浪潮“151計劃”：安全與運維也能“自動化”？

導語：安全是IT運維的重要組成模塊，而IT運維的標準化則更符合信息安全“縱深防禦”的理念。在浪潮“151計劃”中，浪潮的工程師採用“主動出擊”的理念與自動化、智能化的產品配合，協助用户將信息安全與運維管理統一起來，並付諸於實踐。

運維人員身兼多職，安全管理壓力山大

唐楠，浪潮公司資深工程師。他還有兩個頭銜：白帽黑客+運維大師。不過很多人只知道他曾經加入過中美黑客大戰、中日黑客大戰的經歷，並不清楚他還是一位頂級的運維高手。

“我們經常聽説某個大型企業擁有上百人的運維團隊，數十位信息安全專家，擁有強大的運維能力，部署一層層的威脅防禦系統、順利地挺住了某次流量高峯、化解了黑客攻擊。但是，客户不是個個如此土豪，‘人手少、一人身兼多職’的情況大有人在。最新接觸的這個客户就是這種情況，由於編制問題，他們並沒有專門設置網絡安全的崗位。工作中我們接觸的都是網絡運維人員，所以幫助他們解決IT運維故障，共同梳理一個恰當的IT管理流程，將日常運維與主機安全工作合併到一起，才適合客户的實際情況。”唐楠談到了主機加固項目中遇到的具體情況。

唐楠談到，“與這個客户接觸是因為151計劃，這項工作包括了面向100個重點城市、培訓出500名 ISCE工程師，併為1000名用户的數據中心提供免費漏掃及測試，協助用户落實等保的一項核心工作。我在現場利用WVS、NetSparker這些工具掃描用户主機漏洞時，正趕上用户OA系統出現故障，憑藉經驗很快找到了這次故障的原因，耗時2個小時後，最終解除了故障。”

當時，客户主管信息化的副部長也在現場，他對唐楠的技術能力十分欽佩，並且希望他傾囊相贈，解決主機安全管理和運維管理工作中人手不足的難題。溝通中，唐楠瞭解到用户信息中心總共有9個人，不僅需要負責總部的業務系統，還要負責轄區內21個地市級的網絡統一管理和信息安全規劃。由於人手少，業務範圍廣，設備巡檢壓力超出了手工檢測的極限，導致了IT故障和網絡安全事件頻頻出現。

解決問題的關鍵：自動運維、自動安全

“IT運維和網絡安全都是在為業務系統服務，系統故障或遭遇黑客攻擊的結果都是應用無法使用，甚至造成數據丟失或被非法利用。但由於編制問題，客户無法在短時間增加人手，所制只能從工具方面入手。因此，我推薦用户試裝一下浪潮的安全應用監管系統SSM和主機安全加固系統SSR，這兩款產品結合恰恰可以以主動、自動的方式解決安全和運維的問題，可以滿足用户的需求。”唐楠回憶説。

其中，浪潮SSM應用監管系統採用了分佈式監測採集部署與集中式配置管理模式，能夠有效提升數據中心的運維管理效率以及對外服務的可視性、可靠性和穩定性。而部署浪潮SSM之後，用户的信息系統可以告別純人工的應用監管，自動巡檢不僅提高了工作效率，系統安全性也得到大幅度提升。而SSM還具有自動化的事件處理能力，當故障產生時，可以快速定位故障，很快發現問題根源並找到相應的解決方案，從而縮短故障解決時間，減少維護成本。

緩解人力壓力的方法就是實現IT運維管理自動化，SSM可謂對症下藥。不過，這個“自動化”概念，在主機安全加固方面也適用嗎？

為了找到這個問題的答案，唐楠對部署在用户涉密業務系統上的SSR進行了詳細介紹。他説，“SSR採用了ROST內核加固技術，可以為核心業務服務器構建一個自身免疫的系統，能夠對主機的核心文件、核心進程、核心註冊表、核心賬户進行主動防護，有效抵禦來自病毒、黑客的威脅。從漏洞防護來看，信息中心運維人員採用手工的漏洞修補方式，不僅工作量巨大、容易出現疏漏，還會由於漏洞修補的‘真空期’被黑客抓住機會。而SSR的自動加固的特性則可以縮小‘真空期’的範圍，降低負面影響。”

自動化解決了客户信息中心人員不足的問題，但事情並非一帆風順。

從總部“自動化”到地方“自動化”

由於年初的預算有限，客户只能將IT運維和主機加固項目分成兩期，先總部、後地方。那麼，由浪潮SSM+SSR的解決方案能否滿足這種分步實施、分級部屬、統一監管的需求嗎？

“SSM支持分級部署、分佈式部署功能在溝通中用户就已經十分清楚了，這是產品吸引他們的關鍵點之一。二期項目實施後，通過級聯管理，客户省廳下屬的21個單位可以按照策略定期將監控數據上報到總部，由廳信息中心進行統一處理並展現。而最新版本的SSR增加了集中管理模式、不僅能夠同時管理Windows、Linux、AIX，還能通過Web瀏覽器界面管理全省業務系統上所有部署SSR的主機，將日誌匯聚到省數據中心自動分析出可疑事件。”對於項目分期唐楠建議用户在總部先總結出經驗，便於地方推廣和落地。他表示：“IT運維的流程是關鍵，這就像新產品要經過嚴格的檢驗程序一樣，流程也需要測試以證明它們能夠經受住操作環境的壓力和考驗。另一方面，就是SSR中的‘三權分立’，在人手有限的情況下也要把權限分散設置成系統操作員、安全管理員和審計管理員，讓系統管理員‘身兼多職’行駛三個權限，培養操作習慣，達成‘最小授權’的安全原則。”

因為浪潮的“151計劃”，唐楠與許多客户逐漸成為了朋友，常常幫着客户，、客户的客户救火救急。在微信羣裏，有人管唐楠叫“安全專家”，還有人叫他“運維專家”。唐楠自己則希望把“專家”兩字去掉，就叫“安全運維”，因為這四個字代表了業務高效運行基本條件，也是用户的期盼。