近年來，國(guó)家對(duì)信息化安全建設(shè)的重視程度越來越高，特別是政府單位，更是網(wǎng)絡(luò)安全部門重點(diǎn)監(jiān)控對(duì)象。而在信息化安全建設(shè)過程中，大多數(shù)單位只重視來自網(wǎng)絡(luò)外部的威脅，而忽略了來自內(nèi)部員工或第三方服務(wù)公司違規(guī)操作帶來的安全問題。防火墻、防病毒、入侵檢測(cè)系統(tǒng)等常規(guī)的安全產(chǎn)品可以解決一部分安全問題，但對(duì)于內(nèi)部人員的違規(guī)操作卻無能為力。

       2016年公安部破獲了國(guó)內(nèi)某銀行支行領(lǐng)導(dǎo)倒賣征詢賬戶進(jìn)而牟利的“5.26侵犯公民個(gè)人信息案”案件；2016年5月，山東菏澤警方偵破一起定制型販賣個(gè)人信息案，抓獲嫌疑人29名，其中包括銀行員工2人，交易個(gè)人信息共計(jì)200余萬條；2017年3月公安部破獲了一起盜賣公民信息的特大案件，50億條公民信息遭到泄漏，而嫌疑犯被傳是國(guó)內(nèi)某著名電商網(wǎng)絡(luò)安全部員工，與黑客長(zhǎng)期相互勾結(jié)，據(jù)公安部披露，犯罪嫌疑人鄭某鵬利用該電商網(wǎng)絡(luò)安全部員工這一身份，長(zhǎng)期監(jiān)守自盜，與黑客相互勾結(jié)，為黑客攻入網(wǎng)站提供重要信息，包括物流信息、交易信息、個(gè)人身份等等。犯罪嫌疑人鄭某鵬在加入xxx東之前曾在國(guó)內(nèi)多家知名互聯(lián)網(wǎng)公司工作，其泄露的50億條公民信息中，可能包含多家互聯(lián)網(wǎng)公司的用戶信息。

       從以上案例及中國(guó)國(guó)家信息安全測(cè)評(píng)中心調(diào)查結(jié)果可以看出，信息安全的現(xiàn)實(shí)威脅主要為內(nèi)部信息泄露和內(nèi)部人員犯罪，而非病毒和外來黑客引起。根據(jù)FBI和CSI對(duì)484家公司進(jìn)行的網(wǎng)絡(luò)安全專項(xiàng)調(diào)查結(jié)果顯示：超過70%的安全威脅來自公司內(nèi)部，在損失金額上，由于內(nèi)部人員泄密導(dǎo)致了6056.5萬美元的損失，是黑客造成損失的16倍，是病毒造成損失的12倍。另據(jù)國(guó)外Ponemon公司2016年頒布的研究資料表明在已確認(rèn)的874起數(shù)據(jù)泄露安全事件中有568起是由內(nèi)部人員或合同承包商引起的，85起是外部人員使用偷竊的憑證，191起是由惡意的內(nèi)部人員和犯罪分子引起。因此，在構(gòu)建企業(yè)信息安全綜合體系過程中，內(nèi)部安全防護(hù)是非常重要的一環(huán)，今天我們就從構(gòu)建企業(yè)內(nèi)部安全防護(hù)體系中的內(nèi)部及外部維護(hù)人員操作控制及審計(jì)來談一談“運(yùn)維堡壘機(jī)”的作用。

       傳統(tǒng)的運(yùn)維方式，是內(nèi)部運(yùn)維人員通過PC遠(yuǎn)程桌面或telnet/SSH 工具登陸到服務(wù)器、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備上進(jìn)行維護(hù)操作。這種方式最直接的缺點(diǎn)就是操作過程無記錄，出了事故無法回溯，無法追責(zé)。而無論是政府部門還是企業(yè)，在信息化發(fā)展過程中，不可避免的會(huì)引入外部公司來進(jìn)行相關(guān)系統(tǒng)的開發(fā)和建設(shè)，在建設(shè)和后期的維護(hù)過程中，如何有效地監(jiān)控設(shè)備廠商和代維人員的操作行為,并進(jìn)行嚴(yán)格的審計(jì)是企業(yè)面臨的一個(gè)關(guān)鍵問題。嚴(yán)格的規(guī)章制度只能約束一部分人的行為，只有通過嚴(yán)格的權(quán)限控制和操作審計(jì)才能確保安全管理制度的有效執(zhí)行。

