堡壘機在等保2.0中的控制點(diǎn)及核心功能
對運維人員的細粒度訪(fǎng)問(wèn)控制、運維過(guò)程的步步管控、全方位的操作審計，實(shí)現運維過(guò)程的“事前預防、事中控制、事后審計”，契合等保2.0中安全管理中心和安全計算環(huán)境的相關(guān)要求。
1、集中認證：托管主機的賬戶(hù)和密碼，運維人員直接點(diǎn)擊<登錄>即可成功自動(dòng)登錄到目標主機中進(jìn)行運維操作，無(wú)需輸入主機的賬戶(hù)和密碼，支持雙因素認證。
2、集中賬號：支持多種用戶(hù)角色，每種用戶(hù)角色的權限都不同，為用設立不同的角色提供了選擇，并且滿(mǎn)足合規對三權分立的要求。
3、集中權限：通過(guò)集中授權，幫助客戶(hù)梳理用戶(hù)與主機直接的關(guān)系，并且提供一對一、一對多、多對一、多對多的靈活授權模式。
4、集中審計：對所有的操作進(jìn)行詳細記錄，并提供綜合查詢(xún)功能；審計日志可以在線(xiàn)播放也可以離線(xiàn)播放，所有的審計日志支持自動(dòng)備份和自動(dòng)歸檔。
安全通信網(wǎng)絡(luò )層面要求與相關(guān)功能
控制點(diǎn)1：網(wǎng)絡(luò )架構
測評項：應提供通信線(xiàn)路、關(guān)鍵網(wǎng)絡(luò )設備和關(guān)鍵計算設備的硬件冗余，保證系統的可用性。
控制點(diǎn)2：通信傳輸
測評項：應采用密碼技術(shù)保證通信過(guò)程中數據的保密性。
相關(guān)功能
1、支持HA主備模式，管理口和心跳口須支持多鏈路端口綁定功能，防止單網(wǎng)卡或單線(xiàn)故障。2、支持多臺堡壘機異地備份部署，每臺設備都能提供運維和審計服務(wù)，配置數據自動(dòng)同步。3、支持集群部署模式，中心采用HA，節點(diǎn)可以橫向擴展，實(shí)現統一登錄入口、統一配置同步、審計日志集中存儲、實(shí)時(shí)會(huì )話(huà)集中監控，以滿(mǎn)足業(yè)務(wù)增長(cháng)需求。
4、內置VPN模塊，無(wú)需與其他VPN設備聯(lián)動(dòng)，實(shí)現運維入口安全接入。
安全計算環(huán)境層面要求與相關(guān)功能
控制點(diǎn)1：身份鑒別
測評項：
1、應對登錄的用戶(hù)進(jìn)行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求并定期更換；
2、當進(jìn)行遠程管理時(shí)，應采取必要措施防止鑒別信息在網(wǎng)絡(luò )傳輸過(guò)程中被竊聽(tīng)；
控制點(diǎn)2：訪(fǎng)問(wèn)控制
測評項：
1、應對登錄的用戶(hù)分配賬戶(hù)和權限；
2、應重命名或刪除默認賬戶(hù)，修改默認賬戶(hù)的默認口令；
3、應授予管理用戶(hù)所需的最小權限，實(shí)現管理用戶(hù)的權限分離；
4、應由授權主體配置訪(fǎng)問(wèn)控制策略，訪(fǎng)問(wèn)控制策略規定主體對客體的訪(fǎng)問(wèn)規則；
控制點(diǎn)3：安全審計
測評項：
1、應啟用安全審計功能，審計覆蓋到每個(gè)用戶(hù)，對重要的用戶(hù)行為和重要安全事件進(jìn)行審計
2、審計記錄應包括事件的日期和時(shí)間、用戶(hù)、事件類(lèi)型、事件是否成功及其他與審計相關(guān)的信息；
3、應對審計記錄進(jìn)行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等；
相關(guān)功能：
1、內置手機APP 認證（谷歌動(dòng)態(tài)口令驗證）、OTP 動(dòng)態(tài)令牌、USBkey 雙因素認證引擎。提供短信認證、AD、LDAP、RADIUS 認證接口。
2、內置VPN模塊，無(wú)需與其他VPN設備聯(lián)動(dòng)，實(shí)現運維入口安全接入。
3、支持用戶(hù)多角色劃分功能，如系統管理員、部門(mén)管理員、運維員、審計管理員、密碼管理員等，對各類(lèi)角色需要進(jìn)行細粒度的權限管理。
4、支持定期自動(dòng)修改windows服務(wù)器、網(wǎng)絡(luò )設備、linux/unix等目標設備密碼功能。
5、支持通過(guò)基于時(shí)間、IP/IP段、用戶(hù)/用戶(hù)組、設備/設備組、設備賬號、命令關(guān)鍵字、控制動(dòng)作、黑白名單等組合訪(fǎng)問(wèn)控制策略，授權用戶(hù)可訪(fǎng)問(wèn)的目標設備。
6、支持對運維操作會(huì )話(huà)的起止時(shí)間、來(lái)源用戶(hù)、來(lái)源IP、目標設備、協(xié)議/應用類(lèi)型、命令記錄、操作內容（如對文件的上傳、下載、刪除、修改等操作等）的詳細行為日志。
7、支持對會(huì )話(huà)的錄像進(jìn)行定期歸檔。
安全管理中心層面要求與相關(guān)功能
控制點(diǎn)1：系統管理
測評項：應對系統管理員進(jìn)行身份鑒別，只允許其通過(guò)特定的命令或操作界面進(jìn)行系統管理操作，并對這些操作進(jìn)行審計；
相關(guān)功能：
1、支持C/S、B/S、H5等方式進(jìn)行代理運維
2、支持管理Linux/Unix 服務(wù)器、Windows 服務(wù)器、網(wǎng)絡(luò )設備、文件服務(wù)器、Web 系統、數據庫服務(wù)器、虛擬服務(wù)器、遠程管理服務(wù)器等。
3、兼容Xshell 、XFTP 、SecureCRT 、MSTSC 、VNC Viewer 、Putty 、WinSCP、FlashFXP、SecureFX、OpenSSH 等多種客戶(hù)端工具。
4、支持通過(guò)基于時(shí)間、IP/IP段、用戶(hù)/用戶(hù)組、設備/設備組、設備賬號、命令關(guān)鍵字、控制動(dòng)作、黑白名單等組合訪(fǎng)問(wèn)控制策略，授權用戶(hù)可訪(fǎng)問(wèn)的目標設備。
