堡壘機(jī)在等保2.0中的控制點(diǎn)及核心功能
對(duì)運(yùn)維人員的細(xì)粒度訪問(wèn)控制、運(yùn)維過(guò)程的步步管控、全方位的操作審計(jì)，實(shí)現(xiàn)運(yùn)維過(guò)程的“事前預(yù)防、事中控制、事后審計(jì)”，契合等保2.0中安全管理中心和安全計(jì)算環(huán)境的相關(guān)要求。
1、集中認(rèn)證：托管主機(jī)的賬戶和密碼，運(yùn)維人員直接點(diǎn)擊<登錄>即可成功自動(dòng)登錄到目標(biāo)主機(jī)中進(jìn)行運(yùn)維操作，無(wú)需輸入主機(jī)的賬戶和密碼，支持雙因素認(rèn)證。
2、集中賬號(hào)：支持多種用戶角色，每種用戶角色的權(quán)限都不同，為用設(shè)立不同的角色提供了選擇，并且滿足合規(guī)對(duì)三權(quán)分立的要求。
3、集中權(quán)限：通過(guò)集中授權(quán)，幫助客戶梳理用戶與主機(jī)直接的關(guān)系，并且提供一對(duì)一、一對(duì)多、多對(duì)一、多對(duì)多的靈活授權(quán)模式。
4、集中審計(jì)：對(duì)所有的操作進(jìn)行詳細(xì)記錄，并提供綜合查詢功能；審計(jì)日志可以在線播放也可以離線播放，所有的審計(jì)日志支持自動(dòng)備份和自動(dòng)歸檔。
安全通信網(wǎng)絡(luò)層面要求與相關(guān)功能
控制點(diǎn)1：網(wǎng)絡(luò)架構(gòu)
測(cè)評(píng)項(xiàng)：應(yīng)提供通信線路、關(guān)鍵網(wǎng)絡(luò)設(shè)備和關(guān)鍵計(jì)算設(shè)備的硬件冗余，保證系統(tǒng)的可用性。
控制點(diǎn)2：通信傳輸
測(cè)評(píng)項(xiàng)：應(yīng)采用密碼技術(shù)保證通信過(guò)程中數(shù)據(jù)的保密性。
相關(guān)功能
1、支持HA主備模式，管理口和心跳口須支持多鏈路端口綁定功能，防止單網(wǎng)卡或單線故障。2、支持多臺(tái)堡壘機(jī)異地備份部署，每臺(tái)設(shè)備都能提供運(yùn)維和審計(jì)服務(wù)，配置數(shù)據(jù)自動(dòng)同步。3、支持集群部署模式，中心采用HA，節(jié)點(diǎn)可以橫向擴(kuò)展，實(shí)現(xiàn)統(tǒng)一登錄入口、統(tǒng)一配置同步、審計(jì)日志集中存儲(chǔ)、實(shí)時(shí)會(huì)話集中監(jiān)控，以滿足業(yè)務(wù)增長(zhǎng)需求。
4、內(nèi)置VPN模塊，無(wú)需與其他VPN設(shè)備聯(lián)動(dòng)，實(shí)現(xiàn)運(yùn)維入口安全接入。
安全計(jì)算環(huán)境層面要求與相關(guān)功能
控制點(diǎn)1：身份鑒別
測(cè)評(píng)項(xiàng)：
1、應(yīng)對(duì)登錄的用戶進(jìn)行身份標(biāo)識(shí)和鑒別，身份標(biāo)識(shí)具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換；
2、當(dāng)進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽(tīng)；
控制點(diǎn)2：訪問(wèn)控制
測(cè)評(píng)項(xiàng)：
1、應(yīng)對(duì)登錄的用戶分配賬戶和權(quán)限；
2、應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令；
3、應(yīng)授予管理用戶所需的最小權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離；
4、應(yīng)由授權(quán)主體配置訪問(wèn)控制策略，訪問(wèn)控制策略規(guī)定主體對(duì)客體的訪問(wèn)規(guī)則；
控制點(diǎn)3：安全審計(jì)
測(cè)評(píng)項(xiàng)：
1、應(yīng)啟用安全審計(jì)功能，審計(jì)覆蓋到每個(gè)用戶，對(duì)重要的用戶行為和重要安全事件進(jìn)行審計(jì)
2、審計(jì)記錄應(yīng)包括事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；
3、應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等；
相關(guān)功能：
1、內(nèi)置手機(jī)APP 認(rèn)證（谷歌動(dòng)態(tài)口令驗(yàn)證）、OTP 動(dòng)態(tài)令牌、USBkey 雙因素認(rèn)證引擎。提供短信認(rèn)證、AD、LDAP、RADIUS 認(rèn)證接口。
2、內(nèi)置VPN模塊，無(wú)需與其他VPN設(shè)備聯(lián)動(dòng)，實(shí)現(xiàn)運(yùn)維入口安全接入。
3、支持用戶多角色劃分功能，如系統(tǒng)管理員、部門管理員、運(yùn)維員、審計(jì)管理員、密碼管理員等，對(duì)各類角色需要進(jìn)行細(xì)粒度的權(quán)限管理。
4、支持定期自動(dòng)修改windows服務(wù)器、網(wǎng)絡(luò)設(shè)備、linux/unix等目標(biāo)設(shè)備密碼功能。
5、支持通過(guò)基于時(shí)間、IP/IP段、用戶/用戶組、設(shè)備/設(shè)備組、設(shè)備賬號(hào)、命令關(guān)鍵字、控制動(dòng)作、黑白名單等組合訪問(wèn)控制策略，授權(quán)用戶可訪問(wèn)的目標(biāo)設(shè)備。
6、支持對(duì)運(yùn)維操作會(huì)話的起止時(shí)間、來(lái)源用戶、來(lái)源IP、目標(biāo)設(shè)備、協(xié)議/應(yīng)用類型、命令記錄、操作內(nèi)容（如對(duì)文件的上傳、下載、刪除、修改等操作等）的詳細(xì)行為日志。
7、支持對(duì)會(huì)話的錄像進(jìn)行定期歸檔。
安全管理中心層面要求與相關(guān)功能
控制點(diǎn)1：系統(tǒng)管理
測(cè)評(píng)項(xiàng)：應(yīng)對(duì)系統(tǒng)管理員進(jìn)行身份鑒別，只允許其通過(guò)特定的命令或操作界面進(jìn)行系統(tǒng)管理操作，并對(duì)這些操作進(jìn)行審計(jì)；
相關(guān)功能：
1、支持C/S、B/S、H5等方式進(jìn)行代理運(yùn)維
2、支持管理Linux/Unix 服務(wù)器、Windows 服務(wù)器、網(wǎng)絡(luò)設(shè)備、文件服務(wù)器、Web 系統(tǒng)、數(shù)據(jù)庫(kù)服務(wù)器、虛擬服務(wù)器、遠(yuǎn)程管理服務(wù)器等。
3、兼容Xshell 、XFTP 、SecureCRT 、MSTSC 、VNC Viewer 、Putty 、WinSCP、FlashFXP、SecureFX、OpenSSH 等多種客戶端工具。
4、支持通過(guò)基于時(shí)間、IP/IP段、用戶/用戶組、設(shè)備/設(shè)備組、設(shè)備賬號(hào)、命令關(guān)鍵字、控制動(dòng)作、黑白名單等組合訪問(wèn)控制策略，授權(quán)用戶可訪問(wèn)的目標(biāo)設(shè)備。
