信息安全技术与应用（高学勤）课件 4.7 堡垒机

第7节堡垒机第4章目

录01堡垒机简介02堡垒机的功能03堡垒机的部署方式及应用01堡垒机简介堡垒机的概念什么是堡垒机？一种旁路部署在网络交换节点上，能够对服务器、网络设备、数据库、应用系统进行集中管理与审计实现物理并联逻辑串联的硬件设备。堡垒机产生的原因01.02.03.04.05.企业大量的网络设备、系统分属不同部门，认证、授权和审计方式没有统一；一些设备和业务系统由厂商代维，因缺乏统一监管，安全状况不得而知；权限管理复杂，系统安全难以得到保障；一人多个账号，多人共用一个账号，发生安全事故时更难以确定实际使用者；需要多个口令在各系统间进行切换。堡垒机的概念堡垒机的地位人们往往重视控制设备而不是取证设备缺乏堡垒机，好比城墙坚固，内部却很脆弱例如：特洛伊木马典故堡垒机与其他安全设备同等重要提供事后取证，让恶意者无法狡辩；保障网络和数据不受来自外部和内部用户的入侵和破坏。堡垒机的作用企业角度通过细粒度的安全管控策略，保证企业设备安全可靠运行降低人为安全损失，保障企业效益。管理员角度简单有序管理所有的运维账号，直观方便的监控各种访问行为，及时发现违规操作、权限滥用等。普通用户角度运维人员只需要登录一次，即可访问多台设备，提高了工作效率。02堡垒机的功能堡垒机的核心功能堡垒机的核心功能包括单点登录身份认证资源授权访问控制操作审计01.单点登录单点登录（SingleSignOn，SSO）指的是用户只要登录一个系统，就可以访问所有相互信任的应用系统。作用减少用户在不同系统中登录耗费的时间，减少用户登录出错的可能性实现安全的同时避免了处理和保存多套系统用户的认证信息减少了系统管理员增加、删除用户和修改用户权限的时间增加了安全性：系统管理员有了更好的方法管理用户堡垒机的核心功能单点登录解决方案以Cookie作为凭证媒介01HTTP是一种无状态的协议，服务器单从网络连接上无法知道客户身份。0203服务器记录该用户状态，向客户端浏览器颁发一个Cookie。客户端浏览器会把Cookie保存起来。0405浏览器再请求该网站时，把网址连同该Cookie一同提交给服务器。服务器检查该Cookie，以此来辨认用户状态。堡垒机的核心功能父应用子应用登录验证cookie通过验证，并登录成功以Cookie作为凭证媒介实施过程用户登录父应用之后，应用返回一个加密的Cookie。访问子应用的时候，携带上这个Cookie。授权应用解密Cookie并进行校验，校验通过则登录当前用户。用户用户登录登录成功，在客户端生成cookie堡垒机的核心功能身份认证是网络安全的核心，目的是防止未授权用户访问网络资源。身份认证是指证实客户的真实身份与其声称的身份是否相符的过程。常见身份验证的方法基于共享密钥基于生物学特征基于公开密钥加密算法02.身份认证基于你所知道的（Whatyouknow）知识、口令、密码基于你所拥有的（Whatyouhave）身份证、智能卡、令牌等基于你的个人特征（Whatyouare）指纹、笔迹、声音、虹膜、视网膜堡垒机的核心功能02.身份认证身份认证基本途径匹配，用户身份得到认证，可以访问系统资源。堡垒机的核心功能查询数据库返回查询结果02.身份认证口令认证系统为每一个合法用户建立一个用户名并设置相应的口令。用户在登录时需要输入用户名和口令。系统核对用户输入的用户名、口令与系统内合法的是否匹配。请求登录指纹是人体独一无二的特征，并且它们的复杂度足以提供用于鉴别的足够特征。通过比较不同指纹的细节特征点来进行鉴别。堡垒机的核心功能指纹图像采集指纹图像预处理特征值提取特征匹配02.