《内控堡垒主机介绍》PPT课件.ppt

www.xaT 西安趋势信息科技有限公司 内控堡垒主机 一、公司简介 二、背景分析 三、产品理念 四、产品功能 五、产品特色 六、部署 一、公司简介一、公司简介 1、公司历程 2、技术和产品 3、资质和荣誉 4、技术合作伙伴 5、典型案例 业务范围业务范围 BB C C AA 内控堡垒主机 终端安全管理 应用安全网关 一、公司简介 二、背景分析 三、产品理念 四、产品功能 五、产品特色 六、部署 二、背景分析二、背景分析 1、威胁统计 2、服务器访问方式 3、使用问题 4、管理问题 5、当前技术 6、政策背景 随着网络安全威胁日益增多，单纯来自于外界 的威胁变得有限，更多的、更严重的威胁来自于内 部，或由内外勾结所产生的破坏。 企业生产数据面临被内部人员篡改、删除、窃 取，主机被关机、设备配置被修改，导致企业生产 停顿、商业资料泄露，给企业造成巨大的损失。 数据库管理员 系统管理员网络管理员业务操作员中心各网点分支机构代维厂商 WINDOWS服务器LINUX服务器UNIX服务器网络设备 被管设备 帐号交叉使用 多点登陆 由于信息化建设安全考虑不足，许多设备、主机和应 用口令被随意散布，复杂的各类人员可以通过下面各种途 径访问生产数据： 使用远程终端服务：例如telnet、rlogin、rsh、rexec 、ssh之上的命令行接口（CLI） 使用文件传输协议：例如FTP等 使用远程窗口和桌面：例如Windows的远程桌面（RDP） ，和Unix的Xwindow。 使用各种数据库客户端：例如各种数据库的client程序 、ODBC、JDBC，以及多种其它数据库工具。 uu密码记忆密码记忆 用户需要记忆许多用户名和密码用于登录各 个系统，经常出现忘记密码的情况，有些管理直 接使用相同的密码，缺乏统一的用户管理。 uu频繁登录和注销频繁登录和注销 管理不同的网络设备需要分别登录，操作繁 琐。 帐号管理帐号管理认证管理认证管理 AB 操作审计操作审计 D 授权管理授权管理 C 定义帐号密码定义帐号密码 定期变更密码定期变更密码 密码强度控制密码强度控制 日志收集日志收集 日志分析日志分析 故障排查故障排查 事故追踪事故追踪 建立帐号建立帐号 修改帐号修改帐号 删除帐号删除帐号 分配帐号分配帐号 修改帐号权限修改帐号权限 防止越权访问防止越权访问 设备及服务器管理设备及服务器管理 空闲帐号 相同帐号 弱口令帐号 僵尸帐号 共享帐号 空闲帐号 弱口令帐号 僵尸帐号 共享帐号 相同帐号 相同帐号 设备及服务器群 空闲帐号 弱口令帐号 僵尸帐号 共享帐号 相同帐号 设备及服务器群 uu各系统独立认证各系统独立认证 uu单一的静态口令认证单一的静态口令认证 uu口令强度基本无限制口令强度基本无限制 uu授权工作量大、繁琐授权工作量大、繁琐 uu没有有效的访问控制手段没有有效的访问控制手段 uu授权粒度粗，基本只到设备授权粒度粗，基本只到设备 关键业务系统数据被修改 了，系统记录是admin改 的，到底是谁用这个帐号 改的？ 这么多系统，查看命令这 么复杂，我怎么去使用这 些命令去查看？ 业务数据被修改，从日 志中查，一天的日志量 有几百万，我该从什么 地方开始看，他到底在 什么时间修改业务数据 的？ 每个系统的日志都这么多 ，不知道他们之间有什么 关系？ 目前技术：旁路镜像网络审计分析 针对协议：明文协议（TELNET/FTP/HTTP等） 问题： 1.密文协议（SSH/RDP等） 2.细粒度授权 3.审计信息不可读（实名、信息量） xvzb 銐e 決;耂決塠 hQ軴芠b/g 纇錱 密文，无法 审计 SSH 分析仪/审计仪 镜像监听 目前技术：集中式网络管理（先登录管理作业服务器，然后转换身份再 对相关服务器进行维护。