统一安全管理平台解决方案中4A的含义

统一安全管理平台解决方案中4A的含义了解IT运维和管理的大概都听说过4A，那么4A是指哪几个，有什么含义呢？4A与统一安全管理平台有什么关系呢？4A与堡垒机是什么关系？堡垒机与统一安全管理平台呢？4A其实是4个以A开头的英语单词，分别是Authentication、Account、Authorization、Audit，为了方便我们统称4A。Authentication是认证，简单的说就是证明“你”是“你”；Account是账号，帐号是用来标识身份，管理访问权限等待；Authorization是授权，每个帐号在系统中能做的操作是不同的，这时就需要管理者进行精细的授权，确保每个帐号具有最合适的权限，防止操作越权；Audit是审计，在IT运维领域主要是对运维人员操作的真实性、正确性、合规性等进行审查和监督。统一安全管理平台解决方案则是4A的中文名称，同时也表明了这一网络安全解决方案的特点：重在管理，旨在安全。堡垒机作为目前常见的内网安全产品，其宗旨与统一安全管理平台是相似的，像是瑞宁堡垒机就满足4A的管理要求。1）集中认证(authentication)管理用户认证方式和手段缺乏——目前大多数系统采用基本的帐号与口令方式进行认证，由于没有技术机制的限制，口令的设置过于简单，无法实现用户标识唯一性（无法明确到个人，无法区分内部员工、最终用户、设备厂商维护人员等），须考虑增强的认证手段和统一管理。瑞宁堡垒机可以根据用户应用的实际需要，为用户提供不同强度的认证方式，既可以保持原有的静态口令方式，又可以提供具有双因子认证方式的高强度认证（一次性口令、数字证书、动态口令），而且还能够集成现有其它如生物特征等新型的认证方式。不仅可以实现用户认证的统一管理，并且能够为用户提供统一的认证门户，实现企业信息资源访问的单点登录。2）集中帐号（account）管理系统维护复杂度带来的人为安全性问题——各系统中有大量的网络设备、主机和应用系统，帐号繁多，管理困难，管理成本较高；难以实现帐号权限的有效监督和审核；难以维护有效的用户帐号列表；当维护人员同时对多个系统进行维护时，工作复杂度会成倍增加；瑞宁堡垒机为用户提供统一集中的帐号管理，支持管理的资源包括主流的操作系统、网络设备和应用系统；不仅能够实现被管理资源帐号的创建、删除及同步等帐号管理生命周期所包含的基本功能，而且也可以通过平台进行帐号密码策略，密码强度、生存周期的设定。同时支持电子密函和纸质密码信，符合国家有关部门的密码非电子介质备份要求。3）集中权限(authorization)管理“分散”管理的问题——系统分别属于不同的专业进行管理，目前各系统都有一套独立的认证、授权和审计机制，分别由相应的系统管理员负责维护和管理。“分散”管理难于实现统一信息安全策略，不符合“维护集中化”“管理信息化”等改革思路。瑞宁堡垒机可以对用户的资源访问权限进行集中控制。它既可以实现对B/S、C/S应用系统资源的访问权限控制，也可以实现对数据库、主机及网络设备的操作的权限控制，资源控制类型既包括B/S的URL、C/S的功能模块，也包括数据库的数据、记录及主机、网络设备的操作命令、IP地址及端口。4）集中审计(audit)管理用户行为的审计和跟踪缺失——有些帐号多人共用，不仅在发生安全事故，难于确定帐号的实际使用者，而且难于对帐号的扩散范围进行控制，容易造成安全漏洞；同时，日志和审计手段分散在各个系统和设备中，容易造成日志信息丢失，缺乏集中统一的系统访问审计，审计操作复杂，无法对支撑系统进行综合分析，不能及时发现危害系统安全的事件；瑞宁堡垒机将用户所有的操作日志集中记录管理和分析，不仅可以对用户行为进行监控，并且可以通过集中的审计数据进行数据挖掘，以便于事后的安全事故责任的认定。瑞宁堡垒机基于4A的集成解决方案为系统的维护管理提供最优功能模块和科学管理理念的整合，贴近用户需求，降低安全技术的复杂度，具有实施性好，安全性高，能满足企事业单位等保需要，帮助企事业单位应对当前信息管理和信息安全的挑战。