PasswordManagerPro密码安全管理.docVIP

Password Manager Pro概述 Zoho Password Manager Pro是存储和管理企业内部密码和数字证书等重要数据的保险箱。部署Password Manager Pro具有以下优势： 统一集中存储密码，保障密码安全 自动定期更改关键系统的密码，提高IT管理效率 通过请求批准流程和实时告警，控制对密码的访问 符合安全审计和法规，如SOX、HIPAA和PCI Zoho Password Manager Pro是一款将企业集中式的密码管理解决方案，该工具针对企业密码管理当中不同的角色进行分类：管理员、密码管理员、密码用户和密码审计员。对这些不同的角色提供不同的支持模块。概括而言，Password Manager Pro为终端用户提供了自主管理个人密码生命周期的能力，为帮助台人员和安全管理员提供了为整个企业范围制定强密码策略的机制。该解决方案主要带来如下收益： 用户自主控制帐号口令生命周期 制定强安全策略以加强企业整体的网络安全 显著降低用户宕机时间 提供快速的投资回报 与现有IT基础架构无缝集成 提高了用户和IT部门的满意度 Password Manager Pro功能介绍 Password Manager Pro主要功能 集中存储密码: 公司一般有不计其数的密码，必须妥善保管，以防密码泄露。为便于管理，需要将密码集中保存在一个保险箱中。公司中通常分为多个工作组，各组仅限于访问某些特定密码。为此，需要满足以下需求：l 集中安全存储密码l 指定密码的所有权l 基于需求的密码访问权限限制 PasswordManager Pro (简称PMP)可以满足以上需求。PMP使用高级加密标准(AES)对企业资源的用户名和密码加密，并安全保存在PMP的MySQL数据库，即密码保险箱。只需输入一次企业资源的用户名和密码，以后可以随时从Web界面检索。由于密码信息尤为重要，PMP通过给资源、用户账号和密码指派所有关系，有效保障密码安全。由一个管理员或用户所有的资源，除非共享资源，否则他人无法查看。一个资源的所有权可以完全转让给另一个管理员。或者一位管理员保留所有权，允许他人查看/编辑/管理密码。共享密码管理 : 在许多公司中，通常创建一个共同的管理帐户，所有管理员都可以使用这一帐户访问资源例如Windows中的“Administrator”、Unix/Linux中的“root”、Cisco中“enable”以及SQL服务器中“sa”。这些密码称为共享管理密码，对资源访问不受限制，用户可以执行任何动作。因为缺少用户角色区分，不能记录某个用户的动作，从而无法追究问题的责任。PMP为管理共享管理密码提供了完善的解决方案，通过密码所有权和共享机制有效保证只有授权用户才能访问管理员密码。集成AD/LDAP: 企业通常依靠外部身份库，例如AD或LDAP目录，存储用户信息和认证。在选择IT管理方案时，要看是否能够集成AD或ADAP，因为这将为您节省大量的时间和精力。另外，用户也可以使用AD/LDAP凭证登录IT管理应用。PMP可以与AD和LDAP集成，还能够利用AD/LDAP认证机制。管理员可以将用户/用户组从AD/LDAP导入PMP。当AD/LDAP中添加新用户时，将自动导入PMP，即实现PMP和AD/LDAP用户数据库保持同步。远程重置密码:PMP不仅帮助公司统一集中存储公司资源的密码，还可以重置密码。当在PMP中更改密码后，在资源中立即生效，反之亦然。PMP有助于同步远程密码。从PMP可以更改远程资源的密码，并将其存储在密码保险箱中。目前PMP可以更改Windows, Windows 域, Linux, IBM AIX, HP UNIX, Solaris, Mac OS, MS SQL服务器, MySQL服务器, Oracle DB服务器, Sybase ASE, HP ProCurve和Cisco设备(IOS, CatOS, PIX)的密码。远程重置密码有两种方式通过在远程主机部署PMP代理或采用无代理模式。另外可以通过配置计划，自动重置密码，在自动重置密码前后，将给指定收件人发送邮件通知。密码访问控制流程: 通过Password Manager Pro的身份认证后，用户即可访问他们所有的或共享给他们的密码。由于在PMP中存储了重要的密码信息，因此管理员希望绝对安全。某些情况下，管理员只允许用户在一段时间内暂时能够访问密码。仅允许一位用户在一段时间内使用密码，当两位及以上用户需要同时访问资源时，问题就产生了。对同时使用的访问控制能够帮助解决这一问题。为满足以上要求，PMP提供密码访问控制。密码访问控制的工作原理l 当执行密码访问控制时，用户访问密码按照以下步骤进行：l 用户需要访问共享给他的密码。l 提交访问密码请求。l 请求管理员批准。如果多位用户需要访问同一密码，所有请求将排队等待管理员批准。l 如果管理员在限定时间内未批准请求，则请求无效。l 如果管理员拒绝请求，则请求无效。l 如果管理员批准请求，将允许用户访问密码。如果需要两位管理员批准请求，则两位管理员批准后，用户才能访问密码。l 用户获得访问权限后，在一段时间内可以使用密码。l 如果同时有其它用户请求访问同一密码，只能前一位用户退出之后才能访问。该规则适用于所有人员，包括管理员、密码管理员和密码所有人。 