1、明御運維審計與風險控制系統（堡壘機）產品解決方案 技術創新，變革未來產品介紹競爭分析發展歷史售前技巧案例分享目錄以前2006200720082009201020112005201220132014201520162017前置機/跳板機字符運維審計（奇智/帕拉迪）圖形運維審計文件傳輸審計（江南科友）綜合運維審計（含應用發布）代表功能：自動運維（思福迪/極地銀河/圣博潤）代表功能：SQL語句（綠盟）代表功能：運維審核（安恒）（奇智改名為齊治）代表功能：remoteapp（捷成世紀收購北京極地）（上海上訊/上海諧潤）代表功能：文字記錄（碉堡）代表：安恒云堡壘機（國都興業倒閉）代表功能：操作告警（啟明

2、收購賽貝卡）代表功能：API（駐云/云匣子）（天誠安信收購思福迪）期待革新堡壘機發展史目 錄產品介紹競爭分析發展歷史售前技巧案例分享為什么需要堡壘機 - 事件數不勝數典型安全事件6為什么需要堡壘機 - 法案法規要求為什么需要堡壘機 - 運維風險總而言之，言而總之：1、解決身份模糊、賬戶共享的問題2、解決權限混亂、越權操作的問題3、解決分散管理、效率低下的問題4、解決越權操作、高危操作的問題5、解決無審計、事故難定位的問題6、解決合規、第三方審計的需求運維資產區域解決運維風險的思路Step1：統一入口Step2：集中管理身份驗證賬號管理權限控制操作審計運維審計主要實現4A功能你（運維人員）是誰？

3、防止身份冒用和復用集中管理人員和資產的賬號防止內部誤操作和權限濫用追溯的保障和事故分析的依據你（運維人員）的身份合法？你（運維人員）能做什么？你（運維人員）做了什么？解決運維風險的思路網絡部署示意圖 部署特點：物理旁路、邏輯網關11 可以采用以下兩種方式來控制：方式一：由堡壘機接管所有主機的賬號和密碼，實現賬號和密碼的自動登錄，最終用戶無需知道最終的主機密碼；主機密碼由堡壘機來統一配置管理，用戶只需知道自己的堡壘機登陸用戶名和密碼即可。方式二：在堡壘機接入的交換機或者防火墻上配置訪問控制策略（ACL），限制終端用戶只能通過堡壘機來訪問主機，關閉用戶端到主機的直接遠程訪問。網絡控制策略可以直接封

4、堵用戶訪問主機的21、22、23、3389等端口，也可以直接做ACL訪問控制列表，只允許訪問堡壘主機。ACL例如：#access-list 101 deny tcp 55 55 22 PS：禁止4.0網段訪問9.0網段的22端口（適用于PC端與服務端之間）#access-list 101 permit tcp 55 host 8 60022 PS：允許4.0網段訪問1.88主機的60022端口（適用于PC端與堡壘機之間）#access-list 101 permit tcp host 8 55 22 PS：允許1.88主機訪問2.0網段的22端口（適用于堡壘機與服務端之間） 如何防止PC繞過堡

5、壘機訪問主機？12堡壘機部署前與部署后的運維區別沒有堡壘機的情況下：運維協議：SSH、telnet、RDP、SFTP、FTP、VNC運維工具：IE、plsql、VMware vSphere Client等直接訪問登錄堡壘機連接主機字符主機：SSH、telnet圖形主機：RDP、VNC文件傳輸：SFTP、FTP數據庫：oracle、mysql、sqlserver應用發布：IE、VMware vSphere Client等部署堡壘機后Web：443SSH：60022SFTP：60022RDP：63389VNC：5900oracle：61521mysql：63306sqlserver：6143313

6、多個網絡隔離情況下：配置靜態路由網絡部署示意圖 雙機熱備（HA）部署特點：（1）兩臺硬件堡壘機，一主一備、提供VIP（2）當主機出現故障時，備機自動接管服務網絡部署示意圖 異地同步部署部署特點：（1）多地部署，異地自動同步配置（2）運維員訪問當地的堡壘機進行運維工作（3）不受網絡/帶寬影響，同時起到災備目的網絡部署示意圖 異地災備部署部署特點：（1）HA+災備模式，配置自動同步（2）災備堡壘機處于冷備狀態（3）當HA都無法使用時，手工切換災備為單機模式功能架構圖181基礎功能：集中管理梳理用戶與資產的關系自動授權權限管理手工添加批量導入自動學習資產信息資產管理手工添加批量導入AD/LDAP同步

