搜索

[14244] 2019-06-18_堡垒机哲学史：从哪里来？到哪里去？是什么？

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-06-18_堡垒机哲学史：从哪里来？到哪里去？是什么？ 堡 垒 机 哲 学 史 ： 从 哪 里 来 ？ 到 哪 里 去 ？ 是 什 么 ？ q i z h i t e c h   F r e e B u f   2 0 1 9 - 0 6 - 1 8 一 、 缘 起 ： 堡 垒 机 从 哪 里 来 ？ 一 、 缘 起 ： 堡 垒 机 从 哪 里 来 ？   — — 无 风 不 起 浪 ， 从 需 求 中 来 无 风 不 起 浪 ， 从 需 求 中 来 2 0 0 5 年 ， 中 国 ， 我 在 某 互 联 网 公 司 的 安 全 部 门 ， 面 临 年 ， 中 国 ， 我 在 某 互 联 网 公 司 的 安 全 部 门 ， 面 临 3 个 问 题 。 个 问 题 。 1 .   运 维 部 门 的 需 求 运 维 部 门 的 需 求 那 时 候 ， 数 据 中 心 的 运 维 管 理 人 员 的 技 术 水 平 还 处 于 “ 社 会 主 义 初 级 阶 段 “ ， 经 常 会 出 现 一 些 低 级 的 误 操 作 ， 导 致 网 站 突 然 无 法 正 常 访 问 ， 解 决 问 题 基 本 靠 在 人 堆 里 吼 一 声 ” 谁 T M 干 的 ” 。 痛 苦 在 于 ， 误 操 作 而 导 致 的 运 维 事 故 极 大 的 降 低 了 网 站 的 可 用 性 ， 而 可 用 性 （ 俗 称 几 个 9 ） 又 是 运 维 部 门 永 恒 不 变 的 关 键 考 核 指 标 。 运 维 部 门 深 知 ， 误 操 作 问 题 的 出 现 是 无 法 杜 绝 的 。 那 么 ， 何 时 出 现 ？ 看 风 险 概 率 。 而 风 险 概 率 = 运 维 部 门 人 数   服 务 器 规 模   业 务 复 杂 度 。 由 于 不 能 保 证 没 有 误 操 作 ， 所 以 只 能 在 出 现 误 操 作 事 故 后 ， 快 速 定 位 问 题 ， 快 速 恢 复 网 站 可 用 ， 也 算 是 “ 曲 线 救 国 ” 。 运 维 部 门 由 此 产 生 了 一 个 需 求 ： 有 没 有 一 种 技 术 手 段 在 出 现 误 操 作 后 ， 第 一 时 间 知 道 是 谁 做 的 ， 怎 么 做 的 ？ 2 .   安 全 部 门 的 需 求 安 全 部 门 的 需 求 我 们 发 现 ， “ 坏 人 ” 在 连 续 跳 转 登 录 多 台 服 务 器 的 过 程 中 ， 会 隐 匿 他 最 初 的 身 份 。 那 么 ， 有 没 有 一 种 技 术 手 段 能 解 决 ： 不 管 “ 他 ” 连 续 跳 转 多 少 次 ， 身 份 如 何 变 化 ， 都 能 知 道 他 就 是 最 初 的 那 个 “ 他 ” 呢 ” ？ 3 .   风 控 部 门 的 需 求 风 控 部 门 的 需 求 当 时 公 司 准 备 去 美 国 纳 斯 达 克 上 市 ， 面 临 萨 班 斯 （ S O X ） 法 案 的 合 规 要 求 ， 审 计 事 务 所 普 华 永 道 有 一 份 针 对 数 据 中 心 的 问 题 检 查 列 表 ， 虽 然 我 们 都 应 答 满 足 ， 但 却 缺 少 一 种 有 效 的 技 术 手 段 去 应 对 账 号 、 密 码 、 操 作 等 方 面 的 审 计 要 求 。 三 个 部 门 尚 未 被 解 决 的 3 个 问 题 ， 对 我 来 说 是 个 巨 大 挑 战 ， 因 为 还 年 轻 ， 因 为 无 知 者 无 畏 ， 又 因 为 无 理 由 自 信 ， 我 踏 上 了 求 解 之 路 。 当 时 存 在 三 个 层 面 5 种 技 术 解 决 办 法 ：
