學習信息安全產(chǎn)品設計-架構設計-詳細設計

信息安全產(chǎn)品設計理念第堡壘主機對各種字符終端和圖形終端使用的協(xié)議進行代理，實現(xiàn)多平臺的操作支持和審計，例如Telnet、SSH、FTP、Windows平臺的RDP遠程桌面協(xié)議，Linux/Unix平臺的XWindow圖形終端訪問協(xié)議等。當運維機通過堡壘主機訪問服務器時，首先由堡壘主機模擬成遠程訪問的服務端，接受運維機的連接和通訊，并對其進行協(xié)議的還原、解析、記錄，最終獲得運維機的操作行為，之后堡壘主機模擬運維機與真正的目標服務器建立通訊并轉發(fā)運維機發(fā)送的指令信息，從而實現(xiàn)對各種維護協(xié)議的代理轉發(fā)過程。在通訊過程中，堡壘主機會記錄各種指令信息，并根據(jù)策略對通信過程進行控制，如發(fā)現(xiàn)違規(guī)操作，則不進行代理轉發(fā)，并由堡壘主機反饋禁止執(zhí)行的回顯提示。身份授權分離以前管理員依賴各IT系統(tǒng)上的系統(tǒng)帳號實線兩部分功能：身份認證和系統(tǒng)授權，但是因為共享帳號、弱口令帳號等問題存在，這兩方面實現(xiàn)都存在漏洞，達不到預期的效果。解決的思路是將身份和授權分離。在堡壘主機上建立主帳號體系，用于身份認證，原各IT系統(tǒng)上的系統(tǒng)帳號僅用于系統(tǒng)授權，？這樣可以有效增強身份認證和系統(tǒng)授權的可靠性，從本質上解決帳號管理混亂問題，為認證、授權、審計提供可靠的保障。詳細設計主要功能單點登錄基于B/S的單點登錄系統(tǒng)，用戶通過一次登錄系統(tǒng)后，就可以無需認證的訪問包括被授權的多種基于B/S的應用系統(tǒng)。單點登錄為具有多帳號的用戶提供了方便快捷的訪問途經(jīng)，使用戶無需記憶多種登錄用戶ID和口令。它通過向用戶和客戶提供對其個性化資源的快捷訪問提高生產(chǎn)效率。同時，由于系統(tǒng)自身是采用強認證的系統(tǒng)，從而提高了用戶認證環(huán)節(jié)的安全性。單點登錄可以實現(xiàn)和用戶管理授權的無縫隙鏈接，通過對用戶、角色、資源和行為的授權，增加對資源的保護，和對用戶行為的監(jiān)控及審計。賬戶管理集中帳號管理包含對所有服務器、網(wǎng)絡設備帳號的集中管理。帳號和資源的集中管理是集中授權、認證和審計的基礎。集中帳號管理可以完成對帳號整個生命周期的監(jiān)控和管理，而且還降低了企業(yè)管理大量用戶帳號的難度和工作量。同時，通過統(tǒng)一的管理還能夠發(fā)現(xiàn)帳號中存在的安全隱患，并且制定統(tǒng)一的、標準的用戶帳號安全策略。通過建立集中帳號管理，企業(yè)可以實現(xiàn)將帳號與具體的自然人相關聯(lián)。通過這種關聯(lián)，可以實現(xiàn)多級的用戶管理和細粒度的用戶授權。而且，還可以實現(xiàn)針對自然人的行為審計，以滿足審計的需要。身份認證為用戶提供統(tǒng)一的認證接口。采用統(tǒng)一的認證接口不但便于對用戶認證的管理，而且能夠采用更加安全的認證模式，提高認證的安全性和可靠性。集中身份認證提供靜態(tài)密碼、WindowsNT域、WindowsKerberos、雙因素、一次性口令和生物特征等多種認證方式，而且系統(tǒng)具有靈活的定制接口。？資源授權系統(tǒng)提供統(tǒng)一的界面，對用戶、角色及行為和資源進行授權，以達到對權限的細粒度控制，最大限度保護用戶資源的安全。通過集中訪問授權和訪問控制可以對用戶通過B/S對服務器主機、網(wǎng)絡設備的訪問進行審計。在集中訪問授權里強調(diào)的“集中”是邏輯上的集中，而不是物理上的集中。即在各網(wǎng)絡設備、服務器主機系統(tǒng)中可能擁有各自的權限管理功能，管理員也由各自的歸口管理部門委派，但是這些管理員在堡壘機系統(tǒng)上，可以對各自的管理對象進行授權，而不需要進入每一個被管理對象才能授權。授權的對象包括用戶、用戶角色、資源和用戶行為。系統(tǒng)不但能夠授權用戶可以通過什么角色訪問資源這樣基于應用邊界的粗粒度授權，對某些應用還可以限制用戶的操作，以及在什么時間進行操作等的細粒度授權。訪問控制堡壘機系統(tǒng)能夠提供細粒度的訪問控制，最大限度保護用戶資源的安全。細粒度的命令策略是命令的集合，可以是一組可執(zhí)行命令，也可以是一組非可執(zhí)行的命令，該命令集合用來分配給具體的用戶，來限制其系統(tǒng)行為，管理員會根據(jù)其自身的角色為其指定相應的控制策略來限定用戶。訪問控制策略是保護系統(tǒng)安全性的重要環(huán)節(jié)，制定良好的訪問策略能夠更好的提高系統(tǒng)的安全性。