跳板機(jī)

1.跳板機(jī)簡介

跳板機(jī)就是一臺服務(wù)器，運維人員在維護(hù)過程中首先要統(tǒng)一登錄到這臺服務(wù)器，然后再登錄到目標(biāo)設(shè)備進(jìn)行維護(hù)和操作；

在騰訊，跳板機(jī)是開發(fā)者登錄到服務(wù)器的唯一途徑，開發(fā)者必須先登錄跳板機(jī)，再通過跳板機(jī)登錄到應(yīng)用服務(wù)器。

2.跳板機(jī)的驗證方式

• 固定密碼

• 證書+固定密碼+動態(tài)驗證碼三重認(rèn)證方式（騰訊）

作用：

• 保護(hù)業(yè)務(wù)機(jī)器的安全；

• 通過證書避免身份偽造，通過動態(tài)token避免證書丟失后的身份假冒，最大限度的保證安全性；

證書：Certificate證書為文本格式，長度為2048bit；是應(yīng)用登錄到機(jī)器上的唯一身份標(biāo)識，每個用戶有且僅有一個證書。

固定密碼：分配LDAP賬號時，同時也會分配一個固定密碼

動態(tài)驗證碼（token）：是一個6位數(shù)的數(shù)字串，每個動態(tài)驗證碼有效期3分鐘。

3.跳板機(jī)的優(yōu)勢和不足：

優(yōu)勢：集中管理

不足：沒有實現(xiàn)對運維人員操作行為的控制和審計，使用跳板機(jī)的過程中還是會出現(xiàn)誤操作、違規(guī)操作導(dǎo)致的事故，一旦出現(xiàn)操作事故很難快速定位到原因和責(zé)任人。

4.運維思想：

• 審計是事后行為，可以發(fā)現(xiàn)問題及責(zé)任人，但無法防止問題發(fā)生；

• 只有事先嚴(yán)格控制，才能從源頭真正解決問題；

• 系統(tǒng)賬號的作用只是區(qū)分工作角色，但無法確認(rèn)用戶身份；

• 只要是機(jī)器能做的，就不要人去做；

運維堡壘機(jī)

1.堡壘機(jī)簡介

1）堡壘機(jī)的理念起于跳板機(jī)；

2005年齊治科技研發(fā)出世界第一臺運維堡壘機(jī)；（齊治科技官網(wǎng)http://www.shterm.com/）

2）齊治科技堡壘機(jī)：

• 集中管理是前提；

• 身份管理是基礎(chǔ)；

• 訪問控制是手段；

• 操作審計是保證；

• 自動化是目標(biāo)。

3）堡壘機(jī)是通過切斷終端對計算機(jī)網(wǎng)絡(luò)和服務(wù)器資源的直接訪問，采用協(xié)議代理的方式接管終端計算機(jī)對網(wǎng)絡(luò)和服務(wù)器的訪問。

2.堡壘機(jī)作用

• 核心系統(tǒng)運維和安全審計管控；

• 過濾和攔截非法訪問、惡意攻擊，阻斷不合法命令，審計監(jiān)控、報警、責(zé)任追蹤；

• 報警、記錄、分析、處理；

3.堡壘機(jī)核心功能

1）單點登錄功能

支持對X11、Linux、Unix、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等一系列授權(quán)賬號進(jìn)行密碼的自動化周期更改，簡化密碼管理，讓使用者無需記憶眾多系統(tǒng)密碼，即可實現(xiàn)自動登錄目標(biāo)設(shè)備，便捷安全。

2）賬號管理

設(shè)備支持統(tǒng)一賬戶管理策略，能夠?qū)崿F(xiàn)對所有服務(wù)器、網(wǎng)路設(shè)備、安全設(shè)備等賬號進(jìn)行集中管理，完成對賬號整個生命周期的監(jiān)控，并且可以對設(shè)備進(jìn)行特殊角設(shè)置，如：審計巡檢員、運維操作員、設(shè)備管理員等自定義，以滿足審計需求。

3）身份認(rèn)證

設(shè)備提供統(tǒng)一的認(rèn)證接口，對用戶進(jìn)行認(rèn)證，支持身份認(rèn)證模式包括動態(tài)口令、靜態(tài)密碼、硬件key、生物特征等多種認(rèn)證方式，設(shè)備具有靈活的定制接口，可以與其他第三方認(rèn)證服務(wù)器直接結(jié)合安全的認(rèn)證模式，有效提高了認(rèn)證的安全性和可靠性。

