“本項(xiàng)目案例由 齊治科技 投遞并參與由數(shù)據(jù)猿&上海大數(shù)據(jù)聯(lián)盟聯(lián)合推出的“行業(yè)盤(pán)點(diǎn)季之?dāng)?shù)智化轉(zhuǎn)型升級(jí)”大型主題策劃活動(dòng)之《2021中國(guó)企業(yè)數(shù)智化轉(zhuǎn)型升級(jí)創(chuàng)新服務(wù)企業(yè)》榜單/獎(jiǎng)項(xiàng)的評(píng)選。

某證券股份有限公司的數(shù)據(jù)中心和災(zāi)備中心，現(xiàn)有大小業(yè)務(wù)系統(tǒng)80余套，分散在五個(gè)獨(dú)立的網(wǎng)絡(luò)環(huán)境中，對(duì)應(yīng)的服務(wù)器總數(shù)超過(guò)3000臺(tái)，以每臺(tái)服務(wù)器平均擁有5個(gè)系統(tǒng)運(yùn)維賬號(hào)來(lái)估算，該證券公司內(nèi)部就有超過(guò)15000個(gè)系統(tǒng)賬號(hào)密碼?，F(xiàn)有的密碼管理方式（密碼修改、分段密碼保存、密碼信封存?。┒家揽渴止ね瓿?，不僅浪費(fèi)了大量的人力而且存在密碼泄露的風(fēng)險(xiǎn)，對(duì)日常運(yùn)維形成潛在隱患。

同時(shí)，在網(wǎng)絡(luò)環(huán)境相互隔離分散的情況下也無(wú)法實(shí)現(xiàn)賬號(hào)密碼集中進(jìn)行管理。例如，手工的密碼管理還存在諸多問(wèn)題：密碼管理流程簡(jiǎn)單缺乏安全性、密碼不能定期更改、無(wú)法系統(tǒng)審計(jì)人員對(duì)密碼訪問(wèn)歷史、無(wú)法有效檢查密碼復(fù)雜性等，這些都給信息系統(tǒng)的運(yùn)維管理帶來(lái)極大的安全隱患。

●實(shí)施時(shí)間

開(kāi)始時(shí)間：2021年3月18日

截止時(shí)間：2021年7月1日

應(yīng)用場(chǎng)景

該證券公司的數(shù)據(jù)中心生產(chǎn)環(huán)境中，有虛擬化平臺(tái)，私有云平臺(tái)，公有云平臺(tái)及IDC機(jī)房的物理設(shè)備，客戶(hù)的這些平臺(tái)中有主機(jī)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)設(shè)備、B/S應(yīng)用及各種C/S應(yīng)用等系統(tǒng)，這些應(yīng)用系統(tǒng)的賬號(hào)密碼沒(méi)有進(jìn)行統(tǒng)一管控，存在以下典型問(wèn)題：

1、各類(lèi)系統(tǒng)中可能存在弱密碼賬號(hào)；

2、因各類(lèi)系統(tǒng)沒(méi)有進(jìn)行統(tǒng)一管控，故有存在僵尸賬號(hào)，幽靈賬號(hào)的隱藏風(fēng)險(xiǎn)；

3、各類(lèi)系統(tǒng)的特權(quán)賬號(hào)和普通賬號(hào)的賬號(hào)密碼都流散于普通用戶(hù)手中，無(wú)法進(jìn)行賬號(hào)密碼回收及進(jìn)行統(tǒng)一定期的密碼修改。

隨著用戶(hù)體驗(yàn)的不斷提高，以及內(nèi)部對(duì)運(yùn)維安全管理的要求越來(lái)越重視，如何提升運(yùn)維安全管理效率，已成為現(xiàn)階段運(yùn)維安全管理面臨的巨大挑戰(zhàn)。針對(duì)客戶(hù)環(huán)境中現(xiàn)存的問(wèn)題，特權(quán)賬號(hào)管理系統(tǒng)可以提供完美的解決方案。特權(quán)賬號(hào)管理系統(tǒng)采用多站點(diǎn)的部署，可以納管客戶(hù)生產(chǎn)環(huán)境中所有平臺(tái)的系統(tǒng)，并為納管的設(shè)備提供賬號(hào)發(fā)現(xiàn)、賬號(hào)巡檢、賬號(hào)改密等功能，回收用戶(hù)手中的密碼，由平臺(tái)集中管控，提升運(yùn)維工作的效率，方便高效，同時(shí)也解放了人力投入。

