【概要描述】

一、為什么要重視運維安全

    2013年-2014年可以說是運維安全發(fā)展的一個分水嶺。這兩年之所以特別主要是由于互聯網基礎設施的幾大應用相繼被曝漏洞或被攻擊，受此影響，各種運維安全問題引起了業(yè)界的廣泛關注，企業(yè)也開始加大對運維安全的投入。時至今日，運維安全管理已經成為企業(yè)安全建設的重中之重。

圖片來源：安全內參

      我們通過2020年安全內參發(fā)布的安全隱患情況分析報告，可以發(fā)現其中網絡設備漏洞和操作系統(tǒng)漏洞明顯屬于運維安全問題，其合并占比已達到21%，再加上應用程序漏洞中包含的各種應用版本漏洞，不難推測出歸屬于運維安全領域的漏洞比例可能更高。

      此外，隨著各個行業(yè)的業(yè)務系統(tǒng)、支撐系統(tǒng)、以及對應的管理賬號數量急速增長，網絡規(guī)模和設備數量也迅速擴大，這必然造成管理系統(tǒng)日趨復雜的局面：

      1.缺少統(tǒng)一的權限管理平臺，權限管理日趨繁重和無序，獨立分散的系統(tǒng)和獨立的管理賬號容易形成身份信息孤島，不利于運維人員同時維護多個系統(tǒng);

      2.維護人員的權限無法基于最小權限分配原則管理，難以實現更細粒度的命令級權限控制，不同背景運維人員的行為給信息系統(tǒng)安全帶來較大風險，系統(tǒng)安全性無法充分保證；

      3.各網絡設備、主機系統(tǒng)、數據庫沒有統(tǒng)一的審計策略，而是分別單獨審計記錄訪問行為，導致日志內容深淺不一，事后難以及時通過系統(tǒng)自身審計發(fā)現違規(guī)操作行為和追查取證。

      眾所周知，基礎設施運行的安全穩(wěn)定與否在很大程度上決定了業(yè)務系統(tǒng)是否可以正常運作，而堡壘機則是整個業(yè)務系統(tǒng)運維安全的保障設施。

二、什么是堡壘機

      堡壘機，顧名思義，它是為了保障網絡和數據不受來自外部和內部用戶的入侵和破壞，從而在被保護的資源周圍形成一個堅固的"堡壘"。其實它還有一個名字叫安全運維網關，就是集運維管理與運維審計為一體的堡壘機設備，結合等級保護、分級保護、SOX法案、IT內控、ISO27001等各類法律法規(guī)對運維管理的要求，將運維管理和運維安全理念相融合，由于其自身經過加固，具有較高的安全性，可抵御一定的攻擊，通過串接在運維終端與被運維對象之間，配合USB Key使用，將運維人員、運維工具等外部要素與被運維對象等內部要素進行隔離，并對運維人員的敏感操作、違規(guī)行為和運維工具的運行風險進行實時監(jiān)督管控，防止外部網絡攻擊、惡意代碼、違規(guī)操作等行為等破壞電力監(jiān)控系統(tǒng)。同時，對運維工作全過程進行日志、屏幕錄像、通信報文等多維度記錄，實現系統(tǒng)運維工作事前有防范、事中有監(jiān)督、事后有審計的目標。

      在信息化高度發(fā)展的今天，選擇合適的堡壘機對系統(tǒng)運維管理的安全至關重要。

三、堡壘機的類型

      目前市面上的堡壘機可根據業(yè)務系統(tǒng)和適用場景不同分為兩種：網關型堡壘機和運維審計型堡壘機。

      1.網關型堡壘機

      網關型堡壘機通常部署于內部網絡與外部網絡之間，作為一個關卡進行內外隔離，其本身不直接提供任何服務，對內部網絡資源的訪問進行有效控制和防護，針對內網的來自應用層一下的攻擊可以進行過濾，形成一道安全屏障。但是網關型堡壘機存在一定的弊端：由于要處理應用層的數據內容，需要消耗較多的網絡出口流量，這導致性能消耗過大。

      2.運維審計型堡壘機

      和網關型堡壘機不同的是，雖然運維審計型堡壘機的應用場景及部署位置更為復雜，但是其本身不會消耗太大流量，它通過對訪問和運維人員進行授權和控制，同時對訪問和操作行為進行審計，更加規(guī)范了運維人員的操作行為，保障內部資源的安全。

      由此可見，運維審計型堡壘機具備更大的發(fā)展前景，尤其是像金融、電力、能源等信息化水平相對較高的行業(yè)，由于受到“信息系統(tǒng)等級保護”、“SOX法案”等法規(guī)及政策的約束，這些行業(yè)對堡壘機的需求更加強烈，運維審計型堡壘機便得到了較為深入的應用。

四、堡壘機的應用場景

      可以說信息化時代，任何企業(yè)都需要進行運維安全管理，堡壘機可以適用于各種企業(yè)運維場景，尤其是針對人員和資產規(guī)模較大、業(yè)務系統(tǒng)復雜，以及運維方式多樣的企業(yè)，堡壘機的作用舉足輕重。

1.金融行業(yè)

      銀行、證券和保險等金融行業(yè)，具有大量個人信息數據和金融資金操作行為，而且存在著大部分的第三方代運維機構，可能會出現巨大違規(guī)操作、濫用職權等非法運作風險，所以需要極為嚴苛的合規(guī)審計，

      而堡壘機可以通過事前越權防護，實現權限細粒度劃分，有效防止因越權行為導致的敏感數據泄漏，事中提供高危命令實時阻斷高風險，事后通過多維度記錄，真實地還原全行為場景，有助于安全事件的高效追溯。

2.互聯網行業(yè)

      當下的互聯網行業(yè)正在急速發(fā)展，企業(yè)人員與服務器數量在不斷呈幾何倍增長，由于服務高度公開，大量數據敏感信息暴露在公網之上，本身就存在著高度泄漏的風險，再加上互聯網企業(yè)內部又面臨服務器資源訪問混亂、員工賬號難管理、權限復雜難分配等問題，所以同樣需要重視運維安全管理。

      一方面堡壘機可通過遠程運維，隱藏資產的真實地址，解決資產信息暴露問題，另一方面通過提供多賬號統(tǒng)一運維收口和權限細粒度劃分管理，實現便捷運維和靈活規(guī)范化管理，最后通過提供全面的運維日志，對整個運維過程，包括人員操作行為提供有效監(jiān)控，得以保證互聯網企業(yè)在不斷發(fā)展過程中的持續(xù)穩(wěn)定。

3.民生政務行業(yè)

      民生政務行業(yè)早已在互聯網的浪潮中卷入云管理，隨著人員規(guī)模的不斷擴張，云服務器、網絡設備等資產數量也成倍增漲，再加上很多企業(yè)需要大量第三方機構進行建設和運維，復雜流動性大的運維人員和過多的操作設備必然會帶來一定的風險

      堡壘機可容納海量的人員和資產數據資源，通過細粒度權限控制，有效管理運維人員單點登錄，還可以將運維方與管理方的權責分明，通過操作審計對運維問題進行追溯，確保安全事故有效定責，此外，通過呈現運維全景，對運維行為進行深度分析，定位接收異常行為告警通知，確保民生政務數據的安全。

• 分類：云涌新聞
• 作者：
• 來源：
• 發(fā)布時間：2022-05-20
• 訪問量：9182