4A是指帐号(Account)、认证(Authentication)、授权(Authorization)和审计(Audit),4A统一安全管控平台是以身份为中心,实现帐号、认证、授权和审计统一管控的安全访问平台,可为企业IT系统提供综合安全防护。此类产品国际上通常称为IAM(Identity and Access Management ),即“身份鉴别与访问管理”。
主帐号创建,关注相关组织机构、岗位、角色、人员标准化信息来源、所管理资源及从帐号等信息。帐号变更,主要关注权限的变化,去除冗余的授权信息、以防系统中留下安全隐患,同时需要对权限变更进行记录。用户自身维护,4A系统管控平台主要提供用户对密码的修改,授权委托或临时授权申请、以及升级工程预约等服务。用户离职或外部人员离场,重点关注用户信息的逻辑删除、登录及操作信息的保留已备后续审核,管控平台还可进行主帐号证书吊销工作。
4A平台自身日志:管控平台进行帐号、授权类、参数配置类操作的审计记录及用户登录4A,用什么帐号访问了哪些资源的操作日志; 堡垒机审计日志:通过堡垒机登录资源的详细操作记录(是系统资源的日志); 日志采集审计日志:通过日志采集方式(syslog、ftp或通过JDBC访问应用系统的数据库)获取主机、数据库、应用系统自身生成的操作记录。
自动发现和展示数据库中的敏感信息,为数据库运维动态脱敏提供依据。
根据访问授权策略设定,对用户运维数据库时,实现敏感数据的模糊化处理。低权限的用户在运维数据库时,敏感内容将被***代替显示,避免敏感数据泄露。
大量应用系统设计之初没有考虑多级别的细粒度权限控制,导致越权访问频发。ASCG通过“用户-角色-权限”机制,对用户访问应用系统(URL)的权限进行“二次定义”。
依据设定的权限,对用户访问的页面敏感数据进行模糊化处理,权限低的用户需要访问敏感页面时,敏感内容将被***代替显示,避免敏感数据泄露。
支持对指定的应用系统页面添加背景水印,为信息溯源提供依据。 提供水印样式自定义功阿能,用户可根据自身情况设置水印显示效果,如文字大小、间距、倾斜度、透明度等。
在数据下载阶段采用“零下载技术”,利用网络虚拟存储中心,为每位用户建立完全独立的个人文件夹,强制用户下载数据到个人文件夹中,防止数据下载到本地终端无法有效控制,规避PC数据外泄风险。
支持对存储在个人文件夹中的文档在线预览、在线编辑、在线分发和添加水印显示,且水印不可删除。
支持对下载到用户终端的文档进行离线管控,如复制控制、打印控制和加水印,水印不可删除。
4A统一安全管控平台具有极强的扩展性,可与不同产品结合,形成多种解决方案,为企业IT系统提供综合安全防护。
4A是静态的零信任:支持对用户、认证、授权、审计、审批的统一管理,并支持接入级和API级访问控制。零信任是动态的4A:引入环境感知、用户行为分析等动态因子,可实现持续认证和动态授权。