       運(yùn)維堡壘機(jī)的作用就是針對(duì)業(yè)務(wù)環(huán)境下的用戶進(jìn)行運(yùn)維操作控制和審計(jì)。它通過對(duì)自然人身份以及資源、資源賬號(hào)的集中管理建立“自然人—資源—資源賬號(hào)”對(duì)應(yīng)關(guān)系，實(shí)現(xiàn)自然人對(duì)資源的統(tǒng)一授權(quán)，同時(shí)，對(duì)授權(quán)人員的運(yùn)維操作進(jìn)行記錄、分析、展現(xiàn)，以幫助內(nèi)控工作事前規(guī)劃預(yù)防、事中實(shí)時(shí)監(jiān)控、違規(guī)行為響應(yīng)、事后合規(guī)報(bào)告、事故追蹤回放，加強(qiáng)內(nèi)部業(yè)務(wù)操作行為監(jiān)管、避免核心資產(chǎn)（服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等）損失、保障業(yè)務(wù)系統(tǒng)的正常運(yùn)營(yíng)。

常見運(yùn)維堡壘機(jī)技術(shù)架構(gòu)

       常見運(yùn)維堡壘機(jī)主要提供以下功能來確保運(yùn)維工作滿足合規(guī)性要求，順利通過IT審計(jì)，同時(shí)有效減少核心信息資產(chǎn)的破壞和泄漏風(fēng)險(xiǎn)，有效控制運(yùn)維操作風(fēng)險(xiǎn)，便于事后追查原因與界定責(zé)任，實(shí)現(xiàn)獨(dú)立審計(jì)與三權(quán)分立，完善IT內(nèi)控機(jī)制

1. 系統(tǒng)權(quán)限管理

       系統(tǒng)級(jí)管理員，包括：系統(tǒng)帳號(hào)管理員、系統(tǒng)管理員、系統(tǒng)審計(jì)員。主要實(shí)現(xiàn)對(duì)堡壘機(jī)系統(tǒng)級(jí)別的操作，并且實(shí)現(xiàn)了等保要求的三權(quán)分立。

2.用戶認(rèn)證和單點(diǎn)登陸

       在信息系統(tǒng)的運(yùn)維操作過程中，經(jīng)常會(huì)出現(xiàn)多名維護(hù)人員共用設(shè)備（系統(tǒng)）賬號(hào)進(jìn)行遠(yuǎn)程訪問的情況，從而導(dǎo)致出現(xiàn)安全事件無法清晰地定位責(zé)任人。堡壘機(jī)支持為每一個(gè)運(yùn)維人員創(chuàng)建唯一的運(yùn)維賬號(hào)（主賬號(hào)），運(yùn)維賬號(hào)是獲取目標(biāo)設(shè)備訪問權(quán)利的唯一賬號(hào)，進(jìn)行運(yùn)維操作時(shí)，所有設(shè)備賬號(hào)（從賬號(hào)）均與主賬號(hào)進(jìn)行關(guān)聯(lián)，確保所有運(yùn)維行為審計(jì)記錄的一致性，從而準(zhǔn)確定位事故責(zé)任人，彌補(bǔ)傳統(tǒng)網(wǎng)絡(luò)安全審計(jì)產(chǎn)品無法準(zhǔn)確定位用戶身份的缺陷，有效解決賬號(hào)共用問題。同時(shí)常見堡壘機(jī)還支持單點(diǎn)登陸功能，運(yùn)維人員一次登陸，即可訪問所有目標(biāo)資源，無需二次輸入用戶名、口令信息。


