运维审计系统----堡垒机的部署

Posted 可乐卷儿

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了运维审计系统----堡垒机的部署相关的知识，希望对你有一定的参考价值。

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

文章目录

# 一、项目环境

管理工作站通过运维堡垒机管理Windows和Centos主机，管理工作站无法直接与被管主机通信，管理工作站操作行为可审计、可回放
准备三台虚拟机，2台linux操作系统（安装麒麟堡垒机 和安装Centos主机）、1台微软操作系统（Win10)，如下：

二、堡垒机部署

1、安装前置知识点说明

安装方式分为安装包安装方式和ISO安装方式，安装包方式为先安装一个Centos 7.x系统，然后下载安装包进行安装，安装过程需要有可连接的yum源，
ISO方式为下载ISO，硬件服务器只支持STAT硬盘，将ISO记录成光盘（注意不支持U盘）后，进行一键安装，或将ISO文件挂在虚机上进行一键安装。
二者不同点为，安装包方式必须先安装一个Centos7.x系统，ISO安装方式将操作系统和软件进行一体安装，并且将会格式化安装目标机硬盘。

2、ISO安装方式

硬件需求: 内存>=1G、CPU >=1核、硬盘>=10G（硬盘必须为STAT模式，另外支持虚机vda模式）

ISO 下载:http://get.tosec.com.cn/open.iso

ISO安装注意事项：

  1. 硬件服务器必须用光盘安装，目前不支持U盘启动安装
  2. 系统安装完成后，默认IP为192.168.1.100，需要修改IP后使用
    系统使用光盘启动后，打开安装界面，直接进行回车即可完成安装。

注： 默认在install blj选项，如果非2T以上的STAT硬盘都要用这个模式，如果硬盘大于2T，请用GPT模式，如果在KVM类型虚机中使用vda硬盘，请使用install vda模式

系统安装完成后会自动重启，后台登录方式为ssh 2288口，用户名root，密码blj2015BLJ,登录后请修改root密码。

3、虚拟机安装堡垒机

– 点击【新建虚拟机】–点击【自定义高级】
–页面【选择虚拟机硬件兼容性】–点击【下一步】
–页面【安装客户机操作系统】–点击【稍后安装操作系统】–点击【下一步】
–页面【安装客户机操作系统】–点击【Linux】–选择【Cento7 64位】–点击【下一步】
–页面【命名虚拟机】–【虚拟机名称】输入:堡垒机–【位置】浏览：位置自己拟定----点击【下一步】
–页面【处理器配置】–【处理器数量】输入:2–【每个处理器的内核数量】输入:2—点击【下一步】
–页面【此虚拟机内存】–【此虚拟机内存】输入:4096M—点击【下一步】
–页面【使用网络地址转换NAT】—点击【下一步】
–页面【选择I/O控制类型】默认—点击【下一步】
–页面【选择磁盘类型】–点击【SATA】—点击【下一步】
–页面【选择磁盘】–点击【创建新虚拟机】—点击【下一步】
–页面【指定磁盘容量】–点击【最大磁盘大小】输入：300G —点击【下一步】
–页面【指定磁盘文件】默认 —点击【下一步】
–页面【已准备好创建虚拟机】默认 —点击【自定义硬件】
–页面【硬件】 —点击【添加】—点击【网络适配器】–找到新加的网卡【自定义】：VM1–点击【确定】–点击【完成】
–页面【硬件】 —点击【CD/DVD】—点击【使用ISO映像文件】–点击【浏览】：找到堡垒机的镜像ISO文件–点击【确定】
–页面【硬件】 点击【关闭】
–页面【已准备好创建虚拟机】 —点击【完成】
–点击【堡垒机】：开机
–页面【Centos 7】 —点击【install blj <2T disk use】—回车 ###此时出现麒麟堡垒机安装的页面
耐心等待，安装后会重启堡垒机
–页面【Centos 7 Core】 —点击【Audit login】输入：root —回车
—提示输入密码【Password】输入：blj2015BLJ —回车
进入linux命令行界面，修改网卡信息

