lansecs堡垒主机内控管理平台技术白皮书（doc x页）

《lansecs堡垒主机内控管理平台技术白皮书（doc x页）》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、LanSecS（堡垒主机）内控管理平台技术白皮书LanSecS（堡垒主机）内控管理平台技术白皮书北京圣博润高新技术股份有限公司2011年5月版权所有圣博润第26页LanSecS（堡垒主机）内控管理平台技术白皮书版权所有圣博润第26页LanSecS（堡垒主机）内控管理平台技术白皮书目录1背景31.1概述31.2管理现状31.2.1使用共享帐号的安全隐患31.2.2密码策略无法有效执行41.2.3授权不清晰41.2.4访问控制策略不严格41.2.5用户操作无法有效审计41.3问题分析52设计理念62.1集中管理模式62.2协议代理62.3身份授权分离73产品概述83.1产

2、品综述83.2产品组成93.3产品功能93.3.1单点登录93.3.2账户管理103.3.3身份认证103.3.4资源授权103.3.5访问控制113.3.6操作审计114关键技术124.1逻辑命令自动识别技术124.2分布式处理技术134.3正则表达式匹配技术134.4RDP协议代理134.5多进程/线程与同步技术134.6数据加密功能134.7审计查询检索功能144.8操作还原技术145产品优势155.1良好的扩展性155.2强大的审计功能155.3部署和使用简单155.4高度的安全性和成熟性156主要应用166.1运维管理166.2安全管理167技术参数178产

3、品部署198.1逻辑部署示意图198.2物理部署示意图198.3部署说明21版权所有圣博润第26页LanSecS（堡垒主机）内控管理平台技术白皮书9客户收益219.1实现集中帐号管理，降低管理费用219.2实现集中身份认证和访问控制，避免冒名访问，提高访问安全性229.3实现集中授权管理，简化授权流程，减轻管理压力239.4实现单点登录，规范操作过程，简化操作流程239.5实现实名运维审计，满足安全规范要求2410产品服务2510.1售后服务2510.2技术支持25版权所有圣博润第26页LanSecS（堡垒主机）内控管理平台技术白皮书1背景1.1概述随着信息技术的不断

4、发展和信息化建设的不断进步，办公系统、商务平台的不断推出和投入运行，信息系统在企业的运营中全面渗透。电信行业、财政、税务、公安、金融、电力、石油、大中企业和门户网站，更是使用数量较多的服务器主机来运行关键业务。2002年由美国总统布什签发的萨班斯法案(Sarbanes-OxleyAct)开始生效。其中要求企业的经营活动，企业管理、项目和投资等，都要有控制和审计手段。因此，管理人员需要有有效的技术手段和专业的技术工具和安全产品按照行业的标准来做细粒度的管理，真正做到对于内部网络的严格管理，可以控制、限制和追踪用户的行为，判定用户的行为是否对企业内部网络的安全运行带来威胁

5、。1.2管理现状目前机构的运维管理有以下三个特点：l关键的核心业务都部署于Unix和Windows服务器上。l应用的复杂度决定了多种角色交叉管理。l运行维护人员更多的依赖Telnet、SSH、FTP、RDP等进行远程管理。基于这些现状，在管理中存在以下突出问题：1.2.1使用共享帐号的安全隐患企业的支撑系统中有大量的网络设备、主机系统和应用系统，分别属于不同的部门和不同的业务系统。各应用系统都有一套独立的帐号体系，用户为了方便登陆，经常出现多人共用帐号的情况。多人同时使用一个系统帐号在带来方便性的同时，导致用户身份唯一性无法确定。如果其中任何一个人离职或者将帐号告诉其

6、他无关人员，会使这个帐号的安全无法保证。由于共享帐号是多人共同使用，发生问题后，无法准确定位恶意操作或误操作的责任人。更改密码需要通知到每一个需要使用此帐号的人员，带来了密码管理的复杂化。版权所有圣博润第26页LanSecS（堡垒主机）内控管理平台技术白皮书1.2.1密码策略无法有效执行为了保证密码的安全性，安全管理员制定了严格的密码策略，比如密码要定期修改，密码要保证足够的长度和复杂度等，但是由于管理的机器数量和帐号数量太多，往往导致密码策略的实施流于形式。1.2.2授权不清晰各系统分别管理所属的系统资源，为本系统的用户分配权限，无法严格按照最小权限原则分配权限。另

7、外，随着用户数量的增加，权限管理任务越来越重，当维护人员同时对多个系统进行维护时，工作复杂度会成倍增加，安全性无法得到充分保证。1.2.3访问控制策略不严格目前的管理中，没有一个清晰的访问控制列表，无法一目了然的看到什么用户能够以何种身份访问哪些关键设备，同时缺少有效的技术手段来保证访问控制策略被有效执行。1.2.4用户操作无法有效审计各系统独立运行、维护和管理，所以各系统的审计也是相互独立的。每个网络设备，每个主机系统分别进行审计，安全事故发生后需要排查各系统的日志，但是往往日志找到了，也不能最终定位到行为人。另外各系统的日志记录能力各不相同，例如