CN114338105B - 一种基于零信任信创堡垒机系统 - Google Patents

Abstract

本发明属于信息安全技术领域，具体是一种基于零信任信创堡垒机系统。堡垒机作为保障网络和关键数据不会受到来自外部攻击者和内部用户破坏的重要手段，运用各种技术手段实时保障运维人员安全操作，以及监控网络环境中系统状态、安全事件、网络活动等，以便集中报警、记录、分析、处理。做到事前防御，事中阻断，事后审计的目的。它将建立面向用户的集中、主动的运维安全管控模式，降低人为安全风险，满足合规要求，保证企业效益。基于零信任的堡垒机，将零信任的概念和原理运用到堡垒机上，将构建更加安全的网络和数据环境。

Description

一种基于零信任信创堡垒机系统

技术领域

本发明属于信息安全技术领域，，具体是一种基于零信任信创堡垒机系统。

背景技术

面对日趋复杂的IT系统与运行环境，防火墙等安全设备能够起到一定的防护功能，使得网络安全性得到一定的保障。运维人员往往通过合法身份登录到系统资源中，对系统服务器进行运维监控等操作。此时网络安全设备并不能很好的起到防护作用，运维人员的误操作和有意的威胁操作，往往就是安全事件从网络内部开始向外扩展的开端。而运维人员通常是通过堡垒机一类的设备进行授权访问网络内部资源的。传统的堡垒机会带来潜在的内控风险，具体表现在：（1）账号管理无序，多人共同使用一个系统账号。（2）账户没有与登录设备绑定，存在账户泄露后被不法之徒利用的风险。（3）权限管理粗放，系统安全得不到保证。（4）权限存在一次授权，终身使用的问题。（5）存在运维人员进入系统后，进行服务器横向连接的风险。（6）存在资源访问授权无法根据工作需要动态调整的问题。为解决上述问题，需要研发一套能够从账户管理、动态评估、细粒度权限管理、行为审计和报警等，实时收集、监控和管理网络环境中的各种状态和操作的产品，对风险进行实时报警和阻断。基于零信任的信创堡垒机为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段实时收集、监控和管理系统状态、安全事件、网络活动。它将建立面向用户的集中、主动的运维安全管控模式，降低人为安全风险，满足合规要求，保证资产所有者的利益。目前国内的基于信创领域的零信任堡垒机研发仍处于起步阶段，有广阔的应用前景，建设基于零信任的堡垒机有利于加快零信任堡垒机走向实际应用。

发明内容

本发明目的在于提供信创领域防御多种人为操作失误与有意攻击的基于零信任堡垒机的安全产品和实现方法，提供一种基于零信任信创堡垒机系统。

本发明采取以下技术方案：一种基于零信任信创堡垒机系统，包括账户认证模块：采用“账户名密码+手机验证码+运维设备网卡MAC地址”综合强认证模块，运维人员身份认证时，同时需要使用验证的运维设备网卡MAC地址，认证通过后才能完成身份的认证工作，对登录用户身份真实性进行验证审核。

行为审计模块：基于运维人员操作行为的还原和内容审计，运维审计会记录登录堡垒机期间的账户名，客户端机器的IP，客户端机器网卡的MAC地址；行为监管模块：定时收集后端服务器的运行的基本性能指标，并把这些性能指标在本地持久化保存，通过比较分析这些信息，获得后端服务器运行状态的变化曲线，同时把报警信息传送给信任评估引擎，重新判断该运维人员的信任等级；信任度评估引擎：根据运维人员操作历史的可靠程度、安全程度的信息评价，通过与行为监管模块的联动，并会对该运维人员的信任度进行动态的调整。

