特权账号管理系统
在中海融程看来,无论企业的动机是业务转型还是降低风险，零信任策略都是实现企业目标的最佳和最安全的途径，而保护身份安全和特权访问账号安全则是零信任策略的关键。
传统的堡垒机是满足国内安全法规关于运维审计的功能性要求而设计的，无法实现接入侧和业务侧的双网数据隔离，未能从终端安全，应用工具软件安全，浏览器安全，传输安全，密码存储安全等方面满足零信任的设计原则：
1、关闭所有非必要端口
2、默认一切参与因素不受信
3、最小权限原则
4、动态访问控制和授权
5、纵深主动安全防御
我们知道，无论是Windows、Linux还是MacOs，各种操作系统均存在很多未能修复的漏洞，而几乎所有的浏览器都会有密码自动缓存功能，且大都没有风,险提醒，运维人员使用的工具软件更是多种多样，容易携带恶意木马和插件。因此，如何在满足效率的前提下，实现从终端入口到目标资源的端到端的特权访问安全，就成为安全运维人员选择特权访问管理产品的重要检验标准。
中海融程特权账号管理系统基于零信任架构设计(关闭一切非必要端口，默认一切因素不可信，为用户和资源匹配最小权限，采用动态访问控制和授权，纵深的主动安全防御技术)，采用两网隔离技术，可以减少攻击面，保护用户的访问，减少数据泄露，防止勒索软件和数据丢失事件的发生，拒绝未授权的访问，保障数据安全最大价值化。
最终实现任何用户，任何位置，任何设备，均可安全接入内网，访问运维和研发环境的核心敏感数据，敏感数据不落本地终端，确保安全访问和控制，并实现全面审计。
由于80%的成功入侵都涉及账号密码泄露，因此，除了在身份和数据访问的入口终端做零信任策略的准入限制以外，也需要在数据中心内部的目标资源做访问控制和口令安全的自动化管理。
账号密码管理难点及特权账户带来的挑战
当前典型的IT环境中通常拥有成千上万个特权账号，覆盖不同主机、数据库、网络设备、安全设备、中间件、硬件控制台等。但是由于人力有限，对改密信心不足，无有效技术手段等原因，导致大部分客户的账号管理陷入混乱、无序、无从入手的境地。
账号密码管理的难点：
1、账号密码梳理难：IT资产设备数量多，类型多。
2、账号密码合规难：弱密码、僵尸/幽灵账号、账号提权、长期未改密、密码无效。
3、密码定期更新难：无定期、准确、高效地修改密码技术手段或人工改密信心不足。
安全运维的痛点：
1、远程接入不安全：无两网隔离，数据交换有风险；
2、集中运维难管理：无运维统一门户，集中管理应用软件纳管难；
账号合规对运维安全提出的挑战
绝大多数系统管理员、网络工程师、技术支持人员、数据库管理人员和信息安全工程师认为，由于其工作的性质，他们需要全面而不受限制的特权访问。这里的挑战是，他们和企业非常依赖这种级别的访问权限，这很难改变。造成这种情况的原因包括：
1、多平台共享一个账号口令：在多个平台和组件特权账户通常是相同的。如果特权账户可以攻破一个平台，则会影响对整个环境的访问。
2、多人共享一个账号口令：有些特权账户在管理员之间共享，从而影响问责制。
3、应用账号口令共享同步难更改：应用系统中嵌入式服务账户让其难以遵守安全策略规定的定期更改密码。
4、账号合规流程管控难变更：糟糕的变更控制、无效的回收系统以及经常性紧急变更需要特权访问，以保持系统的可用性和性能水平。
身份安全及数据安全的应对
安全管理目标：运维研发安全管理的可信、可控、可视、合规
以下是我们整理的运维研发安全合规的一些要点，如何通过账号，密码，权限的策略，满足安全管理的可信，可控，可视，合规。
账号密码合规基线
与此同时，我们还整理总结了账号密码管理合规的十个维度基线，与我们的合作伙伴及客户共同探讨，如何通过发现，管理，配置策略，满足密码生命周期管理的合规性。
限制特权账户
限制特权账户很多时候取决于IT组织的规模，管理员越多，企业就越容易根据最小权限来限制访问。在小团体中，每个人都履行不同的职责，限制访问更具挑战性。然而，如果没有问责制或监控，特权用户可能会误入歧途。这里有三种类型的控制：
1、预防性控制：让特权账户只能访问用户负责的系统和环境。
2、检测性控制：确保特权账户活动是全面且安全的，并由使用管理员无法访问的SIEM或系统日志服务器来监控。
3、纠正性控制：确保部署足够的备份和恢复控制，以在特权用户滥用的情况下，让系统回复到正常状态。
企业可使用这些控制或者适当组合这些控制来有效控制特权帐户。安全以及对特权账户的控制不一定是繁重或破坏性的，深思熟虑的拓扑结构、访问权限、监控和恢复程序可减少特权用户风险，并允许他们履行自己的工作职责。
增强远程访问控制
特权账户的访问权限和凭证若被勒索软件利用，其攻击将以权限范围为载体，从个别感染主机迅速延至网络中其他设备，攻击者可恶意加密的数据范围将会进一步扩大。基于此，企业客户应加强特权账户的身份、权限及访问管理，确保用户基于最小权限原则按需访问数据和资源，并考虑通过使用特权账户管理工具对特权账户集中化管理，考虑登录采用多因素身份认证MFA方式，并对特权会话操作执行监控审计等。
