堡垒机运维审计管理办法

堡垒机运维审计管理办法一、第一章总则1.1第一条目的与依据堡垒机是全公司服务器、网络设备、数据库的唯一合法运维入口，其核心价值不在“拦住坏人”，而在“让每一次运维操作可追溯到具体的人、具体的时间、具体的命令”。本办法依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》及GB/T22239-2019《信息安全技术网络安全等级保护基本要求》中关于运维审计的条款制定，用于规范堡垒机的账号管理、授权流程、操作审计与应急处置。1.2第二条适用范围本办法适用于：•所有通过堡垒机访问的生产环境服务器、虚拟机、网络设备、数据库、中间件；•公司正式员工、外包驻场人员、厂商远程支持人员等一切运维主体；•临时性、紧急性的例外运维（如堡垒机自身故障时的直连通道）。开发、测试环境可参照执行，但涉及真实客户数据的测试环境必须完整执行本办法。1.3第三条角色与职责角色职责考核挂钩项信息安全部（归口管理部门）堡垒机策略制定、账号审批、审计抽查、违规处置审计覆盖率、违规检出闭环率系统管理员堡垒机日常维护、账号开通执行、资源纳管、会话录像存储纳管率、录像可用率各业务部门负责人本部门人员账号申请审批、离职账号确认审批及时性、本部门违规次数运维人员（使用方）按授权范围操作、接受审计违规记录外包/厂商对接人临时账号申请与到期跟踪临时账号逾期未回收次数二、第二章账号与授权管理2.1第四条实名账号与强认证堡垒机账号与自然人一一对应，这是审计追溯的前提，任何形式的共享账号都会使录像审计失效。•每名运维人员必须使用实名账号登录堡垒机，认证方式为“域账号密码+动态口令（OTP）”双因素；单因素密码登录严禁开启。•密码复杂度：长度不少于12位，含大写、小写、数字、特殊字符中至少三类；每90天强制更换，且最近5次密码不得重复。•连续5次登录失败锁定30分钟；锁定解锁需系统管理员核实身份后操作，不得由申请人自行重试绕过。•离职流程：HR发出离职通知后，1个工作日内由信息安全部禁用其堡垒机账号，离职当日24:00前删除账号并留存禁用/删除操作日志。2.2第五条资源纳管要求“纳管率”是本办法的核心指标——堡垒机管不到的服务器等于没有堡垒机。•生产环境全部主机、数据库、网络设备必须纳入堡垒机纳管，纳管率目标100%，由系统管理员每月5日前盘点一次并出具《纳管率报告》。•主机侧必须关闭SSH（22端口）与RDP（3389端口）对办公网、互联网的直接访问，仅允许堡垒机地址段访问；通过防火墙策略下发白名单，每季度核查一次变更记录。•新上线系统在投产检查单中必须包含“已纳管堡垒机、源地址已限制”两项，投产评审未勾选的不得投产。•发现绕过堡垒机的直连通道（如临时开的跳板、忘记回收的防火墙放行）按第七章违规处理。2.3第六条授权原则与审批流程授权遵循最小权限+有期限原则：只授予完成工作所需的主机和账号角色，且每笔授权都带到期时间。1.常规授权：运维人员在堡垒机系统内提交申请，写明目标资源、使用账号、用途、期限（常规运维授权默认90天，到期自动回收，需续期重新申请）；部门负责人审批后生效。2.数据库授权：按角色授予，只读查询授只读账号；涉及DML/DDL操作的授权必须由DBA复核后放行。3.临时授权（外包、厂商、跨部门支援）：期限最长7天，由对接部门负责人审批；确需延期的在到期前1个工作日重新申请，严禁申请“永久有效”的临时授权。4.高危权限（root、数据库DBA、网络设备enable、批量执行、文件分发）的授权必须由信息安全部经理二级审批。5.授权台账由堡垒机自动记录，信息安全部每月核对“授权清单vs在岗人员清单”，清理僵尸授权。三、第三章运维操作规范3.1第七条合法操作路径运维操作必须通过以下唯一路径：个人电脑→VPN/办公网→堡垒机（双因素认证）→目标资源。该路径的意义在于：命令级审计依赖堡垒机在会话中做代理转发，绕过堡垒机的会话在审计系统中是“黑盒”，出了事既无法定位操作人也无法还原操作内容。•图形化操作（RDP/VNC）经堡垒机视频录像审计；字符操作（SSH/Telnet）经命令审计，两者均必须保留完整会话记录。•文件传输优先使用堡垒机内置的文件传输功能（可留存传输文件审计记录）；若目标系统对传输工具有限制，可使用堡垒机网盘中转；严禁通过个人网盘、私人邮箱、自建FTP传输生产数据。•多人协作排障时可发起会话共享，由发起人作为会话责任人，共享会话必须在排障结束后立即结束。3.2第八条高危命令管控高危命令管控的逻辑是“事中拦截+事后追溯”双保险：事中拦截防止误操作直接造成破坏，事后审计用于追责和复盘。以下命令类别配置为高危命令，默认阻断并触发实时告警：类别典型命令（示例）处置方式删改类rm-rf/、mkfs、ddif=、dropdatabase、truncatetable直接阻断账号类userdel、passwdroot、修改/etc/shadow阻断+告警网络类iptables-F、shutdown、reboot（生产库）阻断+告警提权类非授权目标的su-、sudo-i告警+二次确认•确需执行被阻断命令的（如经批准的服务器重启），提前提交《高危操作申请单》，经信息安全部审批后由管理员将该命令加入白名单，白名单必须绑定申请单号并设置有效期（最长24小时），到期自动失效。