安全管理是高校信息化日常管理中的重點任務，運維管理與安全管理是一個相互疊加交織的動態管理過程，涉及校內、校外的參與方眾多，運維對象類型各異，且在主觀因素上，運維人員技術素養的懸殊差別也可能導致各類問題。因此，通過一套運維堡壘機來貫穿日常的技術運維顯得尤為重要。
基本功能定位
運維保障工作面臨的主要挑戰集中在資產賬號管理與共享、授權分配與身份識別及操作過程監督三個方面，堡壘機核心能力的定位也圍繞集中授權管理，操作過程約束與規范，審核安全行為這三個方面展開。
運維對象
受管運維對象普遍被堡壘機命名為資產，按照運維方式，可以分為命令行字符、桌面圖形、指定客戶端應用三個大類。
以命令行字符方式進行運維的設備類型較為廣泛，網絡設備的交換機、路由器，服務器中的Linux、UNIX都可以通過ssh進行遠程運維。
在這類受管資產的功能規劃中，需注意x11 forwarding(xdmcp)、本地端口轉發及sftp支持的完備性，這些特性在實際運維過程中雖然不是必備，但能為運維過程管理增添更多可塑性，并且對受管設備的文件傳輸，Web頁面功能普遍不能做到文件夾下載和多文件上傳、下載，相應功能有賴sftp客戶端的支持來補足。除此之外，telnet會作為各個堡壘機的標配協議，但因為telnet的安全性較弱一般不推薦使用。
桌面圖形以Windows的RDP和Linux的VNC兩個大類為主開展運維。RDP協議的考察重點在網絡級身份驗證的支持，這一加密特性對運維會話的安全性起到保護作用，而VNC則需注意Linux桌面默認啟用了屏保，若堡壘機代管了VNC密碼則需取消相應設置以避免第二次進入VNC時無法代填密碼。
指定的客戶端，如navicat、plsql、Toad等數據庫客戶端、瀏覽器，以及定制開發的C/S應用客戶端，這類應用的分散性是日常運維監管中的痛點。
在堡壘機上的實現方式主要是虛擬應用發布，該方式以屏幕變化量顯示在Windows運行的客戶端程序窗口界面，從而實現客戶端應用的遠程管理，運維用戶僅需堡壘機的插件，無須安裝C/S應用的客戶端，根據堡壘機廠家的研發能力，還能進一步實現客戶端賬號的代填與賬號管控。
權限
對運維工作而言，基于角色的訪問控制無疑是對運維用戶最佳的權限管控模式，超級管理員、配置管理員、審計管理員、操作員等每種角色都可以按層級、按部門或按人員類別實現分組授權與權限繼承，該功能的重點在權限配置靈活性滿足了運維的各種場景。
資產的訪問權限，是堡壘機與其他基礎設施設備的突出區別，每個運維對象可以使用的登錄賬號及密碼由堡壘機集中管理，每個運維用戶針對每個資產允許使用的登錄賬號須一對一可配置，才能從權限分配的角度實現管控的精細化。
審計
作為安全設備，審計功能是核心能力，圖形界面的錄屏，命令行的指令與文本編輯，數據庫SQL語句等每一個操作細節，都需要完整記錄，可追溯，可查詢，可持久保存，相應的日志和保存的記錄應可同步到其他存儲空間，在此基礎上，可自定義高危操作命令以實現阻斷或操作復核。
需要注意的是，錄屏所選取的編碼壓縮方案對細節的丟失，錄屏對切片間隔與基于起止時間搜索的優化，以及圖形界面剪切板操作記錄便于回溯信息泄漏。
技術架構探討
運維關系到生產環境的穩定性、規范性和安全性，等保2.0也對運維過程提出了“事前預防、事中控制、事后審計”的明確要求。基于此，我們在評測與選擇堡壘機時，對其自身技術架構的安全性、合理性，以及從宏觀設計到微觀功能落地方式都有了更多考量，下圖所示為堡壘機技術架構示意圖。
基礎設施服務是堡壘機自身運行不可或缺的支撐服務，如NTP用于校準時間并精確記錄日志，郵件服務發送各類交互信息，DNS服務解析B/S應用，LDAP/AD對接運維用戶身份認證等，它們是堡壘機技術架構運行依賴的服務。
面向運維用戶，堡壘機僅開放有限的端口，包括SSH客戶端、RDP客戶端、Web入口界面等運維對象的連接操作都以堡壘機的IP作為入口。
暴露的端口越少，屏蔽運維對象的信息越多，對安全的幫助越大，該入口可根據設備的健壯性和運維環境的要求，發布在互聯網或通過VPN進行連接。
當運維用戶發起的運維對象是RDP和SSH時，堡壘機作為代理轉發請求到真實的運維對象相應的端口，這些運維對象僅需向堡壘機開放端口。
