随着信息化的快速发展与普及，业务运行已与信息化系统密不可分，由于业务需求的不断拓展，信息化系统的建设也在不断深入与增长，企业的业务系统变得日益复杂，信息化系统俨然已经成为了业务运行保障的重中之重，信息化系统的瘫痪会对业务带来的损失和影响不可估量，为防止信息化系统事故的发生，加强信息化系统的安全建设与管理已迫在眉睫。

然而各种权威的网络安全调查结果均表明，在可统计的安全事件中，85%以上均与内部人员有关，这其中既包括恶意行为（越权访问、恶意破坏、数据窃取），也包括各种非主观故意引起的非恶意行为（误操作、权限滥用）。由此可见，规范内部人员的访问行为，特别是核心系统（主机、网络设备、安全设备、数据等）的维护行为势在必行。

传统的信息安全建设，往往侧重于对外部黑客攻击的防范，以及网络边界的访问控制，对信息系统安全威胁最大的内部人员行为却缺乏有效的管理。企业内部人员，特别是拥有信息系统较高访问权限的运维人员（如网管员、临时聘用人员、第三方代维人员、厂商工程师等），比外部入侵者更容易接触到信息系统的核心设备和敏感数据、内部人员恶意或非恶意的破坏行为更容易造成较大的破坏。然而，由于现有管理手段的不完善，账号共享情况普遍存在，以及加密、图形协议的广泛应用，使得这些运维管理人员的日常操作，存在操作身份不明确、操作过程不透明、操作内容不可知、操作行为不可控、操作事故无法定位等安全风险。内部人员的操作行为几乎处于完全失控的状态，一旦发生事故，其后果的严重性将是无法预估的。因此，放任内部风险的存在决不可行。

此外，随着《网络安全等级保护基本要求》的推广实施，对IT系统内部控制的要求越来越明确。从遵守国家及本行业各项法律法规的角度考虑，如等保基本要求中明确提出，要对"内部维护人员登录主机、数据库所进行的所有操作行为"、"第三方人员的维护行为"进行审计和控制。因此应满足用户对加强内部运维安全审计日益迫切的需要，实现对企业内部人员的维护行为进行全面的管理、审计，消除传统审计系统中的盲点，使企业对运维人员的操作过程，具备事前防范、事中控制、事后审计的能力。

需求分析

法规标准要求

等级保护

公安部等四部委《网络安全等级保护基本要求》对信息系统的安全等级保护提出了明确要求。根据等保2.0标准，不同安全等级的系统需要满足相应的安全保护要求，其中对运维审计和访问控制是核心要求之一。

等保2.0在安全计算环境层面明确要求：应对登录的用户进行身份标识和鉴别，身份标识具有唯一性；应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；应对重要主体和客体设置安全标记，并控制主体对客体的信息访问；应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计。

等保2.0在安全管理中心层面要求：应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；应对安全审计记录进行分析，发现安全违规行为的审计。

行业法规

财政部、审计署、证监会、银监会、保监会联合颁布的《企业内部控制基本规范》。该规范的关键点是如何把IT内控与企业内控管理统一起来，信息安全审计则成为企业IT内控、安全风险管理的不可或缺的技术手段。

萨班斯·奥克斯利法案（Sarbanes-Oxley）。该法案强调企业的信息技术策略和系统中的内部控制，以及对审计过程存档的要求，即企业的内控活动（不论是人还是机器）的操作流程都必须明白地定义并保存相关记录。

运维现状需求分析

随着互联网的飞速发展和信息技术的应用，金融行业通常选择Unix/Linux主机及Windows主机来运行关键业务，企业数据中心通常拥有数量众多的Unix/Linux主机及Windows主机来运行电子商务、数据库应用、运维管理、ERP和协同工作群件等。企业内部甚至有数百台Unix/Linux主机及Windows主机、大量的数据库系统应用、系统软件和复杂的网络系统。

面对系统和网络安全性、IT运维管理和IT内控外审，信息安全部门在运维管理网络设备和服务器时，面临如下问题：

运维人员管理复杂

企业存在大量的网络设备，传统的登录方式很难满足迅速发展的业务需求，网络运维人员登录管理较为复杂。而且大量服务器和网络设备的用户名和密码记录在EXCEL表格里，存在泄密和诸多不安全因素。由于工作效率低、运维管理成本高等，急切要求集中登录、集中管理，实现一次登录多个资源的安全访问。

系统密码安全问题

为了保证关键业务系统密码的安全性，安全管理员制定了严格的密码策略，比如密码要定期修改，密码要保证足够的长度和复杂度等，但是由于管理的机器数量和帐号数量太多，往往导致密码策略的实施流于形式。