操作審計操作審計管理主要審計操作人員的帳號使用（登錄、資源訪問）情況、資源使用情況等。在各服務器主機、網(wǎng)絡設備的訪問日志記錄都采用統(tǒng)一的帳號、資源進行標識后，操作審計能更好地對帳號的完整使用過程進行追蹤。系統(tǒng)支持對如下協(xié)議進行審計：Telnet、FTP、SSH、RDP（WindowsTerminal）、Xwindows、VNC等。堡壘機系統(tǒng)通過系統(tǒng)自身的用戶認證系統(tǒng)、用戶授權系統(tǒng)，以及訪問控制等詳細記錄整個會話過程中用戶的全部行為日志。還可以將產(chǎn)生的日志傳送給第三方。對于生成的日志支持豐富的查詢和操作。支持按服務器方式進行查詢通過對特定服務器地址進行查詢，可以發(fā)現(xiàn)該服務器上發(fā)生的命令和行為。支持按用戶名方式進行查詢通過對用戶名進行查詢，可以發(fā)現(xiàn)該用戶的所有行為。支持按登陸地址方式進行查詢通過對特定IP地址進行查詢，可以發(fā)現(xiàn)該地址對應主機及其用戶在服務器上進行的所有操作。支持按照登陸時間進行查詢通過對登錄時間進行查詢，可以發(fā)現(xiàn)特定時間內(nèi)登錄服務器的用戶及其進行過的所有操作。支持對命令發(fā)生時間進行查詢可以通過對命令發(fā)生的時間進行查詢，可以查詢到特定時間段服務器上發(fā)生過的所有行為。支持對命令名稱進行查詢通過查詢特定命令如LS，可以查詢到使用過該命令的所有用戶及其使用的時間等。支持上述六個查詢條件的任意組合查詢?nèi)纾嚎梢圆樵?誰（用戶名）""什么時間登錄（登錄時間）"服務器并在"什么時間（命令發(fā)生時間）"在"服務器（目標服務器）"上執(zhí)行過"什么操作（命令）"。支持對日志的備份操作處理支持對日志的刪除處理圖形捕獲堡壘機采用系列先進技術，成功實現(xiàn)命令及圖形的捕獲與控制，為服務器的安全運行提供了強有力的系統(tǒng)工具。邏輯命令自動識別技術堡壘機自動識別當前操作終端，對當前終端的輸入輸出進行控制，組合輸入輸出流，自動識別邏輯語義命令。系統(tǒng)會根據(jù)輸入輸出上下文，確定邏輯命令編輯過程，進而自動捕獲出用戶使用的邏輯命令。該項技術解決了邏輯命令自動捕獲功能，在傳統(tǒng)鍵盤捕獲與控制領域取得新的突破，可以更加準確的控制用戶意圖。該技術能自動識別命令狀態(tài)和編輯狀態(tài)以及私有工作狀態(tài)，準確捕獲邏輯命令。分布式處理技術堡壘機采用分布式處理架構進行處理，啟用命令捕獲引擎機制，通過策略服務器完成策略審計，通過日志服務器存儲操作審計日志，并通過實時監(jiān)視中心，實時察看用戶在服務器上行為。這種分體式設計有利于策略的正確執(zhí)行和操作記錄日志的安全。同時，各組件之間采用安全連接進行通信，防止策略和日志被篡改。各組件可以獨立工作，可以分布于不同的服務器上，亦可所有組件安裝于一臺服務器。正則表達式匹配技術堡壘機采用正則表達式匹配技術，將正則表達式組合入樹型可遺傳策略結構，實現(xiàn)控制命令的自動匹配與控制。樹型可遺傳策略適合現(xiàn)代企業(yè)事業(yè)架構，對于服務器的分層分級管理與控制提供了強大的工具。RDP協(xié)議代理為了對圖形終端操作行為進行審計和監(jiān)控，堡壘機對圖形終端使用的協(xié)議進行代理，實現(xiàn)多平臺的多種圖形終端操作的審計，例如Windows平臺的RDP方式圖形終端操作，Linux/Unix平臺的XWindow方式圖形終端操作。多進程/線程與同步技術堡壘機主體采用多進程/線程技術實現(xiàn)，利用獨特的通信和數(shù)據(jù)同步技術，準確控制程序行為。多進程/線程方式邏輯處理準確，事務處理不會發(fā)生干擾，這有利于保證系統(tǒng)的穩(wěn)定性、健壯性。數(shù)據(jù)加密功能堡壘機在處理用戶數(shù)據(jù)時都采用相應的數(shù)據(jù)加密技術來保護用戶通信的安全性和數(shù)據(jù)的完整性。防止惡意用戶截獲和篡改數(shù)據(jù)。充分保護用戶在操作過程中不被惡意破壞。審計查詢檢索功能堡壘機能夠為企業(yè)內(nèi)部網(wǎng)絡提供完全的審計信息，這些審計信息能夠為企業(yè)追蹤用戶行為，判定用戶行為等，能夠還原出用戶的一些操作性為。堡壘機能夠對這些用戶關聯(lián)審計行為，就是說真正能夠把每一次審計出的用戶操作性為綁定到自然人身上，便于企業(yè)內(nèi)部網(wǎng)絡管理追蹤到個人。操作還原技術操作還原技術是指將用戶在系統(tǒng)中的操作行為以真實的環(huán)境模擬顯現(xiàn)出來，審計管理員可以根據(jù)操作還原技術還原出真實的操作，以