|
|
|
|
|
|
|
当前，信息安全已经引起了大家的重视，防火墙、入侵检测、防病毒等安全技术和产品也得到了广泛地了解和应用，这些技术主要侧重于边界的安全及防御，用来抵御外界的入侵。但是，大量的统计数据表明，安全问题往往是从企业内部出现的，特别是用户身份的盗用，往往会造成一些重要数据的泄漏或损坏。因此如何对各种用户的身份进行管理，是一个越来越重要的问题。
|
|
|
|
身份认证是身份管理的基础。在完成了身份认证之后，接下来需要进行身份管理。当前，企业在进行身份管理时所出现的问题主要是：每台设备、每个系统都有不同的账号和密码，管理员管理和维护起来困难，账号管理的效率低、工作量大，有效的密码安全策略也难以贯彻；用户使用起来也困难，需要记忆大量的密码；账号密码的混用、泄露、盗用的情况也比较严重，出了安全问题也难以追查到具体的责任人。解决这些安全问题的途径，这就在整个企业内部实施统一的身份管理解决方案。
|
|
|
|
|
|
在许多企业里，某个员工离开原公司后，仍然还能通过原来的账户访问企业内部信息和资源，原来的信箱仍然可以使用。为什么会出现这种现象呢？原因在于，当员工离开公司后，尽管人事部门将其除名，但在IT系统中相应的多个用户授权却没有被及时删除。
|
|
|
|
对于一个内部用户而言，身份识别管理的时间跨度从员工加入公司开始直到这名员工离开公司。进入公司后，新员工最先接触的系统是人力资源系统，然后会获得门卡、办公设备等工具，然后还会获得网络的授权，通过授权访问公司的资源。这些不同的应用系统可能来自于不同的厂商，而身份管理系统可以把这些资源都集中起来。新员工的资料一旦被添加到人力资源管理系统之后，系统就会自动生成各种密码和授权，基于Web的授权也可以在这个流程中一次性完成，而且还会把这名员工在公司里所做的任何访问活动都记录下来。当员工离开时，网管只需将其从人力资源管理系统中删除，身份识别管理系统就会自动地到所有的后台系统中，把与该员工相关的授权全部删除，这是一个非常自动化的过程，也是目前企业所应关注的统一用户管理系统。统一用户管理的收益如下。
|
|
|
|
（1）用户使用更加方便。以前用户在登录不同的系统时，需要使用不同用户名、密码；采用统一认证系统后，用户只需要使用同一个用户名、同一个密码就可以登录所有允许他登录的系统；在使用单点登录系统后，用户可以仅需要输入一次用户名、密码，就能对各个应用系统进行访问。
|
|
|
|
（2）安全控制力度得到加强。管理人员可以集中地对各个系统上的用户进行管理，控制用户的访问范围和权限，并对用户的行为进行审计，使整个系统的安全管理水平得到极大提高。
|
|
|
|
（3）减轻管理人员的负担，提高工作效率。管理人员不需要再像从前一样，必须登录各个系统，才能进行用户账户、密码的管理和维护；而是可以通过一个统一的管理界面集中地完成，效率得到了提高，也减少由于在大量设备上进行操作，出现人为失误的可能。
|
|
|
|
（4）安全性得到提高。以前采用静态密码进行认证的方式，变成了采用静态密码加动态密码的双因素认证方式。用户在进行登录时，除了输入用户名外，还要输入静态密码，以及由密码令牌产生或由短信发送的一次性动态密码。
|
|
|
|
|
|
企业用户管理的功能主要包括用户账号管理、用户权限管理、外部用户管理、用户安全审计等。
|
|
|
|
|
|
用户账号管理主要用于处理用户信息，统一的用户管理可以仅使用一个接口，就可以集中完成账号的创建、以及各个系统上的部署、维护、撤消等工作，从而大大提高其工作效率，减少由于人为操作失误带来的安全风险。
|
|
|
|
用户账号管理的另一个重要方面是用户密码的管理，密码和账号相关联，被用来鉴别用户的身份。密码应该进行明文规定的格式标准，以便推广强密码（例如，密码由数字、字母字符、大小写字母等混合组成，不包含元音字母），并要定期地变更，才能保证其安全性。用户账号管理还可以实现自我服务，管理用户的个人身份信息以及保密合同，从而能够降低管理用户请求的成本，帮助改善用户体验。
|
|
|
|
用户账号管理还应有一套正式流程，当员工被解雇或者转职时，人力资源或用户的管理者能及时地通知IT部门，从而删除那些被解雇的人员或者其职责和／或责任已经变更的用户账号。
|
|
|
|
|
|
用户权限管理是确定是否允许用户执行所请求操作的流程。用户授权过程出现在认证之后，它使用与用户相关的属性或权限，控制用户进行的访问和操作。授权通常采用基于角色的访问控制（Role based Access Control，RBAC）, RBAC便于组织各种资源上的各种权限，进行灵活精确地权限分配。角色由资源和操作构成，角色通常根据企业内各种职务的需要来制定，从而使管理员能够以一种与企业组织模型相对应的方式，对用户赋予权限，进行访问控制。
|
|
|
|
|
|
用户管理其中重要的一个方面是关于企业的外包商、供应商、服务商的账号的分配、
|
|
|
|
