目前，隨著企事業(yè)單位IT系統(tǒng)的不斷發(fā)展，網(wǎng)絡(luò)規(guī)模和設(shè)備數(shù)量迅速擴(kuò)大，日趨復(fù)雜的IT系統(tǒng)與不同背景的運(yùn)維人員的行為給信息系統(tǒng)安全帶來(lái)較大風(fēng)險(xiǎn)，主要表現(xiàn)在：

1.多個(gè)用戶使用同一個(gè)賬號(hào)。這種情況主要出現(xiàn)在同一工作組中，由于工作需要，同時(shí)系統(tǒng)管理賬號(hào)，因此只能多用戶共享同一賬號(hào)。如果發(fā)生安全事故，不僅難以定位賬號(hào)的實(shí)際使用者和責(zé)任人，而且無(wú)法對(duì)賬號(hào)的使用范圍進(jìn)行有效控制，存在較大安全風(fēng)險(xiǎn)和隱患。
2.一個(gè)用戶使用多個(gè)賬號(hào)。目前，一個(gè)維護(hù)人員使用多個(gè)賬號(hào)是較為普遍的情況，用戶需要記憶多套口令同時(shí)在多套主機(jī)系統(tǒng)、網(wǎng)絡(luò)設(shè)備之間切換，降低工作效率，增加工作復(fù)雜度。如下圖所示：

用戶與賬號(hào)的關(guān)系現(xiàn)狀
3.缺少統(tǒng)一的權(quán)限管理平臺(tái)，權(quán)限管理日趨繁重和無(wú)序；而且維護(hù)人員的權(quán)限大多是粗放管理，無(wú)法基于小權(quán)限分配原則的用戶權(quán)限管理，難以實(shí)現(xiàn)更細(xì)粒度的命令級(jí)權(quán)限控制，系統(tǒng)安全性無(wú)法充分保證。
4.無(wú)法制定統(tǒng)一的訪問(wèn)審計(jì)策略，審計(jì)粒度粗。各網(wǎng)絡(luò)設(shè)備、主機(jī)系統(tǒng)、數(shù)據(jù)庫(kù)是分別單審計(jì)記錄訪問(wèn)行為，由于沒(méi)有統(tǒng)一審計(jì)策略，并且各系統(tǒng)自身審計(jì)日志內(nèi)容深淺不一，難以及時(shí)通過(guò)系統(tǒng)自身審計(jì)發(fā)現(xiàn)違規(guī)操作行為和追查取證。
5. 傳統(tǒng)的網(wǎng)絡(luò)安全審計(jì)系統(tǒng)無(wú)法對(duì)維護(hù)人員經(jīng)常使用的SSH、RDP等加密、圖形操作協(xié)議進(jìn)行內(nèi)容審計(jì)。
如何解決上述風(fēng)險(xiǎn)帶來(lái)的各種安全隱患和審計(jì)監(jiān)管問(wèn)題？北京藍(lán)浚SSA給我們提供一套運(yùn)維管理解決方案，使得管理人員可以對(duì)各種資源（包括網(wǎng)絡(luò)設(shè)備、主機(jī)、安全設(shè)備和數(shù)據(jù)庫(kù)）進(jìn)行集中賬號(hào)管理、細(xì)粒度的權(quán)限管理和審計(jì)，幫助企業(yè)提升風(fēng)險(xiǎn)內(nèi)控水平。

