尚思卓越企業(yè)堡壘機安全管理規(guī)范

最新資料歡迎閱讀尚思卓越企業(yè)堡壘機安全管理規(guī)范則第一條為加強堡壘機的安全管理工作，有效保證堡壘機部署、運維和使用的合規(guī)性、安全性和可審計性，結合實際情況，特制定本管理規(guī)范。第二條本規(guī)范中使用到的相關術語定義如下：（一）堡壘機：是一種系統運維安全管理工具，提供用戶對系統進行運維操作的統一入口，既能夠對身份認證、運維授權、運維行為、設備賬戶密碼等進行有效管控，又具有再現行為軌跡、過程回放等審計功能，有效保證運維操作的合規(guī)性、安全性和可審計性。（二）設備：指由堡壘機進行密碼托管或者密碼代填、通過堡壘機進行運維的各類應用系統，包括Unix、Windows平臺服務器、網絡設備等。（三）協議：指堡壘機所支持的運維協議，主要可分為文本協議（Telnet、SSH）、圖形協議（RDP、XWin、VNC、Http等）、文件傳輸協議（FTP、SFTP）。（四）密碼托管：指設備的指定賬戶及其密碼由堡壘機保存，并按照設置由堡壘機進行自動/手動改密，用戶運維無須知曉賬戶密碼、通過堡壘機自動認證登陸。（五）密碼代填：指設備的指定賬戶及其密碼由堡壘機保存，堡壘機只保存而不進行改密，用戶運維無須知曉賬戶密碼、由堡壘機自動代填密碼登陸。（六）黑/白名單：指堡壘機能夠對文本協議以及文件傳輸協議進行運維命令限制，黑名單為不允許運維用戶執(zhí)行的命令集合，白名單為僅允許運維用戶執(zhí)行的命令集合。根據堡壘機功能的不同，黑名單主要存在以下三種形式，一是堡壘機直接對黑名單命令進行阻斷，二是在經復核人審核通過允許執(zhí)行，三是允許執(zhí)行但在審計中進行高亮顯示。（七）復核：指用戶在通過堡壘機使用文本協議對平臺設備運維時，可由另一復核用戶對操作進行復核。根據堡壘機功能的不同，復核主要存在以下三種形式，一是通過實時共享運維會話畫面、觀看運維操作過程進行復核，二是在觀看運維過程的同時，對黑名單命令進行審核，復核員許可后允許執(zhí)行黑名單命令，三是對運維操作的全部命令進行審核，只有經復核員審核通過的命令才被執(zhí)行。第二章安全技術標準第三條堡壘機能夠支持靜態(tài)口令認證、證書認證、令牌認證、AD域等認證方式中的兩種以上，能夠支持設置靜態(tài)口令強度、用戶認證有效期、登陸失敗鎖定次數等參數。第四條堡壘機對所托管的設備賬戶，能夠根據設備密碼管理員的設置（改密時間、改密賬戶范圍等）進行自動定時改密、以及手動改密，所生成的新密碼要符合系統密碼復雜度要求，并提供改密結果日志。堡壘機能夠加密導出全部或者部分設備賬戶密碼，或者將其打印至密碼密函信封中保存。第五條堡壘機能夠提供靈活、細粒度的運維授權機制，根據運維時間區(qū)間、運維用戶（組）、運維協議、運維設備（組）、設備賬戶、運維終端IP地址等要素，以最小權限準則對運維操作進行授權，得到授權許可方可進行相應的運維操作，以降低運維操作風險，最大限度保護用戶資源的安全。第六條堡壘機能夠支持根據系統管理員的設置，將系統配置、運維審計日志等重要信息通過FTP定期自動傳輸或者手動下載的方式進行系統備份異地存放，滿足在各類故障或應用場景使用備份數據及時恢復系統配置，確保堡壘機穩(wěn)定運行。第三章安全設置第七條若堡壘機存在用于底層維護的特殊用途端口，平時必須在系統中將其關閉，僅可在應急情況或者有特殊需求時進行開放，并在操作執(zhí)行完成后立刻關閉。