堡垒机银行行业设计方案.docx

《堡垒机银行行业设计方案.docx》由会员分享，可在线阅读，更多相关《堡垒机银行行业设计方案.docx（16页珍藏版）》请在第一文库网上搜索。

1、堡垒机银行行业设计方案麒麟堡垒机系统修订记录/ChangeHistory日期修订版本描述作者2023-2-26VI.0将设计局部单独提出，修改用户表格麒麟目录1文档说明41.1 方案概述41.2 银行行业运维操作现状42需求分析52.1 需求分析52.2 实施范围53工程目标63.1 集中帐号管理63.2 集中身份认证和访问控制63.3 集中授权管理73.4 单点登录73.5 实名运维审计84应用部署规划84.1 访问流程84.2 设备组分级94.3 账户分级9账户分类9主账号分类9普通用户分组104.4 认证方式104.5 密码规那么104.6 目标设备管理104.7 数据留存策略114.8

2、 配置备份114.9 访问策略4.10 开发环境策略规划124.11 访问控制124.12 集中管理规划134.13 双机部署规划145物理部署规划155.1 设备硬件信息155.2 软件信息155.3 系统1OGOI65.4 地址规划165.5 部署规划16文档说明1.1 麒麟开源堡垒机方案概述随着银行范围和营业网点的不断延伸扩大，各类特色业务系统和根底网络设备随之上线运行，切实有效的保障了各分行业务的稳定性、平安性和灵活性。但与此同时，随着业务系统应用范围越来越广、数据越来越多，所需日常维护的系统和设备也在日益增长，科技运维部门面临的网络、系统平安稳定运行的压力也随之增加。当前运维管理中存

3、在的主要问题是，技术人员和维护人员的日常管理和维护都是直接登录业务系统、设备进行操作，没有针对运维操作进行统一管理、统一审计、统一分析的系统，造成运维操作没有方法进行监控分析，进而造成内部数据信息泄露、违规操作、恶意操作、密码外泄等一系列重大平安隐患。随着监管对于日常运维工作审计记录的监管需求以及银行本身运维标准化管理的需求，实现分行骨干设备的运维操作的审计需求迫在眉睫。1.2 银行行业运维操作现状一般银行行业都部署有AAA设备，实现了网络帐号统一管理、权限控制、及命令记录功能。但因为缺少专业的运维管理系统，对于运维操作的监控，还存在一定的盲区，主要表现为： 运维操作方式多样、分散，缺乏有效集

4、中管理;运维操作缺乏技术手段来约束； 对运维操作行为的审计方式不直观；共享账号的情况普遍，给访问者定位带来难题O需求分析2.1 需求分析为改善银行分行运维审计的现状，落实监管需求，强化运维操作管理，部署一套运维审计平台成为解决这些问题的最优方案。运维审计平台需要能满足如下功能： 提供集中、有效的运维操作管理； 具备技术手段来实现对运维操作的约束； 提供可视化的运维操作行为的审计方式； 通过审计信息来完善账号的操作管理； 运维审计记录保存一年以上。2.2 实施范围一级分行本部内网网络设备二级分行内网网络设备支行内网网络设备社区银行内网网络设备自助银行网络设备根底效劳器其他效劳器及设备按需工程目标

5、通过建设统一的运维管理平台，实现对人员、设备、操作的统一管理，及运维管理的白盒透明化，实现认证、权限、审计、口令的集中管理，最终形成一个完整平安的运维环境，有效防止信息泄露、密码丧失、恶意及误操作、不按标准操作等平安事件的产生。同时将各项运维管理规章制度，能以可监控的方式进行管理落地。3.1 麒麟开源堡垒机集中帐号管理 实现对用户帐号的统一管理和维护在实现集中帐号管理前，每一个新上线应用系统均需要建立一套新的用户帐号管理系统，并且分别由各自的管理员负责维护和管理。这种相对独立的帐号管理系统不仅建设前期投入本钱较高，而且后期管理维护本钱也会成倍增加。而通过堡垒主机的集中帐号管理，可实现对IT系统