操作风险难以控制

网络运维人员，技术水平不一，在操作关键网络设备及服务器时，有可能执行了危险命令，如：reboot、delete等命令，导致大量用户无法正常访问，严重影响正常业务。

操作风险除了执行危险命令外，还包括：内部运维人员建立木马账户或者"僵尸账户"，假如用户离职，通过网络途径登录管理服务器，窃取机密信息或者对网络设备和服务器执行破坏性操作，结果是难以估量的，问题也无法跟踪。

共享帐号安全隐患

企业的支撑系统中有大量的网络设备、主机系统和应用系统，分别属于不同的部门和不同的业务系统。各应用系统都有一套独立的帐号体系，用户为了方便登录，经常出现多人共用帐号的情况。

多人同时使用一个系统帐号在带来方便性的同时，导致用户身份唯一性无法确定。如果其中任何一个人离职或者将帐号告诉其他无关人员，会使这个帐号的安全无法保证。

由于共享帐号是多人共同使用，发生问题后，无法准确定位恶意操作或误操作的责任人。更改密码需要通知到每一个需要使用此帐号的人员，带来了密码管理的复杂化。

系统资源授权不清晰

各系统分别管理所属的系统资源，为本系统的用户分配权限，无法严格按照最小权限原则分配权限。另外，随着用户数量的增加，权限管理任务越来越重，当维护人员同时对多个系统进行维护时，工作复杂度会成倍增加，安全性无法得到充分保证。

访问控制策略不严格

目前，在网络管理中没有一个清晰的访问控制列表，无法一目了然看到哪个用户能够以何种身份访问哪些关键设备，同时缺少有效的技术手段来保证访问控制策略被有效执行。

用户操作无法有效审计

各系统独立运行、维护和管理，所以各系统的审计也是相互独立的。每个网络设备，每个主机系统分别进行审计，安全事故发生后需要排查各系统的日志，但是往往日志找到了，也不能最终定位到行为人。

另外各系统的日志记录能力各不相同，例如对于B/S、C/S应用以及Unix系统来说，日志记录就存在以下问题：

• 在B/S、C/S应用页面中，所有的操作都无法做到记录，并且系统日志也无法对WEB界面进行记录；
• Unix系统中，用户在服务器上的操作有一个历史命令记录的文件，但是用户可以随意更改和删除自己的记录；
• Root用户不仅仅可以修改自己的历史记录，还可以修改他人的历史记录，系统本身的历史记录文件已经变得不可信；
• 记录的命令数量有限制；
• 无法记录操作人员、操作时间、操作结果等。

部署合理性需求

保证系统的可管理性和审计日志的有效性，避免绕开登录门户与审计系统的现象发生。企业采用旁路部署，集中认证与审计。

主机灾备冗余需求

旁路的部署从一定意义上讲，降低了网络安全风险，易于解决单点故障出现的问题。但要从根本上提高网络的安全运维，必须做好灾备、冗余，以达到故障的快速恢复。具体需求：

• 登录门户的稳定运行是保证身份及访问管理系统运行正常的关键，要求认证系统可支持灾备、冗余；
• 加强后台账号和口令的存储管理。紧急状态下能够保证管理员有效获得账号的口令，并获得登陆目标主机的授权；
• 支持日志归档功能包括手工与自动两种方式。操作员可以设置归档范围（类型、时间）。

传统KVM及网络审计产品缺陷

多电脑切换器（KVM）

设计初衷：便捷地登录运维企业资产，简化机房运维线路布置，节省机房内输入输出设备，节省机柜空间。虽然实现了统一便捷的运维登陆入口，但部署麻烦，无法实现单点登录、设备账号维护（密码变更、账号增删）、审计关联到自然人，且维护成本较高。

网络审计产品

传统网络审计产品可以实现简单日志审计，但不支持密文协议（SSH/RDP等），无法实现细粒度的授权与访问控制，只能做到账号、IP级别审计，无法实现实名审计。

解决方案

设计目标

有效管理内网运维，有效避免运维安全事故，主要实现集中账号管理、身份认证、授权管理、审计运维等功能。

设计原则

整体安全和全网统一的原则：资源访问的安全设计从一个完整的安全体系结构出发，综合考虑信息网络的各种实体和各个环节，综合使用不同层次的不同安全手段，为信息网络和安全业务提供全方位的管理和服务。

标准化、一致性原则：项目安全体系的设计遵循一系列国家标准，使整个系统安全地互联互通。

需求、风险、成本折中原则：任何网络和信息系统都不能做到绝对的安全，设计时在不影响原网络性能和设计要求的情况下，在安全需求、安全风险和安全成本之间进行平衡和折衷。

实用、高效、可扩展原则：安全保障系统所采用的产品便于操作、实用高效。同时随着技术发展，信息系统也将发生各种变化，在系统实施过程中，系统的结构、配置也会发生变化，系统的安全工程要有一定的灵活性来适应这种变化，做到层次性、体系性，既有利于系统的安全，又有利于系统的扩展。

