操作指南

参与文档共建赢好礼> HOT

等保三级

最近更新时间:2022-02-22 16:46:08

为助力企业等保合规,本文为您介绍堡垒机各能力与等保三级相关条款的对应关系,以便有针对性地提供佐证材料。

前提条件

购买 SaaS 型堡垒机,并完成了 首次登录配置入门操作

安全区域边界

安全审计

a) 应在网络边界、重要网络节点进行安全审计,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计;

本条款主要考察:是否有进行安全审计。堡垒机支持对云服务器运维操作进行监控和审计。

  1. 登录 堡垒机控制台,在左侧导航选择审计管理 > 会话审计,进入会话审计页面。
  2. 在会话审计页面,可查看用户对服务器、数据库运维会话记录。
  3. 在会话审计页面,单击详情,进入会话详情页面可查看运维会话详细信息。
  4. 在会话详情页面,单击运维操作,可查看用户对云服务器的操作命令记录。

b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;

本条款主要考察:日志是否按照要求进行记录。

  1. 登录 堡垒机控制台,在左侧导航选择审计管理 > 会话审计,进入会话审计页面。
  2. 在会话审计页面,可查看用户对服务器、数据库运维会话记录,在会话审计当中记录了开始时间/结束时间(日期和时间)、用户名/姓名(用户)、会话类型(事件类型)、状态(事件状态)。

c) 应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等;

本条款主要考察:日志是否有备份。

堡垒机审计日志存储在腾讯云 Elasticsearch Service 中,数据实时保存为2份,审计日志历史数据可保存180天;Elasticsearch Service 提供了多可用区部署方案,可保证在单可用区网络、电力等不可抗力故障下不停服,保障数据在意外情况下丢失时快速恢复。此外还有为保障集群稳定而进行的内核优化等策略,可以全方位地保障数据的安全和服务的稳定。

d) 应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。

本条款主要考察:是否能够对远程访问的用户行为进行审计与数据分析。

  1. 登录 堡垒机控制台,在左侧导航选择审计管理 > 会话审计,进入会话审计页面。
  2. 在会话审计页面,可查看用户对服务器、数据库运维会话记录,支持存储6个月的日志并提供日志分析能力。

安全计算环境

身份鉴别

a) 应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换;

本条款主要考察如下三点:

  • 是否对登录用户进行身份识别和鉴别
    1. 登录 堡垒机控制台,获取运维页面访问地址。
    2. 使用浏览器访问运维页面,证明需要对用户身份进行鉴别之后才可正常使用产品功能。
  • 身份标识是否具有唯一性
    1. 登录 堡垒机控制台,在左侧导航选择用户管理 > 用户,进入用户页面。
    2. 在用户页面,单击新建用户,尝试输入重复的用户名和手机号,用户无法新建成功。

  • 身份鉴别信息是否具有复杂度要求并定期更换
    1. 登录 堡垒机控制台,在左侧导航选择系统设置 > 认证设置 > 本地认证,进入本地认证页面。
    2. 在本地认证页面,查看本地认证的密码长度、复杂度和有效期要求(提前设置为强密码要求)。

b) 应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;

本条款主要考察:是否有登录失败处理能力,以及对登录失败的处理措施。

  1. 登录 堡垒机控制台,在左侧导航选择系统设置 > 安全设置 ,进入安全设置页面。
  2. 在安全设置页面,查看密码错误锁定和锁定时长。

c) 当进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听。

本条款主要考察:是否采用加密的协议进行远程管理。

  1. 登录 堡垒机控制台,获取运维页面访问地址。
  2. 使用浏览器访问运维页面,登录成功之后,访问一台 Linux 主机,在访问资产弹窗当中,可查看访问协议为 SSH 或 SFTP,均为加密的协议。

d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现

本条款主要考察:是否采用双因子进行身份鉴别。

  1. 登录 堡垒机控制台,在左侧导航选择系统设置 > 认证设置 > 双因子认证 ,进入双因子认证页面。
  2. 在双因子认证页面,查看双因子配置。

访问控制

a) 应对登录的用户分配账户和权限;

本条款主要考察:

  • 是否给登录的用户分配账户
    1. 登录 堡垒机控制台,在左侧导航选择用户管理 > 用户,进入用户页面。
    2. 在用户页面,查看用户信息,证明给用户分配了账户。
  • 是否给登录的用户分配权限
    1. 登录 堡垒机控制台,在左侧导航选择权限管理 > 访问权限配置,进入访问权限配置页面。
    2. 在访问权限配置页面,查看用户权限分配情况。

b) 应重命名或删除默认账户,修改默认账户的默认口令;

本条款主要考察:

  • 是否有默认账户

    1. 登录 堡垒机控制台,在左侧导航选择用户管理 > 用户,进入用户页面。
    2. 在用户页面,查看用户信息,可尝试搜索 admin、root、sysadmin、super 等用户名,证明系统内无此默认用户。
  • 是否有默认口令
    使用浏览器访问运维页面,单击账号激活,在激活页面,用户需要获取短信验证码、并自己设置登录密码,证明用户无默认口令。

c) 应及时删除或停用多余的、过期的账户,避免共享账户的存在;

本条款主要考察:账户过期之后,能否继续使用。

说明:

请提前准备一个已经到期的用户。

  1. 登录 堡垒机控制台,在左侧导航选择用户管理 > 用户,进入用户页面。
  2. 在用户页面,单击用户信息,查看一个过期用户的用户信息,确认用户已过有效期。
  3. 使用浏览器访问运维页面,使用已过期的用户尝试进行登录,此时用户无法登录,并且页面提示“用户不在有效期内”,证明过期的用户无法继续使用。

d) 应授予管理用户所需的最小权限,实现管理用户的权限分离;

本条款主要考察:是否给用户分配了最小权限。

  1. 登录 堡垒机控制台,在左侧导航选择权限管理 > 访问权限配置,进入访问权限配置页面。
  2. 在访问权限配置页面,单击新建访问权限,在第5步可设置文件传输的最小权限、在第6步可以设置命令操作的最小权限。

e) 应由授权主体配置访问控制策略,访问控制策略规定主体对客体的访问规则;

本条款主要考察:用户(主体)是否可以设置对资产(客体)的访问控制策略。

  1. 登录 堡垒机控制台,在左侧导航选择权限管理 > 访问权限配置,进入访问权限配置页面。
  2. 在访问权限配置页面,单击新建访问权限,证明可以配置访问控制策略。

安全审计

a) 应启用安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计;

本条款主要考察:是否启用了审计功能,是否可以审计用户行为。

  1. 登录 堡垒机控制台,在左侧导航选择审计管理 > 会话审计,进入会话审计页面。
  2. 在会话审计页面,可查看用户对服务器、数据库的操作日志。
  3. 单击日志检索,进入日志搜索页面,可查看用户对堡垒机的操作日志。

b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;

本条款主要考察:日志是否按照要求进行记录。

  1. 登录 堡垒机控制台,在左侧导航选择审计管理 > 日志检索 > 操作日志,进入操作日志页面。
  2. 在操作日志页面,可查看用户对堡垒机的操作日志详细内容,包含时间、用户、事件和结果,证明符合要求。

其他

堡垒机用户密码的加密方式:采用 BCrypt 算法加密保存。

目录
http://www.vxiaotou.com