【root@audit ~】#  ifconfig

发现2张网卡：eth0 和eth1 eth0配置IP地址192.168.1.100 eth1是新添加的没有IP地址信息
eth0:NAT
eth1:VM1

编辑网卡信息

【root@audit ~】#  vi /etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE=eth0
ONBOOT=yes
IPADDR=192.168.35.80
NETMASK=255.255.255.0
GATEWAY=20.0.0.2

【root@audit ~】#  vi /etc/sysconfig/network-scripts/ifcfg-eth1
DEVICE=eth1
ONBOOT=yes
IPADDR=192.168.10.108
NETMASK=255.255.255.0

【root@audit ~】#  systemctl restart network	##重启网络

4、使用SecureCRT登录堡垒机

–点击【连接】–输入【Hostname】192.168.35.80–输入【Port】2288–输入【Username】root
–点击【connect】–点击【Password】输入:blj2015BLJ --勾选【Save Password】–点击【OK】

5、WEB页面浏览堡垒机

打开浏览器输入：https://192.168.35.80 （使用360浏览器/qq浏览器，谷歌无法打开）
–页面【中远麒麟iAudit 运维审计系统】
–点击【用户名】admin
–点击【口令】12345678
–点击【认识方式】登录名
–点击【登录】

出现中远麒麟iAudit 运维审计系统 的页面

【服务器状态】【系统状态】【双击配置】。。。。。。

。。。。。

三、部署安装Windows server

Centos 7.6IP地址规划：192.168.10.100关闭防火墙关闭核心防护开启ssh远程访问服务root 123456
Windows 10IP地址规划：192.168.10.101关闭防火墙开通3389远程administrator 123456

Windows10专业版的用户可以通过修改组策略实现
路径如下：
运行(Win+R键)，输入gpedit.msc
本地组策略：
计算机配置>管理模板>系统>凭据分配>加密Oracle修正
选择“启用”并选择“易受攻击”

四、堡垒机设置

  • 添加Web用户“admin01”、“admin02”、“admin03”和用户组“admins”，
  • 添加设备组“servers”，再添加设备用户“Windows”和“Centos”。
  • 为用户授权：admin01作为超级管理员可管理Windows和Centos两台主机，admin02只能管理Windows主机，admin03只能管理Centos主机。
  • 在管理工作站使用SSH工具通过运维堡垒机登录Centos主机并执行目录浏览等常见操作，在管理工作站使用远程桌面工具通过堡垒机登录Windows主机并执行目录浏览等操作。
  • 审计用户的操作行为，确认操作账户、操作时间、操作类型等信息。
  • 回放用户的操作行为。

1、添加Web用户和用户组

添加Web用户“admin01”、“admin02”、“admin03”和用户组“admins“

–点击【资源管理】–点击【用户组管理】–点击【添加新节点】
–点击【节点名】输入：admins
–点击【属性】选择：用户
–点击【确认】
–点击【资源管理】–点击【web用户】–点击【添加用户】
–点击【用户名】输入：admin01
–点击【真是姓名】输入：张三
–点击【密码】输入：123456!@#
–点击【确认密码】输入：123456!@#
–点击【用户组】选择资源组：admins
–点击【保存修改】
–点击【资源管理】–点击【web用户】–点击【添加用户】
–点击【用户名】输入：admin02
–点击【真是姓名】输入：李四
–点击【密码】输入：123456!@#
–点击【确认密码】输入：123456!@#
–点击【用户组】选择资源组：admins
–点击【保存修改】
–点击【资源管理】–点击【web用户】–点击【添加用户】
–点击【用户名】输入：admin03

–点击【真是姓名】输入：王五

–点击【密码】输入：123456!@#
–点击【确认密码】输入：123456!@#
–点击【用户组】选择资源组：admins
–点击【保存修改】

2、添加设备组“servers”，再添加设备用户“Windows”和“Centos”

–点击【资源管理】–点击【设备管理】–点击【设备组管理】–点击【添加新节点】
–点击【用户名】输入：servers
–点击【属性】选择：设备
–点击【确认】
–点击【资源管理】–点击【设备管理】–点击【设备管理】–点击【添加】
–点击【主机名】输入：Centos
–点击【设备类型】选择：linux
–点击【IPv4】输入：192.168.10.100
–点击【设备组】选择资源组：servers
–点击【保存修改】
–点击【资源管理】–点击【设备管理】–点击【设备管理】–点击【添加】
–点击【主机名】输入：Windows
–点击【设备类型】选择：Windows
–点击【IPv4】输入：192.168.10.101
–点击【设备组】选择资源组：servers
–点击【保存修改】

