【最佳实践】企业内网安全解决方案

一、为什么要关注企业内网安全？

随着云计算与大数据技术的日渐成熟，IT已经成为企业业务的核心支撑，并即将成为企业业务创新的核心驱动力。因此，信息安全成为了企业安全的重中之重。绝大部分的企业都会建立企业内网并部署防火墙，由于网络的天然隔离性以及防火墙的存在，大部分的安全事故并非由外部入侵导致，因此，我们更应该关注的是“企业内网安全”。

企业内网安全分为“客户端安全”与“服务器端安全”两大组成部分。

1.1 客户端安全
客户端安全是一个很容易被大家忽视的问题，随着用户越来越多的把隐私毫无保留的交给各式各样的APP，作为客户端开发者，企业通常会从三个维度保障用户信息安全，以防止数据泄露。一是事前防护，文档透明加密，二是事中控制，流通渠道管控，三是事后审计，内容级行为审计。

1.2 服务器端安全
有数据表明，70%以上的安全事故来自企业内部的运维管理，这意味着内网安全管理首先要解决的是服务器端安全。

当企业的IT资产越来越多，当参与运维的岗位越来越多，企业运维管理变得日益复杂，如果没有一套好的机制，就会产生运维混乱与失控，一旦产生服务器端安全事故，企业将遭受巨大损失；另一方面，国内外相关法规均对企业信息管理提出了内控与审计的明确要求。

那么如何解决服务器端安全问题呢？行云管家堡垒机帮助企业满足IT可控运维与安全审计的诉求，以解决企业内网的服务器端安全问题。

二、行云管家堡垒机解决方案

传统堡垒机在用户和IT资产之间建立一套运维审计系统，但随着云计算逐渐发展成为企业IT架构的基础设施，传统堡垒机很难适应云的变化，行云管家堡垒机作为行云管家多云管理平台的核心，与生俱来的带有拥抱云计算的基因。作为传统堡垒机的功能超集，其承担着用户管理IT资产的运维中枢、会诊平台、黑匣子等功能职责。

2.1 作为运维中枢
作为运维中枢，行云管家从管理协议、管理工具、文件传输等各层面为用户提供了强有力的支撑，在不改变运维人员习惯的前提下，帮助用户高效的完成运维工作。

2.1.1 支持主流管理协议

行云管家堡垒机支持RDP、SSH、VNC、Telnet、FTP/SFTP等多种主要的服务器管理协议，以及Oracle、MySQL、SQLServer等主流数据库。

2.1.2 支持多种管理工具

行云管家堡垒机支持基于HTML5的Web桌面访问、本地工具、移动化运维等多种管理工具方式：

基于HTML5的Web桌面访问

行云管家堡垒机提供基于B/S架构的Web桌面访问能力，只需要一个浏览器即可访问目标设备。现阶段，行云管家支持的浏览器有：Chrome、FireFox、Edge、Safari、IE11等主流浏览器。

本地工具访问

考虑到运维人员的使用习惯，行云管家堡垒机提供了基于本地C/S客户端工具的访问方式，能够让本地客户端工具在行云管家堡垒机体系内透明地访问目标设备，并同样具备云端录像等全程审计的特性。现阶段行云管家支持的本地工具有：mstsc、Putty、SecureCRT、Xshell、WinSCP、FileZilla等。

移动化运维

行云管家堡垒机从用户需求出发，以方便的信息获取及操作交互为导向，支持平板、手机、微信小程序等智能终端，带来了极致的用户体验。

2.1.3 运维策略

支持针对不同用户、不同的目标设备，定义不同的运维策略，用户可根据运维要求，定制多种场景的运维策略，满足各种个性化的应用场景，使用户在安全性与灵活性之间取得平衡。

2.1.4 服务器密码策略

通过行云管家提供的服务器密码策略，可实现服务器密码的托管，具体包含以下功能：

支持对主机的密码/密钥登录，对主机进行批量自动改密
支持对主机进行密码强度策略，批量密钥下发

2.1.5 自动化运维

行云管家堡垒机内置了业界知名的 SaltStack 脚本库，并支持用户新建自定义脚本，能够批量对主机执行脚本、命令，以及将文件批量分发至目标主机、批量从多台主机采集文件，实现对多台主机的各种批量运维操作。

