【13、堡垒机】网神SecFox运维安全管理与审计系统技术白皮书-精品文档整理-精品文档资料.docx

《【13、堡垒机】网神SecFox运维安全管理与审计系统技术白皮书-精品文档整理-精品文档资料.docx》由会员分享，可在线阅读，更多相关《【13、堡垒机】网神SecFox运维安全管理与审计系统技术白皮书-精品文档整理-精品文档资料.docx（17页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、网神SecFox运维安全管理与审计系统产品技术白皮书目录一、概 述4二、应用背景42.1风险分析42.1.1用户身份难以定位42.1.2运维操作缺乏审计42.1.3权限管理粗放混乱52.1.4运维工作效率低下52.1.5资源访问缺乏控制52.1.6法规遵从面临压力52.2设计理念5三、解决之道63.1目标63.2应用场景73.2.1管理员定制访问策略73.2.2运维员访问目标资源83.3系统介绍10四、产品特性104.1支持微信小程序、手机短信等多因子认证104.2云上资产，一键同步114.3多人加入会话，实现协同合作、远程办公114.4灵活的操作告警，覆盖所有操作事件114.5多维度的资源访

2、问控制114.6文件传输、RDP剪切板审计，数据窃取无处藏身124.7核心资产、双人授权，运维安全无死角12五、产品功能125.1身份管理125.2角色分权135.3集中管控135.4资源改密135.5资源访问135.6H5运维145.7全程审计145.8命令控制145.9工单申请145.10会话协同145.11双人授权155.12报表分析15六、部署方案156.1单机部署166.2HA部署16一、 概 述随着信息化的发展，政府部门、企事业单位、金融机构等组织的信息系统不断发展，对信息系统的依赖程度也日益增强。信息系统的发展伴随网络规模迅速扩大、设备数量快速增长，组织机构建设信息系统的重点已经

3、从网络平台建设，转向深化应用、提升效益的阶段。同时，运维行业经历了初始、专业化、工具化、平台化、云化和智能化过程，从手动运维阶段过渡到规模化阶段，再到现在正往云化智能化阶段的趋势发展，运维与安全正逐渐走向融合。信息系统的安全运行直接关系企业效益，构建一个强健的信息运维安全管理体系对企业信息化的发展至关重要，同时对运维的安全性也提出了更高要求。二、 应用背景2.1 风险分析2.1.1 用户身份难以定位在同一团队当中，由于工作需要，经常存在多用户共享同一账号的情况。对管理者来说无法确定是谁在操作、是谁做了操作等问题。不仅在发生安全事故的时候难以定位从账号的实际使用者和责任人，而且无法对从账号的使用

4、范围进行有效控制，存在较大的安全隐患。2.1.2 运维操作缺乏审计在运维工作中，每天都有不同的人在操作和维护主机，无法得知运维人员在资源中具体做了什么操作、是否有违规和误操作。即便有基础的审计，大多也是通过网络设备、操作系统的系统日志进行监控审计。由于各系统自身审计日志分散、内容粒度深浅不一，因此，难以通过系统自身审计及时发现违规操作行为，并进行追查取证，更加无法实时监控外部人员的操作过程。2.1.3 权限管理粗放混乱大多数组织机构的信息系统运维均采用设备、操作系统自身的授权系统，授权功能分散在各设备和系统之中。管理员的权限大多是粗放式管理，由于缺少统一的访问授权策略，授 权粒度粗，无法基于最

5、小权限分配原则管理用户权限，难以与业务管理要求相协调。因此， 出现运维人员权限过大、内部操作权限滥用等诸多问题，如果不及时解决，信息系统的安全 性难以充分保证。2.1.4 运维工作效率低下一个运维人员使用多个从账号是较为普遍的情况，用户需要记忆多套密码、在多台主机系统、网络设备之间进行切换。由于既要保障密码的复杂度，又要密码的管理和修改将会给管理员成为一个难题。如果设备数量达到几十甚至上百台时，那么运维人员进行一项简单的配置工作，就需要分别逐一登录相关设备，其工作量和复杂度成倍增加，直接导致的后果是工作效率低下、管理繁琐甚至出现误操作，影响系统正常运行。2.1.5 资源访问缺乏控制运维人员可能

6、会因为误操作造成数据丢失、业务故障等问题，黑客也可能远程进入主机之后进行恶意的数据窃取、数据篡改等。如果想要做精确控制，需要管理人员在很多主机中做各种精细化的策略才有可能控制有意或无意的操作行为。2.1.6 法规遵从面临压力为加强信息系统风险管理，政府、金融、运营商等陆续发布信息系统管理规范和要求，例如“信息系统等级保护”、“商业银行信息科技风险管理指引”、“企业内部控制基本规范”等均要求采取信息系统风险内控与审计，但组织机构自身确没有有效的技术手段。2.2 设计理念网神SecFox运维安全管理与审计系统产品的设计理念如图1-1所示，通过逻辑上将用户与目标设备分离，建立“用户-主账户(堡垒机用