4）資源授權(quán)

設(shè)備提供基于用戶、目標(biāo)設(shè)備、時間、協(xié)議類型IP、行為等要素實現(xiàn)細(xì)粒度的操作授權(quán)，最大限度保護(hù)用戶資源的安全。

5）訪問控制

設(shè)備支持對不同用戶進(jìn)行不同策略的制定，細(xì)粒度的訪問控制能夠最大限度的保護(hù)用戶資源的安全，嚴(yán)防非法、越權(quán)訪問事件的發(fā)生；

6）操作審計

設(shè)備能夠?qū)ψ址?、圖形、文件傳輸、數(shù)據(jù)庫等安全操作進(jìn)行行為審計；通過設(shè)備錄像方式監(jiān)控運維人員對操作系統(tǒng)、安全設(shè)備、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫等進(jìn)行的各種操作，對違規(guī)行為進(jìn)行事中控制；對終端指令信息能夠進(jìn)行精確搜索，進(jìn)行錄像精確定位；

4.堡壘機(jī)應(yīng)用場景

1）多個用戶使用同一賬號

多出現(xiàn)在同一工作組中，由于工作需要，同時系統(tǒng)管理員賬號唯一，因此只能多用戶共享同一賬號；如果發(fā)生安全事故，不僅難以定位賬號的實際使用者和責(zé)任人，而且無法對賬號的使用范圍進(jìn)行有效控制，存在較大的安全風(fēng)險和隱患；

2）一個用戶使用多個賬號。

目前一個維護(hù)人員使用多個賬號時較為普遍的情況，用戶需要記憶多套口令同時在多套主機(jī)系統(tǒng)、網(wǎng)絡(luò)設(shè)備之間切換，降低工作效率，增加工作復(fù)雜度；

3）缺少統(tǒng)一的權(quán)限管理平臺，難以實現(xiàn)更細(xì)粒度的命令權(quán)限控制。

維護(hù)人員的權(quán)限大多是粗放管理，無基于最小權(quán)限分配原則的用戶權(quán)限管理，難以實現(xiàn)更細(xì)粒度的命令權(quán)限控制，系統(tǒng)安全性無法充分保證；

4）無法制定統(tǒng)一的訪問審計策略，審計粒度粗。

各個網(wǎng)絡(luò)設(shè)備、主機(jī)系統(tǒng)、數(shù)據(jù)庫是分別單獨審計記錄訪問行為，由于沒有統(tǒng)一審計策略，而且各系統(tǒng)自身審計日志內(nèi)容深淺不一，難以及時通過系統(tǒng)自身審計發(fā)現(xiàn)違規(guī)操作行為和追查取證；

5）傳統(tǒng)的網(wǎng)路安全審計系統(tǒng)無法對維護(hù)人員經(jīng)常使用的SSH、RDP等加密、圖形操作協(xié)議進(jìn)行內(nèi)容審計。

5.目標(biāo)價值

1）目標(biāo)

堡壘機(jī)的核心思路是邏輯上將人與目標(biāo)設(shè)備分離，建立“人-〉主賬號（堡壘機(jī)用戶賬號）-〉授權(quán)—>從賬號（目標(biāo)設(shè)備賬號）的模式;在這種模式下，基于唯一身份標(biāo)識，通過集中管控安全策略的賬號管理、授權(quán)管理和審計，建立針對維護(hù)人員的“主賬號-〉登錄—〉訪問操作-〉退出”的全過程完整審計管理，實現(xiàn)對各種運維加密/非加密、圖形操作協(xié)議的命令級審計。

2）系統(tǒng)價值

堡壘機(jī)的作用主要體現(xiàn)在下述幾個方面：

企業(yè)角度

通過細(xì)粒度的安全管控策略，保證企業(yè)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫、安全設(shè)備等安全可靠運行，降低人為安全風(fēng)險，避免安全損失，保障企業(yè)效益。

