堡壘主機(jī) 堡壘主機(jī)是什么意思
堡壘主機(jī)是一種被強(qiáng)化的可以防御進(jìn)攻的計(jì)算機(jī)，作為進(jìn)入內(nèi)部網(wǎng)絡(luò)的一個(gè)檢查點(diǎn)，以達(dá)到把整個(gè)網(wǎng)絡(luò)的安全問題集中在某個(gè)主機(jī)上解決，從而省時(shí)省力，不用考慮其它主機(jī)的安全的目的。堡壘主機(jī)是網(wǎng)絡(luò)中最容易受到侵害的主機(jī)，所以堡壘主機(jī)也必須是自身保護(hù)最完善的主機(jī)。一個(gè)堡壘主機(jī)使用兩塊網(wǎng)卡，每個(gè)網(wǎng)卡連接不同的網(wǎng)絡(luò)。一塊網(wǎng)卡連接你公司的內(nèi)部網(wǎng)絡(luò)用來管理、控制和保護(hù)，而另一塊連接另一個(gè)網(wǎng)絡(luò)，通常是公網(wǎng)也就是Internet。堡壘主機(jī)經(jīng)常配置網(wǎng)關(guān)服務(wù)。網(wǎng)關(guān)服務(wù)是一個(gè)進(jìn)程來提供對(duì)從公網(wǎng)到私有網(wǎng)絡(luò)的特殊協(xié)議路由，反之亦然。
內(nèi)部網(wǎng)絡(luò)行為管理、命令控制技術(shù)、細(xì)粒度策略控制功能、準(zhǔn)確日志查詢檢索功能、菜單類操作回放審計(jì)功、帳號(hào)密碼的安全管理、FTP/SFTP文件安全傳輸、支持標(biāo)準(zhǔn)SYSLOG日志、即時(shí)操作“現(xiàn)場直播”的監(jiān)控功能、程序重用與控制技術(shù)、邏輯命令自動(dòng)識(shí)別技術(shù)、分布式處理技術(shù)、實(shí)時(shí)監(jiān)控技術(shù) 、日志二次備份技術(shù)、多進(jìn)程/線程與同步技術(shù)、自動(dòng)報(bào)表生成技術(shù)、連續(xù)跳轉(zhuǎn)登錄技術(shù)、多信道登錄技術(shù)、數(shù)據(jù)加密功能、審計(jì)查詢檢索功能、操作還原技術(shù)、審計(jì)雙向備份技術(shù)等。堡壘主機(jī)目前一般有以下三種類型：無路由雙宿主主機(jī)、犧牲主機(jī)和內(nèi)部堡壘主機(jī)
1.無路由雙重宿主主機(jī)
無路由雙重宿主主機(jī)有多個(gè)網(wǎng)絡(luò)接口，但這些接口間沒有信息流，這種主機(jī)本身就可以作為一個(gè)防火墻，也可以作為一個(gè)更復(fù)雜的防火墻的一部分。無路由雙重宿主主機(jī)的大部分配置類同于其它堡壘主機(jī)，但是用戶必須確保它沒有路由。如果某臺(tái)無路由雙重宿主主機(jī)就是一個(gè)防火墻，那么它可以運(yùn)行堡壘主機(jī)的例行程序。
2.犧牲品主機(jī)
有些用戶可能想用一些無論使用代理服務(wù)還是包過濾都難以保障安全的網(wǎng)絡(luò)服務(wù)或者一些對(duì)其安全性沒有把握的服務(wù)。針對(duì)這種情況，使用犧牲品主機(jī)就是非常有用的（也稱替罪羊主機(jī)）。犧牲品主機(jī)是一種上面沒有任何需要保護(hù)信息的主機(jī)，同時(shí)它又不與任何入侵者想要利用的主機(jī)相連。用戶只有在使用某種特殊服務(wù)時(shí)才需要用到它。
