内网安全管理知识3堡垒主机概念.docx

内网安全管理知识3堡垒主机概念.docx

《内网安全管理知识3堡垒主机概念.docx》由会员分享，可在线阅读，更多相关《内网安全管理知识3堡垒主机概念.docx（7页珍藏版）》请在冰豆网上搜索。

内网安全管理知识3堡垒主机概念

堡垒主机

百科名片

堡垒主机

堡垒主机是一种被强化的可以防御进攻的计算机，作为进入内部网络的一个检查点，以达到把整个网络的安全问题集中在某个主机上解决，从而省时省力，不用考虑其它主机的安全的目的。

堡垒主机是网络中最容易受到侵害的主机,所以堡垒主机也必须是自身保护最完善的主机。

一个堡垒主机使用两块网卡，每个网卡连接不同的网络。

一块网卡连接你公司的内部网络用来管理、控制和保护，而另一块连接另一个网络，通常是公网也就是Internet。

堡垒主机经常配置网关服务。

网关服务是一个进程来提供对从公网到私有网络的特殊协议路由，反之亦然

详细介绍

　　2.堡垒主机是一台完全暴露给外网攻击的主机。

它没有任何防火墙或者包过虑路由器设备保护。

堡垒主机执行的任务对于整个系统至关重要。

事实上，防火墙和包过虑路由器也可以被看作堡垒主机。

由于堡垒主机完全暴露在外网安全威胁之下，需要做许多工作来设计和配置堡垒主机，使它遭到外网攻击成功的风险性减至最低。

其他类型的堡垒主机包括：

Web,Mail,DNS,FT

堡垒主机构建防火墙系统

P服务器。

一些网络管理员会用堡垒主机做牺牲品来换取网络的安全。

这些主机吸引入侵者的注意力，耗费攻击真正网络主机的时间并且使追踪入侵企图变得更加容易。

　　有效的堡垒主机配置与典型主机配置非常不同。

在堡垒主机上，所有不是必需的服务、协议、程序和网络的端口都被删除或者禁用。

堡垒主机和内网信任主机之间并不共享认证服务，是为了如果堡垒主机被攻破，入侵者也无法利用堡垒主机攻击内网。

堡垒主机被加固用来阻止潜在可能的攻击。

对特定的堡垒主机进行加固的步骤取决于堡垒主机的工作和在其上运行的操作系统及其他软件。

加固工作将会更改服务控制列表；不需要的TCP和UDP端口将被禁用；并不重要的服务和守护程序也会被删除。

所有最新的补丁程序应该及时加载。

记录所有安全事件的安全日志应该启动，而且确保日志文件完整性的安全的工作要做好，用来保证入侵者不会抹掉自己入侵的记录。

所有用户的帐号和密码库应该被加密保存。

　　最后需要做的工作是要保证网络应用程序的正常运行。

由于应用程序开发商在开发程序时没有考虑程序的安全风险，所以给网络管理员的安全保障工作带来困难。

网络管理员应随时注意应用程序开发商发表的安全公告、安全补丁，来保证网络服务程序的正常运行。

主要包含如下几个基本技术和功能：

　　内部网络行为管理、命令控制技术、细粒度策略控制功能、准确日志查询检索功能、菜单类操作回放审计功能、帐号密码的安全管理、FTP/SFTP文件安全传输、支持标准SYSLOG日志、即时操作“现场直播”的监控功能、程序重用与控制技术、逻辑命令自动识别技术、分布式处理技术、实时监控技术、日志二次备份技术、多进程/线程与同步技术、自动报表生成技术、连续跳转登录技术、多信道登录技术、数据加密功能、审计查询检索功能、操作还原技术、审计双向备份技术等。