管理員角度

• 所有運維賬號的管理在一個平臺上進(jìn)行管理，賬號管理更加簡單有序；

• 通過建立用戶與賬號的唯一對應(yīng)關(guān)系，確保用戶擁有的權(quán)限是完成任務(wù)所需的最小權(quán)限；

• 直觀方便的監(jiān)控各種訪問行為，能夠及時發(fā)現(xiàn)違規(guī)操作、權(quán)限濫用等。

鑒于多賬號同時使用超管進(jìn)行的操作，便于實名制的認(rèn)證和自然人的關(guān)聯(lián)。

普通用戶角度

運維人員只需記憶一個賬號和口令，一次登錄，便可實現(xiàn)對其所維護(hù)的多臺設(shè)備的訪問，無須記憶多個賬號和口令，提高了工作效率，降低工作復(fù)雜度。

6.應(yīng)用

一種用于單點登陸的主機(jī)應(yīng)用系統(tǒng)，目前電信、移動、聯(lián)通三個運營商廣泛采用堡壘機(jī)來完成單點登陸和薩班斯要求的審計。

在銀行、證券等金融業(yè)機(jī)構(gòu)也廣泛采用堡壘機(jī)來完成對財務(wù)、會計操作的審計。

在電力行業(yè)的雙網(wǎng)改造項目后，采用堡壘機(jī)來完成雙網(wǎng)隔離之后跨網(wǎng)訪問的問題，能夠很好的解決雙網(wǎng)之間的訪問的安全問題。

7.相關(guān)廠商

目前，已經(jīng)有相當(dāng)多的廠商開始涉足這個領(lǐng)域，如：思福迪、帕拉迪、圣博潤、尚思卓越、綠盟、[3]科友、齊治、金萬維、極地、派拉等，這些都是目前行業(yè)里做的專業(yè)且受到企業(yè)用戶好評的廠商，但每家廠商的產(chǎn)品所關(guān)注的側(cè)重又有所差別。

以某運維安全審計產(chǎn)品為例，其產(chǎn)品更側(cè)重于運維安全管理，它集單點登錄、賬號管理、身份認(rèn)證、資源授權(quán)、訪問控制和操作審計為一體的新一代運維安全審計產(chǎn)品，它能夠?qū)Σ僮飨到y(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、數(shù)據(jù)庫等操作過程進(jìn)行有效的運維操作審計，使運維審計由事件審計提升為操作內(nèi)容審計，通過系統(tǒng)平臺的事前預(yù)防、事中控制和事后溯源來全面解決企業(yè)的運維安全問題，進(jìn)而提高企業(yè)的IT運維管理水平。

8.堡壘機(jī)功能

1）身份認(rèn)證及授權(quán)管理

健全的用戶管理機(jī)制和靈活的認(rèn)證方式

為解決企業(yè)IT系統(tǒng)中普遍存在的因交叉運維而存在的無法定責(zé)的問題，堡壘機(jī)提出了采用“集中賬號管理“的解決辦法；集中帳號管理可以完成對帳號整個生命周期的監(jiān)控和管理，而且還降低了企業(yè)管理大量用戶帳號的難度和工作量。同時，通過統(tǒng)一的管理還能夠發(fā)現(xiàn)帳號中存在的安全隱患，并且制定統(tǒng)一的、標(biāo)準(zhǔn)的用戶帳號安全策略。針對平臺中創(chuàng)建的運維用戶可以支持靜態(tài)口令、動態(tài)口令、數(shù)字證書等多種認(rèn)證方式；支持密碼強(qiáng)度、密碼有效期、口令嘗試死鎖、用戶激活等安全管理功能；支持用戶分組管理;支持用戶信息導(dǎo)入導(dǎo)出，方便批量處理。

2）細(xì)粒度、靈活的授權(quán)

系統(tǒng)提供基于用戶、運維協(xié)議、目標(biāo)主機(jī)、運維時間段（年、月、日、周、時間）等組合的授權(quán)功能，實現(xiàn)細(xì)粒度授權(quán)功能，滿足用戶實際授權(quán)的需求。授權(quán)可基于：用戶到資源、用戶組到資源、用戶到資源組、用戶組到資源組。