犧牲品主機(jī)除了可讓用戶隨意登錄外，其配置基本上與其它堡壘主機(jī)一樣。用戶總是希望在堡壘主機(jī)上存有盡可能多的服務(wù)與程序。但是犧牲品主機(jī)出于安全性的考慮，不可隨意滿足用戶的要求，否則會(huì)使用戶越來越信任犧牲品主機(jī)而違反設(shè)置犧牲品主機(jī)的初衷。犧牲品主機(jī)的主要特點(diǎn)是它易于被管理，即使被侵襲也無礙內(nèi)部網(wǎng)的安全。
3.內(nèi)部堡壘主機(jī)
在大多數(shù)配置中，堡壘主機(jī)可與某些內(nèi)部主機(jī)有特殊的交互。例如，堡壘主機(jī)可傳送電子郵件給內(nèi)部主機(jī)的郵件服務(wù)器、傳送Usenet新聞給新聞服務(wù)器、與內(nèi)部域名服務(wù)器協(xié)同工作等。這些內(nèi)部主機(jī)其實(shí)是有效的次級(jí)堡壘主機(jī)，對(duì)它們就應(yīng)象保護(hù)堡壘主機(jī)一樣加以保護(hù)。我們可以在它的上面多放一些服務(wù)，但對(duì)它們的配置必須遵循與堡壘主機(jī)一樣的過程。
堡壘主機(jī)是一臺(tái)完全暴露給外網(wǎng)攻擊的主機(jī)。它沒有任何防火墻或者包過慮路由器設(shè)備保護(hù)。堡壘主機(jī)執(zhí)行的任務(wù)對(duì)于整個(gè)網(wǎng)絡(luò)安全系統(tǒng)至關(guān)重要。事實(shí)上，防火墻和包過濾路由器也可以被看作堡壘主機(jī)。由于堡壘主機(jī)完全暴露在外網(wǎng)安全威脅之下，需要做許多工作來設(shè)計(jì)和配置堡壘主機(jī)，使它遭到外網(wǎng)攻擊成功的風(fēng)險(xiǎn)性減至最低。其他類型的堡壘主機(jī)包括：Web,Mail,DNS,FTP服務(wù)器。一些網(wǎng)絡(luò)管理員會(huì)用堡壘主機(jī)做犧牲品來換取網(wǎng)絡(luò)的安全。這些主機(jī)吸引入侵者的注意力，耗費(fèi)攻擊真正網(wǎng)絡(luò)主機(jī)的時(shí)間并且使追蹤入侵企圖變得更加容易。
1.無路由雙重宿主主機(jī)
無路由雙重宿主主機(jī)有多個(gè)網(wǎng)絡(luò)接口，但這些接口間沒有信息流，這種主機(jī)本身就可以作為一個(gè)防火墻，也可以作為一個(gè)更復(fù)雜的防火墻的一部分。無路由雙重宿主主機(jī)的大部分配置類同于其它堡壘主機(jī)，但是用戶必須確保它沒有路由。如果某臺(tái)無路由雙重宿主主機(jī)就是一個(gè)防火墻，那么它可以運(yùn)行堡壘主機(jī)的例行程序。
2.犧牲品主機(jī)
有些用戶可能想用一些無論使用代理服務(wù)還是包過濾都難以保障安全的網(wǎng)絡(luò)服務(wù)或者一些對(duì)其安全性沒有把握的服務(wù)。針對(duì)這種情況，使用犧牲品主機(jī)就是非常有用的(也稱替罪羊主機(jī))。犧牲品主機(jī)是一種上面沒有任何需要保護(hù)信息的主機(jī)，同時(shí)它又不與任何入侵者想要利用的主機(jī)相連。用戶只有在使用某種特殊服務(wù)時(shí)才需要用到它。犧牲品主機(jī)除了可讓用戶隨意登錄外，其配置基本上與其它堡壘主機(jī)一樣。用戶總是希望在堡壘主機(jī)上存有盡可能多的服務(wù)與程序。但是犧牲品主機(jī)出于安全性的考慮，不可隨意滿足用戶的要求，否則會(huì)使用戶越來越信任犧牲品主機(jī)而違反設(shè)置犧牲品主機(jī)的初衷。犧牲品主機(jī)的主要特點(diǎn)是它易于被管理，即使被侵襲也無礙內(nèi)部網(wǎng)的安全。