6、所需的帐号根底信息包括用户身份信息、机构部门信息、其他公司相关信息，以及生命周期信息等）进行标准化的管理，能够为各IT系统提供根底的用户信息源。通过统一用户信息维护入口,保证各系统的用户帐号信息的唯一性和同步更新。 解决用户帐号共享问题主机、数据库、网络设备中存在大量的共享帐号，当发生平安事故时，难于确定帐号的实际使用者，通过部署内控堡垒主机系统，可以解决共享帐号问题。 解决帐号锁定问题用户登录失败五次，应对帐号进行锁定。网络设备、主机、应用系统等大都不支持帐号锁定功能。通过部署内控堡垒主机系统，可以实现用户帐号锁定、一键删除等功能。3.2 麒麟开源堡垒机集中身份认证和访问控制 提供集中身份认

7、证效劳实现用户访问IT系统的认证入口集中化和统一化，并实现高强度的认证方式，使整个IT系统的登录和认证行为可控制及可管理，从而提升业务连续性和系统平安性。 实现用户密码管理，满足SOX法案内控管理的要求多数企业对主机、网络设备、数据库的访问都是基于“用户名+静态密码访问，密码长期不更换，密码重复尝试的次数也没有限制，这些都不能满足SOX法案内控管理的需求。仅通过制度要求用户在密码更换、密码设定等方面满足SOX相关要求，无法在具体执行过程中对用户进行有效监督和检查。内控堡垒主机系统通过建设集中的认证系统，并结合集中帐号管理的相关功能，实现用户密码管理，密码自动变更，提高系统认证的平安性。 实现对

8、用户的统一接入访问控制功能部署堡垒主机前，维护人员接入IT系统进行维护操作具有接入方式多样、接入点分散的特点。而维护人员中很多是代维人员，这些代维人员来自于各集成商或设备供给商，人员参差不齐，流动性大。由于维护人员对系统拥有过大权限，缺乏对其进行访问控制和行为审计的手段,存在极大的平安隐患。内控堡垒主机系统统一维护人员访问系统和设备的入口，提供访问控制功能，有效的解决运维人员的操作问题，降低相关IT系统的平安风险。3.3 麒麟开源堡垒机集中授权管理 实现统一的授权管理各应用系统分别管理所属的资源，并为本系统的用户分配权限，假设没有集中统一的资源授权管理平台，授权管理任务随着用户数量及应用系统数

9、量的增加越来越重，系统的平安性也无法得到充分保证。内控堡垒主机系统实现统一的授权管理，对所有被管应用系统的授权信息进行标准化的管理，减轻管理员的管理工作，提升系统平安性。 授权流程化管理通过内控堡垒主机系统，管理层可容易地对用户权限进行审查，并确保用户的权限中不能有不兼容职责，用户只能拥有与身份相符的权限，授权也有相应的工作流审批。3.4 麒麟开源堡垒机单点登录 单点登录内控堡垒主机提供了基于B/S的单点登录系统，用户通过一次登录系统后，就可以无需认证的访问包括被授权的多种基于B/S和C/S的应用系统。单点登录为具有多帐号的用户提供了方便快捷的访问途经，使用户无需记忆多种登录用户ID和口令。它

10、通过向用户和客户提供对其个性化资源的快捷访问来提高生产效率。同时，单点登录可以实现与用户授权管理的无缝连接，这样可以通过对用户、角色、行为和资源的授权，增加对资源的保护，和对用户行为的监控及审计。 标准操作流程标准操作人员和第三方代维厂商的操作行为。通过内控堡垒主机系统的部署，所有系统管理人员，第三方系统维护人员，都必须通过内控堡垒主机系统来实施网络管理和效劳器维护。对所有操作行为做到可控制、可审计、可追踪。审计人员定期对维护人员的操作进行审计，以提高维护人员的操作标准性。内控堡垒主机系统标准了运维操作的工作流程，将管理员从繁琐的密码管理工作中解放出来，投入到其他工作上，对第三方代维厂商的维护

