478 lines
21 KiB
Markdown
478 lines
21 KiB
Markdown
# 审计中心设计
|
||
|
||
## 1. 总体定位
|
||
|
||
审计中心是4A系统的**可观测性和合规性基座**，负责收集、存储、分析全平台的操作行为数据。核心职责：
|
||
|
||
- 从认证身份中心、应用资源管理中心、系统资源管理中心采集全量操作事件
|
||
- 基于现有审计报表逆推审计数据模型
|
||
- 提供合规规则引擎，实时/准实时检测异常行为
|
||
- 生成分级审计报表，支撑部门级和公司级审计需求
|
||
- 利用招标空窗期（几个月）充分梳理数据模型
|
||
|
||
---
|
||
|
||
## 2. 设计原则
|
||
|
||
### 2.1 从报表反推模型——逆推方法论
|
||
|
||
泰岳版现网已有成熟审计报表。我们的策略：**不猜测泰岳的存储结构，而是从"报表要什么"反推"数据该存什么"**。
|
||
|
||
```
|
||
┌──────────────────────────────────────────────┐
|
||
│ 逆推路径：报表需求 → 数据模型 │
|
||
│ │
|
||
│ Step 1: 收集所有现网审计报表 │
|
||
│ - 固定报表（日/周/月报） │
|
||
│ - 自定义报表（管理员手动查询） │
|
||
│ - 触发式报表（异常告警详情） │
|
||
│ │
|
||
│ Step 2: 提取报表中的字段 │
|
||
│ - 每个报表的列、筛选条件、汇总维度 │
|
||
│ - 示例：登录报表需要{用户、时间、IP、结果、 │
|
||
│ 认证方式、地理位置、设备指纹} │
|
||
│ │
|
||
│ Step 3: 构建事件模型 │
|
||
│ - 将字段归类到事件模型中 │
|
||
│ - 识别共性字段（audit_id, timestamp, user, │
|
||
│ action, resource, result, client_info） │
|
||
│ │
|
||
│ Step 4: 设计存储结构 │
|
||
│ - 根据查询模式选择存储引擎 │
|
||
│ - 高频查询字段建索引 │
|
||
│ - 根据报表筛选条件确定分区策略 │
|
||
└──────────────────────────────────────────────┘
|
||
```
|
||
|
||
### 2.2 逆推示例
|
||
|
||
**现网报表-A：账号登录统计日报**
|
||
```
|
||
字段: 日期 | 登录名 | 姓名 | 部门 | 登录次数 | 成功次数 | 失败次数 |
|
||
最后登录时间 | 最后登录IP | 最后认证方式
|
||
```
|
||
|
||
**逆推结论 → 登录事件字段集**：
|
||
- 基础：`event_id, event_type, timestamp`
|
||
- 主体：`account_id, login_name, display_name, org_path`
|
||
- 行为：`action=login, auth_method, result, fail_reason`
|
||
- 环境：`source_ip, user_agent, device_id, geo_location`
|
||
- 关联：`session_id, mfa_level`
|
||
|
||
**现网报表-B：权限变更审计报表**
|
||
```
|
||
字段: 变更时间 | 操作人 | 被授权人 | 应用/资产 |
|
||
授权角色 | 操作类型(授予/回收) | 审批人 | 生效时间
|
||
```
|
||
|
||
**逆推结论 → 授权事件字段集**：
|
||
- `event_id, event_type=auth_change, timestamp`
|
||
- `operator_id, target_user_id`
|
||
- `resource_type(app/asset), resource_id`
|
||
- `old_role, new_role, change_type(grant/revoke/expire)`
|
||
- `approver_id, approval_comment`
|
||
- `effective_period`
|
||
|
||
---
|
||
|
||
## 3. 三中心数据来源定义
|
||
|
||
### 3.1 事件分类与来源
|
||
|
||
| 事件类型 | 来源中心 | 采集方式 | 实时性 |
|
||
|---------|---------|---------|--------|
|
||
| 登录事件 | 认证身份中心 | API回调 / MQ | 实时 |
|
||
| 登出事件 | 认证身份中心 | API回调 | 实时 |
|
||
| 令牌刷新 | 认证身份中心 | 中间件Hook | 实时 |
|
||
| 认证失败 | 认证身份中心 | 业务日志 | 实时 |
|
||
| 密码修改 | 认证身份中心 | 业务日志 | 近实时 |
|
||
| 账号创建/修改/删除 | 认证身份中心 | CQRS事件 | 近实时 |
|
||
| SSO跳转 | 应用资源管理中心 | 网关日志 | 实时 |
|
||
| 权限分配/回收 | 应用资源管理中心 | 业务日志 | 实时 |
|
||
| 权限校验结果 | 应用资源管理中心 | 授权引擎日志 | 准实时 |
|
||
| 应用注册/配置变动 | 应用资源管理中心 | 业务日志 | 近实时 |
|
||
| 资产访问（SSH/RDP） | 系统资源管理中心 | 堡垒节点代理 | 实时 |
|
||
