安全牛|下一代堡壘機(jī) 數(shù)據(jù)中心的特權(quán)身份銀行
發(fā)布時間：
2019.04.25 | 來源：
安全牛
4月11日，帕拉迪全國渠道合作伙伴大會在杭州舉行。
從2005年，發(fā)明并專注堡壘機(jī)的帕拉迪，到2018聚焦IAM（身份訪問管理）的帕拉迪，“不跟風(fēng)、不浮躁、不盲從” 的產(chǎn)品基因仍是這家14年安全企業(yè)的重要內(nèi)涵。
安全問題，不只是技術(shù)，更多的是歷史原因，人性的弱點，還有成本。要把安全與管理，融到一起做。
——帕拉迪總經(jīng)理陳云
對上面這段話，陳云的解讀是，人性的弱點指的是弱口令，講的是對賬號、權(quán)限的管控；出于成本考慮，至少要對企業(yè)的心臟——數(shù)據(jù)庫，做針對性防護(hù)；針對企業(yè)數(shù)據(jù)中心，要在保障運維低成本、靈活、穩(wěn)定的前提下保證安全，同時大量的日志數(shù)據(jù)，可以用來做分析，輔助運維和安全工作的管理和自動化。這是陳云想的四個方向。這四個方向，從品牌角度來看，只有堡壘機(jī)還留在帕拉迪，剩下的IAM、數(shù)據(jù)庫安全、日志分析都在帕拉迪。
“今年下半年，帕拉迪將正式成為帕拉迪的全資子公司?！?/span>
不難看出，主打IAM的帕拉迪將成為陳云之后的重要戰(zhàn)略方向，是未來。
但有意思的是，對于帕拉迪而言，堡壘機(jī)目前還不是過去。帕拉迪認(rèn)為，堡壘機(jī)將會發(fā)展為獨立與數(shù)據(jù)中心、以賬號為中心的統(tǒng)一安全管理平臺。更重要的是，堡壘機(jī)還要能與自動化運維平臺、自動化設(shè)備打通，成為一切對數(shù)據(jù)中心資產(chǎn)訪問行為的必經(jīng)通道。
基于此，在此次大會上，除了溝通其渠道和銷售戰(zhàn)略外，帕拉迪還發(fā)布了一個重要的產(chǎn)品-下一代堡壘機(jī)（PAM），以滿足自動化運維時代，企業(yè)數(shù)據(jù)中心對賬號管理和通道控制的需求。
構(gòu)建數(shù)據(jù)中心的特權(quán)賬號“銀行”
帕拉迪技術(shù)總監(jiān)王楓表示，傳統(tǒng)堡壘機(jī)面臨的問題，以及堡壘機(jī)在數(shù)據(jù)中心定位的改變，是此次發(fā)布下一代堡壘機(jī)的重要原因。
總的來看，傳統(tǒng)堡壘機(jī)面臨以下困境：
o 無法支持大并發(fā)和集群擴(kuò)展；
o無法支持自動化平臺特權(quán)賬號的使用，無法配合ITSM（IT服務(wù)管理）、CMDB（配置管理數(shù)據(jù)庫）等系統(tǒng)的流程化運維；
o 無法支持移動端的運維和權(quán)限控制；
o無法支持可視化授權(quán)；
o 無法自動收集賬戶信息。
帕拉迪認(rèn)為，下一代堡壘機(jī)，即特權(quán)賬戶管理中心，要成為數(shù)據(jù)中心的 “特權(quán)身份銀行”，就必須實現(xiàn)通過可編程的API對接自動化運維平臺，保證其對資產(chǎn)訪問權(quán)限的調(diào)用；同時，針對特權(quán)賬號安全，可以進(jìn)行主動安全評估，以及便捷的管理；再結(jié)合數(shù)據(jù)上傳/下載通道的管控，實現(xiàn)安全閉環(huán)。
作為傳統(tǒng)堡壘機(jī)的開創(chuàng)者，從技術(shù)層面，王楓認(rèn)為，帕拉迪的重要優(yōu)勢或門檻有兩點，一是堡壘機(jī)產(chǎn)品本身的成熟穩(wěn)定，這點在對超大集群部署的能力中就有體現(xiàn)。
“我們銀行的客戶很多，他們非常看重堡壘機(jī)的可靠性?！?/span>
第二點，就是堡壘機(jī)本身的安全。
據(jù)王楓介紹，帕拉迪的堡壘機(jī)是多家ICT大廠OEM的首選，特別是出口海外市場。不僅是因為其性能和能力，在安全層面，帕拉迪也下足了功夫。
“國外市場對堡壘機(jī)本身的安全性尤其重視，當(dāng)初，在產(chǎn)品的安全加固就用了我們一年半的研發(fā)精力。我們支持8-10種身份認(rèn)證模式。同時，我們將堡壘機(jī)看作一個后端應(yīng)用，所以有一整套的安全加強(qiáng)方案，包括針對堡壘機(jī)的WAF，可以實現(xiàn)參數(shù)和url的白名單，以及針對堡壘機(jī)數(shù)據(jù)庫的安全監(jiān)測系統(tǒng)?！?/span>
無論是成熟穩(wěn)定，還是安全性，這些都是開源堡壘難以短時間實現(xiàn)的。
“堡壘機(jī)不會做運維自動化，那不是我們熟悉的領(lǐng)域。但是對于現(xiàn)在大熱的自動化運維平臺，客戶高層也是持不信任態(tài)度的，所以從客戶層面就會樂于推動這些平臺和堡壘機(jī)的對接。統(tǒng)一的賬戶安全體系，特別是已經(jīng)在用堡壘機(jī)的客戶，這是一層重要安全保障。”
此外，對于堡壘機(jī)和IAM的關(guān)系，王楓認(rèn)為，堡壘機(jī)受運維協(xié)議的帶寬限制，更關(guān)注運維人員的訪問，而IAM是囊括所有業(yè)務(wù)線的身份體系，可以說堡壘機(jī)是IAM的一個子模塊。但堡壘機(jī)對身份、權(quán)限的管控，以及訪問行為的審計和監(jiān)測（也正是4A的內(nèi)容），追溯到自然人的能力，可以擴(kuò)展的更大。這個需求也是確實存在的。
“目前，我們IAM方案的客戶政府機(jī)構(gòu)居多。比如社保局、區(qū)政府等。雖然他們的身份建設(shè)滯后，有大量的老舊系統(tǒng)，但我們的IAM方案是外掛式，不需要和這些系統(tǒng)開發(fā)對接，同時自身又有安全屬性，還有很多場景功能開關(guān)可供選擇，所以非常適合他們?！?/span>
安全牛評：
堡壘機(jī)已經(jīng)是非常成熟的產(chǎn)品，但是目前的痛點和客戶的需求方向也很清晰。作為國內(nèi)堡壘機(jī)品牌領(lǐng)頭羊，更契合客戶對自動化和移動化運維的需求場景及趨勢，更好的完成從堡壘機(jī)到IAM的過渡使命，是帕拉迪此次發(fā)布“下一代堡壘機(jī)”的兩個重要意義。從品牌策略來看，也是對應(yīng)且明確的。帕拉迪已經(jīng)成為國內(nèi)堡壘機(jī)的重要品牌，結(jié)合國內(nèi)重要的合規(guī)市場需求，這點很難丟棄，但是除此以外，圍繞數(shù)據(jù)庫和身份而不局限在特權(quán)賬號，IAM才是更廣闊的未來。