一、SSA核心功能：

1、單點(diǎn)登錄功能
支持對(duì)X11、linux、unix、數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等一系列授權(quán)賬號(hào)進(jìn)行密碼的自動(dòng)化周期更改，簡(jiǎn)化密碼管理，讓使用者無(wú)需記憶眾多系統(tǒng)密碼，即可實(shí)現(xiàn)自動(dòng)登錄目標(biāo)設(shè)備，便捷安全；
2、賬號(hào)管理
設(shè)備支持統(tǒng)一賬戶管理策略，能夠?qū)崿F(xiàn)對(duì)所有服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等賬號(hào)進(jìn)行集中管理，完成對(duì)賬號(hào)整個(gè)生命周期的監(jiān)控，并且可以對(duì)設(shè)備進(jìn)行特殊角色設(shè)置如：審計(jì)巡檢員、運(yùn)維操作員、設(shè)備管理員等自定義設(shè)置，以滿足審計(jì)需求 ；
3、身份認(rèn)證
設(shè)備提供統(tǒng)一的認(rèn)證接口，對(duì)用戶進(jìn)行認(rèn)證，支持身份認(rèn)證模式包括 動(dòng)態(tài)口令、靜態(tài)密碼、硬件key 、生物特征等多種認(rèn)證方式，設(shè)備具有靈活的定制接口，可以與其他第三方認(rèn)證服務(wù)器之間結(jié)合；安全的認(rèn)證模式，有效提高了認(rèn)證的安全性和可靠性；
4、資源授權(quán)
設(shè)備提供基于用戶、目標(biāo)設(shè)備、時(shí)間、協(xié)議類型 IP、行為等要素實(shí)現(xiàn)細(xì)粒度的操作授權(quán)，大限度保護(hù)用戶資源的安全；
5、訪問(wèn)控制
設(shè)備支持對(duì)不同用戶進(jìn)行不同策略的制定，細(xì)粒度的訪問(wèn)控制能夠大限度的保護(hù)用戶資源的安全，嚴(yán)防非法、越權(quán)訪問(wèn)事件的發(fā)生；
6、操作審計(jì)
設(shè)備能夠?qū)ψ址D形、文件傳輸、數(shù)據(jù)庫(kù)等全程操作行為審計(jì)；通過(guò)設(shè)備錄像方式實(shí)時(shí)監(jiān)控運(yùn)維人員對(duì)操作系統(tǒng)、安全設(shè)備、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)等進(jìn)行的各種操作，對(duì)違規(guī)行為進(jìn)行事中控制。對(duì)終端指令信息能夠進(jìn)行精確搜索，進(jìn)行錄像精確定位。

二、系統(tǒng)架構(gòu)

堡壘機(jī)管理平臺(tái)由系統(tǒng)監(jiān)控管理模塊、平臺(tái)管理配置模塊和平臺(tái)會(huì)話日志管理模塊構(gòu)成，在“平臺(tái)模塊”的基礎(chǔ)之上，展現(xiàn)堡壘機(jī)的功能模塊，功能模塊主要由賬號(hào)管理、認(rèn)證管理、權(quán)限分配、審計(jì)管理和報(bào)表管理組成。堡壘機(jī)總體架構(gòu)如下圖所示：

