51CTO|為企業(yè)安全智能運維賦能，帕拉迪推下一代堡壘機PAM
發(fā)布時間：
2019.04.25 | 來源：
51CTO
4月11日，在2019年帕拉迪全國渠道合作伙伴大會上，帕拉迪總經(jīng)理陳云宣布帕拉迪下一代堡壘機(PAM)正式發(fā)布，以滿足自動化運維時代，企業(yè)數(shù)據(jù)中心對賬號管理和通道控制的需求，為企業(yè)安全智能運維賦能。
不熟悉帕拉迪和帕拉迪的人也許會問：為什么帕拉迪的大會，發(fā)布的是帕拉迪的產(chǎn)品?答案就是，帕拉迪和帕拉迪本是同源。2005年，陳云成立杭州帕拉迪網(wǎng)絡(luò)科技有限公司，并在當(dāng)年發(fā)布了堡壘機。2015年，陳云意識到用戶真正需要的是IAM(Identity and Access Management 即身份認(rèn)證與訪問安全管理)，于是又創(chuàng)立了專注于數(shù)據(jù)庫應(yīng)用安全領(lǐng)域的杭州帕拉迪網(wǎng)絡(luò)科技有限公司。
陳云認(rèn)為，網(wǎng)絡(luò)安全有三個“癌癥”：安全漏洞、人性的弱點和數(shù)據(jù)庫安全問題。對抗網(wǎng)絡(luò)安全“癌癥”需要以用戶的問題為導(dǎo)向，從三個方向出發(fā)：防護(hù)效果、解決安全風(fēng)險帶來的時延問題、保證用戶業(yè)務(wù)系統(tǒng)的穩(wěn)定。“安全并不僅僅是技術(shù)原因，更多的是來源于歷史原因和管理原因，要把這些原因統(tǒng)一考慮，必須把安全和管理融為一體來做?！?/span>
也正是出于這樣的考慮，帕拉迪重在安全管理，持續(xù)專注于數(shù)據(jù)庫安全、體系安全、日志大數(shù)據(jù)分析三大方向。而作為安全管理的一個重要角色，IAM的一個重要子模塊，堡壘機將仍舊由帕拉迪繼續(xù)深耕?！敖衲晗掳肽?，帕拉迪將正式成為帕拉迪的全資子公司?！标愒圃谘葜v中還宣布。
那么，什么是下一代堡壘機?下一代堡壘機具有哪些能力?帕拉迪下一代堡壘機PAM又添加了哪些新的元素呢?
新時代需要新的堡壘機
隨著IT技術(shù)的不斷發(fā)展，數(shù)據(jù)中心一直在不斷演進(jìn)。在主機層面，從傳統(tǒng)物理服務(wù)器到虛擬機，到到微服務(wù)架構(gòu);在網(wǎng)絡(luò)層面，從傳統(tǒng)網(wǎng)絡(luò)到現(xiàn)在的SDNS;在存儲層面，從倉儲到數(shù)據(jù)湖;在數(shù)據(jù)中心的運維層面，從人工運維到現(xiàn)在IT運維自動化，開發(fā)自動化，DevOps和AIOps等等概念的出現(xiàn)，使得現(xiàn)有的傳統(tǒng)堡壘機無法適應(yīng)這些IT基礎(chǔ)架構(gòu)的變化，無法滿足用戶的安全需求，新時代需要新的堡壘機。
對此，帕拉迪技術(shù)總監(jiān)王楓也表示，堡壘街亟需變革升級。歷經(jīng)多年發(fā)展，雖然堡壘機已形成了較為完善的賬號管理、權(quán)限管理和審計體系，但是依舊存在諸多缺陷：
一是，單臺設(shè)備無法支持多用戶大并發(fā)問題，無法支持集群擴展。
二是，管理不方便，授權(quán)需要添加策略，無法可視化授權(quán)，即點擊及實現(xiàn)授權(quán)，人資產(chǎn)分別以樹狀呈現(xiàn)。
三是，訪問終端局限，移動物聯(lián)網(wǎng)時代，無法支持手機運維及對數(shù)據(jù)中心資產(chǎn)及權(quán)限的實時掌控。
四是，無法自動收集賬號，當(dāng)目標(biāo)資產(chǎn)賬號變動時，堡壘機無法知曉和響應(yīng)。
五是，無法支持自動化平臺的特權(quán)賬號使用，自動化平臺的運維行為成了法外之地。
六是，無法與ITSM、CMDB、DevOps、網(wǎng)管平臺等系統(tǒng)聯(lián)動配合流程化運維。
下一代堡壘機是什么樣的呢?