單點登錄功能是運維人員通過堡壘機(jī)認(rèn)證和授權(quán)后，堡壘機(jī)根據(jù)配置策略實現(xiàn)后臺資源的自動登錄。保證運維人員到后臺資源帳號的一種可控對應(yīng)，同時實現(xiàn)了對后臺資源帳號的口令統(tǒng)一保護(hù)與管理。系統(tǒng)提供運維用戶自動登錄后臺資源的功能。堡壘機(jī)能夠自動獲取后臺資源帳號信息并根據(jù)口令安全策略，定期自動修改后臺資源帳號口令；根據(jù)管理員配置，實現(xiàn)運維用戶與后臺資源帳號相對應(yīng)，限制帳號的越權(quán)使用；運維用戶通過堡壘機(jī)認(rèn)證和授權(quán)后，SSA根據(jù)分配的帳號實現(xiàn)自動登錄后臺資源。

9.運維事件事中控制

1）實時監(jiān)控

監(jiān)控正在運維的會話，信息包括運維用戶、運維客戶端地址、資源地址、協(xié)議、開始時間等：監(jiān)控后臺資源被訪問情況，提供在線運維操作的實時監(jiān)控功能。針對命令交互性協(xié)議，可以實時監(jiān)控正在運維的各種操作，其信息與運維客戶端所見完全一致。

2）違規(guī)操作實時告警與阻斷

針對運維過程中可能存在的潛在操作風(fēng)險，SSA根據(jù)用戶配置的安全策略實施運維過程中的違規(guī)操作檢測，對違規(guī)操作提供實時告警和阻斷，從而達(dá)到降低操作風(fēng)險及提高安全管理與控制的能力。對于非字符型協(xié)議的操作能夠?qū)崟r阻斷；

字符型協(xié)議的操作可以通過用戶配置的命令行規(guī)則進(jìn)行規(guī)則匹配，實現(xiàn)告警與阻斷。告警動作支持權(quán)限提升、會話阻斷、郵件告警、短信告警等。

10.運維事件事后審計

1）對常見協(xié)議能夠記錄完整的會話過程

堡壘機(jī)能夠?qū)θ粘Ｋ姷降倪\維協(xié)議如SSH/FTP/Telnet/SFTP /Http/Https/RDP/X11/VNC等會話過程進(jìn)行完整的記錄，以滿足日后審計的需求；審計結(jié)果可以錄像和日志方式呈現(xiàn)，錄像信息包括運維用 戶名稱、目標(biāo)資源名稱、客戶端IP、客戶端計算機(jī)名稱、協(xié)議名、運維開始時間、結(jié)束時間、運維時長等信息

2）詳盡的會話審計與回放

運維人員操作錄像以會話為單位，能夠?qū)τ脩裘?、日期和?nèi)容進(jìn)行單項查詢和組合式查詢定位。組合式查詢則按運維用戶、運維地址、后臺資源地址、協(xié)議、起始時間、結(jié)束時間和操作內(nèi)容中關(guān)鍵字等組合方式進(jìn)行；針對命令字符串方式的協(xié)議，提供逐條命令及相關(guān)操作結(jié)果的顯示：提供圖像形式的回放，真實、直觀、可視地重現(xiàn)當(dāng)時的操作過程；回放提供快放、慢放、拖拉等方式，針對檢索的鍵盤輸入的關(guān)鍵字能夠直接定位定位回放；針對RDP、X11、VNC協(xié)議，提供按時間進(jìn)行定位回放的功能。

3）豐富的審計報表功能

堡壘機(jī)系統(tǒng)平臺能夠?qū)\維人員的日常操作、會話已經(jīng)管理員對審計平臺進(jìn)行的操作配置或者是報警次數(shù)等做各種報表統(tǒng)計分析。報表包括：日常報表、會話報表、自審計操作報表、告警報表、綜合統(tǒng)計報表，并可根據(jù)個性需求設(shè)計和展現(xiàn)自定義報表。以上報表可以EXCEL格式輸出，并且可以以折線、柱狀、圓餅圖等圖形方 式展現(xiàn)出來。

4）應(yīng)用發(fā)布

針對用戶獨特的運維需求，堡壘機(jī)推出了業(yè)界虛擬桌面主機(jī)安全操作系統(tǒng)設(shè)備，通過其配合堡壘機(jī)進(jìn)行審計能夠完全達(dá)到審計、控制、授權(quán)的要求，配合此產(chǎn)品，可實現(xiàn)對數(shù)據(jù)庫維護(hù)工具、pcAnywhere、DameWare等不同工具的運維操作進(jìn)行監(jiān)控和審計。

