4A是指：認證Authentication、授權Authorization、記賬Accounting、審計Audit，中文名稱為統一安全管理平台解決方案。即將身份認證、授權、記賬和審計定義為網路安全的四大組成部分，從而確立了身份認證在整個網路安全系統中的地位與作用。
基本介紹
- 中文名：4A
- 外文名：Authentication, Authorization,Accounting and Audit
- 釋義：統一安全管理平台解決方案
- 最早提出：1995年，國際網安界
系統背景,介紹,管理功能,
系統背景
隨著信息技術的不斷發展和信息化建設的不斷進步，業務套用、辦公系統、商務平台不斷推出和投入運行，信息系統在企業的運營中全面滲透。電信行業、財政、稅務、公安、金融、電力、石油、大中型企業和入口網站，使用數量眾多的網路設備、伺服器主機來提供基礎網路服務、運行關鍵業務，提供電子商務、資料庫套用、ERP和協同工作群件等服務。由於設備和伺服器眾多，系統管理員壓力太大等因素，越權訪問、誤操作、濫用、惡意破壞等情況時有發生，這嚴重影響企業的經濟運行效能，並對企業聲譽造成重大影響。另外黑客的惡意訪問也有可能獲取系統許可權，闖入部門或企業內部網路，造成不可估量的損失。如何提高系統運維管理水平，跟蹤伺服器上用戶的操作行為，防止黑客的入侵和破壞，提供控制和審計依據，降低運維成本，滿足相關標準要求，越來越成為企業關心的問題。
2002年由美國總統布希簽發的薩班斯法案(Sarbanes-Oxley Act)開始生效。其中要求企業的經營活動，企業管理、項目和投資等，都要有控制和審計手段。因此，管理人員需要有有效的技術手段和專業的技術工具和安全產品按照行業的標準來做細粒度的管理，真正做到對於內部網路的嚴格管理，可以控制、限制和追蹤用戶的行為，判定用戶的行為是否對企業內部網路的安全運行帶來威脅。
2007年，由公安部、國家保密局、國家密碼管理局、國務院信息工作辦公室四部門聯合印發了《信息安全等級保護管理辦法》，為我國信息系統等級保護工作的迅速展開起到了有力的促進作用。配合該《管理辦法》的發布，一系列相關國家標準也進入緊鑼密鼓的制定和審批當中。如：《信息系統安全等級保護基本要求》（以下簡稱《基本要求》）、《信息系統安全等級保護-定級指南》、《信息系統安全等級保護-實施指南》、《信息系統安全等級保護-測評準則》等。其中《基本要求》針對每個等級的信息系統提出相應安全保護要求，按照《基本要求》進行保護後，信息系統達到一種相對安全的狀態，即具備了相應等級的信息安全保護能力。
介紹
4A (認證Authentication、授權Authorization、記賬Accounting、審計Audit)統一安全管理平台解決方案。
4A示意圖
4A示意圖1995年，國際網安界最早提出4A(認證Authentication、授權Authorization、記賬Accounting、審計Audit)統一安全管理平台解決方案概念，正式將身份認證作為整個網路安全的基礎及不可或缺的組成部分，即將身份認證、授權、記賬和審計，定義為網路安全的四大組成部分，從而確立了身份認證在整個網路安全系統中的地位與作用。
管理功能
1）集中帳號（account）管理
為用戶提供統一集中的帳號管理，支持管理的資源包括主流的作業系統、網路設備和套用系統；不僅能夠實現被管理資源帳號的創建、刪除及同步等帳號管理生命周期所包含的基本功能，而且也可以通過平台進行帳號密碼策略，密碼強度、生存周期的設定。
4A功能結構圖
4A功能結構圖2）集中認證(authentication)管理
可以根據用戶套用的實際需要，為用戶提供不同強度的認證方式，既可以保持原有的靜態口令方式，又可以提供具有雙因子認證方式的高強度認證（一次性口令、數字證書、動態口令），而且還能夠集成現有其它如生物特徵等新型的認證方式。不僅可以實現用戶認證的統一管理，並且能夠為用戶提供統一的認證門戶，實現企業信息資源訪問的單點登錄。
3）集中許可權(authorization)管理
可以對用戶的資源訪問許可權進行集中控制。它既可以實現對B/S、C/S套用系統資源的訪問許可權控制，也可以實現對資料庫、主機及網路設備的操作的許可權控制，資源控制類型既包括B/S的URL、C/S的功能模組，也包括資料庫的數據、記錄及主機、網路設備的操作命令、IP位址及連線埠。
4）集中審計(audit)管理
將用戶所有的操作日誌集中記錄管理和分析，不僅可以對用戶行為進行監控，並且可以通過集中的審計數據進行數據挖掘，以便於事後的安全事故責任的認定。
