極地堡壘機的應(yīng)用

1、極地堡壘機的應(yīng)用方案綜述極地數(shù)據(jù)內(nèi)控堡壘機，是國內(nèi)知名的內(nèi)網(wǎng)安全廠商極地安全，針對醫(yī)藥行業(yè)“防統(tǒng)方”現(xiàn) 實需求，基于當(dāng)前國際上最前沿主流的內(nèi)網(wǎng)信息系統(tǒng)后臺高端保護(hù)技術(shù)堡壘機技術(shù)，而研 發(fā)的全面“防統(tǒng)方”解決方案。該方案立足于智能主動、全程管控的“防統(tǒng)方”理念，通過事前的堡壘機集中賬號和訪問 通道管控，事中的單點登錄、統(tǒng)一授權(quán)和訪問控制，事后的數(shù)據(jù)走向與行為審計等功能，具備 在服務(wù)器及后臺數(shù)據(jù)庫的核心設(shè)備層面的數(shù)據(jù)保護(hù)、智能攔截和行為審計，實現(xiàn)了真正意義上 的智能管控和深度審計“防統(tǒng)方”的目的。通過極地數(shù)據(jù)內(nèi)控堡壘機“防統(tǒng)方”解決方案(以下簡稱：“防統(tǒng)方”堡壘機)，能夠有 效地防止和精確審計醫(yī)院

2、系統(tǒng)內(nèi)外的各種有權(quán)限訪問內(nèi)部各個核心系統(tǒng)的人員的統(tǒng)方操作，包 括：醫(yī)院 HIS 系統(tǒng)使用者管理者、醫(yī)院信息設(shè)備管理者、外部技術(shù)維護(hù)人員，以及外部黑客等。極地“防統(tǒng)方”堡壘機的核心價值在于：(1) 治本：從根源解決“防統(tǒng)方”難題。(2) 全程：融預(yù)警變事后追查為主動防御。(3) 高效：產(chǎn)品便捷操作，智能防御和深度審計。(4) 整體：產(chǎn)品方案高屋建瓴，不光針對防統(tǒng)方問題，同時對整個醫(yī)院內(nèi)網(wǎng)信息系統(tǒng)核心 數(shù)據(jù)設(shè)備，構(gòu)建了高效率運維支撐和高強度安全保障的信息安全體系。醫(yī)院面臨的“防統(tǒng)方”困境困境一：“統(tǒng)方”途徑多，堵漏難度大目前，衛(wèi)生行業(yè)信息系統(tǒng)均采用專網(wǎng)互聯(lián)，并采用了防火墻、殺毒軟件等基本的安全防護(hù)

3、 軟件，但仍然存在眾多安全威脅和監(jiān)管漏洞，導(dǎo)致非法“統(tǒng)方”行為的發(fā)生。一般而言，現(xiàn)在 醫(yī)院統(tǒng)方途徑主要有四大方面，簡單分析如下：第一，HIS應(yīng)用系統(tǒng)相關(guān)功能提供的統(tǒng)方醫(yī)院的HIS等醫(yī)療系統(tǒng)，集中了處方統(tǒng)計分析業(yè)務(wù)、處方查詢（藥劑科），以及掛號、病歷、診療信息管理等核心業(yè)務(wù)模塊，后臺涉及到醫(yī)生、藥品、劑量、單價、應(yīng)收金額等直接或 間接能夠“統(tǒng)方”的信息，這些功能本身提供詳盡的統(tǒng)方表格，同時該應(yīng)用系統(tǒng)有部分高權(quán)限 用戶擁有統(tǒng)方權(quán)限，例如，一些醫(yī)院的藥劑科本身就兼具正?！敖y(tǒng)方”的職責(zé)，在一定的時間 藥劑科科長需要對醫(yī)生、藥品和劑量信息進(jìn)行統(tǒng)計，以防止醫(yī)生用藥比例過高導(dǎo)致醫(yī)生停診。 因此，如果 HIS