3. 自動(dòng)改密管理

       常見堡壘機(jī)系統(tǒng)支持自動(dòng)定期修改Linux、Unix、Windows、AIX以及Oracle、MS SQL Server、IBM DB2、Sybase、IBM Informix Dynamic Server、MySQL、PostgreSQL的內(nèi)置自身賬號(hào)密碼。避免運(yùn)維人員長(zhǎng)期不修改系統(tǒng)賬號(hào)密碼，減輕運(yùn)維人員負(fù)擔(dān)。


4.訪問授權(quán)管理

       常見堡壘機(jī)支持通過集中統(tǒng)一的訪問控制和細(xì)粒度的命令級(jí)授權(quán)策略，確保每個(gè)運(yùn)維用戶擁有的權(quán)限是完成任務(wù)所需的最合理權(quán)限。

5. 二次審批

       常見運(yùn)維堡壘機(jī)系統(tǒng)支持根據(jù)需求對(duì)特殊訪問與操作進(jìn)行二次審批功能，該功能可以進(jìn)一步加強(qiáng)對(duì)第三方人員訪問或關(guān)鍵設(shè)備訪問操作的控制力度，確保所有訪問操作都在實(shí)時(shí)監(jiān)控過程中進(jìn)行。二次審批功能支持對(duì)特殊指令執(zhí)行進(jìn)行審批。運(yùn)維人員操作過程中觸發(fā)命令策略，需要得到管理員的審批后才能繼續(xù)執(zhí)行后續(xù)操作。


6. 告警與阻斷

       常見運(yùn)維堡壘機(jī)系統(tǒng)支持根據(jù)已設(shè)定的訪問控制策略，自動(dòng)檢測(cè)日常運(yùn)維過程中發(fā)生的越權(quán)訪問、違規(guī)操作等安全事件，系統(tǒng)能夠根據(jù)安全事件的類型、等級(jí)等條件進(jìn)行自動(dòng)的告警或阻斷處理。

       禁止未經(jīng)授權(quán)用戶訪問主機(jī)

       阻斷從異?？蛻舳?、異常時(shí)間段發(fā)起的訪問行為

       阻斷指令黑名單的操作行為

       阻斷方式支持：斷開會(huì)話、忽略指令

告警方式支持：

       郵件、短信方式實(shí)時(shí)發(fā)送告警信息

7.實(shí)時(shí)操作系統(tǒng)監(jiān)控

       對(duì)于所有遠(yuǎn)程訪問目標(biāo)主機(jī)的會(huì)話連接，常見運(yùn)維堡壘機(jī)均可實(shí)現(xiàn)操作過程同步監(jiān)視，運(yùn)維人員在遠(yuǎn)程主機(jī)上做的任何操作都會(huì)同步顯示在審計(jì)人員的監(jiān)控畫面中，管理員可以隨時(shí)手工中斷違規(guī)操作會(huì)話。

8. 歷史回放

       常見運(yùn)維堡壘機(jī)系統(tǒng)能夠以視頻回放方式，可根據(jù)操作記錄定位回放或完整重現(xiàn)維護(hù)人員對(duì)遠(yuǎn)程主機(jī)的整個(gè)操作過程，從而真正實(shí)現(xiàn)對(duì)操作內(nèi)容的完全審計(jì)。

9.審計(jì)存儲(chǔ)及報(bào)表

       常見運(yùn)維堡壘機(jī)系統(tǒng)支持滿足不用客戶審計(jì)需求的安全審計(jì)報(bào)表模板，支持自動(dòng)或手工方式生成運(yùn)維審計(jì)報(bào)告，便于管理員全面分析運(yùn)維的合規(guī)性。支持自動(dòng)化審計(jì)數(shù)據(jù)存儲(chǔ)管理，管理員可以對(duì)審計(jì)數(shù)據(jù)進(jìn)行手工備份、導(dǎo)出，也可以設(shè)定自動(dòng)歸檔策略進(jìn)行自動(dòng)歸檔。