運(yùn)維安全事故里最致命的一類往往不是外部黑客而是內(nèi)部特權(quán)賬號失控共享 root 口令、口令寫在 Excel 里、離職員工口令不回收、操作無審計(jì)……一旦出事溯源都溯不到人。堡壘機(jī)運(yùn)維安全審計(jì)系統(tǒng)本是解決這個(gè)問題的標(biāo)準(zhǔn)答案但如果堡壘機(jī)自己還用用戶名口令單因子登錄那它反而成了新的單點(diǎn)風(fēng)險(xiǎn)。本文講清楚一件事把安當(dāng) ASP 統(tǒng)一身份認(rèn)證平臺與堡壘機(jī)對接用雙因素認(rèn)證 口令托管不落地 會話審計(jì)三件套把運(yùn)維賬號風(fēng)險(xiǎn)徹底收緊。內(nèi)容覆蓋 RADIUS 協(xié)議對接、特權(quán)賬號管理PAM、口令代填、命令級審計(jì)適合運(yùn)維、安全、等保整改同學(xué)直接照做。一、運(yùn)維賬號的三類典型翻車現(xiàn)場在沒做統(tǒng)一身份治理前堡壘機(jī)場景常見三類問題共享賬號 / 弱口令多個(gè)人共用一個(gè)root或admin口令還是Admin123爆破一碰就碎?？诹蠲魑纳⒙鋽?shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、服務(wù)器的口令記在運(yùn)維人員的記事本/Excel離職即泄露。操作不可審計(jì)誰在什么時(shí)候做了什么說不清出了刪庫、拖庫事故日志里只有admin一個(gè)名字。等保2.0 三級里身份鑒別“訪問控制”安全審計(jì)三條幾乎條條在盯運(yùn)維賬號。單因子的堡壘機(jī)登錄過測評時(shí)基本會被要求整改。二、整體方案ASP 做身份底座堡壘機(jī)做操作代理正確的分工是身份鑒別交給統(tǒng)一身份認(rèn)證平臺操作代理與審計(jì)交給堡壘機(jī)。ASP 負(fù)責(zé)你是誰、你是不是本人堡壘機(jī)負(fù)責(zé)你能進(jìn)哪臺機(jī)器、你做了什么。對接架構(gòu)如下運(yùn)維人員 ──(賬號OTP/硬件Key 雙因素)── ASP 統(tǒng)一身份認(rèn)證平臺 │ (RADIUS / API / 代填) ▼ 堡壘機(jī) ──(托管口令自動登錄)── 目標(biāo)服務(wù)器/網(wǎng)絡(luò)設(shè)備 │ └── 會話錄像 命令審計(jì) ── Syslog/SIEM關(guān)鍵點(diǎn)在于運(yùn)維人員不再直接接觸目標(biāo)系統(tǒng)的真實(shí)口令口令由 ASP及其密碼管理器 SYP統(tǒng)一托管、按需下發(fā)、用完即輪換。三、第一步堡壘機(jī)登錄加雙因素RADIUS 對接ASP 內(nèi)置標(biāo)準(zhǔn) RADIUS 認(rèn)證服務(wù)器支持 RFC 2865 / RFC 2866可直接對接主流堡壘機(jī)。流程是堡壘機(jī)把認(rèn)證請求轉(zhuǎn)發(fā)到 ASP 的 RADIUS 服務(wù)用戶先過賬號口令這一關(guān)觸發(fā)第二因子——OTP 動態(tài)口令安當(dāng)令牌/谷歌認(rèn)證器/微信小程序或 USBKey 硬件令牌雙因子都過才允許進(jìn)入堡壘機(jī)。這樣堡壘機(jī)自身就具備了雙因素認(rèn)證能力滿足等保兩種及以上鑒別技術(shù)的硬性要求。對已經(jīng)用了華為、華三、深信服等網(wǎng)絡(luò)/安全設(shè)備的環(huán)境ASP 的 RADIUS 還能順手把 VPN、防火墻、交換機(jī)一起納入統(tǒng)一雙因素運(yùn)維入口徹底收斂。實(shí)施提示RADIUS 支持用戶密碼認(rèn)證和OTP 挑戰(zhàn)響應(yīng)兩種模式老設(shè)備用密碼模式新設(shè)備用挑戰(zhàn)響應(yīng)模式遷移平滑。四、第二步口令托管不落地SYP 密碼管理器雙因素解決了登錄堡壘機(jī)的身份問題但堡壘機(jī)登錄目標(biāo)機(jī)的口令還在人手里風(fēng)險(xiǎn)沒根除。