运维操作审计堡垒机产品测试方案措施

1、运维操作审计（堡垒机）产品验收报告上海卓格计算机信息系统有限公司2016年04月26日目录一、测试目的4二、测试原则4三、测试环境63.1 测试对象63.2 测试地点63.3 测试时间63.4 测试人员63.5 测试环境63.6 测试拓扑示意图73.7 测试准备7四、测试项目84.1 产品功能测试84.1.1 运维协议支持84.1.2 运维协议扩展194.1.3 运维访问方式204.1.4 事前权限控制244.1.5 事中实时监控274.1.6 事后审计取证284.1.7 报表统计分析324.1.8 产品自身安全344.1.9 产品管理维护364.2 产品部署方式384.2.1 旁路部署384

2、.3 产品可用性394.3.1 双机热备39五、测试结论40参考标准40测试目的本次测试的主要目的，是测试和验证运维操作审计产品的各项功能和性能指标能否满足中船信息科技的实际需求。二、测试原则在本次测试过程中，将根据客观、公正、公平的原则，按统一的标准，从客户的业务需求和实际环境出发，对参加测试的厂商的产品进行有重点、有针对性的测试。为此，在测试过程中应坚持以下原则：测试环境一致原则本次测试，不同厂家的产品，其测试环境保持一致，即使用相同的网络环境，采用统一的测试工具，设置统一的测试参数进行测试。在一个产品测试完，下一产品测试前，恢复测试环境的初始状态O测试内容一致原则针对不同厂家产品采用相同

3、的测试内容进行测试。并且测试内容一旦确定，所有参加测试的产品必须按其内容逐项进行测试。代表性原则本次测试并不针对测试的产品所有的功能及性能，而是根据运维操作审计产品的应用特点选取具有代表性的功能指标进行测试根据以上原则，为有效实现测试目标，同时便于测试的实施，对各厂商提供的产品，按照运维协议支持力度、运维帐户的统一管理和用户认证、运维用户的权限控制、运维用户的操作审计记录、设备自身管理及与第三方集成几个方面进行测试。测试环境3.1测试对象本次测试对象是杭州思福迪信息技术有限公司的运维操作审计产品，型号为Logbase-BH-530的测试样机。3.2测试地点中船信息科技。3.3测试时间2011年

4、03月10日。3.4测试人员厂商人员：赵新李春3.5测试环境Windows服务器，支持RDP和FTP服务，并且需已安装Oracle数据库Linux、Unix服务器，支持SSH、SFTP服务交换机或路由器若干个3.6测试拓扑示意图3.7测试准备按上述测试拓扑属意图在网络环境中部署运维操作审计产品为运维操作审计产品的管理口配置有效IP,确保可以远程访问、管理和日志发送验证提供的RDP、Telnet等服务可以被正常访问验证运维操作审计产品可以访问提供上述服务的主机或设备四、测试项目4.1产品功能测试4.1.1运维协议支持说明：运维操作审计产品应该支持常见的各种运维协议，以便用户可以方便地完成日常运维

5、工作。并且能够以视频或文本的形式完整地记录运维用户的整个操作过程。RDP图形审计测试项目RDP操作图形审计测试说明测试产品是否支持RDP协议，并以视频方式记录整个操作过程测试环境Logbase-BH-530、开放RDP协议的windows服务器前提条件测试步骤1. 在产品上添加提供RDP服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源4. 以审计用户的身份登录产品查看运维用户的操作审计记录预期结果1. 运维用户可以正常访问提供RDP服务的主机并进行操作2. 审计用户可以回放查看运维用户整个操作过程的视

6、频记录测试结果可以通过堡垒主机访问windows服务器，并且可以记录、回放整个操作过程备注说明测试结论通过部分通过未通过未测试结果确认中船思福迪日期日期RDP键盘操作审计测试项目RDP键盘操作审计测试说明测试产品是否支持RDP协议，并记录用户在键盘上的输入测试环境Logbase-BH-530、开放RDP协议的windows服务器前提条件测试步骤1. 在产品上添加提供RDP服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源，并随意键入字符4. 以审计用户的身份登录产品查看运维用户的操作审计记录预期结果1.

