近年來，金融行業(yè)的IT系統(tǒng)業(yè)務發(fā)展迅猛。與之伴隨的是，金融行業(yè)信息系統(tǒng)所面臨的威脅和風險也越來越大，由人工操作導致的風險屢次出現(xiàn)。因此通過堡壘機系統(tǒng)有效控制并降低金融行業(yè)IT系統(tǒng)運維操作的風險，使運維操作管理更加簡單、安全；加強IT基礎(chǔ)設(shè)施內(nèi)部管理與監(jiān)控是保證數(shù)據(jù)信息安全、業(yè)務運營穩(wěn)定可靠的關(guān)鍵問題。

針對金融行業(yè)面臨的信息安全風險，以及其信息化業(yè)務發(fā)展現(xiàn)狀和需求，德訊科技推出ICS堡壘機系統(tǒng)可從技術(shù)層面提供全方位一體化的安全防范與有效控制手段。

ICS堡壘機系統(tǒng)基于COBIT標準框架，主要從影響金融業(yè)網(wǎng)內(nèi)運維安全四大要素（主體、對象、工具、行為）入手，提供“認證、監(jiān)控、審計、評估”管理手段，為數(shù)據(jù)中心構(gòu)建一套“事前預防、事中監(jiān)控、事后審計”的網(wǎng)內(nèi)安全運維監(jiān)管體系，實現(xiàn)“運維集中化、操作規(guī)范化、風險最小化”的管理目標。

其安全運維監(jiān)管模型，如下圖所示：

安全運維監(jiān)管模型

金融行業(yè)用戶通過應用德訊ICS堡壘機系統(tǒng)解決方案，可以充分享受以下應用價值：

提供統(tǒng)一管理平臺，實現(xiàn)運維工具集中管理

ICS堡壘機系統(tǒng)提供統(tǒng)一WEB管理入口，對登陸用戶身份的合法性實施統(tǒng)一認證；系統(tǒng)自帶字符類/圖形類/應用類多種運維工具，無需運維客戶端自行安裝，避免運維過程中出現(xiàn)工具不全面，版本不兼容的問題；支持會話代理訪問通道的建立，改變原有本地客戶端直接發(fā)起會話的運維模式，提供集中化、一站式運維服務，并對運維過程實現(xiàn)有效監(jiān)控與審計。

運維前主動防控――運維主體身份識別與認證

ICS堡壘機系統(tǒng)提供一套非常完善的身份管理與認證機制，把握和控制該數(shù)據(jù)中心WEB管理平臺訪問入口，對所有登陸用戶身份的有效性和合法性逐一驗證，加強操作源頭的安全防范，真正實現(xiàn)操作訪問前的主動防控管理，大大降低了金融行業(yè)重要業(yè)務信息數(shù)據(jù)泄露的風險。支持用戶本地（WEB管理平臺）與第三方（如Radius、RSA SecureID認證、LDAP/AD域）兩種認證渠道，在保證安全防范操作的同時，提高了用戶操作的靈活性與便捷性，同時體現(xiàn)系統(tǒng)強大的兼容性與擴展性。

運維過程的全生命周期審計，保證運維的安全性

ICS堡壘機系統(tǒng)提供網(wǎng)內(nèi)運維管理全生命周期的審計，采用流媒體形式記錄運維人員登陸運維網(wǎng)關(guān)至登出運維網(wǎng)關(guān)的全過程，支持對字符、圖形等多種類型會話的全面審計。

審計結(jié)果以操作日志及錄像相結(jié)合的形式呈現(xiàn)，同時支持錄像回放、SQL語句、關(guān)鍵字符與審計錄像關(guān)聯(lián)定位與檢索，實現(xiàn)運維操作過程的快速定位、精確跟蹤以及真實重現(xiàn)，協(xié)助審計人員對非法運維操作節(jié)點的排查及故障責任的追溯，提升數(shù)據(jù)中心精細化、規(guī)范化的運維安全管理水平。