7、用戶管理基于部門隔離資產、用戶、授權、審計實現分支機構可自主管理建立多級部門、上下級管理部門隔離2基礎功能：權限控制運維審計IT人員傳輸控制控制策略命令控制命令攔截命令審核手工阻斷登錄審批rm/reboot/shutdown高危命令源和目的IP地址、協議、賬號、時間RDP映射/RDP復制粘貼/rz/sz/SFTP/FTP訪問控制防數據失泄密203基礎功能：運維登錄完全兼容所有常用運維工具支持linux、MAC操作系統支持SSH密鑰登錄支持批量運維支持PUTTY、SecureCRT、Xshell工具支持MSTSC遠程桌面支持realVNC支持SecureFX、FileZilla、WinSCP、F

8、lashFXP運維方式是堡壘機最為關鍵的功能，其是否方便易用、符合原來運維習慣、靈活而適合各種場景很大程度決定了堡壘機能否推廣成功，得到運維人員的認可。支持IE、chroom、firefox等瀏覽器B/S運維支持SSH、TELNET、FTP、SFTP、RDP協議C/S運維審計分析12345SSH/TELNET字符審計可提取命令、命令定點回放遠程桌面/應用發布/VNC圖形審計可基于鍵盤輸入、窗口標題、屏幕文字搜索文件傳輸審計支持遠程桌面文件傳輸、FTP/SFTP的原文件審計一體化搜索：支持圖形、字符、文件、SQL語句的一體化搜索更多審計功能：在線監控、會話阻斷、日志備份、離線播放等SQL語句審計

9、基于數據庫協議解析SQL語句詳情4基礎功能：審計分析1）字符會話錄像式回放232）圖形會話錄像式回放3）其他應用運維審計Xftp審計PL/SQL審計SQLplus審計http/https審計25運維次數命令情況源IP統計文件傳輸運維時長254）運維報表265用戶認證支持AD/LDAP用戶信息同步支持主流radius系統對接認證支持AD/LDAP/radius雙因子認證AD/LDAP/Radius認證結合支持短信貓、短信網關短信接口短信網關支持POST、GET、SOAP等格式短信口令認證具備商密、國密、公安銷售許可等完善資質認證引擎具備完善資質內置飛天誠信認證引擎內置知名認證引擎動態令牌OTP為

10、動態密碼，單次有效USBkey方式登錄，物理身份鑒別手機APP動態口令登錄，單次有效動態令牌OTP，USBkey，手機APP動態口令不同用戶使用不同認證模式一個用戶使用多種認證模式基于用戶設置認證模式運維人員唯一身份標識27動態令牌OTPUSBkey認證短信口令免費的手機APP動態口令5用戶認證28打開此文件夾中全部會話每個運維員可生成自己的SecureCRT、Xshell的批量自動登錄腳本，導入主機列表6批量自動登錄客戶端堡壘機linux/unix 客戶端啟用SSH協議代理 堡壘機用戶認證：建立SSH通道SSH通道 服務器認證：直連SSH登錄適應自動化運維、直接登錄服務器等復雜運維環境。7S

11、SH網關直連客戶端堡壘機windows 客戶端啟用RD網關服務器 堡壘機用戶認證：建立RDP通道RDP通道 服務器認證：直連RDP登錄保持mstsc、Remote Desktop Organizer等運維工具的運維習慣。8RDP網關直連USM默認支持應用中心配合支持字符運維協議文件傳輸運維協議圖形運維協議數據庫運維協議Web訪問協議數據庫工具其他工具SSHtelnetftpsftpSCPRZ/SZRDP傳輸RDPVNCMSSQLMySQLoracleDB2httphttpssybaseinformixPcanywhere虛擬化工具廣泛支持各種運維工具：SecureCRTSecureFXXshe

