为助力企业等保合规,本文为您介绍堡垒机各能力与等保三级相关条款的对应关系,以便有针对性地提供佐证材料。
前提条件
安全区域边界
安全审计
a) 应在网络边界、重要网络节点进行安全审计,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计;
本条款主要考察:是否有进行安全审计。堡垒机支持对云服务器运维操作进行监控和审计。
1. 使用管理员账号登录堡垒机,单击审计平台 > 操作行为审计 > 历史会话审计,进入会话审计页面。
2. 在会话审计页面,可查看用户对服务器的运维会话记录。
![](https://qcloudimg.tencent-cloud.cn/image/document/59dee5a8fb7133661d39b2e6b1bf67ea.png)
b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;
本条款主要考察:日志是否按照要求进行记录。
1. 使用管理员账号登录堡垒机,单击审计平台 > 操作行为审计 > 历史会话审计,进入会话审计页面。
2. 在会话审计页面,可查看用户对服务器的运维会话记录。
![](https://qcloudimg.tencent-cloud.cn/image/document/6aca154071b57acdd9115eda1e3ddde5.png)
c) 应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等;
1. 使用管理员账号登录堡垒机,单击系统管理 > 数据维护 > 审计数据维护,进入审计数据维护页面。
2. 在审计数据维护页面,可新建备份任务、下载备份的日志。
![](https://qcloudimg.tencent-cloud.cn/image/document/5f942e967284fa4ddd2984aee0b4c761.png)
d) 应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。
本条款主要考察:是否能够对远程访问的用户行为进行审计与数据分析。
1. 使用管理员账号登录堡垒机,单击审计平台 > 操作行为审计 > 历史会话审计,进入会话审计页面。
2. 在会话审计页面,可查看用户对服务器的运维会话记录。
![](https://qcloudimg.tencent-cloud.cn/image/document/51e7b7d05b50e7ea84493c0d44c7f72b.png)
安全计算环境
身份鉴别
a) 应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换;
本条款主要考察如下三点:
是否对登录用户进行身份识别和鉴别
使用浏览器访问堡垒机页面,证明需要对用户身份进行鉴别之后才可正常使用产品功能。
![](https://qcloudimg.tencent-cloud.cn/image/document/30f7dfdcb458369339dcf6eda2a069be.png)
身份标识是否具有唯一性
1.1 使用管理员账号登录堡垒机,单击用户管理,进入用户页面。
1.2 在用户页面,单击新建,尝试输入重复的用户名和手机号,用户无法新建成功。
![](https://qcloudimg.tencent-cloud.cn/image/document/ba421f42c872c617a43abc149c51ebf0.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/ba421f42c872c617a43abc149c51ebf0.png)
身份鉴别信息是否具有复杂度要求并定期更换
1.1 使用管理员账号登录堡垒机,单击策略管理 > 普通策略 > 口令策略,进入策略列表。
1.2 单击新建,新建符合要求的口令策略。
![](https://qcloudimg.tencent-cloud.cn/image/document/fd67e5f98870003d97fae8b70ca303cf.png)
1.3 单击用户管理,选择一个用户,单击编辑,进入编辑页面之后,单击设置策略,设置口令策略。
![](https://qcloudimg.tencent-cloud.cn/image/document/80d51b83cf1b70eafb357c9c6828ca3e.png)
b) 应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;
本条款主要考察:是否有登录失败处理能力,以及对登录失败的处理措施。
1. 使用管理员账号登录堡垒机,单击策略管理 > 普通策略 > 锁定策略,进入策略列表。
2. 单击新建,新建符合要求的锁定策略。
![](https://qcloudimg.tencent-cloud.cn/image/document/6dc1ba3fb4b0ca9604e246860c26af04.png)
3. 单击用户管理,选择一个用户,单击编辑,进入编辑页面之后,单击设置策略,设置访问锁定策略。
![](https://qcloudimg.tencent-cloud.cn/image/document/1661bf2f102d62f7abc21fd6f0b47652.png)
c) 当进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听。
本条款主要考察:是否采用加密的协议进行远程管理。
使用运维账号登录堡垒机,登录成功之后,访问一台 Linux 主机,在访问资产弹窗当中,可查看访问协议为 SSH2,为加密的协议。
![](https://qcloudimg.tencent-cloud.cn/image/document/e6c09058d79527e3da79060bd6e7c6b7.png)
d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现;
本条款主要考察:是否采用双因子进行身份鉴别。