堡垒主机目前一般有以下三种类型：

无路由双宿主主机、牺牲主机和内部堡垒主机　1.无路由双重宿主主机

　　无路由双重宿主主机有多个网络接口，但这些接口间没有信息流，这种主机本身就可以作为一个防火墙，也可以作为一个更复杂的防火墙的一部分。

无路由双重宿主主机的大部分配置类同于其它堡垒主机，但是用户必须确保它没有路由。

如果某台无路由双重宿主主机就是一个防火墙，那么它可以运行堡垒主机的例行程序。

　　2.牺牲品主机

　　有些用户可能想用一些无论使用代理服务还是包过滤都难以保障安全的网络服务或者一些对其安全性没有把握的服务。

针对这种情况，使用牺牲品主机就是非常有用的（也称替罪羊主机）。

牺牲品主机是一种上面没有任何需要保护信息的主机，同时它又不与任何入侵者想要利用的主机相连。

用户只有在使用某种特殊服务时才需要用到它。

　　牺牲品主机除了可让用户随意登录外，其配置基本上与其它堡垒主机一样。

用户总是希望在堡垒主机上存有尽可能多的服务与程序。

但是牺牲品主机出于安全性的考虑，不可随意满足用户的要求，否则会使用户越来越信任牺牲品主机而违反设置牺牲品主机的初衷。

牺牲品主机的主要特点是它易于被管理，即使被侵袭也无碍内部网的安全。

　　3.内部堡垒主机

　　在大多数配置中，堡垒主机可与某些内部主机有特殊的交互。

例如，堡垒主机可传送电子邮件给内部主机的邮件服务器、传送Usenet新闻给新闻服务器、与内部域名服务器协同工作等。

这些内部主机其实是有效的次级堡垒主机，对它们就应象保护堡垒主机一样加以保护。

我们可以在它的上面多放一些服务，但对它们的配置必须遵循与堡垒主机一样的过程。

趋势内控堡垒主机：

　　趋势内控堡垒主机具备强大的输入输出审计功能，不仅能够详细记录用户操作的每一条指令，而且能够将所有的输出信息全部记录下来，并且趋势内控堡垒主机具备审计回放的功能，能够模拟用户在线操作过程，大大丰富了内控审计的功能。

趋势内控堡垒主机能够在自身记录审计信息的同时在外部某台计算机上做存储备份，可以大大增强审计信息的安全性，保证审计人员有据可查。

　　产品特色

　　执行单元功能：

执行单元负责完成命令的采集、策略动作执行等功能。

执行单元安装在服务器上，同用户使用环境和习惯相配合，完成对用户行为的监视与控制功能。

　　日志服务功能：

强执行单元日志服务负责记录服务器上发生过的命令，输出屏幕和原始硬拷贝流，以供事后分析和调查取证。

趋势内控堡垒主机日志服务将日志记录为文本文件，同时可以向其他日志服务器发送SYSLOG日志。

执行单元日志服务记录每个用户登录系统的用户名，登陆IP地址，登陆时间以及在服务器上操作的所有命令。

执行单元日志服务和管理单元配合，完成对日志的记录、分析和查询等工作。

　　管理单元日志查询：

趋势内控堡垒主机日志支持多种方式查询，例如：

服务器,用户名,登录地址,登录时间等。

支持对日志备份和删除的操作

　　执行单元实时监控功能：

执行单元实时监视服务器上正在发生的行为，可以实时察看用户执行的命令、执行结果等；

　　系统功能

　　逻辑命令自动识别技术：

趋势内控堡垒主机自动识别当前操作终端，对当前终端的输入输出进行控制，组合输入输出流，自动识别逻辑语义命令。

系统会根据输入输出上下文，确定逻辑命令编辑过程，进而自动捕获出用户使用的逻辑命令。

该项技术解决了逻辑命令自动捕获功能，在传统键盘捕获与控制领域取得新的突破，可以更加准确的控制用户意图。

该技术能自动识别命令状态和编辑状态以及私有工作状态，准确捕获逻辑命令。

　　分布式处理技术：

趋势内控堡垒主机采用分布式处理架构进行处理，启用命令捕获引擎机制，通过策略服务器完成策略审计，通过日志服务器存储操作审计日志，并通过实时监视中心，实时察看用户在服务器上行为。

