陸茂蘭

摘要：隨著網(wǎng)絡(luò)及信息的高速發(fā)展，安全問題越來越明顯，傳統(tǒng)安全產(chǎn)品的廣泛使用雖然可以解決一部分安全問題，并不能對已得到授權(quán)的人員的違規(guī)操作或誤操作進行校驗。運維堡壘機系統(tǒng)其業(yè)務(wù)流程清晰，軟件框架結(jié)構(gòu)安全、網(wǎng)絡(luò)硬件部署安全可靠，在維護接入的集中化管理、運維人員統(tǒng)一權(quán)限管理、運維操作審計和合規(guī)審計方面取得較大突破。

關(guān)鍵詞：運維堡壘機；系統(tǒng)架構(gòu)；應(yīng)用1背景

目前主流的安全管理系統(tǒng)和方法都是基于特征庫進行安全訪問分析和管理，比如防病毒管理、入侵檢測、抗DDOS設(shè)備都是通過其特征庫進行的安全訪問監(jiān)控。其特征庫的完備性直接影響到管理系統(tǒng)的有效性、準確性，并不能對已得到授權(quán)的人員的違規(guī)操作或誤操作進行校驗。隨著企業(yè)業(yè)務(wù)支撐系統(tǒng)中網(wǎng)絡(luò)設(shè)備、主機系統(tǒng)、應(yīng)用系統(tǒng)的不斷壯大，存在的安全訪問控制要求也越來越高。我們需要能夠動態(tài)的展現(xiàn)訪問是否符合安全制度、安全系統(tǒng)的配置是否完備，能夠及時發(fā)現(xiàn)非法、違規(guī)、異常的訪問操作等。

2內(nèi)控風險

當前，面對日趨復(fù)雜的IT系統(tǒng)，通過購買防火墻等系列安全設(shè)備使得網(wǎng)絡(luò)的安全性得到了一定的提高。但不同背景的運維人員已給信息系統(tǒng)安全運行帶來潛在的內(nèi)控風險，具體表現(xiàn)在：⑴賬號管理無序，多人共同使用一個系統(tǒng)賬號。⑵權(quán)限管理粗放，系統(tǒng)安全得不到保證。⑶合規(guī)性風險，未采用至少兩種身份認證的“雙因素認證”。⑷系統(tǒng)審計缺失，難以實現(xiàn)針對管理員全部操作的完整、全面、規(guī)范的審計。

3堡壘機系統(tǒng)

堡壘機，為了保障網(wǎng)絡(luò)和數(shù)據(jù)不受來自外部和內(nèi)部用戶的入侵和破壞，而運用各種技術(shù)手段實時收集和監(jiān)控網(wǎng)絡(luò)環(huán)境中每一個組成部分的系統(tǒng)狀態(tài)、安全事件、網(wǎng)絡(luò)活動，以便集中報警、記錄、分析、處理的一種技術(shù)手段，它將建立面向用戶的集中、主動的運維安全管控模式，降低人為安全風險，滿足合規(guī)要求，保證企業(yè)效益。

3.1 設(shè)計思路

堡壘機綜合了運維管理和安全性的融合，切斷了計算機對網(wǎng)絡(luò)和服務(wù)器資源的直接訪問，而是采用協(xié)議代理的方式，接管了終端計算機對網(wǎng)絡(luò)和服務(wù)器的訪問。即用戶通過終端計算機對目標的訪問，均需經(jīng)過堡壘機的統(tǒng)一認證、統(tǒng)一授權(quán)、統(tǒng)一審計。堡壘機基于集中管理、身份管理、訪問控制、權(quán)限控制和操作審計，幫助用戶最小化運維操作風險。

集中管理：集中管理包含對所有服務(wù)器、網(wǎng)絡(luò)設(shè)備賬號的集中管理。分散無法管理，只有集中管理才能把復(fù)雜問題簡單化，才能實現(xiàn)統(tǒng)一管理。

