堡垒机如何应对云计算和自动化运维的挑战

如今互联网时代说到安全防护,特别是在web应用安全、数据安全、审计、安全合规、安全评估等方面,企业现在主要关注的是堡垒机和云计算安全方面的工作。

堡垒机如何应对云计算和自动化运维的挑战

为了更好的分析堡垒机和云计算,首先要了解什么是堡垒机?

简单的说堡垒机是针对企业的运维人员、开发人员,还有企业所管理的设备,就是我们所谓的服务器、网络设备、安全设备对他们的操作过程或者行为进行管理、控制和审计的工作。这个方面包括很多的内容。

比如说数据库、RDS也好,包括一些虚机,包括物理服务器、网络设备,就是要被管理的设备。那企业在做运维的时候,企业是要经常对系统进行调试,或者要登录系统内部进行开发或者进行调试,那这个过程的话,是有一定的风险的,可能会导致数据的泄漏。那堡垒机的话,那就是架在运维人员和开发人员的中间,实现对这类人员的登陆服务器之前一个身份的核实和认证,然后对权限进行控制。也就是说登陆了堡垒机之后,才能执行什么命令,堡垒机是有控制的,不允许关机,或者不允许去删除某个文件,堡垒机是可以进行控制。甚至它同样还能够控制到,个人进到堡垒机之后,能登陆哪几台服务器。或者是能登陆这个服务器里面的哪个账号或者是哪个协议,它是能做这样层次的控制的。

只有经过堡垒机合法授权的,才能够登录到服务器,否则行为就会被堡垒机所阻断。这大概就是一个堡垒机的功能。以前登陆服务器的时候,直接就是SH或者RDB直接连接过去了,现在不行,必须先登录到登陆机,然后在堡垒机里面才会看到有权限的设备,然后再进行操作,而且整个操作过程会被录像下来。这是堡垒机控制的一个简单的介绍。

堡垒机如何应对云计算和自动化运维的挑战

云计算会对堡垒机的部署或者是实施会带来什么问题?

云上的运维风险更高了。

企业在云上最近做了很多的一些工作、一些项目,企业会发现,跟很多用户聊完之后,业务系统在云上的时候,客户对堡垒机的需求非常大。为什么?后面聊完之后,大家可以很清楚的知道,就是它做攻击的,一旦业务系统在云上,受攻击的可能性会更高一些。特别是运维环境会带来一些新的风险。

企业要做运维时,可能需要把企业的云服务器,公共IP或者是某个端口开放出来,让维护人员进入,但另一方面可能企业的外包人员在这期间连接服务器,就可以把一些敏感的数据导出,甚至可以上传一些木马。这样的话,以后的话哪怕企业更改了密码,病毒也可以控制系统。这样的话,企业的计算机病毒来源方可以随时登陆,随时去拿企业的数据,这是一种很典型的场景,也是很多系统上了云之后,企业最怕的一个点。

实际现在市场,就是在云上,就是堡垒机的话,基本上是成为一个必备的安全管理工具。现在目前,在阿里云上,包括在腾讯云上面,可以看到他们都有一个云安全市场。可以看到销量排行前几的,基本上是堡垒机、VPN或者是防火墙这种产品。也就是说现在堡垒机这块,在云上的必要性还是比较高的。布了堡垒机的作用,它要达到的目的,所有的运维都必须经过堡垒机。布了堡垒机之后,所有的服务器端口就不需要对外开放了,只需要对允许堡垒机能够防范这些端口就可以了,然后再把堡垒机对外放在企业公司,允许公司的人访问就可以了。

部署堡垒机之后,堡垒机反而成为第一个攻击目标了。堡垒机反而成为企业最重要的一个风险点,这又是云上的一个比较重要的变化,因为企业的运维,像以前堡垒机都放在自己内网里面的,它不会对外开放,所以说它就不存在,就不会担心堡垒机被人攻陷或者怎么样的,一般都不会有这个顾虑。但是放在云上的时候,就不能把堡垒机的公共IP开放出来,因为企业的人也是移动办公或者怎么样,到处要连到堡垒机里面。如果企业这个堡垒机被开放了之后,黑客会攻击企业的堡垒机。但是黑客想入侵系统,必须要拿到服务器IP或者账号、密码这类信息才能进去并且黑客即使通过某台机子入到内网,但不知道哪台机子是干嘛的,所以偷企业的数据是很困难的事情。

堡垒机之后,这种东西就变得很简单了。因为堡垒机它要去帮企业维护安全,它里面实际上可能会存储了企业所有的服务器的IP地址信息、账号信息,甚至包括个人的密码信息,都在里面。所以说把堡垒机拿下之后,企业任何的服务器都是畅通无阻的,这是第一个。堡垒机里面,为了做管理,可能把某个服务器的功能都已经做了标识,这个是做财务系统的,这个是做客户管理系统的,这个是做网站的,都会分好,不同的服务器归类归好。黑客就会利用这样的信息,很精准的就找到数据,没有办法让他走。所以这一块也是在云上之后布的一个很重要的特点,以前可能没那么重要,现在这个问题变得越来越突出了。因为本身堡垒机它自己可能就有漏洞,它也是个系统,它本身自己就有漏洞。那它有漏洞的情况之下,就会被人利用,他就直接入侵,利用企业的逻辑漏洞,直接进到企业堡垒里面。

那么堡垒机的安全到底该怎么保障呢?这个地方,这是一个比较空的,但是也是大家要考虑的,就是大家在选择部署堡垒机的时候,大家一定要选择至少在堡垒机厂家的安全经验这一块是要有的,不要是一个完全没有安全经验的厂家去做堡垒机,这个肯定是有风险的,风险更大一些。同时它也可以在乌云上面,或者是在补天漏洞平台上面,哪些堡垒机的安全性相对出的事故比较多一些,这个可以做一个参考。

当然更多的是堡垒机的一些安全策略的问题,所以说企业如果去部署堡垒机之后,企业一定要重点把它当做保护对象,做一些规则测试。首先比如说通信的加密,那在选择的时候,运维人员的PC机连到堡垒机的过程,检查链路是不是全部加密的。还有就是密码策略,因为刚刚讲到过堡垒机有账号体系,它的密码会被人爆的,所以要保证这个堡垒机账号是安全可靠的。还可以做一些端口的变形,让其他人没有那么容易识别扫除它是堡垒机,或者它所开放的端口。还可以做一些ERP的限制等等。这个是实际需要在云上去做的一些必须考虑的一点。

堡垒机如何应对云计算和自动化运维的挑战

自动化运维

相关推荐