运维审计风险控制系统-堡垒机产品方案 .pptx

明御运维审计与风险控制系统（堡垒机）产品解决方案 技术创新，变革未来目录发展历史产品介绍竞争分析售前技巧案例分享堡垒机发展史代表功能：remoteapp（捷成世纪收购北京极地）（上海上讯/上海谐润）代表功能：SQL语句（绿盟）代表功能：操作告警（启明收购赛贝卡）综合运维审计（含应用发布）代表功能：API（驻云/云匣子）（天诚安信收购思福迪）图形运维审计前置机/跳板机2007200920112005201320152017以前200620082010201220142016字符运维审计（奇智/帕拉迪）期待革新···代表：安恒云堡垒机（国都兴业倒闭）文件传输审计（江南科友）代表功能：文字记录（碉堡）代表功能：自动运维（思福迪/极地银河/圣博润）代表功能：运维审核（安恒）（奇智改名为齐治）发展历史产品介绍目 录竞争分析售前技巧案例分享为什么需要堡垒机 - 事件数不胜数典型安全事件为什么需要堡垒机 - 法案法规要求为什么需要堡垒机 - 运维风险总而言之，言而总之：1、解决身份模糊、账户共享的问题2、解决权限混乱、越权操作的问题3、解决分散管理、效率低下的问题4、解决越权操作、高危操作的问题5、解决无审计、事故难定位的问题6、解决合规、第三方审计的需求Step1：统一入口Step2：集中管理运维资产区域解决运维风险的思路你（运维人员）的身份合法？你（运维人员）能做什么？你（运维人员）做了什么？你（运维人员）是谁？操作审计解决运维风险的思路追溯的保障和事故分析的依据防止内部误操作和权限滥用集中管理人员和资产的账号防止身份冒用和复用运维审计主要实现4A功能身份验证账号管理权限控制网络部署示意图 部署特点：物理旁路、逻辑网关如何防止PC绕过堡垒机访问主机？ 可以采用以下两种方式来控制：方式一：由堡垒机接管所有主机的账号和密码，实现账号和密码的自动登录，最终用户无需知道最终的主机密码；主机密码由堡垒机来统一配置管理，用户只需知道自己的堡垒机登陆用户名和密码即可。方式二：在堡垒机接入的交换机或者防火墙上配置访问控制策略（ACL），限制终端用户只能通过堡垒机来访问主机，关闭用户端到主机的直接远程访问。网络控制策略可以直接封堵用户访问主机的21、22、23、3389等端口，也可以直接做ACL访问控制列表，只允许访问堡垒主机。ACL例如：#access-list 101 deny tcp 55 55 22 PS：禁止4.0网段访问9.0网段的22端口（适用于PC端与服务端之间）#access-list 101 permit tcp 55 host 8 60022 PS：允许4.0网段访问1.88主机的60022端口（适用于PC端与堡垒机之间）#access-list 101 permit tcp host 8 55 22 PS：允许1.88主机访问2.0网段的22端口（适用于堡垒机与服务端之间）………… 堡垒机部署前与部署后的运维区别没有堡垒机的情况下：运维协议：SSH、telnet、RDP、SFTP、FTP、VNC运维工具：IE、plsql、VMware vSphere Client等直接访问部署堡垒机后连接主机登录堡垒机字符主机：SSH、telnet图形主机：RDP、VNC文件传输：SFTP、FTP数据库：oracle、mysql、sqlserver应用发布：IE、VMware vSphere Client等Web：443SSH：60022SFTP：60022RDP：63389VNC：5900oracle：61521mysql：63306sqlserver：61433多个网络隔离情况下：配置静态路由网络部署示意图 — 双机热备（HA）部署特点：（1）两台硬件堡垒机，一主一备、提供VIP（2）当主机出现故障时，备机自动接管服务网络部署示意图 — 异地同步部署部署特点：（1）多地部署，异地自动同步配置（2）运维员访问当地的堡垒机进行运维工作（3）不受网络/带宽影响，同时起到灾备目的网络部署示意图 — 异地灾备部署部署特点：（1）HA+灾备模式，配置自动同步（2）灾备堡垒机处于冷备状态（3）当HA都无法使用时，手工切换灾备为单机模式功能架构图1部门隔离权限管理资产管理用户管理基础功能：集中管理手工添加批量导入AD/LDAP同步手工添加批量导入自动学习资产信息基于部门隔离资产、用户、授权、审计实现分支机构可自主管理建立多级部门、上下级管理梳理用户与资产的关系自动授权运维审计2基础功能：权限控制手工阻断登录审批控制策略命令拦截命令审核防数据失泄密RDP映射/RDP复制粘贴/rz/sz/SFTP/FTP命令控制rm/reboot/shutdown…高危命令访问控制源和目的IP地址、协议、账号、时间IT人员传输控制3基础功能：运