堡垒机

思科前员工非法入侵和破坏云基础设施，造成公司重大损失 美国当地时间2020年8月26日，思科前员工 Sudhish Kasaba Ramesh在圣何塞联邦法院认罪，承认自己非法入侵思科公司的云基础设施，执行恶意指令，破坏了大量云资源。 调查人员发现，Ramesh 在未经许可的情况下，擅自访问思科托管在 Amazon Web Services 的云基础设施，并通过部署和执行恶意代码，导致456个 WebEx Teams 应用程序的虚拟机被删除。 由于 Ramesh 的恶意行为，超过16,000个 WebEx Teams 帐户被关闭长达两周，导致思科花费约价值1,400,000美元的员工时间来恢复应用程序，并向受影响的客户退款超过1,000,000美元，给思科公司造成了极其恶劣的影响和无法挽回的损失。 云计算给企业带来了发展机遇，企业面临云运维的安全挑战 随着云计算产业的发展，企业利用云计算、上云已成事实，根据IDC和Gartner的统计，2020年中国云市场增速巨大，市场规模增长率超过近45%，预计到2021年中国云市场将达到100亿。但是，企业一方面在充分利用云计算带来的敏捷性，创造更大价值的同时，另一方面不得不面临着如何保障云运维安全的巨大挑战。 近期，市场调研机构Ovum Research发布了一份关于亚太地区大型企业云安全现状的报告，报告中指出，这些大型企业并未做好应对云运维安全问题的准备，诸如：数据泄露无孔不入，云管理问题层出不穷，未知的漏洞隐患，模糊的安全边界，不必要的端口暴露、不规范的云资源授权体系、缺乏统一的云资源管控平台等等。报告同时显示，在中国，有78%的安全决策者认为，仅靠云服务商提供的安全工具，是不足以保护其免受云安全问题伤害的。 云运维是企业高效利用云资源重要保障，但在技术发展日新月异的今天，云运维面临着严峻的安全形势。此次思科前员工对企业云资源的破坏，以及之前出现的各类“删库跑路”事件，都充分的说明，云运维安全对于企业是何等的重要，如何解决云运维过程中的安全问题，保障企业核心业务的正常运作，是十分必要和重要的。 对此，记者采访了国内专注于云运维领域的企业级知名品牌行云管家（由深圳市行云绽放科技有限公司出品）CEO张勇先生，他指出，大部分企业对云运维安全的认知并不全面，事实上，如果完全依靠云服务商提供的解决方案，企业云运维安全问题并不能得到有效的解决。 如何应对云运维过程中的风险和问题，保障云资源安全？ 张勇认为，从整个云市场的发展及需求层面上看，尤其是对于政企、中大型企业用户而言，包含多云、混合云的云计算架构已经成为企业IT基础设施的常态。对于大多数企业用户来讲，如果没有专业、强大、统一的云运维安全解决方案，而仅仅依靠各个云服务商提供的安全工具，实际上是不足以应对企业在云运维过程中所面临的安全风险的，甚至会导致企业安全管理复杂化，而复杂化意味着企业云安全管理很难做到及时的响应和处理。 张勇向记者表示，对于企业来说，使用云计算的根本目的是提升运营效率、降低成本、强化自身业务创新能力。而通过行云管家，可为企业带来更统一的云基础设施保障、更强大的云资源风险承受能力、更经济的云成本消费结构和更安全的核心数据资产保护。行云管家致力于为企业打造领先的云计算管理平台，全面保障企业在云计算环境（包括多云、混合云、局域网等异构环境）下，对云资源的统一管理，并与云服务商解耦，帮助政务云、大型企业等云用户实现云资源集中安全监管，降低信息化建设成本。 行云管家：企业级云运维安全解决方案 据悉，作为国内领先的云计算管理品牌，行云管家提供了企业级云运维安全的全面解决方案，旗下拥有的云管平台、云堡垒机、数据库运维审计等系列产品，提供了主机监控、自动化运维、云成本分析、主机安全体检等众多云资源管理功能特性，支持企业多云、混合云等异构IT资源，全面符合等保2.0的新要求，已服务于阿里云、华为云、腾讯云、百度云、京东云、AWS、Azure、青云、UCloud等主流云产商的超过八万家的企业用户，产品经过四年时间的打磨、迭代，已经成为国内用户体验最佳、客户口碑最好的企业级云计算管理品牌，从而帮助企业在云时代更有效的保障云资源安全、更好的进行数字化转型、实现更多的商业价值。

