堡垒机

一、堡垒机需要解决的问题

随着企事业单位IT系统不断发展,网络规模迅速扩大, 设备数量激增，建设重点逐步从网络平台建设，转向以深化应用、提升效益为特征的运行维护阶段， IT系统运维与安全管理正逐渐走向融合。信息系统的安全运行直接关系企业效益，构建一个强健的 IT 运维安全管理体系对企业信息化的发展至关重要，对运维的安全性提出了更高要求.

目前，面对日趋复杂的 IT 系统，不同背景的运维人员已给企业信息系统安全运行带来较

大潜在风险，主要表现在：

1. 账号管理无序, 暗藏巨大风险

l  多个用户混用同一个账号. 这种情况下,发生事故难以定位账号的实际使用和责任人, 而且无法对账号的使用范围进行有效控制.存在较大安全隐患

l  一个用户使用多个账号, 这种现象极其普遍, 运维人员通常需要同时在多套主机系统, 网络设备之间切换, 在设备数量达到几十上面之后,维护人员的工作量和复杂度成倍增加,直接导致工作效率低下,管理繁琐, 影响系统正常运行.

2. 粗放式权限管理,安全性难以保证,

管理人员的权限大多是粗放式管理,缺少统一的运维授权策略,无法基于最小权限分配用户权限, 造成运维人员权限过大,内部操作权限滥用等诸多问题,

3. 日志较分散,粒度粗,难以有效定位安全事件

大多数网络设备,操作系统的日志分散,内容深浅不一,且无法根据业务要求定制统一审计策略,因此难以通过系统自身审计及时发现违规操作和追查取证.

4.  传统网络安全审计系统已无法满足运维审计和管理的要求

l  无法审计运维加密协议、远程桌面内容. 由于传统网络安全审计的技术实现方式和系统架构，导致该系统只能对一些非加密的运维操作 协议进行审计，如 Telnet；而无法对维护人员经常使用的 SSH、RDP 等加密协议、远程桌 面等进行内容审计， 无法有效解决对运维人员操作行为的监管问题。

l  基于 IP 的审计，难以准确定位责任人 大多数网络安全审计系统，只能审计到 IP 地址，难以将 IP 地址与具体人员身份准确关 联，导致发生安全事故后，追查责任人成为新的难题。

二、解决之道—堡垒机

Bespin堡垒机提供一套先进的运维安全管控与审计解决方案. 建立面向用户的集中,主动的运维安全管控模式,降低人为安全风险,满足合规要求,保障企业收益.

通过逻辑上将人与目标设备分离,建立人>主账号>授权>从账号(设备账号)>目标设备.的管理模式, 在此模式下,通过基于唯一身份标识的集中账号与访问策略,与各服务器,网络设备,数据库服务等无缝连接, 实现集中精细化运维操作管控与审计.

不仅如此我们还提供更多增强服务: 堡垒机操作使用指导说明, 日常维护培训.此外我们还拥有非常强大的开发团队,以客户为导向, 针对不同需求定制化开发,满足不同场景.

应用场景

1.     管理对象:用户对象包括运维人员,管理人员. 设备对象包括服务器(linux/windows/unix). 网络设备等

2.     管理范围:  集中监控各种运维操作行为

3.     协议类型: SSH, RDP, SFTP

4.     应用类型: 浏览器, 专有客户端(xshell, SecureCRT,等)

5.     混合云: 一个中心节点,各区域部署接入节点,统一管理.

达成效果

1.      建立集中的运维操作监控平台，建立基于唯一身份标识的实名制管理，统一账号管 理策略，实现跨平台管理，消灭管理孤岛。

2.      通过集中访问控制与授权，实现单点登录(SSO)和细粒度的命令级访问授权。

3.      基于用户的审计，审计到人，实现从登录到退出的全程操作行为审计，满足合规管 理和审计要求。

下面是管理员运维管理策略流程图

普通用户访问目标设备流程图

三、Bespin堡垒机系统功能

1.      集中账号管理 支持统一账号管理策略，实现与各服务器、 网络设备、安全设备、数据库服务器等无缝连接。

2.      集中访问控制 通过集中访问控制和细粒度的命令级授权策略，基于最小权限原则，实现集中有序的运 维操作管理，让正确的人做正确的事。

3.      集中安全审计 基于唯一身份标识，通过对用户从登录到退出的全程操作行为进行审计，监控用户对目 标设备的所有敏感操作，聚焦关键事件，实现对安全事件的实时发现与预警。

4.      认证管理：支持多种认证方式，包括本地认证、LDAP认证。

5.      多因子认证, 支持基于Google authenticator登陆双重认证

与阿里云堡垒机对比: 阿里云堡垒机不仅限制并发,限制资产,价格还比较高,并且不能跨平台使用, 使用起来极大不放便.从下图可以看出主要对比