7、 运维用户可以正常访问提供RDP服务的主机并进行操作2. 审计用户可以查看运维用户在键盘上输入字符的记录测试结果可以记录操作过程中输出的键盘指令备注说明测试结论通过部分通过未通过未测试结果确认中船思福迪日期日期RDP访问密码代填测试项目RDP访问密码代填测试说明测试产品是否支持RDP协议，并替用户代填主机的用户名和密码测试环境Logbase-BH-530、开放RDP协议的windows服务器前提条件测试步骤1. 在产品上添加提供RDP服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源预期结果1.运维用户

8、只需输入运维用户名和对应密码就可访问主机，无需输入主机的用户名和密码测试结果通过设置密码代填功能，可以通过堡垒主机直接访问windows服务器。备注说明测试结论通过部分通过未通过未测试结果确认中船思福迪日期日期Telnet用户操作审计测试项目Telnet用户操作审计测试说明测试产品是否支持Telnet协议，并记录用户在命令行界面输入的命令测试环境Logbase-BH-530、开放telnet协议的windows服务器前提条件测试步骤1. 在产品上添加提供Telnet服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1

9、步添加的资源4. 以审计用户的身份登录产品查看运维用户的操作审计记录预期结果1. 运维用户可以正常访问提供Telnet服务的设备并进行操作2. 审计用户可以查看运维用户输入命令的审计记录测试结果可以记录下telnet操作命令，回放整个操作过程备注说明测试结论通过部分通过未通过未测试结果确认中船思福迪日期日期Telnet系统返回信息审计测试项目Telnet系统返回信息审计测试说明测试产品是否支持Telnet协议，并记录用户操作后系统返回的所有信息测试环境Logbase-BH-530、开放telnet协议的windows服务器前提条件测试步骤1. 在产品上添加提供Telnet服务的主

10、机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源4. 以审计用户的身份登录产品查看运维用户的操作审计记录预期结果1. 运维用户可以正常访问提供Telnet服务的设备并进行操作2. 审计用户可以查看运维用户输入命令后系统返回的所有信息测试结果可以审计到telnet操作后，服务器的返回信息，并且回放时也可以看到备注说明测试结论通过部分通过未通过未测试结果确认中船思福迪日期日期Telnet访问密码代填测试项目Telnet访问密码代填测试说明测试产品是否支持Telnet协议，并替用户代填设备的用户名和密码测试环境Lo

11、gbase-BH-530、开放telnet协议的windows服务器前提条件测试步骤1. 在产品上添加提供Telnet服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源预期结果1.运维用户只需输入运维用户名和对应密码就可访问主机，无需输入设备的用户名和密码测试结果通过设置密码代填功能，可以通过堡垒主机直接访问telnet服务器。备注说明测试结论通过部分通过未通过未测试结果确认中船思福迪日期日期SSH用户操作审计测试项目SSH用户操作审计测试说明测试产品是否支持SSH协议，并记录用户在命令行界面输入的命令

12、测试环境Logbase-BH-530、开放ssh协议的服务器前提条件测试步骤1. 在产品上添加提供SSH服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源4. 以审计用户的身份登录产品查看运维用户的操作审计记录预期结果1. 运维用户可以正常访问提供SSH服务的主机并进行操作2. 审计用户可以查看运维用户输入命令的审计记录测试结果可以审计到ssh操作的命令，完整回放整个操作过程备注说明测试结论通过部分通过未通过未测试结果确认中船思福迪日期日期SSH系统返回信息审计测试项目SSH系统返回信息审计测试说明测试

13、产品是否支持SSH协议，并记录用户操作后系统返回的所有信息测试环境Logbase-BH-530、开放SSH协议的windows服务器前提条件测试步骤1. 在产品上添加提供SSH服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源4. 以审计用户的身份登录产品查看运维用户的操作审计记录预期结果1. 运维用户可以正常访问提供SSH服务的主机并进行操作2. 审计用户可以查看运维用户输入命令后系统返回的所有信息测试结果可以审计到SSH操作后，服务器的返回信息，并且回放时也可以看到备注说明测试结论通过部分通过未通过未测试结果确认