4、應(yīng)用系統(tǒng)本身管理制度出現(xiàn)漏洞，或者有權(quán)限的醫(yī)院內(nèi)部人員出現(xiàn)問題，就會 導(dǎo)致統(tǒng)方數(shù)據(jù)外泄的威脅。但這個途徑逐步已經(jīng)不成為非法統(tǒng)方的主要途徑，這是因為盡管這 是統(tǒng)方最直接和便捷的通道，但也是非法統(tǒng)方者最危險的通道，因為HIS系統(tǒng)本身對相關(guān)權(quán)限和開放權(quán)限的人員，構(gòu)建了嚴(yán)格的管理和審計體制，對于當(dāng)前主流HIS系統(tǒng)，很難鉆到空子。第二，內(nèi)部信息資源管理人員非法“統(tǒng)方”隨著信息化水平提升，醫(yī)院信息中心人員也迅速增加，他們負(fù)責(zé)醫(yī)院信息化建設(shè)，以及日常IT網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫等程序的維護(hù)工作，這些管理人員掌握著SYS SYSTEM等超級用戶，這些用戶具備了訪問所有 IT網(wǎng)絡(luò)設(shè)備、服務(wù)器、應(yīng)用數(shù)據(jù)庫的權(quán)限；從而使毫

5、無業(yè)務(wù)需要的信息 中心工作人員能夠訪問所有處方數(shù)據(jù)，具備“統(tǒng)方”的最佳途徑；另外，數(shù)據(jù)庫管理員（簡稱： DBA人員）也可以直接查詢數(shù)據(jù)庫中的用戶密碼表，使用具備統(tǒng)方權(quán)限的應(yīng)用用戶登錄到HIS系統(tǒng)直接進(jìn)行非法“統(tǒng)方”。由于這個群體對于信息系統(tǒng)的操作熟悉程度，以及目前對于超級 用戶的技術(shù)審計比較薄弱，因此，事實證明，這是目前比較主要的非法統(tǒng)方途徑。第三，開發(fā)人員、維護(hù)人員非法“統(tǒng)方”。醫(yī)療信息系統(tǒng)的開發(fā)和維護(hù)人員掌握著系統(tǒng)訪問數(shù)據(jù)庫的用戶名和口令，這些人員經(jīng)常需要在醫(yī)院內(nèi)部進(jìn)行日常工作，完全可以使用該數(shù)據(jù)庫用戶直接登錄數(shù)據(jù)庫，構(gòu)造統(tǒng)方SQL進(jìn)行 非法“統(tǒng)方”。第四，黑客入侵醫(yī)療系統(tǒng)非法“統(tǒng)方”。在

6、高額利益的驅(qū)使下，當(dāng)前黑客竊取“統(tǒng)方”數(shù)據(jù)的問題已不容忽視?？偨Y(jié)黑客的手段無外乎以下三種：1）利用HIS等醫(yī)療系統(tǒng)的 Web漏洞入侵?jǐn)?shù)據(jù)庫；2）利用數(shù)據(jù)庫漏洞直接入侵 數(shù)據(jù)庫；3）入侵?jǐn)?shù)據(jù)庫服務(wù)器主機直接竊取數(shù)據(jù)庫文件、備份文件等。綜上所述，以上四大途徑，除了HIS系統(tǒng)途徑相對容易防范，且技術(shù)管理架構(gòu)清晰之外，其他三個途徑，都是需要從根本體系上進(jìn)行信息安全保障建設(shè)才能徹底堵住漏洞，自然，目前 應(yīng)用較廣泛的數(shù)據(jù)庫審計軟件等手段，難以起到根本的作用。困境二：政策“防統(tǒng)方”缺乏技術(shù)手段支撐2010年6月21日頒發(fā)的衛(wèi)生部關(guān)于進(jìn)一步深化治理醫(yī)藥購銷領(lǐng)域商業(yè)賄賂工作的通知 中明確指出，“要對醫(yī)院各個部門

