<noframes id="jjr3b"><form id="jjr3b"><th id="jjr3b"></th></form>

    <noframes id="jjr3b"><span id="jjr3b"><span id="jjr3b"></span></span>

    <noframes id="jjr3b"><form id="jjr3b"><th id="jjr3b"></th></form>
    <form id="jjr3b"></form>

    <noframes id="jjr3b">
      18868949445

      紹興高端網站開發:堡壘機集成行為審計和權限控制加強網絡安全

      日期:2020-02-16 閱讀:668   作者:紹興網站設計開發公司

      紹興高端網站開發

      mf_5e4692b03a863.jpg

      堡壘機

      運維安全兩大難題

      隨著企事業單位IT系統的不斷發展,網絡規模和設備數量迅速擴大,IT系統日趨復雜,不同背景運維人員的行為給信息系統安全帶來較大風險,主要表現在:

      缺少統一的權限管理平臺,權限管理日趨繁重和無序;而且維護人員的權限大多是粗放管理,無法基于最小權限分配原則的用戶權限管理,難以實現更細粒度的命令級權限控制,系統安全性無法充分保證。無法制定統一的訪問審計策略,審計粒度粗。各網絡設備、主機系統、數據庫是分別單獨審計記錄訪問行為,由于沒有統一審計策略,并且各系統自身審計日志內容深淺不一,難以及時通過系統自身審計發現違規操作行為和追查取證。什么是堡壘機

      堡壘機是在一個特定的網絡環境下,為了保障網絡和數據不受來自外部和內部用戶的入侵和破壞,而運用各種技術手段實時收集和監控網絡環境中每一個組成部分的系統狀態、安全事件、網絡活動,以便集中報警、及時處理及審計定責,有效解決了運維安全兩大難題。

      堡壘機本質上可以看作用于防御攻擊的計算機,又被稱為"堡壘主機"。堡壘機是一個主機系統,其自身通常經過了一定的加固,具有較高的安全性,可抵御一定的攻擊。堡壘機將需要保護的信息系統資源與安全威脅的來源進行隔離,從而在被保護的資源前面形成一個堅固的"堡壘",并且在抵御威脅的同時又不影響普通用戶對資源的正常訪問,堡壘機還集成了行為審計和權限控制,從而加強了對操作和安全的控制。

      堡壘機分類

      根據實際使用場景的不同和業務需要,堡壘機主要分為網關型堡壘機和運維審計型堡壘機。

      網關型堡壘機網關型堡壘機主要部署在外部網絡和內部網絡之間,本身不直接向外部提供服務,而是作為進入內部網絡的一個檢查點,用于提供對內部網絡特定資源的安全訪問控制。

      網關型堡壘機不提供路由功能,將內外網從網絡層隔離開來,除授權訪問外,還可以過濾掉一些針對內網的、來自應用層以下的攻擊,為內部網絡資源提供了一道安全屏障。但由于此類堡壘機需要處理應用層的數據內容,性能消耗很大,所以隨著網絡進出口處流量越來越大,部署在網關位置的堡壘機逐漸成為了性能瓶頸,因此,網關型的堡壘機逐漸被日趨成熟的防火墻、UTM、IPS、網閘等安全產品所取代。

      運維審計型堡壘機運維審計型堡壘機,也被稱作"內控堡壘機",這類堡壘機也是當前應用最為普遍的一種。運維審計型堡壘機被部署在內網中服務器和網絡設備等核心資源的前面,對運維人員的操作權限進行控制和操作行為審計。

      運維審計型堡壘機即解決了運維人員權限難以控制混亂局面,又可對違規操作行為進行控制和審計,而且由于運維操作本身不會產生大規模的流量,堡壘機不會成為性能的瓶頸,所以堡壘機作為運維操作審計的手段得到了快速發展。

      堡壘機運維審計工作原理

      堡壘機運維操作審計的工作原理示意圖如下所示:

      堡壘機的用戶通常包括:管理人員、運維操作人員、審計人員三類用戶。

      管理員根據相應的安全策略和運維人員應有的操作權限來配置堡壘機的安全策略。堡壘機管理員登錄堡壘機后,在堡壘機內部,【策略管理】組件負責與管理員進行交互,并將管理員輸入的安全策略存儲到堡壘機內部的策略配置庫中?!緫么怼拷M件是堡壘機的核心,負責中轉運維操作用戶的操作并與堡壘機內部其他組件進行交互?!緫么怼拷M件收到運維人員的操作請求后調用【策略管理】組件對該操作行為進行核查,核查依據便是管理員已經配置好的策略配置庫,如此次操作不符合安全策略,【應用代理】組件將拒絕該操作行為的執行。運維人員的操作行為通過【策略管理】組件的核查驗證之后,【應用代理】組件則代替運維人員連接目標設備完成相應操作,并將操作返回結果返回給對應的運維操作人員;同時,此次操作過程被提交給堡壘機內部的【審計模塊】,然后此次操作過程被記錄到審計日志數據庫中。最后,當需要調查運維人員的歷史操作記錄時,由審計員登錄堡壘機進行查詢,然后【審計模塊】從審計日志數據庫中讀取相應日志記錄并展示在審計員交互界面上。堡壘機運維審計工作流程

      運維審計型堡壘機對于運維操作人員相當于一臺代理服務器(Proxy Server),其工作流程示意圖如下所示:

      運維人員在操作過程中首先連接到堡壘機,然后向堡壘機提交操作請求,該請求通過堡壘機的權限檢查后,堡壘機的應用代理模塊將代替用戶連接到目標設備完成該操作,之后目標設備將操作結果返回給堡壘機,最后堡壘機再將操作結果返回給運維操作人員。

      紹興高端網站開發通過這種方式,堡壘機邏輯上將運維人員與目標設備隔離開來,建立了從“運維人員-堡壘機用戶賬號-授權-目標設備賬號-目標設備”的管理模式,解決操作權限控制和行為審計問題的同時,也解決了加密協議和圖形協議等無法通過協議還原進行審計的問題。

      堡壘機作用

      堡壘機作為集中訪問入口和操作審計的保障,提供了一套多維度的運維操作權限管理與審計解決方案,使得管理人員可以全面對各種資源(如網絡設備、服務器、安全設備和數據庫等)進行集中賬號管理、細粒度的權限管理和訪問審計,幫助企業提升內部風險控制水平。

      當前,網站被“黑”的現象屢屢發生,尤其是一些企業官網、政府網站、教育網站等,經常成為惡意黑客攻擊的目標,為了避免造成經濟損失及惡意影響,各網站不斷加強安全防護。其中,網頁防篡改系統最為常見,它能夠保護網站代碼文件不被篡改,是得到一致認可的有效手段。

      網頁防篡改系統

      什么是網頁防篡改系統?

      網頁防篡改系統是用于保護網站安全、防止黑客入侵、篡改網站的網站防護設備、

      網頁防篡改工作原理

      一般一個完整的系統應由如下部分組成:發布服務器程序、同步服務器程序、交互頁面遠程控制臺,同時還可以選擇配置防篡改模塊。各部分主要功能如下:

      發布服務器程序(更新端)安裝在內網的獨立服務器上,其遠程訪問一般限制由某些指定段IP機器進行,負責將合法的網頁文件通過安全通信發送到WEB服務器,它也是系統的管理中心。

      發布服務器程序必須能夠自動發現網站文件發布文件夾下被更新的文件;傳輸本地修改的文件及對方請求的文件;更新上傳合法文件水印信息;記錄上傳、更新、篡改、恢復等日志信息;發送報警郵件。

