學(xué)習(xí)信息安全產(chǎn)品設(shè)計(jì)-架構(gòu)設(shè)計(jì)-詳細(xì)設(shè)計(jì)

信息安全產(chǎn)品設(shè)計(jì)理念第堡壘主機(jī)對各種字符終端和圖形終端使用的協(xié)議進(jìn)行代理，實(shí)現(xiàn)多平臺(tái)的操作支持和審計(jì)，例如Telnet、SSH、FTP、Windows平臺(tái)的RDP遠(yuǎn)程桌面協(xié)議，Linux/Unix平臺(tái)的XWindow圖形終端訪問協(xié)議等。當(dāng)運(yùn)維機(jī)通過堡壘主機(jī)訪問服務(wù)器時(shí)，首先由堡壘主機(jī)模擬成遠(yuǎn)程訪問的服務(wù)端，接受運(yùn)維機(jī)的連接和通訊，并對其進(jìn)行協(xié)議的還原、解析、記錄，最終獲得運(yùn)維機(jī)的操作行為，之后堡壘主機(jī)模擬運(yùn)維機(jī)與真正的目標(biāo)服務(wù)器建立通訊并轉(zhuǎn)發(fā)運(yùn)維機(jī)發(fā)送的指令信息，從而實(shí)現(xiàn)對各種維護(hù)協(xié)議的代理轉(zhuǎn)發(fā)過程。在通訊過程中，堡壘主機(jī)會(huì)記錄各種指令信息，并根據(jù)策略對通信過程進(jìn)行控制，如發(fā)現(xiàn)違規(guī)操作，則不進(jìn)行代理轉(zhuǎn)發(fā)，并由堡壘主機(jī)反饋禁止執(zhí)行的回顯提示。身份授權(quán)分離以前管理員依賴各IT系統(tǒng)上的系統(tǒng)帳號(hào)實(shí)線兩部分功能：身份認(rèn)證和系統(tǒng)授權(quán)，但是因?yàn)楣蚕韼ぬ?hào)、弱口令帳號(hào)等問題存在，這兩方面實(shí)現(xiàn)都存在漏洞，達(dá)不到預(yù)期的效果。解決的思路是將身份和授權(quán)分離。在堡壘主機(jī)上建立主帳號(hào)體系，用于身份認(rèn)證，原各IT系統(tǒng)上的系統(tǒng)帳號(hào)僅用于系統(tǒng)授權(quán)，？這樣可以有效增強(qiáng)身份認(rèn)證和系統(tǒng)授權(quán)的可靠性，從本質(zhì)上解決帳號(hào)管理混亂問題，為認(rèn)證、授權(quán)、審計(jì)提供可靠的保障。詳細(xì)設(shè)計(jì)主要功能單點(diǎn)登錄基于B/S的單點(diǎn)登錄系統(tǒng)，用戶通過一次登錄系統(tǒng)后，就可以無需認(rèn)證的訪問包括被授權(quán)的多種基于B/S的應(yīng)用系統(tǒng)。單點(diǎn)登錄為具有多帳號(hào)的用戶提供了方便快捷的訪問途經(jīng)，使用戶無需記憶多種登錄用戶ID和口令。它通過向用戶和客戶提供對其個(gè)性化資源的快捷訪問提高生產(chǎn)效率。同時(shí)，由于系統(tǒng)自身是采用強(qiáng)認(rèn)證的系統(tǒng)，從而提高了用戶認(rèn)證環(huán)節(jié)的安全性。單點(diǎn)登錄可以實(shí)現(xiàn)和用戶管理授權(quán)的無縫隙鏈接，通過對用戶、角色、資源和行為的授權(quán)，增加對資源的保護(hù)，和對用戶行為的監(jiān)控及審計(jì)。賬戶管理集中帳號(hào)管理包含對所有服務(wù)器、網(wǎng)絡(luò)設(shè)備帳號(hào)的集中管理。帳號(hào)和資源的集中管理是集中授權(quán)、認(rèn)證和審計(jì)的基礎(chǔ)。集中帳號(hào)管理可以完成對帳號(hào)整個(gè)生命周期的監(jiān)控和管理，而且還降低了企業(yè)管理大量用戶帳號(hào)的難度和工作量。同時(shí)，通過統(tǒng)一的管理還能夠發(fā)現(xiàn)帳號(hào)中存在的安全隱患，并且制定統(tǒng)一的、標(biāo)準(zhǔn)的用戶帳號(hào)安全策略。通過建立集中帳號(hào)管理，企業(yè)可以實(shí)現(xiàn)將帳號(hào)與具體的自然人相關(guān)聯(lián)。通過這種關(guān)聯(lián)，可以實(shí)現(xiàn)多級的用戶管理和細(xì)粒度的用戶授權(quán)。而且，還可以實(shí)現(xiàn)針對自然人的行為審計(jì)，以滿足審計(jì)的需要。