绿盟安全审计系统-堡垒机产品白皮书

Size: px

Start display at page:

Download "绿盟安全审计系统-堡垒机产品白皮书"

咎农
5 years ago
Views:

1 绿盟安全审计系统 - 堡垒机产品白皮书

3 目录一. IT 运维安全管理的变革刻不容缓... 1 二. 解决之道目标应用场景管理员制定运维管理策略普通用户访问目标设备系统价值... 7 三. 系统介绍系统功能系统架构... 9 四. 产品特性集中的运维操作管控平台跨平台无缝管理多维度访问控制与授权一站式管理基于唯一身份标识的审计全程运维行为审计基于对象的虚拟审计系统审计信息零管理强大丰富的管理能力方便灵活的可扩展性高可靠的自身安全性部署简单方便五. 结论 I -

4 插图索引图 1.1 用户与账号的关系现状... 1 图 2.1 核心思路... 3 图 2.2 典型应用场景... 4 图 2.3 管理员制定策略... 5 图 2.4 普通用户访问目标设备... 6 图 3.1 系统功能... 8 图 3.2 系统架构... 9 图 4.1 虚拟审计系统 I -

一. IT 运维安全管理的变革刻不容缓随着信息化的发展, 企事业单位 IT 系统不断发展, 网络规模迅速扩大设备数量激增, 建设重点逐步从网络平台转向深化应用提升效益为特征的运行维护阶段 ; IT 系统运维与安全管理正逐渐走向融合信息系统的安全运行直接关系企业效益, 构建一个强健的 IT 运维安全管理体系对企业信息化的发展至关重要, 对运维的安全性提出更高要求目前, 面对日趋复杂的 IT

5 一. IT 运维安全管理的变革刻不容缓随着信息化的发展, 企事业单位 IT 系统不断发展, 网络规模迅速扩大设备数量激增, 建设重点逐步从网络平台转向深化应用提升效益为特征的运行维护阶段 ; IT 系统运维与安全管理正逐渐走向融合信息系统的安全运行直接关系企业效益, 构建一个强健的 IT 运维安全管理体系对企业信息化的发展至关重要, 对运维的安全性提出更高要求目前, 面对日趋复杂的 IT 系统, 不同背景的运维人员已给企业信息系统安全运行带来较大潜在风险, 主要表现在 : 1. 账号管理无序, 暗藏巨大风险多个用户混用同一个账号这种情况主要出现在同一工作组中, 由于工作需要, 同时系统管理账号唯一, 因此只能多用户共享同一账号如果发生安全事故, 不仅难以定位账号的实际使用者和责任人, 而且无法对账号的使用范围进行有效控制, 存在较大安全风险和隐患一个用户使用多个账号目前, 一个维护人员使用多个账号是较为普遍的情况, 用户需要记忆多套口令同时在多套主机系统网络设备之间切换如果设备数量达到几十甚至上百时, 维护人员进行一项简单的配置需要分别逐一登录相关设备, 其工作量和复杂度成倍增加, 直接导致的后果是工作效率低下管理繁琐甚至出现误操作, 影响系统正常运行图 1.1 用户与账号的关系现状密级 : 完全公开