I .   系 统 层 面 ： 在 服 务 器 上 解 决 ， 国 外 运 维 厂 商 的 最 爱 系 统 层 面 ： 在 服 务 器 上 解 决 ， 国 外 运 维 厂 商 的 最 爱 实 现 ： 每 台 服 务 器 上 安 装 A g e n t + 独 立 的 A g e n t   S e r v e r 。 优 点 ： 可 以 文 本 解 析 并 且 实 现 指 令 控 制 ， 国 外 大 厂 都 有 这 样 的 产 品 。 缺 点 ： 买 不 起 ： 当 时 1 个 A g e n t 要 1 万 元 人 民 币 ； 怕 麻 烦 ： 不 同 操 作 系 统 需 要 不 同 A g e n t 适 配 ， 几 千 台 服 务 器 N 多 个 L i n u x 操 作 系 统 ， 同 时 升 级 很 困 难 ； 搞 不 定 ： 系 统 管 理 员 坚 决 反 对 安 装 A g e n t ， 担 心 会 影 响 系 统 稳 定 性 。 I I .   系 统 层 面 ： 在 服 务 器 的 系 统 日 志 里 实 现 ， 系 统 管 理 员 的 最 爱 系 统 层 面 ： 在 服 务 器 的 系 统 日 志 里 实 现 ， 系 统 管 理 员 的 最 爱 实 现 ： 过 滤 + 收 集 日 志 里 的 信 息 。 优 点 ： 实 现 简 单 。 缺 点 ： 看 不 懂 ： 日 志 根 本 就 不 是 给 普 通 人 看 的 ， 是 给 系 统 开 发 人 员 看 的 ； 看 不 到 ： 如 果 一 个 用 户 连 续 三 次 跳 转 和 改 变 身 份 ， 日 志 无 法 关 联 ； 看 不 真 ： 用 户 登 录 系 统 后 很 容 易 篡 改 系 统 日 志 。 I I I .   系 统 层 面 ： 服 务 器 上 解 决 ， 修 改 登 录 脚 本 ， 系 统 管 理 员 的 最 爱 系 统 层 面 ： 服 务 器 上 解 决 ， 修 改 登 录 脚 本 ， 系 统 管 理 员 的 最 爱 实 现 ： 修 改 登 录 过 程 中 的 p r o f i l e 文 件 。 优 点 ：
实 现 简 单 ， 系 统 管 理 员 就 可 以 搞 定 。 缺 点 ： 修 改 过 的 脚 本 文 件 很 容 易 被 用 户 改 回 去 ； 升 级 维 护 脚 本 很 麻 烦 ； 没 法 关 联 分 析 用 户 在 多 台 设 备 跳 转 的 日 志 。 I V .   网 络 层 面 ： 在 网 络 中 解 决 ， 网 络 安 全 厂 商 的 最 爱 网 络 层 面 ： 在 网 络 中 解 决 ， 网 络 安 全 厂 商 的 最 爱 实 现 ： 在 交 换 机 上 通 过 流 量 镜 像 实 现 流 量 捕 获 + 协 议 解 析 。 优 点 ： 可 以 文 本 提 取 不 加 密 协 议 （ t e l n e t / f t p 等 ） 的 输 入 输 出 内 容 。 