堡垒机银行行业设计方案

1 文档说明

1.1 麒麟开源堡垒机方案概述

随着银行范围和营业网点的不断延伸扩大，各类特色业务系统和基础网络设备随之上线运行，切实有效的保障了各分行业务的稳定性、安全性和灵活性。但与此同时，随着业务系统应用范围越来越广、数据越来越多，所需日常维护的系统和设备也在日益增长，科技运维部门面临的网络、系统安全稳定运行的压力也随之增加。

当前运维管理中存在的主要问题是，技术人员和维护人员的日常管理和维护都是直接登录业务系统、设备进行操作，没有针对运维操作进行统一管理、统一审计、统一分析的系统，造成运维操作没有办法进行监控分析，进而造成内部数据信息泄露、违规操作、恶意操作、密码外泄等一系列重大安全隐患。

随着监管对于日常运维工作审计记录的监管需求以及银行本身运维规范化管理的需求，实现分行骨干设备的运维操作的审计需求迫在眉睫。

1.2 银行行业运维操作现状

一般银行行业都部署有AAA设备，实现了网络帐号统一管理、权限控制、及命令记录功能。但因为缺少专业的运维管理系统，对于运维操作的监控，还存在一定的盲区，主要表现为：

Ø 运维操作方式多样、分散，缺乏有效集中管理；

Ø 运维操作缺乏技术手段来约束；

Ø 对运维操作行为的审计方式不直观；

Ø 共享账号的情况普遍，给访问者定位带来难题。

 

2 需求分析

2.1 需求分析

为改善银行分行运维审计的现状，落实监管需求，强化运维操作管理，部署一套运维审计平台成为解决这些问题的最优方案。

运维审计平台需要能满足如下功能：

Ø 提供集中、有效的运维操作管理；

Ø 具备技术手段来实现对运维操作的约束；

Ø 提供可视化的运维操作行为的审计方式；

Ø 通过审计信息来完善账号的操作管理；

Ø 运维审计记录保存一年以上。

 

2.2 实施范围

Ø 一级分行本部内网网络设备

Ø 二级分行内网网络设备

Ø 支行内网网络设备

Ø 社区银行内网网络设备

Ø 自助银行网络设备

Ø 基础服务器

Ø 其他服务器及设备（按需）

3 项目目标

通过建设统一的运维管理平台，实现对人员、设备、操作的统一管理，及运维管理的白盒透明化，实现认证、权限、审计、口令的集中管理，最终形成一个完整安全的运维环境，有效防止信息泄露、密码丢失、恶意及误操作、不按规范操作等安全事件的产生。同时将各项运维管理规章制度，能以可监控的方式进行管理落地。

3.1 麒麟开源堡垒机集中帐号管理

n 实现对用户帐号的统一管理和维护

在实现集中帐号管理前，每一个新上线应用系统均需要建立一套新的用户帐号管理系统，并且分别由各自的管理员负责维护和管理。这种相对独立的帐号管理系统不仅建设前期投入成本较高，而且后期管理维护成本也会成倍增加。而通过堡垒主机的集中帐号管理，可实现对IT系统所需的帐号基础信息（包括用户身份信息、机构部门信息、其他公司相关信息，以及生命周期信息等）进行标准化的管理，能够为各IT系统提供基础的用户信息源。通过统一用户信息维护入口，保证各系统的用户帐号信息的唯一性和同步更新。