行为审计模块中：运维人员在操作期间，通过账户权限中对应的行为黑白名单库进行实时比较；当运维人员的操作指令存在于白名单中时，该指令通过堡垒机传输到后端服务器执行，服务器再把执行结果传给前端的堡垒机进行展示，白名单不会被审计系统记录；当运维人员的操作指令存在于黑名单中时，该指令会被堡垒机阻止执行，不会传送到后端服务器执行，同时把账户名、客户端机器的IP、客户端机器网卡的MAC地址、目标服务器的IP以及操作指令记录到数据库中，并在页面上弹出警告窗口，提示运维人员不具备执行该指令的权限；当运维人员的操作指令即不存在于黑名单也不存在于白名单中时，称之为灰名单指令，该种指令被传输到后端服务器执行，后端服务器也会把执行结果传回前端的堡垒机进行展示，灰名单指令的执行会触发记录账户名、客户端机器的IP、客户端机器的MAC地址、目标服务器的IP、操作指令以及指令执行结果记录到数据库中，同时把这些信息传输给行为监管模块。

行为审计模块中：黑白名单采用动态调整，行为审计模块会同信任评估引擎进行动态的联动，信任评估引擎会把运维指令分为多个等级，等级越高的操作指令影响系统的安全性越严重；当行为审计模块通过信任度评估引擎发现操作者在一段时间内，没有对系统的稳定运行产生影响，则信任评估引擎会提高操作者的信任度，当信任度达到一定的阈值时，该操作者的信任等级会自动提高到相应的等级；达到更高的信任等级后，行为审计模块中的黑白名单会自动实现动态的调整，增加白名单中的指令，缩减黑名单中的指令；反之，当行为审计模块发现操作者在一段时间内，由于该操作者的执行指令，造成系统的稳定性问题，则会降低操作者的信任度，当信任度低于某个阈值时，该操作者会自动被降低到相应的等级，行为审计模块中的黑白名单会自动实现动态的调整，缩减白名单中的指令，增加黑名单中的指令。

行为监管模块中，行为监管模块通过SNMP协议，定时收集后端服务器的运行的基本性能指标，包括cpu使用情况、内存使用情况以及用户并发数，当行为监管模块发现系统最近一段时间的运行参数低于前段时间的平均值时，会通过与行为审计模块进行联动，找出这段时间内操作的运维人员以及操作的指令，向信任度评估模块发出调整该操作人员信任度的指令，降低该运维人员的信任度；行为监管模块发现某位运维人员在对系统进行一段时间的运维后，通过比较历史系统参数，系统的运行参数优于或与前段时间的平均值持平时，会向信任度评估模块发出调整该操作人员信任度的指令，提高该运维人员的信任度。

系统运行参数优于前段时间，信任度调整的幅度大于系统运行参数与前段时间持平的情况。

信任度评估引擎通过与行为监管模块获得近期信任度动态调整的信息，当信任度达到或低于某等级的阈值时，通过与行为审计模块进行联动，动态调整运维人员的黑白名单指令集，达到自动完成信任度评估和动态审计的目的。

与现有技术相比，本发明具有以下有益效果：

本发明基于“零信任”的方式构建整个系统的安全防护体系，系统中采用基于账户强认证、信任度评估体系以及动态授权等方式，提高堡垒机应用的整体安全性和稳定性，通过信任授权建立应用系统和用户之间的连接，根据身份、属性和动态授权的方式，防止由于账户泄露导致威胁行为事件的发生，进一步防止数据泄露和破坏网络的行为发生，从网络的接入层对登录人员进行访问控制，整体上提升网络的安全性，极大的降低攻击面。

基于零信任的堡垒机解决传统堡垒机和单点登录设备，产生的一次认证终身授权产生的问题，提高了系统的稳定性和安全性，降低了运维成本。为云计算环境中的大规模运维提供了一个可行的解决方案。

附图说明

图1为本发明的建设方法的示意图；

图2为本发明流程示意图。

具体实施方式

下面结合附图对本发明作进一步详细说明。

如图1、2所示，一种基于零信任堡垒机系统，包括：

账户认证模块：是账户身份的一种认证，用于确认登录到堡垒机中的账户的合法性和真实性。传统的账户认证模块一般通过账户名和密码完成账户身份确认的。如果仅采用密码的方式进行身份认证，身份极易被冒用，存在很大的安全隐患。因此，为了保障系统的安全性，采用更安全的强身份认证方式进行保护。通过“密码+手机验证码”的认证方式在一定程度上能够起到防御非法登录的作用，以确保用户身份的真实性。但是并不能保障密码和手机验证码同时被攻击者获得的可能性。在基于零信任堡垒机的账户登录认证模块中，除了采用“密码+手机验证码”的认证方式，还加入运维人员与运维设备绑定的方法。具体实现是运维人员身份认证时，同时需要使用验证的运维设备网卡MAC地址，认证通过后才能完成身份的认证工作。更进一步确保了账户的合法性和真实性。