7、户账户)-访问控制策略-从账户(目标设备账户)-目标设备”的管理模式。在此模式下，通过基于唯一身份标识的用户账户管理与访问控制策略，精细化的角色权限控制，与各服务器、网络设备、安全设备、数据库等无缝连接，实现集中精细化运维操作管理与审计。图 1 核心理念三、 解决之道3.1 目标网神SecFox运维安全管理与审计系统是网神信息技术（北京）股份有限公司在多年运维安全管理的理论和实践经验积累的基础上，结合各类法律法规对运维审计的要求，采用 B/S 架构，集“身份认证(Authentication)、 账户管理(Account)、权限控制(Authorization)、运维审计(Audit)”于一体

8、，支持多种字符协议、图形协议、文件传输协议、远程应用协议的运维与审计，具备全方位运维风险控制能力的统一运维管理与审计产品。网神SecFox运维安全管理与审计系统提供一套先进的运维安全管控与审计解决方案，目标是帮助企业转变传统安全运维被动响应的模式，建立面向用户的智能化运维安全管控模式，降低人为安全风险，满足合规要求，同时提高人员利用率加快创造价值。3.2 应用场景3.2.1 管理员定制访问策略定制访问控制策略的流程如图所示：图 2定制访问控制策略1.添加资源管理员添加需要管理的资源。资源包括服务器、网络设备、数据库等对象，支持编辑相关设备信息包括系统类型、所属部门、资源名称、资源地址、协议类型

9、、应用程序等。2.添加从账户管理员添加与资源对应的从账户（资源账户），包括账户名、密码等，从账户支持自动、手动、半自动登录方式，并且能够由普通账户切换到特权账户，同时密码可由网神SecFox运维安全管理与审计系统定期自动更新。3.添加主账户管理员添加主账户（用户账户），主账户是登录网神SecFox运维安全管理与审计系统，获取目标设备访问权的唯一账户，与实际用户身份一一对应，每个用户一个主账户，每个主账号只属于一个用户。4.创建访问控制策略管理员建立基于“时间+主账户+资源+从账户+权限”等要素的关联策略。5.行为全程审计网神SecFox运维安全管理与审计系统自动记录管理员的资源管理、用户管理和

10、策略管理等所有行为日志，以便审计员监控和审计。3.2.2 运维员访问目标资源用户访问资源的流程如图所示：图 3访问目标资源1.登录请求用户在终端通过 HTTPS 或第三方客户端工具登录网神SecFox运维安全管理与审计系统，输入主账号和密码，发起访问请求。2.登录认证网神SecFox运维安全管理与审计系统的认证模块对用户的认证请求进行鉴别。3.检查主账号访问权限认证成功之后，网神SecFox运维安全管理与审计系统的权限管理模块通过分析主账号属性(包括可访问的目标设备、访问权限、从账号、协议类型、应用等)，确定主账号可访问的所有资源。4.显示可访问资源直观展现出主账号可访问的所有目标设备。5.访

11、问目标资源用户选择需要访问的目标资源，进行操作维护。如果有违反访问控制策略或命令控制策略的行为，基于策略将自动记录、拒绝执行，并且通过多种方式（系统消息、短信、邮件）给管理员发送告警。6.返回访问结果将用户访问目标资源的所有操作和执行结果返回到网神SecFox运维安全管理与审计系统。7.用户访问行为全程审计网神SecFox运维安全管理与审计系统全程审计用户“登录系统-访问资源和操作-退出系统”的所有行为。2.3 产品价值网神SecFox运维安全管理与审计系统为企业带来的价值主要体现在：l 管理效益 所有主账号和从账户在一个平台上进行管理，账号管理更加简单有序； 通过建立用户与主账号的唯一对应关

12、系，确保用户拥有的权限是完成任务所需的最小权限； 可视化运维行为监控，及时预警发现违规操作。l 用户效益 运维人员只需记忆一个账号和密码，一次登录，便可实现对其所维护的多台资源的访问； 无需频发地输入IP地址和账户密码，提高工作效率，降低工作复杂度； 资源运维批量处理、批量操作。l 企业效益 降低人为安全风险，避免安全损失； 满足合规要求，保障企业效益。3.3 系统介绍网神SecFox运维安全管理与审计系统主要有三大功能：l 集中账号管理建立基于唯一身份标识的全局用户账户管理，支持统一账号管理策略，实现与各服务器、网络设备、安全设备、数据库服务器等无缝连接。l 集中访问控制通过访问控制策略和命