該如何解決以上難題，滿足未來數(shù)據(jù)中心的安全管理需求呢?下一代堡壘機應(yīng)運而生。
“所謂的下一代，更形象來講是新一代，新一代堡壘機針對新一代數(shù)據(jù)中心的新需求，滿足現(xiàn)有IT基礎(chǔ)架構(gòu)?！迸晾霞夹g(shù)總監(jiān)王楓認(rèn)為，下一代堡壘機強調(diào)特權(quán)賬號管理中心，并且需要具備以下六大屬性，才能稱為下一代堡壘機。
屬性一：提供可編程環(huán)境通道?？蛇M(jìn)行自動化程序穿透，通過API接口，讓運維自動化不再是法外之地，整個自動化過程可管理可審計。
屬性二：支持高可靠的集群和分布式部署。數(shù)據(jù)中心體量越來越大，相應(yīng)的堡壘機也需要與之相適應(yīng)，需要支持任意環(huán)境下的集群和分布式部署。
屬性三：支持移動管理和運維BYOD。移動互聯(lián)時代，移動管理和運維逐漸成為剛需，下一代堡壘機PAM可通過專用App從管理者和運維者角度進(jìn)行多方位管理和操作。
屬性四：數(shù)據(jù)安全控制。數(shù)據(jù)安全是企業(yè)關(guān)注的核心，要在運維過程中解決數(shù)據(jù)的未授權(quán)拷貝及外泄問題。
屬性五：賬號安全管理。對服務(wù)器和網(wǎng)絡(luò)中的各種賬號都能一鍵收集，并對其狀態(tài)一目了然，并做到最全單點登錄。
屬性六：高體驗，高便捷。對賬號權(quán)限可自定義管理，支持多瀏覽器，為客戶提供可視化權(quán)限矩陣展示，提供一站式安全設(shè)置等。
王楓表示：“堡壘機的重要程度高于網(wǎng)絡(luò)防火墻。它管理所有權(quán)限，是高頻的安全設(shè)備，使用便捷且支持各種應(yīng)用環(huán)境，并且其自身安全性也極為重要。好的下一代堡壘機要成熟穩(wěn)定、安全可靠、技術(shù)先進(jìn)?！?/span>
為企業(yè)安全智能運維賦能，帕拉迪下一代堡壘機PAM發(fā)布
那么，帕拉迪的下一代堡壘機PAM囊括了哪些功能?又添加了哪些新的元素呢?
王楓告訴記者，帕拉迪下一代堡壘機PAM不僅具有傳統(tǒng)堡壘機的全部功能，比如：單點登錄、多因素身份鑒別技術(shù)、OCR標(biāo)題識別技術(shù)、數(shù)據(jù)同步技術(shù)以及RemoteApp無縫應(yīng)用等?！斑€將為數(shù)據(jù)中心基礎(chǔ)設(shè)施提供統(tǒng)一的、獨立的帳號管理及通道控制服務(wù)，數(shù)據(jù)中心基礎(chǔ)設(shè)施可編程，至此，SDN、SDS、ITSM、CMDB、自動化運維、各網(wǎng)管軟件等，將可通過下一代堡壘機對數(shù)據(jù)中心基礎(chǔ)設(shè)施進(jìn)行編程，實現(xiàn)控制閉環(huán)及AI處理?！?/span>
王楓以金融行業(yè)應(yīng)用為例解釋說，隨著電子銀行業(yè)務(wù)的蓬勃發(fā)展，現(xiàn)在很多的銀行IT架構(gòu)投入的人力物力在增加，引入各種自動化技術(shù)，通過自動化提高工作效率。而與此同時，安全風(fēng)險也悄然而至，自動化變成了安全漏洞點。自動化平臺為了提供便捷交付業(yè)務(wù)而生，卻沒有更多的防護(hù)措施，因此變成了不透明的黑盒子，比如腳本是否被惡意利用，自動化平臺外不得而知。一旦出現(xiàn)問題，管理員很難把自動化平臺權(quán)限快速收回終止業(yè)務(wù)。而通過下一代堡壘機，管理員可以一鍵收回權(quán)限，切斷不安全的通信，然后進(jìn)行適當(dāng)?shù)娜斯じ深A(yù)。
除此以外，在本次大會上，王楓還對數(shù)據(jù)中心數(shù)據(jù)安全縱深防方案、數(shù)據(jù)庫全生命周期安全解決方案，進(jìn)行了詳細(xì)的解讀，分析了馬上要發(fā)布實施的等級保護(hù)2.0的相關(guān)要求，給出了相關(guān)解決方案。