行为审计模块：基于运维人员操作行为的还原和内容审计，运维审计会记录登录堡垒机期间的账户名，客户端机器的IP，客户端机器网卡的MAC地址，目标服务器的IP，操作指令，以及操作内容等关键审计信息。同时，运维人员在操作期间，会通过账户权限中对应的行为黑白名单库进行实时比较。当运维人员的操作指令存在于白名单中时，该指令通过堡垒机传输到后端服务器执行，服务器再把执行结果传给前端的堡垒机进行展示。白名单不会被审计系统记录。当运维人员的操作指令存在于黑名单中时，该指令会被堡垒机阻止执行，不会传送到后端服务器执行。同时，将把账户名，客户端机器的IP，客户端机器网卡的MAC地址，目标服务器的IP，操作指令记录到数据库中。并在页面上弹出警告窗口，提示运维人员不具备执行该指令的权限。当运维人员的操作指令即不存在于黑名单也不存在于白名单中时，称之为灰名单指令，该种指令也会被堡垒机传输到后端服务器执行，后端服务器也会把执行结果传回前端的堡垒机进行展示，但是灰名单指令的执行会触发记录账户名，客户端机器的IP，客户端机器的MAC地址，目标服务器的IP，操作指令，指令执行结果记录到数据库中。同时会把这些信息传输给行为监管模块。行为审计模块能够对外输出审计报表，便于堡垒机安全审计员查阅与统计。

行为审计模块中的黑白名单采用可以动态调整的一种方式实现，行为审计模块会同信任评估引擎进行动态的联动，信任评估引擎会把运维指令分为多个等级，等级越高的操作指令影响系统的安全性越严重。当行为审计模块通过信任度评估引擎发现操作者在一段时间内，没有对系统的稳定运行产生影响，则信任评估引擎会提高操作者的信任度，当信任度达到一定的阈值时，该操作者的信任等级会自动提高到相应的等级。达到更高的信任等级后，行为审计模块中的黑白名单会自动实现动态的调整，增加白名单中的指令，缩减黑名单中的指令。反之，当行为审计模块发现操作者在一段时间内，由于该操作者的执行指令，造成系统的稳定性问题，则会降低操作者的信任度，当信任度低于某个阈值时，该操作者会自动被降低到相应的等级，行为审计模块中的黑白名单会自动实现动态的调整，缩减白名单中的指令，增加黑名单中的指令。通过这种方式，实现行为审计功能的动态调整。

行为监管模块：行为监管模块是为了确保系统运行稳定，保障服务器所有者的权益不受损失。行为监管模块通过SNMP协议，定时收集后端服务器的运行的基本性能指标，并把这些性能指标在本地持久化保存，以便通过比较分析这些信息，获得后端服务器运行状态的变化曲线。行为监管模块通过行为审计模块传输过来的运维人员执行结果等关键信息。行为监管模块通过收集服务器当前状态信息、状态变化曲线，运维人员执行指令及结果等信息，比对策略和状态库，若发现服务器运行出现不稳定状态，则立即向堡垒机安全管理员进行报警，报警信息中包含运维人员执行指令的关键信息。以便安全管理员查找后端服务器出现不稳定的根源。行为监管模块同时会把报警信息传送给信任评估引擎，重新判断该运维人员的信任等级。行为监管模块能够很好的完成行为的事中审计和事后审计。帮助网络管理员排查错误，优化网络，确保系统的稳定运行。