身份認(rèn)證為用戶提供統(tǒng)一的認(rèn)證接口。采用統(tǒng)一的認(rèn)證接口不但便于對用戶認(rèn)證的管理，而且能夠采用更加安全的認(rèn)證模式，提高認(rèn)證的安全性和可靠性。集中身份認(rèn)證提供靜態(tài)密碼、WindowsNT域、WindowsKerberos、雙因素、一次性口令和生物特征等多種認(rèn)證方式，而且系統(tǒng)具有靈活的定制接口。？資源授權(quán)系統(tǒng)提供統(tǒng)一的界面，對用戶、角色及行為和資源進(jìn)行授權(quán)，以達(dá)到對權(quán)限的細(xì)粒度控制，最大限度保護(hù)用戶資源的安全。通過集中訪問授權(quán)和訪問控制可以對用戶通過B/S對服務(wù)器主機(jī)、網(wǎng)絡(luò)設(shè)備的訪問進(jìn)行審計(jì)。在集中訪問授權(quán)里強(qiáng)調(diào)的“集中”是邏輯上的集中，而不是物理上的集中。即在各網(wǎng)絡(luò)設(shè)備、服務(wù)器主機(jī)系統(tǒng)中可能擁有各自的權(quán)限管理功能，管理員也由各自的歸口管理部門委派，但是這些管理員在堡壘機(jī)系統(tǒng)上，可以對各自的管理對象進(jìn)行授權(quán)，而不需要進(jìn)入每一個(gè)被管理對象才能授權(quán)。授權(quán)的對象包括用戶、用戶角色、資源和用戶行為。系統(tǒng)不但能夠授權(quán)用戶可以通過什么角色訪問資源這樣基于應(yīng)用邊界的粗粒度授權(quán)，對某些應(yīng)用還可以限制用戶的操作，以及在什么時(shí)間進(jìn)行操作等的細(xì)粒度授權(quán)。訪問控制堡壘機(jī)系統(tǒng)能夠提供細(xì)粒度的訪問控制，最大限度保護(hù)用戶資源的安全。細(xì)粒度的命令策略是命令的集合，可以是一組可執(zhí)行命令，也可以是一組非可執(zhí)行的命令，該命令集合用來分配給具體的用戶，來限制其系統(tǒng)行為，管理員會(huì)根據(jù)其自身的角色為其指定相應(yīng)的控制策略來限定用戶。訪問控制策略是保護(hù)系統(tǒng)安全性的重要環(huán)節(jié)，制定良好的訪問策略能夠更好的提高系統(tǒng)的安全性。操作審計(jì)操作審計(jì)管理主要審計(jì)操作人員的帳號(hào)使用（登錄、資源訪問）情況、資源使用情況等。在各服務(wù)器主機(jī)、網(wǎng)絡(luò)設(shè)備的訪問日志記錄都采用統(tǒng)一的帳號(hào)、資源進(jìn)行標(biāo)識(shí)后，操作審計(jì)能更好地對帳號(hào)的完整使用過程進(jìn)行追蹤。系統(tǒng)支持對如下協(xié)議進(jìn)行審計(jì)：Telnet、FTP、SSH、RDP（WindowsTerminal）、Xwindows、VNC等。堡壘機(jī)系統(tǒng)通過系統(tǒng)自身的用戶認(rèn)證系統(tǒng)、用戶授權(quán)系統(tǒng)，以及訪問控制等詳細(xì)記錄整個(gè)會(huì)話過程中用戶的全部行為日志。還可以將產(chǎn)生的日志傳送給第三方。對于生成的日志支持豐富的查詢和操作。支持按服務(wù)器方式進(jìn)行查詢通過對特定服務(wù)器地址進(jìn)行查詢，可以發(fā)現(xiàn)該服務(wù)器上發(fā)生的命令和行為。支持按用戶名方式進(jìn)行查詢通過對用戶名進(jìn)行查詢，可以發(fā)現(xiàn)該用戶的所有行為。支持按登陸地址方式進(jìn)行查詢通過對特定IP地址進(jìn)行查詢，可以發(fā)現(xiàn)該地址對應(yīng)主機(jī)及其用戶在服務(wù)器上進(jìn)行的所有操作。支持按照登陸時(shí)間進(jìn)行查詢通過對登錄時(shí)間進(jìn)行查詢，可以發(fā)現(xiàn)特定時(shí)間內(nèi)登錄服務(wù)器的用戶及其進(jìn)行過的所有操作。支持對命令發(fā)生時(shí)間進(jìn)行查詢可以通過對命令發(fā)生的時(shí)間進(jìn)行查詢，可以查詢到特定時(shí)間段服務(wù)器上發(fā)生過的所有行為。支持對命令名稱進(jìn)行查詢通過查詢特定命令如LS，可以查詢到使用過該命令的所有用戶及其使用的時(shí)間等。支持上述六個(gè)查詢條件的任意組合查詢?nèi)纾嚎梢圆樵?