目录 1 背景产品介绍概念和术语产品描述简介集中的设备管理平台身份认证单点登录授权及访问控制操作审计

Size: px

Start display at page:

Download "目录 1 背景产品介绍概念和术语产品描述简介集中的设备管理平台身份认证单点登录授权及访问控制操作审计"

折缪
5 years ago
Views:

1 深圳竹云科技有限公司竹云安全内控管理平台白皮书 Bamboocloud Network Security Control Gateway White Paper 编号 :BBC-WP-NSCG 深圳竹云科技有限公司 2018 年 4 月

2 目录 1 背景产品介绍概念和术语产品描述简介集中的设备管理平台身份认证单点登录授权及访问控制操作审计账号生命周期管理密码同步特点和优势灵活扩展的强认证传输通信加密技术数据多重加密技术历史密码保存防暴力破解及超时机制热备及高可用性系统架构整体架构兼容性运行环境主要功能介绍资源设备的单点登录资源设备及账号快速导入资源设备发现功能访问控制管理快速授权会话超时管理审计管理策略管理内置调度任务引擎内置工作流引擎数据权限控制授权机构管理物理组群 Group 管理支持物理账号管理资源账户密码管理... 15

3 支持组群 Group 快照功能支持账号快照功能支持黑名单会话账号命令策略告警功能支持对 HTTP/HTTPS 协议支持各种数据库协议支持 SFTP 协议支持 SCP 协议实现多服务器间的文件双向传输支持 RDP 协议剪切板磁盘映射授权支持应用发布机支持日志导出 AB 角运维短信认证运维公钥认证运维自动化运维产品部署部署特点部署结构图双机热备部署分布式部署... 19

1 背景信息化技术的飞速发展给政府机构银行证券企事业单位带来了革命性的改革和变化越来越多的企业通过提升信息化水平来提高办事效率和市场反应速度以便更具竞争力在信息化技术越来越普遍应用的同时, 企业都面临着一些同样的问题 : 越来越复杂的机房环境中存在着大量的计算机及网络安全设备, 包括各种服务器主机交换机路由器防火墙数据库中间件等 ; 这些设备来源于不同的厂商,

4 1 背景信息化技术的飞速发展给政府机构银行证券企事业单位带来了革命性的改革和变化越来越多的企业通过提升信息化水平来提高办事效率和市场反应速度以便更具竞争力在信息化技术越来越普遍应用的同时, 企业都面临着一些同样的问题 : 越来越复杂的机房环境中存在着大量的计算机及网络安全设备, 包括各种服务器主机交换机路由器防火墙数据库中间件等 ; 这些设备来源于不同的厂商, 采用不同的技术架构, 没有统一的行之有效的技术手段来集中管理 ; 机房管理员普遍偏少, 面对的管理工作越来越繁杂, 如何有效优化机房设备管理过程减轻设备管理员工作复杂程度和出错几率, 长期以来一直困扰着机房设备管理员和管理者 ; 不同设备认证登录方式不一, 缺乏像应用系统那样建立一套集中认证登录账号管理授权的安全体系 ; 大量设备的账号密码设置不满足机房制度要求, 管理员既无法有效记忆和使用这些账号密码, 也没有有效手段控制这些账号密码的无序传播 ; 管辖范围内的设备账号情况无法统计, 不能快速获取所有资源上的账号数量, 使用情况 ; 不少企业委托厂商或外包人员管理部分机房设备, 但已有的技术手段既无法为这些人员分配相应的设备管理权限, 也无法控制和监督他们进入机房维护设备的行为 ;

越来越多的企业认识到, 安全威胁不仅来自外部, 更多的更有威胁的安全事故来源于企业内部, 机房设备容纳着企业最核心的业务数据, 而现有的物理监控安全防护无法精确定位还原虚拟账号和实体自然人之间的对应关系, 也没有可供查询和再现的真实现场记录, 给机房设备安全工作带来极大的漏洞 ; 国际上有萨班斯法案要求企业对自身的经营管理活动要有控制和审计手段, 国内也有相关行业的 4A