7、通過計算機網(wǎng)絡(luò)查詢醫(yī)院信息的權(quán)限實行分級管理，對醫(yī)院 信息系統(tǒng)中有關(guān)藥品、高值耗材使用等信息實行專人負(fù)責(zé)、加密管理，嚴(yán)格統(tǒng)方權(quán)限和審批程 序，未經(jīng)批準(zhǔn)不得統(tǒng)方，嚴(yán)禁為商業(yè)目的統(tǒng)方。”福建省衛(wèi)生廳近日發(fā)出關(guān)于加強醫(yī)院信息系統(tǒng)管理的通知，凡是有可能涉及對藥品、醫(yī)用耗材用量按醫(yī)生進(jìn)行查詢統(tǒng)計的模塊或軟件應(yīng)予以卸除，并且要對信息系統(tǒng)中的藥品相關(guān) 信息查詢功能模塊進(jìn)行清理，刪除一般科室功能模塊中藥品信息查詢統(tǒng)計程序。不得授權(quán)其他 科室和個人查詢醫(yī)生用藥情況。但在以上國家政策和地方政策頒布下，由于缺乏具體的技術(shù)手段作支撐，現(xiàn)實中的統(tǒng)方事 件仍然不斷發(fā)生：2005-2008年海寧某醫(yī)院信息科信息管理員王力，

8、通過醫(yī)生用藥數(shù)據(jù)庫中的藥品及醫(yī)療設(shè)備的采購資料、醫(yī)生用藥量等信息資料，向藥品經(jīng)銷商沈某、方某等人出售“統(tǒng)方”信息，共獲 得14萬元。2008-2010年1月杭州某醫(yī)院計算機網(wǎng)絡(luò)中心副主任金某與職員林某，向藥品銷售商李某等人出售“統(tǒng)方”信息，共獲得13萬元。2011年9月，黑客多次潛入福州多家三甲醫(yī)院，接入內(nèi)網(wǎng)竊取醫(yī)院的用藥信息，然后高價 賣出，累計獲利上百萬元。困境三：單純審計手段無法防止非法“統(tǒng)方”當(dāng)前部分省市醫(yī)院采用審計軟件“防統(tǒng)方”，卻面臨3大致命缺陷：1）事后分析，無法主動阻止內(nèi)部人員非法統(tǒng)方行為的發(fā)生；2）難以準(zhǔn)確地定位統(tǒng)方發(fā)生的具體操作人員，因此無法辨別非法統(tǒng)方和正常統(tǒng)方，不能起

9、到震懾的作用；3）在實際運行中，由于普通數(shù)據(jù)庫審計軟件，沒法進(jìn)行深度智能的、對統(tǒng)方有針對性的審 計和記錄，因此會出現(xiàn)日志量太大等問題，嚴(yán)重影響防統(tǒng)方工作效率和實際效果；4）可以偽造 IP 、用戶名，只能審計不能攔截，無法阻止來自于外部黑客的攻擊和存儲層的 數(shù)據(jù)泄密。、極地數(shù)據(jù)內(nèi)控堡壘機介紹（一）極地數(shù)據(jù)內(nèi)控堡壘機 - 概念極地安全的數(shù)據(jù)內(nèi)控堡壘機是一種被加固的可以防御進(jìn)攻的計算機，具備堅強的安全防護(hù) 能力。極地安全數(shù)據(jù)內(nèi)控堡壘機扮演著看門者的職責(zé)，所有對網(wǎng)絡(luò)設(shè)備和服務(wù)器的請求都要從 這扇大門經(jīng)過。因此極地安全數(shù)據(jù)內(nèi)控堡壘機能夠攔截非法訪問和惡意攻擊，對不合法命令進(jìn) 行阻斷、過濾掉所有對目標(biāo)設(shè)備

