堡壘機適合哪些系統（雲堡壘機和傳統堡壘機對比）

2023-05-26 07:47:23

雲和安全管理服務新鈦雲服徐磊原創

什麼是堡壘機？

堡壘機，也叫做運維安全審計系統，它的核心功能是：

• 帳號管理

• 身份驗證

• 安全審計

• 授權控制

簡單總結一句話：堡壘機是用來控制哪些人可以登錄哪些資產（預先防範和控制），以及記錄登錄資產之後做了什麼操作（事後溯源）。

一個特定的網絡環境下，為了保障網絡和數據不受來自外部和內部用戶的入侵和破壞，而運用各種技術手段監控和記錄運維人員對網絡內的伺服器、網絡設備、安全設備、資料庫等設備的操作行為，以便集中報警、及時處理及審計定責。

堡壘機很多時候也叫運維審計系統，它的核心是可控制和審計。可控是指權限可控、行為可控。權限可控，比如某個工程師要離職或要轉崗了。如果沒有一個統一的權限管理入口，是很難細粒度的做到權限的清空和集成的。行為可控，比如我們需要集中禁用某個危險命令，如果沒有一個統一入口，操作的難度可想而知。

1、傳統無堡壘機運維

傳統無堡壘機的方式，終端連接網絡設備，由防火牆或者三層交換機做路由，進而為終端和伺服器建立連接。所有的訪問控制和策略都基於網絡層進行控制。那麼在應用層面，可以說是直連的，無法做到權限的管控和操作的審計等操作。這是網絡層無法做到的事情。

2、堡壘機運維

在網絡設備和伺服器中間架設堡壘機設備，可以是旁路部署，也可以是串聯部署，具體看實際的使用場景。這種架構下，不僅可以在網絡層實現管控策略，還可以在應用方面進行細粒度的權限管控。比如張三能只讀訪問伺服器

A和伺服器B，讀寫訪問伺服器C；張三在自己終端做的所有的操作都有跡可循；張三在離職之後，直接刪除張三在堡壘機上的帳戶即可，或者權限繼承給其他同事等等。

市面上都有哪些堡壘機？

• 雲堡壘機

• 硬體堡壘機

• SAAS平臺

• 私有化部署

1、雲堡壘機

目前主流的各大雲廠商都有自己的堡壘機，在自己的雲管平臺中以產品的形式提供服務。一般都是收費的。可以更快捷，更高效和簡便地連接自己平臺的雲主機和一些其他類型的資產。對於一些異構和其他環境的主機資產，需要藉助其他協議比如vpn或者雲企業網來納管。或者通過安裝agent和網管的形式。

優勢

• 無需維護成本，升級更新均為雲商操作

• 納管資產匹配雲商平臺資源

• 開箱即用，無需佔用公司資產

• 不存在單點故障，高效、穩定

• 價格高

缺陷

• 本地資產和帳戶密碼託管至雲堡壘機，安全性不高

• 無法實現多雲，跨平臺和跨環境納管資源

• 成本費用較高，多數為按功能模塊計費

• 使用成本較高

• 不同環境的IT基礎設施需要使用anent實現納管

2、硬體堡壘機

在早期時候，人們對於IT安全意識有足夠的前瞻性，屆時一些安全堡壘機的廠商就橫空出世了。早期沒有所謂的SAAS和雲堡壘機的概念，都是把軟體集成到硬體設備裡去，這個硬體設備其實就是一個小型的伺服器，在此之上承載著堡壘機軟體。

國內有一些比較老牌的很多的堡壘機廠商，幫助一些企業建設堡壘機架構，通過硬體接入進企業的IT基礎架構中去。員工通過訪問內部堡壘機平臺的方式登錄伺服器進行運維操作。

優勢

• 部署於企業內網，安全性較高

• 版本較穩定，非必要不會升級版本和暫停服務

缺陷

• 存在單點故障，一般堡壘機在架構上無高可用

• 版本升級不便捷，硬體堡壘機升級需要廠商上門更新

• 使用時間長了，硬體設施老化，遷移部署不方便

• 資產量達到一定數量之後，無法橫向拓展納管

3、SAAS堡壘機

還有一些廠商，直接把服務作為平臺化，對外提供服務。一個公司視為一個租戶帳號，面向的客戶企業都集中使用對外開放的堡壘機平臺。用戶申請自己的租戶帳號，添加錄入公司的信息資產。對於公司層面，申請了硬體的基礎設施費用和維護費用。不用考慮單點故障和升級遷移等問題，但是存在的隱患也是有的。比如資產信息外洩，帳戶口令託管於SAAS平臺。

優勢

• 無需維護成本，升級更新均為廠商操作

• 可納管多環境異構IT基礎設施，覆蓋面廣

• 開箱即用，無需佔用公司資產

• 不存在單點故障，高效、穩定

缺陷

• 公司資產信息和涉密口令信息託管於平臺

• 無私有化的定製服務

• 使用公網訪問，在安全方面得不到有效的保障

4、私有雲部署堡壘機