在大多數(shù)配置中，堡壘主機(jī)可與某些內(nèi)部主機(jī)有特殊的交互。例如，堡壘主機(jī)可傳送電子郵件給內(nèi)部主機(jī)的郵件服務(wù)器、傳送Usenet新聞給新聞服務(wù)器、與內(nèi)部域名服務(wù)器協(xié)同工作等。這些內(nèi)部主機(jī)其實(shí)是有效的次級(jí)堡壘主機(jī)，對(duì)它們就應(yīng)象保護(hù)堡壘主機(jī)一樣加以保護(hù)。我們可以在它的上面多放一些服務(wù)，但對(duì)它們的配置必須遵循與堡壘主機(jī)一樣的過程。
同一個(gè)概念。
堡壘機(jī)的目的和域控一樣，就是把風(fēng)險(xiǎn)集中在一個(gè)點(diǎn)，然后做好這個(gè)點(diǎn)的防御。
防御和攻擊不一樣，攻擊一座城池，只要找到這個(gè)城池上兵力最薄弱的點(diǎn)，然后猛攻即可。
防御一座城池就要做預(yù)判，對(duì)方要攻擊哪里，然后調(diào)兵遣將。
對(duì)于網(wǎng)絡(luò)防御來講，要防御的邊界太長了，堡壘機(jī)就是把所有的登錄點(diǎn)都集中到一臺(tái)機(jī)器上，由著臺(tái)機(jī)器來登錄其他機(jī)器。這樣只要保護(hù)好這臺(tái)機(jī)器，就能保證其他機(jī)器的安全，因?yàn)闃虿粊G，對(duì)方就過不了河，在一個(gè)面的層面上解決了問題。
在業(yè)內(nèi)，堡壘機(jī)一般只是個(gè)俗稱，其學(xué)名應(yīng)該是叫：運(yùn)維安全審計(jì)系統(tǒng)/運(yùn)維管理審計(jì)系統(tǒng)等，偏重對(duì)運(yùn)維操作的監(jiān)控和審計(jì)。至于堡壘機(jī)的說法由來以無源頭可考，但是基本都是這么說了，畢竟其學(xué)名比較長，說著說著，堡壘機(jī)的名字就代替了其學(xué)名，當(dāng)然，從堡壘機(jī)的部署位置和其工作性質(zhì)來說，其自身安全的重要性必然是非常高的，畢竟這臺(tái)設(shè)備會(huì)存儲(chǔ)著海量的數(shù)據(jù)中心設(shè)備的賬號(hào)、口令信息。目前，在各個(gè)行業(yè)：政府、金融、能源、運(yùn)營商、企業(yè)、互聯(lián)網(wǎng)，都越來越重視該產(chǎn)品的部署，能更有效的杜絕內(nèi)部數(shù)據(jù)的泄露、惡意篡改等行為。
而堡壘主機(jī)，則是樓主你說的那種概念。
像樓上所說，堡壘機(jī)類似跳板機(jī)應(yīng)該算是堡壘機(jī)從無到有發(fā)展的一個(gè)階段，并不全面。
1、跳板機(jī)
跳板機(jī)屬于內(nèi)控堡壘機(jī)范疇，是一種用于單點(diǎn)登陸的主機(jī)應(yīng)用系統(tǒng)。2000年左右，高端行業(yè)用戶為了對(duì)運(yùn)維人員的遠(yuǎn)程登錄進(jìn)行集中管理，會(huì)在機(jī)房里部署跳板機(jī)。跳板機(jī)就是一臺(tái)服務(wù)器，維護(hù)人員在維護(hù)過程中，首先要統(tǒng)一登錄到這臺(tái)服務(wù)器上，然后從這臺(tái)服務(wù)器再登錄到目標(biāo)設(shè)備進(jìn)行維護(hù)。但跳板機(jī)并沒有實(shí)現(xiàn)對(duì)運(yùn)維人員操作行為的控制和審計(jì)，使用跳板機(jī)過程中還是會(huì)有誤操作、違規(guī)操作導(dǎo)致的操作事故，一旦出現(xiàn)操作事故很難快速定位原因和責(zé)任人。此外，跳板機(jī)存在嚴(yán)重的安全風(fēng)險(xiǎn)，一旦跳板機(jī)系統(tǒng)被攻入，則將后端資源風(fēng)險(xiǎn)完全暴露無遺。同時(shí)，對(duì)于個(gè)別資源（如telnet）可以通過跳板機(jī)來完成一定的內(nèi)控，但是對(duì)于更多更特殊的資源（ftp、rdp等）來講就顯得力不從心了。