•正则匹配存在误杀可能：若正常业务命令被误阻断，运维人员保留报错截图，提交信息安全部在1个工作日内调整规则，不得要求运维“绕开堡垒机去执行”。3.3第九条操作行为要求•生产环境变更操作必须对应变更单；无变更单的命令审计记录在月度抽查中被视为违规操作。•运维过程中发现权限不足时，应当走补授权流程，严禁借用他人已登录会话执行操作（借用人与授权人均追责）。•厂商远程支持优先采用堡垒机“运维代维”模式（内部人员在堡垒机会话中代为操作）；不具备条件的，开临时授权会话并全程有内部人员在线监看，厂商会话结束后监看人确认无异常操作并在会话记录上签字。四、第四章审计与检查4.1第十条审计数据要求审计数据的价值取决于三点：完整、防篡改、可检索，缺一则审计形同虚设。•会话录像与命令日志保存期限不少于180天（满足等保三级要求），优先配置365天；到期数据归档至备份存储，归档数据保留3年。•审计数据必须实时外发至独立的日志服务器（Syslog或API对接），堡垒机本地存储被删改不影响外部留痕。•每月10日前由系统管理员执行一次录像抽检：随机抽取上月5%的会话（不少于20个），核对录像可播放、命令日志与会话内容一致，出具《审计抽检报告》；抽检发现录像缺失或损坏的，24小时内上报信息安全部排查。4.2第十一条审计抽查与闭环信息安全部按以下节奏开展审计：1.日常巡检（每日）：查看高危命令告警、多次登录失败、非工作时段（22:00~06:00）长会话三类告警，逐条在24小时内给出结论（正常/存疑/违规）。2.月度抽查（每月）：抽取不少于10个会话做命令级审查，重点核对“操作内容vs授权范围vs变更单”三者一致性；发现违规按第七章处理，处置结果5个工作日内反馈至被查人部门负责人。3.季度专项（每季度）：核对纳管率、授权台账、僵尸账号、白名单有效期、审计存储余量五项，输出专项报告报分管领导。所有审计发现的问题登记《问题跟踪表》，逐条明确责任人、整改措施、完成期限；信息安全部每周核对一次闭环状态，逾期未整改的升级至分管领导。五、第五章应急与例外通道5.1第十二条例外直连通道管理堡垒机自身故障会切断全部运维通道，若没有受控的例外通道，故障时的应急操作（如重启服务恢复业务）将无法开展——因此例外通道必须“平时封死、故障时按流程打开”。•例外通道的开启条件：堡垒机不可用（登录失败或会话异常中断）且影响生产运维，由系统管理员确认故障后，经信息安全部值班经理口头+书面（企业微信留痕）双重批准开启。•开启动作：在防火墙临时放行指定运维人员源IP的SSH/RDP端口，有效期最长4小时，到期自动回收；堡垒机恢复后1小时内确认通道已关闭。•直连期间的操作必须由另一名运维人员同步记录操作命令与时间（双人操作原则），堡垒机恢复后24小时内将操作记录补录至审计系统备案。5.2第十三条安全事件分级处置级别判定标准启动权限处置原则Ⅲ级（一般）单人违规操作未造成影响、账号异常登录被拦截信息安全部值班人员当日通知本人及部门负责人，记录在案Ⅱ级（较大）高危命令告警属实、绕过堡垒机直连、审计数据异常缺失信息安全部经理2小时内冻结相关账号，封存会话录像，24小时内出初步报告Ⅰ级（重大）审计数据被删除/篡改、堡垒机被入侵、违规操作已造成业务中断或数据泄露分管领导立即隔离堡垒机网络，启动公司级应急预案，按《中华人民共和国网络安全法》要求评估报告义务任一级别事件的处置必须形成“事件记录→根因分析→整改措施→制度/规则修订”的闭环，整改措施落实到人和日期。5.3第十四条堡垒机自身安全•堡垒机管理后台仅限信息安全部指定人员访问，管理操作同样留存审计日志。•堡垒机系统补丁按厂商安全通告评估后30天内完成更新；更新前在测试环境验证，并安排在业务低峰窗口执行，更新前必须完成配置备份。•堡垒机双机部署时，主备切换每半年演练一次，切换时间目标15分钟内；演练记录归档。六、第六章培训与考核6.1第十五条培训要求•新入职运维人员在开通堡垒机账号前必须完成本办法培训并通过测试（10题，80分合格），测试记录存档。•全员每年复训1次，内容包含本年度违规案例复盘；培训签到与测试成绩由信息安全部存档备查。•外包与厂商人员在首次授权前必须接受对接人开展的规则交底（授权范围、高危命令清单、禁止行为），交底记录随授权申请单归档。6.2第十六条违规处理违规行为处理首次轻微违规（如会话未及时结束、无变更单操作但未造成影响）书面警示，纳入月度通报共享账号、借用会话、私开直连通道冻结账号30天，通报部门负责人，绩效扣减删除/篡改审计数据、盗用他人账号、违规操作造成业务事故账号永久注销，按公司奖惩制度处理，涉嫌违法的移交司法机关七、第七章附则7.1第十七条本办法由信息安全部负责解释和修订，每年评审一次；与国家法律法规冲突时以法律法规为准。7.2第十八条本办法自发布之日起施行。附件一：堡垒机账号开通/变更/注销申请表字段填写内容申请人姓名/工号/部门申请类型开通/变更授权/注销/延期目标资源主机名/IP/数据库实例使用账号及角色如appuser（只读）、root（高危，需二级审批）用途说明对应变更单号或项目编号有效期限起止日期（临时授权最长7天）部门负责人审批签字/日期信息安全部审批（高危必填）签字/日期系统管理员执行记录开通时间/执行人附件二：高危操作申请单字段填写内容申请人/日期目标资源需