燕　霞

背景分析

隨著財政信息化建設(shè)的不斷推進，財政業(yè)務系統(tǒng)日益增多，信息網(wǎng)絡(luò)日漸龐大。大部分財政部門都建立了預算執(zhí)行、非稅收入、建設(shè)資金管理、辦公自動化等10多套應用系統(tǒng)。這些業(yè)務系統(tǒng)彼此之間各自相對獨立，數(shù)據(jù)分散。使用多個業(yè)務系統(tǒng)的用戶需要頻繁地在不同系統(tǒng)間來回切換、登錄，既降低了工作效率，又缺乏統(tǒng)一的安全管理，容易產(chǎn)生嚴重的安全漏洞。目前存在的主要問題有：

（1）缺乏安全可靠的用戶身份認證。由于財政信息系統(tǒng)的數(shù)據(jù)具有較高的保密要求，目前我局信息系統(tǒng)基本是采用用戶名/口令的身份認證方式，一方面安全性較低，另一方面無法在傳輸前確認信息收發(fā)雙方身份的真實性和可靠性，無法滿足對身份認證的高可靠性要求。

（2）缺乏統(tǒng)一的用戶身份認證及單點登錄平臺。出于安全考慮，每個用戶使用不同業(yè)務系統(tǒng)分別使用不同密碼，且每個密碼可能會不定期更換，以防止被破解。一方面，用戶記憶和保管如此繁多復雜的密碼非常麻煩，另一方面，對于經(jīng)常發(fā)生的用戶權(quán)限變更和密碼丟失事件，更是需要系統(tǒng)管理員耗費大量時間處理。

（3）缺乏集中統(tǒng)一的用戶信息管理和資源訪問授權(quán)機制。各業(yè)務系統(tǒng)內(nèi)用戶信息和權(quán)限管理機制各自為政、復雜凌亂，管理員無法集中管理用戶信息和訪問權(quán)限，維護效率低下。

（4）缺乏完善的安全審計機制。涉及資金流轉(zhuǎn)的業(yè)務系統(tǒng)需要對數(shù)據(jù)庫訪問日志進行記錄和審計，以保證出現(xiàn)問題時能通過對日志記錄的查詢、分析及相關(guān)審計操作追蹤到問題的根源所在。

為了切實解決上述問題，迫切需要部署一套可靠、高效的安全管理平臺，以提高財政信息網(wǎng)絡(luò)和電子政務應用的安全，有效保障財政資金的“安全、高效、協(xié)調(diào)”運行。

設(shè)計目標

通過分階段部署，最終實現(xiàn)集中賬號（Accounting）管理、統(tǒng)一認證（Authentication）管理、集中授權(quán)（Authorization）管理以及集中安全審計（Audit）管理——即4A平臺的構(gòu)建。

（1）一次登錄，所有登錄：實現(xiàn)多系統(tǒng)、多數(shù)據(jù)庫的單點登錄。

（2）采用數(shù)字證書認證方式，提供集中身份認證功能，實現(xiàn)可靠的用戶統(tǒng)一身份認證。構(gòu)建信息加密通道，確保信息傳輸?shù)陌踩?/p>

（3）實現(xiàn)用戶信息與后臺各應用系統(tǒng)的自動同步和集中的用戶權(quán)限管理。對用戶權(quán)限進行粗粒度控制，實現(xiàn)到角色級別的訪問控制。

（4）全面、準確的日志審計，審計結(jié)果可以多種圖表形式展現(xiàn)。

（5）支持所有的業(yè)務系統(tǒng)、平臺，且對原有系統(tǒng)的改動盡可能少，并對日后新系統(tǒng)的加入有較好地擴展性。

系統(tǒng)總體設(shè)計

根據(jù)建設(shè)目標，我局采用了國富安GFA SSO產(chǎn)品為基礎(chǔ)的4A安全平臺解決方案。GFA SSO產(chǎn)品由智能口令、SSO門戶、WEB過濾器、認證服務器、授權(quán)服務器組成，實現(xiàn)信息系統(tǒng)單點登錄、統(tǒng)一認證、用戶信息和權(quán)限與應用系統(tǒng)同步和管理等功能。

（1）智能口令程序安裝在每一臺需要SSO服務的客戶機上，系統(tǒng)以服務的形式運行，幫助用戶自動完成對B/S、C/S系統(tǒng)的登錄過程。智能口令程序向認證服務器核對用戶信息，認證成功后返回結(jié)果。用戶僅需要登錄智能口令軟件一次，就可實現(xiàn)對已授權(quán)資源的任意訪問。

（2）SSO門戶主要是對B/S結(jié)構(gòu)的應用系統(tǒng)進行單點登錄支持。用戶在訪問應用系統(tǒng)時，首先登錄門戶系統(tǒng)，由門戶簽發(fā)票據(jù)完成身份識別解析。

