堡垒机和防火墙有什么区别?
什么是堡垒机?
堡垒机针对内部运维人员的运维安全审计系统。主要的功能是对运维人员的运维操作进行审计和权限控制。同时堡垒机还有账号集中管理,单点登陆的功能。
堡垒机作为IT系统看门人的堡垒机其严格管控能力十分强大,能在很大程度上的拦截非法访问和恶意攻击,对不合法命令进行命令阻断,过滤掉所有对目标设备的非法访问行为,并对内部人员误操作和非法操作进行审计监控,以便事后责任追踪。
不过审计是事后行为,审计可以发现问题,但是无法防止问题发生只有在事前严格控制,才能从源头真正解决问题。
诸如任何人都只能通过堡垒机作为门户单点登录系统。堡垒机能集中管理和分配全部账号,更重要的是堡垒机能对运维人员的运维操作进行严格审计和权限控制,确保运维的安全合规和运维人员的最小化权限管理,堡垒机的出现能够保护企业网络设备及服务器资源的安全性,使得企业网络管理合理化和专业化。
堡垒机的工作原理
在实际使用场景中,堡垒机的使用人员通常可分为管理人员、运维操作人员、审计人员三类用户。
管理人员最重要的职责是根据相应的安全策略和运维人员应有的操作权限来配置堡垒机的安全策略。堡垒机管理员登录堡垒机后,在堡垒机内部,“策略管理”组件负责与管理员进行交互,并将管理人员输入的安全策略存储到堡垒机内部的策略配置库中。
“应用代理”组件是堡垒机的核心,负责中转运维操作用户的操作,并与堡垒机内部其他组件进行交互。“应用代理”组件收到运维人员的操作请求后,调用“策略管理”组件对该操作行为进行核查,核查依据便是管理员已经配置好的策略配置库,如此次操作不符合安全策略,代理”组件将拒绝该操作行为的执行。
运维人员的操作行为通过“策略管理”组件的核查之后,“应用代理”组件则代替运维人员连接目标设备完成相应操作,并将操作返回结果返回给对应的运维操作人员;同时此次操作过程被提交给堡垒机内部的“审计模块”,然后此次操作过程被记录到审计日志数据库中。
最后,当需要调查运维人员的历史操作记录时,由审计员登录堡垒机进行查询,然后“审计模块”从审计日志数据库中读取相应日志记录,并展示在审计员交互界面上。
堡垒机的作用
当公司的运维人员越来越多,当需要运维的设备越来越多,当参与运维的岗位越来越多样性,如果没有一套好的机制,就会产生运维混乱。具体而言,你很想知道“哪些人允许以哪些身份访问哪些设备“而不可得。
(一)堡垒机让“运维混乱”变“运维有序”
堡垒机承担起了运维人员在运维过程中的唯一入口,通过精细化授权,可以明确“哪些人以哪些身份访问哪些设备”,从而让运维混乱变得有序起来。堡垒机还有账号集中管理,单点登陆的功能,堡垒机能够集中管理资产权限。
(二)堡垒机让“运维混乱”变“运维安全”
堡垒机不仅可以明确每一个运维人员的访问路径,还可以将每一次访问过程变得可“审计”,一旦出现问题,可追溯回源。
堡垒机针对内部运维人员的运维安全审计系统,主要的功能是对运维人员的运维操作进行审计和权限控制。全程记录操作数据,实时还原运维场景,助力企业用户构建云上统一、安全、高效运维通道;保障云端运维工作权限可管控、操作可审计、合规可遵从。
作为IT系统看门人的堡垒机其严格管控能力十分强大,能在很大程度上拦截非法访问和恶意攻击,对不合法命令进行命令阻断,过滤掉所有对目标设备的非法访问行为,并对内部人员误操作和非法操作进行审计监控,以便事后责任追踪。
如何做到可审计?显而易见的方法是“全程录像”和“指令查询”。全程录像很好理解,那么何谓指令查询呢?所谓指令查询是指将运维操作指令化。举例而言,你家里在过去24小时内进小偷了,你有监控录像,但需要你翻阅这24小时的录像显然不是一个聪明的做法,如果这时系统能够帮助你把24小时录像中出现的所有人头像直接识别并罗列出来,你自然可以知道什么时间进来的小偷。“指令查询”也是如此,录像文件是你最后的保障,但通过指令查询可以帮助你快速的定位到录像文件的可疑位置。
