icon安全风险分析icon
帐号问题

缺少统一的用户身份标识规范,用户信息管理分散,存在多个数据源,数据更新困难,管理成本高,系统存在僵尸帐号、共享帐号。

认证问题

许多系统资源和业务资源认证方式单一,缺少统一接入控制,缺少双因素强身份认证方式,人员维护的设备和使用的系统数量众多,多次独立的认证,带来使用和管理的复杂。

授权问题

维护人员对资源拥有过大权限,并可以直接访问系统资源设备,缺乏对其进行访问控制和行为审计的手段,存在极大的安全隐患;没有统一的授权管理,很难对用户权限进行定期审核。

审计问题

用户操作日志记录不完整,没有用户身份和从帐号的关联信息,审计数据难以定位,没有技术手段情况下,很难通过日志审计发现异常或违规行为。

数据问题

忽视操作过程中生成的文件,缺乏对其进行上传下载的控制,存在极大的安全隐患;没有对文件内容进行审计控制,很难对敏感数据泄露事件进行控制和审核。

iconSOX法案内控内审要求icon
帐号管理要求
需要定期对超级管理员帐号、普通帐号进行审查;不能有用户级的共享帐号;主机、数据库等系统级的帐号,共享人数不能超过三个;需要实现对帐号的生命周期管理; 用户登录失败五次,应对帐号进行锁定(现已降低要求)。
授权管理要求
用户的权限中不能有不兼容职责;管理层应对用户权限进行审阅;授权应有相应的工作流审批;用户应只能拥有与身份相符的权限。
 
 
认证管理要求
帐号密码需要定期修改,每三个月修改一次;密码满足复杂度要求:密码长度应至少6位或以上,密码应由数字及字母大小写混合组成。
 
审计管理要求
用户访问网络设备、主机、数据库、应用系统的操作需要有日志记录; 日志记录需要定期进行审阅。
icon什么是4Aicon

4A是指帐号(Account)、认证(Authentication)、授权(Authorization)和审计(Audit),4A统一安全管控平台是以身份为中心,实现帐号、认证、授权和审计统一管控的安全访问平台,可为企业IT系统提供综合安全防护。此类产品国际上通常称为IAM(Identity and Access Management ),即“身份鉴别与访问管理”。

icon建设目标-可视icon
集中展现全网所有用户和帐号信息及对应关系,展现帐号类型和状态信息。
集中展现全网用户认证策略信息,及时了解用户认证情况。
集中展现所有用户访问授权、策略权限和平台管理权限情况。
集中展现所有审计日志和统计报表,便于事后追溯和数据统计。
icon建设目标-可控icon
统一控制帐号的创建和使用,避免未知帐号存在和高权帐号滥用。 统一控制用户管理权限和操作权限,杜绝越权访问发生。
统一控制用户操作行为,禁止高危操作和避免误操作。
icon建设目标-可管icon
全网用户、资源、帐号的创建流程可管、权限分配流程可管和认证流程可管。
全网访问操作策略可管、口令策略可管以及认证策略可管。
全网用户异常操作行为可管、异常登录行为可管、敏感数据访问行为可管。
icon功能介绍-人员身份管理icon

主帐号创建,关注相关组织机构、岗位、角色、人员标准化信息来源、所管理资源及从帐号等信息。帐号变更,主要关注权限的变化,去除冗余的授权信息、以防系统中留下安全隐患,同时需要对权限变更进行记录。用户自身维护,4A系统管控平台主要提供用户对密码的修改,授权委托或临时授权申请、以及升级工程预约等服务。用户离职或外部人员离场,重点关注用户信息的逻辑删除、登录及操作信息的保留已备后续审核,管控平台还可进行主帐号证书吊销工作。

帐号开通
新建主帐号 身份创建 证书颁发 权限赋予
用户维护
用户维护 口令重设 权限新增 新建资源
离职用户
用户离职 删除用户 删除权利 证书吊销 同步删除
账号变更
用户变更 升职、调动 组织变更 权限变更
icon功能介绍-统一认证icon
支持多种标准认证协议实现资源统一认证:
网络设备:Tacacs;
安全设备:Radius ;
主机:Radius;
应用系统:CAS、SAML、OAuth2、OIDC、JWT。
指纹识别
通过校验指纹来验证用户身份
人脸识别
通过识别脸部特征来验证用户身份
硬件令牌
通过硬件动态口令卡来验证用户身份,每个动态口令只能用一次,超时失效
手机令牌
通过手机动态口令来验证用户身份,每个动态口令只能用一次,超时失效
数字证书
通过校验数字证书来验证用户身份,可支持CA、PKI等
短信
通过短信获取验证码来验证用户身份,支持多种短信网关
icon功能介绍-访问授权icon
人员主帐号独立唯一 每个人员帐号可以绑定多个资产帐号
主从账号对应绑定关系,既保证了人员账号的唯一性又满足了多账号的访问需求
使得审计系统更容易定位人员操作
icon功能介绍-集中审计icon