10、的非法訪問行為。極地安全數(shù)據(jù)內(nèi)控堡壘機具備強大的輸入輸出審計功能，不僅能夠詳細(xì)記錄用戶操作的每 一條指令，而且能夠?qū)⑺械妮敵鲂畔⑷坑涗浵聛?；具備審計回放功能，能夠模擬用戶的在 線操作過程，豐富和完善了網(wǎng)絡(luò)的內(nèi)控審計功能。極地安全數(shù)據(jù)內(nèi)控堡壘機能夠在自身記錄審 計信息的同時在外部某臺計算機上做存儲備份，可以極大增強審計信息的安全性，保證審計人 員有據(jù)可查。極地安全數(shù)據(jù)內(nèi)控堡壘機還具備圖形終端操作的審計功能，能夠?qū)Χ嗥脚_的多種圖形終端操作做審計，例如 Windows平臺的RDP方式圖形終端操作，Linux/Unix 平臺的X11方式圖形終 端操作。為了給系統(tǒng)管理員查看審計信息提供方便性，極地安

11、全數(shù)據(jù)內(nèi)控堡壘機提供了審計查看檢 索功能。系統(tǒng)管理員可以通過多種查詢條件查看審計信息。總之， 極地安全數(shù)據(jù)內(nèi)控堡壘機能夠極大的保護(hù)單位內(nèi)部網(wǎng)絡(luò)設(shè)備及服務(wù)器資源的安全性， 確保各種服務(wù)器數(shù)據(jù)的安全保密、管理控制和操作審計，最終確保數(shù)據(jù)安全，全面而徹底地解 決了目前醫(yī)院防統(tǒng)方的難題和困境（詳見上文）。（二）極地數(shù)據(jù)內(nèi)控堡壘機 - 優(yōu)勢與特點1）高成熟性和安全性。極地安全數(shù)據(jù)內(nèi)控堡壘機脫胎于國內(nèi)最早的4A項目：黑龍江移動運維支撐平臺集中身份和認(rèn)證管理系統(tǒng)。并在中國移動的全國范圍做了多年的部署實施，對于內(nèi)網(wǎng)系統(tǒng)和數(shù)據(jù)安全的實 際需求滿足充分。在運營商行業(yè)有長達(dá)6年的使用實踐，最多管理省級運維網(wǎng)絡(luò)高達(dá)3

12、000 多臺設(shè)備，性能卓越。堡壘機代為記憶了賬號和密碼，還可以大提高操作人員的工作效率，并能證明操作人員的 合規(guī)操作， 所以也受到操作人員的歡迎。系統(tǒng)的開發(fā)研制中，我們盡量采用成熟的先進(jìn)技術(shù)， 對系統(tǒng)的關(guān)鍵技術(shù)在前期的工作中進(jìn)行了大量實驗和攻關(guān)及原型建立，在已開發(fā)并經(jīng)廣泛測試 的產(chǎn)品中，上述的關(guān)鍵技術(shù)問題已解決。而且，極地安全內(nèi)控堡壘主機系統(tǒng)所選取的硬件平臺 和軟件平臺，是具有良好的技術(shù)支持和發(fā)展前途的成熟產(chǎn)品。系統(tǒng)運用了先進(jìn)的加密、過濾、備份、數(shù)字簽名與身份認(rèn)證、權(quán)限管理等安全手段，建立 健全的系統(tǒng)安全機制，保證了用戶的合法性和數(shù)據(jù)不被非法盜取，從而保證產(chǎn)品的安全性。2）良好的可擴展性。極地

13、安全數(shù)據(jù)內(nèi)控堡壘機產(chǎn)品從4A解決方案中抽象出來， 提供最便捷的4A項目集成方案。在程序結(jié)構(gòu)上充分考慮到4A項目和非4A項目的使用場景，以先進(jìn)的體系結(jié)構(gòu)，清晰合理的模塊劃分實現(xiàn)多種用戶場景的適用性。在4A項目中，極地安全數(shù)據(jù)內(nèi)控堡壘機放棄賬號、認(rèn)證、授權(quán)的集中管理，只提供執(zhí)行單元，完成訪問控制和操作審計功能；在非4A項目中極地安全將4A 的一些理念融合到數(shù)據(jù)內(nèi)控堡壘機產(chǎn)品中，除提供基礎(chǔ)的訪問控制和操作審計功能外，還提 供精簡的賬號、認(rèn)證、授權(quán)集中管理功能。3）全面的信息系統(tǒng)和數(shù)據(jù)監(jiān)控及訪問控制功能。極地數(shù)據(jù)內(nèi)控堡壘機除了對服務(wù)器和數(shù)據(jù)庫的監(jiān)控，還能控制和管理交換換機、路由器， 防止假冒網(wǎng)絡(luò)地址的

