堡垒机如何应对云计算和自动化运维的挑战

　　如今互联网时代说到安全防护，特别是在web应用安全、数据安全、审计、安全合规、安全评估等方面，企业现在主要关注的是堡垒机和云计算安全方面的工作。

[[167523]]

　　为了更好的分析堡垒机和云计算，首先要了解什么是堡垒机?

　　简单的说堡垒机是针对企业的运维人员、开发人员，还有企业所管理的设备，就是我们所谓的服务器、网络设备、安全设备对他们的操作过程或者行为进行管理、控制和审计的工作。这个方面包括很多的内容。

　　比如说数据库、RDS也好，包括一些虚机，包括物理服务器、网络设备，就是要被管理的设备。那企业在做运维的时候，企业是要经常对系统进行调试，或者要登录系统内部进行开发或者进行调试，那这个过程的话，是有一定的风险的，可能会导致数据的泄漏。那堡垒机的话，那就是架在运维人员和开发人员的中间，实现对这类人员的登陆服务器之前一个身份的核实和认证，然后对权限进行控制。也就是说登陆了堡垒机之后，才能执行什么命令，堡垒机是有控制的，不允许关机，或者不允许去删除某个文件，堡垒机是可以进行控制。甚至它同样还能够控制到，个人进到堡垒机之后，能登陆哪几台服务器。或者是能登陆这个服务器里面的哪个账号或者是哪个协议，它是能做这样层次的控制的。

　　只有经过堡垒机合法授权的，才能够登录到服务器，否则行为就会被堡垒机所阻断。这大概就是一个堡垒机的功能。以前登陆服务器的时候，直接就是SH或者RDB直接连接过去了，现在不行，必须先登录到登陆机，然后在堡垒机里面才会看到有权限的设备，然后再进行操作，而且整个操作过程会被录像下来。这是堡垒机控制的一个简单的介绍。

[[167524]]

　　云计算会对堡垒机的部署或者是实施会带来什么问题?

　　云上的运维风险更高了。

　　企业在云上最近做了很多的一些工作、一些项目，企业会发现，跟很多用户聊完之后，业务系统在云上的时候，客户对堡垒机的需求非常大。为什么?后面聊完之后，大家可以很清楚的知道，就是它做攻击的，一旦业务系统在云上，受攻击的可能性会更高一些。特别是运维环境会带来一些新的风险。

　　企业要做运维时，可能需要把企业的云服务器，公共IP或者是某个端口开放出来，让维护人员进入，但另一方面可能企业的外包人员在这期间连接服务器，就可以把一些敏感的数据导出，甚至可以上传一些木马。这样的话，以后的话哪怕企业更改了密码，病毒也可以控制系统。这样的话，企业的计算机病毒来源方可以随时登陆，随时去拿企业的数据，这是一种很典型的场景，也是很多系统上了云之后，企业最怕的一个点。

　　实际现在市场，就是在云上，就是堡垒机的话，基本上是成为一个必备的安全管理工具。现在目前，在阿里云上，包括在腾讯云上面，可以看到他们都有一个云安全市场。可以看到销量排行前几的，基本上是堡垒机、科学或者是防火墙这种产品。也就是说现在堡垒机这块，在云上的必要性还是比较高的。布了堡垒机的作用，它要达到的目的，所有的运维都必须经过堡垒机。布了堡垒机之后，所有的服务器端口就不需要对外开放了，只需要对允许堡垒机能够防范这些端口就可以了，然后再把堡垒机对外放在企业公司，允许公司的人访问就可以了。

　　部署堡垒机之后，堡垒机反而成为第一个攻击目标了。堡垒机反而成为企业最重要的一个风险点，这又是云上的一个比较重要的变化，因为企业的运维，像以前堡垒机都放在自己内网里面的，它不会对外开放，所以说它就不存在，就不会担心堡垒机被人攻陷或者怎么样的，一般都不会有这个顾虑。但是放在云上的时候，就不能把堡垒机的公共IP开放出来，因为企业的人也是移动办公或者怎么样，到处要连到堡垒机里面。如果企业这个堡垒机被开放了之后，黑客会攻击企业的堡垒机。但是黑客想入侵系统，必须要拿到服务器IP或者账号、密码这类信息才能进去并且黑客即使通过某台机子入到内网，但不知道哪台机子是干嘛的，所以偷企业的数据是很困难的事情。

　　堡垒机之后，这种东西就变得很简单了。因为堡垒机它要去帮企业维护安全，它里面实际上可能会存储了企业所有的服务器的IP地址信息、账号信息，甚至包括个人的密码信息，都在里面。所以说把堡垒机拿下之后，企业任何的服务器都是畅通无阻的，这是第一个。堡垒机里面，为了做管理，可能把某个服务器的功能都已经做了标识，这个是做财务系统的，这个是做客户管理系统的，这个是做网站的，都会分好，不同的服务器归类归好。黑客就会利用这样的信息，很精准的就找到数据，没有办法让他走。所以这一块也是在云上之后布的一个很重要的特点，以前可能没那么重要，现在这个问题变得越来越突出了。因为本身堡垒机它自己可能就有漏洞，它也是个系统，它本身自己就有漏洞。那它有漏洞的情况之下，就会被人利用，他就直接入侵，利用企业的逻辑漏洞，直接进到企业堡垒里面。

　　那么堡垒机的安全到底该怎么保障呢?这个地方，这是一个比较空的，但是也是大家要考虑的，就是大家在选择部署堡垒机的时候，大家一定要选择至少在堡垒机厂家的安全经验这一块是要有的，不要是一个完全没有安全经验的厂家去做堡垒机，这个肯定是有风险的，风险更大一些。同时它也可以在乌云上面，或者是在补天漏洞平台上面，哪些堡垒机的安全性相对出的事故比较多一些，这个可以做一个参考。

　　当然更多的是堡垒机的一些安全策略的问题，所以说企业如果去部署堡垒机之后，企业一定要重点把它当做保护对象，做一些规则测试。首先比如说通信的加密，那在选择的时候，运维人员的PC机连到堡垒机的过程，检查链路是不是全部加密的。还有就是密码策略，因为刚刚讲到过堡垒机有账号体系，它的密码会被人爆的，所以要保证这个堡垒机账号是安全可靠的。还可以做一些端口的变形，让其他人没有那么容易识别扫除它是堡垒机，或者它所开放的端口。还可以做一些ERP的限制等等。这个是实际需要在云上去做的一些必须考虑的一点。

[[167525]]

　　自动化运维

　　自动化运维也是大家可能很熟悉的一个点。那么自动化运维到底会带来什么风险呢?其中一个很重要的方面，一般布了堡垒机之后，自动运维就干不了了。可能部分自动化运维就没法做了。在没有堡垒机的情况下企业是一个自动化服务器，可以直接连接所有的服务器，但是部署了堡垒机之后，堡垒机禁止掉了自动化服务器的链接，必须手动选择要登录的服务器，这是很多互联网公司遇到的问题。

　　现在为了解决这个问题，建议在堡垒机里面做了一层SH的网关代理。可以通过第三方信息的传递去链接服务器。但并不是所有的堡垒机都可以完美的契合这一项，企业在选择堡垒机时要考虑自动化的运用验证。