何为堡垒机

堡垒机是在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，运用各种技术手段监控和记录运维人员对网络内的服务器、网络设备、安全设备、数据库等设备的操作行为，以便集中报警、及时处理及审计定责的一种设备或系统。

从功能上讲，它综合了核心系统运维和安全审计管控两大主干功能；从技术实现上讲，通过切断终端计算机对网络和服务器资源的直接访问，采用协议代理的方式，接管了终端计算机对网络和服务器的访问。

堡垒机的核心思路是逻辑上将人与目标设备分离，建立“人-〉主账号（堡垒机用户账号）-〉授权—>从账号（目标设备账号）的模式。在这种模式下，基于身份标识，通过集中管控安全策略的账号管理、授权管理和审计，建立针对维护人员的“主账号-〉登录—〉访问操作-〉退出”的全过程完整审计管理，实现对各种运维加密/非加密、图形操作协议的命令级审计。

堡垒机的主要价值包括：

• 企业角度：通过细粒度的安全管控策略，保证企业的服务器、网络设备、数据库、安全设备等安全可靠运行，降低人为安全风险，避免安全损失，保障企业效益。
• 管理员角度：所有运维账号的管理在一个平台上进行管理，账号管理更加简单有序；通过建立用户与账号的对应关系，确保用户拥有的权限是完成任务所需的最小权限；直观方便地监控各种访问行为，能够及时发现违规操作、权限滥用等。
• 普通用户角度：运维人员只需记忆一个账号和口令，一次登录，便可实现对其所维护的多台设备的访问，无须记忆多个账号和口令，提高了工作效率，降低工作复杂度。

堡垒机通常具备的功能有登录功能、账号管理、身份认证、资源授权、访问控制、操作审计等。例如支持对多种授权账号进行密码的自动化周期更改；能够集中管理所有设备账号；提供多种认证方式；实现细粒度的操作授权；对各种操作行为进行全程审计，包括字符串、图形、文件传输、数据库等，并可进行录像精确定位和详尽的会话审计与回放，还能生成丰富的审计报表。

根据实际使用场景和业务需要的不同，堡垒机主要分为网关型堡垒机和运维审计型堡垒机。网关型堡垒机主要部署在外部网络和内部网络之间，用于提供对内部网络特定资源的安全访问控制。运维审计型堡垒机则部署在内网中服务器和网络设备等核心资源的前面，对运维人员的操作权限进行控制和操作行为审计，是当前应用最为普遍的一种。

总之，堡垒机是企业信息安全体系中的重要环节，它可以有效解决权限管理混乱、审计粒度粗等运维安全问题，是事前预防、事中预警的有效风险控制手段，也是事后追溯的可靠证据来源。