网神SecFox运维安全管理与审计系统产品技术白皮书

　 网神 SecFox 运维安全管理与审计系统

　产品技术白皮书

　2018 年 3 月 360 企业安全集团

　 目录 一、

　概

　述 ............................................................................................................................................... 4 二、

　应用背景 ......................................................................................................................................... 4 2.1

　风险分析 ......................................................................................................................................... 4 1 用户身份难以定位 2 运维操作缺乏审计 4 3 权限管理粗放混乱 4 运维工作效率低下 5 资源访问缺乏控制 2.1.6 法规遵从面临压力 .................................................................................................................... 5 2.2

　设计理念 ......................................................................................................................................... 5 三、

　解决之道 ......................................................................................................................................... 6 3.1

　目标 ................................................................................................................................................. 6 3.2

　应用场景 ......................................................................................................................................... 7 1 管理员定制访问策略 7 3.2.2 运维员访问目标资源 ............................................................................................................... 8 3.3

　系统介绍 ....................................................................................................................................... 10 四、

　产品特性 ....................................................................................................................................... 10 4.1

　支持微信小程序、手机短信等多因子认证 ............................................................................... 10 4.2

　云上资产，一键同步 ................................................................................................................... 11 4.3

　多 人加入会话，实现协同合作、远程办公 ............................................................................... 11 4.4

　灵活的操作告警，覆盖所有操作事件 ....................................................................................... 11 4.5

　多维度的资源访问控制 ............................................................................................................... 11 4.6

　文件传输、 RDP

　剪切板审计，数据窃取无处藏身 .................................................................... 12 4.7

　核心资产、双人授权，运维安全无死角 ................................................................................... 12 五、

　产品功能 ....................................................................................................................................... 12 5.1

　身份管理 ....................................................................................................................................... 12 5.2

　角色分权 ....................................................................................................................................... 13 5.3

　集中管控 ....................................................................................................................................... 13 5.4

　资源改密 ....................................................................................................................................... 13 5.5

　资源访问 ....................................................................................................................................... 13 5.6

　H5

　运维 .......................................................................................................................................... 14 5.7

　全程审计 ....................................................................................................................................... 14 5.8

　命令控制 ....................................................................................................................................... 14 5.9

　工单申请 ....................................................................................................................................... 14

　5.10

　会话协同 ................................................................................................................................... 14 5.11

　双人授权 ................................................................................................................................... 15 5.12

　报表分析 ................................................................................................................................... 15 六、

　部署方案 ....................................................................................................................................... 15 6.1

　单机部署 ....................................................................................................................................... 16 6.2

　HA

　部署 .......................................................................................................................................... 16 6.3

　集群部署 ....................................................................................................................................... 17

　一、

　概

　述

　随着信息化的发展，政府部门、企事业单位、金融机构等组织的信息系统不 断发展，对信息系统的依赖程度也日益增强。信息系统的发展伴随网络规模迅速 扩大、设备数量快速增长，组织机构建设信息系统的重点已经从网络平台建设， 转向深化应用、提升效益的阶段。同时，运维行业经历了初始、专业化、工具化、 平台化、云化和智能化过程，从手动运维阶段过渡到规模化阶段，再到现在正往 云化智能化阶段的趋势发展，运维与安全正逐渐走向融合。

　信息系统的安全运行直接关系企业效益，构建一个强健的信息运维安全管理 体系对企业信息化的发展至关重要，同时对运维的安全性也提出了更高要求。

　 二、

　应用背景

　2.1

　风险分析

　 2.1.1 用户身份难以定位

　在同一团队当中，由于工作需要，经常存在多用户共享同一账号的情况。对 管理者来说无法确定是谁在操作、是谁做了操作等问题。不仅在发生安全事故的 时候难以定位从账号的实际使用者和责任人，而且无法对从账号的使用范围进行 有效控制，存在较大的安全隐患。

　2.1.2 运维操作缺乏审计

　在运维工作中，每天都有不同的人在操作和维护主机，无法得知运维人员在 资源中具体做了什么操作、是否有违规和误操作。即便有基础的审计，大多也是 通过网络设备、操作系统的系统日志进行监控审计。由于各系统自身审计日志分 散、内容粒度深浅不一，因此，难以通过系统自身审计及时发现违规操作行为， 并进行追查取证，更加无法实时监控外部人员的操作过程。