| 命令执行记录 | 系统资源管理中心 | 堡垒节点代理 | 实时 |
|
||
| 文件传输记录 | 系统资源管理中心 | 堡垒节点代理 | 实时 |
|
||
| 密码轮换操作 | 系统资源管理中心 | 业务日志 | 近实时 |
|
||
| 资产授权变动 | 系统资源管理中心 | 业务日志 | 近实时 |
|
||
|
||
### 3.2 数据采集架构
|
||
|
||
```
|
||
┌─────────────┐ ┌─────────────┐ ┌─────────────┐
|
||
│ 认证身份中心 │ │ 应用资源中心 │ │ 系统资源中心 │
|
||
│ (业务事件) │ │ (业务事件) │ │ (业务事件) │
|
||
└──────┬──────┘ └──────┬──────┘ └──────┬──────┘
|
||
│ │ │
|
||
│ 异步MQ │ 异步MQ │ 异步MQ
|
||
│ (RocketMQ) │ (RocketMQ) │ (RocketMQ)
|
||
├────────────────┼────────────────┘
|
||
│ │
|
||
▼ ▼
|
||
┌────────────────────────────────────────────────┐
|
||
│ 审计事件消费处理器 │
|
||
│ │
|
||
│ 1. 事件解析器（JSON → 统一事件格式） │
|
||
│ 2. 事件增强器（补充IP地理信息、资产元数据等） │
|
||
│ 3. 事件路由器（分类型写入不同索引） │
|
||
│ 4. 合规规则引擎（实时检测异常规则） │
|
||
└──────┬─────────────────────────────────┬────────┘
|
||
│ │
|
||
▼ ▼
|
||
┌──────────────┐ ┌──────────────────┐
|
||
│ Elasticsearch │ │ 告警通道 │
|
||
│ (事件存储) │ │ (企业微信/短信等) │
|
||
│ 按时间分索引 │ │ │
|
||
│ 按月建索引别名 │ │ 合规告警 → 通知 │
|
||
└──────────────┘ └──────────────────┘
|
||
│
|
||
▼
|
||
┌──────────────┐
|
||
│ 报表引擎 │
|
||
│ (定时+按需) │
|
||
└──────────────┘
|
||
```
|
||
|
||
---
|
||
|
||
## 4. 统一审计事件模型
|
||
|
||
### 4.1 事件基础结构
|
||
|
||
```json
|
||
{
|
||
"audit_id": "aud-20260517-abc123def456",
|
||
"event_type": "login", // 事件类型
|
||
"event_version": "1.0", // 事件格式版本
|
||
"timestamp": 1700000000000, // 事件发生时间(毫秒级)
|
||
"received_at": 1700000001000, // 审计中心接收时间
|
||
|
||
"actor": { // 行为主体
|
||
"uid": "uid_00123",
|
||
"login_name": "zhangsan",
|
||
"display_name": "张三",
|
||
"org_code": "BJ_SALES",
|
||
"org_path": "省公司/北京分公司/销售部",
|
||
"identity_type": "internal"
|
||
},
|
||
|
||
"action": { // 行为描述
|
||
"category": "auth", // 大类: auth/access/perm/admin/system
|
||
"operation": "login", // 具体操作
|
||
"detail": "密码认证登录", // 人工可读描述
|
||
"result": "success", // success/failure/blocked
|
||
"reason": "" // 失败/阻断原因
|
||
},
|
||
|
||
"resource": { // 操作对象
|
||
"type": "system", // system/app/asset/data
|
||
"id": "auth-service", // 资源标识
|
||
"name": "认证服务" // 资源名称
|
||
},
|
||
|
||
"context": { // 操作上下文
|
||
"source_ip": "10.0.1.100",
|
||
"source_ip_country": "中国",
|
||
"source_ip_city": "北京",
|
||
"user_agent": "Mozilla/5.0 ...",
|
||
"device_id": "dev_fingerprint_xxx",
|
||
"session_id": "sess_xyz789",
|
||
"mfa_level": 2,
|
||
"auth_methods": ["password", "sms"]
|
||
},
|
||
|
||
"metadata": { // 元数据
|
||
"source_center": "auth-identity",
|
||
"source_service": "auth-api",
|
||
"trace_id": "trace-uuid-xxx"
|
||
}
|
||
}
|
||
```
|
||
|
||
### 4.2 ES索引模型
|
||
|