随着后疫情时代的到来，远程工作逐渐成为新常态，不安全的远程访问方式如远程桌面协议(RDP)将允许攻击者通过暴露在互联网上的端口入侵到远程服务器。为保障远程访问的安全，企业客户应对外部访问内网的用户禁用一切不必要的端口(如远程桌面连接，向日葵，关闭网络文件传输通道，关闭剪贴板复制粘贴等)并考虑使用私有协议，专用客户端加密传输，隔离网络和数据等技术手段完成安全地远程连接。
睿甲科技的关键技术包含：
1、零信任客户端
2、高安全的系统隐身和加固
3、高可用的密码保险库
4、高可靠的密码策略引擎，改密安全可靠
5、系统登录密码自动代填，自助式添加，适配各种B/S,C/S系统的无密码登录
6、国密算法加密存储和传输。
7、自身安全性，无需第三方数据库,中间件支持，无log4i安全漏洞风险
零信任客户端
安全的客户端，可发布零信任浏览器，可信工作空间，客户端到特权账号管理系统之间采用视频流增量方式，仅传输远端系统的操作视频图像，可以安全隔离空间，网络，文件，剪贴板的操作，满足数据防泄露，应用保护的数据安全要求。
高可用的密码保险库
专业的数字密码保险库采用国密算法，高可用设计，可无限次数保存密码，支持一键备份和离线备份，可一键快速恢复所有配置和密码文件，密码文件的访问必须通过专用客户端，使用私有协议，输入管理员口令，匹配正确的授权许可，方可打开查看保存的密码密钥数据。
系统登录密码自动代填，自助式添加
应用系统的添加支持用户自助式添加，可以是鼠标拖拽捕获方式添加，也可以采用传统的脚本方式添加，低代码交付，简单易用。不受应用系统类型限制，无需应用系统开发人员配合即可完成。
1、支持终端类用户名及密码的代填：SecureCRT、Openssh、Xshell、Putty、Telnet等程序，不受程序类型限制。支持二次及更多代填次数功能。
2、支持对窗口类用户名及密码的代填：Filezilla、PCAnywhere、SQLclient、PLsgl、OracleClient等C不受程序类型限制。
3、支持对远程桌面类用户名及密码的代填：ReaVNC、TightVNC、Windows RDP、VNCviewer等，不受程序类型限制。
4、支持对虚拟客户端用户名及密码代填：CitrixICA、Windows RemoteApp、VMware、Vsphere/Vcenter/Vmplayer。
5、支持各类B/S架构系统用户名及密码的代填
6、支持在主帐号登录完成后，只能够访问已被授权的被管资源
7、支持自助式用户和密码代填，无需管理员参与设置
8、支持SAP客户端用户、密码和IP地址代填
9、支持Navicat工具基于Oracle、Mysql管理用户和密码代填
10、支持Citrix Xenapp应用发布
11、支持开发工具Eclipse发布
国密算法加密存储和传输
数据传输和文件存储均采用国密算法。
自身高安全，无数据库，中间件，Log4j安全漏洞风险
1、睿甲PAM使用C/S架构，仅需开放私有协议端口。
2、睿甲PAM设计架构中无需任何第三方数据库、中间件支持，无需任何开源Web服务支持，无需任何第三方平台支持(Java，.Ne等)。
3、睿甲PAM基于C++开发，对log4j漏洞无需响应。
睿甲科技的技术优势:
安全稳定，高可靠的密码保险库
利用专业的密码保险库和密码策略，同时支持国密算法的传输和加密存储，睿甲PAM可以集中存储定期更换、安全访问资产和应用，以及代填密码，减少企业核心密码被共享、遗忘和泄露的风险，消除默认密码或弱口令被破解的隐患。
睿甲PAM支持企业IT，OT环境里几乎所有的特权账号，无论是基础架构设备，还是各种应用系统(B/S，C/S)均能实现自动化修改密码的功能，帮助企业全方位、无盲区的管理特权凭证。
灵活的权限访问控制
通过访问控制策略来赋予用户使用何种应用，哪个账号对目标资源的访问权限。管理员可以根据不同需求建立不同的策略来控制用户可以访问账号的范围、时间及使用权限，可以充分灵活地匹配企业中各类访问控制需求。
睿甲PAM适用场景:
远程运维，外包集中授权，访问控制管理
睿甲PAM安全理念
我们的安全理念是安全的四个现代化：简单化，可视化，自动化，智能化。
睿甲科技愿景
成为零信任的特权访问管理专家。
1、洞察和执行方面，确保数据安全，以及持续的身份安全管理。
2、检测和响应方面，我们可与第三方安全厂商联动，实现威胁可视化，检测响应自动化。
3、安全策略方面，我们采用关键业务优先原则，可以及时发现风险，执行最小权限，实现访问控制，保证终端设备安全，提供无密码的一致性客户体验。