5 越来越多的企业认识到, 安全威胁不仅来自外部, 更多的更有威胁的安全事故来源于企业内部, 机房设备容纳着企业最核心的业务数据, 而现有的物理监控安全防护无法精确定位还原虚拟账号和实体自然人之间的对应关系, 也没有可供查询和再现的真实现场记录, 给机房设备安全工作带来极大的漏洞 ; 国际上有萨班斯法案要求企业对自身的经营管理活动要有控制和审计手段, 国内也有相关行业的 4A 规范及相应的企业内控管理要求, 在机房设备日常管理维护过程中, 怎样满足这些合规性的内控要求, 也管理层急迫需要考虑的问题为了解决这些新形势下的管理和安全问题, 竹云安全内控管理平台 (NSCG) 应运而生它有效改善优化了机房设备管理过程, 并通过集中认证统一授权资源账号生命周期管理单点登录密码同步操作审计等技术手段大大加强了设备的安全性及管理过程的安全性 ; 既实现了对机房设备的集中安全管理, 也实现了对使用机房设备人员的身份权限操作的集中安全管理 2 产品介绍 2.1 概念和术语 NSCG: 竹云安全内控管理平台用户 : 竹云安全内控管理平台用户资源 : 竹云安全内控管理平台接管的设备及应用

6 账号 : 竹云安全内控管理平台接管的设备及应用的用户 2.2 产品描述简介竹云安全内控管理平台 (NSCG) 是一套实现了对机房设备资源账号及使用设备人员的集中管理平台, 具有极高的安全防护能力和预防风险能力竹云公司以自身对应用系统领域身份管理思想的深刻理解和国际领先的技术实力, 构建了对人员设备管控的整体解决方案, 包括 : 解决了对机房硬件设备无法实现统一的强认证难题, 而且支持灵活扩展多种认证方式 ; 实现了对机房硬件设备的单点登录, 设备管理员只需要记忆一套账户密码即可直接访问和使用有权管理的目标设备 ; 加强了设备密码的安全性, 可按照企业机房密码管理制度及安全策略自动定期更换密码, 同时避免了设备使用初始密码单一密码低强度密码密码遗忘密码记忆介质泄密密码无序传播等问题 ; 优化和安全了设备管理过程, 同时减少了设备管理员频繁的登录密码验证操作, 使设备管理员专致于设备自身的事务处理 ; 能够为每一个设备管理员或外部使用人员分配实名制账号, 解决了单一虚拟的账号无法对应到实体自然人身份的问题 ; 实现了资源账号的生命周期管理, 通过平台来创建, 删除, 修改资源账号, 并可根据不同维度对所辖范围内的资源账号的健康情况进行审计基于具体的访问协议, 详细记录设备管理员对设备的每一步操作, 支持实时监控, 支持审计回放, 可供事后审查追溯或内部培训提供依据

7 2.2.2 集中的设备管理平台竹云安全内控管理平台 (NSCG) 不仅实现了对目标被管理设备基本信息的集中管理, 如 :IP 地址端口位置信息账号密码访问方式等 ; 还实现了对目标设备访问过程的集中管理, 降低了设备管理员工作复杂度, 提高了工作效率, 增强了目标设备的安全型