行为监管模块会记录一段时间的系统运行情况。行为监管模块会通过SNMP（简单网关协议）协议收集上次运维操作到此次运维操作的各项系统的运行指标，包括cpu使用情况、内存使用情况、用户并发数等。通过此次运维期间的运维指标综合平均值（运维指标综合平均值计算公式为：（1-CPU使用率）*100*0.4+（1-内存使用率）*100*0.3+用户并发数*0.3），同历史运维指标综合平均值进行比较，当行为监管模块发现系统最近一段时间的运行参数低于前段时间的平均值时，会通过与行为审计模块进行通信，找出这段时间内操作的运维人员以及操作的指令，当这段时间使用的运维指令属于高威胁的指令时，行为监管模块就会向信任度评估模块发出调整该操作人员信任度的指令，降低该运维人员的信任度。行为监管模块发现某位运维人员在对系统进行一段时间的运维后，通过比较历史运维指标综合平均值，系统的运维指标综合平均值优于或与前段时间的平均值持平时，会向信任度评估模块发出调整该操作人员信任度的指令，提高该运维人员的信任度。系统运行参数优于前段时间，信任度调整的幅度会大于系统运行参数与前段时间持平的情况。

信任度评估引擎：堡垒机会根据运维人员操作历史的可靠程度、安全程度等信息评价，通过与行为监管模块通信，获得提升或降低运维人员的信任度的要求时，对该运维人员的信任度进行动态的调整。调整后的信任度最终会通过与行为审计模块的联动，系统会对信任度高的运维人员动态的调整可执行的指令种类，将一些较高等级的操作指令添加到该运维人员的灰名单指令集中，这些可动态调整的指令一般都是该运维人员权限范围外的指令。当运维人员需要执行他权限之外的黑名单中的指令时，只要该运维人员信任度足够高，系统就会动态的增加这些指令的执行权限，指令执行完成后，系统会迅速收回。当信任度不够高的运维人员需要临时执行某些等级高的指令时，系统不会动态调整可执行指令集，而是通过系统安全管理员手动授权。

通过信任度评估引擎就能够很好的实现动态权限管理功能。信任评价引擎和动态权限管理能够很好的提高运维人员的方便性，同时又不会对后端服务器的安全性产生威胁。解决了传统堡垒机访问控制力度过于粗糙的问题，以及没有运维人员信任级别评估的问题。

访问控制引擎能够实现将后端管理的服务器进行标识，组织、自动登录，账户密码托管。提供唯一的访问接口，这个接口一端是后端的服务器，一端是权限控制模块。该引擎能够自动连接后端管理的服务器，收集服务器的账户名和密码。出于安全考虑，会禁用root账户。并可以实现后端服务器账户密码的托管工作，定期的修改后端服务器的登录密码。运维人员只要具备相应的操作权限，访问控制引擎就会自动连接后端服务器。这样就减少了运维人员记忆后端服务器密码的负担，同时又不会产生密码泄露的问题。保障了后端服务器系统的整体安全性。

本系统按照“一个控制，四层架构”的思路进行整体应用架构设计：

一个控制：即管理配置中心，应用服务器信息录入，以及账户管理、权限管理等。

四层架构：即账户认证管理、动态权限管理、审计和行为监管和资源访问层，分别实现账户认证管理功能，运维人员权限管理管理功能，行为审计和行为监管功能，以及任务执行期间数据通道的资源访问层。

本系统还能够应用于其他领域：

云服务：通过SaaS化的方式提供服务，解决云环境中网络边界模糊的难题，促进网络整体安全性提升。用于大规模应用系统的运维，具有良好的弹性和扩展性。

多种编程语言协作：采用高内聚低耦合的模块原则，考虑到系统对于不同模块之间速率的要求，以及不同编程语言库函数的丰富度的不同，采用多种编程语言实现各个功能模块。利用不用编程语言之间的特点极大缩短编程时长。

扩展性：通过堡垒机集群的方式实现动态可扩展性。

以上所述仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (4)

1.一种基于零信任信创堡垒机系统，其特征在于：包括账户认证模块：采用“账户名密码+手机验证码+运维设备网卡MAC地址”综合强认证模块，运维人员身份认证时，同时需要使用验证的运维设备网卡MAC地址，认证通过后才能完成身份的认证工作，对登录用户身份真实性进行验证审核；