||
```json
|
||
// 索引模板：audit-events-{year}-{month}
|
||
{
|
||
"mappings": {
|
||
"dynamic": "strict",
|
||
"properties": {
|
||
"audit_id": { "type": "keyword" },
|
||
"event_type": { "type": "keyword" },
|
||
"event_version":{ "type": "keyword", "index": false },
|
||
"timestamp": { "type": "date", "format": "epoch_millis" },
|
||
"received_at": { "type": "date", "format": "epoch_millis" },
|
||
// actor字段
|
||
"actor.uid": { "type": "keyword" },
|
||
"actor.login_name": { "type": "keyword" },
|
||
"actor.display_name": { "type": "text", "fields": { "keyword": { "type": "keyword" } } },
|
||
"actor.org_code": { "type": "keyword" },
|
||
"actor.org_path": { "type": "keyword" },
|
||
"actor.identity_type": { "type": "keyword" },
|
||
// action字段
|
||
"action.category": { "type": "keyword" },
|
||
"action.operation": { "type": "keyword" },
|
||
"action.detail": { "type": "text" },
|
||
"action.result": { "type": "keyword" },
|
||
"action.reason": { "type": "text" },
|
||
// resource字段
|
||
"resource.type": { "type": "keyword" },
|
||
"resource.id": { "type": "keyword" },
|
||
"resource.name": { "type": "text" },
|
||
// context字段
|
||
"context.source_ip": { "type": "ip" },
|
||
"context.source_ip_country": { "type": "keyword" },
|
||
"context.source_ip_city": { "type": "keyword" },
|
||
"context.user_agent": { "type": "text", "index": false },
|
||
"context.device_id": { "type": "keyword" },
|
||
"context.session_id": { "type": "keyword" },
|
||
"context.mfa_level": { "type": "integer" },
|
||
"context.auth_methods": { "type": "keyword" }
|
||
}
|
||
},
|
||
"settings": {
|
||
"number_of_shards": 3,
|
||
"number_of_replicas": 1,
|
||
"refresh_interval": "5s"
|
||
}
|
||
}
|
||
```
|
||
|
||
### 4.3 索引与生命周期管理
|
||
|
||
```
|
||
索引命名: audit-events-2026-05 (按月)
|
||
别名策略:
|
||
write: audit-events-active (当前写入索引)
|
||
read: audit-events-all (查询所有)
|
||
|
||
生命周期（ILM）:
|
||
热阶段(7天): SSD存储, 副本数2, 刷新间隔1s
|
||
温阶段(30天): HDD存储, 副本数1, 刷新间隔30s
|
||
冷阶段(180天): HDD存储, 副本数1, forcemerge 1段
|
||
删除: 180天后删除索引
|
||
|
||
容量估算:
|
||
假设日均50万事件 × 1KB/事件 ≈ 500MB/天
|
||
30天 ≈ 15GB, 180天 ≈ 90GB (含副本)
|
||
上硬件资源绰绰有余
|
||
```
|
||
|
||
---
|
||
|
||
## 5. 合规规则引擎
|
||
|
||
### 5.1 规则示例
|
||
|
||
```yaml
|
||
rules:
|
||
- id: "RULE-001"
|
||
name: "非工作时间登录告警"
|
||
severity: "medium"
|
||
condition:
|
||
event_type: "login"
|
||
time_range:
|
||
- "22:00-08:00" # 非工作时间
|
||
- "周六,周日"
|
||
action: "notify_manager"
|
||
|
||
- id: "RULE-002"
|
||
name: "连续登陆失败锁定"
|
||
severity: "high"
|
||
condition:
|
||
