特权账号架构

随着企事业单位IT架构日益复杂，网络安全威胁也愈加严峻，运维管理变得更具挑战性，传统的单一口令认证已难以满足对高安全性系统访问的需求。为了加强系统访问控制，防止未授权访问和恶意操作，应对更为严格的合规性要求，堡垒机需要实现更为严格和灵活的身份安全防护。InforCube智能运维安全管理平台-运维审计中心（SiCAP-OMA）提供了丰富的身份认证方式，能够支持口令认证、RADIUS认证、LDAP认证、AD域认证、短信认证、动态口令牌认证、手机口令牌认证、证书认证以及双因素认证，并融入了验证码功能以增强登录安全性；能够根据用户的风险级别，配置不同的认证方式实现系统混合认证；同时提供了智能化的风险管控机制，能够实时自动监测并响应异常登录行为，一旦触碰预设的风控规则，系统将自动进行告警、阻断或启动二次认证程序，确保访问环境的安全性。堡垒机多样化的身份认证策略，不*能够满足不同组织的安全策略和业务需求，同时可以加固系统访问的安全性，促进运维效率与合规性的提升。解决方案打通各个运维环节，把运维相关数据进行有机结合，通过智能学习和分析，优化和提升各个运维环节。特权账号架构

在运维过程中，运维人员往往使用磁盘映射和剪切板进行数据传输，如果没有严格的权限控制和全*的数据审计，会存在数据泄露或恶意操作风险。InforCube智能运维安全管理平台-运维审计中心（SiCAP-OMA）提供运维双向控制能力。针对磁盘映射、剪切板，分别对数据上行、下行权限进行细粒度控制，确保用户权限*小化；对数据传输结果进行全*记录，为上传恶意文件、窃取数据等危险行为提供查询依据。运维双向控制，可以有效管控数据交互，降低数据泄露风险，提升整体运维安全水平。SSH漏洞提供对已发布服务自助申请，支持与CMDB、IAM等模块联动，提供不同业务自助服务，促进企业IT服务持续发展。

等保2.0明确规定，运维操作过程中应保留不可更改的审计日志；数据安全法、个人信息保护法要求企业加强敏感数据管控，保障数据安全。堡垒机需要记录运维日志，其中也会包括：账号、密码等敏感信息，如果不做任何处理，就会存在安全风险。InforCube智能运维安全管理平台-运维审计中心（SiCAP-OMA）会全*保留运维操作的原始日志文件，便于事后责任界定与原因追溯，同时提供灵活的审核日志脱*配置，能够对敏感数据进行脱*处理，防止敏感信息泄露。审核日志脱*功能，可以帮助客户满足国家相关法律法规要求，确保审核过程中的敏感数据安全，避免数据泄露和滥用等风险。

在复杂问题排查或重要变更操作过程中，运维人员通常需要邀请其他运维人员共享或者协助操作当前会话，以便共同解决问题，处理故障。InforCube智能运维安全管理平台-运维审计中心（SiCAP-OMA）提供邀请协助功能。运维人员可针对运维目标资产，选择有此设备运维*限的运维人员作为受邀人并主动发起邀请；受邀人接收到邀请通知后，可在其待办列表查看到邀请信息，并进行协助。发起人也可随时取消已发起邀请。通过邀请协助，能够满足多人协作场景下的运维需求，提高工作效率。所有资源账户进行统一集中授权管控.

运维人员每次运维前都要先打开浏览器登录堡垒机，再找到对应的授权资产进行运维，操作步骤较多。InforCube智能运维安全管理平台-运维审计中心（SiCAP-OMA）提供直连运维功能。运维人员无需打开SiCAP-OMA页面，可选用本地客户端工具，通过配置SiCAP-OMA IP地址和用户名、密码、目标资产IP、资产账号、资产账号密码、协议，即可直接访问到目标资产进行运维，进行SiCAP的认证和目标资产运维，整个运维过程需要基于已有SiCAP-OMA的授权。直连运维不*可以简化用户运维步骤，提高运维工作效率，还能适配不同用户的操作习惯，提升用户体验。智能运维安全管理平台SiCAP支持字符协议的运维管控，如：黑白名单控制、命令审计等。资产管理流程集成

智能运维安全管理平台SiCAP支持基于资产组、资产账号组的权限动态分配。特权账号架构

InforCube智能运维安全管理平台-运维审计中心（SiCAP-OMA），从运维的授权管控、操作控制、访问控制等多个层面进行精细化管控，确保运维操作合法可控。例如：多维度多粒度的动态授权机制，实现了权限的灵活化、精*化、动态化管控；通过严格限制访问时间段的临时工单授权，即保证运维*限细粒度管控，也满足资产临时运维的需求；基于多种种特殊运维场景和多级审批流程，保证运维人员在特殊情况下排障工作及时进行；实时监控会话，结合高危命令配置，阻止正在进行的攻击，防止发生额外的损害；高安全性的密码会同、双人协作与命令复核，加强核*数据安全性；控制运维目标合法性，严格限制越权操作，降低内部攻击和数据泄露风险；实时监控网络活动，及时发现并阻止异常绕行行为；所有运维操作都会被记录并回放，确保每一步都有迹可循。特权账号架构