NSF-PROD-SAS-H-V5.6-SL-解决方案.doc

Size: px

Start display at page:

Download "NSF-PROD-SAS-H-V5.6-SL-解决方案.doc"

崎熊
5 years ago
Views:

1 绿盟安全审计系统堡垒机解决方案文档编号请输入文档编号密级内部使用版本编号 Ver1.6 日期

2 版本变更记录时间版本说明修改人 2011/3/25 V1.6 编写蒲新宇适用性声明本文档编写了绿盟安全审计系统堡垒机 (SAS-H) 的解决方案, 供大家参考

3 目录一. 背景... 1 二. IT 安全运维的变革刻不容缓... 1 三. 解决方案目标安全审计系统部署部署图产品配置部署说明达成效果企业效益产品介绍产品功能产品特点 I -

4 插图索引图 2.1 用户与账号的关系现状... 2 图 3.1 核心思路... 4 图 3.2 典型应用场景... 5 图 3.3 系统功能... 8 图 3.4 虚拟审计系统 I -

5 一. 背景随着信息化的发展, 企事业单位 IT 系统的不断发展, 网络规模和设备数量迅速扩大, 建设重点逐步从网络平台转向深化应用提升效益为特征的运行维护阶段 ; IT 系统运维与安全管理正逐渐走向融合信息系统的安全运行直接关系企业效益, 构建一个强健的 IT 运维安全管理体系对企业信息化的发展至关重要, 对运维的安全性提出更高要求二. IT 安全运维的变革刻不容缓目前, 面对日趋复杂的 IT 系统, 不同背景的运维人员已给企业信息系统安全运行带来较大潜在风险, 主要表现在 : 1. 账号管理无序, 暗藏巨大风险 u 多个用户使用同一个账号这种情况主要出现在同一工作组中, 由于工作需要, 同时系统管理账号唯一, 因此只能多用户共享同一账号如果发生安全事故, 不仅难以定位账号的实际使用者和责任人, 而且无法对账号的使用范围进行有效控制, 存在较大安全风险和隐患 u 一个用户使用多个账号目前, 一个维护人员使用多个账号是较为普遍的情况, 用户需要记忆多套口令同时在多套主机系统网络设备之间切换如果设备数量达到几十甚至上百时, 维护人员进行一项简单的配置, 则需要分别逐一登录相关设备, 其工作量和复杂度成倍增加, 直接导致后果是工作效率低下管理繁琐甚至出现误操作, 影响系统正常运行密级 : 内部使用

6 图 2.1 用户与账号的关系现状 2. 粗放式权限管理, 安全性难以保证大多数企事业单位的 IT 运维均采用设备操作系统自身的授权系统, 授权功能分散在各设备和系统中管理人员的权限大多是粗放式管理, 由于缺少统一的运维操作授权策略, 授权粒度粗, 无法基于最小权限分配原则管理用户权限, 难以与业务管理要求相协调 ; 因此, 导致出现如 : 多个人员拥有相同系统管理员权限权限过大和内部操作权限滥用等诸多问题, 如果不及时解决, 信息系统的安全性难以充分保证 3. 设备自身日志粒度粗, 难以有效定位安全事件在运维工作中, 大多是通过各网络设备操作系统的系统日志进行监控审计, 但是由于各系统自身审计日志分散内容深浅不一, 且无法根据业务要求, 制定统一审计策略 ; 因此, 难以及时通过系统自身审计发现违规操作行为和追查取证 4. 第三方代维人员带来安全隐患目前, 越来越多的企业选择将非核心业务外包给设备商或代维公司, 在享受便利的同时, 由于代维人员流动性大缺少操作行为监控带来的风险日益凸现 ; 因此, 需要通过严格的权限控制和操作行为审计, 加强对代维人员的行为管理, 从而达到消隐患避风险的目的 5. 传统网络安全审计系统已无法满足运维审计和管理的要求 u 无法审计运维加密协议远程桌面内容为了加强信息系统风险内控管理, 一些企业已部署网络安全审计系统, 希望达到对运维人员操作行为监控的目的由于传统网络安全审计的技术实现方式和系统架构 ( 主要通过旁路镜像或分光方式, 分析网络数据包进行审计 ), 导致该系统只能对一些非加密的运维操作协议进行密级 : 内部使用

