堡壘機，讓運維人員不再做“黑鍋俠”
由於來源身份不明、越權操作、密碼洩露、資料被竊、違規操作等因素，都可能會使運營的業務系統面臨嚴重威脅。一旦發生事故，如果不能快速定位事故原因，運維人員往往就會背黑鍋。
幾種常見的背黑鍋場景
1、由於不明身份利用遠端運維通道攻擊伺服器造成業務系統出現異常。但是運維人員無法明確攻擊來源，那麼領導很生氣、後果很嚴重。
2、只有張三能管理的伺服器，被李四登入過並且做了違規操作。但是沒有證據是李四登入的，那麼張三隻能背黑鍋了。
3、運維人員不小心洩露了伺服器的密碼。一旦發生安全事故，那麼後果不堪設想。
4、某伺服器的重要資料被竊。但是資料檔案無法挽回，那麼面臨的是無法估量的經濟損失。
背黑鍋的原因
解決背黑鍋的必殺技
作為運維人員，如何擺脫以上背黑鍋的尷尬局面呢？也許堡壘機是一個破解此局面的必殺技。
1、統一入口、規範管理
提供統一入口，所有運維人員只能登入堡壘機才能訪問伺服器，梳理“人與伺服器”之間的關係，防止越權登入。
2、利用手機APP動態口令等驗證機制
採用手機APP動態口令、OTP動態令牌、USBKEY、簡訊口令等雙因素身份實名鑑別機制，防止密碼被暴力破解，解決訪問身份模糊的問題。
3、託管伺服器密碼，實現自動改密
通過堡壘機定期自動修改伺服器的密碼，解決手工修改密碼、密碼洩露和記住密碼的煩惱。
1、可自動修改Windows、Linux、Unix、網路裝置等作業系統的密碼
2、可以設定週期或指定時間執行改密任務
3、可設定密碼的複雜度、隨機密碼、指定密碼、固定密碼格式等
4、可通過郵件、SFTP、FTP方式自動傳送密碼檔案給管理員
5、提供密碼容錯機制：改密前自動備份、備份失敗不改密、改密後自動備份、自動恢復密碼等
4、事中控制，防止違規操作
作為運維人員，如何擺脫以上背黑鍋的尷尬局面呢？也許堡壘機是一個破解此局面的必殺技。
1、通過命令控制策略，攔截高危、敏感的命令
2、通過命令稽核策略，審批需要執行但又不能隨意執行的命令
3、通過檔案傳輸控制策略，防止資料、檔案的洩露
5、精細化審計，追溯整個運維過程
堡壘機要做到檔案記錄、視訊回放等精細化完整審計，快速定位運維過程：
1、不僅要對所有操作會話的線上監控、實時阻斷、日誌回放、起止時間、來源使用者、來源地址、目標地址、協議、命令、操作(如對檔案的上傳、下載、刪除、修改等操作等)等行為記錄。
2、還要能儲存SFTP/FTP/SCP/RDP/RZ/SZ傳輸的檔案，為上傳惡意檔案、拖庫、竊取資料等危險行為起到了追蹤依據。
文章出處：運維審計