《運維技術分享：服務器管理需要注意的問題及為什么需要堡壘機》要點：
本文介紹了運維技術分享：服務器管理需要注意的問題及為什么需要堡壘機，希望對您有用。如果有疑問，可以聯系我們。

本文來自JumpServer首席架構師董帥在運維派技術交流群上的分享
講師介紹：

董帥：互聯網從業8年,曾打造多家電商以及金融公司技術產品,有豐富的系統安全經驗,專注于系統架構設計,致力于推動自動化運維事業.

安全的雜談

運維安全是企業安全保障的基石,不同于Web安全、移動安全或者業務安全,運維安全環節出現問題往往會比較嚴重.運維服務位于底層,涉及到服務器,網絡設備,基礎應用等,一旦出現安全問題,直接影響到服務器的安全.

安全上,又分為外在入侵風險和內在認為風險,我們往往致力于去努力保證防護外來入侵,但是內在的人為因素,也同樣需要關注,否則,外部風險會籍此趁虛而入.同樣,內部人員的誤操作,未經授權的操作,同樣會給企業帶來不可預計的損失.

據國外統計,黑客只需要100小時的工作,便可以摧毀一個估值數百萬美元的公司數年來的工作成果,運維的安全,本質上決定著企業的核心利益,不得不引起我們的重視.
本次分享,從我們內部一些因素入手,去防范可能發生的安全風險.

日常小案例

這里,我們分享幾個碰到過的小案例：

• 文件刪除案例
  這是一個比較經典的案例,被rm搞崩的服務器不在少數,在我之前的公司,人數不多,運維一兩個,系統基本裸奔狀態,業務混合狀態,有一天,我們需要清空一個業務的歷史緩存,看似簡單的一件事情,最后因為疏忽,刪除了緩存的上級目錄,導致業務受到影響
• 憤怒的運維
  這個是前幾年的一個事情,杭州一個比較有名的地方站,19樓, 忽然有一天被發現打不開,最后發現,因為和運維人員發生了比較大的沖突,該伙伴清空了所有服務器.
• 進錯門
  當服務器數量多了之后,不可避免,要努力維護一個服務器信息的表,但總有失手的時候,之前,我們一直使用內部DNS進行機器映射,有一次,因為錯誤的DNS修改,導致DNS指向發生錯誤,導致直接導致腳本運行命令登錄了錯誤的主機,對現有和新業務均造成很大的影響

企業的運維過程中,不可避免的發生各種這樣的因為人為發生的問題,無論是單打獨斗還是運維成為了一個比較大的團隊的時候.

常見的服務器管理方式

最早服務器管理方式

最早的服務器管理方式,應該也是我們各位經常使用的方式,使用ssh工具保存session,有需要時通過session登錄服務器即可.
優點：簡單易操作
缺點：沒有統一管理,無法留存記錄,需要手動在服務器添加用戶

進階的管理方式

使用一臺機器作為跳板機,該跳板機上某用戶(sa或dev或dba)和其它主機做好ssh互信,通過授權用戶登錄這臺機器然后管理后面主機
優點：較為簡單,可以簡單實現記錄
缺點：授權不好管理,需要使用工具在后面添加用戶,審計記錄過于簡單

更高級的管理方式

使用一臺主機作為跳板機,可以添加用戶,資產,授權等也就是我們傳統意義上的跳板機.可以認證,授權和審計,提供了web terminal等,我們稱之為跳板機1.0
優點：完成了認證,授權,審計功能,提供了額外的sftp等功能
缺點：不夠靈活,跳板機獨立存在,需要手動或者使用公司自動化運維工具在后端建立用戶,使用不方便

面向未來的管理方式

將跳板機和CMDB,OPS組件打通,本身跳板機是需要cmdb和ops作為支撐,CMDB提供資產配置信息,OPS提供自動化推送用戶等工作,使用websocket實現web terminal等,簡言之 可以簡單、方便、快捷、安全的管理用戶的登錄、授權、審計.我們稱之為互聯網跳板機,或者說跳板機2.0
優點：靈活,方便,自動,安全,擴展性好
缺點：需要整合資源(不過這個Jumpserver會幫你做了)

服務器管理需要注意的問題

• 安全意識
  聽起來很空洞的東西,但是這并非一個不需要關注的一個問題,很多時候出現的安全問題,歸根結底,是因為很多人并沒有良好的安全意識,安全規范和標準可以落實到各個部門,以流程的方式強制執行.但是運維人員的安全意識受制于個人和體現,很難進行控制.
  最簡單的就是弱口令,各種系統的弱口令,后臺的弱口令,服務的弱口令.這么多年了從來沒有消失過,因為弱口令造成的損失,也沒有減少過.
• 運維人員的一些壞習慣
  有的人喜歡在web目錄直接壓縮文件作為備份,這樣,很容易被掃描到備份文件,備份文件一旦被下載,必然造成信息泄露.
  很多時候,為了方便偷懶,很多人喜歡用web的形式下載服務器上的文件,經常使用 php -S 或者 python -m SimpleHTTPServer 開一個服務器進行文件的下載,更有甚者,會在根目錄運行,這樣,就徹底把服務器大白于天下,一旦被利用,后果不堪設想
  有些人,在工作的過程中,產生了許許多多自己或者他人完成的自動化腳本,所以,很多時候,會在各種代碼托管站中,上傳自己的腳本,方便隨時使用,腳本這東西,難免有敏感信息,不經意間,泄露了系統敏感信息.

