蓝Auditor服务器安全审计监控

 

目前，随着企事业单位IT系统的不断发展，网络规模和设备数量迅速扩大，日趋复杂的IT系统与不同背景的运维人员的行为给信息系统安全带来较大风险，主要表现在：

1.多个用户使用同一个账号。这种情况主要出现在同一工作组中，由于工作需要，同时系统管理账号，因此只能多用户共享同一账号。如果发生安全事故，不仅难以定位账号的实际使用者和责任人，而且无法对账号的使用范围进行有效控制，存在较大安全风险和隐患。
2.一个用户使用多个账号。目前，一个维护人员使用多个账号是较为普遍的情况，用户需要记忆多套口令同时在多套主机系统、网络设备之间切换，降低工作效率，增加工作复杂度。如下图所示：

用户与账号的关系现状
3.缺少统一的权限管理平台，权限管理日趋繁重和无序；而且维护人员的权限大多是粗放管理，无法基于小权限分配原则的用户权限管理，难以实现更细粒度的命令级权限控制，系统安全性无法充分保证。
4.无法制定统一的访问审计策略，审计粒度粗。各网络设备、主机系统、数据库是分别单审计记录访问行为，由于没有统一审计策略，并且各系统自身审计日志内容深浅不一，难以及时通过系统自身审计发现违规操作行为和追查取证。
5. 传统的网络安全审计系统无法对维护人员经常使用的SSH、RDP等加密、图形操作协议进行内容审计。
如何解决上述风险带来的各种安全隐患和审计监管问题？北京蓝浚SSA给我们提供一套运维管理解决方案，使得管理人员可以对各种资源（包括网络设备、主机、安全设备和数据库）进行集中账号管理、细粒度的权限管理和审计，帮助企业提升风险内控水平。

一、SSA核心功能：

1、单点登录功能
支持对X11、linux、unix、数据库、网络设备、安全设备等一系列授权账号进行密码的自动化周期更改，简化密码管理，让使用者无需记忆众多系统密码，即可实现自动登录目标设备，便捷安全；
2、账号管理
设备支持统一账户管理策略，能够实现对所有服务器、网络设备、安全设备等账号进行集中管理，完成对账号整个生命周期的监控，并且可以对设备进行特殊角色设置如：审计巡检员、运维操作员、设备管理员等自定义设置，以满足审计需求 ；
3、身份认证
设备提供统一的认证接口，对用户进行认证，支持身份认证模式包括 动态口令、静态密码、硬件key 、生物特征等多种认证方式，设备具有灵活的定制接口，可以与其他第三方认证服务器之间结合；安全的认证模式，有效提高了认证的安全性和可靠性；
4、资源授权
设备提供基于用户、目标设备、时间、协议类型 IP、行为等要素实现细粒度的操作授权，大限度保护用户资源的安全；
5、访问控制
设备支持对不同用户进行不同策略的制定，细粒度的访问控制能够大限度的保护用户资源的安全，严防非法、越权访问事件的发生；
6、操作审计
设备能够对字符串、图形、文件传输、数据库等全程操作行为审计；通过设备录像方式实时监控运维人员对操作系统、安全设备、网络设备、数据库等进行的各种操作，对违规行为进行事中控制。对终端指令信息能够进行精确搜索，进行录像精确定位。

二、系统架构

堡垒机管理平台由系统监控管理模块、平台管理配置模块和平台会话日志管理模块构成，在“平台模块”的基础之上，展现堡垒机的功能模块，功能模块主要由账号管理、认证管理、权限分配、审计管理和报表管理组成。堡垒机总体架构如下图所示：

1、监管人员与监管设备
堡垒机支持对所有的运维人员、第三方支持人员和代维人员的审计监控
堡垒机支持对目前市场主流的服务器、安全设备、网络设备、数据库的监控审计
2、功能管理模块
提供账户管理功能、认证管理功能、权限管理功能和审计管理功能以及报表管理功能。
下面分别说明账号管理、认证管理、权限管理和审计管理模块的功能。
账号管理
账号管理主要负责集中维护包括运维账号、设备账号、堡垒机自身管理账号以及对账号密码的管理。
运维账号的范围包括设备管理员、维护人员、第三方代维人员。
运维账号是登录堡垒机，获取目标设备访问权利的账号，与实际用户身份一一对应，每个用户一个主账号，每个主账号只属于一个用户。
认证管理
系统可通过本地认证、外部认证（如LDAP、RADIUS）等认证方式，对用户账号进行统一认证鉴权，并实现单点登陆。
·单点登录（SSO）
单点登录是用户完成主账号登录后，访问具有权限的所有目标设备时，均不需要再输入账号口令，堡垒机自动代为登录，因此不需要用户记录多套账号口令、重复登录，提高工作效率。
权限管理
授权管理包括设备管理和授权、账号授权。
· 设备管理和授权
系统将需要管理的设备录入，设备信息包括设备名称、版本、IP地址、连接协议等。设备可按照组织结构或地域组织。
· 账号授权
系统提供用户对目标设备（即运维账号到设备账号）访问的授权，对于访问授权可以具体到命令级。
审计管理
堡垒机的审计范围包括审计用户对被管理设备的所有敏感关键操作、对堡垒机自身的配置管理行为进行审计。
·用户操作行为审计内容
提供对通过SSH、RDP、VNC、X-Window、Telnet、Rlogin、FTP等协议的访问行为进行内容审计，会话回放
·堡垒机自身配置管理审计
提供对堡垒机账号分配、账号授权、登录堡垒机过程、认证管理、授权管理的行为审计。
报表管理
堡垒机提供丰富完善的报表功能，可以对审计信息进行报表统计、分析
审计报表可以通过折线、圆饼、柱状图等方式展现

三、目标与价值

1、目标
SSA的核心思路是逻辑上将人与目标设备分离，建立“人-〉账号（堡垒机用户账号）-〉授权->审计的模式;在这种模式下，基于身份标识，通过 集中管控安全策略的账号管理、授权管理和审计，建立针对维护人员的“主账号-〉登录-〉访问操作-〉退出”的全过程完整审计管理，实现对各种运维加密/非 加密、图形操作协议的命令级审计。
SSA核心思路
2、系统价值
堡垒机的作用主要体现在下述几个方面：
企业角度
通过细粒度的安全管控策略，保证企业的服务器、网络设备、数据库、安全设备等安全可靠运行，降低人为安全风险，避免安全损失，保障企业效益。
管理员角度
所有运维账号的管理在一个平台上进行管理，账号管理更加简单有序；
通过建立用户与账号的对应关系，确保用户拥有的权限是完成任务所需的小权限；
直观方便的监控各种访问行为，能够及时发现违规操作、权限滥用等。
普通用户角度
运维人员只需记忆一个账号和口令，一次登录，便可实现对其所维护的多台设备的访问，无须记忆多个账号和口令，提高了工作效率，降低工作复杂度。