11.特點

1）超全的審計協(xié)議范圍

平臺采用協(xié)議分析、基于數(shù)據(jù)包還原虛擬化技術(shù)，實現(xiàn)操作界面模擬，將所有的操作轉(zhuǎn)換為圖形化界面予以展現(xiàn)，實現(xiàn)100%審計信息不丟失：針對運維操作圖形化 審計功能的展現(xiàn)外，同時還能對字符進(jìn)行分析，包括命令行操作的命令以及回顯信息和非字符型操作時鍵盤、鼠標(biāo)的敲擊信息。

系統(tǒng)支持的審計協(xié)議以及工具包括：

• 字符串操作：SSH/Telnet（工具：SecureCRT/Putty/Xshell）

• 圖形操作：RDP/VNC/X11/pcAnywhere/DameWare等

• 其他協(xié)議：FTP/SFTP/Http/Https等

• 數(shù)據(jù)庫工具：Oracle/sqlserver/Mysql客戶端工具

2）協(xié)議以及工具包括

• 字符串操作：SSH/Telnet（工具：SecureCRT/Putty/Xshell）

• 圖形操作：RDP/VNC/X11/pcAnywhere/DameWare等

• 其他協(xié)議：FTP/SFTP/Http/Https/SQLPLUS等

3）報表管理

平臺具有豐富的報表統(tǒng)計功能，可以進(jìn)行默認(rèn)報表和自定義報表來進(jìn)行運維數(shù)據(jù)的報表統(tǒng)計。

平臺提供多種報表格式，包括Word、Excel等。

平臺提供折線、餅狀、柱狀等多種圖表統(tǒng)計運維數(shù)據(jù)，方便后期的運維分析和管理。

4）機(jī)制完善用戶管理權(quán)限

平臺對用戶的管理權(quán)限嚴(yán)格分明，各司其職，分為系統(tǒng)管理員、審計管理員、運維管理員、口令管理員四種管理員角色，平臺也支持管理員角色的自定義創(chuàng)建，對管理權(quán)限進(jìn)行細(xì)粒度設(shè)置，保障了平臺的用戶安全管理，以滿足審計需求

平臺集用戶管理、身份認(rèn)證、資源授權(quán)、訪問控制、操作審計為一體，有效地實現(xiàn)了事前預(yù)防、事中控制和事后審計。

5）高效的處理能力

審計平臺能夠?qū)ΤＲ姷腟SH/Telnet/FTP/SFTP/HTTP/HTTPS/Windows Terminal/X11、VNC協(xié)議進(jìn)行完整的透明轉(zhuǎn)發(fā)，針對如RDP/VNC/X11等圖形化協(xié)議的處理能力要比同類產(chǎn)品處理能力強(qiáng)。

6）可擴(kuò)展性與兼容性

平臺采用模塊化設(shè)計，單模塊故障不影響其他模塊使用，從而提高了平臺的健壯性、穩(wěn)定性。

運維人員登陸可支持Portal統(tǒng)一登錄，并兼容終端C/S客戶端連接設(shè)備；

審計平臺的認(rèn)證方式可以與第三方的認(rèn)證設(shè)備進(jìn)行定制兼容

具有強(qiáng)大研發(fā)實力，不但能為客戶提供長期的產(chǎn)品更新，還能按照客戶的實際需求進(jìn)行定制開發(fā)。

7）靈活的部署方式

堡壘機(jī)提供了功能完善、操作靈活、使用方便、界面友好、符合習(xí)慣的審計管理功能；B/S方式實現(xiàn)了對后臺的各項管理配置。

平臺簡單易部署，通過配置導(dǎo)航，可在短時間內(nèi)完成配置要求，實現(xiàn)上線要求。

8）完善的系統(tǒng)安全設(shè)計

• 基于HTTPS/SSL的自身安全管理與審計；

• 嚴(yán)格的安全訪問控制和管理員身份認(rèn)證支持強(qiáng)認(rèn)證；

• 審計信息加密存儲；

• 完善的審計信息備份機(jī)制；

• 完整全面的自審計功能。

12.案例

某連鎖酒店企業(yè)