event_type: "login"
|
||
action.result: "failure"
|
||
count: 5
|
||
window: "5m" # 5分钟内
|
||
per: "actor.uid"
|
||
action: "lock_account"
|
||
|
||
- id: "RULE-003"
|
||
name: "异地登录检测"
|
||
severity: "high"
|
||
condition:
|
||
event_type: "login"
|
||
action.result: "success"
|
||
geo_change: true # 与前一次登录IP不同城市
|
||
window: "1h" # 1小时内跨越城市
|
||
action: "notify_user_sms"
|
||
|
||
- id: "RULE-004"
|
||
name: "高危命令执行"
|
||
severity: "critical"
|
||
condition:
|
||
event_type: "command"
|
||
command_match: "(rm -rf|shutdown|reboot|mkfs|dd if=)"
|
||
action: "block_and_notify"
|
||
|
||
- id: "RULE-005"
|
||
name: "权限批量回收异常"
|
||
severity: "medium"
|
||
condition:
|
||
event_type: "perm_change"
|
||
change_type: "revoke"
|
||
count: 10
|
||
window: "10m"
|
||
per: "actor.uid"
|
||
action: "notify_security_admin"
|
||
|
||
- id: "RULE-006"
|
||
name: "非授权资产访问尝试"
|
||
severity: "high"
|
||
condition:
|
||
event_type: "access"
|
||
action.result: "denied"
|
||
count: 3
|
||
window: "5m"
|
||
action: "notify_security_admin"
|
||
```
|
||
|
||
### 5.2 规则执行架构
|
||
|
||
```
|
||
┌─────────────┐
|
||
│ 审计事件流 │
|
||
│ (MQ消费) │
|
||
└──────┬──────┘
|
||
│
|
||
▼
|
||
┌──────────────────────┐
|
||
│ 规则引擎核心 │
|
||
│ │
|
||
│ ┌──────────────────┐ │
|
||
│ │ 规则编译模块 │ │
|
||
│ │ (YAML → 执行计划) │ │
|
||
│ └──────────────────┘ │
|
||
│ ┌──────────────────┐ │
|
||
│ │ 规则执行器 │ │
|
||
│ │ (有状态: 使用 │ │
|
||
│ │ Redis计数窗口) │ │
|
||
│ └──────────────────┘ │
|
||
│ ┌──────────────────┐ │
|
||
│ │ 告警聚合器 │ │
|
||
│ │ (去重+降噪) │ │
|
||
│ └──────────────────┘ │
|
||
└──────┬──────┬───────┘
|
||
│ │
|
||
▼ ▼
|
||
┌──────────┐ ┌──────────┐
|
||
│ 告警存储 │ │ 通知通道 │
|
||
│ (ES告警索引)│ │ 企业微信 │
|
||
│ │ │ 短信/电话 │
|
||
│ │ │ 4A管理台 │
|
||
└──────────┘ └──────────┘
|
||
```
|
||
|
||
### 5.3 规则治理
|
||
|
||
- **规则热加载**：规则从DB/配置中心动态读取，变更无需重启
|
||
- **规则测试沙箱**：支持在沙箱中测试规则效果再发布
|
||
- **规则级联**：支持规则之间的依赖和触发关系
|
||
- **误报反馈**：告警可标注"误报"，自动调整规则阈值
|
||
|
||
---
|
||
|
||
## 6. 审计报表输出模型
|
||
|
||
### 6.1 报表分类
|
||
|
||
| 报表类型 | 周期 | 受众 | 内容 |
|
||
|---------|------|------|------|
|
||
| **部门操作日报** | 日 | 部门安全员 | 本部门人员登录、权限变更、资产访问汇总 |
|
||
| **公司安全周报** | 周 | 安全管理员 | 全公司异常行为统计、高危操作汇总 |
|
||
| **合规月报** | 月 | 合规部门/领导 | 合规指标完成情况、不合规事件明细 |
|
||
| **账号健康检查报告** | 月 | 系统管理员 | 僵尸账号、过期权限、密码过期情况 |
|
||
| **资产访问趋势分析** | 月 | 运维负责人 | 各资产访问频次、高峰时段、异常访问 |
|
||
| **权限审计专报** | 季 | 审计部门 | 权限合规性专项检查、最小权限原则遵从度 |
|
||
| **自定义报表** | 按需 | 指定人员 | 按事件类型/时间/用户/资产组合查询 |
|
||
|
||
### 6.2 报表模板示例
|
||
|
||
**报表：部门操作日报**
|
||
|
||
```
|
||
┌────────────────────────────────────────────────────────────────┐
