目录
背景
当今社会，信息系统已成为各企事业单位业务运营的基础,由于信息系统运维人员掌握着信息系统的最高权限，一旦运维操作出现安全问题将会给企业或单位带来巨大的损失。因此,加强对运维人员操作行为的监管与审计是信息安全发展的必然趋势。在此背景之下,针对运维操作管理与审计的堡垒机应运而生。使得在出现重大服务器操作事故时，能够快速有效的定位原因和责任人。堡垒机提供了一套多维度的运维操作控管控与审计解决方案，使得管理人员可以全面对各种资源(如网络设备、服务器、安全设备和数据库等)进行集中账号管理、细粒度的权限管理和访问审计，帮助企业提升内部风险控制水平。
堡垒机分类
网关型堡垒机
作为进入内网的一个检查点，部署在内外网间。性能消耗大成为瓶颈，逐渐淘汰
网关型的堡垒机被部署在外部网络和内部网络之间，其本身不直接向外部提供服务而是作为进入内部网络的一个检查点，用于提供对内部网络特定资源的安全访问控制。这类堡垒机不提供路由功能，将内外网从网络层隔离开来，因此除非授权访问外还可以过滤掉一些针对内网的来自应用层以下的攻击，为内部网络资源提供了一道安全屏障。但由于此类堡垒机需要处理应用层的数据内容，性能消耗很大，所以随着网络进出口处流量越来越大，部署在网关位置的堡垒机逐渐成为了性能瓶颈，因此网关型的堡垒机逐渐被日趋成熟的防火墙、UTM、IPS、网闸等安全产品所取代。
运维审计型堡垒机
主流，部署在内网核心资源前面，用于实现对运维操作人员的权限控制与操作行为审计
也称作“内控堡垒机” ，当前应用最普遍的。原理与网关型堡垒机类似，但其部署位置与应用场景不同且更为复杂。运维审计型堡垒机被部署在内网中的服务器和网络设备等核心资源的前面，对运维人员的操作权限进行控制和操作行为审计;运维审计型堡垒机即解决了运维人员权限难以控制混乱局面，又可对违规操作行为进行控制和审计，而且由于运维操作本身不会产生大规模的流量，堡垒机不会成为性能的瓶颈，所以堡垒机作为运维操作审计的手段得到了快速发展。
下面是基于运维审计堡垒机的介绍
堡垒机的原理
技术思路
作为运维操作审计手段的堡垒机的核心功能是用于实现对运维操作人员的权限控制与操作行为审计。那如何实现对运维人员的权限控制与审计呢？堡垒机必须能够截获运维人员的操作，并能够分析出其操作的内容。堡垒机的部署方式，确保它能够截获运维人员的所有操作行为，分析出其中的操作内容以实现权限控制和行为审计的目的，同时堡垒机还采用了应用代理的技术。运维审计型堡垒机对于运维操作人员相当于一台代理服务器，如图所示：
1. 运维人员在操作过程中首先连接到堡垒机，然后向堡垒机提交操作请求;
2. 该请求通过堡垒机的权限检查后，堡垒机的应用代理模块将代替用户连接到目标设备完成该操作，之后目标设备将操作结果返回给堡垒机，最后堡垒机再将操作结果返回给运维操作人员。
通过这种方式，堡垒机逻辑上将运维人员与目标设备隔离开来，建立了从“运维人员->堡垒机用户账号->授权->目标设备账号->目标设备”的管理模式，解决操作权限控制和行为审计问题的同时，也解决了加密协议和图形协议等无法通过协议还原进行审计的问题
工作原理
原理示意图如下
在实际使用场景中堡垒机的使用人员通常可分为管理人员、运维操作人员、审计人员三类用户。
管理员最重要的职责是根据相应的安全策略和运维人员应有的操作权限来配置堡垒机的安全策略。堡垒机管理员登录堡垒机后，在堡垒机内部，“策略管理”组件负责与管理员进行交互，并将管理员输入的安全策略存储到堡垒机内部的策略配置库中。
“应用代理”组件是堡垒机的核心，负责中转运维操作用户的操作并与堡垒机内部其他组件进行交互。“应用代理”组件收到运维人员的操作请求后调用“策略管理”组件对该操作行为进行核查，核查依据便是管理员已经配置好的策略配置库，如此次操作不符合安全策略“应用代理”组件将拒绝该操作行为的执行。
运维人员的操作行为通过“策略管理”组件的核查之后“应用代理”组件则代替运维人员连接目标设备完成相应操作，并将操作返回结果返回给对应的运维操作人员;同时此次操作过程被提交给堡垒机内部的“审计模块”，然后此次操作过程被记录到审计日志数据库中。
最后当需要调查运维人员的历史操作记录时，由审计员登录堡垒机进行查询，然后“审计模块”从审计日志数据库中读取相应日志记录并展示在审计员交互界面上。
为什么要使用堡垒机
实现对运维操作人员的权限控制与操作行为审计，提升企业内部风险控制水平
堡垒机可以解决等保2.0中的哪些要求
等保
