淺析堡壘機(jī)概念及工作原理

摘要：在信息化社會，企事業(yè)單位業(yè)務(wù)對信息系統(tǒng)高度依賴，而信息系統(tǒng)維護(hù)人員往往擁有系統(tǒng)最高管理權(quán)限，其操作行為必須得到 有效監(jiān)管與審計。作為運(yùn)維操作審計最佳解決方案的堡壘機(jī)通常會給人一種神秘莫測的感覺，為了讓大家更清楚的了解堡壘機(jī)和運(yùn)維操作審計，本文對堡壘機(jī)的概念及主要工作原理進(jìn)行簡要分析。

關(guān)鍵詞：堡壘機(jī)；運(yùn)維操作審計；工作原理

中圖分類號：TQ016.5+5 文獻(xiàn)標(biāo)識碼：A 文章編號：1007-9599 （2012） 18-0000-02

1 堡壘機(jī)的概念和種類

“堡壘”一詞的含義是指用于防守的堅 固建筑物或比喻難于攻破的事物，因此從字面的意思來看，“堡壘機(jī)”是指用于防御攻擊的計算機(jī)。在實際應(yīng)用中堡壘機(jī)又被稱為“堡壘主機(jī)”，是一個主機(jī)系統(tǒng)，其自身通常經(jīng)過了一定的加固，具有較高的安全性，可抵御一定的攻擊，其作用主要是將需要保護(hù)的信息系統(tǒng)資源與安全威脅的來源進(jìn)行隔離，從而在被保護(hù)的資源前面形成一個堅固的“堡壘”，并且在抵御威脅的同時又不影響普通用戶對資源的正常訪問?；谄鋺?yīng)用場景，堡壘機(jī)可分為兩種類型：

1.1 網(wǎng)關(guān)型堡壘機(jī)

網(wǎng)關(guān)型的堡壘機(jī)被部署在外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)之間，其本身不再直接向外部提供服務(wù)，而是作為進(jìn)入內(nèi)部網(wǎng)絡(luò)的一個檢查點，用于提供對內(nèi)部網(wǎng)絡(luò)特定資源的安全訪問控制。這類堡壘機(jī)不提供路由功能，將內(nèi) 外網(wǎng)從網(wǎng)絡(luò)層隔離開來，因此除非授權(quán)訪問外，還可以過濾掉一些針對內(nèi)網(wǎng)的來自應(yīng)用層以下的攻擊，為內(nèi)部網(wǎng)絡(luò)資源提供了一道安全屏障。但由于此類堡壘機(jī)需要處理應(yīng)用 層的數(shù)據(jù)內(nèi)容，性能消耗很大，所以隨著網(wǎng)絡(luò)進(jìn)出口處流量越來越大，部署在網(wǎng)關(guān)位置的堡壘機(jī)逐漸成為了性能瓶頸，因此網(wǎng)關(guān)型的堡壘機(jī)逐漸被日趨成熟的防火墻、UTM、IPS、網(wǎng)閘等安全產(chǎn)品所取代。

1.2 運(yùn)維審計型堡壘機(jī)

運(yùn)維審計型堡壘機(jī)的原理與網(wǎng)關(guān)型堡壘機(jī)類似，但其部署位置與應(yīng)用場景不同，且更為復(fù)雜。運(yùn)維審計型堡壘機(jī)被部署在內(nèi)網(wǎng)中的服務(wù)器和網(wǎng)絡(luò)設(shè)備等核心資源的前面，對運(yùn)維人員的操作權(quán)限進(jìn)行控制和操作行為審計；運(yùn)維審計型堡壘機(jī)既解決了運(yùn)維人員權(quán)限難以控制的混亂局面，又可對違規(guī)操作行為進(jìn)行控制和審計，而且由于運(yùn)維操作本身不會產(chǎn)生大規(guī)模的流量，堡壘機(jī)不會成為性能的瓶頸，所以堡壘機(jī)作為運(yùn)維操作審計的手段得到了快速發(fā)展。

2 堡壘機(jī)運(yùn)維操作審計的工作原理

在實際使用場景中，堡壘機(jī)的使用人員通常可分為管理人員、運(yùn)維操作人員、審計人員三類用戶。

管理員最重要的職責(zé)是根據(jù)相應(yīng)的安全策略和運(yùn)維人員應(yīng)有的操作權(quán)限來配置堡壘機(jī)的安全策略。堡壘機(jī)管理員登錄堡壘機(jī)后，在堡壘機(jī)內(nèi)部，“策略管理”組件負(fù)責(zé)與管理員進(jìn)行交互，并將管理 員輸入的安全策略存儲到堡壘機(jī)內(nèi)部的策略配置庫中。

“應(yīng)用代理”組件是堡壘機(jī)的核心，負(fù)責(zé)中轉(zhuǎn)運(yùn)維操作用戶的操作，并與堡壘機(jī)內(nèi)部其他組件進(jìn)行交互?！皯?yīng)用代理”組件收到運(yùn)維人員的操作請求后，調(diào)用“策略管理”組件對該操作行為進(jìn)行核查，核查依據(jù)便是管理員已經(jīng)配置好的策略配置庫，如此次操作不符合安全策略，代理”組件將拒絕該操作行為的執(zhí)行。

