智慧的資料中心運維風險管理

什麼是智慧？《辭海》上解釋為“對事物能認識、辨析、判斷處理和發明創造的能力。作為世界上最成功的高科技企業之一和創造新概念的高手，IBM公司在2009年伊始提出了智慧地球的概念，以期給地球上每一個看似無序的“物件”全部嵌上智能的“大腦”和“心髒”，以一種“更智慧”的方法來改進政府、公司和人們互相互動的方式，以便提高互動的明确性、效率、靈活性和響應速度。各行各業的系統都需要變得更智慧，隻有這些系統都演變成智慧系統，智慧地球才能真正實作。

近五年來，國内資料中心建設的投資年增長率超過20%，各大行業都在規劃、建設和改造各自的資料中心。然而，随着資訊化發展的不斷深入和資訊量的爆炸式增長，資料中心正面臨着前所未有的挑戰。

根據資料中心性能研究機構Uptime Institute所提供的資料，目前人為失誤引發了大約70%的資料中心故障。是以，需要最大程度地減少人為操作的風險。據統計，僅2011年至2012年期間，因資料中心内部IT運維人員的誤操作或越權通路，給資料中心管理者所帶來的損失就高達數百億元。

從這些資料中可以看到，如何保障資料中心IT基礎設施運維管理的可靠和安全，已經成為資料中心營運管理者最為關注也最棘手的問題。

目前，資料中心運維普遍存在資料量急速膨脹，營運成本高昂、安全性差，業務連續能力低等一系列挑戰，例如：

各種伺服器上各種各樣的帳号和密碼種類繁多，管理複雜；管理者、裝置供應商人員、第三方代維人員較多，究竟誰動了配置和資料不可定位、追溯；各種誤操作、違規操作、惡意操作可能導緻系統問題或資訊被篡改、破壞、洩漏；使用者通過遠端接入進行操作存在嚴重隐患；對操作行為無法監控和審計。

目前資料中心亟待解決的問題主要有：如何降低運維操作導緻的安全風險；如何降低運維操作成本，從複雜繁重的維護更新和大量的後續資金投入中解脫出來；如何保障資料中心運維管理合規性。

資料中心運維安全審計系統可以緩解上述問題，然而解決運維操作風險問題難度大、涉及面多（人員、裝置、資源、應用、賬戶、操作等），技術面廣且難點多，難以有效統一管控。如果産品設計和實作不到位，容易造成管理複雜且使用不便，難以适應資料中心實際環境和發展需要。目前部分運維堡壘機廠商的産品普遍存在以下問題：

（1） 運維堡壘機的賬戶系統未能與裝置系統賬戶完全分離。運維堡壘機要求所有應用通路均通過代理機制完成，而不應有“落地”行為。然而，有些廠商号稱是運維堡壘機，但仍然遺留了很多跳闆機的設計，即運維操作使用者名都建立在系統上，而不是獨立的資料庫，這種情況下就無法建立“root”名的運維使用者名。

（2） 運維堡壘機成為了新的系統脆弱點。由于運維堡壘機是連接配接前後端的唯一途徑，首當其沖成為了被attack的重要目标，風險加大。是以應該盡量減少系統加載的服務或子產品，進而盡可能減少可被attack的風險。

（3） 部署困難，管理繁瑣，使用者操作體驗不佳。特别是在管理裝置種類較多、裝置數量規模較大的情況下，存在配置界面複雜，操作方式不連貫，部署費工費時等問題。

北京尚思卓越創新地提出了智慧的運維操作風險管理這一産品理念，推出了尚思卓越操作風險管理系統，能夠全面滿足管理者對資料中心運維安全管控的迫切需求。

北京尚思卓越的研發團隊認為，如果能夠經由一種更智慧的方法來改變運維人員和IT基礎設施互動的方式，顯著提高互動的安全性、合規性、效率、靈活性和響應速度，既能很好地解決運維操作風險，又能便捷支援各類運維終端應用，部署簡單使用友善，管理者将會從複雜的運維管理中解脫出來，而專注于提升資料中心的核心價值。