誰（用戶名）""什么時(shí)間登錄（登錄時(shí)間）"服務(wù)器并在"什么時(shí)間（命令發(fā)生時(shí)間）"在"服務(wù)器（目標(biāo)服務(wù)器）"上執(zhí)行過"什么操作（命令）"。支持對日志的備份操作處理支持對日志的刪除處理圖形捕獲堡壘機(jī)采用系列先進(jìn)技術(shù)，成功實(shí)現(xiàn)命令及圖形的捕獲與控制，為服務(wù)器的安全運(yùn)行提供了強(qiáng)有力的系統(tǒng)工具。邏輯命令自動(dòng)識(shí)別技術(shù)堡壘機(jī)自動(dòng)識(shí)別當(dāng)前操作終端，對當(dāng)前終端的輸入輸出進(jìn)行控制，組合輸入輸出流，自動(dòng)識(shí)別邏輯語義命令。系統(tǒng)會(huì)根據(jù)輸入輸出上下文，確定邏輯命令編輯過程，進(jìn)而自動(dòng)捕獲出用戶使用的邏輯命令。該項(xiàng)技術(shù)解決了邏輯命令自動(dòng)捕獲功能，在傳統(tǒng)鍵盤捕獲與控制領(lǐng)域取得新的突破，可以更加準(zhǔn)確的控制用戶意圖。該技術(shù)能自動(dòng)識(shí)別命令狀態(tài)和編輯狀態(tài)以及私有工作狀態(tài)，準(zhǔn)確捕獲邏輯命令。分布式處理技術(shù)堡壘機(jī)采用分布式處理架構(gòu)進(jìn)行處理，啟用命令捕獲引擎機(jī)制，通過策略服務(wù)器完成策略審計(jì)，通過日志服務(wù)器存儲(chǔ)操作審計(jì)日志，并通過實(shí)時(shí)監(jiān)視中心，實(shí)時(shí)察看用戶在服務(wù)器上行為。這種分體式設(shè)計(jì)有利于策略的正確執(zhí)行和操作記錄日志的安全。同時(shí)，各組件之間采用安全連接進(jìn)行通信，防止策略和日志被篡改。各組件可以獨(dú)立工作，可以分布于不同的服務(wù)器上，亦可所有組件安裝于一臺(tái)服務(wù)器。正則表達(dá)式匹配技術(shù)堡壘機(jī)采用正則表達(dá)式匹配技術(shù)，將正則表達(dá)式組合入樹型可遺傳策略結(jié)構(gòu)，實(shí)現(xiàn)控制命令的自動(dòng)匹配與控制。樹型可遺傳策略適合現(xiàn)代企業(yè)事業(yè)架構(gòu)，對于服務(wù)器的分層分級管理與控制提供了強(qiáng)大的工具。RDP協(xié)議代理為了對圖形終端操作行為進(jìn)行審計(jì)和監(jiān)控，堡壘機(jī)對圖形終端使用的協(xié)議進(jìn)行代理，實(shí)現(xiàn)多平臺(tái)的多種圖形終端操作的審計(jì)，例如Windows平臺(tái)的RDP方式圖形終端操作，Linux/Unix平臺(tái)的XWindow方式圖形終端操作。多進(jìn)程/線程與同步技術(shù)堡壘機(jī)主體采用多進(jìn)程/線程技術(shù)實(shí)現(xiàn)，利用獨(dú)特的通信和數(shù)據(jù)同步技術(shù)，準(zhǔn)確控制程序行為。多進(jìn)程/線程方式邏輯處理準(zhǔn)確，事務(wù)處理不會(huì)發(fā)生干擾，這有利于保證系統(tǒng)的穩(wěn)定性、健壯性。數(shù)據(jù)加密功能堡壘機(jī)在處理用戶數(shù)據(jù)時(shí)都采用相應(yīng)的數(shù)據(jù)加密技術(shù)來保護(hù)用戶通信的安全性和數(shù)據(jù)的完整性。防止惡意用戶截獲和篡改數(shù)據(jù)。充分保護(hù)用戶在操作過程中不被惡意破壞。審計(jì)查詢檢索功能堡壘機(jī)能夠?yàn)槠髽I(yè)內(nèi)部網(wǎng)絡(luò)提供完全的審計(jì)信息，這些審計(jì)信息能夠?yàn)槠髽I(yè)追蹤用戶行為，判定用戶行為等，能夠還原出用戶的一些操作性為。堡壘機(jī)能夠?qū)@些用戶關(guān)聯(lián)審計(jì)行為，就是說真正能夠把每一次審計(jì)出的用戶操作性為綁定到自然人身上，便于企業(yè)內(nèi)部網(wǎng)絡(luò)管理追蹤到個(gè)人。操作還原技術(shù)操作還原技術(shù)是指將用戶在系統(tǒng)中的操作行為以真實(shí)的環(huán)境模擬顯現(xiàn)出來，審計(jì)管理員可以根據(jù)操作還原技術(shù)還原出真實(shí)的操作，以