面臨挑戰(zhàn)

由于該證券公司的環(huán)境中運(yùn)維平臺(tái)種類(lèi)繁多，各類(lèi)操作系統(tǒng)及應(yīng)用非常豐富，故存在以下挑戰(zhàn)：

1、方案規(guī)劃：根據(jù)客戶(hù)的運(yùn)維平臺(tái)，要合理規(guī)劃部署方案，特權(quán)賬號(hào)管理系統(tǒng)部署后要能納管所有平臺(tái)的系統(tǒng)及應(yīng)用，并能做到所有的提供及應(yīng)用進(jìn)行賬號(hào)發(fā)現(xiàn)，賬號(hào)巡檢及賬號(hào)改密等操作。

2、部署工作：根據(jù)客戶(hù)方的環(huán)境，規(guī)劃好部署方案后，進(jìn)行部署工作。因客戶(hù)方提供的部署平臺(tái)是OpenStack私有云平臺(tái)，且提供安裝特權(quán)賬號(hào)管理系統(tǒng)的基線操作系統(tǒng)也有要求，必須要Redhat7.7的定制操作系統(tǒng)，故進(jìn)行特權(quán)賬號(hào)管理系統(tǒng)的安裝就不能用通用的安裝方式，要基于客戶(hù)提供的基線操作系統(tǒng)來(lái)進(jìn)行適配安裝，并且要保證在安裝特權(quán)賬號(hào)管理系統(tǒng)的各個(gè)功能都可以正常使用。

3、資源收集：因客戶(hù)方的企業(yè)內(nèi)部的組織架構(gòu)比較龐大，特權(quán)賬號(hào)管理系統(tǒng)的搭建要讓客戶(hù)內(nèi)部的所有部門(mén)的管理員都能夠通過(guò)特權(quán)賬號(hào)管理系統(tǒng)管理本部門(mén)的系統(tǒng)及應(yīng)用，故協(xié)調(diào)對(duì)各個(gè)部門(mén)的管理員配合我方進(jìn)行納管資源的收集及進(jìn)行賬號(hào)發(fā)現(xiàn)、賬號(hào)巡檢和賬號(hào)改密工作是一項(xiàng)持久并且艱難的工作。

4、改密工作：特權(quán)賬號(hào)管理系統(tǒng)的一個(gè)最主要的功能就是改密，該證券公司的系統(tǒng)及應(yīng)用種類(lèi)多并且繁雜，包括主機(jī)系統(tǒng)（Windows系統(tǒng)、Redhat系統(tǒng)、AIX系統(tǒng)、Centos系統(tǒng)等）、網(wǎng)絡(luò)設(shè)備（華為設(shè)備、華三設(shè)備、思科設(shè)備等）、數(shù)據(jù)庫(kù)設(shè)備（Oracle數(shù)據(jù)庫(kù)、MySQL數(shù)據(jù)庫(kù)、SQLServer數(shù)據(jù)庫(kù)、DB2數(shù)據(jù)庫(kù)等）、B/S應(yīng)用及C/S應(yīng)用等均需要通過(guò)特權(quán)賬號(hào)管理系統(tǒng)改密，此些設(shè)備的改密，均需要現(xiàn)場(chǎng)適配Python改密腳本，工作量大并且特別考驗(yàn)交付人員的技術(shù)功底及項(xiàng)目交付的成果。