**命令控制台：**对多台主机批量执行命令

**脚本控制台：**对多台主机批量执行指定脚本，并支持脚本的自定义
**文件分发与采集：**将文件批量分发到指定主机，或将指定主机的文件采集到指定位置
**任务编排与执行：**将需要执行的作业流程化、模版化，并可指定规则按需执行

2.1.6 运维报表

依据不同用户不同的操作类型，向管理员展现企业内所有操作的纳要性汇总视图。

2.1.7 主机轨迹

以主机的视角展现企业内所有成员对指定主机的所有操作行为

2.1.8 用户轨迹

以用户的视角展现该用户对IT资产进行的所有操作行为

2.2 作为会诊平台
行云管家堡垒机为企业提供了团队协同等应用场景，用户遇到问题可随时一键邀请内外部专家，协同会诊。

在行云管家堡垒机中，任何一个远程桌面都可开启会话分享功能并形成一个分享链接，只需将此链接发送给您的好友，即可邀请好友进入同一个远程桌面。多人之间面对同一个工作场景，并自由切换操作控制权；协同过程中，用户免装软件、免交密码、全程审计。

2.3 作为黑匣子
飞机黑匣子用于灾后事故的回溯追责，行云管家的职责远不止于此，它提供了事前授权、事中监控、事后审计等核心特性。

2.3.1 事前授权

行云管家基于角色的访问控制模型，用户可以属于多个角色，并对角色进行功能授权与数据授权，确保精细化授权的达成。

2.3.2 事中监控

实时监管

管理员可实时监控远程会话，一旦发现有非法或违规操作，可立即剥夺其控制权；

拦截高危指令

支持指令黑白名单，对危险指令的执行提供拦截、告警、审核、阻断等机制。

2.3.3 事后审计

所有的操作均可云端录像、全程审计，准确记录用户操作的时间与行为，支持指令检索、指令定位、圈红标记，并提供录像与指令集文件的下载与备份。

三、行云管家堡垒机专属优势

3.1 全面拥抱云计算，支持公有云与私有云之间的混合式管理

3.2 特别适用于在企业内网管理公有云资源的安全运维
企业上云特别是公有云之后，传统的运维模式将存在严重的安全风险，行云管家拥有专利技术的内网访问机制，使您通过内网管理云主机，避免将不必要的管理端口与操作行为暴露到公网，安全、高效。

3.3 内置数据库运维审计模块

支持云端与本地数据库

行云管家支持业界所有主流数据库，包括本地数据库与公有云的云端数据库

访问信息托管

可在行云管家中托管数据库的访问信息，杜绝非法访问并避免真实访问信息的泄露

SQL指令拦截

支持SQL指令拦截，可设置敏感指令拦截规则，避免误操作与非法操作

敏感数据脱敏

支持对数据库的敏感业务数据进行脱敏，避免信息泄露

SQL指令审计

支持云端录像与SQL指令审计记录，出现问题时可回溯追责

3.4 极致的用户体验
传统堡垒机是为管理者而服务的，忽视了堡垒机的主要受众“工程师”的感受；而行云管家堡垒机不仅为管理者提供更高的视角，更为主要使用者“工程师”提供了极致的用户体验。

3.5 开放API接口，丰富的功能扩展
行云管家堡垒机的所有核心功能均提供 API 接口，如有需要，企业可通过行云管家的 Open API 进行功能扩展，或与其它业务系统的深度集成。

四、行云管家部署模型

4.1 标准版单机部署
单实例形态，部署在企业内网，不改变现有网络，一键式安装，分钟级快速部署；

4.2 企业版高可用部署
支持以 HA（High Availability）高可用方式进行部署，避免单点故障，提供现场安装与实施部署服务；

4.3 运营办分布式集群部署
集群分布式部署，适合大规模集团性企业。

经过大量合作企业实践证明，行云管家堡垒机是当下迭代速度最快、最经济的数据保镖，作为云计算时代企业内网安全运维利器，行云管家堡垒机为企业IT数据持续保驾护航。

导航：百度搜索“行云管家”