12、llmstscPuTTYFileZilla WinSCP FlashFXP 9覆蓋豐富的運維協議數據庫應用范圍占有率數據庫運維審計方案oracle金融、通信、生產制造、快速消費品零售、物流運輸、醫療、互聯網、政府等行業超過80%協議代理單點登錄SQL解析MySQL互聯網為主，近2年開始擴展到 金融、通信、生產制造、快速消費品零售、物流運輸、醫療、政府等行業SQLserver（商用數據庫排第二名）政府、生產制造、快速消費品零售、醫療、互聯網為主DB2以金融行業客戶為主10數據庫運維與審計10數據庫運維與審計11文件傳輸運維與審計操作人員文件服務器、數據庫文件服務器windowslinux/uni

13、x數據庫上傳惡意程序拖庫竊取數據傳輸難以控制RDP磁盤映射RDP粘貼板SFTP/FTPscp/rz/sz命令傳輸文件傳輸事件支持完整保存RDP磁盤映射、RDP粘貼板、SCP、rz/sz、SFTP、FTP傳輸的文件11文件傳輸運維與審計自動同步用戶資源自動同步服務器資源自動同步審計日志自動同步運維會話用戶管理平臺服務器管理平臺運維管理平臺日志管理平臺12開放的API由于頻繁讀寫導致的磁盤故障是設備宕機的最大原因安恒信息多年安全審計的實施經驗表明獨特的穩定性設計13CF卡使用壽命更長磁盤故障不影響運維系統日志分離獨特的穩定性設計13雙重保障單機架構雙機熱備HA防止單機故障發生14自身安全性安恒信息

14、擁有國內頂尖的安全服務團隊團隊成員多達120人安全實力01基于SDL安全開發規范，實現代碼層、應用層的審計安全掃描02每個版本都需經過公司安全眾測安全眾測03阿里巴巴、UCLOUD、招商銀行等用戶安全測評認可高端用戶認可04在烏云、補天等漏洞平臺無公開曝光事件發生無漏洞曝光054015專利技術與產品資質專利技術：字符提取準確性；自動學習資產和授權關系；數據表單特征提取技術；FTP/SFTP的文件審計技術；（正在提交）.產品資質：產品銷售許可證（滿足等保要求）涉密資質（符合保密性要求）ISCCC資質（符合運維審計產品安全技術要求）軍用信息安全產品資質（適合軍工行業及安全級別要求高的客戶）商用密碼

15、銷售許可證（動態令牌雙因子身份認證）.目 錄產品介紹發展歷史售前技巧案例分享競爭分析競爭分析 - 功能對比項安恒綠盟啟明齊治帕拉迪(漢領)思福迪數據隔離按組織架構分管用戶、主機、授權、日志，實現上管下、下級自主管理的目的不支持不支持不支持不支持不支持用戶認證手機APP動態口令認證不支持不支持支持不支持不支持短信口令認證：與主流短信網關對接不支持不支持不支持不支持不支持不同用戶使用不同的認證方式，管理員可以根據需要啟用某幾種認證不支持不支持不支持不支持不支持AD/LDAP環境：使用AD/LDAP賬號和密碼登錄堡壘機，同時還能登錄主機不支持不支持支持不支持不支持主機管理自動收集設備IP、運維協議、

16、端口號、賬號、密碼、與用戶的權限關系，并且可自動完成授權不支持不支持不支持不支持不支持支持oracle/mysql/sqlserver/DB2協議代理，無需應用中心，且可代填賬號密碼不支持不支持不支持不支持支持運維方式支持SSH協議網關運維：實現直接登錄主機，適應快速登錄、自動化運維等場景不支持不支持不支持不支持不支持支持RDP協議網關運維：實現直接登錄主機，適應快速登錄等運維習慣不支持不支持不支持不支持不支持支持批量自動登錄：自動生成SecurCRT/Xshell工具的批量登錄腳本，實現在工具中批量登錄多臺設備不支持不支持不支持不支持不支持審計日志支持保存SSH的sz/rz命令（zmodem