技术和管理相结合原则：各种安全技术应该与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合，从社会工程学的角度综合考虑。

设计理念

集中管理模式

要解决核心资源的访问安全问题，我们首先从管理模式上进行分析。管理模式是首要因素，管理是从一个很高的高度，综合考虑整体的情况，然后制定出相应的解决策略，最后落实到技术实现上。管理解决的是面的问题，技术解决的是点的问题，管理的模式决定了管理的高度。我们认为随着应用的发展，设备越来越多，维护人员也越来越多，我们必须由分散的管理模式逐步转变为集中的管理模式。

只有集中才能够实现统一管理，也只有集中才能把复杂问题简单化，集中管理是运维管理思想发展的必然趋势，也是唯一的选择。集中管理包括：集中的资源访问入口、集中账号管理、集中授权管理、集中认证管理、集中审计管理等。

协议代理

为了对字符终端、图形终端操作行为进行审计和监控，堡垒机对各种字符终端和图形终端使用的协议进行代理，实现多平台的操作支持和审计，例如Telnet、SSH、FTP、SFTP、Windows文件共享、Windows平台的RDP远程桌面协议、Linux/Unix平台的XWindow图形终端访问协议等。

当运维机通过堡垒机访问服务器时，首先由堡垒机模拟成远程访问的服务端，接受运维机的连接和通讯，并对其进行协议的还原、解析、记录，最终获得运维机的操作行为，之后堡垒机模拟运维机与真正的目标服务器建立通讯并转发运维机发送的指令信息，从而实现对各种维护协议的代理转发过程。在通讯过程中，堡垒机会记录各种指令信息，并根据策略对通信过程进行控制，如发现违规操作，则不进行代理转发，并由堡垒机反馈禁止执行的回显提示。

身份授权分离

以前管理员依赖各IT系统上的系统账号实现两部分功能：身份认证和系统授权，但是因为共享账号、弱口令账号等问题存在，这两方面实现都存在漏洞，达不到预期的效果。解决的思路是将身份和授权分离。在堡垒机上建立主账号体系，用于身份认证，原各IT系统上的系统账号仅用于系统授权，这样可以有效增强身份认证和系统授权的可靠性，从本质上解决账号管理混乱问题，为认证、授权、审计提供可靠的保障。

遵循与参考的标准及规范

• 国家保密标准BMZ2-2001《涉及国家秘密的计算机信息系统安全保密方案设计指南》
• 国家保密标准BMZ1-2000《涉及国家秘密的计算机信息系统保密技术要求》
• 国家保密标准《计算机信息系统保密管理暂行规定》（国保发[1998]1号）
• 国家标准GB 17859-1999《计算机信息系统安全保护等级划分准则》
• 国家标准GB/T 18336.2-2001《信息技术安全技术 信息技术安全性评估准则第2部分: 安全功能要求》
• 《信息安全管理技术规范》

系统架构

逻辑构架

堡垒机物理上以旁路的方式部署在运维终端与被管理设备之间的交换机上，逻辑上以串行的方式部署在运维终端与被管理设备之间。用户在访问被管理设备时，要先登录堡垒机，通过堡垒机以协议代理的方式访问被管理设备。堡垒机根据登录用户的角色和权限，在Portal上显示用户可以访问的被管理设备列表，再通过单点登录功能登录到用户要访问的设备，用户的操作行为受到堡垒机的访问控制和审计。

设计构架

堡垒机运维安全管理系统由展现层、核心服务层、接口管理层三层组成。

展现层集成多种强身份认证服务；分别对系统管理员、运维SSO用户两类用户提供不同的访问操作页面。

核心服务层用于完成账号管理、授权管理及策略设置等操作；其中的协议代理包含用户输入模块、命令捕获引擎、策略控制和日志服务。

接口管理层用于实现审计结合、账号同步、认证结合等方面的数据接口工作。另外也包含应用发布服务，应用发布服务可以实现对B/S、C/S、半B/S半C/S系统的单点登录及审计工作。

核心服务层负责完成命令的采集、策略动作执行等功能。核心服务层安装在服务器上，同用户使用环境和习惯相配合，完成对用户行为的监视与控制功能。

核心功能

统一账号管理

管理员通过主账号信息管理界面维护主账号的整个生命周期，对主账号进行增加、修改、删除及锁定、解锁等操作，同时设置主账号的密码使用策略及用户的级别定义。主账号用户可以通过个人信息维护功能来管理自身账号信息，对手机、邮件及密码等个人信息进行修改。

