网络安全防御

运维审计系统-堡垒机

为什么需要堡垒机

网络安全等级保护“安全管理中心”要求

应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计
应通过审计管理员对审计记录应进行分析,并根据分析结果进行处理,包括根据安全审计策略对审计记录进行存储、管理和查询等

11.3.1

什么是堡垒机

运维安全管理与审计系统，又称堡垒机，提供的运维和安全审计管控平台解决资产多难管理、运维职责权限不清晰以及运维事件难追溯等问题，助力企业满足等保合规需求

集中管理运维权限
全程管控操作行为
实时还原运维场景
保障运维行为身份可鉴别
权限可管控、操作可审计

11.3.2

堡垒机厂商

启明星辰-天明运维安全网关
安恒-明御运维审计与风险控制系统
天融信-运维安全审计系统
绿盟-运维安全管理系统OSMS
飞致云-JumpServer开源堡垒机

JumpServer堡垒机介绍

JumpServer堡垒机

开源堡垒机，符合4A规范的专业运维安全审计系统
配备Web Terminal方案，交互界面美观、用户体验好
采纳分布式架构，支持横向扩展，无资产数量及并发限制

身份验证/Authentication，防止身份冒用和复用
授权控制/Authorization，防止内部误操作和权限滥用
账号管理/Accounting，人员和资产的管理
安全审计/Auditing，追溯的保障和事故分析的依据

部署堡垒机

准备openEuler系统

硬件环境：

2个CPU核心
2G内存
100G硬盘

系统环境：

openEuler-22.03

下载离线安装包

在jumpServer官网下载社区版安装包

11.3.3

上传安装包至Linux系统

利用MobaXterm工具上传安装包到/opt目录下

11.3.4

在Linux中解压安装包

切换到/opt/下

1	[root@JumpServer ~]# cd /opt/

解压离线安装包

1	[root@JumpServer opt]# tar -xf jumpserver-offline-installer-v2.28.6-amd64-179.tar.gz

切换到/opt/jumpserver-offline-install-v2.28.6-amd64-179目录

1	[root@JumpServer opt]# cd jumpserver-offline-installer-v2.28.6-amd64-179

在Linux中安装JumpServer

执行安装

[root@JumpServer jumpserver-offline-installer-v2.28.6-amd64-179]# ./jmsctl.sh install


       ██╗██╗   ██╗███╗   ███╗██████╗ ███████╗███████╗██████╗ ██╗   ██╗███████╗██████╗
       ██║██║   ██║████╗ ████║██╔══██╗██╔════╝██╔════╝██╔══██╗██║   ██║██╔════╝██╔══██╗
       ██║██║   ██║██╔████╔██║██████╔╝███████╗█████╗  ██████╔╝██║   ██║█████╗  ██████╔╝
  ██   ██║██║   ██║██║╚██╔╝██║██╔═══╝ ╚════██║██╔══╝  ██╔══██╗╚██╗ ██╔╝██╔══╝  ██╔══██╗
  ╚█████╔╝╚██████╔╝██║ ╚═╝ ██║██║     ███████║███████╗██║  ██║ ╚████╔╝ ███████╗██║  ██║
   ╚════╝  ╚═════╝ ╚═╝     ╚═╝╚═╝     ╚══════╝╚══════╝╚═╝  ╚═╝  ╚═══╝  ╚══════╝╚═╝  ╚═╝

                                                                   Version:  v2.28.6

1. 检查配置文件
配置文件位置: /opt/jumpserver/config
/opt/jumpserver/config/config.txt        [ √ ]
/opt/jumpserver/config/nginx/cert/server.crt     [ √ ]
/opt/jumpserver/config/nginx/cert/server.key     [ √ ]
完成

安装配置JumpServer

安装配置：

配置存储位置、数据库、端口等
按默认即可（一路回车）

>>> 安装配置 JumpServer
1. 配置加密密钥
SECRETE_KEY:     YWQ5YzRkNTYtZmRjMC00OGJlLWQ5ODAtY2QxY2JmMTE1MjFl
BOOTSTRAP_TOKEN: YWQ5YzRkNTYtZmRjMC00OGJl
完成

2. 配置持久化目录
是否需要自定义持久化存储, 默认将使用目录 /data/jumpserver? (y/n)  (默认为 n):
完成

3. 配置 MySQL
是否使用外部 MySQL? (y/n)  (默认为 n):
完成

4. 配置 Redis
是否使用外部 Redis? (y/n)  (默认为 n):
完成

5. 配置对外端口
是否需要配置 JumpServer 对外访问端口? (y/n)  (默认为 n):
完成

6. 初始化数据库