17、）傳輸的原始文件不支持不支持不支持不支持不支持支持保存SFTP/FTP傳輸的原始文件不支持支持不支持支持不支持支持保存RDP粘貼板（桌面之間復制-粘貼）傳輸的原始文件不支持不支持不支持不支持不支持支持保存RDP磁盤映射傳輸的原始文件不支持不支持不支持不支持不支持接口聯動需提供用戶、資產、授權的增刪改查等API接口，允許第三方平臺調用堡壘機的API接口，實現用戶、資產、權限自動同步到堡壘機不支持不支持不支持不支持不支持支持和同品牌的數據庫審計系統、SOC進行聯動，實現日志關聯式分析與查詢等支持不支持不支持不支持支持競爭分析 - 分析序號優勢點分析1按組織架構分管用戶、主機、授權、日志，實現上管下

18、、下級自主管理的目的最開始，這個功能是齊治經常拿來卡我們，后面我們也實現了部門數據隔離功能，可以徹底隔離用戶、主機、授權、日志的目的。現在變成了我們打擊所有對手的有利武器。因為當初我們整個架構重新設計過。適合中大型客戶2手機APP動態口令認證目前僅我們和齊治有這個功能，我們技高一籌的是新用戶首次登陸強制綁定動態口令。關鍵是免費+安全。3短信口令認證：與主流短信網關對接在主流堡壘機廠家里，算是獨家支持了，已支持阿里云和sendcloud的短信網關4不同用戶使用不同的認證方式，管理員可以根據需要啟用某幾種認證不僅可以對單個用戶設置認證方式，而且可以全局設置認證窗口；足夠讓對手目瞪口呆。5AD/LD

19、AP環境：使用AD/LDAP賬號和密碼登錄堡壘機，同時還能登錄主機只要碰到域環境，就可以測試，足夠完爆對手。（雖然齊治號稱支持，但沒見到過）6自動收集設備IP、運維協議、端口號、賬號、密碼、與用戶的權限關系，并且可自動完成授權碰到齊治和綠盟的自動掃描，我們就沒招了？難道他們可以掃描主機的協議、賬號和密碼、可以完成授權？此功能適合互聯網客戶等權限雜亂的客戶。7支持oracle/mysql/sqlserver/DB2協議代理運維，無需應用中心，且可代填賬號密碼這3種數據庫占據了80%多的市場，99%的客戶都在使用其中一種，不需要應用中心對客戶來說是莫大的福音，更何況還能自登陸。8支持SSH/RDP

20、協議網關運維：實現直接登錄主機，適應快速登錄、自動化運維等場景這個功能要求有點技術底蘊的人去講解和測試，但是不要怕，可按照手冊配置。這個功能適合互聯網客戶和金融客戶。9支持批量自動登錄：自動生成SecurCRT/Xshell工具的批量登錄腳本，實現在工具中批量登錄多臺設備按照手冊測試就是了，適合快速自動登錄的運維習慣。10支持保存SSH的sz/rz命令（zmodem）、SFTP/FTP/SCP、RDP傳輸的原始文件現在數據、文件失泄密越來越嚴重，能備份文件是不是讓管理層放心了？11需提供用戶、資產、授權的增刪改查等API接口，允許第三方平臺調用堡壘機的API接口，實現用戶、資產、權限自動同步到

21、堡壘機適合有個性化開發的客戶，比如互聯網企業、金融企業。12支持和同品牌的數據庫審計系統、SOC、天池進行聯動，實現日志關聯式分析與查詢等對銷售來說，有利于項目控標和項目運作，防止單一產品的被沖標，防止價格做不高，主要是屏蔽齊治、帕拉迪、思福迪等產品單一的廠家。主要友商的特點友商特點應對齊治1、有自動掃描主機的IP、端口功能2、有遠程運維協助功能獨家的功能3、有CPU志強E7的型號1、不能掃描主機的賬號和密碼，更不能自動授權（堡壘機最繁瑣的是授權）2、為什么齊治老早就有遠程協助功能，而帕拉迪為什么沒做？因為只有VNC協議才能同時操作，而VNC又是開源的。3、記住：硬件控不死對手的，只能為難對手