　2.1.3 权限管理粗放混乱

　大多数组织机构的信息系统运维均采用设备、操作系统自身的授权系统，授 权功能分散在各设备和系统之中。管理员的权限大多是粗放式管理，由于缺少统 一的访问授权策略，授 权粒度粗，无法基于最小权限分配原则管理用户权限， 难以与业务管理要求相协调。因此， 出现运维人员权限过大、内部操作权限滥 用等诸多问题，如果不及时解决，信息系统的安全 性难以充分保证。

　2.1.4 运维工作效率低下

　一个运维人员使用多个从账号是较为普遍的情况，用户需要记忆多套密码、 在多台主机系统、网络设备之间进行切换。由于既要保障密码的复杂度，又要密 码的管理和修改将会给管理员成为一个难题。如果设备数量达到几十甚至上百台 时，那么运维人员进行一项简单的配置工作，就需要分别逐一登录相关设备，其 工作量和复杂度成倍增加，直接导致的后果是工作效率低下、管理繁琐甚至出现 误操作，影响系统正常运行。

　2.1.5 资源访问缺乏控制

　运维人员可能会因为误操作造成数据丢失、业务故障等问题，黑客也可能远 程进入主机之后进行恶意的数据窃取、数据篡改等。如果想要做精确控制，需要 管理人员在很多主机中做各种精细化的策略才有可能控制有意或无意的操作行 为。

　2.1.6 法规遵从面临压力

　为加强信息系统风险管理，政府、金融、运营商等陆续发布信息系统管理规 范和要求，例如“信息系统等级保护”、“商业银行信息科技风险管理指引”、“企 业内部控制基本规范”等均要求采取信息系统风险内控与审计，但组织机构自身 确没有有效的技术手段。

　2.2

　设计理念

　 网神 SecFox 运维安全管理与审计系统产品的设计理念如图 1-1 所示，通过

　逻辑上将用户与目标设备分离，建立“用户->主账户(堡垒机用户账户)->访问控 制策略->从账户(目标设备账户)->目标设备”的管理模式。在此模式下，通过基 于唯一身份标识的用户账户管理与访问控制策略，精细化的角色权限控制，与各 服务器、网络设备、安全设备、数据库等无缝连接，实现集中精细化运维操作管 理与审计。

　 图 1

　核心理念

　 三、

　解决之道

　3.1

　目标

　 网神 SecFox 运维安全管理与审计系统是 360 企业安全在多年运维安全管理 的理论和实践经验积累的基础上，结合各类法律法规对运维审计的要求，采用 B/S 架构，集“身份认证(Authentication) 、 账户管理(Account)、权限控制 (Authorization)、运维审计(Audit)”于一体，支持多种字符协议、图形协议、文件 传输协议、远程应用协议的运维与审计，具备全方位运维风险控制能力的统一运 维管理与审计产品。

　网神 SecFox 运维安全管理与审计系统提供一套先进的运维安全管控与审计 解决方案，目标是帮助企业转变传统安全运维被动响应的模式，建立面向用户的

　智能化运维安全管控模式，降低人为安全风险，满足合规要求，同时提高人员利 用率加快创造价值。

　3.2

　应用场景

　 3.2.1 管理员定制访问策略

　定制访问控制策略的流程如图所示：

　1.

　 添加资源 图 2 定制访问控制策略 管理员添加需要管理的资源。资源包括服务器、网络设备、数据库等对象， 支持编辑相关设备信息包括系统类型、所属部门、资源名称、资源地址、协议类 型、应用程序等。

　2. 添加从账户 管理员添加与资源对应的从账户（资源账户），包括账户名、密码等，从账 户支持自动、手动、半自动登录方式，并且能够由普通账户切换到特权账户，同 时密码可由网神 SecFox 运维安全管理与审计系统定期自动更新。

　3.

　 添加主账户 管理员添加主账户（用户账户），主账户是登录网神 SecFox 运维安全管理与 审计系统，获取目标设备访问权的唯一账户，与实际用户身份一一对应，每个用

　户一个主账户，每个主账号只属于一个用户。

　4. 创建访问控制策略 管理员建立基于“时间+主账户+资源+从账户+权限”等要素的关联策略。

　5.

　 行为全程审计 网神 SecFox 运维安全管理与审计系统自动记录管理员的资源管理、用户管 理和策略管理等所有行为日志，以便审计员监控和审计。

　 3.2.2 运维员访问目标资源

　用户访问资源的流程如图所示：

　1.

