“堡壘”一詞的含義是指用于防守的堅固建筑物或比喻難于攻破的事物，顧名思義，“堡壘機”是一種被強化的可以防御進攻的計算機，其作用主要是將需要保護的信息系統資源與安全威脅的來源進行隔離，從而在被保護的資源前面形成一個堅固的“堡壘”，并且在抵御威脅的同時又不影響普通用戶對資源的正常訪問。

　　隨著電力企業信息化需求程度的提高，電網業務邏輯與流程體系對于信息系統的依賴程度不斷增加，并逐漸推動信息價值的顯露和提升。電力企業信息安全作為電網生產安全的一部分，已成為影響電網生產、運行的重要安全因素。玉溪供電局在信息化建設的過程中非常注重信息系統的安全管理，逐步部署了防火墻、IPS、網絡防病毒系統、漏洞掃描系統、上網行為管理系統等一系列安全產品的運用，建立了較為完善的信息安全防護體系，能夠對外部的安全風險進行有效控制和管理。

　　然而，這種傳統的安全防護手段只偏重外部的防御以及對普通用戶的行為管理，卻忽略對運維人員（網絡管理員、系統管理員）的運維行為的安全審計。據國家計算機網絡應急技術處理協調中心的調查結果顯示，大約76％的網絡安全威脅來自于內部，其危害程度遠遠超過黑客攻擊及病毒造成的損失。因內部人員違規操作而導致的數據誤刪除、數據破壞、數據泄密等想象，對企業利益和公眾利益造成的影響是不容小覷的。對此，南方電網公司根據自身的需要對下屬企業IT內控提出了相應的要求，對運維人員的維護行為采取行之有效的控制措施和審計措施，彌補這一信息化安全管理的盲區，是當前電力企業信息安全建設的當務之急。

　　電網企業作為信息化程度較高的企業之一，擁有大量的網絡設備、主機系統和應用系統來支撐企業業務的順利開展。隨著信息系統規模越來越大，提供服務越來越多，安全運行要求越來越高，運維人員的構成越來越復雜，隨之而來的是不斷增長的運維風險。

　　面對傳統運維模式帶來的風險，玉溪供電局信息中心借鑒先進的IT審計理念，實施了以運維人員操作行為管控為重點的IT運維審計管理項目，采用江南科友IT運維安全審計系統（HAC：Host Audit Control）。這是一種運維審計型堡壘機，項目的建設實現了玉溪供電局信息系統運維的事前預防、事中控制和事后審計，從技術層面化解IT運維風險。

　　IT運維安全審計系統主要用于解決內部運行維護人員、第三方服務人員以及共用賬號、最高權限用戶遠程操作維護的安全隱患，通過對操作內容和事件的回放與統計，提高運行維護的管理能力和降低風險。玉溪供電局采用堡壘機方式部署IT運維安全審計系統，采用物理旁路，邏輯串聯的模式，不需要改變網絡拓撲結構，不需要在終端安裝客戶端軟件，不改變管理員、運維人員的操作習慣，也不影響正常業務運行。只需運維管理系統與被管理的設備之間IP可達，管理協議可訪問。在進行維護操作時，運維人員首先登錄到IT運維安全審計系統，IT運維安全審計系統根據登錄用戶的權限，提供該用戶所能訪問的主機與網絡設備列表，運維人員被管的對象進行運維操作，IT運維安全審計系統根據預先設置好的審計規則，自動捕獲相關數據并保存。

　　堡壘機是信息基礎設施（服務器、網絡設備等）維護的統一入口，是最容易遭受攻擊的主機，其配置與通常的主機相比明顯不同，所有不必要的服務、協議、程序和網絡接口都將被禁用或者刪除，以達到“最小化安全”，以強化堡壘機、極大地限制可能出現的網絡攻擊?！白钚』踩笔怯忻陌踩砟睿粗婚_放需要的功能或服務，其他與之無關的功能或服務均去掉，以此減少可能受到的攻擊風險。所謂最小化操作系統，是為堡壘主機安裝最基本的操作系統環境，然后再根據具體情況逐漸安裝需要的服務組件[9]。

　　為此，IT運維安全審計系統采用軟硬件一體化架構，基于嵌入式技術開發，將定制的64位Linux內核固化至硬件上，操作系統采用最小化安裝，除了必要的內核，驅動等程序外，其他組件、程序包盡量去除，同時，關閉不必要的應用、服務、端口。開啟自身的防火墻功能，提高堡壘主機自身的安全防護能力。此外，堡壘機作為服務器、網絡設備的唯一入口，為保證可靠性，采用雙機群集（HA），支持負載均衡，提高設備高可用性，保障業務連續運行。

　　玉溪供電局所運用的運維審計型堡壘機，是將人與目標設備進行邏輯上分離，建立“人→主賬號（堡壘機用戶賬號）→授權→從賬號（目標設備賬號）的模式。在這種模式下，基于唯一身份標識，通過集中管控安全策略的賬號管理、授權管理和審計，建立針對維護人員的“主賬號→登錄→訪問操作→退出”的全過程完整審計管理，實現對各種運維加密/非加密、圖形操作協議的命令級審計。

　　玉溪供電局自2013年8月實施IT運維安全審計系統以來，服務器、網絡設備等需要對外開放維護端口變為由單一的堡壘主機對外提供的維護端口，減少了端口暴露，堡壘主機基于“最小化安全”理念，其自身安全性也大大高于普通服務器。此外，IT運維安全審計系統具有異常操作阻斷及劑告警功能，若果系統檢測到異常操作行為或黑客攻擊，則可以斷開相應操作的TCP連接，阻斷此操作，達到防止各類違規操作事件的發生。

　　堡壘機不僅增強了信息系統的安全性，同時提升了信息系統的運行維護能力和效率。IT運維安全審計系統對所有的維護行為進行指令記錄和錄像，為事前防范和事后定位信息系統的故障提供科學、高效的手段，提高信息系統運行的安全性和事件的追溯能力，降低了信息系統安全風險，避免了潛在的資產損失。所有運維賬號的管理在一個平臺上進行管理，賬號管理更加簡單有序，通過建立用戶與賬號的唯一對應關系，確保用戶擁有的權限是完成任務所需的最小權限。運維人員只需記憶一個賬號和口令，一次登錄，便可實現對其所維護的多臺設備的訪問，無須記憶多個賬號和口令，提高了工作效率，降低工作復雜度。

　　其次，系統內部運維人員和第三方運維人員，對服務器、網絡設備進行的維護操作都將通過堡壘機，這樣就可以實現對運維人員所有操作行為，都做到可記錄、可控制，完善了玉溪供電局信息系統運維責任的認定體系，審計人員通過定期對維護人員的操作審計，提高維護人員的操作規范性。

　　根據《信息系統安全等級保護基本要求》，對于二級（含）以上的重要信息系統網絡安全、主機安全、應用安全均要求具備安全審計功能。IT運維安全審計管理項目的實施滿足了等級保護、企業內控規范，進一步完善了玉溪供電局信息安全防護體系。

　　玉溪供電局實施的IT運維安全審計系統不僅支持Telnet、FTP以及主流數據庫(Oracle、SQL Server等)遠程訪問協議審計，還提供SSH、RDP、VNC加密協議的審計支持；系統會完整記錄會話的整個過程，并形成會話日志和事件回放文件，消除安全審計盲點，全面審計信息系統操作行為。通過運維人員操作行為細粒度的安全管控，保證企業的服務器、網絡設備、數據庫、安全設備等安全可靠運行，降低人為安全風險，避免不必要的損失，保障企業效益,讓運維操作更安全。