1. 使用管理员账号登录堡垒机,单击系统管理 > 安全设置 > 全局认证方式,进入全局认证方式配置页面。
2. 选择 OTP 作为组合认证方式。
![](https://qcloudimg.tencent-cloud.cn/image/document/6b324de6797ce2d8f551bec287ebe8ea.png)
访问控制
a) 应对登录的用户分配账户和权限;
本条款主要考察:
是否给登录的用户分配账户
1.1 使用管理员账号登录堡垒机,单击用户管理,进入用户页面。
1.2 在用户页面,查看用户信息,证明给用户分配了账户。
![](https://qcloudimg.tencent-cloud.cn/image/document/9a5bdfddd9c0d333129b013d73393484.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/9a5bdfddd9c0d333129b013d73393484.png)
是否给登录的用户分配权限
使用管理员账号登录堡垒机,堡垒机通过工作组对用户进行授权,单击任意工作组,可查看工作组绑定的用户、资源和策略信息。
![](https://qcloudimg.tencent-cloud.cn/image/document/bff8123a528bfdd42856d6258b295bff.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/bff8123a528bfdd42856d6258b295bff.png)
b) 应重命名或删除默认账户,修改默认账户的默认口令;
本条款主要考察:
是否有默认账户
1.1 使用管理员账号登录堡垒机,单击用户管理,进入用户页面。
1.2 在用户页面,查看用户信息,可尝试搜索 admin、root、sysadmin、super 等用户名,证明系统内无此默认用户。
![](https://qcloudimg.tencent-cloud.cn/image/document/5de6748e799731a71a969fafcaf7782b.png)
是否有默认口令
1.1 使用管理员账号登录堡垒机,单击用户管理,进入用户页面。
1.2 在用户页面,单击新建,用户需要管理员设置密码,证明用户无默认口令。
![](https://qcloudimg.tencent-cloud.cn/image/document/a3b75d719f1436c3e17934ceb5909434.png)
c) 应及时删除或停用多余的、过期的账户,避免共享账户的存在;
本条款主要考察:账户过期之后,能否继续使用。
说明:
请提前准备一个已经到期的用户。
1. 使用管理员账号登录堡垒机,单击用户管理,进入用户页面。
2. 在用户页面,单击编辑 > 高级选项,查看一个过期用户的用户信息,确认用户已过有效期。
![](https://qcloudimg.tencent-cloud.cn/image/document/978668d84501b2bab6b2017608bcc20d.png)
3. 使用已过期的用户尝试进行登录,此时用户无法登录,并且页面提示“临时用户,已到期,失效”,证明过期的用户无法继续使用。
![](https://qcloudimg.tencent-cloud.cn/image/document/ad7c3e58e65b39e372af85d91b841249.png)
d) 应授予管理用户所需的最小权限,实现管理用户的权限分离;
本条款主要考察:是否给用户分配了最小权限。
1. 使用管理员账号登录堡垒机,选择一个岗位授权,单击绑定策略。
2. 在绑定策略页面,可设置字符命令、图形访问、文件传输、访问时间等的最小权限。
![](https://qcloudimg.tencent-cloud.cn/image/document/1e0907767de899ab6bef5455e166ac92.png)
e) 应由授权主体配置访问控制策略,访问控制策略规定主体对客体的访问规则;
本条款主要考察:用户(主体)是否可以设置对资产(客体)的访问控制策略。
使用管理员账号登录堡垒机,选择一个岗位授权,可查看岗位授权绑定的用户、资源,证明可以配置访问控制策略。
![](https://qcloudimg.tencent-cloud.cn/image/document/047d055b79aa745cf2e1f91990479016.png)
安全审计
a) 应启用安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计;
本条款主要考察:是否启用了审计功能,是否可以审计用户行为。
1. 使用管理员账号登录堡垒机,单击审计平台,进入审计页面。
2. 在会话审计页面,可查看认证、管理和操作行为的审计信息。
![](https://qcloudimg.tencent-cloud.cn/image/document/01c6ed49f0870609882f7cf4c69a9070.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/01c6ed49f0870609882f7cf4c69a9070.png)
b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;
本条款主要考察:日志是否按照要求进行记录。
1. 使用管理员账号登录堡垒机,单击审计平台 > 管理审计,进入管理审计页面。
2. 在管理审计页面,可查看用户对堡垒机的操作日志详细内容,包含时间、用户、事件和结果,证明符合要求。
![](https://qcloudimg.tencent-cloud.cn/image/document/aed7db5a8d386117934c80a8868f654e.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/aed7db5a8d386117934c80a8868f654e.png)