缺 点 ： 大 流 量 的 情 况 下 流 量 捕 获 会 丢 包 ， 丢 包 意 味 着 无 法 完 整 解 析 ； 加 密 传 输 是 大 趋 势 （ 比 如 S S H 、 H t t p s ） ， 加 密 后 的 协 议 难 解 析 ； 协 议 会 持 续 升 级 ， 不 停 去 解 析 协 议 是 一 场 永 无 止 境 的 噩 梦 。 V .   终 端 层 面 ： 在 终 端 上 解 决 ， 终 端 管 理 厂 商 的 最 爱 终 端 层 面 ： 在 终 端 上 解 决 ， 终 端 管 理 厂 商 的 最 爱 实 现 ： 在 桌 面 P C / 笔 记 本 上 安 装 A g e n t 。 优 点 ： 可 以 录 屏 。 缺 点 ： 终 端 更 多 时 候 是 为 了 日 常 办 公 ， 很 难 在 终 端 上 区 分 出 哪 些 是 运 维 操 作 ； 操 作 数 据 没 办 法 文 本 化 ， 简 单 的 录 屏 对 查 找 问 题 来 说 价 值 不 大 。 每 种 技 术 解 法 都 有 边 界 和 优 缺 点 ， 上 述 5 个 技 术 方 案 都 没 能 彻 底 解 决 问 题 ， 这 让 我 陷 入 沉 思 ： 问 题 牛 X 到 了 无 解 么 ？ — — 不 可 能 。 已 知 的 技 术 解 法 太 烂 ？ — — 有 可 能 。 等 着 我 发 明 新 解 法 么 ？ — — 可 能 是 。 虽 说 人 类 一 思 考 ， 上 帝 就 发 笑 ， 但 依 然 阻 止 不 了 我 的 思 考 ， 我 坚 信 一 定 有 一 种 将 时 间 、 空 间 、 技 术 三 者 匹 配 的 最 优 解 （ 此 处 省 略 痛 苦 摸 索 的 过 程 约 2 0 0 0 0 字 ） ， 最 终 的 技 术 解 法 如 下 ：
二 、 性 空 ： 堡 垒 机 到 哪 里 去 ？ 二 、 性 空 ： 堡 垒 机 到 哪 里 去 ？   — — 从 需 求 中 来 ， 到 需 求 中 去 从 需 求 中 来 ， 到 需 求 中 去 独 乐 乐 ， 不 如 众 乐 乐 。 能 够 为 更 多 用 户 解 决 从 未 被 解 决 过 的 问 题 ， 不 是 一 件 很 开 心 的 事 么 ？ 我 离 职 去 创 业 了 。 客 户 做 安 全 项 目 的 3 个 驱 动 力 ， 按 照 重 要 程 度 依 次 排 序 ： 来 自 行 业 标 准 合 规 性 驱 动 — — 那 时 候 ， 等 级 保 护 条 例 还 未 发 布 ； 来 自 行 业 内 安 全 事 件 驱 动 — — 那 时 候 ， 也 没 出 过 轰 动 的 大 事 件 ； 来 自 用 户 自 身 的 需 求 驱 动 — — 没 有 选 择 ， 只 剩 下 这 个 了 ！ 在 那 个 年 代 ， 只 能 找 高 端 大 气 要 求 高 的 大 客 户 ， 因 为 一 般 的 客 户 根 本 就 没 有 需 求 。 堡 垒 机 的 发 展 史 完 全 就 是 高 端 客 户 的 需 求 推 动 史 ， 高 端 客 户 的 特 点 就 是 有 钱 ， 爱 思 考 ， 爱 提 需 求 ， 而 且 是 源 源 不 断 地 提 ： 客 户 说 ： 我 们 不 是 只 有 L i n u x 系 统 ， 还 有 各 种 U n i x 系 统 哦 ？ — — 我 们 开 始 兼 容 各 种 访 问 A I X / H P - U X / S o l a r i s / S U S E / A S 4 0 0 的 操 作 ； 客 户 说 ： 我 们 除 了 U n i x / L i n u x 系 统 ， 还 有 很 多 W i n d o w s 系 统 哦 ？ — — 我 们 开 始 兼 容 各 种 访 问 W i n d o w s 的 图 形 操 作 ； 客 户 说 ： 我 们 有 很 多 是 通 过 浏 览 器 进 行 的 操 作 哦 ？ — — 我 们 开 始 兼 容 各 种 浏 览 器 的 操 作 审 计 ； 客 户 说 ： 我 们 有 很 多 通 过 客 户 端 工 具 进 行 的 操 作 哦 ？ — — 我 们 开 始 兼 容 各 种 C / S 的 操 作 审 计 ； 客 户 说 ： 我 们 还 有 各 种 网 络 设 备 哦 ？ — — 我 们 开 始 兼 容 各 种 网 络 设 备 的 操 作 审 计 … … 兼 容 性 的 问 题 解 决 好 以 后 ， 还 没 喘 口 气 ， 客 户 说 ： 你 们 不 能 只 做 审 计 啊 ， 还 要 加 强 控 制 。 — — 我 们 开 始 着 手 实 现 权 限 控 制 ： 动 态 授 权 、 登 录 复 核 、 双 人 复 核 、 操 作 黑 白 名 单   … …
和 谁 在 一 起 ， 真 的 很 重 要 。 我 们 就 像 海 绵 一 样 ， 从 各 个 行 业 顶 尖 客 户 中 吸 取 独 特 的 思 路 ， 融 入 到 产 品 中 去 ： 全 国 性 股 份 制 银 行 客 户 让 我 们 学 会 了 如 何 提 高 风 险 管 控 ； 头 部 互 联 网 客 户 让 我 们 学 会 了 什 么 才 是 领 先 的 技 术 ； 世 界 五 百 强 客 户 让 我 们 学 会 了 如 何 做 好 项 目 管 理 ； … … 黑 夜 给 了 我 黑 色 的 眼 睛 ， 我 却 用 它 寻 找 光 明 ； 客 户 给 了 我 难 搞 的 问 题 ， 我 却 用 它 寻 找 谜 底 。 高 端 客 户 打 磨 了 我 们 高 端 的 能 力 ， 和 他 们 在 一 起 ， 根 本 不 缺 高 质 量 的 需 求 和 高 标 准 的 要 求 ， 一 路 相 伴 ， 如 履 薄 冰 。 三 、 无 我 ： 堡 垒 机 是 什 么 ？ 三 、 无 我 ： 堡 垒 机 是 什 么 ？ — — 近 朱 者 赤 ， 始 终 和 运 维 在 一 起 近 朱 者 赤 ， 始 终 和 运 维 在 一 起 人 类 并 不 偏 爱 风 险 ， 运 维 也 是 如 此 ， 运 维 偏 爱 效 率 ， 但 是 风 险 始 终 如 影 随 形 ， 好 比 硬 币 的 正 反 面 ， 风 险 和 效 率 需 要 一 个 完 美 的 平 衡 ， 堡 垒 机 就 是 平 衡 效 率 的 风 险 工 具 。 安 全 永 远 是 业 务 的 一 个 属 性 ， 国 家 安 全 是 国 家 业 务 的 属 性 ， 网 络 安 全 是 网 络 业 务 的 属 性 ， 运 维 安 全 是 运 维 业 务 的 属 性 ， 而 对 运 维 这 个 业 务 的 深 刻 理 解 决 定 了 堡 垒 机 是 什 么 。 什 么 是 运 维 ？ 