11、操作也不再需要专门陪同，从而有效提高了运维管理效率。3.5 麒麟开源堡垒机实名运维审计 实现集中的日志审计功能各应用系统相互独立的日志审计，无法进行综合日志分析，很难通过日志审计发现异常或违规行为。内控堡垒主机系统提供集中的日志审计，能关联用户的操作行为，对非法登录和非法操作快速发现、分析、定位和响应，为平安审计和追踪提供依据。 辅助审查通过集中的日志审计，可以收集用户访问网络设备、主机、数据库的操作日志记录，并对日志记录需要定期进行审查，满足内部控制标准中关于日志审计的需求，真正实现关联到自然人的日志审计。应用部署规划4.1 麒麟开源堡垒机访问流程堡垒机接入方式为物理旁路、连接串行方式，堡垒

12、机上线后，为了实现审计功能，要求所有的运维人员的运维操作都必须经过堡垒机跳转，因此，运维人员操作方式会有所改变，从原来的运维终端直接登录管理设备改为从运维终端通过堡垒机跳转登录。接入堡垒机以后，ssh、te1net,rdp等运维操作改由PC运维终端先连接到堡垒机，在从堡垒机跳转到业务效劳器，s、数据库等应用协议，改为由PC运维终端先通过堡垒机连接到应用发布效劳器，在应用发布效劳器上翻开IE、数据库客户端等连接到业务效劳器。运维人员使用堡垒机方式主要包括WebPorta1方式和工具直接登录方式二种。WebPOrta1方式，用户希望进行运维操作时，需要先使用IE,在UR1里输入：翻开堡垒机界面，输

13、入主帐号用户名，密码为堡垒机主帐号密码+令牌产生的6位动态密码后翻开WebPOrta1,在WebPOrta1中可以列出用户可以登录的所有设备，用户点击设备后面的工具时即可以直接登录到目标系统。工具直接登录方式，用户通过WEB登录到堡垒机后，在设备管理-列表导出里，点击后面的提交按钮，可以将制作好的SeSSiOn文件下载，并且导入相应的运维工具中，用户使用时，不需要修改正去的运维习惯，只需要翻开运维工具，在运维工具中点击希望登录的设备后，输入堡垒机用户名，密码为堡垒机主帐号密码+令牌产生的6位动态密码即可以登录到目标系统。工具登录方式sessions导入界面如下：4.2 麒麟开源堡垒机设备组分级

14、分行设备组采用树状分级至上而下为一级、二级、三级、四级、五级，整体设备组分级图如下：4.3 麒麟开源堡垒机账户分级4.3.1 账户分类 主账号：用于登陆堡垒机，即堡垒机的登陆账号 从账号：用于登陆账号使用，即网络设备及效劳器的登陆账号4.3.2 主账号分类运维堡垒机设置了五个用户角色：超级管理员、审计管理员、配置管理员、分组管理员、和普通用户，各角色具体权限如下表所示：一序号.用户角色用户权限作用对象备注1超级管理员账号管理、资产管理、系统级配置管理、运维审计谋略配置、运维操作审计堡垒机2审计管理员运维操作审计、运维审计报表堡垒机3分组管理员所属组内资产管理、运维操作审计堡垒机4普通用户设备运

15、维堡垒机用户角色说明一序号.用户角色角色说明使用者备注1超级管理员Admin分行科技部指定专人2审计管理员审计信息查看分行科技部指定专人不能与超级管理员为同一个人3分组管理员分支机构管理分支机构运维管理员4普通用户普通运维总行运维人员、外包运维人员、分行运维人员用户权限说明 账号管理：用于添加、删除、编辑主帐号 资产管理：添加、删除、编辑设备和从帐号 系统配置管理：设置堡垒机自身的管理配置，比方监控参数、SYS1OG效劳起停、存储藏份、网络配置等 运维审计谋略配置：可登录来源IP、时间列表、运行命令黑白名单等 运维操作审计：查看审计运维人员操作过程 设备运维：通过堡垒机主帐号，登录运维设备从帐号进行运维操作4.3.3 普