这种分体式设计有利于策略的正确执行和操作记录日志的安全。

同时，各组件之间采用安全连接进行通信，防止策略和日志被篡改。

各组件可以独立工作，可以分布于不同的服务器上，亦可所有组件安装于一台服务器。

　　正则表达式匹配技术：

趋势内控堡垒主机采用正则表达式匹配技术，将正则表达式组合入树型可遗传策略结构，实现控制命令的自动匹配与控制。

树型可遗传策略适合现代企业事业架构，对于服务器的分层分级管理与控制，相当有用。

　　实时监控技术：

趋势内控堡垒主机实现远程值班中心和实时监控中心，对服务器运行状态进行监控。

实时监控中心直接和命令捕获引擎通信，避免日志服务器和策略服务器的运行负载，有利于系统实时性的提高。

　　多进程/线程与同步技术：

趋势内控堡垒主机主体采用多进程/线程技术实现，利用独特的通信和数据同步技术，准确控制程序行为。

多进程/线程方式逻辑处理准确，事务处理不会发生干扰，这有利于保证系统的稳定性、健壮性。

　　数据加密功能：

趋势内控堡垒主机在处理用户数据时都采用相应的数据加密技术来保护用户通信的安全性和数据的完整性。

防止恶意用户截获和篡改数据。

充分保护用户在操作过程中不被恶意破坏。

　　审计查询检索功能：

自从<<萨班斯法案>>的推出，企业内控得到了严格的审查，企业的内部审计显得非常重要。

趋势内控堡垒主机能够为企业内部网络提供完全的审计信息，这些审计信息能够为企业追踪用户行为，判定用户行为等，能够还原出用户的一些操作性为。

传统审计关联到IP，这本身是一个不确定的和不负责任的审计结果，因为IP信息不能够真实反应出真实的操作者是谁，从而企业内部网络出现问题不能追踪用户。

趋势内控堡垒主机能够对这些用户关联审计行为，就是说真正能够把每一次审计出的用户操作性为绑定到自然人身上，便于企业内部网络管理追踪到个人。

　　操作还原技术：

操作还原技术是指将用户在系统中的操作行为以真实的环境模拟显现出来，审计管理员可以根据操作还原技术还原出真实的操作，以判定问题出在哪里。

趋势内控堡垒主机采用操作还原技术能够将用户的操作流程自动地展现出来，能够监控用户的每一次行为，判定用户的行为是否对企业内部网络安全性造成危害。

LanSecS内控管理平台（堡垒主机）：

　　内控堡垒主机是一种被加固的可以防御进攻的计算机，具备很强的安全防护能力。

内控堡垒主机扮演着看门者的职责，所有对网络设备和服务器的请求都要从这扇大门经过。

因此内控堡垒主机能够拦截非法访问和恶意攻击，对不合法命令进行阻断、过滤掉所有对目标设备的非法访问行为。

　　LanSecS内控管理平台（堡垒主机）具体有强大的输入输出审计功能，不仅能详细记录用户操作的每一条指令，而且能够通过回放的功能，将其动态的展现出来，大大丰富了内控审计的功能。