随着互联网和云计算的发展及企业业务创新的需要，企业的IT资产越来越多，参与运维的岗位也越来越多样，当IT资产和运维团队达到一定规模时，对IT资产的日常管理和运维过程都会变得复杂且混乱。由此，海量资产的运维成为了企业急需解决的问题。 本文将通过一个具体的实例，介绍面对海量资产运维的行云管家应对之道。 案例介绍： 某知名银行的金融科技公司，下设架构部、基础运维组以及100多个FT项目组，架构部与基础运维组合合计20多人，100多个FT项目组共有800多人。其中，架构部与基础运维组负责云计算IaaS的选型与基础运维，FT项目组负责具体IT业务系统的研发工作，如手机银行、微信小程序等。 该银行IaaS基础设施采用的是私有云与公有云的混合云模式，私有云包括一套基于OpenStack的实例，和一套基于微软Azure的私有实例（以下简称微软落地云），共计3000多台主机资源，公有云主要采购了阿里云、华为云、腾讯云三家公有云厂商，共计2000多台主机资源。 痛点分析： 如此海量的IT资产和用户给该银行的运维造成了非常大的困扰。其运维过程中主要的业务痛点分析如下： 主机来源多样性： 如何做到不同云厂商的统一纳管，并做到云资源的自动发现？ 主机类型多样性： 如何根据主机的类型与用途快速的定位主机？ 主机资源数量多： 如何按照用户的业务视角展现主机资源并做到快速的查找主机？ 数据隔离： 如何做到不同FT项目组之间的业务数据有效隔离？ 权限管理： 如何做到针对主机资源的精细化授权与动态授权？ 因此，该银行希望采购一套 堡垒机 产品，以使得面对海量IT资产和用户，既能保证运维管理云资源过程合规、安全，又能达到轻松运维，提高运维效率。 行云管家解决方案 面对海量IT资产的运维和众多用户的管理，行云管家研制了一套针对性的解决方案，既满足了安全管理需求，也实现了高效运维，在安全与效率之间取得了平衡。 针对上述银行所面临的痛点，行云管家给出了如下解决方案： 如何 应对 主机来源多样性，做到不同云厂商的统一纳管，并做到云资源的自动发现？ 行云管家支持业界所有的主流的公有云厂商及OpenStack、VMware、ZStack等私有云厂商，这意味着针对这些云厂商可通过OpenAPI完成一键导入、自动纳管； 针对普通的局域网主机、网络设备、存储设备等，行云管家支持通过IP扫描或者Excel表格方式完成批量导入； 针对可通过OpenAPI对接的云资源，行云管家支持按照一定的时间周期扫描云资源的变化，并进行自动同步。 如何应对主机类型多样性，根据主机的类型与用途快速的定位主机？ 在行云管家中，可通过标签完成对主机信息的自定义扩充，这意味着可以灵活地展现主机的类型、用途、归属部门、所属区域等各个用户自定义信息； 当用标签对主机进行标注后，在行云管家内可通过标签完成对主机的筛选与快速定位。 如何应对 主机资源数量多，按照用户的业务视角展现主机资源并做到快速的查找主机？ 针对主机列表，行云管家提供了“按网络”、“按标签”、“按分组”三种视角进行展现； 所谓“按分组”进行展示，本质上是按照用户期望的业务视角构建一棵业务树，并将主机资源挂到业务树相应的节点； 同时，行云管家提供了一键唤醒的主机全文检索能力。 如何做到不同FT项目组之间的业务数据有效隔离？ 当主机数量与用户数量过多时，再好的授权模型也很难克服日常管理的复杂度； 此时，对主机与用户进行“基于租户的数据隔离”是一种最直接、最有效的手段； 行云管家运营班支持在一个行云管家运行实例中创建多个租户（团队）的能力，每个租户之间的业务数据是完全隔离的。 如何做到针对主机资源的精细化授权与动态授权？ 