8 2.2.3 身份认证机房设备由于自身的物理特性, 使得在应用软件领域中得到广泛使用的集中认证强认证措施难以实施, 也使得企业无法实现其整体的 IT 目标竹云安全内控管理平台 (NSCG) 作为所有被管理目标设备的访问门户, 不仅支持普通的用户名 / 密码认证, 内置了多家厂商的动态令牌认证, 经平台认证通过后访问相关目标设备无需再次认证, 即实现了通过网络安全管控平台统一了所有被管理目标设备的认证并支持强认证单点登录机房设备数量众多, 对账号密码强度要求又比较高, 使得设备管理员难以记忆和使用众多设备账号密码, 竹云安全内控管理平台 (NSCG) 首次提出并实现了机房计算机网络安全设备的单点登录, 使得设备管理员仅需记忆一套账号密码仅需登录一次即可访问到有权访问的目标设备, 既减少了设备管理员的工作复杂度提高效率, 还保证了目标设备账号密码的安全满足强度要求, 同时减少了目标设备特权账号密码无序扩散及泄露的风险授权及访问控制通过竹云安全内控管理平台 (NSCG) 中的用户管理设备资源管理账号管理及策略管理, 可以精确控制谁在什么时间使用什么设备账号访问什么设备, 真正实现了将虚拟的设备特权账号对应到实体的自然人身份上, 还可以提高被访问的目标设备的安全防护级别操作审计由于众多机房被管理目标物理设备的独有特性, 之前对设备的访问操作日志都是以文字方式存放在各个目标设备自身, 很难集中管理和用于审计竹云安全内控管理平台 (NSCG) 可以将所有通过平台管理和访问的目标设备日志以基于协议记录的视频方式存放在平台设备内, 既集中管理方便查看, 又宜于审计满足合规性要求, 还可以作为培训和追溯教材由于采用了特有的基于协议的记录方式和压缩算法, 不仅实现了不操作不录制, 还使得录制的日志远远小于普通的视频文件大大减少了对磁盘空间的占用

9 2.2.7 账号生命周期管理竹云安全内控管理平台 (NSCG) 提供了集中的账号管理功能, 用户可以通过管理平台对某个目标资源或一组资源进行创建账号, 删除账号, 修改账号等操作并且通过相应策略及规则配置, 平台将会对所辖范围内资源中的账号定期进行健康检查, 避免私建账号孤儿账号密码变更等潜在风险密码同步竹云安全内控管理平台 (NSCG) 内置的特权账号密码同步模块, 可以通过策略设置, 自动定期完成对提供外部接口的目标设备特权账号密码的同步修改这样既可以达到对目标设备访问无法旁路只能通过平台完成的目的, 还能让设备管理员真正的不再关心记忆保存防护设备特权账号密码从而专注于纯粹的目标设备内部业务处理 ; 既能满足企业内部定期更换密码的制度要求, 还可以通过独有的多重加密技术大大提高目标设备密码的安全性密码同步不仅支持同步修改目标设备内置的账号密码, 还支持使用目标设备外部账号的密码 ( 例如纳入 AD 域管理使用域账号访问登录的服务器主机的设备账号密码存储在被管里设备外部 ) 2.3 特点和优势灵活扩展的强认证竹云安全内控管理平台 (NSCG) 自身支持多种认证方式, 既包括普通的用户名密码方式, 同时内置了多家厂商的动态令牌认证, 还可以实现用户名密码 + 动态口令的组合认证等多种多因素认证, 具有极大地认证安全性灵活性及扩展性传输通信加密技术由于平台管理的目标设备都是企业其机房核心设备, 运行着企业核心业务, 因此不管是对目标设备还是对平台的访问管理, 其要保证数据传输过程中的安全竹云安全内控管理平台 (NSCG) 对数据传输层的安全极为重视, 基于 LINUX/UNIX 安全内核自身的安全服务基础上, 融合了安全协议加密算法, 可以保障客户端平台设备目标设备之间传输数据的绝对安全

10 2.3.3 数据多重加密技术竹云安全内控管理平台 (NSCG) 不仅使用加密通信协议对传输层的数据进行加密进行传输, 还对存储在平台内部的目标被管理设备相关信息作了多重加密处理, 大大提高了存储数据的安全性, 为目标设备的账号密码存放和使用提供了安装保证历史密码保存竹云安全内控管理平台 (NSCG) 有多种对目标设备特权账号密码的安全保存和快速恢复机制, 但为了避免因不可抗因素导致的密码丢失或特殊原因下需要追溯密码同步轨迹, 因此平台对自动同步的设备密码有完整的历史记录防暴力破解及超时机制为了防止对平台自身的暴力破解, 在默认使用用户名 + 密码认证的情况下, 尝试登录超过指定次数的客户端将被锁定, 同时也满足某些特殊领域企业的安全保密要求为了防止某些情况下的隐患和风险, 例如操作用户登入目标设备后暂时离开或忘记关闭操作窗口, 竹云安全内控管理平台 (NSCG) 加入了相应的超时处理机制, 超过指定时间没有操作相应的操作窗口将自动退出关闭热备及高可用性作为管理企业所有计算机与网络安全设备的平台设备, 如何提供稳定的不间断的服务至关重要竹云安全内控管理平台 (NSCG) 支持双机热备, 一旦主机因某些原因无法提供服务, 从机将自动接管成为主机, 从而提供高可用性和高可靠性的服务 2.4 系统架构整体架构通常, 安全内控管理平台服务器与内部业务系统部署在同一个物理区域内运维人员通过 pc 等终端设备通过身份认证后, 根据安全内控管理平台管理员给其分配的资源权限, 通过列表选择登录远程资源主机安全内控管理平台架构如下图所示 :