为用户授权：admin01作为超级管理员可管理Windows和Centos两台主机，admin02只能管理Windows主机，admin03只能管理Centos主机

3、Centos授权

–点击【资源管理】–点击【设备管理】–点击【设备管理】–找到192.168.10.100点击【用户】–点击【添加】
–点击【用户名】输入：root
–点击【原始密码】输入：123456
–点击【再次输入原始密码】输入：123456
–点击【登录方式】选择SSH
–点击【端口】选择22
–找到【只显示未授权】勾选admin01(张三)、勾选admin02(李四)
–点击【保存修改】

4、Windows授权

–点击【资源管理】–点击【设备管理】–点击【设备管理】–找到192.168.10.101点击【用户】–点击【添加】
–点击【用户名】输入：ZW1 （虚拟win的账号密码，与真机一致）
–点击【原始密码】输入：y
–点击【再次输入原始密码】输入：y
–点击【登录方式】选择RDP
–点击【端口】选择3389
–找到【只显示未授权】勾选admin01(张三)、勾选admin03(王五)
–点击【保存修改】

在管理工作站使用SSH工具通过运维堡垒机登录Centos主机并执行目录浏览等常见操作，在管理工作站使用远程桌面工具通过堡垒机登录Windows主机并执行目录浏览等操作。

●使用 SecureCRT 或 Xshell、Putty 等任何一种工具，在目标 IP 中输入运维堡垒机 IP，用户名为运维堡垒机 Web 用户名，密码为登录运维堡垒机 Web 用户密码

5、打开SecureCRT

–点击【快速链接】–点击【主机名】输入：192.168.35.80
–点击【端口】输入：22
–点击【用户名】admin01
–点击【链接】
–输入密码：123456!@#
–找到【Input】输入：1

输出信息如下：

Your password will be expired in 99999 days.
Welcome to Baoleiji System.
Please select an IP Address:
[1]192.168.10.100                          Centos                             root                     [P]Previous page.        [N]Next page.            [Q]Quit.]IP Address.
Input: 1
Last login: Thu Oct  8 04:35:17 2020 from 192.168.10.1
[root@localhost ~]# 
[root@localhost ~]# ifconfig 
ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.35.40  netmask 255.255.255.0  broadcast 192.168.35.255
        inet6 fe80::20c:29ff:fe01:e611  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:01:e6:11  txqueuelen 1000  (Ethernet)
        RX packets 935708  bytes 840430809 (801.4 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 463000  bytes 64693462 (61.6 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

ens37: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.10.100  netmask 255.255.255.0  broadcast 192.168.10.255
        inet6 fe80::20c:29ff:fe01:e61b  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:01:e6:1b  txqueuelen 1000  (Ethernet)
        RX packets 29761  bytes 22439637 (21.4 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 4763  bytes 358585 (350.1 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions


在真机环境下WIn10 打开远程桌面链接
–点击【计算机】输入：192.168.35.80
–页面【堡垒机登录】
–点击【堡垒机登录】admin01
–点击【堡垒机密码】123456!@#
—页面【服务器选项】
–点击【服务器IP】选择192.168.10.101(需要保证虚拟win10是开机状态)
–点击【确定】

五、审计用户的操作行为

1、centos监控-ssh

1. 确认操作账户、操作时间、操作类型等
打开麒麟审计系统----运维审计----操作审计—下载

2. 回放用户的操作行为
打开麒麟审计系统----其他----工具下载----ssh恢复程序—双击下载的ssh回放程序–播放审计下载的视频


2、win10监控-RDP

下面没有啦~~~你会了吗？
不会?
emm…
再看一遍，好吧(╯▽╰)

以上是关于运维审计系统----堡垒机的部署的主要内容，如果未能解决你的问题，请参考以下文章

运维安全审计系统与堡垒机什么关系？

堡垒机的作用与原理

目前堡垒机做的最强的是哪家公司，他们的产品有啥优势？

Linux之Jumpserver堡垒机的部署/搭建

碉堡堡垒机的工作原理是啥啊？

堡垒机（python产品）