客戶現(xiàn)狀及需求：

IT系統(tǒng)分散在總部以及全國各地的分支連鎖酒店，每個酒店所在的地區(qū)都有相應(yīng)的技術(shù)人員進(jìn)行系統(tǒng)運維；總部也有運維人員，對全國IT系統(tǒng)的總的運維質(zhì)量負(fù)最終責(zé)任。

酒店實體越來越 多，總部的IT運維工作日益復(fù)雜，運維問題日益突出。一個最基礎(chǔ)的場景是：當(dāng)某酒店的IT系統(tǒng)出現(xiàn)問題，當(dāng)?shù)氐腎T運維人員無法解決時，就會向總部發(fā)起求 助。而此時，總部的技術(shù)工程師根本無法獲悉最原始的問題，因為原來的問題在經(jīng)過分部的運維工程師的操作后，已經(jīng)面目全非，還可能引入了新的問題，整個過程沒有記錄，沒有管控，找不到解決問題的線索。所以總部工程師迫切希望知道，從一開始問題的表象，到分支機(jī)構(gòu)的運維人員的運維操作，都是怎么一回事。除此之外，還有另外的一些運維問題列表如下：

1、運維人員管理手段落后，時無法定責(zé)，也無法對各方的運維工作本身的質(zhì)量和數(shù)量進(jìn)行有效考核和評估。

2、設(shè)備賬戶管理缺失，該連鎖酒店的每一名運維人員都要負(fù)責(zé)多套信息系統(tǒng)的運維管理工作，同時，大多數(shù)情況下，某套信息系統(tǒng)往往要多個運維人員聯(lián)合管理。在這種情況下，口令丟失、登錄失敗、密碼被隨便修改等情況就時有發(fā)生。并且對第三方代維人員來說，也沒有更強(qiáng)的針對設(shè)備賬號的監(jiān)測機(jī)制和有效的生命周期管理機(jī)制；

解決之道：

來進(jìn)行統(tǒng)一認(rèn)證，認(rèn)證成功后對其具有權(quán)限的IT設(shè)備進(jìn)行運維操作。整個運維過程全程錄像，并有危險操作的告警及阻斷功能。

通 過這種“跳板機(jī)”的解決方案，運維人員只需要記住一個口令就可以運維到被授權(quán)的設(shè)備，運維過程全程錄像，且可以對應(yīng)到運維人員。使用運維審計集中管理客戶端軟件，分散在全國各地的酒店IT系統(tǒng)的運維錄像可以被總部的運維人員隨時查詢，還可以通過播放器進(jìn)行遠(yuǎn)程的錄像流暢播放。

客戶收益:

運 維安全審計堡壘平臺之后，所有的運維人員都以統(tǒng)一的用戶身份登入系統(tǒng)；所有的運維操作都被記錄；操作對應(yīng)到實際的自然人而不是設(shè)備賬戶。在出現(xiàn)問題后，可以迅速的調(diào)出運維操作錄像進(jìn)行查看，根據(jù)錄像進(jìn)行問題的追本溯源，直接定位問題根源所在，為解決IT系統(tǒng)的故障提供了寶貴的第一手資料。

在部署安全審計堡壘平臺之后，問題的解決時間平均縮短到一到兩個小時，數(shù)量級的提高了運維工作質(zhì)量。另外，由于有錄像可以學(xué)習(xí)，交流和借鑒，從一定程度上，提高了所有運維人員的運維經(jīng)驗。

中國某商業(yè)銀行

客戶現(xiàn)狀及需求：

對 內(nèi)部的運維管理安全而言，原有的手工管理措施已不能滿足目前及未來業(yè)務(wù)發(fā)展的要求。因此該銀行方面，依照國家相關(guān)的法規(guī)要求，遵照銀行業(yè)務(wù)系統(tǒng)自身的安全等級保護(hù)條例要求，提出建設(shè)服務(wù)器和設(shè)備訪問安全管理系統(tǒng)，使得系統(tǒng)和安全管理人員可以對信息系統(tǒng)的用戶和各種資源進(jìn)行集中管理、集中權(quán)限分配、集中審計，從技術(shù)上保證信息系統(tǒng)安全策略的實施。具體而言，需要實現(xiàn)如下的功能需求：