..) 数据库群图 1 安全内控管理平台架构图管理平台协议访问入口管理 API 多因素认证模块身份管理模块访问控制模块

11 管理员员工代维用户审计用户防火墙安全运维平台服务器群 (UNIX/LINUX/WINDOWS...) 主机群 (AS400,OS390...) 安全网络设备群 ( 路由器, 交换机, 防火墙,IDS/IPS...) 数据库群图 1 安全内控管理平台架构图管理平台协议访问入口管理 API 多因素认证模块身份管理模块访问控制模块审计引擎工作流引擎协议处理引擎应用服务器 (WebLogic,WebSphere,Jboss...) 数据库 (Oracle,DB2,MySQL...) 图 2 安全内控管理平台逻辑架构

12 安全内控管理平台由以下服务层组成 : 接管设备层提供对服务器网络设备安全设备数据库应用系统等资源的接入服务层协议适配器支持 telnet,ssh,ftp,rdp,x11,http(s),5250,3270 等协议, 通过该层的相应协议适配器与接管设备层的具体资源设备进行对接管理支撑层中间件本层提供了丰富的管理服务组件, 包括管理库柔性规则引擎监控模块通讯服务组件数据服务组件安全管理模块等运维管理层该层为对外服务层, 通过该层为用户提供相应的管理服务和运维服务兼容性操作系统兼容性 : 支持在 General Unix(IBM AIX HP-UNIX Solaris SCO UNIX 等 ) General Linux(Redhat CentOS SUSE Debian 等 ) 上部署数据库兼容性 : 支持 MySQL Oracle DB2 等主流数据库作为数据存储中间件兼容性 : 支持 Weblogic Websphere JBoss 等主流中间件产品作为应用服务器协议兼容性 : 支持对 Telnet SSH Rlogin FTP/SFTP SCP RDP X-Windows 5250/5250SSL 3270/3270SSL HTTP/HTTPS SqlPlus dbaccess 等协议运维控制及操作审计资源兼容性 : 支持各版本 Windows General Unix(IBM AIX HP-UNIX Solaris SCO UNIX 等 ) General Linux(Redhat SUSE Debian FreeBSD 等 ) AS400 OS390 等主机系统 ; 支持 VT100 VT102 VT220 ANSI XTERM windows CE 等终端设备 ; 支持华为 H3C Cisco Juniper 等网络设备及安全设备浏览器兼容性 : 支持 IE 和谷歌浏览器, 及其它主流浏览器运维工具兼容性 : 支持各种用户现场各种运维客户端工具, 如 CMD NetTerm SecureCRT XShell CuteFTP Remote Desktop PComm WinScp 客户端等同时支持通过 WEB 的方式登录资源运维认证方式兼容性 : 支持多种认证方式, 支持静态口令 AD 认证动态口令 OTP 认证

及其他认证方式的扩展内置 Vasco RSA 动态口令认证服务模块 2.4.3 运行环境机箱 :2U 机箱 168I3 面板接口 : 竹云科技铝面板,6 个网口,1 个 COM 口电源 :350W 主板 :FWA-4210/C206,6Gbe,(1+1)A CPU:Core i7 2600,3.

