堡垒机银行行业设计方案

《堡垒机银行行业设计方案》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、麒麟开源堡垒机银行行业设计方案文档密级：公开堡垒机银行行业设计方案麒麟堡垒机系统文档版本3.4(2021-08-06)第22页,共22页麒麟开源堡垒机银行行业设计方案文档密级：公开修订记录/ChangeHistory日期修订版本描述作者2016-2-26V1.0将设计部分单独提出，修改用户表格麒麟文档版本3.4(2021-08-06)第22页,共22页麒麟开源堡垒机银行行业设计方案文档密级：公开目录1文档说明51.1方案概述51.2银行行业运维操作现状52需求分析62.1需求分析62.2实施范围73项目目标

2、73.1集中帐号管理73.2集中身份认证和访问控制83.3集中授权管理93.4单点登录93.5实名运维审计94应用部署规划114.1访问流程114.2设备组分级124.3账户分级134.3.1账户分类134.3.2主账号分类134.3.3普通用户分组134.4认证方式144.5密码规则144.6目标设备管理144.7数据留存策略154.8配置备份154.9访问策略164.10开发环境策略规划164.11访问控制174.12集中管理规划174.13双机部署规划19文档版本3.4(2021-08-06)第22页

3、,共22页麒麟开源堡垒机银行行业设计方案文档密级：公开5物理部署规划215.1设备硬件信息215.2软件信息215.3系统LOGO215.4地址规划225.5部署规划22文档版本3.4(2021-08-06)第22页,共22页麒麟开源堡垒机银行行业设计方案文档密级：公开1文档说明1.1麒麟开源堡垒机方案概述随着银行范围和营业网点的不断延伸扩大，各类特色业务系统和基础网络设备随之上线运行，切实有效的保障了各分行业务的稳定性、安全性和灵活性。但与此同时，随着业务系统应用范围越来越广、数据越来越多，所需日常维护的

4、系统和设备也在日益增长，科技运维部门面临的网络、系统安全稳定运行的压力也随之增加。当前运维管理中存在的主要问题是，技术人员和维护人员的日常管理和维护都是直接登录业务系统、设备进行操作，没有针对运维操作进行统一管理、统一审计、统一分析的系统，造成运维操作没有办法进行监控分析，进而造成内部数据信息泄露、违规操作、恶意操作、密码外泄等一系列重大安全隐患。随着监管对于日常运维工作审计记录的监管需求以及银行本身运维规范化管理的需求，实现分行骨干设备的运维操作的审计需求迫在眉睫。1.2银行行业运维操作现状一般银行行业都

5、部署有AAA设备，实现了网络帐号统一管理、权限控制、及命令记录功能。但因为缺少专业的运维管理系统，对于运维操作的监控，还存在一定的盲区，主要表现为：Ø运维操作方式多样、分散，缺乏有效集中管理；Ø运维操作缺乏技术手段来约束；Ø对运维操作行为的审计方式不直观；Ø共享账号的情况普遍，给访问者定位带来难题。文档版本3.4(2021-08-06)第22页,共22页麒麟开源堡垒机银行行业设计方案文档密级：公开1需求分析1.1需求分析为改善银行分行运维审计的现状，落实监管需求，强化运维操作管理，部署一套运维审计平台成为解

6、决这些问题的最优方案。运维审计平台需要能满足如下功能：Ø提供集中、有效的运维操作管理；Ø具备技术手段来实现对运维操作的约束；Ø提供可视化的运维操作行为的审计方式；Ø通过审计信息来完善账号的操作管理；文档版本3.4(2021-08-06)第22页,共22页麒麟开源堡垒机银行行业设计方案文档密级：公开Ø运维审计记录保存一年以上。1.1实施范围Ø一级分行本部内网网络设备Ø二级分行内网网络设备Ø支行内网网络设备Ø社区银行内网网络设备Ø自助银行网络设备Ø基础服务器Ø其他服务器及设备（按需）2项目目标通过建设统一的运维

7、管理平台，实现对人员、设备、操作的统一管理，及运维管理的白盒透明化，实现认证、权限、审计、口令的集中管理，最终形成一个完整安全的运维环境，有效防止信息泄露、密码丢失、恶意及误操作、不按规范操作等安全事件的产生。同时将各项运维管理规章制度，能以可监控的方式进行管理落地。2.1麒麟开源堡垒机集中帐号管理n实现对用户帐号的统一管理和维护在实现集中帐号管理前，每一个新上线应用系统均需要建立一套新的用户帐号管理系统，并且分别由各自的管理员负责维护和管理。这种相对独立的帐号管理系统不仅建文档版本3.4(2021-08-

8、06)第22页,共22页麒麟开源堡垒机银行行业设计方案文档密级：公开设前期投入成本较高，而且后期管理维护成本也会成倍增加。而通过堡垒主机的集中帐号管理，可实现对IT系统所需的帐号基础信息（包括用户身份信息、机构部门信息、其他公司相关信息，以及生命周期信息等）进行标准化的管理，能够为各IT系统提供基础的用户信息源。通过统一用户信息维护入口，保证各系统的用户帐号信息的唯一性和同步更新。n解决用户帐号共享问题主机、数据