单点登录

用户登录到堡垒机后，直接选择目标资产及从账号，由堡垒机完成账号及密码的代填，实现自动登录。

自动捕获用户命令行输入

核心服务层可以自动捕获用户命令行输入，如ls、ps、ifconfig等。核心服务层支持多行长命令的捕获，多行命令的编辑操作（如回退、DEL、光标移位等）不影响命令捕获结果。核心服务层智能支持历史操作，支持UP、DOWN功能键，支持对历史操作命令的抓取，支持对以"！"方式执行历史命令的控制和相关命令抓取。核心服务层智能识别编辑状态和命令状态，支持对所有shell下命令的抓取，支持mysql、telnet、ssh等客户端程序内部呈现命令的捕获功能。

核心服务层支持命令的TAB补全，支持回退键、删除键、方向键等功能键。

核心服务层支持命令的组合使用，支持管道"|"，支持逻辑或"||"和与"&&"操作，支持分号命令";"。核心服务层支持拒绝和允许两个策略动作。对拒绝的命令，核心服务层能够保证该命令不被执行，忠实地履行安全策略执行动作。

系统功能

堡垒机采用系列先进技术，成功实现命令及图形的捕获与控制，为服务器的安全运行提供了强有力的系统工具。

逻辑命令自动识别技术

堡垒机自动识别当前操作终端对服务器的命令操作，对当前终端的输入输出进行控制，组合输入输出流，自动识别逻辑语义命令。系统会根据输入输出上下文，确定逻辑命令编辑过程，进而自动捕获出用户使用的逻辑命令。该项技术解决了逻辑命令自动捕获功能，在传统键盘捕获与控制领域取得新的突破，可以更加准确地控制用户意图。该技术能自动识别命令状态和编辑状态以及私有工作状态，准确捕获逻辑命令。

分布式处理技术

堡垒机采用分布式处理架构进行处理，启用命令捕获引擎机制，通过策略服务组件完成策略审计，通过日志服务组件存储操作审计日志，并通过实时监视中心，实时察看用户在服务器上的行为。这种分布式设计有利于策略的正确执行和操作记录日志的安全。同时，各组件之间采用安全连接进行通信，防止策略和日志被篡改。各组件可以独立工作，也可以分布于不同的服务器上，亦可将所有组件安装于一台服务器上。

图形协议代理

为了对图形终端操作行为进行审计和监控，堡垒机对图形终端使用的协议进行代理，实现多平台的多种图形终端操作的审计，例如Windows平台的RDP方式图形终端操作，Linux/Unix平台的VNC方式图形终端操作。

多进程/线程与同步技术

堡垒机主体采用多进程/线程技术实现，利用独特的通信和数据同步技术，准确控制程序行为。多进程/线程方式逻辑处理准确，事务处理不会发生干扰，这有利于保证系统的稳定性、健壮性。

数据加密功能

堡垒机在处理用户数据时都采用相应的数据加密技术来保护用户通信的安全性和数据的完整性，防止恶意用户截获和篡改数据，充分保护用户在操作过程中不被恶意破坏。

审计查询检索功能

自从《萨班斯法案》的推出，企业内控得到了严格的审查，企业的内部审计显得非常重要。堡垒机能够为企业内部网络提供完全的审计信息，这些审计信息能够为企业追踪用户行为、判定用户行为，能够还原出用户的操作行为。传统审计关联到IP，这本身是一个不确定的和不负责任的审计结果，因为IP信息不能够真实反应出真实的操作者是谁，从而企业内部网络出现问题不能追踪到操作者。堡垒机能够对这些用户行为进行关联审计，就是说真正能够把每一次审计出的用户操作行为绑定到自然人身上，便于企业内部网络管理追踪到个人。

操作还原技术

操作还原技术是指将用户在系统中的操作行为在真实的环境中模拟显现出来，审计管理员可以根据操作还原技术还原出真实的操作，以判定问题出在哪里。堡垒机采用操作还原技术能够将用户的操作流程自动地展现出来，能够监控用户的每一次行为，判定用户的行为是否对企业内部网络安全造成危害。

部署实施

部署模式

堡垒机旁路部署在用户网络，并通过防火墙策略实现客户端到堡垒机及堡垒机到目标服务器的端口限制。

注：XWindow、VNC、数据库或者应用类的端口，视实际情况而定。FTP连接，如果是被动模式，还会动态协商出一个端口，这里无法具体给定。

工作原理与冗余部署

工作原理

由于堡垒机访问模式为单臂模式（不需要串行于网络），只需将堡垒机部署在与服务器相同的拓扑位置。当用户访问设备时，堡垒机完成对Telnet（23）、SSH（22）、RDP（3389）等协议的协议代理，在堡垒机上完成对设备的单点登录及完整的会话审计。