13 及其他认证方式的扩展内置 Vasco RSA 动态口令认证服务模块运行环境机箱 :2U 机箱 168I3 面板接口 : 竹云科技铝面板,6 个网口,1 个 COM 口电源 :350W 主板 :FWA-4210/C206,6Gbe,(1+1)A CPU:Core i7 2600,3.1GHz 内存 :8G 金士顿硬盘 :2T*2 Raid1 2.5 主要功能介绍图 3: 安全内控管理平台主要功能建立安全内控管理平台, 将运维人员离散维护主机及网络设备的行为统一到安全内控管理平台, 弥补运维重监轻控的不足, 加强运维的控制力 : 一方面通过集中运维, 减少因离散操作导致的失误, 提高工作效率, 如新的安全策略在主机上的统一应用等 ; 另一方面

14 通过对所有用户在主机上的操作行为进行监控与记录, 实时了解用户的操作行为, 发现风险及时中止用户的操作, 并记录下用户所有的操作行为, 便于进行事后的审查与取证资源设备的单点登录运维人员仅登录认证一次后, 无需二次认证可以使用所授权资源设备不改变用户原使用习惯, 支持多种客户端运维工具资源设备及账号快速导入支持资源设备以及账号的模板化导入, 人工将设备以及帐号信息写入模板, 通过模板批量导入, 能够准确的完成设备以及账号信息的录入资源设备发现功能支持资源设备发现功能, 可自动发现目标网段内的设备访问控制管理授予运维人员对某些设备资源拥有操作权限支持用户授权用户组授权对用户授权的信息可以进行时间命令 ip 认证方式等策略控制快速授权支持快速授权, 直接一个文件导入用户密码用户组用户姓名资产 IP 账号主机标签主机部门账户名称密码协议等对应的授权关系会话超时管理可以设置会话的超时时间, 在设置时间内无操作, 会话自动退出审计管理从用户资源运维操作等多维度进行审计报表包括日志 ( 登录日志会话日志命令日志回放日志 ) 的审计报表可以根据运维时间主机运维人员等维度生成统计报告策略管理提供密码策略, 时间策略, 命令策略, 认证方式策略等如针对用户认证时的认证级别, 提供不同的级别的主机访问权限内置调度任务引擎平台提供内置的调度作业引擎, 用户可通过设置作业启动时间频度等参数方便的调

15 度各种作业 ; 例如 : 批量重置密码作业批量提取资源群组作业批量提取资源账号作业内置工作流引擎平台提供内置的工作流引擎, 用户可通过该引擎对重要的功能及操作增加工作量审批例如 : 用户可自服务自助申请访问资源, 然后由管理员对其进行复核, 复核通过后该用户才拥有该访问权限数据权限控制平台支持数据权限的控制不同机构的用户只能查看分配或申请其机构范围内的数据例如 : 子机构用户只能为该机构下用户分配资源 ; 子机构审计员只能看到该机构下用户的操作记录 ; 而审计员可以看到全行所有用户的审计记录授权机构管理平台支持跨机构权限分配, 方便的扩展例如 ; 某用户属于分行, 总行临时借调其同时负责总行资源运维, 故可通过该功能扩大其机构权限物理组群 Group 管理可通过 Web Console 直接创建删除修改单个或多个目标端资源的组群 Group 信息, 无需在目标端逐台管理支持物理账号管理可通过 Web Console 直接创建删除修改单个或多个目标端资源的账号信息, 无需在目标端逐台管理资源账户密码管理对远程资源主机上账户密码的生命周期管理对于特权账户的密码可选择密码信封保存, 可定期自动同步目标管理设备的密码, 支持密码备份功能支持组群 Group 快照功能平台提供对所辖范围内所有资源的组群 Group 快照功能通过该功能, 审计用户可对不同时点的组群快照变化进去进行比照, 以发现私建组群或非法组群等安全隐患支持账号快照功能平台提供对所辖范围内所有资源的账号快照功能通过该功能, 审计用户可对不同时