13、令控制策略，基于最小权限原则，实现集中有序的运维操作管控，让正确的人做正确的事。l 集中安全审计基于唯一身份标识，通过对用户从登录到退出的全程操作行为进行审计，监控用户对目标资源的所有敏感操作，聚焦关键事件，实现对安全事件的实时发现与预警。四、 产品特性4.1 支持微信小程序、手机短信等多因子认证网神SecFox运维安全管理与审计系统主账号是获取目标资源访问权限的唯一账号，为了提高来源身份的可靠性，防止身份冒用，网神SecFox运维安全管理与审计系统可以通过微信小程序手机令牌、手机短信等多因子认证方式，将主帐号与实际用户身份一一对应，确保行为审计的一致性，从而准确定为事故责任人，弥补传统网络安

14、全审计产品无法准确定位用户身份的缺陷。手机令牌通过小程序实现。无需安装APP，通过微信就能使用，方便快捷。4.2 云上资产，一键同步网神SecFox运维安全管理与审计系统能够支持一键同步阿里云、百度云、华为云、腾讯云和UCloud等云平台的主机资源。当企业有云上的资源时，只需管理员到对应的云平台获取相应的Key，网神SecFox运维安全管理与审计系统就可以通过导入云主机功能，将企业的云上资源一键同步到网神SecFox运维安全管理与审计系统当中。并且无需任何定制开发，在零附加成本的基础之上，轻松将云上的资源同步到网神SecFox运维安全管理与审计系统当中。4.3 多人加入会话，实现协同合作、远程

15、办公网神SecFox运维安全管理与审计系统除了给企业提供一个远程桌面/终端，还提供了会话协同这种运维增强功能。可以会话协同功能，来实现协同会诊、远程办公、远程授课等场景。会话协同的多人之间能够实时分享会话桌面，并自由切换操作控制权。4.4 灵活的操作告警，覆盖所有操作事件网神SecFox运维安全管理与审计系统通过灵活的操作告警配置，将系统操作行为集中可视化管控，告警覆盖所有系统操作事件，针对每一个事件可进行高级等级的配置（支持高、中、低三级），每一类事件的不同等级，又可以灵活的配置其告警方式，降低管理复杂度，快速发现和处置违规事件。4.5 多维度的资源访问控制通过集中统一的访问控制策略和细粒度

16、的命令控制策略，确保用户拥有的权限是完成任务所需的最小权限。系统支持创建基于时间、IP、用户/用户组、账户/账户组、运维权限、操作命令、执行等元素的组合条件，授权用户可访问的目标资源、定义危险操作管控策略。当用户越权执行特定命令的时候，实时进行阻断、告警，确保信息系统安全运行。4.6 文件传输、RDP剪切板审计，数据窃取无处藏身网神SecFox运维安全管理与审计系统不仅实现了对所有操作会话的实时监控、实时阻断、会话回放、起止时间、来源用户、来源 IP、模板资源、协议/应用类型、命令记录、操作内容(如对文件的上传、下载、删除、修改等操作等)等行为记录。还实现了对文件传输、RDP剪切板操作的完整审

17、计，为上传恶意文件、拖库、窃取数据等危险行为起到了查询依据。4.7 核心资产、双人授权，运维安全无死角网神SecFox运维安全管理与审计系统支持双人授权（金库模式），运维人员访问核心要求有两人认证通过方可执行，最大化地降低运维风险，保障运维安全。运维人员尝试登录核心资源时，需要先选择授权人进行现场授权，授权人同意此次登录请求，则需要输入自己的登录密码，验证通过之后，运维人员方可成功访问资源。五、 产品功能网神SecFox运维安全管理与审计系统提供了丰富、全面的管控功能，帮助企业解决运维过程不透明、责任认定难、管理不规范、权限混乱、控制力度不足、审计不全面等难题，同时统一管理企业信息系统资源。5

18、.1 身份管理网神SecFox运维安全管理与审计系统主账号通过本地认证、AD认证、RADIUS认证等多种认证方式，将主帐号与实际用户身份一一对应，确保行为审计的一致性，从而准确定为事故责任人，弥补传统网络安全审计产品无法准确定位用户身份的缺陷。5.2 角色分权支持多种用户角色：超级管理员、部门管理员、策略管理员、审计管理员、运维员。每种用户角色的权限都各不相同。如果所示，网神SecFox运维安全管理与审计系统同时支持超级管理员自定义角色，满足企业的复杂运维场景，为用设立不同的角色提供了选择。 5.3 集中管控通过集中的访问控制策略定制，帮助企业梳理用户与资源的关系，并且提供一对一、一对多、多对

