(公开)运维操作管理解决方案-齐治科技V320.doc

运维操作管理系统（堡垒机）解决方案浙江齐治科技有限公司2023年1月声明本文件全部权和说明权归齐治科技全部，未经齐治科技书面许可，不得复制或向第三方公开修订历史记录（版本限制）版本号作者审核人文档类型保密级别完成日期V1.0.0DXBrianADA2023-1-21DXBrianADA2023-5-18V3.2.0DXJoeADA2023-1-17（文档类型A-内部归档类， D-外部交付类）（保密级别A-公开，B-有选择公开，C-不公开）目 录1 现状分析 22 解决方案 43 功能实现 114 方案优势 245 客户收益 266 胜利案例 271 现状分析1.1 运维管理现状客户的维护部门主要负责应用系统以及信息系统基础平台的建设和维护，以及局内网络的建设和维护现有数百台各种各样的服务器，其日常运维过程中都普遍存在以下现状：Ø 用户的访问方式以内部干脆远程访问为主其中运维操作的远程访问方式又以SSH/Telnet/RDP/VNC/X-window/ / s/FTP/SFTP为主，设备数量比较多；数据库维护操作则以PLSQL、SQLPLUS、TOAD等客户端工具为主；Ø 维护人员较多，并且部分设备的维护交由第三方维护厂商完成，维护操作比较分散，权限变更困难；Ø 运用设备上的共享系统账号进行认证与授权；Ø 无法有效落实定期修改设备密码的规定；Ø 用户的运维操作无审计；Ø 须要定期接受等保、SOX、ISO27001等法律法规标准的检查。

1.2 存在问题Ø 维护方式不统一；Ø 共享账号难限制；Ø 操作行犯难约束；Ø 设备密码难管理；Ø 运维操作无审计；Ø 法律法规难遵从；1.3 问题分析出现以上问题的主要缘由在于：Ø 运维操作不规范；Ø 运维操作不透亮；Ø 运维操作风险不行控；1.4 带来的后果Ø 违规操作可能会导致设备/服务异样或者宕机；Ø 恶意操作可能会导致系统上敏感数据/信息被篡改、被破坏；Ø 当发生故障的时候，无法快速定位故障缘由或者责任人；2 解决方案2.1 实现目标通过Shterm的部署，可以有效的解决运维部门当前运维过程中存在的各种问题：Ø 以堡垒方式，形成统一的运维入口，实现运维操作的唯一路径；Ø 引入主从帐号管理概念，运用户认证与系统授权分开，从而有效解决系统帐号共享运用，带来的身份不唯一的问题；Ø 基于用户、设备、系统帐号、协议类型、登录规则的严格访问限制设置，有效规避了非授权访问带来的问题；Ø 密码托管和自动改密，使得密码管理规范能有效落地，避开了因人员的流淌还会导致设备密码存在外泄的风险；Ø 能完整记录运维人员的操作过程，当系统因人为操作导致故障的时候，能够快速定位故障缘由和责任人；Ø 可以满意等保、SOX、ISO270001、BS7799等平安规范对运维操作管理的要求。

2.2 具体设计2.2.1 总设计思路因为操作的风险来源于各个方面，所以必须要从能够影响到操作的各个层面去降低风险齐治运维操作管理系统（Shterm）采纳操作代理（网关）方式实现集中管理，对身份、访问、审计、自动化操作等统一进行有效管理，真正帮助用户最小化运维操作风险集中管理是前提：只有集中以后才能够实现统一管理，只有集中管理才能把困难问题简洁化，分散是无法谈得上管理的，集中是运维管理发展的必定趋势，也是唯一的选择身份管理是基础：身份管理解决的是维护操作者的身份问题身份是用来识别和确认操作者的，因为全部的操作都是用户发起的，假如我们连操作的用户身份都无法确认，那么不管我们怎么限制，怎么审计都无法精确的定位操作责任人所以身份管理是基础访问限制是手段：操作者身份确定后，下一个问题就是他能访问什么资源、你能在目标资源上做什么操作假如操作者可以为所欲为访问任何资源、在资源上做任何操作，就等于没了限制，所以须要通过访问限制这种手段去限制合法操作者合法访问资源，有效降低未授权访问所带来的风险操作审计是保证：操作审计要保证在出了事故以后快速定位操作者和事故缘由，还原事故现场和举证另外一个方面操作审计做为一种验证机制，验证和保证集中管理，身份管理，访问限制，权限限制策略的有效性。