應(yīng)用技術(shù)與實(shí)施過(guò)程

特權(quán)賬號(hào)安全管理系統(tǒng)（以下簡(jiǎn)稱(chēng)PAM）可實(shí)現(xiàn)對(duì)操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)、中間件上賬號(hào)的自動(dòng)化采集、賬號(hào)巡檢、密碼變更及異常賬號(hào)的威脅影響范圍展示，幫助用戶(hù)規(guī)范系統(tǒng)賬號(hào)管理，降低系統(tǒng)賬號(hào)安全風(fēng)險(xiǎn)。

方案采用三層架構(gòu)設(shè)計(jì)

數(shù)據(jù)采集層：通過(guò)遠(yuǎn)程協(xié)議、API等方式，自動(dòng)到服務(wù)器、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)、中間件上采集到各種與賬號(hào)相關(guān)的數(shù)據(jù)。

數(shù)據(jù)分析層：采用大數(shù)據(jù)分析、機(jī)器學(xué)習(xí)、數(shù)據(jù)挖掘等技術(shù)，對(duì)采集到的賬號(hào)數(shù)據(jù)進(jìn)行智能化分析，進(jìn)而找到各種風(fēng)險(xiǎn)或異常。

數(shù)據(jù)應(yīng)用層：通過(guò)可視化的手段來(lái)呈現(xiàn)賬號(hào)管理方面的異常，并提供自動(dòng)化、流程化的通道來(lái)快速處理異常，滿(mǎn)足相關(guān)合規(guī)要求。

包含三個(gè)核心組件：

一、 賬號(hào)安全分析組件

1. 賬號(hào)自動(dòng)發(fā)現(xiàn)

系統(tǒng)通過(guò)手動(dòng)或自動(dòng)的方式觸發(fā)賬號(hào)探測(cè)策略，采用預(yù)設(shè)的特權(quán)賬號(hào)批量連接待測(cè)資源。當(dāng)檢測(cè)到賬號(hào)狀態(tài)變更時(shí)，如服務(wù)器中新增特權(quán)賬號(hào)或原已有賬號(hào)缺失等情況，系統(tǒng)將以工單流的方式交由對(duì)應(yīng)資產(chǎn)責(zé)任人確認(rèn)。責(zé)任人可通過(guò)工單流獲悉相應(yīng)資源中變更的特權(quán)賬號(hào)情況，對(duì)其確認(rèn)后此類(lèi)賬號(hào)信息將自動(dòng)托管至賬號(hào)管理系統(tǒng)中。

通過(guò)特權(quán)賬號(hào)自動(dòng)化探測(cè)實(shí)現(xiàn)賬號(hào)的集中統(tǒng)計(jì)管理，幫助用戶(hù)解決賬號(hào)統(tǒng)計(jì)難、變更管理難的問(wèn)題。

2. 異常賬號(hào)分析

通過(guò)賬號(hào)巡檢功能，可發(fā)下如下異常賬號(hào)信息：

空密碼：未托管密碼的賬號(hào)。

弱密碼：對(duì)密碼進(jìn)行弱密碼規(guī)則匹配，或者對(duì)比弱密碼庫(kù)。

僵尸賬號(hào)：超過(guò)三個(gè)月未使用過(guò)的賬號(hào)。

幽靈賬號(hào)：新增系統(tǒng)賬號(hào)類(lèi)別。

網(wǎng)絡(luò)異常：無(wú)法正常連接到該設(shè)備。

賬號(hào)異常：該賬號(hào)密碼無(wú)法正常登錄到系統(tǒng)。

三個(gè)月未改密：該賬號(hào)密碼超過(guò)三個(gè)月未更改。

權(quán)限變更：該賬號(hào)權(quán)限發(fā)生變更。

賬號(hào)安全及風(fēng)險(xiǎn)巡檢，實(shí)現(xiàn)對(duì)數(shù)據(jù)中心中各類(lèi)系統(tǒng)賬號(hào)的合規(guī)性檢測(cè)，幫助管理員及時(shí)發(fā)現(xiàn)潛在的風(fēng)險(xiǎn)賬號(hào)，規(guī)避運(yùn)維管理風(fēng)險(xiǎn)。