      同步服務器程序(監控端)安裝在WEB服務器上,負責接收發布服務器發送來的合法網頁變化,并保存其數字水印,監視本機未經許可的文件變化并向服務器請求恢復變化的文件。

      同步服務器必須能夠循環監控被保護文件變化,對當前文件計算的水印與其保存的水印比對不一致的,向發布服務器請求重新傳輸;自動更新接收文件水印信息。

      遠程控制臺(管理端)運行在管理員桌面上,提供遠程方式對發布服務器的管理及日志內容查看。

      防篡改模塊(IIS Filter)內嵌在IIS WEB服務器軟件里,對所有的網頁文件請求進行合法性檢查,并對所有發送的網頁進行數字水印比對。

      內容保護過程對瀏覽器的網頁瀏覽請求,防篡改模塊檢查其頭部信息,檢查請求的文件是否在監視列表中,如果存在于監視列表中,則將文件數字水印與保存在數據庫中的有效水印比對,一致則允許訪問,否則拒絕訪問。

      同步服務器對監視到的非法文件變化,向發布服務器請求重新傳輸和恢復該文件。文件恢復后,WEB服務器將正確的網頁內容發送給瀏覽器。

      網頁防篡改三種技術

      外掛輪詢技術用一個網頁讀取和檢測程序,以輪詢方式讀出要監控的網頁,與真實網頁相比較,來判斷網頁內容的完整性,對于被篡改的網頁進行報警和恢復。

      核心內嵌技術將篡改檢測模塊內嵌在Web服務器軟件里,它在每一個網頁流出時都進行完整性檢查,對于篡改網頁進行實時訪問阻斷,并予以報警和恢復。

      事件觸發技術利用操作系統的文件系統或驅動程序接口,在網頁文件的被修改時進行合法性檢查,對于非法操作進行報警和恢復。

      三種技術對比我們可以形象的把Web服務器看成是一個美術館大樓,目錄是大樓的樓層和房間,每個網頁文件都是房間掛著的畫作。這些畫作每天由工作人員不斷更新,每天也有成千上萬的借閱者通過借閱口來取出和閱讀這些畫作。網頁防篡改系統的目標就是保證人們看到的是真實的畫作,而不是贗品,甚至反動宣傳品。三種技術對比如下:

      紹興高端網站開發【外掛輪詢技術】:大樓配備了一個檢查員進行巡檢,他以一個普通借閱者的身份不停地在借閱處調取每個房間的每副畫作,與手里的真實畫作相比較進行檢查,發現有可疑物品即進行報警。 這種方式的顯著弱點是:當大樓規模很大,房間和畫作很多時,他會忙不過來。對于特定的一幅畫作,兩次檢查的時間間隔會很長,不法分子完全有機會更換畫作,對借閱者造成嚴重影響?!臼录|發技術】:大樓在正門進口處配備一個檢查員,他對每一個進入的畫作進行檢查,發現有可疑物品即進行報警。 這種方式的顯著優點是:防范成本很低,但缺點是:美術館大樓的結構非常復雜,不法分子通常不會選擇正門進來,他會從天花板、下水道甚至利用大樓結構的薄弱處自己挖個洞進來,并且還不斷會有新的門路被發現,可見防守進口的策略是不能做到萬無一失的。另外,非法畫作一旦混進了大樓,就再也沒有機會進行安全檢查了?!竞诵膬惹都夹g】:大樓在借閱口處配備一個檢查員,他對每一個調出的畫作進行檢查,發現有可疑畫作即阻止它的流出。 這種方式的顯著優點是:每副畫作在流出時都進行檢查,因此可疑畫作完全沒有被借閱者看到的可能;相應弱點是,由于存在檢查手續,畫作在流出時會耽誤時間。網頁防篡改系統三種技術各有優劣,各廠商在設計和實現網頁防篡改系統時,通過技術手段盡量發揮各種技術的優勢,彌補或降低其缺點的影響,以實現高效、實時、精準的防護功能。

      网赚团队