6 2. 粗放式权限管理, 安全性难以保证大多数企事业单位的 IT 运维均采用设备操作系统自身的授权系统, 授权功能分散在各设备和系统中管理人员的权限大多是粗放式管理, 由于缺少统一的运维操作授权策略, 授权粒度粗, 无法基于最小权限分配原则管理用户权限, 难以与业务管理要求相协调 ; 因此, 导致出现如 : 运维人员权限过大和内部操作权限滥用等诸多问题, 如果不及时解决, 信息系统的安全性难以充分保证 3. 设备自身日志粒度粗, 难以有效定位安全事件在运维工作中, 大多是通过各网络设备操作系统的系统日志进行监控审计, 但是由于各系统自身审计日志分散内容深浅不一, 且无法根据业务要求, 制定统一审计策略 ; 因此, 难以及时通过系统自身审计发现违规操作行为和追查取证 4. 第三方代维人员带来安全隐患目前, 越来越多的企业选择将非核心业务外包给设备商或代维公司, 在享受便利的同时, 由于代维人员流动性大对操作行为缺少监控带来的风险日益凸现 ; 因此, 需要通过严格的权限控制和操作行为审计, 加强对代维人员的行为管理, 从而达到消隐患避风险的目的 5. 传统网络安全审计系统已无法满足运维审计和管理的要求无法审计运维加密协议远程桌面内容为了加强信息系统风险内控管理, 一些企业已部署网络安全审计系统, 希望达到对运维人员操作行为监控的目的由于传统网络安全审计的技术实现方式和系统架构 ( 主要通过旁路镜像或分光方式, 分析网络数据包进行审计 ), 导致该系统只能对一些非加密的运维操作协议进行审计, 如 telnet; 却无法对维护人员经常使用的 SSH RDP 等加密协议远程桌面等进行内容审计, 无法有效解决对运维人员操作行为的监管问题基于 IP 的审计, 难以准确定位责任人大多数网络安全审计系统, 只能审计到 IP 地址, 难以将 IP 与具体人员身份准确关联, 导致发生安全事故后, 如何追查责任人, 反而又成为新的难题 6. 面临法规遵从的压力为加强信息系统风险管理, 政府金融运营商等陆续发布信息系统管理规范和要求, 如信息系统等级保护商业银行信息科技风险管理指引企业内部控制基本规范等均要求采取信息系统风险内控与审计, 但其自身确没有有效的技术手段上述风险带来的运维安全风险和审计监管问题, 已经成为企业信息系统安全运行的严重隐患, 制约业务发展, 影响企业效益企业 IT 运维安全管理的变革已刻不容缓! 密级 : 完全公开

目标是帮助企业转变传统 IT 安全运维被动响应的模式, 建立面向用户的集中主动的运维安全管控模式, 降低人为安全风险, 满足合规要求, 保障企业效益

7 二. 解决之道 2.1 目标绿盟安全审计系统 - 堡垒机系列 (NSFOCUS SAS-H Series, 以下简称堡垒机或 SAS-H) 提供一套先进的运维安全管控与审计解决方案, 目标是帮助企业转变传统 IT 安全运维被动响应的模式, 建立面向用户的集中主动的运维安全管控模式, 降低人为安全风险, 满足合规要求, 保障企业效益绿盟堡垒机产品通过逻辑上将人与目标设备分离, 建立人 -> 主账号 ( 堡垒机用户账号 ) -> 授权 -> 从账号 ( 目标设备账号 )-> 目标设备的管理模式 ; 在此模式下, 通过基于唯一身份标识的集中账号与访问控制策略, 与各服务器网络设备等无缝连接, 实现集中精细化运维操作管控与审计图 2.1 核心思路 2.2 应用场景堡垒机的典型应用场景如下图所示 : 密级 : 完全公开

2 典型应用场景管理对象用户对象 : 管理员运维人员第三方代维人员等设备对象 : 服务器 (Windows/Linux/UNIX) 网络设备安全设备数据库等

8 典型应用场景网络设备和服务器区 UNIX/LINUX Server Windows server 网络设备安全设备 DB 返回结果数据库客户端执行访问操作 :SSH/TELNET/RDP//VNC /FTP/SFTP... 堡垒机审计控制台 WEB 登录返回结果维护人员管理员运维人员第三方代维人员图 2.2 典型应用场景管理对象用户对象 : 管理员运维人员第三方代维人员等设备对象 : 服务器 (Windows/Linux/UNIX) 网络设备安全设备数据库等管理范围集中监控各种运维操作行为协议类型 SSH TELNET RDP VNC FTP SFTP 等部署方式堡垒机采用物理旁路, 逻辑串联的部署思路, 主要通过两步实现 : 1) 通过配置交换机或需要管理设备的访问控制策略, 只允许堡垒机的 IP 可以访问需要管理的设备密级 : 完全公开

2) 将堡垒机连接到对应交换机, 确保所有维护人员到堡垒机 IP 可达达成效果建立集中的运维操作监控平台, 建立基于唯一身份标识的实名制管理, 统一账号管理策略, 实现跨平台管理, 消灭管理孤岛通过集中访问控制与授权, 实现单点登录 (SSO) 和细粒度的命令级访问授权基于用户的审计, 审计到人, 实现从登录到退出的全程操作行为审计, 满足合规管理和审计要求