3. 密碼安全管理

密碼安全管理源設(shè)備系統(tǒng)賬號(hào)自動(dòng)改密、密碼撥測(cè)以及歷史密碼回退等功能，以滿(mǎn)足用戶(hù)對(duì)賬號(hào)密碼管理的安全要求。

自動(dòng)改密：系統(tǒng)支持對(duì)主機(jī)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)、中間件等各類(lèi)資源作為運(yùn)維管理用途系統(tǒng)賬號(hào)（并非內(nèi)置代碼、腳本文件、配置文件等場(chǎng)景的涉及的應(yīng)用賬號(hào)）密碼的變更操作。用戶(hù)可通過(guò)改密計(jì)劃預(yù)設(shè)密碼變更周期、密碼復(fù)雜度及密碼變更范圍等信息，采用手動(dòng)或自動(dòng)化方式觸發(fā)改密計(jì)劃對(duì)指定資源賬號(hào)進(jìn)行改密操作。

密碼撥測(cè)：支持手動(dòng)或自動(dòng)化的方式驗(yàn)證特權(quán)賬號(hào)密碼的連通性。

歷史密碼：針對(duì)系統(tǒng)中各類(lèi)密碼變更操作，無(wú)論是人為修改還是改密計(jì)劃自動(dòng)執(zhí)行的操作，均支持節(jié)點(diǎn)留痕功能，管理員可在任意密碼備份節(jié)點(diǎn)處進(jìn)行密碼回退操作。

4. 密碼工單管理

密碼工單為用戶(hù)提供了一種密碼動(dòng)態(tài)維護(hù)的管理模式，當(dāng)用戶(hù)需要獲知服務(wù)器系統(tǒng)賬號(hào)密碼時(shí)，可通過(guò)系統(tǒng)web頁(yè)面申請(qǐng)相應(yīng)賬號(hào)密碼的臨時(shí)應(yīng)用權(quán)限，工單經(jīng)管理員審批后，系統(tǒng)將相應(yīng)服務(wù)器賬號(hào)密碼臨時(shí)分發(fā)給相應(yīng)用戶(hù)，當(dāng)密碼過(guò)期后，系統(tǒng)會(huì)自動(dòng)遵循已有的改密計(jì)劃對(duì)相應(yīng)賬號(hào)密碼進(jìn)行改密操作。

通過(guò)“一次一密”的自動(dòng)化管理模式，規(guī)避因人工分發(fā)密碼，未及時(shí)回收導(dǎo)致的密碼泄露風(fēng)險(xiǎn)，提高特權(quán)賬號(hào)安全等級(jí)。

5. 生命周期管理

賬號(hào)集中化管理功能，可詳細(xì)記錄相應(yīng)賬號(hào)從創(chuàng)建至刪除的一系列變更操作。同時(shí)系統(tǒng)引入自動(dòng)化管理手段，采用工單流的模式實(shí)現(xiàn)對(duì)特權(quán)賬號(hào)創(chuàng)建、變更、修改、鎖定、刪除進(jìn)行統(tǒng)一維護(hù)，統(tǒng)一管控。

二、 應(yīng)用內(nèi)嵌賬號(hào)同步組件

應(yīng)用層密碼同步功能，實(shí)現(xiàn)對(duì)內(nèi)置應(yīng)用程序中的系統(tǒng)賬號(hào)密碼進(jìn)行定期密碼更新，解決內(nèi)置明文賬號(hào)密碼帶來(lái)的安全風(fēng)險(xiǎn)問(wèn)題：

