麒麟开源堡垒主机在等保上的合规性分析

Posted 2020-07-25

       

信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查五个阶段。  

我国的信息安全等级保护共分为五级，级别越高，要求越严格。

我国的信息安全等级保护主要标准包括，《信息系统等级保护安全设计技术要求（GBT 25070—2010）》和《信息系统安全等级保护基本要求（GBT 22239-2008）》。

根据上述二个标准，可以发现堡垒机一般在信息安全等级保护中，主要可以在身份鉴别、访问控制、安全审计、完整性加密性检查等方面进行匹配，下面从标准中摘抄内容说明如下：

1、 用户身份鉴别（等级保护三要求合规性）

需要采用两种或两种以上组合方式进行身份验证。堡垒机拥有本地认证、AD域认证、Radius认证、数字证书认证，提供外部接口可供指纹识别认证、UKEY（移动数据证书）认证，满足三级系统的设计要求。

说明：身份鉴别从等级保护三开始，必须要进行双因素，通过双因素去鉴别到个体，而如果将双因素（比如动态口令）部署到所有的生产服务器，成本非常高而且很容易出生产事故，堡垒机的上线可以合理的例规本条，麒麟开源堡垒机上内置了CA、动态口令、指纹识别、USBKEY证书等强认证，在不动生产系统的情况下即合规身份鉴别。

2、 自主访问控制

应在安全策略控制范围内，使用户对其创建的客体具有相应的访问操作权限，并能将这些权限的部分或全部授予其他用户。自主访问控制主体的粒度为用户级，客体的粒度为文件或数据库表级和（或）记录或字段级。

说明：堡垒机通过给每个用户建立一个堡垒机帐号（主帐号），并且将设备帐号（从帐号）分配给主帐号完成授权，同时授权时可以绑定来源IP限制、可运行命令限制、可登录时间限制等多种规则，可以完全合规访问控制要求。

3、 标记和强制访问控制

在对安全管理员进行身份鉴别和权限控制的基础上，应由安全管理员通过特定操作界面对主、客体进行安全标记；应按安全标记和强制访问控制规则，对确定主体访问客体的操作进行控制。

说明:麒麟开源堡垒机有管理员、分组管理员、审计员等角色，管理员可以对设备、用户、权限进行配置并且标记，同时所有的配置过程都会被记录，记录可以由审计员进行审计，因此，管理员必须按要求写严格的访问控制规则，达到本条合规。

4、 系统安全审计

应记录系统的相关安全事件。审计记录包括安全事件的主体、客体、时间、类型和结果等内容。应提供审计记录查询、分类、分析和存储保护；确保对特定安全事件进行报警；确保审计记录不被破坏或非授权访问。应为安全管理中心提供接口。

说明：麒麟开源堡垒机telnet/ftp/ssh/sftp/scp/rdp/vnc/x11/db操作/http/https/各种CS程序进行审计；其中，字符协议除了录相可以识别命令，图形协议除了录相可以识别键盘记录等。

麒麟开源堡垒机作本身的录相为自有加密格式，并且存贮在专门的空间中，可以有效避免数据遭到破坏或非授权的访问删除、增加、篡改；而且又分为管理员、审计员、密码管理员以进行三权分立相互辖制，管理员的任何操作都受审计员的审计。

麒麟开源堡垒机支持以SYSLOG、短信、邮件方式对用户定制的特殊事件进行报警。

因此，通过上述审计及三权分立、告警功能，麒麟开源堡垒机本条例合规。

5、 用户数据完整性保护、用户数据保密性保护、客体安全重用、程序可信执行保护堡垒主机在信息安全等级保护制度中的探究与应用。

麒麟开源堡垒机使用HTTPS、RDP、SSH等加密协议进行通信链路的传输，本地录相文件都通过自有的算法进行加密存贮，不通通过通用软件进行播放，重要文件都有MD5值的记录，因此，麒麟开源堡垒机本条例合规。

麒麟开源堡垒机从网络安全、主机安全、应用安全到数据安全中的身份鉴别、访问控制、安全审计、数据安全各方面均合规，成为等级保护方案中必采的设备。