什么是堡壘機(jī)？ 企事業(yè)單位都有自己的信息化設(shè)施，包括網(wǎng)絡(luò)設(shè)備、應(yīng)用服務(wù)器、安全設(shè)備等，通常情況下一般由第三方管理人員使用系統(tǒng)或設(shè)備賬號(hào)遠(yuǎn)程登錄(默認(rèn)admin、root等賬號(hào)，當(dāng)然可能還有審計(jì)、操作員賬號(hào))，而且這些賬號(hào)都是共享的，如果某個(gè)低權(quán)限的人員做出越權(quán)操作，導(dǎo)致某項(xiàng)服務(wù)異常，將無法知道到底是哪個(gè)管理人員，做了哪些操作，將無法追蹤溯源。 此時(shí)，堡壘機(jī)在中間就作為一個(gè)運(yùn)維代理（包括運(yùn)維審計(jì)）的角色，金華堡壘機(jī)，所有使用者都必須使用自己的賬號(hào)登錄堡壘機(jī)，根據(jù)堡壘機(jī)給自己權(quán)限使用授權(quán)資源，金華堡壘機(jī)，在使用的過程中，金華堡壘機(jī)，堡壘機(jī)會(huì)審計(jì)所有操作并錄屏。堡壘機(jī)所有運(yùn)維賬號(hào)的管理在一個(gè)平臺(tái)上進(jìn)行管理，賬號(hào)管理更加簡(jiǎn)單有序。金華堡壘機(jī)

堡壘機(jī)對(duì)常見協(xié)議能夠記錄完整的會(huì)話過程。 堡壘機(jī)能夠?qū)θ粘Ｋ姷降倪\(yùn)維協(xié)議如SSH/FTP/Telnet/SFTP /Http/Https/RDP/X11/VNC等會(huì)話過程進(jìn)行完整的記錄，以滿足日后審計(jì)的需求；審計(jì)結(jié)果可以錄像和日志方式呈現(xiàn)，錄像信息包括運(yùn)維用戶名稱、目標(biāo)資源名稱、客戶端IP、客戶端計(jì)算機(jī)名稱、協(xié)議名、運(yùn)維開始時(shí)間、結(jié)束時(shí)間、運(yùn)維時(shí)長(zhǎng)等信息 堡壘機(jī)擁有詳盡的會(huì)話審計(jì)與回放。 運(yùn)維人員操作錄像以會(huì)話為單位，能夠?qū)τ脩裘?、日期和?nèi)容進(jìn)行單項(xiàng)查詢和組合式查詢定位。組合式查詢則按運(yùn)維用戶、運(yùn)維地址、后臺(tái)資源地址、協(xié)議、起始時(shí)間、結(jié)束時(shí)間和操作內(nèi)容中關(guān)鍵字等組合方式進(jìn)行；針對(duì)命令字符串方式的協(xié)議，提供逐條命令及相關(guān)操作結(jié)果的顯示：提供圖像形式的回放，真實(shí)、直觀、可視地重現(xiàn)當(dāng)時(shí)的操作過程；回放提供快放、慢放、拖拉等方式，針對(duì)檢索的鍵盤輸入的關(guān)鍵字能夠直接定位定位回放；針對(duì)RDP、X11、VNC協(xié)議，提供按時(shí)間進(jìn)行定位回放的功能。金華堡壘機(jī)堡壘機(jī)的目的是保障網(wǎng)絡(luò)和數(shù)據(jù)不受破壞。

堡壘機(jī)具有健全的用戶管理機(jī)制和靈活的認(rèn)證方式。 為解決企業(yè)IT系統(tǒng)中普遍存在的因交叉運(yùn)維而存在的無法定責(zé)的問題,堡壘機(jī)提出了采用“集中賬號(hào)管理“的解決辦法；集中帳號(hào)管理可以完成對(duì)帳號(hào)整個(gè)生命周期的監(jiān)控和管理，而且還降低了企業(yè)管理大量用戶帳號(hào)的難度和工作量。同時(shí)，通過統(tǒng)一的管理還能夠發(fā)現(xiàn)帳號(hào)中存在的安全隱患，并且制定統(tǒng)一的、標(biāo)準(zhǔn)的用戶帳號(hào)安全策略。針對(duì)平臺(tái)中創(chuàng)建的運(yùn)維用戶可以支持靜態(tài)口令、動(dòng)態(tài)口令、數(shù)字證書等多種認(rèn)證方式；支持密碼強(qiáng)度、密碼有效期、口令嘗試死鎖等安全管理功能；支持用戶分組管理;支持用戶信息導(dǎo)入導(dǎo)出，方便批量處理。