1、賬戶的集中管理，并且對用戶能夠進(jìn)行一定的權(quán)限劃分管理；

2、權(quán)限控制，能夠?qū)τ脩暨M(jìn)行細(xì)粒度的權(quán)限控制，針對欲運維的目標(biāo)設(shè)備進(jìn)行用戶與設(shè)備關(guān)聯(lián)；

3、能夠在運維過程中，對違規(guī)信息提出告警、權(quán)限提升、阻斷等操作，及實現(xiàn)事中的實時審計管理；

4、對事后的審計錄像能夠做到回放、復(fù)式檢索、定位播放等便捷式操作；

解決之道：

該行選擇了某品牌堡壘機(jī)作為其安全審計項目的承建方。

RBAC 角色授權(quán)機(jī)制打造，在設(shè)備管理中進(jìn)行用戶的集中管理和用戶權(quán)限的有效劃分，如“三權(quán)”劃分（系統(tǒng)管理員權(quán)限、運維管理員權(quán)限、審計管理員權(quán)限），通過用戶 和設(shè)備的關(guān)聯(lián)管理實現(xiàn)對用戶的運維權(quán)限細(xì)分；然后通過一些安全策略的設(shè)置來降低違規(guī)操作對資源的破壞，即使出現(xiàn)問題能夠通過錄像查詢進(jìn)行“事發(fā)現(xiàn)場”回 放，從而實現(xiàn)防范、控制、審計一條龍；具體的說，在該行的運維管理項目中，實現(xiàn)了如下幾點：

1、用戶進(jìn)行集中管理的同時，也進(jìn)行了相應(yīng)的權(quán)限劃分，權(quán)限獨立分明；

2、能夠進(jìn)行事前的防范，針對該行有大量第三方代維人員的情況，對其采取定制化的角色類型和訪問策略；

3、對設(shè)備資源的違規(guī)操作實現(xiàn)權(quán)限的提升、告警，發(fā)現(xiàn)嚴(yán)重違規(guī)操作，直接阻斷操作；（權(quán)限提升是指：某些指令需要更高級別角色的臨時授權(quán)才能執(zhí)行。）

4、實現(xiàn)事后審計的方便快捷性，通過組合式錄像查詢定位，直接找到問題點；

客戶收益：

對內(nèi)部運維人員的工作流程進(jìn)行了相應(yīng)的梳理，對其運維的IT系統(tǒng)和設(shè)備進(jìn)行了責(zé)任的明確。事實上，這些約束和流程通過運維審計系統(tǒng)的約束，而變得更加明晰，業(yè)務(wù)數(shù)據(jù)的安全，以及IT系統(tǒng)的運維，有了一個明顯的提升。

而且，由于堡壘機(jī)產(chǎn)品遵照國際上流行的RBAC角色授權(quán)機(jī)制，以及P2DR安全模型，4A身份認(rèn)證等安全防范體系建設(shè)，使得該行的信息系統(tǒng)安全保護(hù)等級有了一個質(zhì)的飛躍。

某證券機(jī)構(gòu)

問題描述：

無法客觀的支付報酬；不但如此更嚴(yán)重的是在軟件開發(fā)的過程中，某軟件外包商的開發(fā)人員的誤操作導(dǎo)致證券機(jī)構(gòu)的某些系統(tǒng)模塊突然沒有辦法正常使用，時間長達(dá) 10分鐘之久，結(jié)果10分鐘的時間損失上百萬，而且造成了很嚴(yán)重的負(fù)面影響，因為沒有證據(jù)證明是軟件外包商所為，所以，后果只能自己承擔(dān)；同時機(jī)構(gòu)內(nèi)部的運維管理也有一定的問題，如越權(quán)運維、誤操作、賬戶共享等運維問題也頻頻出現(xiàn)，所以如何做到運維能審計的同時也做到運維能管理是該機(jī)構(gòu)信息中心主管迫切要解決的問題？

解決之道：

在 以后的證券機(jī)構(gòu)開發(fā)的過程中，所有的運維、開發(fā)人員都必須經(jīng)過一道“門”，這個“門”就是金萬維運維安全審計系統(tǒng)，所有的人首先登錄運維審計平臺中，然后根據(jù)設(shè)置的權(quán)限進(jìn)行對目標(biāo)設(shè)備的運維，且運維過程全程錄像；而且每個運維人員的每天、每周、每月的運維情況都可以通過報表、圖表進(jìn)行統(tǒng)計，審計的同時做到了運維的管理；

