事件響應(yīng)機制探討：合并SIM系統(tǒng)和IAM系統(tǒng)
如果將SIM系統(tǒng)（安全信息管理系統(tǒng)）的實時監(jiān)控和報告功能和IAM系統(tǒng)（身份和訪問管理系統(tǒng)）的訪問控制連接起來，可以提供更有用的控制和更高的安全性。但是，這兩個系統(tǒng)都是封閉的環(huán)境，這意味著他們都有非常具體的切入點，而且他們最初是被設(shè)計成獨立工作的，因此，沒人清楚該如何將這兩個功能合并起來，而且如果在這樣的情況下，貿(mào)然地將他們集合在一起，將會造成兩個系統(tǒng)同時失去有效性的風(fēng)險出現(xiàn)。
SIM系統(tǒng)的功能是監(jiān)控并報告安全漏洞及策略違反的情況，這些系統(tǒng)包括一個策略執(zhí)行引擎，它的功能是將信息保護策略轉(zhuǎn)換成一些可操作的行動，以便進行監(jiān)控和評分，它和掃描及報告組件協(xié)同工作，掃描及報告組件會在某個違反組織保護策略的活動發(fā)生時，通知IT安全人員。同時，IAM管理用戶訪問和授權(quán)，以便用戶進行活動。為了管理這樣的訪問，IAM系統(tǒng)使用RBAC（基于角色的訪問控制）。RBAC允許IT管理員在一個高級別的用戶管理模型下來管理用戶訪問，而此模型是基于普通用戶的功能和責(zé)任的。它可以用來同時管理大量用戶，相對于單獨管理每個用戶的訪問要更加有效得多。
這兩個系統(tǒng)的封閉環(huán)境意味著兩者的整合是非常困難的，那么為什么一個組織會想要將他們合并起來呢？有一點是很重要的，必須要認(rèn)識到SIM系統(tǒng)的工具是用來處理信息和系統(tǒng)的，而不是針對人。在很多情況下，當(dāng)一個IT安全人員接到由SIM系統(tǒng)發(fā)出的事件報告而要去進行處理時，他或她并不知道是否某個人引發(fā)或造成了這個事件，但是他或她可以在IAM系統(tǒng)里查詢哪個人曾經(jīng)訪問過這個信息，因此如果有IAM系統(tǒng)的信息可以查詢將會非常有利于正確地將事件分類和及時處理。
因此，應(yīng)該如何合理地將一個獨立的SIM系統(tǒng)整合進一個獨立的IAM系統(tǒng)呢？首先，要進行分級處理。在現(xiàn)實情況中，SIM系統(tǒng)仍然是唯一的用來處理安全漏洞和風(fēng)險評估的控制系統(tǒng)，同樣地，SIM系統(tǒng)保留它的***等級控制系統(tǒng)的角色，而IAM系統(tǒng)則必須扮演一個奉獻的角色，因為在將一個IAM系統(tǒng)整合進一個SIM系統(tǒng)的時候，很重要的一點是不應(yīng)該給SIM系統(tǒng)加重負(fù)擔(dān)以免影響它執(zhí)行自己的正常功能，這意味著IAM系統(tǒng)應(yīng)該作為一個事件分類模塊的一部分被整合進來，而不是作為監(jiān)控和報告功能模塊的一部分。
IAM系統(tǒng)存儲了用戶信息，帳戶訪問權(quán)限，角色和權(quán)利，因此就事件分類模塊而言，這些信息應(yīng)該象下面這樣使用：
識別問題中的信息→查看當(dāng)前的保護→確定受影響的組件→確定訪問此信息的用戶角色→確定用戶在此角色中的權(quán)利→確定用戶的物理和虛擬訪問→確定此信息是否處于風(fēng)險中。
SIM分類組件使用通常存儲在目錄中的用戶信息，比如LDAP（輕量級目錄訪問協(xié)議）或活動目錄；由于IAM系統(tǒng)在存儲用戶訪問和權(quán)限時使用相同的位置，在整合兩個系統(tǒng)時，首先要做的是允許SIM系統(tǒng)可以訪問目錄樹中IAM的分支，這樣可以允許SIM系統(tǒng)來查詢用戶角色和訪問權(quán)限。
另外一個整合點是，SIM需要使用IAM系統(tǒng)的驗證服務(wù)，這個服務(wù)是用來驗證某個用戶是否具有根據(jù)他或她的工作職能而被賦有的正確角色。SIM系統(tǒng)如果可以做到這點，那它將可以尋找出一些沒有被驗證服務(wù)發(fā)現(xiàn)的職責(zé)分離情況以及其它違反策略的情況，因為它可以從一個系統(tǒng)級別的訪問問題來分析，而不只是在信息級別的訪問問題。
兩個系統(tǒng)都提供的一個特征是，他們具有在各自的領(lǐng)域進行監(jiān)控的能力，很多組織都犯一個錯誤，即沒有在一個使用通用數(shù)據(jù)或操作中心的情況下分享由這些系統(tǒng)提供的觀點。就象美國政府遇到的情況一樣，美國政府具有各種情報中心，但卻沒有共享他們的發(fā)現(xiàn)，通過各自獨立地監(jiān)控IT安全活動和其它IT活動，使美國政府只能對發(fā)生的實際活動一知半解。將IT和安全數(shù)據(jù)，以及操作中心布置在一起，那么兩個系統(tǒng)都可以進行監(jiān)控，以便提供一個整合的IT安全前沿。
***，將由SIM系統(tǒng)來確定安全漏洞將被最小化，以及所有違反組織安全策略的行為都將被捕獲。當(dāng)IAM技術(shù)提供有價值的服務(wù)來管理用戶訪問和授權(quán)時，他們?nèi)栽诿舾行畔⒈Ｗo中扮演了一個次要的角色。通過幫助SIM系統(tǒng)獲知誰曾經(jīng)訪問過出問題的信息，IAM能夠提供有價值的信息來增強SIM工具的有效性，而且SIM系統(tǒng)也會反過來向IAM系統(tǒng)提供有價值的反饋，以便IAM系統(tǒng)更好地管理用戶。通過將此兩個服務(wù)合并成一個功能，而不只是簡單地分別使用此兩個服務(wù)，組織會獲得一個更好的解決方案。
【編輯推薦】
