堡壘主機(jī)方案下信息安全系統(tǒng)分析

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了堡壘主機(jī)方案下信息安全系統(tǒng)分析范文，希望能給你帶來靈感和參考，敬請閱讀。

0引言

2008年中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局了GB/T22239-2008《信息安全技術(shù)-信息系統(tǒng)安全等級(jí)保護(hù)基本要求》后，信息安全等級(jí)保護(hù)制度已經(jīng)成為我國信息安全保護(hù)工作的基本國策，實(shí)行信息安全等級(jí)保護(hù)具有重大的現(xiàn)實(shí)和戰(zhàn)略意義。根據(jù)公安部的相關(guān)文獻(xiàn)，從近些年來年來等級(jí)保護(hù)安全測評的結(jié)果分析中可以看出，信息系統(tǒng)中容易出問題的部分主要是賬號(hào)管理、權(quán)限管理和審計(jì)分析等幾個(gè)方面。例如：多人共用一個(gè)賬號(hào)；用戶權(quán)限分配沒有遵循最小化原則；未限制設(shè)備管理方式；未開啟審計(jì)或未進(jìn)行審計(jì)分析等。為解決上述問題，可以通過修改服務(wù)器配置信息以及網(wǎng)絡(luò)設(shè)備的配置可以進(jìn)行防范，隨著智能終端的出現(xiàn)，網(wǎng)絡(luò)傳播技術(shù)的不斷提高，交換機(jī)、路由器等網(wǎng)絡(luò)設(shè)備的管理將便捷許多，操作人員可以通過網(wǎng)絡(luò)對網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程操作。然而，由于復(fù)雜的網(wǎng)絡(luò)環(huán)境存在著大量的潛在攻擊行為，在方便快捷的同時(shí)，操作人員通過網(wǎng)絡(luò)與網(wǎng)絡(luò)設(shè)備通信存在著嚴(yán)重的安全隱患。針對這種情況，需要對現(xiàn)有服務(wù)器進(jìn)行改造，涉及到大量信息系統(tǒng)的安全維護(hù)操作，其復(fù)雜性和環(huán)境的不確定性造成這種方式的實(shí)施起來極其困難。

1企業(yè)應(yīng)用中的安全問題

在企業(yè)應(yīng)用中，目標(biāo)設(shè)備之間通過互聯(lián)網(wǎng)絡(luò)進(jìn)行通訊，操作人員也通過互聯(lián)網(wǎng)遠(yuǎn)程訪問目標(biāo)設(shè)備。目標(biāo)設(shè)備需要對操作人員開放相應(yīng)的接口，由于互聯(lián)網(wǎng)的開放性，非法操作人員或潛在非法操作人員很容易通過相應(yīng)的接口登入系統(tǒng)進(jìn)行操作，給網(wǎng)絡(luò)安全帶來隱患。通過對現(xiàn)有系統(tǒng)在應(yīng)用中出現(xiàn)問題進(jìn)行分析，目前系統(tǒng)中存在的安全隱患主要有：

（1）存在潛在非法操作人員對網(wǎng)絡(luò)終端進(jìn)行非法操作；

（2）目標(biāo)設(shè)備與操作人員無法進(jìn)行統(tǒng)一管理；

（3）操作人員的誤操作無法有效避免；

（4）操作人員的操作記錄歷史追蹤無法實(shí)現(xiàn)。通過對現(xiàn)有信息系統(tǒng)以及網(wǎng)絡(luò)安全需求分析，結(jié)合企業(yè)現(xiàn)狀，選取部署相關(guān)安全產(chǎn)品到網(wǎng)絡(luò)中，作為安全模塊對整個(gè)網(wǎng)絡(luò)進(jìn)行安全保護(hù)，即堡壘主機(jī)。

2堡壘主機(jī)