　 登录请求 图 3 访问目标资源 用户在终端通过 HTTPS 或第三方客户端工具登录网神 SecFox 运维安全管 理与审计系统，输入主账号和密码，发起访问请求。

　2.

　 登录认证 网神 SecFox 运维安全管理与审计系统的认证模块对用户的认证请求进行鉴 别。

　3.

　 检查主账号访问权限 认证成功之后，网神 SecFox 运维安全管理与审计系统的权限管理模块通过 分析主账号属性(包括可访问的目标设备、访问权限、从账号、协议类型、应用 等)，确定主账号可访问的所有资源。

　4.

　 显示可访问资源 直观展现出主账号可访问的所有目标设备。

　5. 访问目标资源 用户选择需要访问的目标资源，进行操作维护。如果有违反访问控制策略或 命令控制策略的行为，基于策略将自动记录、拒绝执行，并且通过多种方式（系 统消息、短信、邮件）给管理员发送告警。

　6.

　 返回访问结果 将用户访问目标资源的所有操作和执行结果返回到网神 SecFox 运维安全管 理与审计系统。

　7.

　 用户访问行为全程审计 网神 SecFox 运维安全管理与审计系统全程审计用户“登录系统->访问资源和 操作->退出系统”的所有行为。

　2.3

　产品价值 网神 SecFox 运维安全管理与审计系统为企业带来的价值主要体现在：

　 管理效益 

　所有主账号和从账户在一个平台上进行管理，账号管理更加简单有序； 

　通过建立用户与主账号的唯一对应关系，确保用户拥有的权限是完成任 务所需的最小权限； 

　可视化运维行为监控，及时预警发现违规操作。

　  用户效益 

　运维人员只需记忆一个账号和密码，一次登录，便可实现对其所维护的 多台资源的访问； 

　无需频发地输入 IP 地址和账户密码，提高工作效率，降低工作复杂度； 

　资源运维批量处理、批量操作。

　  企业效益 

　降低人为安全风险，避免安全损失； 

　满足合规要求，保障企业效益。

　3.3

　系统介绍

　 网神 SecFox 运维安全管理与审计系统主要有三大功能：

　 集中账号管理 建立基于唯一身份标识的全局用户账户管理，支持统一账号管理策略，实现 与各服务器、网络设备、安全设备、数据库服务器等无缝连接。

　 集中访问控制 通过访问控制策略和命令控制策略，基于最小权限原则，实现集中有序的运 维操作管控，让正确的人做正确的事。

　 集中安全审计 基于唯一身份标识，通过对用户从登录到退出的全程操作行为进行审计，监 控用户对目标资源的所有敏感操作，聚焦关键事件，实现对安全事件的实时发现 与预警。

　 四、

　产品特性

　4.1

　支持微信小程序、手机短信等多因子认证

　 网神 SecFox 运维安全管理与审计系统主账号是获取目标资源访问权限的唯 一账号，为了提高来源身份的可靠性，防止身份冒用，网神 SecFox 运维安全管 理与审计系统可以通过微信小程序手机令牌、手机短信等多因子认证方式，将主 帐号与实际用户身份一一对应，确保行为审计的一致性，从而准确定为事故责任 人，弥补传统网络安全审计产品无法准确定位用户身份的缺陷。

　手机令牌通过小程序实现。无需安装 APP，通过微信就能使用，方便快捷。

　4.2

　云上资产，一键同步 网神 SecFox 运维安全管理与审计系统能够支持一键同步阿里云、百度云、 华为云、腾讯云和 UCloud 等云平台的主机资源。当企业有云上的资源时，只需 管理员到对应的云平台获取相应的 Key，网神 SecFox 运维安全管理与审计系统就 可以通过导入云主机功能，将企业的云上资源一键同步到网神 SecFox 运维安全 管理与审计系统当中。并且无需任何定制开发，在零附加成本的基础之上，轻松 将云上的资源同步到网神 SecFox 运维安全管理与审计系统当中。

　 4.3

　多人加入会话，实现协同合作、远程办公

　 网神 SecFox 运维安全管理与审计系统除了给企业提供一个远程桌面/终端， 还提供了会话协同这种运维增强功能。可以会话协同功能，来实现协同会诊、远 程办公、远程授课等场景。会话协同的多人之间能够实时分享会话桌面，并自由 切换操作控制权。