19、一、多对多的灵活授权模式。网神SecFox运维安全管理与审计系统提供的访问控制策略，实现的不仅仅是将资源授权给用户，更实现了功能权限的精细化控制，最大程度地降低越权操作的可能。5.4 资源改密在传统的运维模式下，管理员需要定期手动修改资源账户的密码，同时维护起来也比较繁琐。通过网神SecFox运维安全管理与审计系统提供的改密策略，实现自动化的改密，并且将执行结果通过改密日志的形式记录，让管理员掌握资源的改密动态。5.5 资源访问网神SecFox运维安全管理与审计系统支持托管主机、应用的账户和密码，运维人员直接点击按钮即可成功自动登录到目标资源进行运维操作，无需输入主机的账户和密码。同时，网神S

20、ecFox运维安全管理与审计系统支持批量登录功能，通过批量登录，运维人员可以在一个页面上批量打开多台资源（支持不同协议类型），方便运维人员在操作时进行不同资源的切换。5.6 H5运维网神SecFox运维安全管理与审计系统提供H5运维访问方式，无需安装任何客户端，在Windows、Mac、Linux等操作系统上只要通过一款主流的浏览器，就能实现对资源的访问和操作，让运维人员脱离运维工具和操作系统束缚，是真正意义上的云堡垒机。5.7 全程审计运维人员登录到网神SecFox运维安全管理与审计系统之后，所有的操作就都在网神SecFox运维安全管理与审计系统的管控之下，并且对所有的操作都进行了详细记录。

21、针对会话的审计日志，还可以支持在线查看、在线播放和离线下载的形式。5.8 命令控制网神SecFox运维安全管理与审计系统提供了集中的命令控制策略功能，实现基于不同的主机、不同的用户设置不同的命令控制策略，策略提供断开连接、拒绝执行、动态授权和允许执行等四种执行动作，根据命令的危险程度和资源的重要程度去设置命令的执行动作。5.9 工单申请运维人员向管理员申请需要访问的设备，申请时可以选择资源账户、运维有效期、申请备注等信息，并且工单以多种方式通知管理员。当需要使用的功能权限（例如文件管理、RDP剪切板等）由于策略的限制无法使用时，运维人员也可以对功能权限做申请。管理员对工单进行审核之后，如果批准

22、，那么运维人员就拥有了临时的访问权限。5.10 会话协同网神SecFox运维安全管理与审计系统支持在运维时，要求其他用户加入自己的会话，进行协调操作，当新人操作不熟练时，通过会话协同能够邀请其他的用户协助自己进行操作。控制权在不同的用户之间能够进行灵活的切换。5.11 双人授权为降低高权限账号被滥用引起违规操作的风险，借鉴银行金库管理中开关库房必须由两名管库员在场共同进行的方式，以多人制衡的手段对高权限的使用进行监督和控制。网神SecFox运维安全管理与审计系统通过双人授权，让运维人员在访问核心资源时，必须要通过管理员的现场审批，通过双人授权有效遏制权限滥用的情况，降低安全事件发生的风险。5.

23、12 报表分析网神SecFox运维安全管理与审计系统预置了多种分析报表，能够全方位地分析系统操作、资源运维的情况，让管理员迅速了解系统的现状，快速分析系统操作和资源运维的情况，及时阻止安全事件的发生。报表支持自动发送，支持以天、周、月为粒度发送报表，随时掌握系统信息。六、 部署方案网神SecFox运维安全管理与审计系统采用“物理旁路、逻辑串联”的网络部署模式，不改变网络拓扑结构，不需要在终端安装客户端软件，不改变管理员、运维人员的操作习惯，不影响正常业务系统运行，通过网络访问控制系统的配合，让网神SecFox运维安全管理与审计系统成为唯一入口，确保“终端至网神SecFox运维安全管理与审计系统

24、的管理端口可达、网神SecFox运维安全管理与审计系统与目标资源的运维协议可达”。网神SecFox运维安全管理与审计系统支持多种部署模式，以满足客户的网络环境要求：单机部署：满足一般场景要求，节约企业成本HA部署：为提高网神SecFox运维安全管理与审计系统的高可用性，可采用HA部署方式集群部署：针对大型项目，单机已经无法满足超高并发的访问，可以采用分布式集群部署的方案，将服务分发到各个节点上，提高吞吐率6.1 单机部署网神SecFox运维安全管理与审计系统单机部署如图所示：图 4单机部署部署说明：运维人员统一登录网神SecFox运维安全管理与审计系统，再进行资源的访问自动备份审计数据自动备份系统配置6.2 HA部署网神SecFox运维安全管理与审计系统HA部署如图所示：图 5HA部署部署说明：对外提供一个浮动虚拟IP，由这个IP提供服务主节点和备节点之间数据同步当主节点出现故障之后，备节点自动接管服务