4A平台自身日志:管控平台进行帐号、授权类、参数配置类操作的审计记录及用户登录4A,用什么帐号访问了哪些资源的操作日志; 堡垒机审计日志:通过堡垒机登录资源的详细操作记录(是系统资源的日志); 日志采集审计日志:通过日志采集方式(syslog、ftp或通过JDBC访问应用系统的数据库)获取主机、数据库、应用系统自身生成的操作记录。

icon功能介绍-指令金库icon
icon功能介绍-数据库敏感发现icon

自动发现和展示数据库中的敏感信息,为数据库运维动态脱敏提供依据。

icon功能介绍-数据库运维动态脱敏icon

根据访问授权策略设定,对用户运维数据库时,实现敏感数据的模糊化处理。低权限的用户在运维数据库时,敏感内容将被***代替显示,避免敏感数据泄露。

icon功能介绍-页面访问控制icon

大量应用系统设计之初没有考虑多级别的细粒度权限控制,导致越权访问频发。ASCG通过“用户-角色-权限”机制,对用户访问应用系统(URL)的权限进行“二次定义”。

禁止访问
禁止访问指定的应用系统页面或功能按钮
禁用右键
对指定的页面禁止使用右键功能
二次审批
访问指定的页面时需要二次审批
icon功能介绍-页面脱敏icon

依据设定的权限,对用户访问的页面敏感数据进行模糊化处理,权限低的用户需要访问敏感页面时,敏感内容将被***代替显示,避免敏感数据泄露。

icon功能介绍-页面水印icon

支持对指定的应用系统页面添加背景水印,为信息溯源提供依据。 提供水印样式自定义功阿能,用户可根据自身情况设置水印显示效果,如文字大小、间距、倾斜度、透明度等。

icon功能介绍-文档管控icon
icon功能介绍-个人文件夹icon

在数据下载阶段采用“零下载技术”,利用网络虚拟存储中心,为每位用户建立完全独立的个人文件夹,强制用户下载数据到个人文件夹中,防止数据下载到本地终端无法有效控制,规避PC数据外泄风险。

icon功能介绍-在线文档管控icon

支持对存储在个人文件夹中的文档在线预览、在线编辑、在线分发和添加水印显示,且水印不可删除。

icon功能介绍-离线文档管控icon

支持对下载到用户终端的文档进行离线管控,如复制控制、打印控制和加水印,水印不可删除。

icon方案一览icon

4A统一安全管控平台具有极强的扩展性,可与不同产品结合,形成多种解决方案,为企业IT系统提供综合安全防护。

数据安全
对数据库后台访问、业务访问和数据导出等数据使用场景进行统一管控,从源头遏制敏感信息泄露。 核心功能:数据库敏感发现/数据库动态脱敏/页面水印/页面脱敏/文档管控/静态脱敏。
零信任
以身份为中心,通过持续认证、动态授权、全面审计等手段,实现运维/业务动态安全访问。 核心功能:终端风险计算/风险等级定义/动态策略管理。
 
 
运维管控
对主机、数据库、网络设备等资源的运维操作提供细粒度管控,对操作过程进行详细日志审计。 核心功能:运维操作管控/指令金库/帐号金库/统一认证/帐号稽核/运维文档管控。
 
应用管控
无需应用改造实现应用统一接入和访问控制,提升应用登录安全,避免越权访问发生。 核心功能:应用访问控制/页面脱敏/页面水印/应用统一认证/应用文档管控。
icon数据安全icon
数据库后台访问
自动发现/展示数据库的敏感信息,对数据库访问操作实时脱敏和查询结果零下载管控。
业务访问
根据用户访问权限对页面敏感内容模糊化处理和添加水印显示,对页面数据提供零下载管控。
数据导出
对开发测试、挖掘分析所需数据进行高仿真脱敏处理,保障数据可用的同时避免数据泄露。
icon零信任icon