近年來，國(guó)家對(duì)信息化安全建設(shè)的重視程度越來越高，特別是國(guó)家單位，更是網(wǎng)絡(luò)安全部門重點(diǎn)監(jiān)控對(duì)象。而在信息化安全建設(shè)過程中，大多數(shù)單位只重視來自網(wǎng)絡(luò)外部的威脅，而忽略了來自內(nèi)部員工或第三方服務(wù)公司違規(guī)操作帶來的安全問題。防火墻、防病毒、入侵檢測(cè)系統(tǒng)等常規(guī)的安全產(chǎn)品可以解決一部分安全問題，但對(duì)于內(nèi)部人員的違規(guī)操作卻無能為力。 運(yùn)維堡壘機(jī)的作用就是針對(duì)業(yè)務(wù)環(huán)境下的用戶進(jìn)行運(yùn)維操作控制和審計(jì)。它通過對(duì)自然人身份以及資源、資源賬號(hào)的集中管理建立“自然人—資源—資源賬號(hào)”對(duì)應(yīng)關(guān)系，實(shí)現(xiàn)自然人對(duì)資源的統(tǒng)一授權(quán)，同時(shí)，對(duì)授權(quán)人員的運(yùn)維操作進(jìn)行記錄、分析、展現(xiàn)，以幫助內(nèi)控工作事前規(guī)劃預(yù)防、事中實(shí)時(shí)監(jiān)控、違規(guī)行為響應(yīng)、事后合規(guī)報(bào)告、事故追蹤回放，加強(qiáng)內(nèi)部業(yè)務(wù)操作行為監(jiān)管、避免關(guān)鍵資產(chǎn)（服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等）損失、保障業(yè)務(wù)系統(tǒng)的正常運(yùn)營(yíng)。日趨復(fù)雜的IT系統(tǒng)與不同背景的運(yùn)維人員的行為給信息系統(tǒng)安全帶來較大風(fēng)險(xiǎn)。

堡壘機(jī)的產(chǎn)生原因： 隨著企事業(yè)單位IT系統(tǒng)的不斷發(fā)展，網(wǎng)絡(luò)規(guī)模和設(shè)備數(shù)量迅速擴(kuò)大，日趨復(fù)雜的IT系統(tǒng)與不同背景的運(yùn)維人員的行為給信息系統(tǒng)安全帶來較大風(fēng)險(xiǎn)。 1.缺少統(tǒng)一的權(quán)限管理平臺(tái)，權(quán)限管理日趨繁重和無序；而且維護(hù)人員的權(quán)限大多是粗放管理，無法基于較小權(quán)限分配原則的用戶權(quán)限管理，難以實(shí)現(xiàn)更細(xì)粒度的命令級(jí)權(quán)限控制，系統(tǒng)安全性無法充分保證。 2. 無法制定統(tǒng)一的訪問審計(jì)策略，審計(jì)粒度粗。各網(wǎng)絡(luò)設(shè)備、主機(jī)系統(tǒng)、數(shù)據(jù)庫是分別單獨(dú)審計(jì)記錄訪問行為，由于沒有統(tǒng)一審計(jì)策略，并且各系統(tǒng)自身審計(jì)日志內(nèi)容深淺不一，難以及時(shí)通過系統(tǒng)自身審計(jì)發(fā)現(xiàn)違規(guī)操作行為和追查取證。 3. 傳統(tǒng)的網(wǎng)絡(luò)安全審計(jì)系統(tǒng)無法對(duì)維護(hù)人員經(jīng)常使用的SSH、RDP等加密、圖形操作協(xié)議進(jìn)行內(nèi)容審計(jì)。已經(jīng)有相當(dāng)多的廠商開始涉足堡壘機(jī)領(lǐng)域，但每家廠商的產(chǎn)品所關(guān)注的側(cè)重又有所差別。金華堡壘機(jī)

針對(duì)命令交互性協(xié)議，可以實(shí)時(shí)監(jiān)控正在運(yùn)維的各種操作，其信息與運(yùn)維客戶端所見完全一致。金華堡壘機(jī)

堡壘機(jī)承擔(dān)著在混合云環(huán)境下進(jìn)行安全合規(guī)審計(jì)的關(guān)鍵作用，而其建設(shè)的過程又面臨著諸多挑戰(zhàn)： 混合云平臺(tái)的建設(shè)引入了大量不同類型的IT基礎(chǔ)設(shè)施，包括企業(yè)內(nèi)部的傳統(tǒng)物理設(shè)備、虛擬化平臺(tái)、私有云，以及較廣采用的公有云。這要求堡壘機(jī)能夠在資產(chǎn)接入和管理上有較好的適配性和靈活性，較好能夠適配云平臺(tái)的API接口，降低平臺(tái)資源管理的難度；另一方面，由于文化傳媒企業(yè)需要通過大量的CDN邊緣節(jié)點(diǎn)來保障視頻流播放的流暢性，導(dǎo)致IT資產(chǎn)分布范圍廣，管理也相對(duì)分散。基于堡壘機(jī)構(gòu)建的運(yùn)維安全審計(jì)系統(tǒng)需要提供多級(jí)授權(quán)管理體系。金華堡壘機(jī)