22、。帕拉迪1、自帶硬件應用中心的雙子星，應用發布體驗較好2、可對SQL語句、圖形文字進行告警1、雙子星沒有冗余電源2、暫不支持命令、SQL語句和文字告警思福迪旁路阻斷采用ARP欺騙，可作為噱頭，但沒有客戶使用綠盟1、有自動掃描主機的IP、端口功能2、對孤兒賬號和幽靈賬號進行識別分析3、手機APP進行運維審批1、不能掃描主機的賬號和密碼，更不能自動授權（堡壘機最繁瑣的是授權）2、這種功能只能對ssh協議的主機實現，我們暫不支持3、瀏覽器APP也可以啟明應用發布的程序比較多，包括支持火狐瀏覽器代填安恒的oracle/mysql/sqlserver/DB2運維不需要應用中心目 錄產品介紹發展歷史售前技

23、巧案例分享競爭分析售前技巧 - 十問十答序號問題應答1堡壘機是如何部署的，支持串聯或網關部署嗎？（1）堡壘機是“物理旁路、邏輯網關”部署模式，運維員主動訪問堡壘機，在登錄服務器。（2）不支持串聯和網關部署。2堡壘機性能怎么樣，并發量是多少，日志能存多久？（1）堡壘機的性能高低由型號決定的，可以根據并發量衡量性能。（2）日志存儲時間是根據運維產生的日志量和磁盤空間決定的，相對來說空間越大存儲時間越久。3如何保障堡壘機使用過程中的安全？（1）在內網環境，建議啟用堡壘機的雙因素認證，以保障個人登錄堡壘機的安全，防止暴力破解密碼和弱口令的發生。（2）建議加部VPN，確保網絡通道安全。4堡壘機有哪些特點

24、或優勢？豐富的雙因素身份認證、兼容多種運維登錄方式、提供完整的文件傳輸審計功能、提供開放的API接口等5堡壘機提供雙因素身份認證嗎？（1）提供硬件形態的動態令牌和usbkey的雙因素認證（2）自帶免費的手機APP動態口令認證（3）可與短信網關平臺對接，實現短信口令認證6堡壘機能對數據庫、某某應用程序進行審計嗎？（自帶應用中心嗎？）（1）支持對主流數據庫（如oracle/mysql/sqlserver/DB2）的運維審計，且無需應用中心（2）支持對某某應用程序的運維審計，需要使用應用中心（3）如果客戶提供應用中心也可以，我們也有自帶應用中心的型號7堡壘機能對文件傳輸進行審計嗎？（1）文件傳輸方式

25、很多（如SFTP/FTP/RDP/RZ/SZ）,堡壘機可以備份這些協議傳輸過的文件，便于事后定位追蹤。（2）堡壘機還能對重要的服務器控制文件傳輸，防止數據失泄密。8可以使用mac或ubutn電腦訪問堡壘機再訪問服務器嗎？支持，直接利用C/S運維方式即可。9堡壘機能做二次開發嗎？堡壘機自身不支持定制開發，但堡壘機提供開放的API接口，允許第三方平臺調用堡壘機的用戶數據、主機數據、授權數據、審計數據，客戶還可開發個性化的運維方式。10堡壘機能部署在虛擬機或云主機里了嗎？（堡壘機能提供軟件版嗎？）只要環境支持，堡壘機可以安裝到虛擬機或云主機里，但不提供安裝包，我們只買云堡壘機許可，并且是按年買，不提

26、供永久授權。售前技巧 - 選型指導型號USM150USM200USM800USM1000USM3000適用中小型客戶、合規需求中小型客戶、合規需求中型客戶、對產品性能有一定要求中大型客戶、對產品性能有一定要求大型客戶、對產品性能和質量有一定要求選型指導選型主要參考3個條件：運維人數、主機IP數、并發數，其中并發數是第一考慮的條件！1、如何根據并發數推薦型號？根據多年的項目經驗，圖形并發數與字符并發數的比例大致是2:3。比如有50個運維人員，平均每個人同時連5個會話（其中2個圖形、3個字符），那么圖形并發量是100個+字符并發量是150個=250個并發量；因此應該推薦使用USM800型號（因為客

27、戶環境的圖形并發很有可能在50100之間）。2、如何根據主機數推薦型號？因為我們是以一個主機IP算作一個主機數，所以需要客戶統計出大致的主機IP數量，再結合并發數推薦合適的型號。但是建議客戶考慮未來12年的業務增長，是否可能主機數量翻倍。3、如果并發數要求很高、主機數要求很少，那怎么辦？這種情況只能以并發量的要求為準，產品穩定是第一要素，切勿以次充好（除非項目負責人hold得住）！售前技巧 - 測試步驟49場景一：賬號共享與責任認定部署前：所有人員包括移動辦公人員、合作伙伴、代維外包人員、內部人員共同使用root、admin等帳號直接登錄服務器進行各種操作。當核心業務數據被非法操作，或是執行了