2、運(yùn)維堡壘機(jī)
人們逐漸認(rèn)識(shí)到跳板機(jī)的不足，需要更新、更好的安全技術(shù)理念來實(shí)現(xiàn)運(yùn)維操作管理，需要一種能滿足角色管理與授權(quán)審批、信息資源訪問控制、操作記錄和審計(jì)、系統(tǒng)變更和維護(hù)控制要求，并生成一些統(tǒng)計(jì)報(bào)表配合管理規(guī)范來不斷提升IT內(nèi)控的合規(guī)性的產(chǎn)品。在這些理念的指導(dǎo)下，2005年前后，運(yùn)維堡壘機(jī)開始以一個(gè)獨(dú)立的產(chǎn)品形態(tài)被廣泛部署，有效地降低了運(yùn)維操作風(fēng)險(xiǎn)，使得運(yùn)維操作管理變得更簡單、更安全。
3、現(xiàn)在堡壘機(jī)產(chǎn)品已成熟，各家產(chǎn)品功能基本一致。早幾年這還是個(gè)比較有前景的行業(yè)，但后來越來越多的人看到了這個(gè)機(jī)會(huì)，很多優(yōu)秀的工程師也出來創(chuàng)業(yè)做類似的堡壘機(jī)產(chǎn)品。但主流的總是那么幾家，如：思福迪、帕拉迪、尚思卓越、科友、齊治、極地等，這些都是目前行業(yè)里做的專業(yè)且受到企業(yè)用戶好評(píng)的廠商，但每家廠商的產(chǎn)品所關(guān)注的側(cè)重又有所差別。各企業(yè)在選購的時(shí)候，除了仔細(xì)研究產(chǎn)品技術(shù)指標(biāo)是否可以滿足自己的需求外，還應(yīng)該著重考慮產(chǎn)品的交互性、易用性、性價(jià)比、維護(hù)成本低、產(chǎn)品自身安全性等等。堡壘機(jī)作為單點(diǎn)故障點(diǎn)，自身安全性很重要。對(duì)于大數(shù)據(jù)量的企業(yè)，還應(yīng)該考慮產(chǎn)品可擴(kuò)展性，畢竟大數(shù)據(jù)中心的信息系統(tǒng)會(huì)越來越復(fù)雜。
想象一下，如果你要維護(hù)一百多臺(tái)服務(wù)器，記住每臺(tái)服務(wù)器的密碼，肯定是不可能的吧？這種情況下，可以在堡壘機(jī)上配置服務(wù)器和服務(wù)器賬號(hào)，配置完畢后，通過堡壘機(jī)登錄，你只需要輸入你的堡壘機(jī)賬號(hào)就能訪問你有權(quán)限訪問的設(shè)備了。
堡壘機(jī)一般支持的協(xié)議有圖形（RDP/VNC/X11）、字符（SSH/TELNET）、文件（FTP/SFTP）和一些數(shù)據(jù)庫協(xié)議（MySQL、Oracle）等等。
目前國內(nèi)專業(yè)做堡壘機(jī)的廠商有綠盟、思福迪、齊智、江南科友等。在產(chǎn)品的選擇方面，考慮的因素有易用性、安全性等。因?yàn)楸緳C(jī)本身具有很高的權(quán)限，因此在安全性方面特別需要注意。建議選擇一些有專業(yè)網(wǎng)絡(luò)安全背景的廠商的產(chǎn)品。例如綠盟等。
知乎屬于創(chuàng)業(yè)公司，其數(shù)據(jù)的安全性和保密等級(jí)要求不高，也沒有迫切的內(nèi)部控制需求。再加上堡壘機(jī)的價(jià)格普遍比較高，因此應(yīng)該是沒有使用的。
0 Comments.