运维安全管理与审计系统主打PPT

网神SecFox运维安全管理与审计系统
介绍
内容提纲
1.应用场景及需求分析
2.产品功能与优势
3.核心技术
4.部署场景分析CONTENTS
1
应用场景及需求分析
2013年6月，斯诺登
事件将美国国家安全
局的涉密文件曝光，
给美国国家安全局造
成了严重的声誉影响
和信任危机案例一来自内部的威胁
——安全公司 SailPoint 做了一个小调查，大概有20%的人很爽快地表示，只要价钱合适，
出卖自己的工作账号和密码其实没问题！
2017年6月苹果内部和外包人员造成个人信息泄漏，涉案金额达5000万，涉及内部和外包人员22余人
案例五2017年6月，智联招聘内部员工申某和李某，利用系统漏洞，私自将15万余份简历低价买给余某，余某再卖给企业人力资源，构成泄漏公民个人信息罪，三人均被判刑案例四2016年4月，央视曝光，某银行内鬼泄漏储户银行卡和密码案例三2015年2月，“国际调查记者同盟”（ICIJ ）公布了一份名为《瑞士解密》的调查报告，爆出汇丰银行瑞士分行61名重量级客户的账户资料，包括英国亲王、约旦国王案例二内部泄密案例
运维面临的困境
身份管理难
权限分配难
责任认定难
运维效率低
面临的问题需求分析
•服务器资产庞大•设备密码管理复杂•误操作、恶意操作•第三方代维监管•责任难定位除合规性要求外，等保要求，并有行业特殊性，重视内控审计管理，对内网管理要求高，安全性要求高，对第三方人员管控的需求旺盛，今年各地方加大安全信息建设。

对运维需求的进一步提升，“运维+安全”是越来越多的企业迫切需要的。

问题带来的隐患：
Ø误操作，关键应用服务异常甚至宕机；
Ø违规操作，敏感信息泄露或者被篡改；
Ø无法快速定位操作事故的原因。

运维内需
l《中华人民共和国网络安全法》，2017年6月1日正式施行
l第二十一条国家实行网络安全等级保护制度。

网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
l（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
l（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
《中华人民共和国网络安全法》
《信息安全等级保护管理办法》
文本文本
ISO27001标准
条款A10.10.1要求组织必须记录用户访问、意外和信息安全事件的日志，并保留一定期限，以便为安全事件的调查和取证；
条款A10.10.4要求组织必须记录系统管理和维护人员的操作行为； 条款A15.1.3明确要求必须保护
组织的运行记录；
条款A15.2.1则要求信息系统经
理必须确保所有负责的安全过程都在正确执行，符合安全策略和标准的要求。

CC标准
信息技术通用评估准则
（ Common Criteria for
Information Technology
Security Evaluation）中，安
全审计是其安全功能要求中最
重要的组成部分，同时也是信
息系统安全体系中必备的一个
措施，它是评判一个系统是否
真正安全的重要尺码。

SOX法案
302节：要求行政人员证明他
们公司设计和执行了适当的控
制，以保证所有财务报表都可
靠而且付合公认会计准则
(GAAP)。

404节：要求所有在302节中
所控制的过程都有可信的财务
报表。

这法令要求IT经理对所
有有关财务报表的产生过程负
责。

云上安全，政策指引。

（云堡垒需求）
每个企业都需要堡垒机
政策合规IT运维内需
需求驱动力
每个企业都需要堡垒机！
数据保护
资产管理运维审计等保合规
2
产品功能与优势
协同作业集群部署
批量管理
高效运维账号集中管理单点登录
访问控制与授权
操作审计传统堡垒机的超集，包括传统堡垒机的4A （账号、授权、审计、认证）
特性，还拥有新的特性。

新一代堡垒机
用户管理资源管理操作审计
访问控制
•用户管理•角色管理•多因子认证
•访问策略
•密码托管•改密策略•运维授权•应用发布
•实时监控•操作回放•命令审计•报表分析
•单点登录•命令拦截•二次授权•工单管理基础功能及场景
时间限制
文件传输
IP限制
功能权限
基础功能-访问控制策略
基础功能-多因子认证登录
短信认证、手机令牌
1.手机短信和手机令牌认证，其安全性均高于
账号密码。

2.手机短信和手机令牌可同时设置，任意一种
方式认证通过均可登录。

3.手机令牌无需安装额外APP，直接在微信小
程序中访问即可。

扫一扫
微信小程序绑定手机令牌
基础功能-改密策略
通过改密策略可以定时修改主机密码，防止从其他途径非法登录主机。

改密后的文件以使用密文进行存储。

设置改密策略
设置改密策略的执行时间和改密方式，支持手动、定时和周期的执行方式。

改密日志记录历史
改密日志记录历史的改密结果，同时支持改密日志下载，掌握每次改密情况。

基础功能-改密策略
关键点
l改密前进行密码校验，并
保存密码，改密失败时使
用旧密码，防止密码丢失；
l改密成功后对新密码进行
校验，校验成功后将旧密
码替换为新密码；
l改密任务执行完成后，发
送改密邮件给管理员与资
源所有者。