9 2) 将堡垒机连接到对应交换机, 确保所有维护人员到堡垒机 IP 可达达成效果建立集中的运维操作监控平台, 建立基于唯一身份标识的实名制管理, 统一账号管理策略, 实现跨平台管理, 消灭管理孤岛通过集中访问控制与授权, 实现单点登录 (SSO) 和细粒度的命令级访问授权基于用户的审计, 审计到人, 实现从登录到退出的全程操作行为审计, 满足合规管理和审计要求下面分别从堡垒机的管理员和普通用户的角度, 介绍实现流程与效果 : 管理员制定运维管理策略图 2.3 管理员制定策略 1. 添加设备管理员添加需要管理的设备设备包括服务器网络设备安全设备等维护对象, 支持编辑相关设备信息包括设备类型所属部门设备名称 IP 地址协议类型等 2. 添加从账号管理员添加与设备对应的从账号 ( 即设备的系统账号, 范围包括服务器网络设备等 ), 包括账号名口令等 ; 其中口令可由堡垒机定期自动更新密级 : 完全公开

3. 添加主账号管理员添加主账号 ( 即普通用户账号 ) 主账号是登录堡垒机, 获取目标设备访问权利的唯一账号, 与实际用户身份一一对应, 每个用户一个主账号, 每个主账号只属于一个用户 4. 建立主账号到设备的访问控制与审计策略基于访问权限策略, 管理员建立基于时间 + 主账号 + 目标设备 + 从账号 + 协议类型 + 权限 + 审计等要素的关联管理策略 5.

10 3. 添加主账号管理员添加主账号 ( 即普通用户账号 ) 主账号是登录堡垒机, 获取目标设备访问权利的唯一账号, 与实际用户身份一一对应, 每个用户一个主账号, 每个主账号只属于一个用户 4. 建立主账号到设备的访问控制与审计策略基于访问权限策略, 管理员建立基于时间 + 主账号 + 目标设备 + 从账号 + 协议类型 + 权限 + 审计等要素的关联管理策略 5. 堡垒机对管理员配置行为全过程审计堡垒机自动记录管理员的设备管理账号管理和权限管理的所有行为日志, 以便审计员监控普通用户访问目标设备普通用户登录堡垒机后, 可以实现下述功能 : 可修改堡垒机为其分配的密码 ; 可集中访问各类已授权设备 ; 用户点击设备名称, 无须再次输入密码, 即可实现对各种设备的登录具体实现流程如下 : 1. 登录请求图 2.4 普通用户访问目标设备用户在终端通 HTTPS 登录堡垒机, 输入主账号和口令, 发起访问请求密级 : 完全公开

11 2. 登录认证堡垒机的认证模块对用户的认证请求进行鉴别 3. 检查主账号访问权限认证成功之后, 堡垒机的权限管理模块通过分析主账号属性 ( 包括可访问的目标设备访问权限协议类型等 ) 之后 ; 直观显示主账号可访问的所有设备 4. 访问目标设备用户选择需要访问的目标设备, 进行操作维护如果有违反访问控制策略的行为, 堡垒机基于策略将自动记录阻断及电邮通知管理员 5. 返回访问结果堡垒机将用户访问目标设备的所有操作执行结果, 返回到用户的终端 6. 用户访问行为全程审计堡垒机全程审计用户登录堡垒机 -> 目标设备访问操作 -> 退出系统的所有行为 2.3 系统价值绿盟安全审计系统 - 堡垒机为企业带来的价值主要体现在 : 管理效益所有运维账号在一个平台上进行管理, 账号管理更加简单有序 ; 通过建立用户与账号的唯一对应关系, 确保用户拥有的权限是完成任务所需的最小权限 ; 可视化运维行为监控, 及时预警发现违规操作用户效益运维人员只需记忆一个账号和口令, 一次登录, 便可实现对其所维护的多台设备的访问, 提高工作效率, 降低工作复杂度企业效益降低人为安全风险, 避免安全损失, 满足合规要求, 保障企业效益密级 : 完全公开

12 三. 系统介绍 3.1 系统功能绿盟堡垒机产品主要有三大功能 : 图 3.1 系统功能集中账号管理建立基于唯一身份标识的全局实名制管理, 支持统一账号管理策略, 实现与各服务器网络设备等无缝连接集中访问控制通过集中访问控制和细粒度的命令级授权策略, 基于最小权限原则, 实现集中有序的运维操作管理, 让正确的人做正确的事集中安全审计基于唯一身份标识, 通过对用户从登录到退出的全程操作行为进行审计, 监控用户对目标设备的所有敏感操作, 聚焦关键事件, 实现对安全事件地及时发现预警, 及准确可查密级 : 完全公开

