國(guó)路安堡壘機(jī)五項(xiàng)創(chuàng)新 實(shí)現(xiàn)可信運(yùn)維

姜姝

近年來，由內(nèi)部運(yùn)維管理人員造成的信息泄露事件頻現(xiàn)，這給相關(guān)企事業(yè)單位帶來了不可計(jì)量的重大損失。尤其在海關(guān)、金融、政府、科研等對(duì)審計(jì)要求更嚴(yán)、涉密程度更高，且對(duì)網(wǎng)絡(luò)依賴較高的行業(yè)中，如果運(yùn)維操作不能全程追蹤，則很有可能造成核心數(shù)據(jù)外泄，用戶數(shù)據(jù)丟失的風(fēng)險(xiǎn)。攘外必先安內(nèi)，那么，這些涉密要求極高的行業(yè)用戶，如何降低運(yùn)維操作導(dǎo)致的安全風(fēng)險(xiǎn)，保障數(shù)據(jù)中心運(yùn)維管理的合規(guī)性呢？

外網(wǎng)隔離后的最大風(fēng)險(xiǎn)

某國(guó)外調(diào)查機(jī)構(gòu)在《調(diào)查顯示大多數(shù)的IT工作人員將竊取公司的秘密》報(bào)告中披露的數(shù)據(jù)令人驚訝：88%的IT管理人員承認(rèn)，如果馬上被解雇的話，他們將帶走公司的機(jī)密。這些機(jī)密信息包括了高層管理人員的密碼、客戶數(shù)據(jù)庫(kù)、研究和發(fā)展計(jì)劃、財(cái)務(wù)報(bào)告、并購(gòu)計(jì)劃以及公司最重要的權(quán)限密碼列表。在這個(gè)高危人群中，三分之一的IT管理員承認(rèn)，他們?cè)鴮?duì)整個(gè)網(wǎng)絡(luò)進(jìn)行搜索和窺探，查看包括工資的細(xì)節(jié)和其他員工個(gè)人的電子郵件在內(nèi)的高度保密信息。

這份報(bào)告中的數(shù)據(jù)雖不能準(zhǔn)確地反映全世界范圍內(nèi)IT專業(yè)人士的態(tài)度，但警示作用非常明顯。對(duì)此，應(yīng)用安全解決方案與服務(wù)商國(guó)路安（GLA）認(rèn)為：一般來說，在海關(guān)、政府、金融、科研行業(yè)中，多數(shù)的用戶都對(duì)外網(wǎng)采用了物理或邏輯隔離的方式。此時(shí)，內(nèi)部數(shù)據(jù)竊取將是最大威脅，因此很多企業(yè)在內(nèi)網(wǎng)安全軟件、防毒軟件、防泄漏（DLP）和身份審計(jì)方面投入巨大，但收效甚微。這是由于人們忽略了權(quán)限最高的IT運(yùn)維審計(jì)工作，日常運(yùn)維中存在著共享賬號(hào)密碼、權(quán)限混亂、職責(zé)交叉重疊的問題，會(huì)經(jīng)常出現(xiàn)越權(quán)訪問、操作失誤、外部人員臨時(shí)賬號(hào)管理不規(guī)范等現(xiàn)象，在加上管理員終端可能被病毒和木馬控制的情況，這很容易給惡意泄密者制造機(jī)會(huì)，而且無法進(jìn)行有效的審計(jì)、責(zé)任也難以界定。因此，要實(shí)現(xiàn)可信的IT運(yùn)維管理平臺(tái)，就必須要滿足賬號(hào)集中管理、資源授權(quán)、操作審計(jì)，這三項(xiàng)要素。