如何保證服務器避免非外來的安全風險

風險無處而不在,就像之前所說,安全意識一類的問題,很難進行控制,一方面,我們需要加強對運維人員的培訓,提高安全人員的安全意識,另一方面,我們可以通過一些其他的手段,去規避一些因為運維帶來的風險,這之中比較好的實踐,就是 — 堡壘機

堡壘機

• 堡壘機是什么

  堡壘機,即在一個特定的網絡環境下,為了保障網絡和數據不受來自外部和內部用戶的入侵和破壞,而運用各種技術手段實時收集和監控網絡環境中每一個組成部分的系統狀態、安全事件、網絡活動,以便集中報警、記錄、分析、處理的一種技術手段.

• 為什么需要堡壘機

  堡壘機能夠攔截非法訪問和惡意攻擊,對不合法命令進行命令阻斷,過濾掉所有對目標設備的非法訪問行為,綜合了運維管理和安全性的融合,切斷了終端計算機對網絡和服務器資源的直接訪問,而由堡壘機作為中間件進行監控,在這之中,我們可以根據設置的規則,攔截大量非法操作以及不安全操作.

  同時,因為對用戶和后端服務器做了代理,用戶不需要直接訪問到后端服務器,用戶就不需要接觸服務器相關的核心安全信息,一定程度上保證了后端服務器信息不被泄露.

  堡壘機可以建立完善的權限管理制度,能夠將用戶綁定到特定服務器,所有人員根據需要授權,最大程度減少越權導致的問題產生.

  堡壘機的應用場景

• 集中帳號管理,提高管理效率
• 集中認證與訪問控制,提高運維的安全度
• 集中授權,安全審計,降低運維風險
• 精細化服務器資源與用戶管理,防止越權操作產生

JUMPSERVER

系統介紹

Jumpserver 是一款由python編寫開源的跳板機(堡壘機)系統,實現了跳板機應有的功能.基于ssh協議來管理,客戶端無需安裝agent.
支持常見系統:
1. CentOS, RedHat, Fedora, Amazon Linux
2. Debian
3. SUSE, Ubuntu
4. FreeBSD
5. 其他ssh協議硬件設備

特點:
* 完全開源,GPL授權
* Python編寫,容易再次開發
* 實現了跳板機基本功能,認證、授權、審計
* 集成了Ansible,批量命令等
* 支持WebTerminal
* Bootstrap編寫,界面美觀
* 自動收集硬件信息
* 錄像回放
* 命令搜索
* 實時監控
* 批量上傳下載

WebTerminal:

Web批量執行命令

錄像回放

跳轉和批量命令

命令統計

新版本設計

老版本使用了 Django 1.6進行了開發,功能已經比較完整,經過團隊討論,我們決定讓jumpserver向前跨一步,進行一次徹底的架構升級.
目前版本的系統,基本處于了一個高耦合狀態,幾乎所有組件互相調用,新版本,我們進行了徹底的解耦,根據功能重新劃分了模塊,新版本使用 flask框架 開發,每個模塊拆分成獨立的子系統:

• core 核心組件,處理整個系統的各種基礎事務
• web 用戶界面,使用AngularJS進行開發,實現了錢后端分離
• cmdb 資產管理,用于后端設備的管理
• perm 服務器權限管理,用于管理操作后端服務器權限的控制
• audit 審計管理, 用于監控審計
• terminal 終端模塊,為用戶和后端資源做代理,并提供websocket
• ops 自動化運維模塊,增加了產品的自動運維能力

新版本中,所有模塊使用RPC進行通信,各個模塊均可獨立運行,方便了大規模時的分布式部署,并做到了組件可插拔的特性,使用我們官方提供的交互方式,可以很方便的定制自己的組件加入到系統中,與系統中現有組件進行協作,當然,你也可以很方便的替換我們的組件為你自己喜歡的組件.

應用案例

JUMPSERVER支持從小到幾臺,多到幾千臺服務器的應用場景,目前已經被眾多知名互聯網廠商部署使用,也在不停收到各種各樣的反饋,我們會努力,把產品做的更好.

以下是采用和部署JUMPSERVER的部分企業(無排名因素):

? ? ??? ? ?? ??

? ?? ??

 

• 中國電信云計算分公司 – 國內首家運營商級的云計算公司
• 廣州七樂康藥業連鎖有限公司 – 國內知名的互聯網醫藥電商、移動醫療公司,細分類目排名五年第一
• 群英網絡 – 專業致力于數據中心(IDC)完整解決方案的運營商
• 闊地教育科技有限公司 – 讓人人擁有獲得優質教育資源的機會
• 天拓游戲 – 為熱愛,拓不凡
• 珠海全志科技股份有限公司 – 領先的智能應用處理器SoC和智能模擬芯片設計廠商.
• 綿陽科技城大數據技術有限公司

轉載請注明本頁網址：
http://www.snjht.com/jiaocheng/4535.html