简 洁 的 理 解 ， 运 维 =   运 行   +   维 护 ： 运 行 （ 发 现 问 题 ） 运 行 （ 发 现 问 题 ） ： 通 过 监 控 这 种 手 段 发 现 问 题 ， 实 时 监 控 数 据 中 心 各 层 （ 应 用 、 中 间 件 、 数 据 库 、 操 作 系 统 、 硬 件 、 机 房 ） 的 当 前 运 行 状 态 是 不 是 正 常 稳 定 ， 核 心 诉 求 是 快 速 定 位 问 题 ， 并 且 能 够 自 动 找 到 是 什 么 原 因 引 起 的 ， 俗 称 “ 根 因 分 析 ” ， 这 也 是 当 下 各 种 智 能 运 维 （ A I O p s ） 产 品 要 解 决 的 核 心 问 题 ； 维 护 （ 解 决 问 题 ） 维 护 （ 解 决 问 题 ） ： 监 控 并 不 解 决 问 题 ， 解 决 问 题 是 通 过 “ 操 作 ” 这 个 动 作 ， 把 不 正 常 的 状 态 恢 复 到 正 常 状 态 ， 在 解 决 问 题 的 过 程 中 往 往 会 带 来 新 问 题 ， 运 行 没 有 风 险 ， 维 护 才 有 风 险 ， 运 维 人 员 的 高 权 限 导 致 各 种 误 操 作 、 违 规 操 作 风 险 都 是 在 这 里 出 现 ， 这 就 是 2 0 0 5 年 ， 堡 垒 机 开 始 的 地 方 。 世 上 本 没 有 运 维 安 全 ， 直 到 堡 垒 机 的 出 现 ， 它 开 启 了 运 维 安 全 这 个 全 新 领 域 。 曾 有 某 客 户 这 样 评 价 堡 垒 机 ： 他 买 过 很 多 安 全 产 品 ， 但 是 ， 他 认 为 堡 垒 机 是 这 1 0 年 里 ， 唯 一 可 以 媲 美 防 火 墙 的 产 品 ， 真 正 帮 他 们 解 决 了 实 际 问 题 。 此 话 听 得 我 泪 流 满 面 ， 作 为 产 品 的 设 计 者 ， 还 有 什 么 比 得 到 客 户 的 肯 定 更 让 人 感 动 的 呢 ？
2 0 0 5 年 ， 我 的 预 言 是 ， 未 来 ， 中 国 所 有 的 数 据 中 心 里 都 会 用 到 堡 垒 机 。 今 天 这 个 预 言 已 经 实 现 ， 看 到 有 这 么 多 的 厂 商 在 不 遗 余 力 地 用 各 种 方 法 推 广 自 家 的 堡 垒 机 产 品 ， 作 为 堡 垒 机 的 发 明 者 ， 我 很 欣 慰 。 竞 争 让 产 品 充 满 活 力 和 想 象 力 ， 如 果 这 些 竞 争 能 从 无 序 到 有 序 ， 从 低 质 到 高 质 ， 那 就 更 好 了 。 子 在 川 上 曰 ， 逝 者 如 斯 夫 。 这 十 多 年 ， 我 从 未 关 注 过 所 谓 的 对 手 ， 是 因 为 我 们 是 这 个 领 域 的 创 造 者 和 领 跑 者 。 追 随 者 喜 欢 东 张 西 望 和 左 顾 右 盼 ， 领 跑 者 从 不 回 头 看 看 身 后 会 有 多 少 跟 随 者 ， 而 是 坚 定 地 把 目 光 聚 焦 于 前 方 。 如 今 ， 客 户 的 声 音 依 稀 在 耳 边 回 响 ： 你 们 为 什 么 只 做 堡 垒 机 呢 ？ 你 们 除 了 做 堡 垒 机 ， 还 能 做 什 么 呢 ？ 俱 往 矣 ， 数 风 流 人 物 ， 还 看 今 朝 。 聚 焦 下 一 个 十 年 里 ， 数 据 中 心 客 户 面 临 着 更 大 的 问 题 ， 寻 找 时 代 的 技 术 最 优 解 ， 是 今 天 我 们 的 挑 战 。 * 本 文 作 者 ： 本 文 作 者 ： g o g o ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理