創(chuàng)新功能支撐可信運(yùn)維

一般來說，IT運(yùn)維管理系統(tǒng)的訪問模式，是由管理員的客戶端直接發(fā)起對(duì)資源的運(yùn)維請(qǐng)求，數(shù)據(jù)的存取不受監(jiān)管和控制。為此，針對(duì)傳統(tǒng)運(yùn)維管理中的技術(shù)架構(gòu)和審計(jì)缺陷，國(guó)路安推出了GLA天璣安全運(yùn)維審計(jì)系統(tǒng)，由運(yùn)維終端通過RDP協(xié)議連接到堡壘機(jī)，再由堡壘機(jī)發(fā)起對(duì)資源的運(yùn)維請(qǐng)求，實(shí)現(xiàn)了運(yùn)維終端與運(yùn)維資源邏輯隔離，并在全程審計(jì)中實(shí)現(xiàn)集中管控。

針對(duì)應(yīng)用、一改傳統(tǒng)、技術(shù)創(chuàng)新之后的GLA天璣安全運(yùn)維審計(jì)系統(tǒng)，在5大特點(diǎn)基礎(chǔ)上支撐了可信運(yùn)維平臺(tái)的建立和管理，這包括：運(yùn)維環(huán)境定制、運(yùn)維協(xié)議無關(guān)、全面審計(jì)、數(shù)據(jù)安全、終端無需受控。

運(yùn)維環(huán)境定制：GLA堡壘機(jī)可對(duì)用戶賬號(hào)根據(jù)不同運(yùn)維角色進(jìn)行統(tǒng)一集中管理，同時(shí)還可根據(jù)用戶運(yùn)維資源的特性，在安全運(yùn)維審計(jì)系統(tǒng)上添加用戶特有的運(yùn)維工具，支持運(yùn)維方式的靈活擴(kuò)展。

運(yùn)維協(xié)議無關(guān)：GLA堡壘機(jī)無需針對(duì)每種運(yùn)維協(xié)議進(jìn)行分析和控制，運(yùn)維過程建立在安全運(yùn)維審計(jì)系統(tǒng)與運(yùn)維資源之間，保證了運(yùn)維過程安全可靠及系統(tǒng)的高可擴(kuò)展性。

全面審計(jì)：GLA堡壘機(jī)可通過文字或視頻錄制等方式，詳細(xì)記錄用戶操作過程的全部行為活動(dòng)，并提供報(bào)表、回放等功能輔助管理員進(jìn)行審計(jì)。

數(shù)據(jù)安全：GLA堡壘機(jī)將運(yùn)維終端與后端資源間邏輯隔離，運(yùn)維人員只能通過安全運(yùn)維審計(jì)系統(tǒng)訪問資源數(shù)據(jù)，防止由終端病毒木馬或人為等導(dǎo)致的數(shù)據(jù)泄漏。

終端無需受控：堡壘機(jī)實(shí)現(xiàn)運(yùn)維終端與運(yùn)維資源安全分離，運(yùn)維終端不進(jìn)行實(shí)際的運(yùn)維操作，因此無需考慮運(yùn)維終端的安全問題。

據(jù)了解，GLA堡壘機(jī)所采用的面向資源和角色的運(yùn)維管理方式，以及運(yùn)維活動(dòng)全程記錄特性，在眾多涉密行業(yè)用戶的實(shí)際應(yīng)用中，全面降低了運(yùn)維安全風(fēng)險(xiǎn)。

某科研所網(wǎng)絡(luò)安全負(fù)責(zé)人向記者表示：之前，他們的網(wǎng)絡(luò)中存在著帳號(hào)管理混亂、權(quán)限分配不夠細(xì)致、審計(jì)信息可用價(jià)值低等一系列問題，尤其是每套系統(tǒng)都有獨(dú)立運(yùn)行的審計(jì)系統(tǒng)，在安全事故發(fā)生后，即便花費(fèi)了大量時(shí)間，在海量日志找到了蛛絲馬跡，但也不能最終定位到行為人。而在采用GLA天璣安全運(yùn)維審計(jì)系統(tǒng)后，有效地杜絕了網(wǎng)絡(luò)管理人員直接訪問涉密資源的情況，其全程監(jiān)控和錄制的功能更形成了具有震懾性和實(shí)操性的可信平臺(tái)。