　 4.4

　灵活的操作告警，覆盖所有操作事件

　 网神 SecFox 运维安全管理与审计系统通过灵活的操作告警配置，将系统操 作行为集中可视化管控，告警覆盖所有系统操作事件，针对每一个事件可进行高 级等级的配置（支持高、中、低三级），每一类事件的不同等级，又可以灵活的 配置其告警方式，降低管理复杂度，快速发现和处置违规事件。

　 4.5

　多维度的资源访问控制

　 通过集中统一的访问控制策略和细粒度的命令控制策略，确保用户拥有的权 限是完成任务所需的最小权限。系统支持创建基于时间、IP、用户/用户组、账 户/账户组、运维权限、操作命令、执行等元素的组合条件，授权用户可访问的 目标资源、定义危险操作管控策略。当用户越权执行特定命令的时候，实时进行 阻断、告警，确保信息系统安全运行。

　4.6

　文件传输、 RDP

　剪切板审计，数据窃取无处藏身

　 网神 SecFox 运维安全管理与审计系统不仅实现了对所有操作会话的实时监 控、实时阻断、会话回放、起止时间、来源用户、来源 IP、模板资源、协议/应 用类型、命令记录、操作内容(如对文件的上传、下载、删除、修改等操作等)等 行为记录。还实现了对文件传输、RDP 剪切板操作的完整审计，为上传恶意文件、 拖库、窃取数据等危险行为起到了查询依据。

　 4.7

　核心资产、双人授权，运维安全无死角

　 网神 SecFox 运维安全管理与审计系统支持双人授权（金库模式），运维人员 访问核心要求有两人认证通过方可执行，最大化地降低运维风险，保障运维安全。

　运维人员尝试登录核心资源时，需要先选择授权人进行现场授权，授权人同意此 次登录请求，则需要输入自己的登录密码，验证通过之后，运维人员方可成功访 问资源。

　五、

　产品功能

　网神 SecFox 运维安全管理与审计系统提供了丰富、全面的管控功能，帮助 企业解决运维过程不透明、责任认定难、管理不规范、权限混乱、控制力度不足、 审计不全面等难题，同时统一管理企业信息系统资源。

　5.1

　身份管理

　 网神 SecFox 运维安全管理与审计系统主账号通过本地认证、AD 认证、RADIUS 认证等多种认证方式，将主帐号与实际用户身份一一对应，确保行为审计的一致 性，从而准确定为事故责任人，弥补传统网络安全审计产品无法准确定位用户身 份的缺陷。

　5.2

　角色分权

　 支持多种用户角色：超级管理员、部门管理员、策略管理员、审计管理员、 运维员。每种用户角色的权限都各不相同。如果所示，网神 SecFox 运维安全管 理与审计系统同时支持超级管理员自定义角色，满足企业的复杂运维场景，为用 设立不同的角色提供了选择。

　 5.3

　集中管控

　 通过集中的访问控制策略定制，帮助企业梳理用户与资源的关系，并且提供 一对一、一对多、多对一、多对多的灵活授权模式。网神 SecFox 运维安全管理 与审计系统提供的访问控制策略，实现的不仅仅是将资源授权给用户，更实现了 功能权限的精细化控制，最大程度地降低越权操作的可能。

　 5.4

　资源改密

　 在传统的运维模式下，管理员需要定期手动修改资源账户的密码，同时维护 起来也比较繁琐。通过网神 SecFox 运维安全管理与审计系统提供的改密策略， 实现自动化的改密，并且将执行结果通过改密日志的形式记录，让管理员掌握资 源的改密动态。

　 5.5

　资源访问

　 网神 SecFox 运维安全管理与审计系统支持托管主机、应用的账户和密码， 运维人员直接点击<登录>按钮即可成功自动登录到目标资源进行运维操作，无需 输入主机的账户和密码。同时，网神 SecFox 运维安全管理与审计系统支持批量 登录功能，通过批量登录，运维人员可以在一个页面上批量打开多台资源（支持 不同协议类型），方便运维人员在操作时进行不同资源的切换。