應用服務在安裝堡壘機專有插件后，作為堡壘機能力的擴展，以虛擬應用的形式向運維用戶提供應用程序的窗口界面，這里的應用程序指Windows上運行的B/S和C/S應用程序，如瀏覽器，數據庫客戶端，定制開發的應用系統等，這些應用都安裝并運行在應用服務這個角色中。
該角色本身部署了終端服務的Windows服務器，用戶一端接收和操作的只是窗口的屏幕變化量，不用安裝對應的B/S和C/S客戶端，所有真實的連接發生在應用服務和運維對象之間，運維對象僅需向堡壘機或應用服務開放端口，同時堡壘機配置和約束B/S、C/S允許運維用戶訪問的URL、IP、賬號等資產信息。
B/S應用最典型的莫過于各種設備帶外管理和系統的后臺管理等Web界面，這些Web界面在防火墻防護策略中很難精準對應到運維人員，而堡壘機則解決了這一痛點。
自身健壯性
堡壘機實現了眾多運維管理的手段，既是對運維操作行為的約束，也給運維活動帶來了較大依賴。
一方面是其自身的安全性，眾多資產對象的信息、托管的密碼都集中在一個“籃子”中，牽一發而動全身；
另一方面是在較大的運維壓力和潛在攻擊下，其自身容易成為單點故障點，因其失效導致不可控的運維事故。
基于此，堡壘機要能經得起各種攻擊手段的滲透和流量壓力，也要具備擴展為高可用的多機集群能力，對托管的賬號密碼采用恰當的加密技術，特別是對堡壘機進行配置備份或配置遷移時，有完備的機制進行保護。
在驗證方式上，還應具備usbkey、短信、令牌、x.5O9證書等認證模式，可設置條件的多因子認證方式，滿足復雜場景下的混合認證需求。
端口與連接
運維對象的端口開放都限定在堡壘機和應用服務角色，極大縮小了受攻擊面，但安全管理員須保持開放端口的警惕性，對于不同的網絡環境，應用服務、堡壘機和運維對象所處的網絡位置可能直接相連通，也可能存在各種設備被阻斷。
假設數據庫端口可以直接被應用服務連接，則以虛擬應用打開的數據庫客戶端可自行填入連接信息，繞開堡壘機的管控，繼而造成安全“真空”地帶。
對于無須錄屏審計的B/S操作，堡壘機應具備到Web運維對象的代理訪問能力，類似于WebVPN的使用效果，在堡壘機的權限控制體系下實現更加靈活的運維配置模式。
應用服務器
應用服務基于Windows部署，一方面是因為Windows的短板帶來潛在的威脅，另一方面是習慣各異的運維用戶基于Windows的能力做出隨意的操作，對應用服務器的技術限制和常態化管理應引起重視。
首先是Windows的補丁、組策略等安全基線的加固；
其次是所部署的應用軟件加固，包括瀏覽器、數據庫客戶端等軟件周期性更新和默認配置檢查，避免別有用心的運維用戶利用應用軟件的漏洞；
再次是瀏覽器作為B/S應用的客戶端，應注意由運維用戶手動安裝的瀏覽器擴展，部分瀏覽器擴展插件可能使運維用戶獲得更大的權限和更多的操作空間，繼而越權，甚至演變為肉雞；
最后是B/S和C/S普遍具有的打開對話框，運維用戶可能在服務器磁盤和運維主機本地磁盤存在混淆，通過應用軟件產生的導入、導出文件對于應用服務器就是垃圾文件，還可能導致信息在不同運維用戶間泄漏，一般推薦隱藏應用服務器的本地磁盤，將運維用戶的本地磁盤映射到虛擬應用中實現文件的交互。
基于上述技術架構分析，堡壘機作為IT設施和系統的看門人，日常管理的規范性和使用習慣需要“強迫癥”式的對待：
1.登錄賬號一對一配置，不管運維用戶來自哪里，均按人開設運維賬號，避免多用戶共用賬號；
2.將運維權限按資產的賬號精細化配置給運維用戶，這會增加權限管理的策略條目，但對操作監管和行為審計更有效，避免越權操作；
3.充分利用多因子認證的能力，避免運維賬號被記錄在小本本、運維人員離職等導致的泄漏；
4.設置運維賬號默認有效期期限，密碼默認強制復雜性規則；
5.設置指令操作的黑名單，主動阻斷高危命令；
6.盡量使用密碼代填替代用戶自行輸入密碼，能使用密鑰驗證則不使用密碼，盡量不使用從堡壘機上修改主機密碼的功能；
7.周期性抽檢運維審計日志，周期性備份堡壘機的審計日志和主機日志。
毫無疑問，做到上述細節不僅需要極大的管理魄力，更離不開對所轄資產的準確梳理。在實踐中可以基于受管資產的規范程度和重要程度，逐步完成到堡壘機的運維遷移，最終實現所有運維行為的應管盡管。
除此之外，還要兼顧考慮受管設備或網絡出現嚴重故障時無法通過堡壘機處置的應急手段，繼而在制度上、措施上，與技術手段、技術工具構成運維工作的有機體。
京公網安備 11010802036102號