14、竊取行為。在日常運行中，堡壘機能夠提供細(xì)粒度的智能訪問控制， 最大限度保護(hù)用戶資源的安全。細(xì)粒度的命令策略是命令的集合，可以是一組可執(zhí)行命令，也 可以是一組非可執(zhí)行的命令，該命令集合用來分配給具體的用戶，來限制其系統(tǒng)行為，管理員 會根據(jù)其自身的角色為其指定相應(yīng)的控制策略來限定用戶。4）智能而強大的審計功能。極地數(shù)據(jù)內(nèi)控堡壘機監(jiān)控的都是人工操作，也就是所以非正常操作都被監(jiān)控， 不會有冗余的無效日志（數(shù)據(jù)庫審計的冗余日志多大每天幾萬條）。同時，極地數(shù)據(jù)內(nèi)控堡壘機精確記 錄用戶操作時間。審計結(jié)果支持多種展現(xiàn)方式，讓操作得以完整還原。審計結(jié)果可以錄像回放， 支持調(diào)節(jié)播放速度，并且回放過程中支持前后拖拽

15、，方便快速定位問題操作。方便的審計查詢 功能，能夠一次查詢多條指令。5）綠色部署迅速上線，使用簡單，適應(yīng)各種應(yīng)用。堡壘主機操作簡單，不用設(shè)置復(fù)雜策略。尤其是對于操作不熟練的領(lǐng)導(dǎo)來說，只要分配下屬的權(quán)限和看審計日志就行了。不增加操作和維護(hù)的復(fù)雜度，不改變用戶的使用習(xí)慣， 不影響被管理設(shè)備的運行。統(tǒng)一操作入口，統(tǒng)一登錄界面，管理員和操作員都使用WEB方式操作，操作簡單?？蓪λ蠻NIX類服務(wù)器、LINUX類服務(wù)器、Windows類服務(wù)器、網(wǎng)絡(luò)安全等重要設(shè)備的進(jìn)行統(tǒng)一操作 管理。統(tǒng)一運維工具，不需要用戶安裝SSHClient、Neteam、SecureCRT等運維工具，即可采用RDR Telnet、

16、等常用運維方式對被管資源進(jìn)行操作。物理旁路部署，不需要在被管理設(shè)備上安 裝代理程序；不改變原有的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，不更改用戶網(wǎng)絡(luò)設(shè)備上的配置，不影響任何業(yè)務(wù)數(shù) 據(jù)流，幾分鐘就可以部署完畢。6）實現(xiàn)運維命令的實時審計和攔截控制。對于普通用戶登錄到目標(biāo)設(shè)備上正在進(jìn)行的操作，審計管理員可以通過極地數(shù)據(jù)內(nèi)控堡壘 機的 WEB界面做到實時監(jiān)控，做到邊操作邊審計，真正實現(xiàn)實現(xiàn)操作透明；同時對于用戶的違 規(guī)操作，審計管理員還可以做到實時切斷。（相比傳統(tǒng)的并行網(wǎng)絡(luò)偵聽審計而言）7）加密協(xié)議審計。極地數(shù)據(jù)內(nèi)控堡壘機支持對SSH SFTR等加密類協(xié)議，以及RDR VNC X11等圖形協(xié)議進(jìn)行全面審計?？梢杂涗洸僮髅?/p>