（3）Web過濾器是通過Web服務器內(nèi)部的過濾器機制實現(xiàn)SSO功能的一種方式。過濾器能夠?qū)ο到y(tǒng)訪問進行安全性檢查，判斷用戶登錄狀態(tài)，完成用戶訪問信息的審計，對關(guān)鍵敏感資源的訪問提供必要的保護。

（4）認證服務器為單點登錄門戶系統(tǒng)和智能口令客戶端提供用戶身份認證支持。認證通過后為用戶簽發(fā)用戶信息票據(jù)，作為系統(tǒng)識別用戶的標識。同時支持帳號同步功能，可方便的將各業(yè)務系統(tǒng)中的帳號信息同步到單點登錄數(shù)據(jù)庫系統(tǒng)中。

（5）授權(quán)管理服務器主要對GFA SSO產(chǎn)品進行以WEB方式進行的系統(tǒng)管理，包括對用戶主帳號的設(shè)立、用戶主帳號與系統(tǒng)從帳號間的對應、用戶權(quán)限分配等。

4A安全管理平臺主要包括四個子系統(tǒng)模塊：認證服務、權(quán)限管理、安全審計和用戶信息管理。系統(tǒng)總體結(jié)構(gòu)如圖1所示。

1、 認證服務子系統(tǒng)

認證服務子系統(tǒng)提供用戶身份認證的相關(guān)功能，其功能模塊結(jié)構(gòu)圖如圖2所示。

2、權(quán)限管理子系統(tǒng)

權(quán)限管理子系統(tǒng)采用基于角色的訪問控制方法實現(xiàn)用戶與訪問權(quán)限的邏輯分離，對用戶使用信息系統(tǒng)資源的具體情況進行合理分配，實現(xiàn)不同用戶對系統(tǒng)不同資源的訪問控制，以改善現(xiàn)有應用系統(tǒng)因角色眾多且權(quán)限各不相同而帶來的用戶使用復雜度較高、系統(tǒng)安全管理難度大等難題。

權(quán)限管理子系統(tǒng)的功能模塊如圖3所示。

3、安全審計子系統(tǒng)

安全審計系統(tǒng)提供全面、集中的安全審計功能，能及時發(fā)現(xiàn)非法登錄和非法操作，對非法登錄和非法操作快速分析、定位和響應，實現(xiàn)系統(tǒng)內(nèi)部的集中安全審計功能，包括安全審計自動響應、安全審計數(shù)據(jù)生成及安全審計瀏覽三個方面。系統(tǒng)功能模塊如圖4所示。

其中日志記錄模塊完成對身份認證、權(quán)限管理、賬號管理的日志進行記錄；審計分析模塊完成對日志記錄進行審計和分析，并對非法操作及異常情況發(fā)送警報；審計報告模塊可隨時捕獲和查看有關(guān)用戶的重要訪問信息和統(tǒng)計信息；系統(tǒng)管理模塊負責對安全審計子系統(tǒng)進行管理和維護。

4、用戶信息管理子系統(tǒng)

用戶信息管理子系統(tǒng)主要對所有用戶信息和登錄會話信息進行統(tǒng)一保存管理，包括所有關(guān)于用戶、組、資源、應用、登錄參數(shù)和訪問控制規(guī)則等信息。

總之，4A安全管理平臺系統(tǒng)的主要優(yōu)點是：

（1）一次登錄即可安全訪問所有有權(quán)訪問的信息系統(tǒng)。

（2）基于數(shù)字證書的身份認證，可確保用戶身份的安全。

（3）根據(jù)用戶身份信息，自動完成各系統(tǒng)的權(quán)限分配。

（4）全面、精確地記錄日志，可按日期、地址、用戶、資源等信息對日志進行查詢、統(tǒng)計和分析。

（5）與用戶采用的數(shù)字證書無縫集成，具有標準性、安全性、穩(wěn)定性、可擴展性高的特點。

（6）系統(tǒng)維護管理快速、高效，安全度大大增強。

我們通過部署4A安全管理平臺，將所有用戶信息都集中到安全管理中心，由安全管理中心自動完成復雜的身份驗證與權(quán)限分配過程，實現(xiàn)統(tǒng)一環(huán)境的單點登錄。用戶擺脫了過去記憶復雜密碼的煩惱，同時可以有效解決身份識別、權(quán)限控制、安全審計和單點登錄等安全訪問問題，我局信息系統(tǒng)的整體安全水平得到大幅提高。該系統(tǒng)的實施經(jīng)驗對加強各政府部門及企業(yè)的信息系統(tǒng)的安全高效管理都具有借鑒意義。

(作者單位：無錫市財政局信息中心)