|
||
│ 4A操作日报 - 日期：2026-05-17 │
|
||
│ 部门：北京分公司/销售部 │
|
||
├────────────────────────────────────────────────────────────────┤
|
||
│ 一、登录统计 │
|
||
│ ┌─────────────────────┬────────┬────────┬────────┐ │
|
||
│ │ 项目 │ 总量 │ 成功 │ 失败 │ │
|
||
│ ├─────────────────────┼────────┼────────┼────────┤ │
|
||
│ │ 密码登录 │ 156 │ 148 │ 8 │ │
|
||
│ │ 人脸登录 │ 23 │ 22 │ 1 │ │
|
||
│ │ SIM卡登录 │ 12 │ 12 │ 0 │ │
|
||
│ │ 短信验证码登录 │ 45 │ 44 │ 1 │ │
|
||
│ └─────────────────────┴────────┴────────┴────────┘ │
|
||
│ │
|
||
│ 二、权限变更 │
|
||
│ ┌─────────────────────┬────────┬────────┬────────┐ │
|
||
│ │ 操作类型 │ 次数 │ 涉及用户 │ 涉及应用 │ │
|
||
│ ├─────────────────────┼────────┼────────┼────────┤ │
|
||
│ │ 角色授予 │ 3 │ 3 │ 2 │ │
|
||
│ │ 角色回收 │ 1 │ 1 │ 1 │ │
|
||
│ │ 临时授权 │ 2 │ 2 │ 1 │ │
|
||
│ └─────────────────────┴────────┴────────┴────────┘ │
|
||
│ │
|
||
│ 三、资产访问 │
|
||
│ ┌─────────────────────┬────────┬────────┐ │
|
||
│ │ 资产 │ 访问次数 │ 操作人员数 │ │
|
||
│ ├─────────────────────┼────────┼────────┤ │
|
||
│ │ 10.0.1.10 (DB-MAST)│ 12 │ 3 │ │
|
||
│ │ 10.0.2.20 (APP-01) │ 8 │ 2 │ │
|
||
│ └─────────────────────┴────────┴────────┘ │
|
||
│ │
|
||
│ 四、异常告警 │
|
||
│ ┌────────────────────────────┬────────┬──────────┐ │
|
||
│ │ 告警内容 │ 等级 │ 处理状态 │ │
|
||
│ ├────────────────────────────┼────────┼──────────┤ │
|
||
│ │ 用户张三 22:35 登录(异地) │ 中 │ 待处理 │ │
|
||
│ └────────────────────────────┴────────┴──────────┘ │
|
||
└────────────────────────────────────────────────────────────────┘
|
||
```
|
||
|
||
### 6.3 报表引擎设计
|
||
|
||
```yaml
|
||
报表引擎:
|
||
调度器:
|
||
- 定时任务 (cron表达式)
|
||
- 按需触发 (API)
|
||
- 事件触发 (达到某告警阈值时自动生成详细报告)
|
||
|
||
数据源:
|
||
ES查询: 按事件类型/时间范围/用户/资产等组合查询
|
||
聚合: 使用ES的聚合API (terms/date_histogram/filters/cardinality)
|
||
补充: 需要时从MySQL读取用户/资产元数据
|
||
|
||
输出格式:
|
||
- HTML (内联样式, 可邮件发送)
|
||
- PDF (wkhtmltopdf / puppeteer)
|
||
- Excel (报表导出)
|
||
|
||
分发通道:
|
||
- 企业微信/钉钉机器人
|
||
- 邮件 (IMAP-SMTP技能)
|
||
- 4A管理台消息中心
|
||
- 短信通知（仅紧急告警）
|
||
|
||
报表存储:
|
||
- 生成的报表文件 → MinIO对象存储
|
||
- 元数据 → MySQL
|
||
- 保留周期: 日报30天, 周报6个月, 月报2年
|
||
```
|
||
|
||
---
|
||
|
||
## 7. 与泰岳版比对关注点
|
||
|
||
| 项 | 自研方案 | 泰岳方案（推测） | 验证方法 |
|
||
|----|---------|-----------------|---------|
|
||
| 事件模型 | 统一JSON事件模型，ES存储 | 可能关系型数据库分表存储 | 事件查询效率对比（涉及跨类型查询场景） |
|
||
| 合规规则 | 可编程规则引擎，热加载 | 可能硬编码或有限规则 | 新增规则的上线周期对比 |
|
||
| 审计报表 | 模板引擎+ES聚合 | 可能定时SQL查询生成 | 复杂报表生成时间对比 |
|
||
| 存储方案 | ES按时间分区+ILM | 可能MySQL分表+归档 | 180天数据查询性能对比 |
|
||
| 实时告警 | 流式规则引擎 | 可能定时任务扫描 | 告警延迟对比 |
|
||
| 会话回放 | asciinema播放器 | 自有格式播放器 | 回放流畅度+存储效率对比 |
|