13 3.2 系统架构绿盟安全审计系统 - 堡垒机系列由平台管理模块功能管理模块和平台接口构成总体架构如下图所示 : 图 3.2 系统架构 1. 功能管理模块提供账号管理功能认证管理功能权限管理功能和审计管理功能账号管理 : 提供账号生命周期管理, 包括账号创建账号修改状态调整账号删除账号查询等功能认证管理 : 支持多种认证方式, 包括本地认证 LDAP/RADIUS 认证权限管理 : 提供基于时间用户 / 用户组设备 / 设备组命令关键字危险级别等组合策略, 授权用户可访问的目标设备及可使用的命令审计管理 : 提供对用户通过堡垒机对目标设备的所有操作行为审计事件查询分析和报表管理 2. 平台管理提供对堡垒机平台自身的管理, 包括系统配置管理系统监控及审计日志管理密级 : 完全公开

14 3. 平台接口提供对用户 ( 包括管理员运维人员代维人员等 ) 设备 ( 包括服务器网络设备等 ) 的各种管理接口, 包括账号的同步和导入接口认证接口访问接口四. 产品特性 4.1 集中的运维操作管控平台绿盟堡垒机产品通过集中管控平台整合企业的运维行为管理, 将运维操作集中可视化管控, 通过基于唯一身份标识的集中账号与访问控制策略, 实现与各服务器网络设备等无缝连接, 一站直达, 降低多种设备类型带来的管理复杂度问题, 快速发现和处置违规事件 4.2 跨平台无缝管理绿盟堡垒机产品具有跨平台的运维行为管控能力, 可覆盖多种主流主机操作系统网络设备和运维协议协议类型 :SSH RDP VNC SFTP Telnet FTP 等 ; 操作系统类型 :FreeBSD Solaris Red Hat Linux Windows 等 ; 网络设备类型 :Cisco HUAWEI 等厂商的网络设备 4.3 多维度访问控制与授权绿盟堡垒机产品支持基于角色的访问控制 (RBAC,Role-Based Access Control) 管理员可按照时间部门职责和安全策略等维度, 设置细粒度权限策略, 让正确的人做正确的事, 简化授权管理绿盟堡垒机产品通过集中统一的访问控制和细粒度的命令级授权策略, 确保用户拥有的权限是完成任务所需的最小权限系统支持创建基于时间 IP/IP 段用户 / 用户组设备 / 设备组命令关键字危险级别 ( 分为高中低 ) 等元素的组合条件, 授权用户可访问的目标设备定义高危操作监控策略当用户越权执行特定命令的时候, 实时进行告警阻断, 确保信息系统安全运行密级 : 完全公开

15 4.4 一站式管理绿盟堡垒机产品支持多种认证方式, 包括本地认证 LDAP 认证 RADIUS 认证等运维人员登录绿盟堡垒机产品并经过认证授权后就可以直接访问所有已授权服务器网络设备, 无须再次手工登录, 无须记忆多个账号和口令, 提高用户工作效率改善用户体验 4.5 基于唯一身份标识的审计绿盟堡垒机产品主账号是获取目标设备访问权利的唯一账号, 与实际用户身份一一对应, 确保不同设备系统间行为审计的一致性, 从而准确定位事故责任人, 弥补传统网络安全审计产品无法准确定位用户身份的缺陷 4.6 全程运维行为审计绿盟堡垒机可完整审计运维人员通过账号在什么时间登录什么设备做什么操作返回什么结果什么时间登出等行为, 全面记录运维人员从登录到退出的整个过程, 帮助管理人员及时发现权限滥用违规操作, 准确定位身份, 以便追查取证字符会话审计系统支持审计通过 SSH TELNET 等协议的操作行为, 审计内容包括访问起始和终止时间用户名用户 IP 设备名称设备 IP 协议类型危险等级操作命令等可提供操作内容倍速回放功能图形操作审计系统支持审计通过 RDP VNC 等远程桌面的操作行为, 审计内容包括访问起始和终止时间用户名用户 IP 设备名称设备 IP 协议类型危险等级操作内容等支持通过视频录像方式记录操作内容, 可提供倍速回放进度拖拉等功能文件传输审计系统支持审计通过 SFTP FTP 等协议的操作行为, 审计内容包括访问起始和终止时间用户名用户 IP 设备名称目标设备 IP 协议类型文件名称危险等级操作命令等可提供操作内容倍速回放功能 4.7 基于对象的虚拟审计系统绿盟堡垒机产品提供业界领先的基于对象的策略管理系统, 完全统一的规则配置方式强大而灵活, 实现基于对象的虚拟审计系统 (VAS) 系统针对企业不同的网络环境和安全需求, 基于安全区 IP 地址 ( 组段 ) 规则( 组 ) 时间动作等对象, 制定不同的规则和响应方式, 就像一台设备上虚拟出很多虚拟审计系统, 每个虚拟审计系统分别执行不同的规密级 : 完全公开