28、其他非法命令等，在現有環境上很難定位到人，無法進行責任的認定和故障分析。部署后：每個人都對應一個主帳號（堡壘機用戶），登錄到核心業務服務器的從帳號（服務器帳號），兩種帳號實現對應關系，審計人員可以很方便的從平臺中查出是誰在什么時間登錄哪臺服務器做了什么操作，產生什么樣的結果，很方便的實現責任認定和故障分析。administratorroot4個W50場景二：人機關系與規范管理部署前：所有人員包括移動辦公人員、合作伙伴、代維外包人員、內部人員共同使用windows、unix等服務器。隨著業務的增長業，系統和服務器資源會不斷增加，運維人員也會增加，面對錯綜復雜的“人”“機”關系，管理者只能“望洋興

29、嘆”、束手無策。部署后：通過運維審計平臺將自然人和服務器直接的關系進行梳理，讓有權限訪問服務器的人能訪問，無權限訪問的拒絕或不授權。并且可以隨時變更權限關系，控制自然人訪問服務器的有效期、服務器賬號權限、操作行為，以達到運維規范管理。windows/unix類服務器交換機、路由器、防火墻oracle/mssql等數據庫服務器Web管理系統51場景三：事中監控與會話阻斷部署前：所有人員包括移動辦公人員、合作伙伴、代維外包人員、內部人員在操作windows、unix等服務器時，無法有效監控。例如IBM工程師過來維護IBM服務器，進入系統后臺維護好服務器后，給客戶回復一個維護報告就離開了，做了具體哪

30、些操作無從得知。部署后：管理員通過運維審計平臺可以隨時監控相關人員的操作過程，并且事后會進行詳細記錄；一旦發現危險操作就能立即阻斷會話。而且可以全程監控IBM工程師的操作過程，并且在事后進行查看日志視頻，回顧他是如何維護好服務器的。IBM工程師來維護IBM服務器52場景四：行為控制與安全管理部署前：所有人員包括移動辦公人員、合作伙伴、代維外包人員、內部人員登錄windows、unix等服務器后，進行了一些敏感命令或高危命令無法進行有效控制和審核。只要有相關命令執行權限就能執行成功，為運維管理帶來了潛在的安全風險。部署后：管理員通過運維審計平臺可以指定安全控制策略，達到控制命令執行的行為。例如誰

31、執行了delete就會告警、誰執行了rm就會被執行失敗、誰執行了shutdown就會中斷整個會話、誰執行了reboot就必須得到管理員同意才能執行成功。rebootshutdowndeleterm53場景五：自動改密與自動運維部署前：管理員面對成百上千的系統，密碼管理成為管理員的一大難題；手工修改工作量又太繁重。管理員面對成百上千的字符設備，需要批量執行腳本或任務時，只能依托第三方工具，而且很難做到周期性的執行，甚至無法得知執行結果。部署后：管理員通過運維審計平臺可以制定改密計劃和自動運維任務，以達到自動改密和自動執行腳本；為管理員減輕工作負擔，提高工作效率。1.如何批量修改密碼？2.如何自動執行腳本？54場景六：remoteAPP應用發布部署前：服務器遠程維護方式很多種，運維工具也多樣，如何有效的管理這些運維工具，成為管理員頭疼的事情。如果運維人員可以自主安裝運維工具，就面臨著病毒、木馬、APT等千變萬化的安全風險。部署后：管理員通過網絡環境控制和服務器的賬號和米托管功能，將終端直接到服務器之間的網絡阻斷，必須先登錄堡壘機再訪問服務器。這樣的話，即使本地安裝了運維工具也無法登錄服務器。堡壘機通過與remoteAPP服務器結合使用后能集中發布運維工具。RemoteAPP服務器群目 錄產品介紹發展歷史售前技巧案例分享競爭分析HA部署HA部署HA部署HA