7 审计, 如 telnet; 却无法对维护人员经常使用的 SSH RDP 等加密协议远程桌面等进行内容审计, 无法有效解决对运维人员操作行为的监管问题 u 基于 IP 的审计, 难以准确定位责任人大多数网络安全审计系统, 只能审计到 IP 地址, 难以将 IP 与具体人员身份准确关联, 导致发生安全事故后, 如何追查责任人, 反而又成为新的难题 6. 面临法规遵从的压力为加强信息系统风险管理, 政府金融运营商等陆续发布信息系统管理规范和要求, 如信息系统等级保护商业银行信息科技风险管理指引企业内部控制基本规范等中均要求采取信息系统风险内控与审计技术手段上述风险带来的运维安全风险和审计监管问题, 已经成为企业信息系统安全运行的严重隐患, 制约业务发展, 影响企业效益企业 IT 运维安全管理的变革已刻不容缓! 三. 解决方案 3.1 目标绿盟安全审计系统 - 堡垒机系列 (NSFOCUS SAS-H Series, 以下简称堡垒机或 SAS-H) 提供一套先进的运维安全管控与审计解决方案, 目标是帮助企业转变传统 IT 安全运维被动响应的模式, 建立面向用户的集中主动的运维安全管控模式, 降低人为安全风险, 满足合规要求, 保障企业效益绿盟安全审计系统 - 堡垒机通过逻辑上将人与目标设备分离, 建立人 -> 主账号 ( 堡垒机用户账号 )-> 授权 -> 从账号 ( 目标设备账号 )-> 目标设备的管理模式 ; 在此模式下, 通过基于唯一身份标识的集中账号与访问控制策略, 与各服务器网络设备等无缝连接, 实现集中精细化运维操作管控与审计密级 : 内部使用

8 图 3.1 核心思路 3.2 安全审计系统部署部署图堡垒机的典型应用场景如下图所示 : 密级 : 内部使用

9 典型应用场景网络设备和服务器区 UNIX/LINUX Server Windows server 网络设备安全设备 DB 返回结果数据库客户端执行访问操作 :SSH/TELNET/RDP//VNC /FTP/SFTP... 堡垒机审计控制台 WEB 登录返回结果维护人员管理员运维人员第三方代维人员页面 1 图 3.2 典型应用场景 u 管理对象用户对象 : 管理员运维人员第三方代维人员等设备对象 : 服务器 (Windows/Linux/UNIX) 网络设备安全设备数据库等 u 管理范围集中监控各种运维操作行为 u 协议类型 SSH TELNET RDP VNC FTP SFTP 等密级 : 内部使用

10 3.2.2 产品配置 u 硬件配置类别尺寸重量型号 528*426*88mm(2U) 12 千克 NSFOCUS SAS H1100A 电源 V, AC,(50-60HZ),5-8A,350W 可选交流单电源交流冗余电源直流冗余电源接口最多 6 个 1000M 接口 ( 单模光纤接口多模光纤接口千兆以太网可选 ), 其中 4 个千兆电口 +2 个 SFP 插槽串口 1 个 RJ45 串口存储内置 1T SATA 硬盘工作温度 0~40 非运行温度 -20~65 相对湿度高度执行辐射标准 5%~95%, 非凝露海拔 0-5,000 米 Class A,EN55022,FCC Part15 u Web 控制台要求类别要求操作系统 Windows XP/2003/2008 Redhat 5.5 必须安装 JAVA 浏览器类型 IE8 / IE7/IE6/ Firefox3 CPU 无特殊要求内存硬盘显示卡网卡建议大于等于 512M 无特殊要求 Windows 兼容系列显示卡,1024X768 分辨率 Windows 兼容 10/100MB 网卡密级 : 内部使用