17、、操作過程中的鍵盤事件，同時可以對操作過程進(jìn)行實時監(jiān)控、 錄像、回放。（三）極地數(shù)據(jù)內(nèi)控堡壘機技術(shù)與性能1）系統(tǒng)架構(gòu)IOfkcIbDB25FTPVNC安全操作系統(tǒng)平臺iANCtn匸HP Uni kMicros o-HWhndo Wf8苛 Audi術(shù)為gL&Er POM AIXRethtLlnusd d，四玫SUN | &oi譏 I昭管再界面 快速部著 威機加缶m堵論帚 安宦說番tiDkK1*1kfil fifNpm叭2農(nóng)令榆1*1Tc-lnmFTP|RDfXll1 UUF|丼據(jù)K宛百IT2）引入4A管理理念極地數(shù)據(jù)內(nèi)控堡壘機采用4A的管理理念，圓滿地解決用戶現(xiàn)在面臨的種種運維問題。帳網(wǎng)理Acc

18、ount認(rèn)iiE管理 thentication授成脣理Authorization悚澆計Audit如圖，IT運維管理由賬號管理、認(rèn)證管理、授權(quán)管理、操作管理組成:帳號管理，需要在各系統(tǒng)上為新用戶建立帳號、為已有用戶修改帳號、為離職用戶刪除帳 號。認(rèn)證管理，要保證各系統(tǒng)不被越權(quán)訪問，那么就必須做好認(rèn)證管理，為系統(tǒng)帳號定義密碼、 定期要求帳號密碼修改、控制密碼強度等等。授權(quán)管理，授權(quán)過程其實就是把各系統(tǒng)上建立的帳號分配給操作人員的過程，管理員要定 義帳號的權(quán)限，然后做帳號分配，根據(jù)用戶置位調(diào)整做相應(yīng)的帳號權(quán)限修改。操作審計，管理員要定期做服務(wù)器的巡檢，分析各系統(tǒng)上的日志，查看是否有越權(quán)訪問， 查看是

19、否有誤操作，如果有事故還需要根據(jù)日志進(jìn)行故障排查和事故追蹤。以上也就是4A管理，極地數(shù)據(jù)內(nèi)控堡壘機融合統(tǒng)一用戶賬號管理、統(tǒng)一認(rèn)證管理、統(tǒng)一授權(quán)管理和統(tǒng)一安全審計四要素，并且涵蓋單點登錄（SSO等安全功能，既能夠為客戶提供功能完善的、高安全級別的 4A管理，也能夠為用戶提供符合薩班斯法案（ SOX要求的內(nèi)控報表。3）SSO單點登錄極地安全數(shù)據(jù)內(nèi)控堡壘機提供了基于B/S的單點登錄系統(tǒng)，用戶通過訪問WEB頁面一次登錄系統(tǒng)后，就可以無需認(rèn)證的訪問被授權(quán)的多種基于B/S和C/S的應(yīng)用系統(tǒng)。單點登錄為具有多賬號的用戶提供了方便快捷的訪問途經(jīng)，使用戶無需記憶多種登錄用戶ID和口令。它通過向用戶和客戶提供對其

20、個性化資源的快捷訪問提高工作效率。同時，由于系統(tǒng)自身是采用強認(rèn)證 的系統(tǒng)，從而提高了用戶認(rèn)證環(huán)節(jié)的安全性。單點登錄可以實現(xiàn)與用戶授權(quán)管理的無縫鏈接，可以通過對用戶、角色、行為和資源的授權(quán)，增加對資源的保護(hù)和對用戶行為的監(jiān)控及審計。8交換機卄達(dá)川戶a主機沖理從路由陽8第三方集中訪問入口、操作審計數(shù)據(jù)聞臉務(wù)戲4）集中賬號管理極地數(shù)據(jù)內(nèi)控堡壘機的集中賬號管理包含對所有服務(wù)器、網(wǎng)絡(luò)設(shè)備賬號的集中管理。賬號 和資源的集中管理是集中授權(quán)、認(rèn)證和審計的基礎(chǔ)。集中賬號管理可以完成對賬號整個生命周 期的監(jiān)控和管理，而且還降低了管理大量用戶賬號的難度和工作量。同時，通過統(tǒng)一的管理還 能夠發(fā)現(xiàn)賬號中存在的安全隱患，