字符会话审计：
基于内容的操作审计，输入、输出结果关键字搜索快速定位播放
危险指令统计
指令快速定位
图形会话审计：
支持图形终端RDP、VNC操作行为的审计。

支持键盘输入操作记录、功能键操作
支持剪切板拷贝粘贴行为
临时申请访问资源的权限，处理一些紧急发生的问题
资源申请
命令被拦截无法执行，可申请命令工单实现动态授权
命令权限
针对文件传输和剪切板功能可单独申请权限
功能权限
资源的申请范围可灵活设置防止越权申请
范围控制
用户
管理员
提交工单
审批授权
未申请工单当用户没有申请申请工单时，无文件管理的权限，无法上传下载文件申请工单之后 临时获得文件管理权限，可以在主机上
进行文件管理操作
未申请工单
当用户没有申请申请工单时，命令被拦截，无法执行
申请工单之后
临时执行命令的权限，命令允许执行了
基础功能-统计报表
开启自动发送
设置发送周期
文件导出格式
定时发送
开启报表自动发送状态，
选择发送周期、文件格式，
定时发送用户自己
高效运维协同作业灵活部署
批量管理
•自动改密•报表定时发送•多主机文件共享•命令群发
•会话协同•双人授权
•分级部署、集中管理
•HA 双机热备
•用户批量管理•主机批量管理•批量授权•批量登录
特色功能与场景
优势和特点
H5远程访问-基于浏览器的远程桌面/SSH终端工具
强大的审计功能-精准的指令识别
全面的访问策略-安全高效的访问策略
会话协同-专家会诊，快速解决运维难题
双人授权-安全可定为
资源监控&集中管理-云资源集中管理
特色功能-HTML5远程登录资源运维
支持的操作系统
及浏览器
不需要安装任何插件！
特色功能-命令拦截策略
借鉴银行的授权机制，对一些高危操作进行二次授权，当上级确认后方可执行
该高危操作。

l策略制定l上级审批
l命令拦截、请求审批
特色功能-双人授权机制
双人授权
访问核心设备时，需要授权人现场授权
才能访问资源。

运维用户密码即便丢失，
核心资产依旧收到保护。

同时，双人授
权存有日志，事后可对安全事件进行定位。

协同参与者
支持参与者可以申请控制会话，创建者同意即可获得权限，如果出现违规操作，创建者可强制收回控制权。

协同创建者
运维过程中支持会话协同，可邀请其他用户参与、协助操作。

支持多个参与者使用相同的会话邀请链接进入会话。

会话协同流程
创建者发起协同邀请，参与者接受邀请进入会话，由创建者控制会话协同过程，参与者也可以申请控制权，创建者同意后参与者便可获得控制权，但创建者可强制收回控制权。

3
核心技术
传统的远程访问还依赖Putty、SecureCRT、MSTSC等工具软件，其弊端是无法在多终端上使用，账号需要在本地客户端软件中驻留极易引起安全风险。

ü使用HTML5技术，在主流浏览器中呈现
Putty、SecureCRT、MSTSC同样的功能，使用流畅程度也一点不差。

ü账号不需要在本地驻留，切换终端账号不丢失。

ü账号可以随时被回收
üHTML5技术可以运行在Windows、MacOS、Android、
iOS等多个OS中，可以实现多终端下同样的操作体验。

关键技术-HTML5技术取代传统远程访问客户端软件
HTML5 Web Browser
(IE 、Chrome 、Firefox 、Safari)
WebSocket 连接
Servlet Container
Canvas 界面绘制键盘记录
鼠标位置记录、左键、右键操作
Remote Desktops
Core Library RDP
SSH
VNC
Telnet
自定义协议
图像传输 鼠标事件 键盘事件
Cairo 图像处理库
访问速度提升：
文本协议压缩重复图像缓存
会话监控和回放键盘操作审计
本地复制黏贴信号传递到远端会话保持和重连
关键技术-HTML5远程登录运维
关键技术-Remote Browser访问隔离
通过应用发布的方式，使用远程的Browser进行应用、数据的访问，它的优势是：
ü有风险的URL只在Remote Browser上
运行，不会侵害到用户的终端
üRemote Browser运行应用发布服务器
或者Docker环境中，隔离性好
ü对于敏感数据，用户只能在
Remote Browser中浏览，无
法通过拷贝、下载等手段对数
据进行窃取
ü关键的业务应用系统只接受来自
Remote Browser的访问，有效防
止业务系统免受DDOS攻击
Bob
sftp协议wss(web socket secure)
HTML5访问
本地文件访问API
/home/bob数据存储目录1访问目标主机文件
2访问个人网盘
关键技术-基于WSS的文件管理技术
4
部署场景分析
物理旁路部署、逻辑串联登入部署描述：
采用物理旁路部署、逻
辑串联方式登入。