自动运维是目标：操作自动化是运维操作管理的终极目标，通过让该功能，可让堡垒机自动帮助运维人员执行各种常规操作，从而达到降低运维困难度、提高运维效率的目的2.2.2 操作网关方式部署集中管理是实现运维操作平安管理的首要前提针对当前核心设备分散管理的现状，集中管理提倡的是一种统一管理的理念集中管理是将来运维操作平安管理的必定趋势实现集中管理，关键点在于对用户原有的运维环境不造成任何影响综合各种部署方案，我们采纳了“操作堡垒机”的部署方式2.2.3 用好共享账号在当前的运维环境中，普遍存在操作者身份无法识别的平安隐患这主要是由操作者共享运用核心设备上的系统账号造成的设备数量达到肯定规模，必定会运用到共享账号共享账号就是多人共同运用同一个存在于设备上的系统账号，运用共享账号会让整体账号的数量最少但是仅仅依靠系统上的单一系统账号，无法既能区分用户身份，又能完成工作角色的定位如何精确的区分用户身份和工作角色，进而实现操作者和具体的操作过程一一对应？ Shterm将账号的用户身份确认和系统工作角色功能分别，在Shterm上增加了用户账号，完成用户的身份确认原来系统上的账号依旧存在，但是作用只是完成工作角色授权的工作账号。

用户登录Shterm是采纳唯一的用户账号，然后依据工作角色的须要，转换成系统账号登录到被管理设备上这样既能够保证整体账号数量最少，管理便利；同时又能够实现对用户、工作角色的双重定位当用户加入、离职或岗位变动，当代维人员和原厂商进行维护的时候，只须要在Shterm上变更该用户账号即可，对系统上的系统账号没有任何影响代维人员维护系统并不须要知道用户系统的最高权限的系统帐号密码，这样大大降低了管理风险原厂商进行临时维护的时候只须要临时安排一个用户账号，当运用结束后该账号会自动回收，削减了账号管理的成本2.2.4 访问限制规则目前，用户只要知道用户名和密码就可以随意访问随意设备,这种现状必定会带来“未授权访问的平安风险”部署了Shterm后，状况就发生了变更Shterm逻辑上成为了用户登录的唯一入口，因为入口唯一，访问限制很简洁配置了相同工作任务的集合可以放置在一个访问规则组里，当用户岗位、职责变更时，对用户相关联的组、系统权限、可访问设备通过Web的勾选，很简洁调整依据工作内容的须要，可以配置不同的许可或禁止的登录策略既可以设定固定日期的登录策略，也可以设定固定时间间隔的策略，还可以设定一天中指定时间段的策略，并且能够针对具体的地址段进行限制。

Shterm的访问限制列表可以让用户一目了然的知道某台设备上允许哪些用户登录某台设备上的系统账号有多少个用户可以运用另一方面，从平安运维的角度分析，权限限制策略是从操作的层面上，降低高危操作所带来的平安风险：对于运用Telnet/SSH等协议进行远程管理的设备（各种网络设备和Unix服务器），操作权限的多少取决于用户可以执行的吩咐所以，针对操作指令的限制才是核心对于服务器设备操作，Shterm可以对服务器的超级用户root操作权限进行限制，即使是root用户，权限也是受限制的，可以限制root用户只能执行某些操作（白名单）和无法执行某些操作（黑名单）当多人同时运用一个root账号时，Shterm可以对同一个系统账号进行操作权限再安排，保证运用同一个root账号的不同用户拥有不同的操作指令权限，彻底解决了共享root账号权限一样的状况，真正实现细粒度的操作权限限制对于网络设备操作，Shterm可以保证即使多个用户在进入enable状态的时候，供应高于网络设备系统更好级别的限制力度，保证每一个用户的操作指令都能严格受到限制对于操作权限的限制意味着我们从被动接受用户输入到了主动限制对于用户的操作可以有3种执行状态：允许执行，拒绝执行，禁止执行。