LanSecS内控管理平台（堡垒主机）自身审计日志，可以极大增强审计信息的安全性，保证审计人员有据可查。

　　LanSecS内控管理平台（堡垒主机）还具备图形终端审计功能，能够对多平台的多种终端操作审计，例如windows平台的RDP形式图形终端操作。

　　为了给系统管理员查看审计信息提供方便性，LanSecS内控管理平台（堡垒主机）提供了审计查看检索功能。

系统管理员可以通过多种查询条件查看审计信息。

　　总之，LanSecS内控管理平台（堡垒主机）能够极大的保护企业内部网络设备及服务器资源的安全性，使得企业内部网络管理合理化和专业化。

堡垒主机目前一般有以下三种类型：

（1）无路由双重宿主主机；

（2）牺牲品主机；

（3）内部堡垒主机。

1.无路由双重宿主主机

无路由双重宿主主机有多个网络接口，但这些接口间没有信息流，这种主机本身就可以作为一个防火墙，也可以作为一个更复杂的防火墙的一部分。

无路由双重宿主主机的大部分配置类同于其它堡垒主机，但是用户必须确保它没有路由。

如果某台无路由双重宿主主机就是一个防火墙，那么它可以运行堡垒主机的例行程序。

2.牺牲品主机

有些用户可能想用一些无论使用代理服务还是包过滤都难以保障安全的网络服务或者一些对其安全性没有把握的服务。

针对这种情况，使用牺牲品主机就是非常有用的（也称替罪羊主机）。

牺牲品主机是一种上面没有任何需要保护信息的主机，同时它又不与任何入侵者想要利用的主机相连。

用户只有在使用某种特殊服务时才需要用到它。

牺牲品主机除了可让用户随意登录外，其配置基本上与其它堡垒主机一样。

用户总是希望在堡垒主机上存有尽可能多的服务与程序。

但是牺牲品主机出于安全性的考虑，不可随意满足用户的要求，否则会使用户越来越信任牺牲品主机而违反设置牺牲品主机的初衷。

牺牲品主机的主要特点是它易于被管理，即使被侵袭也无碍内部网的安全。

3.内部堡垒主机

在大多数配置中，堡垒主机可与某些内部主机有特殊的交互。

例如，堡垒主机可传送电子邮件给内部主机的邮件服务器、传送Usenet新闻给新闻服务器、与内部域名服务器协同工作等。

这些内部主机其实是有效的次级堡垒主机，对它们就应象保护堡垒主机一样加以保护。

我们可以在它的上面多放一些服务，但对它们的配置必须遵循与堡垒主机一样的过程。

二、堡垒主机建设的诸因素的选择

建设堡垒主机时，有下列因素是我们必须考虑的：

（1）选择操作系统；

（2）对机器的速度的要求；

（3）堡垒主机的硬件配置；

（4）堡垒主机的物理位置。

1.选择操作系统

应该选择较为熟悉的、较为安全的操作系统作为堡垒主机的操作系统。

一个配置好的堡垒主机是一个具有高度限制性的操作环境的软件平台，对它的进一步开发与完善最好应在其它机器上完成后再移植。

这样做也为在开发时与内部网的其它外设与机器交换信息时提供方便。

用户需要能够可靠地提供一系列Internet服务的机器，这些服务能够为多个用户同时工作，如果用户的网点全部使用MS－DOS、Windows或者Macintosh系统，这时便发现还需要其它的平台（或是UNIX、WindowsNT等）作为用户的堡垒主机。

由于，UNIX是能提供Internet服务的最流行操作系统，当堡垒主机在UNIX操作系统运行时，有大量现成的工具可以使用。

因此，在没有发现更好的操作系统之前，可选用UNIX作为堡垒主机的操作系统。

同时，在UNIX下面也易于找到建立堡垒主机的工具软件。

当然还可以选择其它操作系统，但要考虑对以后的工作的影响。

2.对机器速度的要求

作为堡垒主机的计算机并不要求有很高的速度。

实际上，选用功能并不十分强大的机器作为堡垒主机反而更好。

除了经费问题外，选择机器只要物尽其用即可，因为在堡垒主机上提供的服务运算量并不很大。

人们经常使用速度介于2－5MIPS的机器（如Sun－3、386或486的UNIX平台）作为堡垒主机。

这些机种对普通的使用已经足够了。

堡垒主机上的运算量并不很大。

对其运算速度的要求主要由它的内部网和外部网的速度决定。

网络在56KB/S（T1干线）速度下，处理电子邮件、DNS、FTP和代理服务并不占用很多CPU资源。

但是如果在堡垒主机上运行具有压缩/解压功能的软件（如NNTP）和搜索服务（如WWW）或有可能同时为几十个用户提供代理服务，那就需要更高速的机器了。

如果站点在Internet上非常受欢迎，那么对外的服务也很多，也就需要速度较快的机器来充当堡垒主机。

针对这种情况，也可使用多堡垒主机结构。

在Internet上提供多种连接服务的大公司一般均有多台高速、大型的堡垒主机。

不使用功能过高的机器充当堡垒主机主要出于下列考虑：

1）低档的机器对入侵者的吸引力要小一些。

入侵者往往以入侵高档计算机为荣。

2）若堡垒主机被破坏，低档的堡垒主机对于入侵者进一步侵入内部网提供的帮助要小一些。

因为它编译较慢，运行一些有助于入侵的破密码程序也较慢。

所有这些因素会使入侵者对侵入我们的内部网络的兴趣减少，也容易被用户发现。