傳統(tǒng)運(yùn)維模式痛點(diǎn)和風(fēng)險(xiǎn)

 ● 多套身份認(rèn)證體系，維護(hù)成本高：管理員需手動(dòng)添加運(yùn)維用戶信息，員工離職變動(dòng)無法自動(dòng)刪除賬號，易導(dǎo)致僵尸賬號清理不徹底。

 ● VPN訪問堡壘機(jī)模式，操作繁瑣：遠(yuǎn)程辦公時(shí)訪問路徑冗長，需要完成多次身份認(rèn)證才能進(jìn)入運(yùn)維操作界面。

 ● 靜態(tài)認(rèn)證機(jī)制，運(yùn)維用戶端不可控：傳統(tǒng)運(yùn)維平臺(tái)僅驗(yàn)證用戶身份，無法實(shí)時(shí)檢測終端環(huán)境和設(shè)備狀態(tài)，終端一旦失陷難以有效阻斷訪問。

企業(yè)如何提升運(yùn)維管理效率的同時(shí)加強(qiáng)安全？騰訊云堡壘機(jī)零信任模式，從運(yùn)維用戶端出發(fā)，優(yōu)化身份認(rèn)證機(jī)制，加強(qiáng)運(yùn)維終端安全檢測，整體提升運(yùn)維用戶端到資產(chǎn)端安全和管理效率。

零信任重塑運(yùn)維安全的三大突破

 ● 辦公身份無縫對接，管理成本降低：打通企業(yè)微信、微信、AAD等辦公平臺(tái)身份源，單點(diǎn)登錄完成身份認(rèn)證，即可連接運(yùn)維資源，身份狀態(tài)實(shí)時(shí)同步；

 ● 免VPN遠(yuǎn)程安全運(yùn)維，運(yùn)維效率提升：基于零信任提供安全加密隧道遠(yuǎn)程登錄堡壘機(jī)，一次認(rèn)證即可進(jìn)入運(yùn)維工作狀態(tài)；

 ● 運(yùn)維終端動(dòng)態(tài)驗(yàn)證，從源頭解決非法接入：實(shí)時(shí)檢測終端設(shè)備狀態(tài)、異常IP、病毒進(jìn)程等安全指標(biāo)，自動(dòng)阻斷非法運(yùn)維來源；可結(jié)合終端安全檢測與響應(yīng)等能力實(shí)現(xiàn)雙重防御。

運(yùn)維安全中心（堡壘機(jī)）暴露面收斂實(shí)踐

案例分析

某企業(yè)運(yùn)維平臺(tái)直接對公網(wǎng)暴露，黑客通過泄漏的運(yùn)維賬密實(shí)現(xiàn)邊界突破，并通過內(nèi)網(wǎng)橫移獲取核心服務(wù)器權(quán)限，對該企業(yè)用戶批量發(fā)送詐騙信息，造成嚴(yán)重負(fù)面影響。

★ 關(guān)鍵資產(chǎn)和服務(wù)的公網(wǎng)暴露，極易導(dǎo)致攻擊者利用傳統(tǒng)靜態(tài)防御體系弱點(diǎn)入侵

常見攻擊模式：在攻擊前期探測入口，使用掃描工具鎖定常見端口如SSH、RDP等，利用弱密碼爆破拿下跳板機(jī)，獲取內(nèi)網(wǎng)訪問權(quán)限，再橫向滲透到其他數(shù)據(jù)庫，最終竊取企業(yè)數(shù)據(jù)，形成“入口突破-權(quán)限升級-數(shù)據(jù)竊取”的攻擊鏈。

騰訊云堡壘機(jī)零信任模式構(gòu)建安全防護(hù)體系，四步閉環(huán)運(yùn)維暴露面收斂

 ● 攻擊路徑收斂：堡壘機(jī)默認(rèn)內(nèi)網(wǎng)，資源多層管控，零信任運(yùn)維模式默認(rèn)實(shí)現(xiàn)云堡壘機(jī)僅內(nèi)網(wǎng)訪問，并將云內(nèi)云外各類資產(chǎn)統(tǒng)一納入云堡壘機(jī)管控，啟用自動(dòng)化資產(chǎn)管理能力，識別影子資產(chǎn)。

 ● 賬號密碼收斂：用戶MFA認(rèn)證，資源定期改密，運(yùn)維端通過身份認(rèn)證的安全配置實(shí)現(xiàn)多因素認(rèn)證，基于自動(dòng)化資源改密任務(wù)確保賬密可控。

 ● 權(quán)限精細(xì)管控：啟用動(dòng)態(tài)驗(yàn)證，限制訪問來源，基于云堡壘機(jī)零信任模式的動(dòng)態(tài)授權(quán)訪問策略，根據(jù)用戶行為、設(shè)備狀態(tài)、網(wǎng)絡(luò)環(huán)境實(shí)時(shí)評估風(fēng)險(xiǎn)，阻斷非法來源；用戶、資產(chǎn)、賬號、權(quán)限和高危命令5層授權(quán)模型，管控資源服務(wù)安全穩(wěn)定。

 ● 全鏈路審計(jì)：完整記錄包括用戶、操作時(shí)間、命令執(zhí)行、文件傳輸、數(shù)據(jù)庫 SQL、會(huì)話錄像等操作日志，確保高效準(zhǔn)確溯源。