堡垒机

定义

堡垒机，即在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段实时收集和监控网络环境中每一个组成部分的系统状态、安全事件、网络活动，以便集中报警、及时处理及审计定责。

产生原因

随着企事业单位IT系统的不断发展，网络规模和设备数量迅速扩大，日趋复杂的IT系统与不同背景的运维人员的行为给信息系统安全带来较大风险，主要表现在：

1.多个用户使用同一个账号。这种情况主要出现在同一工作组中，由于工作需要，同时系统管理账号唯一，因此只能多用户共享同一账号。如果发生安全事故，不仅难以定位账号的实际使用者和责任人，而且无法对账号的使用范围进行有效控制，存在较大安全风险和隐患。

2.一个用户使用多个账号。目前，一个维护人员使用多个账号是较为普遍的情况，用户需要记忆多套口令同时在多套主机系统、网络设备之间切换，降低工作效率，增加工作复杂度。

3. 缺少统一的权限管理平台，权限管理日趋繁重和无序；而且维护人员的权限大多是粗放管理，无法基于最小权限分配原则的用户权限管理，难以实现更细粒度的命令级权限控制，系统安全性无法充分保证。

4. 无法制定统一的访问审计策略，审计粒度粗。各网络设备、主机系统、数据库是分别单独审计记录访问行为，由于没有统一审计策略，并且各系统自身审计日志内容深浅不一，难以及时通过系统自身审计发现违规操作行为和追查取证。

5. 传统的网络安全审计系统无法对维护人员经常使用的SSH、RDP等加密、图形操作协议进行内容审计。

堡垒机发展

第一代堡垒机

跳板机可以说是第一代堡垒机，在2000年左右，高端行业的用户为了对运维人员的远程登录进行集中管理，会在机房里部署跳板机。它就是一台服务器，维护人员在维护的过程中，首先需要统一登录到这台服务器上，然后从这台服务器再登录到目标设备进行维护。但是跳板机在操作中还是容易出现一些问题。

第二代堡垒机

因为跳板机存在一些问题，因此第二代堡垒机就在这些方面做了特意的改进，第二代堡垒机部署在网络中，为内网特定资源的安全访问，主要采用SSL VPN方式工作。对内部网络特定资源的访问则必须先登录到堡垒机上方可完成，主要满足用户对最常用的运维协议的功能性需求，支持对文本类和图形类等运维协议的审计。

第三代堡垒机

现在，对运维审计有需求的人越来越多了，用户对堡垒机支持的协议种类需求越来越多。第三代堡垒机切断了终端计算机对网络和服务器资源的直接访问，接管了终端计算机对网络和服务器的访问。综合了更多的用户应用需求，其支持的协议相应增加了如数据库协议、web应用协议等。目前市面上销售的堡垒机大多属于第三代堡垒机。

堡垒机架构

堡垒机的主要作用权限控制和用户行为审计，堡垒机就像一个城堡的大门，城堡里的所有建筑就是你不同的业务系统 ， 每个想进入城堡的人都必须经过城堡大门并经过大门守卫的授权，每个进入城堡的人必须且只能严格按守卫的分配进入指定的建筑，且每个建筑物还有自己的权限访问控制，不同级别的人可以到建筑物里不同楼层的访问级别也是不一样的。还有就是，每个进入城堡的人的所有行为和足迹都会被严格的监控和纪录下来，一旦发生犯罪事件，城堡管理人员就可以通过这些监控纪录来追踪责任人。

重要条件

1】所有人包括运维、开发等任何需要访问业务系统的人员，只能通过堡垒机访问业务系统

（1）回收所有对业务系统的访问权限，做到除了堡垒机管理人员，没有人知道业务系统任何机器的登录密码
（2）网络上限制所有人员只能通过堡垒机的跳转才能访问业务系统

2】确保除了堡垒机管理员之外，所有其它人对堡垒机本身无任何操作权限，只有一个登录跳转功能

3】确保用户的操作纪录不能被用户自己以任何方式获取到并篡改　

堡垒机执行流程

1】管理员为用户在服务器上创建账号（将公钥放置服务器，或者使用用户名密码）
2】用户登陆堡垒机，输入堡垒机用户名密码，现实当前用户管理的服务器列表
3】用户选择服务器，并自动登陆
4】执行操作并同时将用户操作记录

知识扩展