关于我们

什么是堡垒机

  堡垒机，即在特定的网络环境中，为了保护网络和数据免受外部和内部用户的入侵和破坏，采用了各种技术手段来监视和记录运维人员对服务器，网络的影响。 设备和网络中的网络设备。 安全设备，数据库等设备的运行行为，从而能够集中报警，及时处理和审计责任。

  简而言之，堡垒机器用于控制谁可以登录到哪些资产（预防和过程控制），并记录登录资产后的操作。

  堡垒主机通常被称为运维审计系统，其核心是可控和审计的。 可控的是指可控的权限和可控的行为。 权限是可控制的，例如，某个工程师正在离开或转移。 没有统一的访问管理门户，这将是一场噩梦。 该行为是可控的。 例如，我们需要集中禁用危险命令。 如果没有统一的入口，可以想象操作的难度。

  为什么需要堡垒机

  堡垒机是从跳板机（也称为前端机）的概念演变而来的。 早在2000年左右，一些大中型企业就在计算机房中部署了跳板，以便集中管理运维人员的远程登录。 跳板实际上是Unix / windows操作系统服务器。 所有运维人员首先需要远程登录跳板，然后再从跳板登录其他服务器，进行运维操作。

  但是，跳板机无法实现对运维人员的操作行为的控制和审计。 在使用跳板机的过程中，仍然会因误操作和非法操作而导致操作事故。 一旦发生操作事故，很难迅速找到原因和责任人。 另外，跳板具有严重的安全风险。 一旦跳板系统受到威胁，后端资源的风险将被完全暴露。 同时，对于单个资源（例如telnet），可以使用跳板来完成某些内部控制，但是对于越来越多的特殊资源（ftp，rdp等），它似乎无能为力。

  人们逐渐意识到跳板机的缺点，然后需要更新更好的安全技术概念来实现运维管理。 需要一种产品，以满足角色管理和授权批准，信息资源访问控制，操作记录和审计，系统更改和维护控制的要求，并生成一些统计报告以与管理标准配合以不断提高合规性。  IT内部控制。 在这些理念的指导下，要塞机于2005年左右开始以独立产品的形式广泛部署，有效降低了运维操作风险，使运维操作管理更加简便，安全。

  堡垒机的设计理念

  堡垒机器主要具有4A概念，即身份验证（Authen），授权（Authorize），帐户（Account）和审核（Audit）。

  堡垒机器的目标

  堡垒机的建设目标可以归纳为5W，主要是为了降低运行和维护的风险。 详细信息如下：

  审计：您做了什么？  （什么）

  授权：您能做什么？  （哪个）

  帐户：您要去哪里？  （在哪里）

  认证：你是谁？  （谁）

  资料来源：参观时间？  （什么时候）

  堡垒机器的价值

  集中管理

  集中权限分配

  统一认证

  集中审核

  数据安全

  高效的操作和维护

  操作和维护合规

  风险控制

目前，普通堡垒机的主要功能分为以下几个模块：

  1.运维平台

  RDP / VNC操作和维护；  SSH / Telnet操作和维护；  SFTP / FTP操作与维护； 数据库运维；  Web系统运维； 远程应用程序的操作和维护；

  2.管理平台

  三权分立； 身份认证； 主机管理； 密码保管； 运行和维护监控； 电子工单；

  3.自动化平台

  自动密码更改； 自动运行和维护； 自动收集； 自动授权； 自动备份； 自动报警；

  4.控制平台

  IP防火墙； 命令防火墙； 访问控制; 传输控制； 会话阻止； 操作和维护批准；

  5.审核平台

  命令记录； 文字记录；  SQL记录； 文件存储； 全文搜索； 审计报告;

  说明：三权分立

  了解三项权力：配置，授权和审核

  了解三个成员：系统管理员，安全管理员，安全审核员

  三种权力中的三种：废除超级管理员； 三个成员是三个角色，而不是三个； 安全管理员和审核员不得是同一个人。

  堡垒机的身份认证

  堡垒主机的主要目的是提供一个统一的操作和维护门户，因此登录到堡垒主机必须支持灵活的身份验证方法，例如：

  1.本地认证

  本地帐户密码身份验证，通常支持强大的密码策略

  2.远程认证

  通常支持第三方AD / LDAP / Radius身份验证

  3.两因素认证

  UsbKey，动态令牌，SMS网关，移动APP令牌等

  4.第三方认证体系

  OAuth2.0，CAS等

  堡垒机的常见运行维护方法

  B / S运维：通过浏览器进行运维。

  C / S操作和维护：通过客户端软件（例如Xshell，CRT等）进行操作和维护。

  H5操作和维护：您可以直接在网页上打开远程桌面进行操作和维护。 无需安装本地运维工具，只要拥有浏览器，就可以对常用协议进行运维操作，支持ssh，telnet，rlogin，rdp，vnc协议

  网关运维：采用SSH网关方式，实现代理直接登录目标主机，适用于运维自动化场景。

  堡垒机的其他常见功能

  文件传输：通常登录到堡垒机并通过堡垒机进行传输。 使用RDP / SFTP / FTP / SCP / RZ / SZ和其他传输协议进行传输。

  细粒度控制：可以对访问用户，命令，传输等进行细粒度控制。

  支持开放API

  堡垒机部署方法

  1.独立部署

  堡垒机器主要以旁路模式部署，只要它可以访问所有设备，它就会附加到交换机。

  特定于部署：

  绕过部署，逻辑系列。

  不影响现有的网络结构。

  2. HA高度可靠的部署

  旁路中部署了两个堡垒机器，中间连接了心跳线以同步数据。 向外部提供虚拟IP。

  部署特征：

  两台硬件堡垒机，一台主服务器和一台备份/提供VIP。

  当主机发生故障时，备用计算机将自动接管服务。

  3.异地同步部署

  通过在多个数据中心中部署多个堡垒服务器。 堡垒机器之间的配置信息自动同步。

  部署特征：

  多位置部署，自动同步远程配置

  运维人员参观当地要塞机器进行管理

  不受网络/带宽的影响，并为灾难恢复目的祈祷

  4.集群部署（分布式部署）

  当要管理的设备数量很大时，可以在群集中部署n台堡垒计算机。 堡垒主机中的两个，一个是活动的，一个是备用的，另一个n-2堡垒作为群集节点，将同步数据上载到该主机，整个群集向外部提供虚拟IP地址。

  部署特征：

  两台硬件堡垒机器，一台主服务器和一台备用计算机，提供VIP

  当主机发生故障时，备用计算机将自动接管服务。

  开源堡垒机产品

  目前，常用的堡垒机有两种类型：充电型和开源型。 充电器包括星云经理，新盾要塞和开源Jumpserver。 这些类型中的每一种都有其优点和缺点，如何选择，可以根据实际情况进行判断。