堡垒机的分类
基于其应用场景,堡垒机可分为两种类型:
1.网关型堡垒机
网关型的堡垒机被部署在外部网络和内部网络之间,其本身不再直接向外部提供服务,而是作为进入内部网络的一个检查点,用于提供对内部网络特定资源的安全访问控制。这类堡垒机不提供路由功能,将内外网从网络层隔离开来,因此除非授权访问外,还可以过滤掉一些针对内网的来自应用层以下的攻击,为内部网络资源提供了一道安全屏障。但由于此类堡垒机需要处理应用层的数据内容,性能消耗很大,所以随着网络进出口处流量越来越大,部署在网关位置的堡垒机逐渐成为了性能瓶颈,因此网关型的堡垒机逐渐被日趋成熟的防火墙、UTM、IPS、网闸等安全产品所取代。
2.运维审计型堡垒机
运维审计型堡垒机的原理与网关型堡垒机类似,但其部署位置与应用场景不同,且更为复杂。运维审计型堡垒机被部署在内网中的服务器和网络设备等核心资源的前面,对运维人员的操作权限进行控制和操作行为审计;运维审计型堡垒机既解决了运维人员权限难以控制的混乱局面,又可对违规操作行为进行控制和审计,而且由于运维操作本身不会产生大规模的流量,堡垒机不会成为性能的瓶颈,所以堡垒机作为运维操作审计的手段得到了快速发展。
什么是防火墙?
现代的防火墙一般都是指网络防火墙,是一个位于计算机和它所连接的网络之间的软件。计算机流入流出的所有网络通信均要经过网络防火墙。防火墙对流经它的网络通信进行扫描,这样能够过滤掉一些攻击,以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信。最后,它可以禁止来自特殊站点的访问,从而防止来自不明入侵者的所有通信。
防火墙这个名词,大家应该不陌生,其实我们的PC主流使用的window 7 或 window10 系统都默认安装了一个内置防火墙,如下图:
防火墙,在物理意义上原指古代人们在房屋之间修建的那道墙,这道墙可以防止火灾发生的时候蔓延到别的房屋。
这里提到的网络上的防火墙当然不是上面说到的含义,但是原理相似,也是防止灾难的扩散。
防火墙(Firewall),也称防护墙,它是一种位于内部网络与外部网络之间的网络安全系统。局域网内部,不连接互联网外网的一般是不需要防火墙的。通过防火墙可以隔离风险区域(即Internet或有一定风险的网络)与安全区域(局域网)的连接,同时不会妨碍人们对风险区域的访问。所以它一般连接在核心交换机与外网之间,起到一个把关的作用。
防火墙的工作原理
一套完整的防火墙系统通常由屏蔽路由器和代理服务器组成。
1、屏蔽路由器
是一个多端口的IP路由器,它通过对每一个到来的IP包依据组规则进行检查来判断是否对之进行转发。屏蔽路由器从包头取得信息,例如协议号、收发报文的IP地址和端口号、连接标志以至另外一些IP选项,对IP包进行过滤。
这里举个例子:
一堆人来到一个快要开盘楼盘售楼部买房,售楼小姐先需要对他们进行简单的登记和了解,如是否有正规工作、是否是本市户口、是否能正常贷款、首付多少等等,记录这一系列的问题后,售楼小姐会对来买房的人员进行一个过滤。
2、代理服务器
是防火墙中的一个服务器进程,它能够代替网络用户完成特定的TCP/TP功能。一个代理服务器本质上是一个应用层的网关,一个为特定网络应用而连接两个网络的网关。用户就一项TCP/TP应用,比如Telnet或者FTP,同代理服务器打交道,代理服务器要求用户提供其要访问的远程主机名。当用户答复并提供了正确的用户身份及认证信息后,代理服务器连通远程主机,为两个通信点充当中继。整个过程可以对用户完全透明。用户提供的用户身份及认证信息可用于用户级的认证。
继续讲买房:
当你已经符合买房的条件了,你要买到房,关键的环节就是贷款,这时售楼顾问就是网关,你提供完整的贷款资料(工资证明,收入明细等)给售楼顾问,售楼顾问会审核下,各条件都符合了,没有问题的话,他就提交给银行,贷款批下来了,房子就可以顺利的买到了。
防火墙的作用
防火墙的作用是防止不希望的、未授权的通信进出被保护的网络,入侵者必须首先穿越防火墙的安全防线,才能接触目标计算机。我们还可以将防火墙配置成许多不同保护级别。
防火墙的基本作用:
1.限制入侵者进入内部网络,过滤掉不安全服务和非法用户;
2.防止入侵者接近防御设施;
3.限定用户访问特殊站点;
4.记录通过防火墙信息内容和活动;
5.对网络攻击检测和告警;
6.关闭不使用的端口;
7.禁止特定端口的流出通信。
防火墙的分类
(一)网络层防火墙
网络层防火墙可视为一种 IP封包过滤器,运作在底层的TCP/IP协议堆栈上。我们可以以枚举的方式,只允许符合特定规则的封包通过,其余的一概禁止穿越防火墙(病毒除外,防火墙不能防止病毒侵入)。这些规则通常可以经由管理员定义或修改,不过某些防火墙设备可能只能套用内置的规则。
我们也能以另一种较宽松的角度来制定防火墙规则,只要封包不符合任何一项“否定规则”就予以放行。操作系统及网络设备大多已内置防火墙功能。
较新的防火墙能利用封包的多样属性来进行过滤,例如:来源IP地址、来源端口号、目的 IP 地址或端口号、服务类型(如 HTTP 或是 FTP)。也能经由通信协议、TTL 值、来源的网域名称或网段等属性来进行过滤。
(二)应用层防火墙
应用层防火墙是在TCP/IP堆栈的“应用层”上运作,使用浏览器时所产生的数据流或是使用FTP 时的数据流都是属于这一层。应用层防火墙可以拦截进出某应用程序的所有封包,并且封锁其他的封包(通常是直接将封包丢弃)。理论上,这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里。
防火墙借由监测所有的封包并找出不符规则的内容,可以防范电脑蠕虫或是木马程序的快速蔓延。不过就实现而言,这个方法既烦且杂(软件有千千百百种啊),所以大部分的防火墙都不会考虑以这种方法设计。
XML 防火墙是一种新型态的应用层防火墙。
目前市场的防火墙产品非常之多,划分的标准也比较杂。主要分类如下:
1.从软、硬件形式上,分为:软件防火墙和硬件防火墙以及芯片级防火墙三种;
2.从防火墙技术上,分为:“包过滤型”和“应用代理型”两大类;
3.从防火墙结构上,分为:单一主机防火墙、路由器集成式防火墙和分布式防火墙三种;
4.按防火墙的应用部署位置,分为:边界防火墙、个人防火墙和混合防火墙三大类;
5.按防火墙性能,分为:百兆级防火墙和千兆级防火墙两类。
(三)数据库防火墙
数据库防火墙是一款基于数据库协议分析与控制技术的数据库安全防护系统。基于主动防御机制,实现数据库的访问行为控制、危险操作阻断、可疑行为审计。
数据库防火墙通过SQL协议分析,根据预定义的禁止和许可策略让合法的SQL操作通过,阻断非法违规操作,形成数据库的外围防御圈,实现SQL危险操作的主动预防、实时审计。
数据库防火墙面对来自于外部的入侵行为,提供SQL注入禁止和数据库虚拟补丁包功能。
防火墙是私有网络与公网之间的门卫,而堡垒机是内部运维人员与私网之间的门卫。
防火墙墙所起的作用是隔断,无论谁都过不去,但是堡垒机就不一样了,他的职能是检查和判断是否可以通过,只要符合条件就可以通过,堡垒机更加灵活一些。
总的来说,公司内部的网络与公司外部的网络之间可以通过防火墙来做一些网络的限制,公司内部网络内的电脑可以通过行云管家堡垒机来做统一访问的入口,并提供运维审计与危险指令拦截等功能。我们的堡垒机是国内领先的运维堡垒机品牌,在IT运维领域长达10年的沉淀和积累,同时也是市面上首款支持Windows2012/2016系统操作指令审计的运维堡垒机。