那什么是等保了？等保是国家制定的管理规范和技术标准，是信息安全保障的基本制度和基本国策。他是指对信息以及信息载体（即用于记录、传输、积累和保存信息的实体）按照重要性等级 分级别进行保护的一种工作
等保工作阶段
等保可以分为五个工作阶段，分别是定级、备案、安全建设整改、等级测评和监督检测。那我们接下来说说建设整改阶段是整改什么东西
建设整改
等级保护要求中的建设整改内容列出了等保中的所有的要求项，那整改什么了？整改内容可以分为两大要求：技术要求和管理要求。这两大要求又分别有五大类。每个类下面又包含很多控制点，控制点下面有很多要求项（要求项就是具体告诉你怎么做才合格，下图中没有列出来）
图1.0 建设整改之技术要求内容
图1.1 建设整改之管理要求内容
堡垒机与等保2.0
信息安全等级保护制度是一家企业“安全预防做得是否到位”的重要衡量指标。对于企业来说，等保是一个安全管理的“必过标杆”。堡垒机，作为一台以防御攻击为主的计算机，本身具有较高的安全性，主要作用便是将需要保护的信息系统资源与安全威胁的来源进行隔离。其实，也正是一个以“等保”为核心的信息安全管理平台，它能够为企业提供一套多维度的运维管控与审计解决方案。
企业过等保是为了保障公司信息、设备与计算安全，等保过级是增强客户信心和信赖度的必要条件。那堡垒机能满足等保2.0中的哪些要求内容了？
技术要求中的安全计算环境类中的：
1. 身份鉴别
需要采用两种或两种以上:组合方式进行身份验证。堡垒机拥有本地认证、AD域认证、Radius认证、数字证书认证，提供外部接口可供指纹识别认证、UKEY (移动数据证书)认证，满足三级系统的设计要求。
2. 访问控制
应在安全策略控制范围内，使用户对其创建的客体具有相应的访问操作权限，并能将这些权限的部分或全部授予其他用户。自主访问控制主体的粒度为用户级，客体的粒度为文件或数据库表级和(或)记录或字段级
堡垒机通过主从账号一一对应的授权 方式，赋予用户完成操作的最小权限。其中命令访问控制策略，能对高危命令进行告警或阻断:图形控制策略能对RDP文件传输进行控制，达到允许或阻断的能力。访问控制粒度达到文件或命令级别，满足二三级 系统的设计要求。
3. 安全审计
启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计
堡垒机能够对字符、图形、数据库操作、WEB 应用、应用发布、KVM 等各类操作进行审计;字符类审计能不仅可以命令识别，而且还可以对FTP/SFTP的文件传输进行审计并记录: 图形类审计能够实现实时的文字识别功能,完成标题栏的识别，传统的审计视频流可被搜索、精准定位:数据库操作能够实现协议解析，完整无死角进行操作审计: WEB 应用、应用发布以及KVM的安全审计，让整个信息系统的任何操作都逃避不了堡垒机的“法眼”，并能根据客户需求输出各类可查询的审计记录;堡垒机作为独立的第二三 方审计系统，可以有效避免數
据遭到破坏或非授权的访问删除、增加、篡改:对于审计记录只有超级管理负和审计负可以查看，并实现:三权分立的原则:系统为安全管理中心提供接1口，输出日志等相关信息。满足三三级系统的设计要求。
4. 数据完整性、数据保密性
堡垒机通过HTPS加密协议进行通信链路的传输,采用加密技术对数据的存储进行保密性保护:各模块相互传数据及配置和控制信息都采用加密传输方式，提高了信息的保密性。传输的数据不被泄漏或篡改，在传输错误或异常中断的情况下能重发数据。数据保护机制采
用HASH值对数据进行验证，保证数据不会篡改，保持数据的完整性。满足:三级系统的设计要求。
5. 入侵防范
能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警
6. 恶意代码防范
采用免受恶意代码攻击的技术措施或采用可信计算技术建立从系统到应用的信任链，实现系统运行过程中重要程序或文件完整性检测，并在检测到破坏后进行恢复
为了避免账号共享、记录和审计运维操作行为，达到最基本的安全要求，以及实施必要的安全手段保证系统层安全。为每个运维人员建立独立的堡垒机账号，避免账号共享。对服务器进行完整的漏洞管理、基线检查和入侵防范。堡垒机能够满足这一系列安全要求。
参考：https://blog.csdn.net/dcbeyond/article/details/8351287
https://wenku.baidu.com/view/520df5312b160b4e767fcfca
来源：CSDN
作者：小谢.
链接：https://blog.csdn.net/qq_44159028/article/details/104004324