l 管理员可以随时强制终止用户访问。l 用户完成自己的工作后，系统将自动重置密码。l 当授予一位用户暂时访问权限后，用户可以从常规设置中设置允许管理员同时查看密码。基于角色的访问控制(用户/用户组)：PMP的所有和共享机制，保证用户只能访问授权的密码。从安全角度出发，访问PMP中的各项操作也同等重要。PMP基于用户角色，授权用户访问、编辑或管理指定资源(即指派给用户的资源)。 缺省情况下，PMP具备以下四种角色：l 管理员配置和管理PMP软件，可以执行所有资源和密码相关动作。但是他们只能查看由他们创建的，以及其它用户共享给他们的资源和密码。l 密码管理员可以执行所有资源和密码相关动作。但是他们只能查看由他们创建的资源和密码，以及其它用户共享给他们的密码。l 管理员/密码管理员可以成为超级管理员。超级管理员有权限管理由所有用户添加到系统的所有资源。l 密码用户只能查看由管理员或密码管理员共享给他们的密码。若共享权限允许，密码用户可以更改密码。l 密码审计员和密码用户具有相同的权限，另外他们可以访问审计记录和报表。密码策略、安全及顺应性：随着网络资源面临的安全威胁，以及信息管理不善造成的严重后果，要求IT经理不仅符合标准实践、内部策略、严格的政府法规和行业规范，而且实施策略以及应用符合定义的策略。PMP帮助IT经理定义标准策略，例如以一定时间间隔更改密码、设置密码时限、不使用最近使用的密码、强制使用强密码。并可以通过直观的报表，查看密码是否符合所定义的策略。审计和审计通知: PMP处理重要的密码信息，因此记录使用该应用的所有操作非常重要。用户的所有操作，包括密码恢复、复制操作等都应该审计记录。PMP全面记录了用户执行的操作和时间。审计记录包含用户操作时间以及访问应用的IP地址。PMP中审计分为三种类型： 资源审计 - 关于资源、资源组、帐户、密码、共享和策略的所有操作 用户审计 - PMP用户执行的所有操作 任务审计 - 所有创建的任务计划记录 PMP审计十分全面，记录了所有动作。但是有时可能只需要某些操作的记录。为此，在每种审计类型中，可以选择查看所需的操作。同时可以将审计通知发送给指定人员。报表: PMP能够生成丰富的报表，呈现企业中全部的密码管理信息。以图形和表格形式显示诸如密码清单、策略顺应性、密码过期、用户行为等信息，有助于IT管理员有效管理密码。报表可以导出为PDF/XLS格式文件并通过Email发送给指定人员。Password Manager Pro 企业功能 双因子认证：Password Manager Pro将企业资源的密码信息以加密方式保存在数据库中。支持主流的认证方式PMP本地认证或第三方身份库(如AD或LDAP)认证。为安全起见，PMP提供更安全的认证方式双因子认证。用户需要通过两级认证才能访问PMP web界面。第一级认证是通过通常的本地认证或AD/LDAP，第二级认证是以下其中之一： PMP随机生成的一次性密码，通过email发送给用户 RSA SecurID一次性令牌，每60秒更改一次对于RSA，PMP已成为RSA SecurID双因子认证系统的技术合作伙伴，将RSA SecurID认证作为第二级认证。备份和灾难恢复：无论应用软件如何强大，都应该具备可靠的灾难恢复机制。PMP具备可靠的备份和灾难恢复机制PMP利用MySQL数据库复制特性，通过冗余数据库实例实时备份数据。在远程位置配置实时从属数据库，当与PMP运行的主数据库改变时，从属数据库同步更新。两个数据库保持同步。万一主数据库发生故障，可利用从属数据库恢复数据。除实时备份外，还可以安排备份计划，定期备份数据。密码管理API - 应用-应用密码管理：除共享管理帐户外，还有一种管理帐户，即服务帐户。这些是应用应用帐户，通常不限制权限。服务帐户由应用内部使用，无人工干预。当在一个应用中定义访问权限，访问该应用的另一应用必须提供凭证。为使用简单，在应用中凭证通常是硬编码(hard coded)，这使企业易受攻击。您可以使用PMP，不采用硬编码的密码，消除安全风险。一个应用(假设为A应用)联系PMP获取密码访问另一应用(假设为B应用)。当获取密码后，A联系B，所有这些过程无人工干预。PMP提供密码管理API，使用它任何企业应用或命令行脚本可以查询PMP，检索密码，连接其它应用或数据库，从而无需采用硬编码密码，使访问内部应用简单安全。高度可用性：通过部署冗余PMP服务器和数据库，保证访问密码不中断。PCI DSS 顺应性报表：支付卡行业数据安全标准(PCI DSS)随着电子商务的发展，许多交易在网上进行，大部分采用信用卡支付方式。同时也出现了信用卡诈骗。卡号和持卡人信息是重要信息，需要全力保护，防止泄露和滥用。因此作为战略性安全措施，处理有关信用卡和借记卡信息的公司和厂商，必须符合由VISA、万事达卡、美国运通等主要信用卡公司提出的安全标准，以防止安全漏洞，保护持卡人信息。PCI DSS标准，即一组安全要求，不论交易形式(销售网点、电话、电子商务等)，适用于存储、处理或传送持卡人信息的所有成员、商人和服务提供商。Password Manager Pro 其它功能超级管理员：任何管理员可以成为超级管理员，具有查看和管理PMP中所有资源的权限。远程密码同步：从PMP可以更改远程资源的密码，并将其存储在密码存储库中。目前PMP可以更改Windows、Windows域和Linux系