21、并且制定統(tǒng)一的、標(biāo)準(zhǔn)的用戶賬號安全策略。通過建立集中賬號管理，單位可以實現(xiàn)將賬號與具體的自然人相關(guān)聯(lián)。通過這種關(guān)聯(lián)，可 以實現(xiàn)多級的用戶管理和細(xì)粒度的用戶授權(quán)。而且，還可以實現(xiàn)針對自然人的行為審計，以滿 足審計的需要。系統(tǒng)帳號=+丿5）集中身份認(rèn)證極地安全內(nèi)控堡壘主機為用戶提供統(tǒng)一的認(rèn)證接口。采用統(tǒng)一的認(rèn)證接口不但便于對用戶 認(rèn)證的管理，而且能夠采用更加安全的認(rèn)證模式，提高認(rèn)證的安全性和可靠性。集中身份認(rèn)證支持電子證書、Windows AD域、Windows Kerberos、雙因素、動態(tài)口令和生物特征識別等多種認(rèn)證方式，而且系統(tǒng)具有靈活的定制接口，可以方便的與第三方LDAP認(rèn)證服務(wù)器對接。6

22、）統(tǒng)一資源授權(quán)極地數(shù)據(jù)內(nèi)控堡壘機提極地安全內(nèi)控堡壘主機系統(tǒng)提供統(tǒng)一的界面，對用戶、角色及行為 和資源進(jìn)行授權(quán)，以達(dá)到對權(quán)限的細(xì)粒度控制，最大限度保護(hù)用戶資源的安全。通過集中訪問 授權(quán)和訪問控制可以對用戶通過B/S、C/S對服務(wù)器主機、網(wǎng)絡(luò)設(shè)備的訪問進(jìn)行審計和阻斷。在集中訪問授權(quán)里強調(diào)的“集中”是邏輯上的集中，而不是物理上的集中。即在各網(wǎng)絡(luò)設(shè) 備、服務(wù)器主機系統(tǒng)中可能擁有各自的權(quán)限管理功能，運維人員也由各自的歸口管理部門委派， 這些運維人員可以通過數(shù)據(jù)內(nèi)控堡壘機對各自的管理對象進(jìn)行授權(quán)，而不需要進(jìn)入每一個被管 理對象才能授權(quán)。授權(quán)的對象包括用戶、用戶角色、資源和用戶行為。系統(tǒng)不但能夠?qū)崿F(xiàn)授權(quán) 用

23、戶可以通過什么角色訪問資源這樣基于應(yīng)用邊界的粗粒度授權(quán)，對某些應(yīng)用還可以實現(xiàn)限制 用戶的操作，以及在什么時間、什么地點進(jìn)行操作等的細(xì)粒度授權(quán)。7）細(xì)粒度訪問控制極地安全內(nèi)控堡壘主機系統(tǒng)能夠提供細(xì)粒度的訪問控制，最大限度保護(hù)用戶資源的安全。細(xì)粒度的命令策略是命令的集合，可以是一組可執(zhí)行命令，也可以是一組非可執(zhí)行的命令，該 命令集合用來分配給具體的用戶，來限制其系統(tǒng)行為，管理員會根據(jù)其自身的角色為其指定相 應(yīng)的控制策略來限定用戶。訪問控制策略是保護(hù)系統(tǒng)安全性的重要環(huán)節(jié)，制定良好的訪問策略能夠更好的提高系統(tǒng)的 安全性?；诩?xì)粒度的訪問控制下，極地數(shù)據(jù)內(nèi)控堡壘機真正做到了：Who（誰）：控制什么用戶允許操作Where （什么地點）：控制來源于什么地址的用戶允許訪