51CTO下载-IT设备运维巡检操作指导书(17)

问控制决策计算和决策服务。建立统一的权限管理系统，不仅能够解决面向单独业务系统或软件平台设计的权限管理机制带来的权限定义和划分不统一、各访问控制点安全策略不一致、管理操作冗余、管理复杂等问题，还能够提高授权的可管理性，降低授权管理的复杂度和管理成本，方便应用系统的开发，提高整个系统的安全性和可用性。

8.应用访问控制

访问控制是IT系统安全防范和保护的主要核心策略，它的主要任务是保证信息资源不被非法使用和访问。访问控制规定了主体对客体访问的限制，并在身份识别的基础上，根据身份对提出资源访问的请求加以控制。它是对信息系统资源进行保护的重要措施，也是计算机系统最重要和最基础的安全机制。

根据控制手段和具体目的的不同，数据中心的访问控制技术包括以下几个方面：入网访问控制、网络权限控制、目录级安全控制、属性安全控制等，只有各种安全策略相互配合才能真正起到保护作用。

9.应用审计追踪

IT系统的安全审计提供对用户访问系统过程中所执行操作进行记录的功能，将用户在系统中发生的相关操作（如：系统登陆/退出、系统操作）记录到数据库中，以确保在需要的时候，对用户历史访问系统的操作进行追溯。

通常审计跟踪与日志恢复可结合起来使用，日记恢复处理可以很容易地为审计跟踪提供审计信息。如果将审计功能与告警功能结合起来，就可以在违反安全规则的事件发生时，或在威胁安全的重要操作进行时，及时向安检员发出告警信息，以便迅速采取相应对策，避免损失扩大。审计记录应包括以下信息：事件发生的时间和地点；引发事件的用户；事件的类型；事件成功与否。

在IT系统中，审计可以是独立工作的不相关的组件的集合，也可以是相互关联运作的组件的集合。审计范围包括操作系统和各种应用程序。

10.安全管理与策略

IT系统安全管理系统应包括管理策略、管理组织保障、管理法规制度以及管理技术保障等内容。

IT系统安全是一个动态不断调整的过程，它随着IT系统业务应用和基础设施的不断发展而不断改变，例如IT系统信息系统各个信息网络、信息安全部件的具体设置规则，包括特定系统（设备）的口令管理策略、特定防火墙的过滤规则、特定认证系统中的认证规则、特定访问控制系统中的主体访问控制表、安全标签等。为了保证IT系统信息安全，及时进行安全策略调整是必要。