属于多用户单帐号管理方式） 问题： 1.多用户共享root帐号，权限划分不明，所有人员都具有最高的ROOT 权限。 2.无法跟踪某个管理员的确切操作。 3.依靠各自服务器的日志信息，审计信息不可读。 萨班斯.奥克斯利法案（Sarbanes-Oxley） 内部控制规范 6. 政策背景 一、公司简介 二、背景分析 三、产品理念 四、产品功能 五、产品特色 六、部署 三、产品理念三、产品理念 1、管理方式 2、管理目标 3、身份授权分离 19 1. 管理方式 集中登录、操作代理 系统帐号 = 身份认证 系统授权 + 主帐号 身份认证 + 从帐号 系统授权 + 一、公司简介 二、背景分析 三、产品理念 四、产品功能 五、产品特色 六、部署 四、产品功能四、产品功能 1、集中管理平台 2、指令终端代理 3、指令权限控制 4、图形终端代理 5、单点登录 6、操作审计 uu集中帐号管理集中帐号管理 uu集中认证集中认证 uu集中授权集中授权 uu集中访问控制集中访问控制 uu集中安全审计集中安全审计 uu支持指令终端的常见协议支持指令终端的常见协议 SSHSSH、TELNETTELNET、RLOGINRLOGIN、FTPFTP 策略中配置禁止该操 作员使用kill等危险命令， 显示禁用提示信息 策略中配置禁止命令中不 包含more命令，放行通过，得 到正确执行结果 3. 指令权限控制一 操作人员 more abc.file killall apache 堡垒主机目标服务器 3. 指令权限控制二 uu支持图形终端的常见协议支持图形终端的常见协议 RDPRDP、VNCVNC、XWINDOWSXWINDOWS 5. 单点登录UNIX主机 uu统一的统一的WEBWEB单点登录方式单点登录方式 5. 单点登录WINDOWS主机 uu统一的统一的WEBWEB单点登录方式单点登录方式 6. 操作审计一 6. 操作审计二 6. 操作审计三 一、公司简介 二、背景分析 三、产品理念 四、产品功能 五、产品特色 六、部署 五、产品特色五、产品特色 1、统一的WEB方式 2、内含认证组件 3、支持强认证方式 4、易用的访问控制 策略 5、强大的查询统计 6、扩展和集成 uu管理员管理员WEBWEB方式管理方式管理 uu用户用户WEBWEB方式访问资源方式访问资源 用户登录堡垒主机后可以看到所有授权资 源列表，访问资源时不用再输入帐号和密码， 做到真正的单点登录。 内部提供认证服务器组件，所有对资源的访内部提供认证服务器组件，所有对资源的访 问都是认证服务器提供的临时会话号，即使会话问都是认证服务器提供的临时会话号，即使会话 号被截获，也无法通过此会话号再次访问资源，号被截获，也无法通过此会话号再次访问资源， 提高资源访问的安全性。提高资源访问的安全性。 uu方便的集成各种强认证方式方便的集成各种强认证方式 证书认证证书认证 智能卡认证智能卡认证 短信认证短信认证 人体特征认证（指纹、视网膜等）人体特征认证（指纹、视网膜等） 动态口令认证动态口令认证 uu主机命令策略主机命令策略 uu访问时间策略访问时间策略 uu客户端地址策略客户端地址策略 uu访问锁定策略访问锁定策略 可以灵活的按照各种查询条件进行查询统计可以灵活的按照各种查询条件进行查询统计 ，查询用户的行为，对于主机命令查询时，一次，查询用户的行为，对于主机命令查询时，一次 可以配置多条主机命令。查询统计的结果方便形可以配置多条主机命令。查询统计的结果方便形 成报表。成报表。 在在4A4A项目中，放弃帐号、认证、授权的集中项目中，放弃帐号、认证、授权的集中 管理，可以只提供执行单元，完成基础访问控制管理，可以只提供执行单元，完成基础访问控制 和操作审