堡壘主機(jī)是一種運(yùn)維管理系統(tǒng)，可以完成賬戶管理、授權(quán)管理和綜合審計(jì)等功能，完成集中認(rèn)證和運(yùn)維審計(jì)的作用。該類產(chǎn)品對操作人員提供多種遠(yuǎn)程管理方式，并能夠?qū)Σ僮魅藛T以遠(yuǎn)程方式對服務(wù)器主機(jī)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫的操作行為過程進(jìn)行監(jiān)控和審計(jì)管理，以及對違規(guī)操作行為進(jìn)行實(shí)時(shí)報(bào)警、阻斷。通過堡壘主機(jī)可以有效的提高操作人員與網(wǎng)絡(luò)設(shè)備之間通信的安全性，并且可以對操作人員及遠(yuǎn)程操作進(jìn)行集中管理，在確保通信安全的基礎(chǔ)上，實(shí)現(xiàn)管理的統(tǒng)一。本文所述的堡壘主機(jī)產(chǎn)品為軟件堡壘主機(jī)，沒有運(yùn)輸成本，部署簡單，升級(jí)簡便，性能及功能可定制。在部署前，僅需要找到一臺(tái)信任主機(jī)即可。堡壘主機(jī)被部署到內(nèi)網(wǎng)主機(jī)上，并且對要訪問的目標(biāo)設(shè)備進(jìn)行綁定，設(shè)定僅堡壘主機(jī)才可以對目標(biāo)設(shè)備進(jìn)行訪問。所有操作人員都要先登錄到堡壘機(jī)上，然后才可以訪問目標(biāo)設(shè)備。堡壘主機(jī)自身具有認(rèn)證及授權(quán)等功能，可以有效的屏蔽非法操作人員的訪問。

3主要功能

本文所述的堡壘主機(jī)的主要功能有賬戶管理、角色管理、設(shè)備管理、黑名單管理和操作記錄查詢等。

（1）賬戶管理。對于堡壘主機(jī)的賬戶，采用"一用戶一賬號(hào)"的原則，用戶需要通過自己的賬戶才能登錄堡壘主機(jī)。不存在用戶共享同一個(gè)賬戶，有效避免出現(xiàn)事故時(shí)無法追述問題原因和責(zé)任人的問題。另外，在用戶的身份認(rèn)證時(shí)，對用戶的賬號(hào)及所在IP進(jìn)行綁定，如果賬戶與登錄的IP不匹配，將無法登錄，加強(qiáng)了身份認(rèn)證機(jī)制。實(shí)現(xiàn)集中身份認(rèn)證和訪問控制，避免冒名訪問，提高訪問安全性。

（2）角色管理。針對不同的操作人員進(jìn)行角色管理。不同類別的角色具有不同的操作權(quán)限，操作人員需要根據(jù)自身賬戶的角色等級(jí)來訪問可操作的目標(biāo)主機(jī)及該目標(biāo)主機(jī)的資源。在便于任務(wù)分工及責(zé)任劃分的同時(shí)，有效的降低操作人員錯(cuò)誤操作的可能。

（3）設(shè)備管理。管理目標(biāo)設(shè)備信息，堡壘主機(jī)對管理目標(biāo)設(shè)備的數(shù)量無限制，可以任意添加。

（4）黑名單管理。堡壘主機(jī)將對操作人員的操作進(jìn)行實(shí)時(shí)監(jiān)測，如果某些操作被管理員禁止，那么該操作將無法完成。如：關(guān)機(jī)、重啟等操作，通過黑名單管理，指定人員將不具備該操作權(quán)限，提高操作的安全性。訪問記錄查詢通過該功能可查詢目標(biāo)主機(jī)在某個(gè)時(shí)間段內(nèi)，有哪人操作人員登錄過。當(dāng)目標(biāo)主機(jī)因操作不當(dāng)而引發(fā)障礙時(shí)，結(jié)合操作記錄查詢，可快速排查障礙原因，并找到責(zé)任人，解決問題，避免不必要的損失

（5）操作記錄查詢。對操作人員的所有操作進(jìn)行記錄，當(dāng)因操作人員的錯(cuò)誤操作而引發(fā)障礙時(shí)，通過該功能可快速找出該操作人員，避免責(zé)任劃分不清問題。4結(jié)語堡壘主機(jī)能夠解決集中賬號(hào)管理、細(xì)粒度的權(quán)限管理和訪問審計(jì)的問題，有效加強(qiáng)現(xiàn)有系統(tǒng)的網(wǎng)絡(luò)安全性，具有改造成本小，維護(hù)容易等特點(diǎn)。本文所述堡壘主機(jī)產(chǎn)品在吉林聯(lián)通通信網(wǎng)絡(luò)中成功應(yīng)用，有效降低了操作人員的誤操作和網(wǎng)絡(luò)信息故障發(fā)生的幾率，證明了堡壘主機(jī)在加強(qiáng)網(wǎng)絡(luò)安全方面的有效性。

作者：賁衛(wèi)國 單位：中國聯(lián)合網(wǎng)絡(luò)通信有限公司吉林省分公司