文档介绍：主题
*
堡垒机
*
上海中科网威信息技术有限公司是专业从事信息系统安全的高科技企业。
国家应急响应中心支撑单位、上海世博会应急保障单位。
国家首批信息安全服务资质（ISCCC）认证单位。
受公安部委托负责“网络安全扫描”、“入侵检测”等6项行业标准的制定。
负责起草“防火墙”、“***”等产品的国家标准。
专业的技术支持团队全天候提供支持服务。
公司介绍
*
堡垒机
*
运维工作的重要性
随着信息化的发展，企业IT系统建设重点:
从网络、平台建设逐渐转向深化应用、提升效益为特征的运维阶段。
*
堡垒机
*
传统运维模式的安全隐患
操作不透明
过程不可控
身份不明确
授权不清晰
结果无法审计
责任不明确
*
堡垒机
*
IT安全运维的挑战
后果
内部操作权限滥用
难以定位账号的实际责任人
机密数据被窃取
原因
帐号管理混乱
粗放式权限管理
多个用户使用同一个账号
一个用户使用多个账号
临时账号
缺少统一的运维操作授权策略
授权粒度粗
损失
自身日志审计难以发现违规行为
传统安全审计盲区
第三方代维带来安全隐患
代维人员流动性大、缺少行为监控
设备自身日志粒度粗
日志分散
内容深浅不一
传统网络安全审计难以满足运维要求
无法审计加密协议、远程桌面内容
基于IP的审计
后果
业务中断
财务
声誉
*
堡垒机
*
公安部-《信息系统等级保护》
《GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求》及《信息系统等级保护安全设计技术要求》
财政部-《企业内部控制基本规范》
该规范的关键点是如何把IT内控与企业内控管理统一起来，信息安全审计则成为企业IT内控、安全风险管理的不可或缺的技术手段。
行业
银监会《商业银行内部控制指引》、《商业银行操作风险管理指引》（该指引明确要求”商业银行应按照指引要求，建立操作风险管理体系，有效地识别、评估、监测和控制/缓释操作风险”。)
上交所《上海证券交易所上市公司内部控制指引》
巴塞尔新资本协议
深交所信息安全评估准则
中国电信《CTG-MBOSS安全规范》
***集团内控手册
中国电信内控手册
美国上市公司须遵循的萨班斯（Sarbance Oxley）法案
相关法规
法规遵从
*
堡垒机
*
前提: 集中管理
集中账号管理
基于唯一身份标识的全局管理
统一账号管理策略，实现与各服务器、网络设备等无缝连接
集中访问控制
集中统一的访问控制和细粒度的命令级授权策略
集中安全审计
基于唯一身份标识，全程审计用户对从登录到退出的操作行为。
SR-FORT
*
堡垒机
*
集中安全管理审计平台
SR-FORT
转变
逻辑上将人与目标设备分离，全局唯一身份标识。
转变传统IT安全运维的被动响应模式，建立面向用户的集中、主动的安全管控模式。
由面及点的管理方式，让安全管理精确制导。
*
堡垒机
*