身份认证指纹识别认证堡垒机的核心功能保障运维人员操作和规，访问合法。张三李四王五允许李四、王五访问允许王五访问允许张三访问堡垒机03.资源授权建立用户与设备的访问关系。采用一对一、一对多、多对一、多对多的授权方式。作用堡垒机的核心功能04.访问控制访问控制概念系统对用户身份及其所属的预先定义的策略组限制其使用数据资源能力的手段。是系统保密性、完整性、可用性和合法使用性的重要基础。需要完成两个任务识别与确认访问系统的用户。决定某一用户可以对某一资源进行何种类型的访问。堡垒机的核心功能信息系统入口监视器客体信息主体控制策略KS审计库04.访问控制访问控制三要素主体提出请求或要求的实体，是动作的发起者。客体是接受其他实体访问的被动实体，如：被操作的信息、资源、对象。控制策略是主体对客体的操作行为集和约束条件集。三要素之间关系主体提出一系列正常的请求信息。通过信息系统的入口到达控制规则集KS监视的监视器，由KS判断是否允许或者拒绝访问客体。堡垒机的核心功能IP包头TCP/UDP报头数据以太网帧头04.访问控制访问控制策略以太帧如下图所示：各层相关字段可以用于访问控制策略规则定义。源MAC目的MAC协议号源IP目的IP源端口目的端口否堡垒机的核心功能匹配第二项允许或拒绝是是是拒绝否否允许（发往目的接口）丢弃匹配第一项匹配第n项发往访问组的接口的数据包访问控制策略工作原理当第一条规则允许的话会直接通过，如果拒绝就会丢弃。第一条规则没有相应信息，会依次查看下一条，并作出相应选择。04.访问控制堡垒机的核心功能实时收集和监控网络环境中每一个组成部分的系统状态、安全事件、网络活动。报警、记录、分析和处理。管理各种运维操作行为，解决账号共享问题，确保操作者与操作行为一一对应。严格访问控制，禁止未授权访问。05.操作审计03堡垒机的部署方式及应用堡垒机的部署方式单机部署堡垒机主要都是旁路部署，旁挂在交换机旁边，只要能访问所有设备即可。部署特点旁路部署，逻辑串联1不影响现有网络结构2堡垒机的部署方式HA高可用部署旁路部署两台堡垒机，中间有心跳线连接，用来同步数据，对外提供一个虚拟IP（VirtualIP，VIP）。两台硬件堡垒机，一主一备并提供VIP。1当主机出现故障时，备机自动接管服务。2部署特点堡垒机的部署方式异地同步部署通过在多个数据中心部署多台堡垒机，堡垒机之间进行配置信息自动同步。部署特点多地部署，异地配置自动同步1运维人员访问当地的堡垒机进行管理2不受网络/带宽影响，同时起到灾备目的3堡垒机的部署方式集群部署（分布式部署）当需要管理的设备数量很多时，可以将n台堡垒机进行集群部署。其中两台堡垒机一主一备，其他n-2台堡垒机作为集群节点，给主机上传同步数据，整个集群对外提供一个虚拟IP地址。部署特点两台硬件堡垒机，一主一备、提供VIP。1当主机出现故障时，备机自动接管服务。2运维人员首先连接到堡垒机设备，然后向系统提交操作请求；该请求通过堡垒机的权限审查后，堡垒机的应用代理模块将代替用户连接到目标设备完成该操作，目标设备将操作结果返回给堡垒机，最后堡垒机再将操作结果返回给运维操作人员。堡垒机的应用场景管理人员运维人员开发人员审计人员运维终端运维操作请求运维操作请求操作执行结果操作执行结果堡垒机权限审查，行为审计注：关于堡垒机配置操作步骤，请参阅第四章/配置堡垒机实现单点登录.mp4堡垒机在企业中的应用服务器网络设备应用系统数据库堡垒机的应用案例某企业的堡垒机应用案例本章对堡垒机进行了详细的分析，包括堡垒机的概念、堡垒机产生的原因、地位，堡垒机的功能和作用等内容。堡垒机的核心