麒麟開源堡壘主機在等保上的合規性分析

     信息安全等級保護工作包括定級、備案、安全建設和整改、信息安全等級測評、信息安全檢查五個階段。  

我國的信息安全等級保護共分為五級，級別越高，要求越嚴格。

我國的信息安全等級保護主要標準包括，《信息系統等級保護安全設計技術要求（GBT 25070—2010）》和《信息系統安全等級保護基本要求（GBT 22239-2008）》。

根據上述二個標準，可以發現堡壘機一般在信息安全等級保護中，主要可以在身份鑒別、訪問控制、安全審計、完整性、加密性檢查等方面進行匹配，下面從標準中摘抄內容說明如下：

1、 用戶身份鑒別（等級保護三要求合規性）

需要采用兩種或兩種以上組合方式進行身份驗證。堡壘機擁有本地認證、AD域認證、Radius認證、數字證書認證，提供外部接口可供指紋識別認證、UKEY（移動數據證書）認證，滿足三級系統的設計要求。

說明：身份鑒別從等級保護三開始，必須要進行雙因素，通過雙因素去鑒別到個體，而如果將雙因素（比如動態口令）部署到所有的生產服務器，成本非常高而且很容易出生產事故，堡壘機的上線可以合理的例規本條，×××上內置了CA、動態口令、指紋識別、USBKEY證書等強認證，在不動生產系統的情況下即合規身份鑒別。

2、 自主訪問控制

應在安全策略控制范圍內，使用戶對其創建的客體具有相應的訪問操作權限，并能將這些權限的部分或全部授予其他用戶。自主訪問控制主體的粒度為用戶級，客體的粒度為文件或數據庫表級和（或）記錄或字段級。

說明：堡壘機通過給每個用戶建立一個堡壘機帳號（主帳號），并且將設備帳號（從帳號）分配給主帳號完成授權，同時授權時可以綁定來源IP限制、可運行命令限制、可登錄時間限制等多種規則，可以完全合規訪問控制要求。

3、 標記和強制訪問控制

在對安全管理員進行身份鑒別和權限控制的基礎上，應由安全管理員通過特定操作界面對主、客體進行安全標記；應按安全標記和強制訪問控制規則，對確定主體訪問客體的操作進行控制。

說明:×××有管理員、分組管理員、審計員等角色，管理員可以對設備、用戶、權限進行配置并且標記，同時所有的配置過程都會被記錄，記錄可以由審計員進行審計，因此，管理員必須按要求寫嚴格的訪問控制規則，達到本條合規。

4、 系統安全審計

應記錄系統的相關安全事件。審計記錄包括安全事件的主體、客體、時間、類型和結果等內容。應提供審計記錄查詢、分類、分析和存儲保護；確保對特定安全事件進行報警；確保審計記錄不被破壞或非授權訪問。應為安全管理中心提供接口。

說明：×××telnet/ftp/ssh/sftp/scp/rdp/vnc/x11/db操作/http/https/各種CS程序進行審計；其中，字符協議除了錄相可以識別命令，圖形協議除了錄相可以識別鍵盤記錄等。

×××作本身的錄相為自有加密格式，并且存貯在專門的空間中，可以有效避免數據遭到破壞或非授權的訪問刪除、增加、篡改；而且又分為管理員、審計員、密碼管理員以進行三權分立相互轄制，管理員的任何操作都受審計員的審計。

×××支持以SYSLOG、短信、郵件方式對用戶定制的特殊事件進行報警。

因此，通過上述審計及三權分立、告警功能，×××本條例合規。

5、 用戶數據完整性保護、用戶數據保密性保護、客體安全重用、程序可信執行保護堡壘主機在信息安全等級保護制度中的探究與應用。

×××使用HTTPS、RDP、SSH等加密協議進行通信鏈路的傳輸，本地錄相文件都通過自有的算法進行加密存貯，不通過通用軟件進行播放，重要文件都有MD5值的記錄，因此，×××本條例合規。

×××從網絡安全、主機安全、應用安全到數據安全中的身份鑒別、訪問控制、安全審計、數據安全各方面均合規，成為等級保護方案中必采的設備。