ASP 的密碼管理器SYPSecure Your Password把這一步也收口集中托管數(shù)據(jù)庫、服務(wù)器、網(wǎng)絡(luò)設(shè)備的賬號憑據(jù)在 SYP 中加密存儲運(yùn)維人員看不到明文自動代填堡壘機(jī)或?yàn)g覽器插件攔截登錄頁向 ASP 申請解密后的憑據(jù)并模擬輸入用戶全程看不到真實(shí)口令定期輪換管理員可集中托管和輪換目標(biāo)系統(tǒng)的密碼及離線 OTP口令到期自動改密杜絕長期不變最小授權(quán)按角色授權(quán)誰能使用哪個(gè)憑據(jù)離職/調(diào)崗一鍵回收。這意味著即使運(yùn)維筆記本丟了、或者賬號被盜攻擊者也拿不到任何真實(shí)口令——口令根本沒在人的手上落地過。五、第三步會話審計(jì) 命令級管控光管住口令還不夠得知道進(jìn)了機(jī)器之后干了什么。ASP 與堡壘機(jī)協(xié)同把審計(jì)做滿會話錄像運(yùn)維會話全程錄像操作可回放溯源命令審計(jì)高危命令如rm -rf、drop table、批量update可攔截或?qū)徟髨?zhí)行行為日志記錄操作人、時(shí)間、資源、設(shè)備、結(jié)果支持 Syslog 推送至外部 SIEM異常告警異地登錄、非常規(guī)時(shí)間操作、批量操作實(shí)時(shí)告警。這直接覆蓋了等保2.0 三級安全審計(jì)條款——審計(jì)記錄包含必要信息、審計(jì)進(jìn)程受保護(hù)、審計(jì)記錄可長期保存與溯源。六、落地五步法可直接照抄盤點(diǎn)特權(quán)賬號列出所有服務(wù)器、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備的 root/admin 類賬號登記到 ASP 用戶目錄清理共享賬號。部署 ASP 對接堡壘機(jī)啟用 RADIUS 認(rèn)證服務(wù)堡壘機(jī)把主認(rèn)證指向 ASP高敏系統(tǒng)疊加硬件 Key/生物識別。接管口令到 SYP把目標(biāo)系統(tǒng)口令遷移進(jìn)密碼管理器開啟自動代填與定期輪換停止人工分發(fā)口令。配置審計(jì)策略開啟會話錄像、命令審計(jì)、Syslog 外發(fā)按合規(guī)要求設(shè)定日志留存周期。常態(tài)化運(yùn)營用可視化數(shù)據(jù)看板監(jiān)控登錄次數(shù)、異常行為入離調(diào)轉(zhuǎn)通過賬號生命周期管理自動開通/回收權(quán)限。七、這套方案解決的不只是合規(guī)防內(nèi)部作惡口令不落地 操作全審計(jì)內(nèi)部人員無法無痕操作防外部拖庫即使堡壘機(jī)入口被攻破沒有第二因子也進(jìn)不來真實(shí)口令從不暴露拖庫無從下手過等保更穩(wěn)身份鑒別、訪問控制、安全審計(jì)三條一次補(bǔ)齊降本提效賬號運(yùn)維效率提升約 80%權(quán)限分配錯(cuò)誤率趨近于零客戶實(shí)測數(shù)據(jù)。八、小結(jié)堡壘機(jī)不是終點(diǎn)雙因素認(rèn)證 口令托管不落地 會話審計(jì)三件套才是運(yùn)維安全的完整閉環(huán)。把統(tǒng)一身份認(rèn)證平臺作為身份底座用 RADIUS 對接堡壘機(jī)、用密碼管理器托管憑據(jù)、用統(tǒng)一審計(jì)覆蓋操作既能堵住內(nèi)部特權(quán)賬號這顆不定時(shí)炸彈又能順帶過等保2.0 三級。對正在做運(yùn)維安全加固或等保整改的團(tuán)隊(duì)建議把堡壘機(jī) ASP作為標(biāo)準(zhǔn)組合——這是投入最小、覆蓋最全的一條路。本文基于安當(dāng) ASP 身份認(rèn)證服務(wù)平臺技術(shù)白皮書 V4.0 整理涵蓋 RADIUS 認(rèn)證、SYP 密碼管理、統(tǒng)一審計(jì)等能力。