為了研發出一款智慧的産品，在設計之初，北京尚思卓越就采取了以下方面的努力，確定尚思卓越操作風險管理系統成為一款革新性的産品。

感覺需求：北京尚思卓越擁有出色的研發團隊，根據多年的IT内控和堡壘機産品研發經驗，深入感覺使用者需求，在傳統的運維操作風險管理的核心要求（身份管理、通路控制、操作追蹤、合規報表）之外，準确定位堡壘機作為系統中單一故障點的高安全性、高可用性和高可靠性需求；

創新技術：通過在系統體系架構、智能功能和安全保障等個方面的變革創新來滿足使用者需求，并前瞻考慮，進一步地滿足使用者2-3年内的增長性需求，超出使用者期望。

北京尚思卓越智慧的運維風險管理的核心是通過尚思卓越風險管理系統，使風險管理裝置與IT基礎設施的完美結合，運維人員可以進行更高效的操作，做出更明智的決策，降低運維操作風險，提高資訊系統運作的安全性和事件的追溯能力，提高企業工作效率。

尚思産品提供的智慧的運維風險管理主要展現在以下四個方面：

（1）更透徹的感覺

更透徹的感覺是指尚思卓越操作風險管理系統可以時刻測量、捕獲、監控和傳遞運維操作資訊，基于專用硬體裝置和裁剪定制的作業系統，通過使用先進創新的感覺手段，快速擷取運維操作資訊并進行分析，便于立即采取應對措施和進行事後追溯。支援對所有主流運維協定的監控，包括文本類、檔案類、圖形類、Web類、資料庫類和應用類等多種協定（如SSH、TELNET、RDP、VNC、X11、(S)FTP、HTTP(S)、ORACLE、InforMix、DB2、MSSQL、Sybase、MYSQL）的監控。支援多類裝置和系統，包括主機伺服器、網絡裝置、安全裝置及資料庫系統等，支援IBM Aix、HP Unix、Sun Solaris、SCO Unix、Linux、Windows等各種作業系統主機和各種網絡、安全裝置；支援Win XP、Vista、Win7、Win8等主流運維終端系統；支援Windows下所有主流浏覽器，IE（核心）、Firefox、Chrome、Opera等。具有業界最強的協定轉發處理能力，摒棄業界常用的協定轉發“黑盒子”，能夠對Telnet、FTP、SSH、SFTP、RDP（Windows Terminal）、Xwindows、VNC、AS400、HTTP、HTTPS協定進行完整的透明轉發，特别是對圖形化操作協定的轉發性能遠遠優于其它同類型産品（最大并發數為500），并具有橫向無縫擴充能力。自動擷取管理的資料中心的裝置賬戶和裝置資訊，友善管理者了解資料中心IT裝置狀況并及時進行更新和操作。

（2） 更全面的可見性

更全面的可見性是指通過運維堡壘機，使得管理者能更友善的了解目前的運維情況，更好地對運維操作狀況進行實時監控，從全局的角度分析風險并實時審計，進而幫助管理者完成安全可控的IT運維。尚思卓越操作風險管理系統提供基于資料包的協定分析、還原虛拟化技術可以實作操作界面模拟，将所有的操作轉換為圖形化界面予以展現，實作100%審計資訊不丢失。尚思卓越操作風險管理系統提供多種類型操作資訊回放展現，除針對運維操作圖形化審計功能的展現外，同時還能對字元進行分析，包括指令行操作的指令以及回顯資訊和非字元型操作時鍵盤、滑鼠的敲擊資訊。使用更貼切、操作更易用，支援正常終端應用自适應關聯，支援正常終端應用顯示真實目标IP位址，注重細節上的使用者體驗。報表全視角模型展現，提供圖形、表格等各類可視化展現方式，支援定期發送自定義報表，為使用者提供全面的運維審計和合規性管理視圖。