第八條堡壘機設備及其主控臺必須放置于生產機房，且位于視頻監(jiān)控范圍之內。堡壘機操作必須在指定終端上進行，且終端位于視頻監(jiān)控范圍內。第九條堡壘機必須對堡壘機系統配置、運維日志、審計日志等信息進行周期性備份，以便于各類故障或應用場景下對系統進行恢復。其中備份周期、備份文件傳輸方式、備份文件存放方式由各行根據堡壘機產品功能自行確定。第條堡壘機須經過安全測試才能正式上線使用。安全測試中應重點關注：有無非法后門、系統健壯性、應用產品代碼、應用系統版本、補丁更新、系統版本等方面內容。第一條堡壘機投產使用后，應定期開展系統安全評估工作。使用漏洞掃描、系統升級、補丁更新等方法及時發(fā)現并修復相關安全漏洞，保證堡壘機穩(wěn)定運行。第四章通用設置第二條堡壘機用戶劃分應包括但不限于系統管理員、授權員、審計員、運維用戶、設備密碼管理員五個基本類型，各行可根據自身情況對用戶進行合理劃分，確保不同用戶類型之間權限相互制衡。第三條堡壘機用戶認證體系中，系統管理員應采用強口令、證書認證、動態(tài)口令等多重認證方式，不同認證要素應由不同管理員進行分管。其他權限用戶根據實際情況，采用合適的認證方式。各行可根據堡壘機用戶權限大小及重要性，對認證方式進行靈活設置，確保堡壘機認證體系的完備安全。第四條各行在堡壘機投產以后，遵循按照設備重要性循序漸進的原則逐步將各類設備納入堡壘機管理。原則上重要系統均須納入堡壘機進行管理，具體設備范圍由各行進行確定。第五條各設備管理賬戶（root、administrator等）必須納入堡壘機進行統一管理。監(jiān)控菜單用戶、無法改密的用戶可采用密碼代填的方式納入堡壘機管理。第六條設備密碼管理員須根據堡壘機改密設置，在設備賬戶密碼周期性修改或者手動修改后，及時將各設備管理員賬戶密碼通過加密導出、或者打印至密碼信封等安全方式，由專人存放保管，確保設備賬戶密碼的安全。第七條出于堡壘機應急操作的需要，各行可以在生產系統中預留應急用戶，其密碼應使用安全介質進行封存由專人保管，當且僅當堡壘機和所導出密碼均失效時啟用，以對設備進行應急運維。堡壘機恢復正常后，由密碼管理員負責修改應急用戶密碼并重新封存密碼信封。第五章運維流程第八條應按照運維人員的真實信息建立獨立的堡壘機用戶ID，以識別各設備賬戶的真實使用者。第九條按照各行運維審批流程，授權員根據有權人的審批，對運維時間區(qū)間、運維用戶（組）、運維協議、運維設備（組）、設備賬戶、運維終端IP地址等要素進行設置，以最小授權準則對運維操作進行授權。第二條運維人員僅在得到授權員授權后，在對應的運維時間區(qū)間登錄堡壘機，方可對指定設備使用指定賬戶在指定協議上進行系統運維操作，以保證堡壘機不被超限使用。第二一條堡壘機可對黑/白名單進行設置。例如，針對特定設備的特定賬戶操作使用黑名單進行限制，未經審批不得執(zhí)行，防止誤操作；對一些外部巡檢人員應用白名單進行限制，僅可執(zhí)行指定的查詢類巡檢命令，確保設備安全。各分行根據自身需求進行相應設置。第二二條堡壘機原則上應由自有人員進行維護操作。通過堡壘機對所托管的系統進行運維操作時，涉及重要系統、重要變更的操作必須采用雙人復核機制，以確保對堡壘機操作的安全合規(guī)。第二三條在特殊情況下，堡壘機需要由外部人員進行操作時，操作過程中必須有人員全程陪同，并對外部人員操作堡壘機進行實時監(jiān)控，防