本世纪初的一系列跨国公司财务丑闻，促生了萨班斯法案（Sarbanes-Oxley）等一系列涉及会计职业监管、公司治理、证券市场监管改革的重要法律和法规的诞生。如今的IT环境随义务的发展和延伸而越来越复杂，这种经济领域的重大变革必然对IT环境带来深远的影响。

  人们常常谈论如何通过IT技术方法来满足企业业务需求，而反过来IT技术层面上可能的漏洞或隐患，会对业务造成巨大的损失。为此能够正常的看到众多企业纷纷从IT技术应用中寻求企业级安全审计解决方案，而其必要性和重要性更是不言而喻。这篇文章以现代商业银行的应用为例，讨论安全审计解决方案。

  下面我们围绕假定的某银行T为背景展开讨论，T银行是一家典型的商业银行，有自己的核心系统，运行在大型企业级服务器上（IBM z系列大型主机），支持全国范围内的对公和对私的核心业务，这些业务包括传统的活期、定期存款业务，贷款业务，支票业务，转账业务，外汇业务等等。

  另外，T银行还开通了各项中间业务和电子银行业务（支持电话、手机、网上银行业务等），以及其他的对公对私业务达近百种。独立于核心系统之外，T银行拥有一套信用卡应用系统，完成信用卡相关业务交易。此外，它还有卡交换系统，基金交易系统，国债系统等，这些系统目前相对独立于核心系统，运行在其他硬件平台的Unix服务器上，部分前端服务使用Windows操作系统。

  目前，T银行准备上市，这在某种程度上预示着它将面临慢慢的变多的合规审查。审计公司派驻到T银行的审计人员，要求获得有效的完整审计数据，而这些审计人员没有大型计算机操作的技术背景，而且出于安全，T银行也不会允许未授权人的操作。这样看来，外审人员只能请T银行的系统管理员来帮助完成审计报告。

  但另一个棘手的问题是，和所有商业银行一样，大量的真实客户资料在T银行的系统环境中，在进行所有系统操作之前要确保操作人员的操作不会影响到系统的安全，不会接触到任何敏感的数据信息。此外，技术人员不了解审计业务，难以确认审计人员的需求。而T银行要上市，就一定要出据优良的审计报告，这样就成了一个矛盾。

  T银行的系统面临新的跟踪、分析和及时报告各种审计情况的挑战，防止任何可能的违规局面。除了外部审计，T银行决定增设独立于其他部门的内部安全审计部门，因为T银行明白任何违规操作和不利的审计报告将意味着严重的商业损失，甚至是灾难性的失败。

  接下来我们一起看看有哪些可能的系统访问接口将成为重点看护的对象。为分析的方便起见，我们把T银行系统访问接口进行简单分类企业内部访问接口和企业外部访问接口。企业内部接口是银行内部操作人员访问系统时使用的，根据不同工作内容、角色分工和权限管理，T银行系统管理和安全部门给不同内部操作人员分配不同的权限，例如柜台操作人员，系统管理员，数据库管理员，安全审计人员被分配了对系统资源访问的不同权限。企业外部接口包括那些T银行的用户都能够接入银行系统的所有访问入口，例如从网络上通过Web方式查询自己的账户、进行转账操作、网上购物、在商家的POS机上划卡消费、通过电话或手机查询和消费、在AMT机上的操作等等。可见当今银行的业务种类非常之多，门户也慢慢变得多，各种可能的访问路径和操作都是审计人员监控的对象。

  目前，T银行最大的数据源是核心业务系统，这部分的数据资源放在System z平台的DB2上，外部审计公司也要求T银行在主机环境上开展审计工作，以此来实现对安全审计的整合。

  T银行决定具体分析自己的审计需求，制定并实施安全审计解决方案，下面我们来具体分析如何通过在DB2 for z上部署相应的审计工具等来满足其审计需求。

  目前T银行的系统基本情况为：对私业务和对公业务分别部署在两个Parallel Sysplex （PLEXA，PLEXB）上。T银行希望在对私和对公两个系统上都部署相应的审计工具，支持从多个数据源（同时从多个DB2 Number）方便地收集审计数据，在DB2子系统内有选择地审查对数据库表的插入、更新、删除和读操作。

  另外T银行的内部审计人员没有System z平台操作的技术，所以要求提供简单方便的用户图形化界面，通过缩短手工审计流程而节约大量审计时间和工作量；新的审计解决方案能够简化一般性的审计任务，例如能够方便地确定某用户在某个特定时间段对哪些数据对象进行了哪些操作，提供详细的审计证据，不合法的操作也包括及时监控针对系统或数据库对象的未授权访问等。

  此外，安全审计人需要灵活地对审计信息进行过滤，生成有特殊审计目的的多种报告，而更好的解决方案应该提供扩展性支持，也就是支持将审计规则方便地应用在其他系统环境中，从而支持开放式的整合的审计需求。

  在搭建数据库审计环境中，通过部署DB2 Audit Management Expert for z（AME），实施针对子系统级的审计解决方案。AME提供了有效的方法来跟踪数据变化，及时有效地发现谁在什么时间什么地点作了哪些操作，同时生成规范的审计报告。更理想的是AME能从多个角度对审计数据来进行分析，能够随时追溯以往的审计报告或审计数据，维护相对独立的审计系统，而不对生产环境造成过多的影响，保证对系统资源的消耗为最小。

  AME通过客户端/服务器模式进行工作，这包括一个AME服务器、AME代理和客户端。根据具体的审计需求来确定开启和关闭相应Agent的时间段或周期，以及收集什么样的信息，依据这一些审计规范在AME的客户端定制profile，这样Agent将按照事先定义好的profile自动开启，收集信息和关闭。

  针对T银行生产环境的特点，理清和规划业务安全审计的具体需求如下：确定什么时间进行哪些不同内容的审计；针对哪些用户或组进行审计；不同时间区间有几率发生的审计事件是什么；对审计人员的审计权限和范围界定；对那些关键性目标表进行审计；针对哪些操作实施审计；有没有时间上周期性审计的特点；对于临时性审计工作的具体范围；审计报告的管理。

  在完整定义生产环境基本审计规范的基础上，AME进行自动化的工作，审计人能在事后追溯任何审计时间点的审计事件，同时生成相应的审计报告。

  在T银行搭建数据库审计环境中，通过部署DB2 Audit Management Expert for Z（AME），实施针对子系统级的审计解决方案。AME提供了有效的方法来跟踪数据变化，不仅仅可以进行准确的信息追踪，还能够生成规范的审计报告，而这一切都可以自动地进行。