客戶收益：

通 過部署運維安全審計系統(tǒng)，使證券機(jī)構(gòu)的運維人員和第三方機(jī)構(gòu)的外包開發(fā)人員都做了統(tǒng)一賬號管理，針對第三方開發(fā)人員的運維賬號，進(jìn)行“生命周期”自動管 理，設(shè)定使用時間，過了使用時間之后第三方開發(fā)人員就無權(quán)再用此運維賬戶登錄，不但如此針對危險操作行為證券機(jī)構(gòu)也能夠設(shè)置安全策略，盡量把已知危險降到最低；在以后的開發(fā)過程中證券機(jī)構(gòu)可以通過運維報表中的統(tǒng)計數(shù)據(jù)進(jìn)行薪酬支付，對“矛盾”問題進(jìn)行錄像回放，查找問題源；真正實現(xiàn)了運維審計的同時做到了 運維管理，為證券機(jī)構(gòu)信息化的建設(shè)做出了重大貢獻(xiàn)；

某互聯(lián)網(wǎng)IT企業(yè)

問題描述：

北京某知名互聯(lián)網(wǎng)IT企業(yè)一直致力于為客戶提供數(shù)字媒體營銷領(lǐng)域的尖端科技和卓越服務(wù)，如SEM/SEO/移動互聯(lián)網(wǎng)廣告、軟件定制開發(fā)服務(wù)等隨著業(yè)務(wù)的增長規(guī)模的擴(kuò)大，除了北京研發(fā)中心外，在上海和廣州也相繼成立了對內(nèi)和對外研發(fā)團(tuán)隊，公司運維的服務(wù)器有近百臺之多。

隨著研發(fā)人員的增多和服務(wù)器規(guī)模的增大，逐漸暴露了一些嚴(yán)峻的問題如賬號管理分散、越權(quán)運維、對外進(jìn)行軟件定制開發(fā)過程無記錄、出現(xiàn)問題找不到責(zé)任人、對研發(fā)人員的每天、周的工作效率無從考核等問題正在逐步影響到整個研發(fā)團(tuán)隊的工作進(jìn)度和計劃的安排；

解決之道：

北 京某知名互聯(lián)網(wǎng)IT企業(yè)找到我們之后，進(jìn)行了現(xiàn)場交流分析，發(fā)現(xiàn)主要“癥結(jié)”在于研發(fā)人員除了在公司外，還經(jīng)常在家，在外地登錄IT系統(tǒng)進(jìn)行系統(tǒng)升級和維 護(hù)，同時，登錄賬號管理混亂、運維權(quán)限劃分不明、認(rèn)證方式過于簡單、對運維過程沒有監(jiān)控措施、對研發(fā)人員的運維次數(shù)沒有合理的運維統(tǒng)計方式；“對癥下藥” 通過部署運維安全審計系統(tǒng)平臺后所有的研發(fā)人員都必須通過審計平臺進(jìn)行“過濾”，合規(guī)人員才能進(jìn)行有效的開發(fā)維護(hù)工作，對主要研發(fā)人員通過配置如身份認(rèn)證加密卡等方式進(jìn)行身份強(qiáng)認(rèn)證，用戶操作在“過濾”的同時，都進(jìn)行錄像審計，錄像內(nèi)容一方面可以作為“糾錯”來用，另一方面可以用來作為“教材”來使；通過部署運維審計系統(tǒng)使其癥結(jié)問題迎刃而解，解決了研發(fā)人員不能解決的管理審計難題；

客戶收益：

運維審計系統(tǒng)的部署著實提高了研發(fā)隊伍的合規(guī)性，為有效研發(fā)、安全研發(fā)提供了堅實保障；審計錄像作為教材錄像、運維報表作為考核依據(jù)，為研發(fā)團(tuán)隊增加了新的培訓(xùn)和KPI管理方法。無論從合規(guī)性出發(fā)還是整體信息化運維正規(guī)化建設(shè)都能有效的提高管理和工作效率。