行云管家的授权模型是“基于角色权限控制系统”，但在此基础上做了大幅优化与增强 在行云管家中，可对组织单元授权、对角色授权、或直接对用户授权； 从功能权限上来说，行云管家现有22个功能模块，130多个功能权限，这意味着在行云管家中能够控制的功能颗粒度是足够精细的； 从云资源授权上来说，对云资源进行授权本质上是一种动态授权； 从分组授权上来说，分组授权既构建了基于用户视角的业务树，也完成了对资源进行分组，并通过分组进行授权。 总结： 面对海量IT资产的运维及众多用户的管理，行云管家堡垒机为IT管理者提供更高、更全面而细致的安全管理视角，为IT运维工程师授予合适粒度权限，更为运维工程师带来了丰富便捷的运维手段和极致的操作体验。 直接体验： yun.cloudbility.com

2019年12月1日，国家网络安全等级保护2.0制度（以下简称等保2.0）正式实施，这意味着在铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、国防、公安、财政、审计、商务、水利、能源、交通、文化、教育等行业，因为主管单位的明确要求，这些行业的信息系统均要开展安全等级保护工作，而 堡垒机 又是等保2.0中必不可少的工具手段，于是乎，堡垒机也从一个面向特定行业的、少数人知晓的概念，逐渐变得为广大IT从业人员所熟知。 本文将向各位读者普及一下堡垒机的基本概念，以及探讨一下未来堡垒机的发展方向。 一、 什么是 堡垒机 堡垒机是一种非常形象的叫法，在国内，更直白、更易于理解的一种叫法是“合规运维与安全审计系统“，在国外，往往归类为”特权账号管理系统“。 1.1 堡垒机是用来解决“运维混乱”的 堡垒机到底是干什么的？简而言之一句话：堡垒机是用于解决“运维混乱”的。何谓运维混乱？当公司的IT运维人员越来越多，当需要管理的IT设备越来越多，当参与运维的岗位越来越多样性，如果没有一套好的机制，就会产生运维混乱。具体而言，你很想知道“哪些人允许以哪些账号访问哪些IT设备”而不可得。 1.2 堡垒机让“运维混乱”变“运维有序” 于是乎，堡垒机便诞生了，它承担起了运维人员在运维过程中的唯一入口，通过精细化授权，可以明确“哪些人以哪些身份访问哪些设备”，从而让运维混乱变得有序起来。在这种场景下，堡垒机更像是一种“跳板机“，换言之，IT运维人员并不会直接访问目标设备，而是通过堡垒机间接访问。 1.3 堡垒机让“运维混乱”变“运维安全” 更重要的一点是：堡垒机不仅可以明确每一个运维人员的访问路径，还可以将每一次访问过程变得可“审计”，一旦出现问题，可追溯回源。 如何做到可审计？显而易见的方法是“全程录像”和“指令查询”。全程录像很好理解，那么何谓指令查询呢？所谓指令查询是指将运维操作指令化。举例而言，你家里在过去24小时内进小偷了，你有监控录像，但需要你翻阅这24小时的录像显然不是一个聪明的做法，如果这时系统能够帮助你把24小时录像中出现的所有人脸直接识别并罗列出来，你自然可以知道什么时间进来的小偷。“指令查询”也是如此，录像文件是你最后的保障，但通过指令查询可以帮助你快速的定位到录像文件的可疑位置。 下图是“行云管家堡垒机“主机运维过程的云端录像与指令检索界面，帮助大家更直观的理解。 < 示例：行云管家堡垒机针对Windows主机的审计录像与指令检索 > < 示例：行云管家堡垒机针对Linux主机的审计录像与指令检索 > 二、 堡垒机的发展方向 如前文所述，我们已经明白了什么是堡垒机，以及堡垒机主要的用途是什么，那么，堡垒机的发展方向是怎样的呢？回顾堡垒机的发展历程，我们可以将其划分为四个阶段： 2.1 软硬一体化的堡垒机 软硬一体化的堡垒机，顾名思义，是将堡垒机软件和硬件（往往是一U或者2U的物理主机）整合在一起，打包销售。这种做法优缺点都很分明，优点是符合国人的消费习惯，为用户提供一揽子解决方案；缺点是不易维护，缺乏可扩展性。 