冗余部署

下图为单组堡垒机及应用发布的冗余部署方案：M1、M2共同虚拟出虚拟IP供设备管理员访问；M1、M2通过直连线实现业务数据的同步复制，保证主备机业务数据的实时同步；共部署两台应用发布机供用户单点登录使用，在堡垒机资源录入阶段将资源绑定在两台应用发布机中，这两台应用发布机均为在线状态。

• M1、M2通过直连线实现业务数据同步，业务数据同步方向为双向；
• 冗余方案不同步行为审计信息，若主机出现宕机，在备机上产生的行为审计信息不实时同步到主堡垒机，方案提供文件导入方式从备机到主机的行为审计导入（非实时）。

实施过程

实施前调研

系统部署实施前，由本项目全体人员和用户参与该项目的相关人员共同组成项目组对用户方的设备情况、具体管理要求等进行详细调研，共同制定产品实施方案。项目组将根据调研的结果做出书面的产品实施方案。项目组将反复讨论方案的实际符合性和可行性，在其过程中可以根据企业的要求进行产品方案的调整，使其更加符合企业的实际功能需求。最后确定最终的实施方案和时间安排，根据确定的方案和时间安排进行本项目的产品部署实施。

设备上线与网络调试

根据前期调研形成的设备上线方案，将堡垒机产品接入网络并调整好网络配置，配合部署，调整访问控制设备或其他设备上的网络访问策略。

拆箱检查

在打开包装之后，请先检查随机附带的电源线、网线、随机附件等是否齐全。所有部件请对照装箱单检查，如有缺损请及时与销售人员联系。注意：取出设备后，不要将外包装丢弃，在需要搬运时，需要使用原包装，它是为您的审计设备专门设计的包装，具有良好的防震功能。每当您需要维修服务时也最好用原包装将审计设备返回到公司维修服务部门。

每台设备有固定的序列号，且唯一。

配置与授权

自然人、资源、策略配置、组建立

项目组工程师根据调研与梳理阶段形成的相关报告，结合本项目中用户的实际管理需求，在系统中配置自然人、资源、策略，创建相应角色及管理员，进行分组配置、自然人与资源关联映射配置及策略配置。

主机接入

• 依照资产调研中获取的调研表格创建各种类型的堡垒机资源；
• 资源对象创建后对可进行账号收集的设备进行账号收集，对于难以完成账号收集的设备可以采用手工录入的模式；
• 对需要访问（可根据人员授权调查表进行统计）的从账号进行密码的设置（无法通过技术实现获取用户密码）。

授权关系建立

• 依照普通访问用户调研中获取的调研表格建立普通访问用户；
• 依照普通访问用户的授权列表，建立普通访问用户与具体从账号的授权关系。

系统培训与初运行

经过调研、梳理与上线部署配置，基本完成了实施阶段安装工作，在上线部署的同时，需对项目相关IT管理员做初步的系统培训，以掌握必要的知识参与到系统初运行中。

系统初验、试运行与终验

系统初运行是系统上线后的运维过渡期，经过这个阶段的调整，系统基本满足用户运行要求，并进行了项目初步交接，可进行系统初验；初验完成后，系统将试运行50个工作日左右，之后无故障后进行系统终验。

在基础信息及整体方案形成后，就可以进入试运行阶段。在试运行阶段，用户可以将正常运维的内容转移到堡垒机中来完成，从而熟悉堡垒机的基本功能。在此阶段可以不用增加限制策略，当充分熟悉系统运行流程后再进行限制。此阶段可兼顾正常业务的访问（不要切断正常业务的访问路径），以免出现问题不易解决。

• 运维用户使用（正常办公使用）；
• 管理员使用（审批、审计、基本信息创建等）。

堡垒机运行管理阶段

在运行管理阶段，是在用户已经熟悉整个堡垒机功能的基础上的限制阶段。管理员可以按照相应的管理办法或条例增加访问控制策略和防火墙策略。此阶段可兼顾正常业务的访问（不要切断正常业务的访问路径），以免出现问题不易解决的情况，用户可以等到稳定阶段再关闭此路径。

• 地址策略配置（可选）；
• 时间策略配置（可选）；
• 命令策略配置（可选）；
• 密码策略配置（可选）；
• 防火墙端口限制、访问限制（可选）。

用户在运行稳定阶段可以将之前的部分业务路径关闭，可以只通过堡垒机正常运维，从而充分利用本系统来为用户服务。

变更管理与权限管理

变更管理

当项目在实施过程中有需要进行变更的情况下，实施组需要提交书面文档《项目变更报告》给项目管理组，项目变更说明要说明变更的具体原因、变更的解决方案等，由项目管理组召开项目会议进行讨论，重新研究变更后的方案，并且对变更后的方案进行验证。

