什麼是堡壘機？
堡壘機，即在一個特定的網路環境下，為了保障網路和資料不受來自外部和內部使用者的入侵和破壞，而運用各種技術手段監控和記錄運維人員對網路內的伺服器、網路裝置、安全裝置、資料庫等裝置的操作行為，以便集中報警、及時處理及審計定責。
用一句話來說，堡壘機就是用來後控制哪些人可以登入哪些資產（事先防範和事中控制），以及錄影記錄登入資產後做了什麼事情（事溯源）
堡壘機很多時候也叫運維審計系統，它的核心是可控及審計。可控是指許可權可控、行為可控。許可權可控，比如某個工程師要離職或要轉崗了。如果沒有一個統一的許可權管理入口，是一場夢魘。行為可控，比如我們需要集中禁用某個危險命令，如果沒有一個統一入口，操作的難度可想而知。
為什麼需要堡壘機？
堡壘機是從跳板機（也叫前置機）的概念演變過來的。早在2000年左右，一些中大型企業為了能對運維人員的遠端登入進行集中管理，會在機房部署一臺跳板機。跳板機其實就是一臺unix/windows作業系統的伺服器，所有運維人員都需要先遠端登入跳板機，然後再從跳板機登入其他伺服器中進行運維操作。
但跳板機並沒有實現對運維人員操作行為的控制和審計，使用跳板機過程中還是會有誤操作、違規操作導致的操作事故，一旦出現操作事故很難快速定位原因和責任人。此外，跳板機存在嚴重的安全風險，一旦跳板機系統被攻入，則將後端資源風險完全暴露無遺。同時，對於個別資源（如telnet）可以通過跳板機來完成一定的內控，但是對於更多更特殊的資源（ftp、rdp等）來講就顯得力不從心了。
人們逐漸認識到跳板機的不足，進而需要更新、更好的安全技術理念來實現運維操作管理。需要一種能滿足角色管理與授權審批、資訊資源訪問控制、操作記錄和審計、系統變更和維護控制要求，並生成一些統計報表配合管理規範來不斷提升IT內控的合規性的產品。在這些理念的指導下，2005年前後，堡壘機開始以一個獨立的產品形態被廣泛部署，有效地降低了運維操作風險，使得運維操作管理變得更簡單、更安全。
堡壘機的設計理念
堡壘機主要是有4A理念，即認證（Authen）、授權（Authorize）、賬號（Account）、審計（Audit）。
堡壘機的目標
堡壘機的建設目標可以概括為5W，主要是為了降低運維風險。具體如下：
-
審計：你做了什麼？（What）
-
授權：你能做哪些？（Which）
-
賬號：你要去哪？（Where）
-
認證：你是誰？（Who）
-
來源：訪問時間？（When）
堡壘機的價值
-
集中管理
-
集中許可權分配
-
統一認證
-
集中審計
-
資料安全
-
運維高效
-
運維合規
-
風險管控
堡壘機的原理
目前常見堡壘機的主要功能分為以下幾個模組：
1、運維平臺
2、管理平臺
3、自動化平臺
4、控制平臺
5、審計平臺
說明：三權分立
三權的理解：配置，授權，審計
三員的理解：系統管理員，安全保密管理員，安全審計員
三員之三權：廢除超級管理員；三員是三角色並非三人；安全保密管理員與審計員必須非同一個人。
堡壘機的身份認證
堡壘機主要就是為了做統一運維入口，所以登入堡壘機必須支援靈活的身份認證方式，比如：
1、本地認證
2、遠端認證
3、雙因子認證
4、第三方認證系統
堡壘機的常見運維方式
-
B/S運維：通過瀏覽器運維。
-
C/S運維：通過客戶端軟體運維，比如Xshell，CRT等。
-
H5運維：直接在網頁上可以開啟遠端桌面，進行運維。無需安裝本地運維工具，只要有瀏覽器就可以對常用協議進行運維操作，支援ssh、telnet、rlogin、rdp、vnc協議
-
閘道器運維：採用SSH閘道器方式，實現代理直接登入目標主機，適用於運維自動化場景。
堡壘機的其他常見功能
堡壘機的部署方式
1、單機部署
堡壘機主要都是旁路部署，旁掛在交換機旁邊，只要能訪問所有裝置即可。
部署特定：
2、HA高可靠部署
旁路部署兩臺堡壘機，中間有心跳線連線，同步資料。對外提供一個虛擬IP。
部署特點：
-
兩臺硬體堡壘機，一主一備/提供VIP。
-
當主機出現故障時，備機自動接管服務。
3、異地同步部署
通過在多個數據中心部署多臺堡壘機。堡壘機之間進行配置資訊自動同步。
部署特點：
-
多地部署，異地配置自動同步
-
運維人員訪問當地的堡壘機進行管理
-
不受網路/頻寬影響，同時祈禱災備目的
4、叢集部署（分散式部署）
當需要管理的裝置數量很多時，可以將n多臺堡壘機進行叢集部署。其中兩臺堡壘機一主一備，其他n-2臺堡壘機作為叢集節點，給主機上傳同步資料，整個叢集對外提供一個虛擬IP地址。
部署特點：
-
兩臺硬體堡壘機，一主一備、提供VIP
-
當主機出現故障時，備機自動接管服務。
開源產品
目前，常用的堡壘機有收費和開源兩類。收費的有行雲管家、紐盾堡壘機，開源的有jumpserver。這幾種各有各的優缺點，如何選擇，大家可以根據實際場景來判斷。
留言列表
留言列表