中低 ) 等 ; 审计报表 : 系统提供详细的多种类别的报表模板, 可提供基于操作时长高危操作阻断操作等类别的用户操作 TOP10 系统支持生成: 日周月年度综合报表, 报表支持 MS Word Html 等格式导出,

16 则集, 实现面向不同部门职能不同业务应用不同策略的智能化安全审计如下图 4.1 所示 : 图 4.1 虚拟审计系统 4.8 审计信息零管理绿盟堡垒机产品支持日志零管理技术日志自动维护 : 根据日志自动维护计划的设置, 系统在指定时间自动进行相应的日志数据备份日志查询 : 系统提供多种审计日志查询条件, 包括时间 IP 地址用户名设备名关键字危险等级 ( 高中低 ) 等 ; 审计报表 : 系统提供详细的多种类别的报表模板, 可提供基于操作时长高危操作阻断操作等类别的用户操作 TOP10 系统支持生成: 日周月年度综合报表, 报表支持 MS Word Html 等格式导出, 降低维护费用与管理员的工作强度 4.9 强大丰富的管理能力支持 B/S 管理方式,Web 管理灵活方便, 适合在任何 IP 可达地点远程管理绿盟堡垒机产品提供带外管理 (OOB) 功能, 解决远程应急管理的需求, 减少用户运营成本提高运营效率减少宕机时间提高服务质量 ; 4.10 方便灵活的可扩展性支持多个硬件管理口, 管理口即插即用, 提供对多个区域网段的同时管理能力 ; 密级 : 完全公开

17 支持通过发送邮件日志数据库记录打印机输出运行自定义命令等响应方式及时报警 4.11 高可靠的自身安全性绿盟堡垒机产品采用专门设计的安全可靠高效的硬件平台该硬件平台采用严格的设计和工艺标准, 保证高可靠性 ; 独特的硬件体系结构大大提升处理能力 ; 操作系统经过优化和安全性处理, 保证系统的安全性 ; 绿盟堡垒机产品支持热插拔的冗余双电源, 避免电源硬件故障时设备宕机, 具有更强的高可用性 ; 绿盟堡垒机产品采用强加密的 SSL 传输控制命令, 完全避免可能存在的嗅探行为, 确保数据传输安全 4.12 部署简单方便绿盟堡垒机产品采用物理旁路, 逻辑串联的模式, 不改变网络拓扑结构, 不需要在终端安装客户端软件, 不改变管理员运维人员的操作习惯, 不影响正常业务运行五. 结论通过部署绿盟堡垒机产品, 可帮助企业建立面向用户的集中有序主动的运维安全管控平台, 通过基于唯一身份标识的集中账号与访问控制策略, 与各服务器网络设备等无缝连接, 实现集中精细化运维操作管控与审计, 降低人为安全风险, 避免安全损失, 满足合规要求, 保障企业效益密级 : 完全公开

NSF-PROD-SAS-H-V5.6-SL-解决方案.doc

NSF-PROD-SAS-H-V5.6-SL-解决方案.doc 绿盟安全审计系统堡垒机解决方案文档编号请输入文档编号密级内部使用版本编号 Ver1.6 日期版本变更记录时间版本说明修改人 2011/3/25 V1.6 编写蒲新宇适用性声明本文档编写了绿盟安全审计系统堡垒机 (SAS-H) 的解决方案, 供大家参考目录一. 背景... 1 二. IT 安全运维的变革刻不容缓... 1 三. 解决方案... 3 3.1 目标... 3 3.2 安全审计系统部署...