对于高危吩咐（删除，重起，关机等）可以实时告警，一旦高危操作触发，会马上给相关人员发送告警邮件，保证用户在第一时间内知道高危操作是否对系统造成了影响2.2.5 完整操作审计运维操作审计是整个Shterm解决方案的重要组成部分管理员确定了以操作网关方式来部署，解决了之前共享账号的问题，配置了访问规则，明确了操作权限，那么最终也是最重要的就是操作和操作审计Shterm支持的运维操作方式和相应的操作审计基本涵盖了目前企业日常运维所涉及到的绝大部分操作模式，包括字符会话、图形会话、Web Client会话、文件传输、Oracle数据库操作审计等等对不同会话采纳不同的审计方式针对字符会话，Shterm的审计功能会完全记录全部会话内的输入输出，并可以运用模式方式对这些输入输出进行查询以定位操作时间节点和操作内容对于图形会话要采纳全程的录像和键盘鼠标操作的记录，并在图形会话回放的过程中同步的显示出来对于Web Client方式的操作会话，也是目前特别主流的一种操作模式，Shterm可以利用对于图形会话的审计方式来审计Web Client方式的会话，即，既包括了图形录像也包括了键盘鼠标记录，并且可以如图形会话一样，键盘输入信息可以进行完全的检索以便快速定位一个较长的审计录像。

针对文件传输，FTP、SFTP之类的上传下载，Shterm支持全部的信息记录，包含时间，人员，IP等等信息对于Oracle数据库的操作审计，采纳跳板机和应用发布的方式，能够把图形方式操作中的数据库语句全部完成的审计到Shterm平台内此外，Shterm对审计人员本身也有严格要求，一方面，对审计人员的审计操作，Shterm有严格的记录，审计管理员何时查阅了某个会话操作都要有明确记录另一方面，Shterm支持非全局性的操作审计，即，审计人员也没有权利审计全部的会话信息，因为会话中可能包含了特别敏感甚至机密的企业信息2.2.6 运维自动化日常运维中常常须要对一些操作进行重复性动作，例如每天去执行一些脚本、检测一些状态等，重复繁琐的工作简洁令人出现操作的失误假如能通过一些技术手段，替代用户的重复操作，运用户从重复繁琐的工作中释放出来，可以让用户有更多的时间去专注于更多技术领域操作自动化是运维操作管理的终极目标，通过Shterm的自动脚本功能，可让堡垒机自动帮助运维人员执行各种常规操作，从而达到降低运维困难度、提高运维效率的目的2.3 产品部署在当前运维环境中部署了shterm（齐治运维操作管理系统，亦称齐治运维堡垒机）之后，拓扑结构如下：部署说明Ø 支持双机HA部署；Ø 部署方式是物理旁路，逻辑串接；Ø 部署唯一条件是Shterm与被管理的设备之间IP可达，协议可访问；Ø 在部署过程中，不须要调整任何网络架构，不须要安装任何代理程序；Ø 集中管理的一个标记就是入口唯一，Shterm是用户操作的唯一入口；Ø 目标设备登录过程：用户用唯一的用户帐号登录到shterm上，然后Shterm会依据配置管理员预先设置好的访问限制规则，列出用户选择可以访问的目标设备和相应系统帐号，用户选择完成后会自动登录到目标设备；Ø 应用程序登录过程：用户用唯一的用户帐号登录到shterm上，然后。