企业安全 | 某用户商用密码实战
内容提要
随着商用密码相关法律的颁布实施，XX公司选择对堡垒机进行密码改造和密评工作。堡垒机是一种集中统一的安全服务系统，具有身份管理、资源管理、认证管理等功能。现状分析发现物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等方面存在问题。密评需求包括物理和环境安全改造、网络和通信安全改造、设备和计算安全改造、应用和数据安全改造。
延伸解读
为何优先改造堡垒机
文章指出，堡垒机集中管理内部大量业务系统的账号、认证、授权和审计，后续云平台密码改造、通信网管系统在运维管理层面都涉及堡垒机。因此优先改造堡垒机，可使其运维管理、身份鉴别的应用系统在设备和计算层面符合密评要求，起到以点带面的效果。
现状风险集中在四个层面
现状分析显示，物理环境使用ID卡且记录明文存储；网络通信仅用SSL未用商密；设备和计算层面登录认证、访问控制信息、日志均缺密码保护；应用和数据层面双因子认证未用密码技术，重要数据未做机密性和完整性保护。这些风险覆盖了密评的多个层面。
改造需求对应具体技术措施
针对上述问题，改造需求包括：部署电子门禁系统和服务器密码机保护物理环境；集成移动端密码模块或设置安全认证网关HTTPS通道；部署SSL VPN安全网关和云密码机保护设备与计算安全；使用密码技术进行身份鉴别和保护访问控制信息完整性。这些措施直接回应了现状中的薄弱点。
重要数据防护范围明确
文章将堡垒机重要数据归纳为五类：用户身份鉴别信息、资源身份鉴别信息、访问控制信息、重要日志审计数据、堡垒机命令参数。其中身份鉴别信息需机密性和完整性保护，访问控制信息和日志审计数据需完整性保护。这为确定密码改造的重点对象提供了依据。
Q&A
堡垒机的主要功能是什么？
堡垒机的主要功能包括身份管理、资源管理、认证管理、金库管理、流程管理以及权限分配和控制等。
XX公司为何选择对堡垒机进行密码改造？
XX公司选择对堡垒机进行密码改造是为了满足商用密码相关法律的要求，并提升信息系统的安全性。
堡垒机在物理和环境安全方面存在哪些问题？
堡垒机在物理和环境安全方面存在未使用密码技术进行身份鉴别和数据存储完整性保护的问题。
堡垒机的密评需求包括哪些方面？
堡垒机的密评需求包括物理和环境安全改造、网络和通信安全改造、设备和计算安全改造、应用和数据安全改造。
如何提升堡垒机的网络和通信安全？
可以通过集成移动端密码模块、配置SSL VPN客户端和设置安全认证网关HTTPS通道来提升堡垒机的网络和通信安全。
堡垒机的重要数据防护范围包括哪些内容？
堡垒机的重要数据防护范围包括用户身份鉴别信息、访问控制信息、重要日志审计数据等。