16 点的账号快照变化进去进行比照, 以发现私建账号或非法账号等安全隐患, 防止非法扩展资源账号权限支持黑名单会话账号命令策略告警功能可以配置会话账号命令告警策略, 当运维人员登陆当运维人员登陆高级资源登陆特权账号 ( 如 root) 执行高危命令( 如 reboot) 时, 会以邮件短信等方式把告警信息发送给管理员支持对 HTTP/HTTPS 协议平台对 HTTP/HTTPS 协议提供支持通过该协议可对 Websphere Weblogic Console 及各种通过 http(s) 访问的网络设备进行管理支持各种数据库协议平台对各种数据库 (Oracle,DB2,Informix,Sysbase,SQL Server,Mysql 等 ) 协议提供支持平台同时支持命令模式和图形模式例如 : 通过 sqlplus 访问 Oracle 数据库, 无需输入数据库用户密码, 并可审计其所有 SQL 语句的输入及输出支持 SFTP 协议平台提供对 SFTP 协议的支持, 实现安全的文件传输支持 SCP 协议实现多服务器间的文件双向传输平台提供对 SCP 协议的支持, 实现从某台服务器到其他多台服务之间双向的 SCP 协议传输客户可对 NSCG 接管后的目标资源间进行文件传输, 从而可实现通过文件服务器上大文件对不同目标服务器的传输 ; 该模式将不会对 NSCG 的性能和存储造成压力支持 RDP 协议剪切板磁盘映射授权平台提供了对 RDP 协议登录的目标设备剪切板和磁盘映射的支持, 同时管理员可以通过授权选项控制运维人员对运维资源的文件数据的传输, 保证运维的灵活性和安全性支持应用发布机平台可以接管一台应用发布机 (Windows server 2008), 可以对应用发布机上的客户端工具进行代填登陆

17 支持日志导出支持系统日志及操作日志的导出 AB 角运维针对安全级别高的运维资源, 用户可以选择 AB 角的方式进行登录运维, 即双人双岗,A 角操作,B 角审批当 A 角需要运维时, 需要 B 角的确认批复才可以登录运维,B 角不必须同 A 角一起到机房去现场看着运维 B 角可以在 WEB 管理台上批复, 是否允许登录, 同时 B 角还可以通过在线监控的方式实时查看 A 角的运维过程, 当发现有非法操作的时候, 可以实施阻断其操作从而实现双人双岗, 灵活控制以及高效运维短信认证运维平台可以接入短信猫设备或短信网关, 针对安全级别高的运维资源, 用户可以选择短信认证的方式进行登录运维, 即双重认证, 登录账号的密码及短信验证码都正确才会登录成功公钥认证运维针对以 SSH 协议登录的认证方式, 通过配置公钥信任, 无需在平台登记设备账号密码即可完成单点登录自动化运维用户可通过 Web Console 对单个或多个目标资源运程执行 Script 脚本该功能支持对脚本的逐条执行完整执行两种模式 3 产品部署 3.1 部署特点竹云安全内控管理平台 (NSCG) 部署简单, 既无需在客户端机器上安装软件工具, 也不用在目标被管理设备上安装任何代理或插件, 不改变目标设备的任何配置同时, 由于有集中管理身份映射密码同步等技术手段作保障, 使设备管理员也无需关心记忆使用目标设备的账号密码, 实现了旁路接入唯一入口, 使得平台设备只需要接入机房任一可用网口, 即可达到管理所有目标设备的目的, 对机房现有网络环境和布局没有任何改变

18 3.2 部署结构图双机热备部署图 4 双机热备部署示意图

19 3.2.2 分布式部署图 5 分布式部署示意图

册子0906

册子0906 IBM SelectStack ( PMC v2.0 ) 模块化私有云管理平台是跨主流虚拟化技术的统一资源云管理平台 01 亮点 : 快速可靠地实现集成化私有云管理平台 02/03 丰富的功能支持企业数据中心云计算扩展性强 : 简单易用 : 04/05 功能丰富 : 06/07 为什么选择 IBM SelectStack (PMC v2.0)? 快速实现价值提高创新能力降低 IT 成本降低复杂度和风险

目录 1 背景 产品介绍 概念和术语 产品描述 简介 集中的设备管理平台 身份认证 单点登录 授权及访问控制 操作审计

目录 1 背景产品介绍概念和术语产品描述简介集中的设备管理平台身份认证单点登录授权及访问控制操作审计