（3） 更深入的智能

更深入的智能是指深入分析收集到的資料，以擷取細粒度、精确的運維審計資訊，更加系統、全面的提供IT操作風險控制、内控安全和合規性等方面的完善、有效的審計手段。目前通用的審計工具大多從網絡層面或伺服器日志層面擷取較為龐雜的資訊，往往會導緻關鍵的管理資訊或敏感操作湮沒于日常業務資料中，或無法追溯操作行為軌迹、了解操作行為意圖，影響審計的有效性或效率。提供全面的操作追蹤服務，再現關鍵行為軌迹，探索操作意圖，支援全局實時監控與敏感過程回放。首創裝置組内資源的掃描機制，便于智能化管理後端衆多資源。這樣在裝置組設定好裝置範圍後，資源自動掃描将極大地減少裝置的前期部署與後期管理成本，能夠充分滿足現有或未來裝置數量較多的場景。簡潔易用的人機互動，重視細節體驗，采用符合使用者線性化操作習慣的界面互動設計、符合使用者階層化思維的裝置管理界面設計以及支援使用者關鍵字全清單視圖模糊查詢設計等人性化的互動設計，降低産品上線後的使用和操作成本。業界唯一采用非結構化資料庫的堡壘機産品，采用為堡壘機資料特征量身定制的靈活高效NoSQL資料庫，具有複雜度低、擴充性好、吞吐率高等特點，在靈活，定制、更新和遷移過程中不需更改庫表結構，更新、定制成本低，極大提高了産品的擴充性和可維護性。

（4） 更可靠的安全

更可靠的安全是指通過對目前的安全實踐進行評估并将其與業務需求和經營目标統一起來，實作運維操作管理和産品本身的安全。尚思卓越操作風險管理系統提供高效的身份和通路控制管理，随着 IT 基礎架構的互聯化和向雲計算遷移，控制和監控使用者的通路特權與活動變得越來越關鍵，也越來越複雜。尚思卓越運維風險管了解決方案可幫助企業減輕來自未授權通路的風險，支援有效的身份和通路控制管理。提供密碼托管和改密功能，能夠在增強安全性的同時，簡化對運維密碼的管理。強大的抗attack性，采用密碼防嗅探機制，在系統認證層面，通過強加密方式傳輸主從帳号密碼，避免可能的嗅探attack行為，在運維操作層面，采用動态密碼，基于OTP (one-time password) 認證方式加密整個運維過程，保障運維安全。完備的高可用性，支援雙機熱備中裝置間配置實時同步和記錄檔零延時同步，支援獨立心跳線和獨立資料線，支援浮動IP、支援檢視同步狀态，全方位保障堡壘機的高可用性。完善的資料安全政策，采用業界首創的不落地記錄檔網絡回放技術，確定資料隔離，對系統内敏感資訊、資料加密存儲，采用完備的密碼管理，并支援密函列印。完備的自身安全性保障，尚思卓越操作風險管理系統采用專門設計的安全、可靠、高效的硬體平台以及裁剪定制的Linux核心，不開放3389、21、22、23等高危端口，并支援身份認證密碼嘗試死鎖，有效降低安全隐患。

北京尚思卓越推出了智慧的運維操作風險管了解決方案——尚思卓越運維操作風險管理系統，通過全新的方式連接配接運維人員與資料中心IT基礎設施，幫助運維人員實作更透徹的感覺、更全面的可見、更深入的智能和更可靠的安全，可以有效提高資料中心重要資訊基礎架構的安全級别，輔助對資訊安全故障和安全事件的全面記錄和事後追溯定位，能夠有效幫助資料中心管理者降低運維使用成本，提高資訊系統運作的安全性和事件的追溯能力，為管理者提供智慧的資料中心運維風險管理能力。