管理职能的划分

• 用户管理归属企业相关部门负责人。
• 策略制定归属企业相关部门系统管理人员。
• 监控职能归属企业相关部门系统审计人员。

管理权限的划分

系统管理权限分为三类：系统管理员、系统操作员、审计员。系统管理员主要负责对设备和系统用户的管理、系统的日常维护等工作；系统操作员负责对范围内的设备进行管理等工作；审计员负责对系统管理员、系统操作员的预警和审计。三类用户之间权限互不干扰，完全独立各自负责各自权限完成自身的工作。

各组管理员账号

系统上线初期由堡垒机初始化用户建立各组管理员账号。组管理员账号归各机构专人所有。

安全审计员账号

安全审计员账号归专人负责。安全审计员只有日志查看的权限，无法进行主账号的建立及授权。

组织结构策略规划

可以按照单位部门的划分方式进行划分，根据不同的业务进行不同的区域划分制定相应的管理策略。可以根据网段进行划分，根据网络日常维护习惯进行网段划分。

测试区域的规划

对于系统的测试非常必要，对于设备种类、数量多的用户来说，使用堡垒机必须要进行区域性的测试，通过测试可以熟悉产品、发掘更多的符合实际情况的运维需求。通过在某一区域进行产品的部署，完成对产品功能的实现测试，通过试运行等工作检验产品在实际网络中的运行状况和实用性。

系统测试

工作目标：对堡垒机进行全面的技术测评，保证系统能够符合合同规定要求。工作内容：测试堡垒机工作是否正常、安全策略是否有效，及其是否存在其他安全隐患。项目组分工：企业用户协调相关测评部门，厂商技术人员积极配合做好这项工作。实施周期：产品部署结束，试运行一周时间后开始测试测评。

系统验收

工作目标：通过项目验收。工作内容：对堡垒机进行最终的验收工作，评定项目，形成项目文档。验收流程：按技术规范书的要求对其产品的性能和配置进行测试检查，并做出《测试报告》。验收标准：在技术规范书规定的地点和环境下，实现正常运行，并达到技术规范书要求的性能和产品技术规格中的性能。验收条件：软件产品测试中出现性能指标或功能上完全符合规范书和合同时，项目单位才予以验收。验收时间：视项目最终完成时间组织验收。

方案优势

技术成熟性

堡垒机在开发研制中，采用了成熟的先进技术，对系统的关键技术在前期的工作中进行了大量实验和攻关及原型建立，在已开发并经广泛测试的产品中，上述的关键技术问题已解决。而且，堡垒机所选取的硬件平台和软件平台，是具有良好的技术支持和发展前途的成熟产品。

安全性与可靠性保障

业务需求可靠性

我们进行了详细的需求调研和业务建模，使业务管理模式和业务内容（包括岗位设置、工作程序及其要求等）均符合我国现行法律、法规的规定和要求；并且，有机地融合了集中和分布两种模式的模块化、平台化的应用软件，不仅可以满足网络安全管理的各种需求，而且，还能够较好地解决业务需求可能面临的扩充及变动，具有较好的通用性与灵活的扩展及升级能力。

可扩展性

在保证系统接口统一性和系统结构完整性的前提下，本系统提倡在总体设计的前提下，分步实施系统的每一个环节，保证了接口统一和系统结构完整性的设计，避免重复建设、重复投资、系统接口不吻合、业务关联脱节等等弊端。

安全性

堡垒机运用了先进的加密、过滤、备份、数字签名与身份认证、权限管理等安全手段，建立健全的系统安全机制，保证了用户的合法性和数据不被非法盗取，从而保证产品的安全性。

宿主操作系统安全

• 堡垒机操作系统经过裁剪，不含无用功能，从而减少漏洞；
• 在生产部署模式中会关闭堡垒机外联网口的直接访问功能，若对本机管理只能在机房通过直连并且正确认证才能管理，从而做到无安全死角；
• 堡垒机采用HTTPS访问协议并使用安全证书认证（可与第三方CA结合），从而保证了认证安全及通讯的数据安全。

安全漏洞扫描

本系统经过严格的漏洞扫描流程，确保系统不存在已知的安全漏洞。扫描报告证实堡垒机系统安全性良好，无高危漏洞存在。

产品安全保障与应急处理

产品安全保障

由于堡垒机处于用户访问管理的核心位置，必须保证其自身系统的安全性。所以我们设计产品时主要考虑如下几个方面的要求：

组件间通讯安全

• 用户访问堡垒机可选择采用HTTP或HTTPS协议；
• 用户登录数据库设备采用呼起数据库访问客户端的方式；
• 用户访问字符型堡垒机采用Telnet或SSH协议进行访问，传递的认证信息为一次性的认证口令；
• 字符堡垒机到设备访问采用Telnet或SSH协议进行访问；
• 用户访问图形堡垒机采用RDP协议进行访问；
• 认证服务器通过RADIUS实现网络设备的认证；
• 目录之间的同步可以通过LDAP或LDAPS加密协议完成。