身份管理：身份是識別和確認操作者的依據(jù)，身份管理是指對系統(tǒng)操作者的身份進行的管理。國家等級保護相關(guān)規(guī)定出臺后，對于二級以上系統(tǒng)均提出了明確要求，即系統(tǒng)登錄需采用至少兩種身份認證方式——“雙因素認證”。通過身份管理將有利于準確定位操作責任人。

訪問控制：訪問控制的含義是限定運維人員對資源設(shè)備的訪問。杜絕任何資源均能被任意運維人員登錄操作，從而保護合法操作者合法訪問資源，降低未授權(quán)訪問帶來的風險。

權(quán)限控制：用戶訪問方式以內(nèi)部遠程訪問為主，運維人員可通過登錄堡壘機以ssh/telnet/rdp/vnc訪問方式管理設(shè)備。對不同用戶進行不同策略的控制，最大限度的保護用戶資源的安全，嚴防非法、越權(quán)訪問事件的發(fā)生。

操作審計：全程實時監(jiān)控記錄運維人員在服務(wù)器、數(shù)據(jù)庫及網(wǎng)絡(luò)設(shè)備上所做的各種操作，包括字符串、圖形、文件傳輸?shù)炔僮?，對賬號的使用全過程記錄使得運維事件事后審計能根據(jù)錄像進行問題的追本溯源，直接定位問題根源所在。對違規(guī)行為進行事中控制、實時告警與阻斷。

3.2 部署及應(yīng)用

一套運維堡壘機系統(tǒng)當中，部署主備兩臺和堡壘機，實現(xiàn)高可靠性，部署一臺虛擬應(yīng)用服務(wù)器，讓堡壘機以B/S方式實現(xiàn)對后臺的各項管理配置和維護應(yīng)用的集中發(fā)布。堡壘機部署在業(yè)務(wù)支撐網(wǎng)的入口，運維人員訪問的設(shè)備地址必須經(jīng)堡壘機允許后才能訪問。

堡壘機提供了功能完善、操作靈便、界面友好。系統(tǒng)管理員登錄堡壘機系統(tǒng)后錄入運維人員身份信息、服務(wù)器等設(shè)備信息、按要求做好運維人員對服務(wù)器的訪問控制；運維人員需要維護服務(wù)器時，首先以web方式登錄堡壘機，然后通過堡壘機上展現(xiàn)的訪問資源列表直接訪問授權(quán)的資源。

4價值總結(jié)

堡壘機系統(tǒng)邏輯上是將人與目標設(shè)備分離，基于唯一身份標識，通過集中管控安全策略的賬號管理、授權(quán)管理和審計，對運維人員的操作進行全程監(jiān)控和記錄，實現(xiàn)運維操作的安全審計，滿足信息安全審計要求。

運維人員只需記憶一個賬號和口令，一次登錄，便可實現(xiàn)對所維護的多臺設(shè)備的訪問，提高了工作效率。系統(tǒng)管理員對賬號的管理將變得簡單有序，只需要給每一個運維人員建立唯一的自然賬號，配置要管轄的設(shè)備資源，建立設(shè)備的資源賬號，根據(jù)業(yè)務(wù)需要，配置訪問控制策略，每個人能以何種身份訪問設(shè)備，建立自然人與設(shè)備賬號的對應(yīng)關(guān)系。對各種訪問行為的監(jiān)控也將變得方便直觀，運維人員的所有操作行為均由運維堡壘機系統(tǒng)來進行記錄、存儲，并對相關(guān)信息進行分析、回放和審計等。對一個企業(yè)來說，通過嚴謹?shù)陌踩芸兀粌H可保證企業(yè)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等可靠運行，而且能降低人為安全風險，給企業(yè)經(jīng)濟效益也起到了保障作用。

[參考文獻]

[1]郝永清.堡壘主機搭建全攻略與流行何可攻擊技術(shù)深度分析.科學出版社,2010.

[2趙瑞霞,王會平.構(gòu)建堡壘主機抵御網(wǎng)絡(luò)攻擊.網(wǎng)絡(luò)安全技術(shù)與應(yīng)用,2010年08期.