代碼程序：C/C++、JAVA、Python、PHP等所有主流代碼內(nèi)置明文賬號(hào)密碼場(chǎng)景。

中間件：Weblogic、Websphere、Jboss、Tomcat等中間件數(shù)據(jù)源明文賬號(hào)密碼場(chǎng)景。

數(shù)據(jù)庫(kù)：DBLink等場(chǎng)景。

配置文件：賬號(hào)密碼明文寫(xiě)入配置文件場(chǎng)景。

計(jì)劃任務(wù)：腳本任務(wù)、windows計(jì)劃任務(wù)內(nèi)置明文賬號(hào)密碼場(chǎng)景。

其他場(chǎng)景：其他內(nèi)置明文賬號(hào)密碼的場(chǎng)景。

PAM提供標(biāo)準(zhǔn)的Restful API接口，可通過(guò)該接口獲取相應(yīng)的賬號(hào)密碼，實(shí)現(xiàn)第三方系統(tǒng)自動(dòng)獲取賬號(hào)密碼，比如漏洞掃描系統(tǒng)、基線檢查工具、Ansible自動(dòng)化平臺(tái)等第三方業(yè)務(wù)系統(tǒng)，通過(guò)API方式無(wú)需再提供明文賬號(hào)密碼給第三方業(yè)務(wù)系統(tǒng)，降低密碼泄露的風(fēng)險(xiǎn)。

三、 隔離網(wǎng)管理組件

對(duì)于納管在PAM上的資產(chǎn)，當(dāng)執(zhí)行改密、巡檢等操作時(shí)，都需要與PAM所在的網(wǎng)絡(luò)直接進(jìn)行對(duì)接。但當(dāng)用戶(hù)的資產(chǎn)部署在不同的網(wǎng)絡(luò)環(huán)境，且這些網(wǎng)絡(luò)環(huán)境互相隔離時(shí)，PAM如部署在其中一個(gè)網(wǎng)絡(luò)環(huán)境，就無(wú)法對(duì)其他網(wǎng)絡(luò)環(huán)境的資產(chǎn)進(jìn)行賬號(hào)巡檢、改密等操作。因此PAM支持在不同的網(wǎng)絡(luò)環(huán)境中，配置不同的Worker節(jié)點(diǎn)，通過(guò)這些Worker節(jié)點(diǎn)直連訪問(wèn)資產(chǎn)，從而滿(mǎn)足了該證券公司對(duì)私有網(wǎng)段的資產(chǎn)集中進(jìn)行賬號(hào)巡檢、改密等管理要求。

環(huán)境搭建

在該證券公司的這個(gè)項(xiàng)目中單純的HA方案通常只能部署在相同網(wǎng)段，導(dǎo)致其不能跨地域部署，使用PAM的多站點(diǎn)部署模式后實(shí)現(xiàn)配置同步，功能上允許跨網(wǎng)段的多套PAM站點(diǎn)之間同步配置，從而解決了跨地域的高可用問(wèn)題。

本項(xiàng)目所提供的兩臺(tái)PAM-Manager節(jié)點(diǎn)為OpenStack私有云平臺(tái)云主機(jī)部署、五臺(tái)Worker節(jié)點(diǎn)為OpenStack私有云平臺(tái)云主機(jī)部署及兩臺(tái)Appmgr節(jié)點(diǎn)為OpenStack私有云平臺(tái)云主機(jī)部署。部署條件是PAM-Manager節(jié)點(diǎn)到被管理設(shè)備的IP可達(dá)，協(xié)議互通、Worker節(jié)點(diǎn)到被管理設(shè)備的IP可達(dá)，協(xié)議互通和Appmgr節(jié)點(diǎn)到被管理設(shè)備的IP可達(dá)，協(xié)議互通。

部署方案架構(gòu)圖如下：

PAM-Manager-HA雙機(jī)模式：熱備。正常情況下，業(yè)務(wù)流量只經(jīng)過(guò)主機(jī)，并定期將數(shù)據(jù)備份至備機(jī)。當(dāng)主機(jī)發(fā)生故障時(shí)，進(jìn)行主從切換，由備機(jī)來(lái)處理業(yè)務(wù)流量，從而確保業(yè)務(wù)的連續(xù)性。

PAM-Manager負(fù)責(zé)：

任務(wù)調(diào)度：賬號(hào)發(fā)現(xiàn)，賬號(hào)巡檢，賬號(hào)改密，密碼備份，密碼工單等自動(dòng)化任務(wù)的調(diào)度和隊(duì)列維護(hù)工作。

