堡垒机在等保2.0中的控制点及核心功能
对运维人员的细粒度访问控制、运维过程的步步管控、全方位的操作审计,实现运维过程的“事前预防、事中控制、事后审计”,契合等保2.0中安全管理中心和安全计算环境的相关要求。
1、集中认证:托管主机的账户和密码,运维人员直接点击<登录>即可成功自动登录到目标主机中进行运维操作,无需输入主机的账户和密码,支持双因素认证。
2、集中账号:支持多种用户角色,每种用户角色的权限都不同,为用设立不同的角色提供了选择,并且满足合规对三权分立的要求。
3、集中权限:通过集中授权,帮助客户梳理用户与主机直接的关系,并且提供一对一、一对多、多对一、多对多的灵活授权模式。
4、集中审计:对所有的操作进行详细记录,并提供综合查询功能;审计日志可以在线播放也可以离线播放,所有的审计日志支持自动备份和自动归档。
安全通信网络层面要求与相关功能
控制点1:网络架构
测评项:应提供通信线路、关键网络设备和关键计算设备的硬件冗余,保证系统的可用性。
控制点2:通信传输
测评项:应采用密码技术保证通信过程中数据的保密性。
相关功能
1、支持HA主备模式,管理口和心跳口须支持多链路端口绑定功能,防止单网卡或单线故障。2、支持多台堡垒机异地备份部署,每台设备都能提供运维和审计服务,配置数据自动同步。3、支持集群部署模式,中心采用HA,节点可以横向扩展,实现统一登录入口、统一配置同步、审计日志集中存储、实时会话集中监控,以满足业务增长需求。
4、内置VPN模块,无需与其他VPN设备联动,实现运维入口安全接入。
安全计算环境层面要求与相关功能
控制点1:身份鉴别
测评项:
1、应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换;
2、当进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听;
控制点2:访问控制
测评项:
1、应对登录的用户分配账户和权限;
2、应重命名或删除默认账户,修改默认账户的默认口令;
3、应授予管理用户所需的最小权限,实现管理用户的权限分离;
4、应由授权主体配置访问控制策略,访问控制策略规定主体对客体的访问规则;
控制点3:安全审计
测评项:
1、应启用安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计
2、审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;
3、应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等;
相关功能:
1、内置手机APP 认证(谷歌动态口令验证)、OTP 动态令牌、USBkey 双因素认证引擎。提供短信认证、AD、LDAP、RADIUS 认证接口。
2、内置VPN模块,无需与其他VPN设备联动,实现运维入口安全接入。
3、支持用户多角色划分功能,如系统管理员、部门管理员、运维员、审计管理员、密码管理员等,对各类角色需要进行细粒度的权限管理。
4、支持定期自动修改windows服务器、网络设备、linux/unix等目标设备密码功能。
5、支持通过基于时间、IP/IP段、用户/用户组、设备/设备组、设备账号、命令关键字、控制动作、黑白名单等组合访问控制策略,授权用户可访问的目标设备。
6、支持对运维操作会话的起止时间、来源用户、来源IP、目标设备、协议/应用类型、命令记录、操作内容(如对文件的上传、下载、删除、修改等操作等)的详细行为日志。
7、支持对会话的录像进行定期归档。
安全管理中心层面要求与相关功能
控制点1:系统管理
测评项:应对系统管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行系统管理操作,并对这些操作进行审计;
相关功能:
1、支持C/S、B/S、H5等方式进行代理运维
2、支持管理Linux/Unix 服务器、Windows 服务器、网络设备、文件服务器、Web 系统、数据库服务器、虚拟服务器、远程管理服务器等。
3、兼容Xshell 、XFTP 、SecureCRT 、MSTSC 、VNC Viewer 、Putty 、WinSCP、FlashFXP、SecureFX、OpenSSH 等多种客户端工具。
4、支持通过基于时间、IP/IP段、用户/用户组、设备/设备组、设备账号、命令关键字、控制动作、黑白名单等组合访问控制策略,授权用户可访问的目标设备。