堡垒机.doc

（内部必威体育官网网址资料） 江门移动网管支撑系统帐号集中管理与审计系统 需求说明书 二00九年八月  文档更改历史记录 序号 主要更改内容 版本号 更改人 更改时间 1 建立初始版本 V1.0.0 林芳岳 2009-5-1 2 根据实际情况更改部分内容 V2.0.0 林芳岳 2009-7-9 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 目 录 1. 引言 4 1.1 目的 4 1.2 参考资料 4 2. 系统规划、定位与关系 4 3. 功能需求说明 6 该系统应具有以下功能： 6 帐号管理 6 密码管理 6 统一鉴权 7 访问控制 7 权限控制 7 实时监控 7 协议支持 8 操作会话控制与审计 8 报表生成和导出 8 0 部署方式 8 1 硬件环境 9 2 软件环境 9 3 应用规模 9 4. 工程计划 10 4.1 工程计划及进度 10 4.2 系统安装调试及验收 10 4.3 质量保证 10 5. 服务承诺和技术培训 11 5.1 基本服务承诺 11 5.2 额外服务承诺 11 5.3 技术培训 11 5.4 技术文件 12 引言 目的 本文档是江门移动网管支撑系统帐号集中管理与审计的需求说明书。该文档详细描述了网管支撑系统维护及审计集中化的需求信息。 江门移动网管网通过前期的安全建设，已经进行了安全域划分和边界整合调整，对终端接入网络实现准入控制，安全运营能力得到一定的提升。 对于本地网管网支撑系统，目前仍缺乏有效的安全监控及审计措施，用户接入网络后所进行的运维操作和执行的各种网络行为均无法获知，以致当安全事故发生时，很难进行各种事后的操作分析和事件取证。 在江门移动本地网管网支撑系统中，通过新增网络安全系统提高本地运行维护的统一接入管理、安全监控、安全审计能力，有效提升本地网络支撑系统安全运营能力。 该文档的阅读对象为江门移动网管支撑系统帐号集中管理与审计系统建设的项目评审人员、总体设计人员、系统开发、测试人员、以及广东移动通信有限责任公司江门分公司参与系统建设的相关人员。它是网管支撑系统维护及审计集中化系统开发和建设的关键依据文档之一，是进行系统概要设计和详细设计的指导性文件，也是系统验收的基本依据和标准。 参考资料 系统规划、定位与关系 为了对我市公司后台维护人员对网管系统等网管支撑系统的维护操作进行监控、审计，有必要按照操作维护中心规范，建立网管支撑系统维护及审计集中化系统，以达到帐号单点登录，操作安全审计的目的； 项目建设前： 按照安全审计要求，应在市公司安全操作中心范围内，从逻辑上或实际上隔开运维操作终端和目标服务器，并在中间区域加上具有帐号管理、访问权限控制、操作日志记录和审计等功能的堡垒机，以区分安全域。 项目建设后： 安全审计堡垒主机负责中转所有对网管服务器与网元维护操作，并具有一定的日志记录与审计功能。 功能需求说明 该系统应具有以下功能： 帐号管理 堡垒机系统应具有登录堡垒机帐号密码（用户账号密码）、目标可访问设备帐号密码（系统账号密码）及维护人员信息的管理功能，包括帐号及可访问设备的增加、删除、修改等操作。 密码管理 堡垒机应具有过期用户账号密码可过期自动修改功能。 堡垒应具有目标设备密码托管功能，可以实现对目标设备的一次登录。 堡垒机必须拥有对UNIX系统目标设备密码的定期自动修改功能，修改的方式和结果管理员可以自己定义。 统一鉴权 系统必须可以通过本地认证、动态令牌认证、AD域和LDAP认证等认证方式，对用户账号进行统一鉴权，并实现对可访问设备的单点登陆。 系统必须通过帐号、口令或软硬件令牌等因素对登录堡垒机的帐号进行统一鉴权，并实现对可访问设备的单点登陆。 任何帐号的口令必须通过加密方式存储和展示，并支持自定义口令长度、口令有效期、口令复杂度等参数。 访问控制 堡垒机系统必须对所辖登陆帐号的权限，进行严格的区分和管理。包括对用户（用户组）、角色、可访问设备（设备组）、登陆帐号地址等进行灵活的策略定制，还可以给予访问时间、和允许访问IP，来设定严格的登录规则。 权限控制 针对终端字符操作，可灵活有效的制定命令黑白名单，严格限制某台设备上允许或禁止执行某些命令，达到对共享系统帐号权限再分配的目的。同时，对策略限定的关键字（高危命令），堡垒机必须可以做到实时告警或拦截，告警方式