運(yùn)維人員的操作行為通過“策略管理”組件的核查之后，“應(yīng)用代理”組件則代替運(yùn)維人員連接目標(biāo)設(shè)備完成相應(yīng)操作，并將操作返回結(jié)果返回給對應(yīng)的運(yùn)維操作人員；同時此次操作過程被提交給堡壘機(jī)內(nèi)部的“審計模塊”，然后此次操作過程被記錄到審計日志數(shù)據(jù)庫中。

最后，當(dāng)需要調(diào)查運(yùn)維人員的歷史操作記錄時，由審計員登錄堡壘機(jī)進(jìn)行查詢，然后“審計模塊”從審計日志數(shù)據(jù)庫中讀取相應(yīng)日志記錄，并展示在審計員交互界面上。

3 如何選擇一款好的堡壘機(jī)產(chǎn)品

對于信息系統(tǒng)的管理者來說，除了工作原理以外，可能更關(guān)心如何選擇一款好的運(yùn)維審計堡壘機(jī)產(chǎn)品。一個好的運(yùn)維審計堡壘機(jī)產(chǎn)品應(yīng)實現(xiàn)對服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等核心資產(chǎn)的運(yùn)維管理賬號的集中賬號管理、集中認(rèn)證和授權(quán)，通過單點登錄，提供對操作行為的精細(xì)化管理和審計，達(dá)到運(yùn)維 管理簡單、方便、可靠的目的。

3.1 管理方便

應(yīng)提供一套簡單直觀的賬號管理、授權(quán) 管理策略，管理員可快速方便地查找某個用戶，查詢修改訪問權(quán)限 ；同時用戶能夠方便的通過登錄堡壘機(jī)對自己的基本信息進(jìn)行管理，包括賬號、口令等進(jìn)行修改更新。

3.2 可擴(kuò)展性

當(dāng)進(jìn)行新系統(tǒng)建設(shè)或擴(kuò)容時，需要增加 新的設(shè)備到堡壘機(jī)時，系統(tǒng)應(yīng)能方便的增加 設(shè)備數(shù)量和設(shè)備種類

3.3 精細(xì)審計

針對傳統(tǒng)網(wǎng)絡(luò)安全審計產(chǎn)品無法對通過加密、圖形運(yùn)維操作協(xié)議進(jìn)行審計的缺陷，系統(tǒng)應(yīng)能實現(xiàn)對RDP、VNC、X-Window、SSH、SFTP、HTTPS 等協(xié)議進(jìn)行集中審計，提供對各種操作的精細(xì)授權(quán)管理和實時監(jiān)控審計。

3.4 審計可查

可實時監(jiān)控和完整審計記錄所有維護(hù)人員的操作行為；并能根據(jù)需求，方便快速的 查找到用戶的操作行為日志，以便追查取證。

3.5 安全性

堡壘機(jī)自身需具備較高的安全性，須有冗余、備份措施，如日志自動備份等。

3.6 部署方便

系統(tǒng)采用物理旁路，邏輯串聯(lián)的模式，不需要改變網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，不需要在終端安裝客戶端軟件，不改變管理員、運(yùn)維人員的 操作習(xí)慣，也不影響正常業(yè)務(wù)運(yùn)行。

4 結(jié)束語

本文簡要分析了堡壘機(jī)的概念以及其運(yùn)維操作審計的主要工作原理。隨著信息安全的快速發(fā)展，來自內(nèi)部的安全威脅日益增多，綜合防護(hù)、內(nèi)部威脅防護(hù)等思想越來越受到重視，而各個層面的政策合規(guī)，如“薩班斯法案”、“信息系統(tǒng)等級保護(hù)”等等也紛紛對運(yùn)維人員的操作行為審計提出明確要求。堡壘機(jī)作為運(yùn)維安全審計產(chǎn)品將成為信息系統(tǒng)安全的最后一道防線，其作用也將越來越重要，應(yīng)用范圍勢必會快速擴(kuò)展到各個行業(yè)的信息系統(tǒng)。因此在當(dāng)前的形勢之下，讓大家更加清楚的了解堡壘機(jī)也就十分必要了。

參考文獻(xiàn)：

[1]趙瑞霞，王會平.構(gòu)建堡壘主機(jī)抵御網(wǎng)絡(luò)攻擊[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2010，08.

[2]閆文耀，王志曉.基于堡壘主機(jī)防火墻的安全模型研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2008，06.

[3]徐改萍.網(wǎng)絡(luò)攻擊與防范實踐問題研究[J].電腦知識與技術(shù)（學(xué)術(shù)交流），2007，10.

[4]桂鑫.淺談網(wǎng)絡(luò)安全之漏洞[J].科學(xué)之友，2010，06.

[5]朱朝霞.Linux網(wǎng)絡(luò)系統(tǒng)攻擊的防范[J].計算機(jī)與數(shù)字工程，2006，10.

[作者簡介]

宗波（1984-），男，江西宜春人，碩士，江西宜春學(xué)院助教，研究方向為網(wǎng)絡(luò)安全。