11 3.2.3 部署说明根据安全风险分析安全目标和设计原则, 我们在充分利用现有资源尽量在少投入少改动的基础上, 建议使用以下的安全解决方案堡垒机采用物理旁路, 逻辑串联的部署思路, 主要通过两步实现 : 1) 通过配置交换机或需要管理设备的访问控制策略, 只允许堡垒机的 IP 协议及端口可以访问需要管理的设备 2) 将堡垒机连接到对应交换机, 确保所有维护人员到堡垒机 IP 可达达成效果建立集中的运维操作监控平台, 建立基于唯一身份标识的实名制管理, 统一账号管理策略, 实现跨平台管理, 消灭管理孤岛通过集中访问控制与授权, 实现单点登录 (SSO) 和细粒度的命令级访问授权基于用户的审计, 审计到人, 实现从登录到退出的全程操作行为审计, 满足合规管理和审计要求企业效益绿盟安全审计系统 - 堡垒机为企业带来的价值主要体现在 : u 管理效益所有运维账号在一个平台上进行管理, 账号管理更加简单有序 ; 通过建立用户与账号的唯一对应关系, 确保用户拥有的权限是完成任务所需的最小权限 ; 可视化运维行为监控, 及时预警发现违规操作 u 用户效益运维人员只需记忆一个账号和口令, 一次登录, 便可实现对其所维护的多台设备的访问, 提高工作效率, 降低工作复杂度 u 企业效益降低人为安全风险, 避免安全损失, 满足合规要求, 保障企业效益密级 : 内部使用

3.3 产品介绍 3.3.1 产品功能绿盟安全审计系统 - 堡垒机主要有三大功能 : 图 3.

12 3.3 产品介绍产品功能绿盟安全审计系统 - 堡垒机主要有三大功能 : 图 3.3 系统功能 u 集中账号管理堡垒机建立基于唯一身份标识的全局实名制管理, 支持统一账号管理策略, 实现与各服务器网络设备等无缝连接, 集中管理主账号 ( 普通用户 ) 从账号( 目标设备系统账号 ) 及相关属性 u 集中访问控制堡垒机通过集中统一的访问控制和细粒度的命令级授权策略, 确保用户拥有的权限是完成任务所需的最小权限, 实现集中有序的运维操作管理, 防止非法越权访问事件发生 u 集中安全审计基于唯一身份标识, 堡垒机通过对用户从登录到退出的全程操作行为审计, 监控用户对被管理设备的所有敏感关键操作, 提供分级告警, 聚焦关键事件, 实现对安全事件及时预警发现准确可查密级 : 内部使用

13 3.3.2 产品特点 1. 集中的运维操作管控平台堡垒机通过集中管控平台整合企业的运维行为管理, 将运维操作集中可视化管控, 通过基于唯一身份标识的集中账号与访问控制策略, 实现与各服务器网络设备等无缝连接, 一站直达, 解决多种设备类型带来的管理问题, 快速发现和处置违规事件 2. 跨平台无缝管理堡垒机具有跨平台的运维行为管控能力, 可覆盖多种主流操作系统网络设备和运维协议 u 协议类型 :SSH RDP VNC SFTP Telnet FTP 等 u 设备类型 :FreeBSD Solaris Red Hat Linux Windows 等操作系统 ;Cisco HUAWEI 等厂商的网络设备 3. 多维度访问控制与授权堡垒机支持基于角色的访问控制 (RBAC,Role-Based Access Control) 管理员可按照时间部门职责和安全策略等维度, 设置细粒度权限策略, 让正确的人做正确的事, 简化授权管理堡垒机通过集中统一的访问控制和细粒度的命令级授权策略, 确保用户拥有的权限是完成任务所需的最小权限系统支持基于时间 IP/IP 段用户 / 用户组设备 / 设备组命令关键字危险级别 ( 分为高中低 ) 等组合策略, 授权用户可访问的目标设备定义高危操作监控策略当用户越权执行特定命令的时候, 实时进行告警阻断, 确保信息系统安全运行 4. 一站式管理运维人员通过堡垒机统一登陆, 只需通过堡垒机认证 ( 支持多种认证方式, 包括本地认证 LDAP/RADIUS 认证 ), 就可以直接访问所有已授权服务器网络设备, 无须再次手工登录, 无须再记忆多个账号和口令, 提高用户工作效率改善用户体验密级 : 内部使用