撤销及权限管理问题。外部用户管理的原则是要求承包商、第三方服务提供商和商业伙伴签订不泄露、机密性或者卖方信誉协议。外部用户管理还应包含使合同解除的外部用户返还所有公司账号的流程、确保分配给顾问和临时雇员的账号在分配期结束时自动终止。
|
|
|
|
|
|
审计是安全的一个重要手段，通过审计，安全人员可以了解系统内已经发生或正在发生的事件，对有可能产生危害的安全事件进行及时的响应和处理，根据对历史数据的分析，调整安全部署，同时也可以为一些处理和诉讼提供证据。
|
|
|
|
用户安全审计包括：利用日志工具来检测和报告较差的密码和易猜的密码；定期再检查和重新认证用户对系统（应用软件、数据库、主机系统和网络设备）的访问；利用日志工具检测那些对网络或者关键系统进行的反复的未授权访问；对于所有的系统，主动限制、监测和审核超级用户和／或系统管理员的活动等。
|
|
|
|
|
|
现在计算机及网络系统中常用的身份认证方式主要有以下几种。
|
|
|
|
|
|
用户名／密码是最简单也是最常用的身份认证方法，是基于“what you know”的验证手段。每个用户的密码是由用户自己设定的，只有用户自己才知道。只要能够正确输入密码，计算机就认为操作者是合法用户。实际上，由于许多用户为了防止忘记密码，经常采用诸如生日、电话号码等容易被猜测的字符串作为密码，或者把密码抄在纸上并放在一个自认为安全的地方，这样很容易造成密码泄漏。即使能保证用户密码不被泄漏，由于密码是静态的数据，在验证过程中需要在计算机内存中和网络中传输，而每次验证使用的验证信息都是相同的，很容易被驻留在计算机内存中的木马程序或网络中的监听设备截获。因此用户名／密码方式是一种极不安全的身份认证方式。
|
|
|
|
|
|
IC卡是一种内置集成电路的芯片，芯片中存有与用户身份相关的数据，IC卡由专门的厂商通过专门的设备生产，是不可复制的硬件。IC卡由合法用户随身携带，登录时必须将IC卡插入专用的读卡器读取其中的信息，以验证用户的身份。IC卡认证是基于“what you have”的手段，通过IC卡硬件不可复制来保证用户身份不会被仿冒。然而由于每次从IC卡中读取的数据是静态的，通过内存扫描或网络监听等技术还是很容易截取到用户的身份验证信息，因此还是存在安全隐患。
|
|
|
|
|
|
动态密码技术是一种让用户密码按照时间或使用次数不断变化、每个密码只能使用一次的技术。它采用一种叫作动态令牌的专用硬件，内置电源、密码生成芯片和显示屏，密码生成芯片运行专门的密码算法，根据当前时间或使用次数生成当前密码并显示在显示屏上。认证服务器采用相同的算法计算当前的有效密码。用户使用时只需要将动态令牌上显示的当前密码输入客户端计算机，即可实现身份认证。由于每次使用的密码必须由动态令牌来产生，只有合法用户才持有该硬件，所以只要通过密码验证就可以认为该用户的身份是可靠的。而用户每次使用的密码都不相同，即使黑客截获了一次密码，也无法利用这个密码来仿冒合法用户的身份。
|
|
|
|
动态密码技术采用一次一密的方法，有效保证了用户身份的安全性。但是如果客户端与服务器端的时间或次数不能保持良好的同步，就可能发生合法用户无法登录的问题。并且用户每次登录时需要通过键盘输入一长串无规律的密码，一旦输错就要重新操作，使用起来非常不方便。
|
|
|
|
|
|
基于USB Key的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USB Key是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USB Key内置的密码算法实现了对用户身份的认证。
|
|
|
|
|
|
用户安全管理审计主要用于与用户管理相关的数据收集、分析和存档以支持满足安全需要的标准。用户安全管理审计主要是在一个计算环境中抓取、分析、报告、存档和抽取事件和环境的记录。安全审计分析和报告可以是实时的，就像入侵检测系统，也可以是事后的分析。
|
|
|
|
|
|
（1）用户安全审计数据的收集，包括抓取关于用户账号使用情况等相关数据。
|
|
|
|
（2）保护用户安全审计数据，包括使用时间戳、存储的完整性来防止数据的丢失。
|
|
|
|
（3）用户安全审计数据分析，包括检查、异常探测、违规分析、入侵分析。
|
|
|
|
|
|
（1）了解系统通常会发生什么，哪些资源是用户通常要登录访问的，什么时间是用户访问的高峰时段，只有知道自己网络的一些基本信息才可以针对一些异常状况做出有效及时地审核，从而发现问题所在。
|
|
|
|
（2）正如上面提到，应该有用户通常登录系统的时段的记录，所以当发现个别用户在一个不寻常的时间登录就需要注意了，当然这不能确切地说明受到攻击，但可以为管理员进一步地审核提供线索。
|
|
|
|
（3）登录失败的审核应该特别引起留意，任何入侵通常不会像正常用户那样，顺利地登录系统，一般都会进行多次尝试，因此对于某个账户在一段时间内多次出现登录失败的记录就应该多加留意。
|
|
|