用户通过堡垒机系统统
一登录，实现安全运维
审计功能。

部署优势:
1.不加装任何客户端代理
2.不加装任何服务器端引擎
3.不影响任何网络拓扑
4.不影响任何业务数据流
Internet
虚拟机
业务应用服务器
数据库服务器
网络设备
应用发布服务器
存储服务器
堡垒机
运维人员
堡垒机采用旁路模式进行部署，不影响企业网络的拓扑结构。

单机部署（软件与硬件堡垒机）
Internet
虚拟机
业务应用服务器
数据库服务器
网络设备应用发布服务器
存储服务器
堡垒机A（主节点）
用户
堡垒机B（从节点）
堡垒机支持HA 部署，只需要两台堡垒机网络路由可达，即可配置HA 双机热备。

配置主节点IP 、从节点IP 、服务IP ，主节点宕机时服务转移到从节点。

心跳检测数据同步
HA部署（软件与硬件堡垒机）
客户案例——集中管理分布部署方案
业务痛点：
多地机房导致的运维管理分散问题，具体表现在：
1）多个堡垒机间账号独立，认证、授权无法统一管理；
2）多个堡垒机入口分散，用户（自然人）没有统一的登录入口；3）多个堡垒机的运行状态没法集中监控；
4）多个堡垒机的登录日志没有集中审计。

解决方案：
采用堡垒机集中管理平台，提供：
1）统一用户管理，多个堡垒机的主账号（自然人）采用集中管理，并通过集中管理平台同步到各个堡垒机；
2）堡垒机主账户（自然人）登录认证将全部重定向到集中管理平
台进行认证；
3）堡垒机用户访问多个堡垒机的权限由集中管理平台进行授权；4）堡垒机用户登录的日志在集中管理平台进行集中审计；
5）集中管理平台提供堡垒机的增删改查、以及堡垒机运行状态的
集中监控；
6）为用户（自然人）提供统一的Portal，提供可以访问堡垒机的
统一入口，并实现在多个堡垒机间主账户（自然人）的单点登录。

技术要点介绍
•统一用户管理：
堡垒机用户（自然人）身份认证采用符合国际标准的SAML2协议完成身份认证。

在实现上，堡垒机集中管理平台提供IDP （Identity Provider）微服务，提供账号的统一管理。

集中管理平台与堡垒机之间可进行账户同步，集中管理平台提供Restful接口，堡垒机可通过Restful接口向集中管理平台定时同步账户。

•集中认证：
为实现集中认证，达到主账号在多个堡垒机间的单点登录目的，需要对现有堡垒机（非原厂品牌）进行微小改造。

需要在堡垒机上安装支持单点登录的插件（插件由统一提供，支持Java、.NET等不同语言的插件）。

•集中授权：
堡垒机集中管理平台提供受控堡垒机的大门级授权，不提供堡垒机内部的主账户（自然人）和从账户（资源）的授权关系，堡垒机内部的授权仍由各堡垒机独自维护。

•状态集中监控：
云堡垒机集中管理平台上可集中展示受控堡垒机的运行状态，受控堡垒机须调用集中管理平台提供的Restful接口定时上报运行状态。

•用户Portal：
集中管理平台为用户（自然人）提供统一的Portal，提供可以访问堡垒机的统一入口，并实现在多个堡垒机间主账户（自然人）的单点登录。

用户在portal上可直接进入有权限访问的堡垒机，并可以直接对资源进行运维。

行业用户
•中国人民银行反洗钱中心•长安保险•青海省农村信用社•上海财政局•广东省财政厅•安徽财政厅•黑龙江省国税局•湖北省地税•嵊州市财政局•吉林省国家税务局•内蒙古林业厅
•中铁建•中外运集团•一汽集团•江西昌河汽车
•国家信息中心•国家邮政局•国家统计局•宣武医院•吉林大学口腔医院•厦门第一医院•北京化工大学•天津理工大学•武汉理工大学•中国人民武装警察边防部队•河北省高级人民法院•合肥市公安局•苏州公安局•海南高法•
徐汇公安局目前已突破3000+用户案例，覆盖30+细分行业（政府、金融、教育、卫生、公安）。