　5.6

　H5

　运维

　 网神 SecFox 运维安全管理与审计系统提供 H5 运维访问方式，无需安装任何 客户端，在 Windows、Mac、Linux 等操作系统上只要通过一款主流的浏览器， 就能实现对资源的访问和操作，让运维人员脱离运维工具和操作系统束缚，是真 正意义上的云堡垒机。

　5.7

　全程审计

　 运维人员登录到网神 SecFox 运维安全管理与审计系统之后，所有的操作就 都在网神 SecFox 运维安全管理与审计系统的管控之下，并且对所有的操作都进 行了详细记录。针对会话的审计日志，还可以支持在线查看、在线播放和离线下 载的形式。

　5.8

　命令控制

　 网神 SecFox 运维安全管理与审计系统提供了集中的命令控制策略功能，实 现基于不同的主机、不同的用户设置不同的命令控制策略，策略提供断开连接、 拒绝执行、动态授权和允许执行等四种执行动作，根据命令的危险程度和资源的 重要程度去设置命令的执行动作。

　5.9

　工单申请

　 运维人员向管理员申请需要访问的设备，申请时可以选择资源账户、运维有 效期、申请备注等信息，并且工单以多种方式通知管理员。当需要使用的功能权 限（例如文件管理、RDP 剪切板等）由于策略的限制无法使用时，运维人员也可 以对功能权限做申请。管理员对工单进行审核之后，如果批准，那么运维人员就 拥有了临时的访问权限。

　5.10

　会话协同

　 网神 SecFox 运维安全管理与审计系统支持在运维时，要求其他用户加入自 己的会话，进行协调操作，当新人操作不熟练时，通过会话协同能够邀请其他的

　用户协助自己进行操作。控制权在不同的用户之间能够进行灵活的切换。

　5.11

　双人授权

　 为降低高权限账号被滥用引起违规操作的风险，借鉴银行金库管理中开关库 房必须由两名管库员在场共同进行的方式，以多人制衡的手段对高权限的使用进 行监督和控制。网神 SecFox 运维安全管理与审计系统通过双人授权，让运维人 员在访问核心资源时，必须要通过管理员的现场审批，通过双人授权有效遏制权 限滥用的情况，降低安全事件发生的风险。

　5.12

　报表分析

　 网神 SecFox 运维安全管理与审计系统预置了多种分析报表，能够全方位地 分析系统操作、资源运维的情况，让管理员迅速了解系统的现状，快速分析系统 操作和资源运维的情况，及时阻止安全事件的发生。报表支持自动发送，支持以 天、周、月为粒度发送报表，随时掌握系统信息。

　六、

　部署方案

　网神 SecFox 运维安全管理与审计系统采用“物理旁路、逻辑串联”的网络 部署模式，不改变网络拓扑结构，不需要在终端安装客户端软件，不改变管理员、 运维人员的操作习惯，不影响正常业务系统运行，通过网络访问控制系统的配合， 让网神 SecFox 运维安全管理与审计系统成为唯一入口，确保“终端至网神 SecFox 运维安全管理与审计系统的管理端口可达、网神 SecFox 运维安全管理与审计系 统与目标资源的运维协议可达”。

　网神 SecFox 运维安全管理与审计系统支持多种部署模式，以满足客户的网 络环境要求：

　单机部署：满足一般场景要求，节约企业成本 HA 部署：为提高网神 SecFox 运维安全管理与审计系统的高可用性，可采用 HA 部署方式 集群部署：针对大型项目，单机已经无法满足超高并发的访问，可以采用分

　布式集群部署的方案，将服务分发到各个节点上，提高吞吐率

　 6.1

　单机部署

　 网神 SecFox 运维安全管理与审计系统单机部署如图所示：

　 图 4 单机部署

　部署说明：

　运维人员统一登录网神 SecFox 运维安全管理与审计系统，再进行资源的访 问 自动备份审计数据 自动备份系统配置

　 6.2

　HA

　部署

　 网神 SecFox 运维安全管理与审计系统 HA 部署如图所示：

　 图 5HA 部署

　部署说明：

　对外提供一个浮动虚拟 IP，由这个 IP 提供服务 主节点和备节点之间数据同步 当主节点出现故障之后，备节点自动接管服务

　 6.3

　集群部署

　 网神 SecFox 运维安全管理与审计系统集群部署如图所示：

　 图 6 集群部署

　部署说明：

　负载均衡，统一管理 大规模处理能力

　智能 DNS 解析

推荐访问:白皮书 安全管理 审计