- 方案背景
随着信息技术的不断发展和信息化建设的不断进步 ，业务应用、办公系统、商务平台的不断推出和投入运行，信息系统在单位的运营中全面渗透。电信行业、医疗、财政 、税务、公安、金融、电力、石油、大中企业和门户网站，更是使用数量巨大的服务器主机来运行关键业务 ，提供电子商务 、数据库应用、运维管理、ERP和协同工作群件等服务。由于服务器众多，系统管理员压力太大等因素 ，远程运维以及第三方代维成为单位和企业解决运维问题不可或缺的方式。公网映射运维跳板机、TeamViewer、Sunlogin等成为了远程运维和第三方代维的常用运维方式 。
这导致运维操作类似一个“黑盒“，企业和单位并不知道：
● 当前管理员/代维工程师正在进行哪些运维操作？
● 是在哪一台设备上发生的操作？
● 操作是谁来执行的？
● 执行的操作是否正确？
由此带来的风险主要有以下几个方面：
● 误操作导致关键应用服务异常甚至宕机；
● 违规操作导致敏感信息泄露；
● 恶意操作导致系统上的敏感数据信息被篡改和破坏；
● 操作终端安全性无法保障 ，黑客/恶意访问概率大大增高；
● 无法有效监控原厂商和代维厂商的维护操作；
● 无法有效取证和举证维护过程中出现的问题和责任；
● 单位和企业无法响应等保要求应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析 。
- 建设方案
圣博润作为专业的网络安全解决方案提供者和安全运维方案的领航者 ，基于十多年的潜心研究和大量客户现场部署实践 ，总结了一套远程安全运维解决方案 。
1)在 DMZ 区出口网关设备上对外映射相关端口，供运维人员通过互联网接入内网，第三方运维人员通过客户端登陆SSL VPN ，与部署于企业或单位数据中心的的SSL VPN建立远程VPN接入隧道（建议要求第三方运维人员通过用户名/密码+短信的双因素认证方式登陆VPN，提高安全性）1)在 DMZ 区出口网关设备上对外映射相关端口，供运维人员通过互联网接入内网，第三方运维人员通过客户端登陆SSL VPN，与部署于企业或单位数据中心的的SSL VPN建立远程VPN接入隧道（建议要求第三方运维人员通过用户名/密码+短信的双因素认证方式登陆VPN，提高安全性）
2)登录成功后，SSL VPN向终端推送准入客户端
3)准入安装成功后运维客户端PC安全接入内网
4)SSL VPN向运维终端下发在线控制策略
● 禁止接入U盘 、移动硬盘 、智能手机等外接设备 ；
● 运维终端操作系统 、防病毒软件安装 、可疑文件、注册表检查 ；
● 一键登录堡垒机，实时录制屏幕操作画面，记录运维操作；
● 运维终端屏幕显示浮水印，防止拍照泄密。
5)运维操作过程中堡垒机实时保证运维安全
● 权限最小化策略，运维人员只能访问权限内服务器；
● 安全运维策略 ，敏感命令直接阻断或审批后才可执行 ；
● 实时监控和记录运维操作，责任精准定位 。
6)断开连接 ，离线策略自动生效
● 取消对运维终端的控制和审计；
● 允许接入各种外接设备 ；
● 不在屏幕上显示浮水印；
● 不记录屏幕画面 。
- 方案优势
● 提升运维终端可靠性
● 认证方式多样性
圣博润SSL VPN安全网关支持LocalDB、LDAP/AD、Radius 、第三方CA、自建CA 、Dkey、短信认证（短信猫和短信网关） 、硬件特征码 、动态令牌多种安全认证方式，最大限度地保证了接入用户的合法性。
● 高强度加密传输构建安全运维通道
SSL VPN提供国际算法和国家商用密码算法的SSL传输加密安全隧道 ，构建远程安全运维专用通道，提升远程运维安全性 。
● 双重权限划分，确保远程运维权限最小化
● SSL VPN基于堡垒机的URL和账号进行授权，确保远程运维人员只可登录堡垒机，并且只能使用自己的账号登录；
● 堡垒机授权限制远程运维人员只可访问自己权限内的服务器，确保运维权限最小化 。
● 完善的访问控制策略
SSL VPN以及堡垒机均可设定基于时间、IP地址的访问控制策略，用以限制用户的远程访问 ，并且堡垒机可进一步制定基于黑名单/命令审批的命令策略 ，提升运维访问安全性。
● 远程运维全面管理与审计
准确识别用户操作意图，识别用户输入操作命令，并对用户操作进行限制。操作限制支持时间、用户原始IP地址、目标服务器地址、用户名称、系统帐号、使用的命令等策略因子。对高危命令要能自动阻断命令的执行，对越权操作行为要能及时警告。
用户通过SSH、TELNET、RDP 、 X11、VNC 、FTP 、SFTP等方式在服务器上的所有操作行为以及对ORACLE、SYBASE、MS SQL、INFORMIX 、DB2、Mysql等数据库访问行为 ，都能做到全记录、全审计，可真实再现用户操作过程 。