应急处理

部署堡垒机后用户对设备的运维操作均需通过堡垒机进行，以确保访问行为安全、可审计。而堡垒机应急处理方式主要取决于实施过程所采用的访问控制方式。堡垒机在推广使用过程中一般有两种访问控制方式分别是口令修改方式和网络ACL方式。

采用口令修改访问控制方式时的应急

为确保所有设备维护人员必须通过堡垒机访问设备，通用做法之一就是将相应的设备账号口令进行修改，正确设备口令均存储在堡垒机中，堡垒机会定期地将所有设备或部分设备的账号名/口令进行备份并以邮件或其他方式发送加密信封给少数高权限管理员。应急方法：当堡垒机出现短期无法恢复的宕机情况时，高权限管理员可直接将相应设备账号/口令发送至普通访问人员手中，以确保能够正常登录设备完成业务。

采用网络ACL访问控制方式时的应急

为确保所有设备维护人员必须通过堡垒机访问设备，另外一种常用做法为网络ACL方式。在部署堡垒机后在办公域与生产设备安全域两个区域之间的防火墙ACL（或交换机ACL）限制用户到具体生产设备域的几个标准运维端口的访问，如：Telnet（23）、SSH（22）、RDP（3389），并将堡垒机访问端口例外。

核心价值与收益

堡垒机解决方案为企业带来全方位的运维安全保障，其核心价值体现在以下几个维度，帮助企业在合规、效率、安全三个层面实现全面提升。

典型应用场景

堡垒机解决方案适用于多种行业和应用场景，为企业提供灵活可定制的安全运维管理能力。

金融银行业

金融行业是堡垒机应用最为广泛的行业之一。银行、证券、保险等金融机构拥有大量的核心业务系统和敏感数据，对运维安全的要求极为严格。堡垒机可以帮助金融机构实现运维人员的统一身份认证、细粒度权限控制、全量操作审计，满足银保监会等行业监管要求。特别是在核心交易系统、网银系统、风控系统等关键业务场景中，堡垒机的操作阻断和实时告警功能可以有效防止误操作和恶意操作，保障金融业务的安全稳定运行。

政府与公共事业

政府部门和公共事业单位承载着大量涉及国家安全和公共利益的信息系统。堡垒机帮助政府部门建立统一的运维管理平台，实现运维人员的实名制管理，确保每一次操作都有据可查。在政务云、智慧城市、电子政务等场景中，堡垒机提供了从身份认证到操作审计的全流程安全保障，满足等保2.0和密评等合规要求。

医疗行业

医疗行业的HIS、PACS、EMR等核心业务系统关系着患者的生命健康，对系统的可用性和数据的保密性要求极高。堡垒机帮助医院建立统一的运维管理入口，对HIS系统、电子病历、医学影像等核心系统的运维操作进行全程审计和管控。同时，堡垒机的权限管理功能可以确保不同科室、不同岗位的运维人员只能访问其权限范围内的系统资源，有效保护患者隐私数据安全。

教育行业

高校和科研院所拥有大量的实验设备、科研数据和教学资源，运维管理涉及多个部门和多种角色。堡垒机可以帮助教育机构建立分级分权的运维管理体系，实现校园网、数据中心、实验室设备等资源的统一运维管理。特别在校企合作、科研项目协作等场景中，堡垒机可以为外部合作人员提供安全的临时访问通道，既保障了协作效率，又确保了核心数据的安全。

制造业与能源行业

制造业的ERP、MES、SCADA等工业控制系统和能源行业的生产监控系统同样需要严格的运维安全管理。堡垒机可以为这些关键生产系统提供运维访问的统一管控，防止未经授权的运维操作影响生产安全。在工业互联网和智能制造的场景下，堡垒机的远程运维管理能力可以大大提升运维效率，降低运维成本。

产品特性详解

多因素身份认证

堡垒机支持多种身份认证方式的灵活组合，构建多层次的身份验证体系，确保只有合法用户才能访问企业IT资源：

• 静态密码认证：支持本地密码库、LDAP/AD域集成、RADIUS服务器等多种密码认证方式。
• 动态口令（OTP）：支持基于时间的一次性密码（TOTP）、基于事件的一次性密码（HOTP），兼容主流动态令牌设备。
• 数字证书认证：支持X.509数字证书认证，可与PKI/CA系统集成，提供最高级别的身份验证。
• 生物特征认证：支持指纹识别、人脸识别等生物特征认证方式，提供便捷且安全的身份验证体验。
• 短信验证码：通过短信发送一次性验证码，适用于远程办公和移动运维场景。
• USB Key：支持基于USB Key的硬件认证方式，适用于高安全等级要求的场景。