2.2 纯软件的堡垒机 从技术上来说，纯软件的堡垒机和软硬一体化的堡垒机并没有质的区别，无非是纯软件的堡垒机是以产品安装包或者镜像形式向用户提供安装介质，而不再是以物理主机形式提供。相比较而言，纯软件的堡垒机的优势更为明显，易于维护，易于升级，方便未来的扩展。 3.3 云化的堡垒机 随着云计算的发展，传统的堡垒机越来越不适应云的变化，因此，业界逐渐衍生发展出“云化的堡垒机“。这里的云化指代两层含义：其一，需要堡垒机纳管的IT设备对云计算有着更好的支持，包括支持统一纳管不同的公有云主机以及私有云主机等，同时，需要纳管的IT资产也不再仅仅只是主机资源，还包括云数据库、对象存储等PaaS资源；其二，堡垒机产品自身的体系架构也支持云原生特性，堡垒机自身可以直接部署在公有云环境，并能够充分利用云计算丰富的基础设施能力，举例而言，云化的堡垒机原生支持公有云的Load Balance和Auto Scaling以获得高并发能力；通过将审计录像存储在公有云的对象存储Bucket之中以获得海量、廉价的存储能力等。 3.4 服务化的堡垒机 现阶段，随着云计算已经发展成为企业IT架构的基础支撑，云化的堡垒机已经成为业界的主流。如果眼光稍微放长远一些，未来的堡垒机将发展成怎样的形态？笔者认为，服务化的堡垒机将成为未来堡垒机的首选形态。 何谓服务化的堡垒机？我们不妨回顾一下云计算的起源。云计算的本质是服务化，无论是IaaS（Infrastructure as a Service）将IT的基础设施服务化，还是PaaS（Platform as a Service）将IT的平台能力服务化，其核心思想都是希望以服务的形式获取所需的资源。同样道理，针对堡垒机这一产品，用户的本质需求是“针对IT系统的合规运维与安全审计”，如果这种能力能够以服务的形式触手可及、随用随取，显然，这就是堡垒机终极发展形态。

4.18版本中，行云管家针对数据库审计模块进行了大幅优化与增强；优化了主机文件传输的相关限制逻辑；同时在管理控制台中支持了针对行云管家服务的备份与还原功能。4.18版本更新包括但不限于以下内容： 1.私有部署版 系统备份及还原： 在过去版本中，用户是通过在其部署行云管家的服务器上手动执行脚本来实现系统备份及还原的；新版本中，我们在管理控制台提供了备份还原服务的界面，同时也支持用户定义相应的策略对行云管家数据进行备份。 CAS单点登录支持： 行云管家在之前版本中支持了基于OpenID Connect的单点登录认证服务；4.18版本中，在此基础上，我们支持了基于CAS的单点登录认证服务，在配置好CAS Server的相关信息后,即可通过统一门户登录至行云管家。 2.主机 对接金山云、ZStack： 在新版本中,行云管家支持了金山云和ZStack资源的导入与管理，至此行云管家已支持了11家公有云平台与3家私有云平台，如果您在使用过程中有其他云厂商的对接需求，可以与我们联系。 云账户管理优化： 在4.18版本中，我们对云账户管理进行了以下优化：1、支持修改公有云API凭证信息2、增加云账户排序功能：在云账户管理模块中可对云账户进行排序设置；设置后，在主机、网络等模块中，将根据已设置的排序对云账户及其对应信息进行展现。 3.堡垒机 运维策略优化： 有用户反馈，我们针对主机文件传输的相关限制由于在功能授权的基础上再通过运维策略进行限制，十分复杂；因此在新版本中，我们针对文件传输限制的逻辑进行了统一的梳理，将所有限制规则都移动至“运维策略–文件传输”中；同时我们支持了文件上传与下载的审批功能，需要注意的是传输审批仅在“网盘”模块中的“主机文件”功能下支持，主机WEB会话与本地会话中暂不支持。 