配置管理：用戶(hù)，資產(chǎn)，賬號(hào)，密碼，任務(wù)，系統(tǒng)配置等管理工作。

web服務(wù)：前端頁(yè)面，API服務(wù)。

狀態(tài)監(jiān)控：服務(wù)組件，HA狀態(tài)，worker狀態(tài)等所有組件服務(wù)狀態(tài)監(jiān)控和報(bào)警工作。

worker管理：負(fù)責(zé)worker的配置，安全控制工作。

Worker為無(wú)狀態(tài)節(jié)點(diǎn)，負(fù)責(zé)：

執(zhí)行manager推送過(guò)來(lái)的任務(wù)，包括：賬號(hào)發(fā)現(xiàn)，賬號(hào)巡檢，賬號(hào)改密。

worker本地不存儲(chǔ)任何數(shù)據(jù)。

manager在向worker推送任務(wù)前會(huì)檢查worker狀態(tài)，只會(huì)將任務(wù)推送給活動(dòng)并且空閑的worker。

Appmgr為免Agent技術(shù)組件和多層可用性保障的應(yīng)用內(nèi)嵌賬號(hào)管理組件，當(dāng)應(yīng)用通過(guò)SDK或API查詢(xún)密碼時(shí)，可以訪問(wèn)遠(yuǎn)端的AppMgr從而獲取賬號(hào)密碼信息，通過(guò)無(wú)侵入的方式幫助用戶(hù)解決又來(lái)已久的應(yīng)用配置文件、中間件數(shù)據(jù)源中的靜態(tài)明文賬號(hào)密碼無(wú)法管理、不敢管理但又必須管理的窘迫現(xiàn)狀。

商業(yè)改變

1、 通過(guò)一站式密碼管理解決方案，支持定期自動(dòng)改密，幫助用戶(hù)實(shí)現(xiàn)弱口令占有率從超過(guò)50%下降至不到1%，保證密碼管理安全合規(guī)性要求落地。

2、 通過(guò)多Worker部署方案，幫助用戶(hù)解決了跨網(wǎng)絡(luò)環(huán)境賬號(hào)密碼的自動(dòng)梳理、變化探測(cè)、威脅感知等賬號(hào)安全風(fēng)險(xiǎn)相關(guān)的管理行為難落地的問(wèn)題，進(jìn)一步打造出了自動(dòng)、集中、閉環(huán)化的賬號(hào)治理體系。

3、 通過(guò)使用PAM中可擴(kuò)展的多Worker部署模式，加上高性能及高可靠改密組件實(shí)現(xiàn)一小時(shí)內(nèi)10000個(gè)賬號(hào)100%改密成功率的保障，解決了海量賬號(hào)高并發(fā)改密的難題，并且滿(mǎn)足了該證券公司未來(lái)三年賬號(hào)規(guī)模增長(zhǎng)的可持續(xù)性發(fā)展需求。

相關(guān)企業(yè)介紹

●齊治科技

齊治科技成立于2005年，是數(shù)據(jù)中心安全管理領(lǐng)域的領(lǐng)軍企業(yè)，依托于對(duì)行業(yè)前瞻性需求的深刻理解、卓越的創(chuàng)新能力和豐富的技術(shù)積累，公司面向數(shù)據(jù)中心運(yùn)維安全、賬號(hào)安全和資產(chǎn)安全三大領(lǐng)域建立了完整的產(chǎn)品體系，其產(chǎn)品和服務(wù)廣泛應(yīng)用于金融、電力、政府、互聯(lián)網(wǎng)等行業(yè)超過(guò)2500家客戶(hù)。

●某證券公司

該證券公司是國(guó)內(nèi)最早、綜合實(shí)力最強(qiáng)的證券公司之一，業(yè)務(wù)涵蓋證券期貨經(jīng)紀(jì)、投行、自營(yíng)、資產(chǎn)管理、私募股權(quán)投資、融資租賃、境外銀行等，其中經(jīng)紀(jì)、投行和資管等傳統(tǒng)業(yè)務(wù)居行業(yè)前茅，融資融券、股指期貨和PE投資等創(chuàng)新業(yè)務(wù)領(lǐng)先行業(yè)。

來(lái)源：數(shù)據(jù)猿