14、中船思福迪日期日期SSH访问密码代填测试项目SSH访问密码代填测试说明测试产品是否支持SSH协议，并替用户代填设备的用户名和密码测试环境Logbase-BH-530、开放SSH协议的windows服务器前提条件测试步骤1. 在产品上添加提供SSH服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源预期结果1.运维用户只需输入运维用户名和对应密码就可访问主机，无需输入设备的用户名和密码测试结果通过设置密码代填功能，可以通过堡垒主机直接访问SSH服务器。备注说明测试结论通过部分通过未通过未测试结果确认中船思福

15、迪日期日期0SSH会话克隆测试项目SSH会话克隆测试说明运维人员通常会从多个操作界面对目标服务器进行维护，因此开启多个通讯窗口。该项测试产品支持SSH会话克隆功能。测试环境Logbase-BH-530、开放SSH协议的windows服务器前提条件测试步骤1. 在产品上添加提供SSH服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源4. 通过SSH客户端，Clone当前会话预期结果1.在新窗口中弹出克隆成功的会话界面测试结果支持SSH回话克隆功能，满足测试要求备注说明测试结论通过部分通过未通过未测试结果确

16、认中船思福迪日期日期1FTP用户操作审计测试项目FTP用户操作审计测试说明测试产品是否支持FTP协议，并记录用户在命令行界面输入的命令测试环境Logbase-BH-530、开放FTP协议的windows服务器前提条件测试步骤1. 在产品上添加提供FTP服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源4. 以审计用户的身份登录产品查看运维用户的操作审计记录预期结果1. 运维用户可以正常访问提供FTP服务的主机并进行操作2. 审计用户可以查看运维用户输入命令的审计记录测试结果可以审计到FTP操作的命令备注

17、说明测试结论通过部分通过未通过未测试结果确认中船思福迪日期日期2FTP系统返回信息审计测试项目FTP系统返回信息审计测试说明测试产品是否支持FTP协议，并记录用户操作后系统返回的所有信息测试环境Logbase-BH-530、开放FTP协议的windows服务器前提条件测试步骤1. 在产品上添加提供FTP服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源4. 以审计用户的身份登录产品查看运维用户的操作审计记录预期结果1. 运维用户可以正常访问提供FTP服务的主机并进行操作2. 审计用户可以查看运维用户输入

18、命令后系统返回的所有信息测试结果可以审计到FTP操作后，服务器的返回信息备注说明测试结论通过部分通过未通过未测试结果确认中船思福迪日期日期3FTP访问密码代填测试项目FTP访问密码代填测试说明测试产品是否支持FTP协议，并替用户代填设备的用户名和密码测试环境Logbase-BH-530、开放FTP协议的windows服务器前提条件测试步骤1. 在产品上添加提供FTP服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源预期结果1.运维用户只需输入运维用户名和对应密码就可访问主机，无需输入设备的用户名和密码测

19、试结果支持FTP密码代填功能，满足测试要求备注说明测试结论通过部分通过未通过未测试结果确认中船思福迪日期日期4SFTP用户操作审计测试项目SFTP用户操作审计测试说明测试产品是否支持SFTP协议，并记录用户在命令行界面输入的命令测试环境Logbase-BH-530、开放SFTP协议的windows服务器前提条件测试步骤1. 在产品上添加提供SFTP服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源4. 以审计用户的身份登录产品查看运维用户的操作审计记录预期结果1. 运维用户可以正常访问提供SFTP服务的

20、主机并进行操作2. 审计用户可以查看运维用户输入命令的审计记录测试结果可以审计到FTP操作的命令备注说明测试结论通过部分通过未通过未测试结果确认中船思福迪日期日期5SFTP系统返回信息审计测试项目SFTP系统返回信息审计测试说明测试产品是否支持SFTP协议，并记录用户操作后系统返回的所有信息测试环境Logbase-BH-530、开放SFTP协议的windows服务器前提条件测试步骤1. 在产品上添加提供SFTP服务的主机资源2. 在产品上创建运维用户，并赋予该用户访问第1步添加资源的权限3. 以运维用户的身份登录产品访问第1步添加的资源4. 以审计用户的身份登录产品查看运维用户的操作审计记录预期结果1. 运维用户可以正常访问提供SFTP服务的主机并进行操作2. 审