Auditsys产品安全解决方案
目录
1. 简介
1.1. 编写目的
通过对Auditsys产品安全的几个维度进行分析、整理形成本文档，完整描述Auditsys是如何实现自身安全及数据安全防护功能。
本文档为用户方维护人员、技术支持人员了解Auditsys实现和满足业务功能提供基础，并为开发人员、测试人员进行设计、编码、开发和运维提供参考基础。
1.2. 适用范围
本文档的适用范围为项目的技术人、业务或测试人员、用户文档编写者、项目管理人员。
2. 技术架构
2.1. 架构设计
Auditsys功能整体分为4部分，Agent（客户端）、Server（应用服务器）、Center（控制台）、Elasticsearch（数据存储及搜索引擎）。
1）Agent 客户端
Agent提供抓取用户的行为及录屏功能。主要对用户的操作行为进行记录（窗口切换、鼠标点击、回车等），发送操作信息给Server进行数据分析。
2) Server(应用服务器)
用于Agent数据进行接收，整理并分析。通过接收Center配置的风险规则、敏感词规则、效率规则等，计算每个事件产生的数据写入到ES中。
3）Center（控制台）
提供整个系统的可视化管理。包括客户端、服务器、控制台自身的管理，数据查询，接口提供等。
4）Elasticsearch（简称ES）
分布式大数据存储及搜索引擎。提供海量数据搜索、计算统计。
2.2. 架构安全
2.2.1 支持平台隔离
除了Agent客户端是需要安装在终端机上或者虚拟云桌面上，其他的组件都是服务器部署。
整套服务器组件可以支持网络隔离部署，并支持与Agent通讯的服务器通过端口映射的方式对agent提供服务（需要映射server服务器的3454端口和center服务器的443、80端口）。
2.3. Agent安全
- 静默安装
agent安装部署可以支持通过域、联软等准入工具批量下发安装，并且在agent无提示静默安装。
- 卸载保护
Auditsys除了管理员控台卸载，或者提供的专业卸载工具卸载，控制台上、安装目录上无法卸载软件。
- 进程保护
Agent主要进程通过服务进行进程保护，强杀进程后，服务将会拉起进程继续工作，auditsys服务已增加防停止功能。
- 自检服务
Auditsys将会自动检查自身进程和服务运行情况。若有异常将自动重启服务或者通知后台。
- 自动升级服务
在Auditsys控制台端可以上传agent安装包，并且可以指定终端升级版本。
- 数据加密
所有与server服务器通讯的数据采用socket连接，并且数据采用多级加密措施。
若agent与server断开连接，agent将在本地离线存储抓取的数据，等待与server恢复连接后，发送数据。
Agent离线数据采用隐藏式文件夹存储模式。用户无法看到该离线数据。
Agent与Center的通讯采用SSL加密通讯。
2.4. Server安全
- 数据加密
Agent数据通过Server的3454端口通讯，上报的agent数据server的接收服务接收后，将元数据进入进入内部队列，将录屏数据加密并压缩存放在指定的存储目录。当该数据播放的时候，需要连接server实时解码播放。
Server与Center的通讯端口为443，SSL加密传输。
- 数据备份
Server的视频数据支持自定义时段备份或迁移到备份服务器。
数据存储到备份服务器同样采用加密+压缩存储。
- 数据队列安全
数据队列没有采用开源的队列工具，而是自开发的数据队列sque，没有对外公共的接口
- 数据输出安全
Server的分析数据主要输出到ES搜索引擎。ES引擎支持账号密码加密以及IP范围限制。
Server部分数据输出到统计服务器，采用socket加密内容方式发送。
- Server的灾备方案
Server服务器部署多台，若一台出现故障，agent将自动智能选路到其他Server。
Server的视频及队列数据可以通过挂载NAS存储的方式。若Server故障，重新安装server，挂载NAS存储，数据将能继续工作。
2.5. Center安全
1 SSl对外提供控制台服务
Center是提供管理员访问控制台，查看检索数据并制定风险规则。
2 对center精细化权限控制
Center支持按菜单进行授权，同时也可以从组织、部门、用户组三个维度组合对数据检索权限进行控制。
3 数据备份和还原
Center在架构上采用若耦合模式，内部采用mysql存储配置型数据。整个平台的主业务数据都存储在ES中，当Center发生异常，并不会影响整个业务的平台的运行，也不会影响已存储的数据。
Center提供配置数据的备份和还原。
2.6. Elasticsearch安全
Elasticsearch提供主要的数据存储以及数据分析查询。
- 数据高可用
Elasticsearch采用高可用集群部署。若其中一台异常损坏，其他节点能正常提供服务。
- 数据加密
Elasticsearch安装部署后，可以部署安全插件，支持账号密码以及IP范围限制。可以禁止外部无关的请求保护ES数据。