4A是静态的零信任:支持对用户、认证、授权、审计、审批的统一管理,并支持接入级和API级访问控制。零信任是动态的4A:引入环境感知、用户行为分析等动态因子,可实现持续认证和动态授权。

icon运维管控icon
统一运维入口 提供统一运维访问入口,支持多种强认证方式验证用户身份,实现主机、数据库、网络设备、安全设备等资源单点登录访问。
细粒度控制 支持指令级和帐号级金库功能,对于高危操作或高权帐号登录进行二次审批,避免误操作或高权帐号随意使用。
运维数据安全 支持对数据库运维过程中的敏感内容按需进行模糊化处理,并对导出的数据提供文档管控功能,避免运维通道数据泄露。
统一强认证 支持基于radius、tacacs、ldap等协议实现网络设备、安全设备、主机、数据库等资源登录强身份认证,满足等保2.0身份鉴别要求。
审计报表 对运维过程实现字符审计和图形审计,支持用户自定义报表模板进行数据统计。
icon应用管控icon
应用统一接入
支持CAS/SAML/OAuth2/OPenlID等多种标准认证协议,方便应用快速接入,满足等保2.0身份鉴别要求。
页面访问控制
对用户访问应用系统页面的权限进行二次定义,实现细粒度管控避免越权访问发生。
页面实时脱敏
根据用户访问权限对页面敏感内容模糊化处理,避免敏感数据泄露。
页面水印 对指定的应用系统页面强制加入水印显示,为信息溯源提供依据。
应用数据下载
通过管控下载页面强制将数据下载至个人文件夹中,实现应用数据零下载管控。
icon典型应用icon
应用场景

某客户集团总部建设4A平台,实现多地资源统一管理,实现对自然人、资源、资源帐号的集中管理,建立“自然人帐号——资源——资源帐号”对应关系,实现自然人对资源的统一授权,同时,对授权人员的运维操作进行记录、分析、展现。加强内部业务操作行为监管、避免核心资产(服务器、数据库、网络设备、应用系统等)在运维管理环节中造成的损失,保障业务系统的正常运营。 客户处4A平台建设,实现了一中心多分支的架构: 一中心为4A门户+4A数据库,实现对用户、资源、资源帐号、权限、认证、审计的统一管理; 多分支可建立多个4A发布服务器管理中心+4A应用发布,实现各分支中资源的统一运维管控。每个分支向上对接管理中心,获取策略下发,并上报日志;向下对接各分支的资源,实现资源运维管控。

部署方案

本次项目部署采用了分布式部署方案,在集团总部机房和属地机房进行了4A平台部署,包括2套4A门户、2套4A数据库、4台4A发布服务器管理中心服务器、4台应用发布服务器、一套4A应急管理系统,具体部署如下图所示: 其中4A发布服务器管理中心和4A应用发布均与4A门户进行绑定,用户统一从4A门户登录,然后访问资源。

用户价值

『降低风险』严格的帐号生命周期管理减少帐号漏洞带来的风险;『减少损失』有效减少业务系统核心信息资产的破坏和泄漏;『取证免责』追踪溯源,便于事后追查原因与界定责任;『全局把控』有效控制业务运行风险,直观掌握业务系统安全状况;『完善机制』实现独立审计与三权分立,完善IT内控机制;『提升声誉』满足合规性要求,顺利通过IT审计。

产品推荐 查看更多>>
    邦盛科技设备指纹PRO

    邦盛科技设备指纹PRO在设备指纹(设备唯一ID)的基础之上,提升了设备指纹的稳定性,实现跨渠道设备识别唯一,真正做到一台设备一个唯一ID。设备指纹Pro具有准确性高、稳定性强、一致性高的特性。

    行业突破,解决“一致性”难题

    行业突破,解决“一致性”难题

    设备认证能力,提升用户体验

    持续化研发投入,不断完善功能

    数字认证统一认证管理系统

    由身份管理子系统、访问管理子系统及安全认证门户三部分组成,身份管理子系统提供完整的用户身份生命周期管理、资源管理、授权管理、审计管理、访问管理等功能;访问管理子系统主要为用户提供集中的身份认证机制;安全认证门户为用户提供统一的认证入口,提高系统访问安全性,实现易用性与安全性的融合。

    资源管理

    授权管理

    审计管理

    访问管理

    Authing身份云金融行业身份及风控方案

    身份云服务IDaaS可以充分利用云的敏捷性、弹性、自动化,构建云原生系统,满足金融企业混合多云场景,为企业提供的一套集中式身份、权限、应用管理服务,帮助企业整合部署在本地或云端,管理内外部办公系统、业务系统及三方 SaaS 系统的所有用户身份。

    信息安全加强

    提升企业生产力

    业务流程风险控制

    降低运营成本