【网络安全】堡垒机：关于堡垒机你了解多少？

现实工作中是不是遇到过这样的情况，公司所有的人，都捏着服务器的root密码，大家都担惊受怕的操作者。

万一有一天哪个兄弟手一抖，输入了一个rm -rf /* ,完犊子，服务器彻底废了。

如果这个兄弟死不认账，大家就只能面面相觑。

对于这种账号满天飞，权限无止尽，操作无记录的日子，应该结束了。本文就带大家了解一下堡垒机。这个号称网络安全运维的“顶梁柱”是怎么样解决我们的问题的。

1.什么是堡垒机

堡垒机，英文名叫（（Bastion Host/Jump Server）。从英文名可以看出它早期也叫“跳板机”。时至***，它还有一个比较霸气的名字——“运维安全审计系统”。

堡垒机是一个集身份认证、权限控制、操作审计、安全监控于一体的网络安全审计与管控系统。

比较通俗的理解：

我们把服务器、数据库、交换机等等**的网络看成是一个我们自己的金库。堡垒机就是***可以进入这个金库的大门。想要进入大门，必须要获得相应的钥匙（指纹，临时工牌），并且全程有摄像头跟踪监控。

堡垒机是4A理念的具体实践。所谓4A理念指的的是：

• 认证 Authentication

• 授权 Authorization

• 账号 Account

• 审计 Audit

2. “4A”理念体系

从跳板机过度到***的堡垒机，它的能力不仅*是转发了，底层拥有一套完整的4A架构体系。

2.1  认证（Authentication）

认证主要是告诉堡垒机“你是谁？”。在堡垒机上面，一般情况不认可你的静态密码的。它支持多因子认证，比如：动态令牌、生物识别、USB Key等。

金融行业通常情况下可以使用双因素认证+非常用地理位置预警来确保交易系统的安全。

2.2   授权 （Authorization）

授权主要就是用来规定你访问之后能够干啥。一般的权限设置原则都必须遵循**小权限原则。

堡垒机**权限管控遵循RBAC的权限体系，也就是角色的权限控制。

有了这套权限体系之后，可以针对不用员工的职级、工作内容进行权限控制。你永远也做不到悄无声息的删库跑路了。

2.3   账号 （Account）

账号一般情况可以理解为 钥匙。

这里的账号分为主账号和从账号。主账号是登陆堡垒机的账号，从账号数据登陆目标服务器的真实账号。

真实的使用过程中，运维人员不知道从账号，堡垒机帮忙代填账号。

2.3   审计 （Audit）

审计就是保留工作过记录，所谓工作留痕。

审计一般分为命令审计、录像审计、OCR搜索。

命令审计： 可以做到你所打的每个字符都可以记录在册。

录像审计： 类似于录屏，让操作全程被记录到，支持回放和分析。

OCR搜索： 现在运维也用上了OCR技术，通过视频或图像画面，可以识别成文字以供搜索。

3.堡垒机的工作原理

堡垒机的架构可以分为接入层、策略层和审计层和管理层。

接入层

协议代理网关，支持SSH/FDP/VNCC/Telnet等全协议代理。

硬件令牌

生物识别

单点登录

统一身份管理。

策略层

基于RBAC模型，五元组控制矩阵：用户、设备、时间、协议、操作对象

细粒度的访问控制：高危命令黑明单、二次授权机制、临时授权。

审计层

支持全链路操作审计。

视频录像、命令日志、文件传输记录、关键搜索、绘画回放、智能行为分析等等。

管理层

密码管理

绘画控制

高可用模式

负载均衡

4.市面上的堡垒机有哪些

***梯队

启明星辰：**系列为Venus M6000。

奇安信：“内生安全”体系。

深信服：AI驱动的安全运营。

第二梯队

华为：云网安融合。

安恒信息：明御堡垒机。

第三梯队

齐治科技：金融领域市场占有率高。

保旺达：主要在运营商行业。

以上就是关于堡垒机的介绍。主要描述了什么是堡垒机，4A系统是什么意思，以及堡垒机的原理和市场上的堡垒机厂商等内容。

来源：简禾之窗、简禾小刘