精细化授权管理

堡垒机提供细粒度的访问授权机制，确保用户只能在其权限范围内操作：

• 基于角色的访问控制（RBAC）：根据用户角色自动匹配相应的资源访问权限，简化权限管理。
• 命令级黑白名单：可以精确控制用户可执行的命令，禁止危险命令（如rm -rf、shutdown等），允许特定命令。
• 时间策略控制：设置允许访问的时间段，如只允许工作日9:00-18:00进行运维操作。
• 地址策略控制：限制用户只能从特定的IP地址或网段访问目标资源。
• 双人共管：对关键操作实行双人审批机制，一人发起、一人审批，确保重要操作的可控性。
• 临时授权：支持临时访问授权的申请和审批流程，授权到期后自动收回权限。

全量操作审计

堡垒机提供全面的操作审计能力，覆盖用户访问的每一个环节：

• 会话录像：对图形界面操作（RDP、VNC等）进行全程录像，支持实时观看和历史回放。
• 命令审计：对字符终端操作（SSH、Telnet等）进行完整的命令记录，包括输入命令和输出结果。
• 文件传输审计：记录所有通过FTP/SFTP进行的文件传输操作，包括上传、下载、删除等。
• 数据库操作审计：对数据库访问操作进行SQL语句级别的审计，记录查询、修改、删除等操作。
• 操作搜索与回放：支持按用户、时间、目标资源、命令关键字等条件搜索操作记录，快速定位问题。
• 审计报表：自动生成各类审计报表，支持PDF、Excel等格式导出，满足合规审计需求。

自动化运维管理

堡垒机提供丰富的自动化运维功能，大幅提升运维效率：

• 自动密码管理：支持自动采集、定期修改、自动同步各IT资产的账号密码，减少人工维护成本。
• 批量操作：支持对多台设备同时执行相同的运维命令，适用于批量配置更新、批量巡检等场景。
• 定时任务：支持创建定时运维任务，如定期备份、定期巡检、定期检查等。
• 告警通知：支持邮件、短信、微信等多种告警通知方式，异常情况第一时间通知管理员。
• 工单集成：可与ITSM系统集成，实现运维工单的自动化流转和审批。

实施路线图

堡垒机项目的成功实施需要科学合理的规划和分阶段推进。以下为建议的实施路线图：

第一阶段：调研与规划（1-2周）

• 梳理现有IT资产清单，包括服务器、网络设备、数据库、应用系统等。
• 调研现有运维管理模式，了解运维人员角色划分、权限分配现状。
• 识别关键业务系统和高风险操作场景，确定优先纳管范围。
• 制定项目实施计划，明确项目目标、范围、时间表和责任人。

第二阶段：部署与配置（1-2周）

• 完成堡垒机设备的网络部署和基础配置。
• 建立自然人账号体系，创建用户组和资源组。
• 录入IT资产信息，建立主从账号映射关系。
• 配置基础访问控制策略和审计策略。

第三阶段：试运行与优化（2-4周）

• 选取部分用户和业务系统进行试点运行。
• 收集用户反馈，优化配置策略和使用流程。
• 逐步扩大纳管范围，覆盖更多IT资产和运维人员。
• 完善权限管理体系，细化访问控制策略。

第四阶段：全面上线（持续）

• 完成所有IT资产的纳管和所有运维人员的账号创建。
• 关闭直接访问路径，确保所有运维操作通过堡垒机进行。
• 建立常态化的运维管理流程和审计机制。
• 定期评估和优化堡垒机运行效果。

运维保障与服务

堡垒机不仅是技术产品，更是运维管理理念的落地实践。我们提供全方位的运维保障服务，确保堡垒机系统稳定运行，持续为企业创造价值。

技术支持体系

• 7×24小时技术支持热线，随时响应紧急技术问题。
• 专属技术顾问，定期回访，协助优化配置策略。
• 远程诊断工具，快速定位和解决系统问题。
• 定期软件升级，持续提供最新的安全补丁和功能增强。

培训与赋能

• 管理员培训：系统安装、配置管理、策略制定、故障处理等。
• 运维人员培训：登录使用、资源访问、工单申请等操作指南。
• 审计人员培训：日志查询、报表生成、操作回放、异常分析等。
• 最佳实践分享：行业标杆案例、常见问题解决方案、运维管理经验。

联系我们

华南腾飞专业集成通信网络及网络安全建设，拥有十几年以上施工及实施经验，为广大客户解决了通信网络及网络安全各种难题，得到了广大客户的广泛认可。我司免费为直接客户及工程集成商提供全套解决方案及报价，欢迎全国广大客户来人来电咨询业务！