信息時代下如何保障運維安全？
- 分類：雲湧新聞
- 作者：
- 來源：
- 發布時間：2022-05-20
- 訪問量：7236
信息時代下如何保障運維安全？
【概要描述】
一、爲什麽要重視運維安全
2013年-2014年可以說是運維安全發展的一個分水嶺。這兩年之所以特别主要是由于互聯網基礎設施的幾大應用相繼被曝漏洞或被攻擊，受此影響，各種運維安全問題引起了業界的廣泛關注，企業也開始加大對運維安全的投入。時至今日，運維安全管理已經成爲企業安全建設的重中之重。
圖片來源：安全内參
我們通過2020年安全内參發布的安全隐患情況分析報告，可以發現其中網絡設備漏洞和操作系統漏洞明顯屬于運維安全問題，其合并占比已達到21%，再加上應用程序漏洞中包含的各種應用版本漏洞，不難推測出歸屬于運維安全領域的漏洞比例可能更高。
此外，随着各個行業的業務系統、支撐系統、以及對應的管理賬号數量急速增長，網絡規模和設備數量也迅速擴大，這必然造成管理系統日趨複雜的局面：
1.缺少統一的權限管理平台，權限管理日趨繁重和無序，獨立分散的系統和獨立的管理賬号容易形成身份信息孤島，不利于運維人員同時維護多個系統;
2.維護人員的權限無法基于最小權限分配原則管理，難以實現更細粒度的命令級權限控制，不同背景運維人員的行爲給信息系統安全帶來較大風險，系統安全性無法充分保證；
3.各網絡設備、主機系統、數據庫沒有統一的審計策略，而是分别單獨審計記錄訪問行爲，導緻日志内容深淺不一，事後難以及時通過系統自身審計發現違規操作行爲和追查取證。
衆所周知，基礎設施運行的安全穩定與否在很大程度上決定了業務系統是否可以正常運作，而堡壘機則是整個業務系統運維安全的保障設施。
二、什麽是堡壘機
堡壘機，顧名思義，它是爲了保障網絡和數據不受來自外部和内部用戶的入侵和破壞，從而在被保護的資源周圍形成一個堅固的"堡壘"。其實它還有一個名字叫安全運維網關，就是集運維管理與運維審計爲一體的堡壘機設備，結合等級保護、分級保護、SOX法案、IT内控、ISO27001等各類法律法規對運維管理的要求，将運維管理和運維安全理念相融合，由于其自身經過加固，具有較高的安全性，可抵禦一定的攻擊，通過串接在運維終端與被運維對象之間，配合USB Key使用，将運維人員、運維工具等外部要素與被運維對象等内部要素進行隔離，并對運維人員的敏感操作、違規行爲和運維工具的運行風險進行實時監督管控，防止外部網絡攻擊、惡意代碼、違規操作等行爲等破壞電力監控系統。同時，對運維工作全過程進行日志、屏幕錄像、通信報文等多維度記錄，實現系統運維工作事前有防範、事中有監督、事後有審計的目标。
在信息化高度發展的今天，選擇合适的堡壘機對系統運維管理的安全至關重要。
三、堡壘機的類型
目前市面上的堡壘機可根據業務系統和适用場景不同分爲兩種：網關型堡壘機和運維審計型堡壘機。
1.網關型堡壘機
網關型堡壘機通常部署于内部網絡與外部網絡之間，作爲一個關卡進行内外隔離，其本身不直接提供任何服務，對内部網絡資源的訪問進行有效控制和防護，針對内網的來自應用層一下的攻擊可以進行過濾，形成一道安全屏障。但是網關型堡壘機存在一定的弊端：由于要處理應用層的數據内容，需要消耗較多的網絡出口流量，這導緻性能消耗過大。
2.運維審計型堡壘機
和網關型堡壘機不同的是，雖然運維審計型堡壘機的應用場景及部署位置更爲複雜，但是其本身不會消耗太大流量，它通過對訪問和運維人員進行授權和控制，同時對訪問和操作行爲進行審計，更加規範了運維人員的操作行爲，保障内部資源的安全。
由此可見，運維審計型堡壘機具備更大的發展前景，尤其是像金融、電力、能源等信息化水平相對較高的行業，由于受到“信息系統等級保護”、“SOX法案”等法規及政策的約束，這些行業對堡壘機的需求更加強烈，運維審計型堡壘機便得到了較爲深入的應用。
