政务应用的安全，有效保障财政资金的“安全、高效、协调”运行。
设计目标
通过分阶段部署，最终实现集中账号（Accounting）管理、统一认证（Authentication）管理、集中授权（Authorization）管理以及集中安全审计（Audit）管理——即4A平台的构建。
（1）一次登录，所有登录：实现多系统、多数据库的单点登录。
（2）采用数字证书认证方式，提供集中身份认证功能，实现可靠的用户统一身份认证。构建信息加密通道，确保信息传输的安全。
（3）实现用户信息与后台各应用系统的自动同步和集中的用户权限管理。对用户权限进行粗粒度控制，实现到角色级别的访问控制。
（4）全面、准确的日志审计，审计结果可以多种图表形式展现。
（5）支持所有的业务系统、平台，且对原有系统的改动尽可能少，并对日后新系统的加入有较好地扩展性。
系统总体设计
根据建设目标，我局采用了国富安GFA SSO产品为基础的4A安全平台解决方案。GFA SSO产品由智能口令、SSO门户、WEB过滤器、认证服务器、授权服务器组成，实现信息系统单点登录、统一认证、用户信息和权限与应用系统同步和管理等功能。
（1）智能口令程序安装在每一台需要SSO服务的客户机上，系统以服务的形式运行，帮助用户自动完成对B/S、C/S系统的登录过程。智能口令程序向认证服务器核对用户信息，认证成功后返回结果。用户仅需要登录智能口令软件一次，就可实现对已授权资源的任意访问。
（2）SSO门户主要是对B/S结构的应用系统进行单点登录支持。用户在访问应用系统时，首先登录门户系统，由门户签发票据完成身份识别解析。
（3）Web过滤器是通过Web服务器内部的过滤器机制实现SSO功能的一种方式。过滤器能够对系统访问进行安全性检查，判断用户登录状态，完成用户访问信息的审计，对关键敏感资源的访问提供必要的保护。
（4）认证服务器为单点登录门户系统和智能口令客户端提供用户身份认证支持。认证通过后为用户签发用户信息票据，作为系统识别用户的标识。同时支持帐号同步功能，可方便的将各业务系统中的帐号信息同步到单点登录数据库系统中。
（5）授权管理服务器主要对GFA SSO产品进行以WEB方式进行的系统管理，包括对用户主帐号的设立、用户主帐号与系统从帐号间的对应、用户权限分配等。
4A安全管理平台主要包括四个子系统模块：认证服务、权限管理、安全审计和用户信息管理。系统总体结构如图1所示。
1、 认证服务子系统
认证服务子系统提供用户身份认证的相关功能，其功能模块结构图如图2所示。
2、权限管理子系统
权限管理子系统采用基于角色的访问控制方法实现用户与访问权限的逻辑分离，对用户使用信息系统资源的具体情况进行合理分配，实现不同用户对系统不同资源的访问控制，以改善现有应用系统因角色众多且权限各不相同而带来的用户使用复杂度较高、系统安全管理难度大等难题。
权限管理子系统的功能模块如图3所示。
3、安全审计子系统
安全审计系统提供全面、集中的安全审计功能，能及时发现非法登录和非法操作，对非法登录和非法操作快速分析、定位和响应，实现系统内部的集中安全审计功能，包括安全审计自动响应、安全审计数据生成及安全审计浏览三个方面。系统功能模块如图4所示。
其中日志记录模块完成对身份认证、权限管理、账号管理的日志进行记录；审计分析模块完成对日志记录进行审计和分析，并对非法操作及异常情况发送警报；审计报告模块可随时捕获和查看有关用户的重要访问信息和统计信息；系统管理模块负责对安全审计子系统进行管理和维护。
4、用户信息管理子系统
用户信息管理子系统主要对所有用户信息和登录会话信息进行统一保存管理，包括所有关于用户、组、资源、应用、登录参数和访问控制规则等信息。
总之，4A安全管理平台系统的主要优点是：
（1）一次登录即可安全访问所有有权访问的信息系统。
（2）基于数字证书的身份认证，可确保用户身份的安全。
（3）根据用户身份信息，自动完成各系统的权限分配。
（4）全面、精确地记录日志，可按日期、地址、用户、资源等信息对日志进行查询、统计和分析。
（5）与用户采用的数字证书无缝集成，具有标准性、安全性、稳定性、可扩展性高的特点。
（6）系统维护管理快速、高效，安全度大大增强。
我们通过部署4A安全管理平台，将所有用户信息都集中到安全管理中心，由安全管理中心自动完成复杂的身份验证与权限分配过程，实现统一环境的单点登录。用户摆脱了过去记忆复杂密码的烦恼，同时可以有效解决身份识别、权限控制、安全审计和单点登录等安全访问问题，我局信息系统的整体安全水平得到大幅提高。该系统的实施经验对加强各政府部门及企业的信息系统的安全高效管理都具有借鉴意义。
(作者单位：无锡市财政局信息中心)