行为审计模块：基于运维人员操作行为的还原和内容审计，运维审计会记录登录堡垒机期间的账户名，客户端机器的IP，客户端机器网卡的MAC地址；

行为审计模块中：黑白名单采用动态调整，行为审计模块会同信任评估引擎进行动态的联动，信任评估引擎会把运维指令分为多个等级，等级越高的操作指令影响系统的安全性越严重；当行为审计模块通过信任度评估引擎发现操作者在一段时间内，没有对系统的稳定运行产生影响，则信任评估引擎会提高操作者的信任度，当信任度达到一定的阈值时，该操作者的信任等级会自动提高到相应的等级；达到更高的信任等级后，行为审计模块中的黑白名单会自动实现动态的调整，增加白名单中的指令，缩减黑名单中的指令；反之，当行为审计模块发现操作者在一段时间内，由于该操作者的执行指令，造成系统的稳定性问题，则会降低操作者的信任度，当信任度低于某个阈值时，该操作者会自动被降低到相应的等级，行为审计模块中的黑白名单会自动实现动态的调整，缩减白名单中的指令，增加黑名单中的指令；

行为监管模块：定时收集后端服务器的运行的基本性能指标，并把这些性能指标在本地持久化保存，通过比较分析这些信息，获得后端服务器运行状态的变化曲线，同时把报警信息传送给信任评估引擎，重新判断该运维人员的信任等级；

行为监管模块中，行为监管模块通过SNMP协议，定时收集后端服务器的运行的基本性能指标，包括cpu使用情况、内存使用情况以及用户并发数，当行为监管模块发现系统最近一段时间的运行参数低于前段时间的平均值时，会通过与行为审计模块进行联动，找出这段时间内操作的运维人员以及操作的指令，向信任度评估模块发出调整该运维人员信任度的指令，降低该运维人员的信任度；行为监管模块发现某位运维人员在对系统进行一段时间的运维后，通过比较历史系统参数，系统的运行参数优于或与前段时间的平均值持平时，会向信任度评估模块发出调整该运维人员信任度的指令，提高该运维人员的信任度；

信任度评估引擎：根据运维人员操作历史的可靠程度、安全程度的信息评价，通过与行为监管模块的联动，并会对该运维人员的信任度进行动态的调整。

2.根据权利要求1所述的基于零信任信创堡垒机系统，其特征在于：所述的行为审计模块中：运维人员在操作期间，通过账户权限中对应的行为黑白名单库进行实时比较；

当运维人员的操作指令存在于白名单中时，该指令通过堡垒机传输到后端服务器执行，服务器再把执行结果传给前端的堡垒机进行展示，白名单中存在操作指令的运维人员不会被审计系统记录；

当运维人员的操作指令存在于黑名单中时，该指令会被堡垒机阻止执行，不会传送到后端服务器执行，同时把账户名、客户端机器的IP、客户端机器网卡的MAC地址、目标服务器的IP以及操作指令记录到数据库中，并在页面上弹出警告窗口，提示运维人员不具备执行该指令的权限；

当运维人员的操作指令即不存在于黑名单也不存在于白名单中时，称之为灰名单指令，该种指令被传输到后端服务器执行，后端服务器也会把执行结果传回前端的堡垒机进行展示，灰名单指令的执行会触发记录账户名、客户端机器的IP、客户端机器的MAC地址、目标服务器的IP、操作指令以及指令执行结果记录到数据库中，同时把这些信息传输给行为监管模块。

3.根据权利要求2所述的基于零信任信创堡垒机系统，其特征在于：所述的行为监管模块中，系统运行参数优于前段时间，信任度调整的幅度大于系统运行参数与前段时间持平的情况。

4.根据权利要求3所述的基于零信任信创堡垒机系统，其特征在于：所述的信任度评估引擎，通过与行为监管模块获得近期信任度动态调整的信息，当信任度达到或低于某等级的阈值时，通过与行为审计模块进行联动，动态调整运维人员的黑白名单指令集，达到自动完成信任度评估和动态审计的目的。