四、堡壘機的應用場景
可以說信息化時代，任何企業都需要進行運維安全管理，堡壘機可以适用于各種企業運維場景，尤其是針對人員和資産規模較大、業務系統複雜，以及運維方式多樣的企業，堡壘機的作用舉足輕重。
1.金融行業
銀行、證券和保險等金融行業，具有大量個人信息數據和金融資金操作行爲，而且存在着大部分的第三方代運維機構，可能會出現巨大違規操作、濫用職權等非法運作風險，所以需要極爲嚴苛的合規審計，
而堡壘機可以通過事前越權防護，實現權限細粒度劃分，有效防止因越權行爲導緻的敏感數據洩漏，事中提供高危命令實時阻斷高風險，事後通過多維度記錄，真實地還原全行爲場景，有助于安全事件的高效追溯。
2.互聯網行業
當下的互聯網行業正在急速發展，企業人員與服務器數量在不斷呈幾何倍增長，由于服務高度公開，大量數據敏感信息暴露在公網之上，本身就存在着高度洩漏的風險，再加上互聯網企業内部又面臨服務器資源訪問混亂、員工賬号難管理、權限複雜難分配等問題，所以同樣需要重視運維安全管理。
一方面堡壘機可通過遠程運維，隐藏資産的真實地址，解決資産信息暴露問題，另一方面通過提供多賬号統一運維收口和權限細粒度劃分管理，實現便捷運維和靈活規範化管理，最後通過提供全面的運維日志，對整個運維過程，包括人員操作行爲提供有效監控，得以保證互聯網企業在不斷發展過程中的持續穩定。
3.民生政務行業
民生政務行業早已在互聯網的浪潮中卷入雲管理，随着人員規模的不斷擴張，雲服務器、網絡設備等資産數量也成倍增漲，再加上很多企業需要大量第三方機構進行建設和運維，複雜流動性大的運維人員和過多的操作設備必然會帶來一定的風險
堡壘機可容納海量的人員和資産數據資源，通過細粒度權限控制，有效管理運維人員單點登錄，還可以将運維方與管理方的權責分明，通過操作審計對運維問題進行追溯，确保安全事故有效定責，此外，通過呈現運維全景，對運維行爲進行深度分析，定位接收異常行爲告警通知，确保民生政務數據的安全。
- 分類：雲湧新聞
- 作者：
- 來源：
- 發布時間：2022-05-20
- 訪問量：7236
一、爲什麽要重視運維安全
2013年-2014年可以說是運維安全發展的一個分水嶺。這兩年之所以特别主要是由于互聯網基礎設施的幾大應用相繼被曝漏洞或被攻擊，受此影響，各種運維安全問題引起了業界的廣泛關注，企業也開始加大對運維安全的投入。時至今日，運維安全管理已經成爲企業安全建設的重中之重。
圖片來源：安全内參
我們通過2020年安全内參發布的安全隐患情況分析報告，可以發現其中網絡設備漏洞和操作系統漏洞明顯屬于運維安全問題，其合并占比已達到21%，再加上應用程序漏洞中包含的各種應用版本漏洞，不難推測出歸屬于運維安全領域的漏洞比例可能更高。
此外，随着各個行業的業務系統、支撐系統、以及對應的管理賬号數量急速增長，網絡規模和設備數量也迅速擴大，這必然造成管理系統日趨複雜的局面：
1.缺少統一的權限管理平台，權限管理日趨繁重和無序，獨立分散的系統和獨立的管理賬号容易形成身份信息孤島，不利于運維人員同時維護多個系統;
2.維護人員的權限無法基于最小權限分配原則管理，難以實現更細粒度的命令級權限控制，不同背景運維人員的行爲給信息系統安全帶來較大風險，系統安全性無法充分保證；
3.各網絡設備、主機系統、數據庫沒有統一的審計策略，而是分别單獨審計記錄訪問行爲，導緻日志内容深淺不一，事後難以及時通過系統自身審計發現違規操作行爲和追查取證。
衆所周知，基礎設施運行的安全穩定與否在很大程度上決定了業務系統是否可以正常運作，而堡壘機則是整個業務系統運維安全的保障設施。
二、什麽是堡壘機