14 5. 基于唯一身份标识的审计堡垒机账号是获取目标设备访问权利的唯一账号, 与实际用户身份一一对应, 每个用户一个主账号, 每个主账号只属于一个用户, 确保不同设备系统间行为审计的一致性, 从而准确定位事故责任人, 弥补传统网络安全审计产品无法准确定位用户身份的缺陷 6. 全程运维行为审计堡垒机可完整审计运维人员通过账号在什么时间登录什么设备做什么操作返回什么结果什么时间登出等行为, 全面记录运维人员从登录到退出的整个过程, 帮助管理人员及时发现权限滥用违规操作, 准确定位身份, 以便追查取证 u 字符会话审计系统支持审计通过 SSH SFTP TELNET FTP 等协议的操作行为, 审计内容包括访问起始和终止时间用户名用户 IP 地址设备名称目标设备 IP 协议类型危险等级及操作内容回放具体审计内容回放包括按照从登录到退出的整个操作会话过程的输入命令每步操作返回的执行结果 u 图形操作审计系统支持审计通过 RDP VNC 等远程桌面的操作行为, 审计内容包括访问起始和终止时间用户名用户 IP 地址设备名称目标设备 IP 协议类型危险等级操作内容等支持通过视频录像方式记录操作内容, 操作内容包括从登录到退出的整个操作会话过程, 可提供速回放进度拖拉等功能 7. 基于对象的虚拟审计系统堡垒机提供业界领先的基于对象的策略管理系统, 完全统一的规则配置方式强大而灵活, 实现基于对象的虚拟审计系统 (VAS) 系统针对企业不同的网络环境和安全需求, 基于安全区 IP 地址 ( 组段 ) 规则( 组 ) 时间动作等对象, 制定不同的规则和响应方式, 就像一台设备上虚拟出很多虚拟审计系统, 每个虚拟审计系统分别执行不同的规则集, 实现面向不同部门职能不同业务应用不同策略的智能化安全审计如下图 3.4 所示 : 密级 : 内部使用

15 图 3.4 虚拟审计系统 8. 审计信息零管理堡垒机支持日志零管理技术, 所有管理员需要日常进行的操作均可由系统定时自动后台运行 u 日志自动维护 : 根据日志自动维护计划的设置, 系统在指定时间自动进行相应的日志数据备份 u 日志查询 : 系统提供多种审计日志查询条件, 包括时间 IP 地址用户名设备名关键字危险等级 ( 高中低 ) 等 ; u 审计报表 : 系统提供详细的多种类别的报表模板, 可提供基于操作时长高危操作阻断操作等类别的用户操作 TOP10 系统支持生成: 日周月年度综合报表, 报表支持 MS Word Html 等格式导出, 降低维护费用与管理员的工作强度 9. 强大丰富的管理能力 u 支持 B/S 管理方式,Web 管理灵活方便, 适合在任何 IP 可达地点远程管理 u 堡垒机提供带外管理 (OOB) 功能, 解决远程应急管理的需求, 减少用户运营成本提高运营效率减少宕机时间提高服务质量 ; 10. 方便灵活的可扩展性 u 堡垒机支持多个硬件管理口, 管理口即插即用, 提供对多个区域网段的同时管理能力 ; u 堡垒机支持通过发送邮件日志数据库记录打印机输出运行自定义命令等响应方式及时报警密级 : 内部使用

16 11. 高可靠的自身安全性 u 堡垒机采用专门设计安全可靠高效的硬件运行平台硬件平台采用严格的设计和工艺标准, 保证高可靠性 ; 独特的硬件体系结构大大提升处理能力 ; 操作系统经过优化和安全性处理, 保证系统的安全性 ; u 堡垒机具有更强的高可用性, 设备支持热插拔的冗余双电源, 避免电源硬件故障时设备宕机, 提高设备可靠性 ; u 堡垒机通信采用强加密的 SSL 传输控制命令, 完全避免可能存在的嗅探行为, 确保数据传输安全密级 : 内部使用

绿盟安全审计系统-堡垒机产品白皮书

绿盟安全审计系统-堡垒机产品白皮书绿盟安全审计系统 - 堡垒机产品白皮书版权声明本文中出现的任何文字叙述文档格式插图照片方法过程等内容, 除另有特别注明, 版权均属绿盟科技所有, 并受到有关产权及版权法保护任何个人机构未经绿盟科技的书面授权许可, 不得以任何方式复制或引用本文的任何片断商标信息绿盟科技 NSFOCUS 绿盟是绿盟科技的商标目录一. IT 运维安全管理的变革刻不容缓... 1 二. 解决之道...