银行堡垒机实施方案.docx

银行分行运维审计平台
实施方案
修订记录／Cｈange Hiｓtorｙ
日期
修订版本
描述
作者
２０16－2－1６

独立实施方案,完善测试部分
麒麟
ﻬ
目录
1 文档说明ﻩ5
概述ﻩ5
运维操作现状ﻩ5
2 物理部署规划ﻩ6
２．1 设备硬件信息 6
软件信息ﻩ7
2．３ 系统LＯＧＯﻩ7
地址规划ﻩ7
部署规划ﻩ７
3 应用部署实施ﻩ8
　堡垒机上线说明ﻩ8
　设备初始化ﻩ8
上架加电ﻩ９
．2 网络配置ﻩ９
3．3　堡垒机配置修改方式ﻩ9
．１　目录树调整ﻩ10
设备类型添加及修改ﻩ11
堡垒机用户导入及用户配置ﻩ11
．4 主机设备帐号导入ﻩ14
系统帐号赋权ﻩ18
．6 应用发布服务器添加ﻩ２0
堡垒机应用发布配置ﻩ２２
应用发布用户配置ﻩ２2
应用用户组授权ﻩ23
3．５　数据留存配置ﻩ24
审计数据留存ﻩ24
　设备配置留存ﻩ2５
　定时任务配置ﻩ２６
3．５．４ 动态令牌使用手册ﻩ27
1、证书导入ﻩ２７
２、证书绑定ﻩ28
３、运维人员使用ﻩ28
３．６ 应急方案ﻩ3０
4　系统测试ﻩ３1
　TEＬＮEＴ访问操作管理ﻩ31
SFＴP访问操作管理ﻩ31
　SＳH访问操作管理ﻩ32
RＤＰ访问操作管理ﻩ3２
　FＴP访问操作管理ﻩ３2
５ 集中管控平台ﻩ33
集中管控平台功能ﻩ33
设备硬件信息ﻩ３3
5．3 软件信息 ３3
5．４ 地址规划ﻩ３３
部署规划ﻩ３４
集中管控平台部署ﻩ3４
　系统上线需求ﻩ３5
5．8　系统安装ﻩ３5
6 双机部署模式ﻩ３６
　双机部署模式功能ﻩ３6
６．２　上线条件ﻩ３6
地址规划ﻩ37
上线步骤ﻩ37
文档说明
麒麟开源堡垒机使用概述
随着我行业务范围和营业网点的不断延伸扩大,各类特色业务系统和基础网络设备随之上线运行,切实有效的保障了各分行业务的稳定性、安全性和灵活性。但与此同时,随着业务系统应用范围越来越广、数据越来越多,所需日常维护的系统和设备也在日益增长，科技运维部门面临的网络、系统安全稳定运行的压力也随之增加。
当前运维管理中存在的主要问题是,技术人员和维护人员的日常管理和维护都是直接登录业务系统、设备进行操作,没有针对运维操作进行统一管理、统一审计、统一分析的系统，造成运维操作没有办法进行监控分析，进而造成内部数据信息泄露、违规操作、恶意操作、密码外泄等一系列重大安全隐患。
随着监管对于日常运维工作审计记录的监管需求以及ＸX银行本身运维规范化管理的需求,实现分行骨干设备的运维操作的审计需求迫在眉睫。
本次堡垒机项目使用麒麟开源堡垒机，麒麟开源堡垒机产品功能强大稳定性高，经过测试可以完全满足银行的使用需要。
运维操作现状
当前分行均已部署了ACS设备,实现了网络帐号统一管理、权限控制、及命令记录功能。但因为缺少专业的运维管理系统,对于运维操作的监控，还存在一定的盲区，主要表现为:
运维操作方式多样、分散，缺乏有效集中管理；
运维操作缺乏技术手段来约束；
对运维操作行为的审计方式不直观；
共享账号的情况普遍，给访问者定位带来难题。
物理部署规划
设备硬件信息
运维审计系统包括堡垒机和应用发布服务器两台设备,物理参数如下:
设备
型号
硬件参数
堡垒机
麒麟开源堡垒机
ＣＰU 64位 ３G/16G内存/2Ｔ硬盘/交流电/2U
应用发布服务器
麒麟应用发布模块
ＣPU 64位　３Ｇ/３2Ｇ内存/2T硬盘/交流电/2U
软件信息
设备
操作系统
软件版本
Ｌicensｅｓ数
堡垒机
Centos
Ｖ1．１
１０000０个
应用发布服务器
Winｄowｓ ｓeｒｖeｒ ２０0８

系统ＬＯGＯ
堡垒机ＬOＧＯ在安装时,都已经被设置为ＸX银行运维审计平台,以与其它系统进行区分。
地址规划
参照分行部署规范，运维审计堡垒机及应用发布平台,需要分行分配在基础服务器区域,分配【１99