堡壘機，顧名思義，它是爲了保障網絡和數據不受來自外部和内部用戶的入侵和破壞，從而在被保護的資源周圍形成一個堅固的"堡壘"。其實它還有一個名字叫安全運維網關，就是集運維管理與運維審計爲一體的堡壘機設備，結合等級保護、分級保護、SOX法案、IT内控、ISO27001等各類法律法規對運維管理的要求，将運維管理和運維安全理念相融合，由于其自身經過加固，具有較高的安全性，可抵禦一定的攻擊，通過串接在運維終端與被運維對象之間，配合USB Key使用，将運維人員、運維工具等外部要素與被運維對象等内部要素進行隔離，并對運維人員的敏感操作、違規行爲和運維工具的運行風險進行實時監督管控，防止外部網絡攻擊、惡意代碼、違規操作等行爲等破壞電力監控系統。同時，對運維工作全過程進行日志、屏幕錄像、通信報文等多維度記錄，實現系統運維工作事前有防範、事中有監督、事後有審計的目标。
在信息化高度發展的今天，選擇合适的堡壘機對系統運維管理的安全至關重要。
三、堡壘機的類型
目前市面上的堡壘機可根據業務系統和适用場景不同分爲兩種：網關型堡壘機和運維審計型堡壘機。
1.網關型堡壘機
網關型堡壘機通常部署于内部網絡與外部網絡之間，作爲一個關卡進行内外隔離，其本身不直接提供任何服務，對内部網絡資源的訪問進行有效控制和防護，針對内網的來自應用層一下的攻擊可以進行過濾，形成一道安全屏障。但是網關型堡壘機存在一定的弊端：由于要處理應用層的數據内容，需要消耗較多的網絡出口流量，這導緻性能消耗過大。
2.運維審計型堡壘機
和網關型堡壘機不同的是，雖然運維審計型堡壘機的應用場景及部署位置更爲複雜，但是其本身不會消耗太大流量，它通過對訪問和運維人員進行授權和控制，同時對訪問和操作行爲進行審計，更加規範了運維人員的操作行爲，保障内部資源的安全。
由此可見，運維審計型堡壘機具備更大的發展前景，尤其是像金融、電力、能源等信息化水平相對較高的行業，由于受到“信息系統等級保護”、“SOX法案”等法規及政策的約束，這些行業對堡壘機的需求更加強烈，運維審計型堡壘機便得到了較爲深入的應用。
四、堡壘機的應用場景
可以說信息化時代，任何企業都需要進行運維安全管理，堡壘機可以适用于各種企業運維場景，尤其是針對人員和資産規模較大、業務系統複雜，以及運維方式多樣的企業，堡壘機的作用舉足輕重。
1.金融行業
銀行、證券和保險等金融行業，具有大量個人信息數據和金融資金操作行爲，而且存在着大部分的第三方代運維機構，可能會出現巨大違規操作、濫用職權等非法運作風險，所以需要極爲嚴苛的合規審計，
而堡壘機可以通過事前越權防護，實現權限細粒度劃分，有效防止因越權行爲導緻的敏感數據洩漏，事中提供高危命令實時阻斷高風險，事後通過多維度記錄，真實地還原全行爲場景，有助于安全事件的高效追溯。
2.互聯網行業
當下的互聯網行業正在急速發展，企業人員與服務器數量在不斷呈幾何倍增長，由于服務高度公開，大量數據敏感信息暴露在公網之上，本身就存在着高度洩漏的風險，再加上互聯網企業内部又面臨服務器資源訪問混亂、員工賬号難管理、權限複雜難分配等問題，所以同樣需要重視運維安全管理。
一方面堡壘機可通過遠程運維，隐藏資産的真實地址，解決資産信息暴露問題，另一方面通過提供多賬号統一運維收口和權限細粒度劃分管理，實現便捷運維和靈活規範化管理，最後通過提供全面的運維日志，對整個運維過程，包括人員操作行爲提供有效監控，得以保證互聯網企業在不斷發展過程中的持續穩定。
3.民生政務行業
民生政務行業早已在互聯網的浪潮中卷入雲管理，随着人員規模的不斷擴張，雲服務器、網絡設備等資産數量也成倍增漲，再加上很多企業需要大量第三方機構進行建設和運維，複雜流動性大的運維人員和過多的操作設備必然會帶來一定的風險
堡壘機可容納海量的人員和資産數據資源，通過細粒度權限控制，有效管理運維人員單點登錄，還可以将運維方與管理方的權責分明，通過操作審計對運維問題進行追溯，确保安全事故有效定責，此外，通過呈現運維全景，對運維行爲進行深度分析，定位接收異常行爲告警通知，确保民生政務數據的安全。