統(tǒng)一賬戶與密碼管理

ICS堡壘機系統(tǒng)支持對各類目標設(shè)備，如服務器設(shè)備、網(wǎng)絡(luò)設(shè)備、以及安全設(shè)備的帳戶及密碼進行統(tǒng)一管理，涉及帳戶及密碼的實時收集、定期批量修改、帳戶分配管理、單點登錄/密碼代填。減輕運維人員維護壓力的同時，保障業(yè)務系統(tǒng)的安全運行。

運維中實時監(jiān)控――運維行為實時監(jiān)管與控制

為企業(yè)數(shù)據(jù)中心運維人員的業(yè)務操作提供直接、高效的安全管控手段?；诰仃嚧翱谀Ｊ綄崿F(xiàn)會話過程的實時監(jiān)控，支持多路監(jiān)視畫面輪詢切換以及具體畫面的鎖定與縮放，對于異常、可疑、違規(guī)操作可及時進行制止并實施阻斷。有效提高企業(yè)網(wǎng)內(nèi)操作風險管理效率，提升風險防范的及時性與可預見性，創(chuàng)建一個事中實時監(jiān)督系統(tǒng)。

靈活的授權(quán)，實現(xiàn)用戶主動管理的可控性

ICS堡壘機系統(tǒng)解決方案提供靈活的代維人員維護授權(quán)的管理能力，維護要求由業(yè)主用戶主動發(fā)起，并設(shè)定代維賬號，限定操作時段或頻度后，通知代維公司運維，維護完成后，賬號自動鎖定，保證運維工作的可控性。

單點登錄，提高運維管理效率，保護密碼的安全性

ICS堡壘機系統(tǒng)針對運維管理賬號提供的單點登錄功能，將不再需要代維人員知道被控目標設(shè)備的系統(tǒng)級賬號及密碼信息，完全由ICS堡壘機系統(tǒng)直接完成。代維人員只需要在會話中進行具體的維護性操作即可，整個過程不涉及被控目標設(shè)備的賬號及密碼信息，保證目標系統(tǒng)賬號和密碼的安全性。

命令行會話的字符級控制，提高系統(tǒng)維護過程的安全性

針對Telnet、SSH等命令行會話行為，ICS堡壘機系統(tǒng)提供了操作命令的黑、白名單控制功能，對于一些高危命令完全可以預先設(shè)定好，使其代維人員在維護過程中無法執(zhí)行此命令，從而控制運維過程帶來的操作風險，保障運維的安全性。

管理數(shù)據(jù)報表，為代維和業(yè)主提供工作量價值評估依據(jù)

ICS堡壘機系統(tǒng)解決方案集中匯集運維管理過程中各種會話及操作內(nèi)容的數(shù)據(jù)信息，針對此數(shù)據(jù)可提供各種報表的信息挖掘，包括代維人員周期內(nèi)的維護次數(shù)，維護人員維護時長匯總，各個被控目標設(shè)備的維護頻度等，為業(yè)主用戶提供代維價值的評估依據(jù)。

除以上應用價值，ICS堡壘機系統(tǒng)也十分關(guān)注自身的安全性操作，所有運維、審計數(shù)據(jù)可實現(xiàn)異地自動備份，也可進行導出備份，并具備一系列自身狀態(tài)的監(jiān)測系統(tǒng)，減少故障率，提升性能。ICS堡壘機系統(tǒng)可助力金融行業(yè)提升其信息安全等級，滿足金融行業(yè)高度保密性和安全性的更高要求。

通過本方案的實際部署和應用，金融行業(yè)用戶有效實現(xiàn)了保障數(shù)據(jù)中心IT基礎(chǔ)設(shè)施運營管理的穩(wěn)定可靠性與業(yè)務數(shù)據(jù)信息安全性的管理目標。德訊科技“以科技及創(chuàng)新改善IT管理方式”的發(fā)展理念，最終取得了良好的驗證與成效。