金万维安全审计：运维管理“细垃度”授权

金万维安全审计：运维管理“细垃度”授权

纵览目前世面上流行的堡垒机功能特点，高端的品牌基本都包括了阻断和报警等功能，但是对于某些既可用于正常运维，又可用于非法操作的行为管理，始终都是个老大难。

举个例子来说，对于"RM"删除命令）来说，既可以用于删除无用的文件，又可以用来删除有用的文件，在这种时候，如何监管就成为了运维人员的老大难。如果一概定义为"危险操作"而全部阻断的话，很有可能影响正常的操作。但如果全面放行的话，又担心运维人员未经授权删除关键文件。对此，少数几个厂家提出了密码授权的概念。即，当此类操作出现是，系统暂不放行，同时提示"请输入正确密码"，待运维管理人员（高级授权人员）到现场观看运行的具体环境并确认安全后，输入正确密码，命令得以执行。如果密码不正确，错误密码重复几次后会自动退出。

但是问题又来了，如果每次都需要管理人员到运维人员的现场进行授权的话，极为不方便，特别是在管理人员下班后，更是如此。而且客观地说，如果管理人员经常在现场输入授权密码，很容易被偷看或被猜出，此时堡垒机系统反而面临更大的危险，特别是当具有最高权限的系统管理员出于省事的目的，所有密码都设为一样时，更为危险。

金万维自主研发的第二代TSA/SSA安全审计产品， 完美地解决了堡垒机这一难题，真正达到了运维管理的"细粒度"，不但提供了丰富的报警，阻断功能。而且设身处地的为运维管理人员考虑，提供丰富的授权方式，不但可以密码授权，而且可以使得运维管理人员可以远程实时观看运维操作人员的工作界面，当需要密码授权时，无需到现场，远程即可观看工作环境并授权。极大地减轻了运维管理人员的值守负担。同时，当管理人员远程观看操作流程时，如果发现未定义过的危险情况，随时可以终止操作人员的操作，并踢出此操作人员。