n 解决用户帐号共享问题

主机、数据库、网络设备中存在大量的共享帐号，当发生安全事故时，难于确定帐号的实际使用者，通过部署内控堡垒主机系统，可以解决共享帐号问题。

n 解决帐号锁定问题

用户登录失败五次，应对帐号进行锁定。网络设备、主机、应用系统等大都不支持帐号锁定功能。通过部署内控堡垒主机系统，可以实现用户帐号锁定、一键删除等功能。

3.2 麒麟开源堡垒机集中身份认证和访问控制

n 提供集中身份认证服务

实现用户访问IT系统的认证入口集中化和统一化，并实现高强度的认证方式，使整个IT系统的登录和认证行为可控制及可管理，从而提升业务连续性和系统安全性。

n 实现用户密码管理，满足SOX法案内控管理的要求

多数企业对主机、网络设备、数据库的访问都是基于“用户名+静态密码”访问，密码长期不更换，密码重复尝试的次数也没有限制，这些都不能满足SOX法案内控管理的需求。仅通过制度要求用户在密码更换、密码设定等方面满足SOX相关要求，无法在具体执行过程中对用户进行有效监督和检查。内控堡垒主机系统通过建设集中的认证系统，并结合集中帐号管理的相关功能，实现用户密码管理，密码自动变更，提高系统认证的安全性。

n 实现对用户的统一接入访问控制功能

部署堡垒主机前，维护人员接入IT系统进行维护操作具有接入方式多样、接入点分散的特点。而维护人员中很多是代维人员，这些代维人员来自于各集成商或设备供应商，人员参差不齐，流动性大。由于维护人员对系统拥有过大权限，缺乏对其进行访问控制和行为审计的手段，存在极大的安全隐患。内控堡垒主机系统统一维护人员访问系统和设备的入口，提供访问控制功能，有效的解决运维人员的操作问题，降低相关IT系统的安全风险。

3.3 麒麟开源堡垒机集中授权管理

n 实现统一的授权管理

各应用系统分别管理所属的资源，并为本系统的用户分配权限，若没有集中统一的资源授权管理平台，授权管理任务随着用户数量及应用系统数量的增加越来越重，系统的安全性也无法得到充分保证。内控堡垒主机系统实现统一的授权管理，对所有被管应用系统的授权信息进行标准化的管理，减轻管理员的管理工作，提升系统安全性。

n 授权流程化管理

通过内控堡垒主机系统，管理层可容易地对用户权限进行审查，并确保用户的权限中不能有不兼容职责，用户只能拥有与身份相符的权限，授权也有相应的工作流审批。

3.4 麒麟开源堡垒机单点登录

n 单点登录

内控堡垒主机提供了基于B/S的单点登录系统，用户通过一次登录系统后，就可以无需认证的访问包括被授权的多种基于B/S和C/S的应用系统。单点登录为具有多帐号的用户提供了方便快捷的访问途经，使用户无需记忆多种登录用户ID和口令。它通过向用户和客户提供对其个性化资源的快捷访问来提高生产效率。同时，单点登录可以实现与用户授权管理的无缝连接，这样可以通过对用户、角色、行为和资源的授权，增加对资源的保护，和对用户行为的监控及审计。

n 规范操作流程

规范操作人员和第三方代维厂商的操作行为。通过内控堡垒主机系统的部署，所有系统管理人员，第三方系统维护人员，都必须通过内控堡垒主机系统来实施网络管理和服务器维护。对所有操作行为做到可控制、可审计、可追踪。审计人员定期对维护人员的操作进行审计，以提高维护人员的操作规范性。

内控堡垒主机系统规范了运维操作的工作流程，将管理员从繁琐的密码管理工作中解放出来，投入到其他工作上，对第三方代维厂商的维护操作也不再需要专门陪同，从而有效提高了运维管理效率。

3.5 麒麟开源堡垒机实名运维审计

n 实现集中的日志审计功能

各应用系统相互独立的日志审计，无法进行综合日志分析，很难通过日志审计发现异常或违规行为。内控堡垒主机系统提供集中的日志审计，能关联用户的操作行为，对非法登录和非法操作快速发现、分析、定位和响应，为安全审计和追踪提供依据。

n 辅助审查

通过集中的日志审计，可以收集用户访问网络设备、主机、数据库的操作日志记录，并对日志记录需要定期进行审查，满足内部控制