1、監(jiān)管人員與監(jiān)管設(shè)備
堡壘機(jī)支持對(duì)所有的運(yùn)維人員、第三方支持人員和代維人員的審計(jì)監(jiān)控
堡壘機(jī)支持對(duì)目前市場(chǎng)主流的服務(wù)器、安全設(shè)備、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)的監(jiān)控審計(jì)
2、功能管理模塊
提供賬戶管理功能、認(rèn)證管理功能、權(quán)限管理功能和審計(jì)管理功能以及報(bào)表管理功能。
下面分別說(shuō)明賬號(hào)管理、認(rèn)證管理、權(quán)限管理和審計(jì)管理模塊的功能。
賬號(hào)管理
賬號(hào)管理主要負(fù)責(zé)集中維護(hù)包括運(yùn)維賬號(hào)、設(shè)備賬號(hào)、堡壘機(jī)自身管理賬號(hào)以及對(duì)賬號(hào)密碼的管理。
運(yùn)維賬號(hào)的范圍包括設(shè)備管理員、維護(hù)人員、第三方代維人員。
運(yùn)維賬號(hào)是登錄堡壘機(jī)，獲取目標(biāo)設(shè)備訪問(wèn)權(quán)利的賬號(hào)，與實(shí)際用戶身份一一對(duì)應(yīng)，每個(gè)用戶一個(gè)主賬號(hào)，每個(gè)主賬號(hào)只屬于一個(gè)用戶。
認(rèn)證管理
系統(tǒng)可通過(guò)本地認(rèn)證、外部認(rèn)證（如LDAP、RADIUS）等認(rèn)證方式，對(duì)用戶賬號(hào)進(jìn)行統(tǒng)一認(rèn)證鑒權(quán)，并實(shí)現(xiàn)單點(diǎn)登陸。
·單點(diǎn)登錄（SSO）
單點(diǎn)登錄是用戶完成主賬號(hào)登錄后，訪問(wèn)具有權(quán)限的所有目標(biāo)設(shè)備時(shí)，均不需要再輸入賬號(hào)口令，堡壘機(jī)自動(dòng)代為登錄，因此不需要用戶記錄多套賬號(hào)口令、重復(fù)登錄，提高工作效率。
權(quán)限管理
授權(quán)管理包括設(shè)備管理和授權(quán)、賬號(hào)授權(quán)。
· 設(shè)備管理和授權(quán)
系統(tǒng)將需要管理的設(shè)備錄入，設(shè)備信息包括設(shè)備名稱、版本、IP地址、連接協(xié)議等。設(shè)備可按照組織結(jié)構(gòu)或地域組織。
· 賬號(hào)授權(quán)
系統(tǒng)提供用戶對(duì)目標(biāo)設(shè)備（即運(yùn)維賬號(hào)到設(shè)備賬號(hào)）訪問(wèn)的授權(quán)，對(duì)于訪問(wèn)授權(quán)可以具體到命令級(jí)。
審計(jì)管理
堡壘機(jī)的審計(jì)范圍包括審計(jì)用戶對(duì)被管理設(shè)備的所有敏感關(guān)鍵操作、對(duì)堡壘機(jī)自身的配置管理行為進(jìn)行審計(jì)。
·用戶操作行為審計(jì)內(nèi)容
提供對(duì)通過(guò)SSH、RDP、VNC、X-Window、Telnet、Rlogin、FTP等協(xié)議的訪問(wèn)行為進(jìn)行內(nèi)容審計(jì)，會(huì)話回放
·堡壘機(jī)自身配置管理審計(jì)
提供對(duì)堡壘機(jī)賬號(hào)分配、賬號(hào)授權(quán)、登錄堡壘機(jī)過(guò)程、認(rèn)證管理、授權(quán)管理的行為審計(jì)。
報(bào)表管理
堡壘機(jī)提供豐富完善的報(bào)表功能，可以對(duì)審計(jì)信息進(jìn)行報(bào)表統(tǒng)計(jì)、分析
審計(jì)報(bào)表可以通過(guò)折線、圓餅、柱狀圖等方式展現(xiàn)

三、目標(biāo)與價(jià)值

1、目標(biāo)
SSA的核心思路是邏輯上將人與目標(biāo)設(shè)備分離，建立“人-〉賬號(hào)（堡壘機(jī)用戶賬號(hào)）-〉授權(quán)->審計(jì)的模式;在這種模式下，基于身份標(biāo)識(shí)，通過(guò) 集中管控安全策略的賬號(hào)管理、授權(quán)管理和審計(jì)，建立針對(duì)維護(hù)人員的“主賬號(hào)-〉登錄-〉訪問(wèn)操作-〉退出”的全過(guò)程完整審計(jì)管理，實(shí)現(xiàn)對(duì)各種運(yùn)維加密/非 加密、圖形操作協(xié)議的命令級(jí)審計(jì)。
SSA核心思路
2、系統(tǒng)價(jià)值
堡壘機(jī)的作用主要體現(xiàn)在下述幾個(gè)方面：
企業(yè)角度
通過(guò)細(xì)粒度的安全管控策略，保證企業(yè)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)、安全設(shè)備等安全可靠運(yùn)行，降低人為安全風(fēng)險(xiǎn)，避免安全損失，保障企業(yè)效益。
管理員角度
所有運(yùn)維賬號(hào)的管理在一個(gè)平臺(tái)上進(jìn)行管理，賬號(hào)管理更加簡(jiǎn)單有序；
通過(guò)建立用戶與賬號(hào)的對(duì)應(yīng)關(guān)系，確保用戶擁有的權(quán)限是完成任務(wù)所需的小權(quán)限；
直觀方便的監(jiān)控各種訪問(wèn)行為，能夠及時(shí)發(fā)現(xiàn)違規(guī)操作、權(quán)限濫用等。
普通用戶角度
運(yùn)維人員只需記憶一個(gè)賬號(hào)和口令，一次登錄，便可實(shí)現(xiàn)對(duì)其所維護(hù)的多臺(tái)設(shè)備的訪問(wèn)，無(wú)須記憶多個(gè)賬號(hào)和口令，提高了工作效率，降低工作復(fù)雜度。