数据库优化： 在新版本中我们针对数据库模块进行了以下优化与增强：1、更多数据库支持：PostgresSql、Redis、Vertica、Hive、RedShift；2、更多数据库本地工具的支持：DataGrip、Redis Desktop Manager、beeline、DBeaver、SQLyog、MySQL-Front；3、数据库授权与方案优化：在过去版本中数据库的账户授权与运维策略都只能针对单台数据库进行设置，因此当用户的数据库特别多时，将无法方便的进行批量的账户授权与策略限制；在新版本中，我们将数据库账户与运维策略从原有数据库方案中剥离：即通过“账户凭证”对数据库账户进行统一的管理与授权；通过“访问方案”对多个数据库账户进行统一的运维策略限制；4、数据库支持全局检索；5、针对数据库审计日志的系统操作支持自定义设置：我们针对审计日志中数据库系统本身产生的操作预置了一些规则，使审计日志只展示用户操作过的SQL，但是会有一些系统操作没有被我们的规则所覆盖，因此在新版本中我们支持用户自定义添加系统操作，同时支持一键将审计日志中的SQL操作标记为系统操作。 应用宿主机优化： 应广大用户需求，在新版本中应用宿主机的操作系统将支持WinServer2012、2016、2019三个版本。 活跃会话管理优化： 4.18版本中，针对首页的活跃会话管理中，我们将分别展示主机、数据库及应用的活跃会话记录，同时支持了对活跃会话的批量关闭功能。 跳板机优化 ： 有用户反馈，希望通过跳板机访问主机时可以不通过快捷方式或登录凭证，而是直接输入用户名密码进行访问，安排！

信息安全：保护企业核心价值 最近一段时间，微盟删库事件又将企业信息安全推上了安全行业热门话题。就在微盟删库事件发生的第二天，全球网络信息安全行业顶级盛会RSAC2020在美国旧金山召开，企业信息安全再次成为行业热点讨论方向。 目前，企业的信息化建设正在高速发展，但是庞大的数字化信息架构，以及复杂的技术人员构成，使企业信息安全管理面临了更严峻的挑战：安全攻击无孔不入，数据泄露无处不在，管理问题层出不穷等一系列问题不断出现。 云计算、大数据、物联网、5G等新系统、新技术的大量部署与应用也使得企业认识到主动安全防御体系建设的重要性。同时，随着国家信息安全相关法律法规的实施，企业已全面加大信息安全体系的建设力度与安全类产品的购买支出比例。IDC预测，到2023年中国的网络安全市场总体支出规模将高达170多亿美元。 堡垒机：信息安全的看门人 据悉，自发生删库事件后，微盟评估并重新制定了安全保障计划，实行本地数据库向云数据库的迁移，基础设施全面上云，并选择了云堡垒机作为其信息安全审计系统，全力保障云上基础设施和数据的安全。 微盟选择云堡垒机作为IT信息系统的看门人，就是看重了云堡垒机是云计算时代下，企业信息安全的保障利器。 从运维的角度来看，当企业的IT资产越来越多、参与运维的人员越来越多，在运维团队达到一定规模后，如果没有一套好的管理系统，就容易产生运维混乱甚至失控，而一旦产生信息安全事故，将很难回溯追责，企业损失惨重的几率极大。 从政策法规角度来看，2019年12月等级保护2.0系列标准等政策的推出，推动了堡垒机产品的发展与普及，金融、电力、广电、医疗、教育等行业明确要求开展信息安全保护工作。 从堡垒机的发展历程来看，随着云计算逐渐发展成为企业IT架构的基础设施，传统堡垒机很难适应云的变化，而云堡垒机作为传统堡垒机的功能超集，能够全面拥抱云计算特别是公有云的发展趋势，是云计算时代企业信息安全保障的最佳选择。 据了解，作为国内领先的云堡垒机品牌，行云管家已成功服务于使用阿里云、华为云、腾讯云、百度云、京东云、AWS、Azure、青云、UCloud等主流云厂商的超过八万家企业级用户，其拥有主机监控、自动化运维、云成本分析、主机安全体检等众多功能特性，全面拥抱云计算，支持企业多云、混合云IT架构，全面符合等保2.0的新要求，产品经过四年时间的打磨、迭代，已经成为国内用户体验最佳、客户口碑最好的云堡垒机品牌。 对于企业来说，信息安全已经成为企业运营的一个重点，选择好的云堡垒机，可以更好的保护企业核心资产；对于堡垒机厂商来说，需要保持敏锐的市场嗅觉，并充分发挥自主创新能力，以用户需求为导向，打造更优质的产品，提供更优质的服务，促进市场健康的积极发展。