北京东方华展经贸有限公司提供该方案的咨询、选型、部署实施与运维托管服务。服务热线 010-52850389 · 邮箱 hc@dfhz.com · 北京市昌平区昌崔路 198 号红石座 1 号楼。

一、方案定位

二、方案介绍与能力构成

特权访问安全解决方案帮助政企客户快速准确识别、保护、监管账号，并确保这些账号在任何时候都能可信、安全、合规地使用。特权访问安全解决方案基于账号的全生命周期管理，通过系统账号发现和管理、应用身份管理、账号威胁分析、多维度运维控制、运维操作监控与审计、运维敏感数据发现、运维数据权限管控和运维敏感数据流动审计等功能，帮助政企客户构建持续有效的运维访问安全能力。

（一）建设目标与应用价值

1. 高效管理，简化运维

帮助企业实现对特权账号全生命周期的管理，自动改密可简化工作流程，实现系统化、流程化和规范化的特权账号管理，规范了运维访问统一入口的途径、账号管理更加简单有序。提高运维故障处理效率，提供精准的责任鉴定和事件追溯。

2. 全面防御，风险可控

对特权访问安全进行全面防御，有效抵御恶意的外部入侵和内部威胁，全方位地管理特权账号，帮助企业保护敏感信息和关键资产。有效对特权访问监控和管理，避免安全损失，保障企业效益。

3. 管控到位，合法合规

对账号、用户、行为、数据等进行特权访问全生命周期的精细化管控，确保在运维过程中，保证数据安全性，并符合内外部的相关要求，真正做到合法合规。

4. 效果清晰，按需提升

提供数字化运营方法、可视化运营工具，实时呈现特权访问安全效果，针对性分析当前不足，便于按需提升特权访问安全系数。

（二）能力构成与运行方式

1. 账号自动发现

支持账号扫描的能力，通过初始化配置，能够主动发现并梳理服务器、数据库、中间件等核心资源的账号分布，以及账号属性的变化，让安全人员快速掌握企业特权账号的分布与变更情况。

2. 应用身份管理

针对应用程序、DevOps工具等机器用户访问基础设施资源的场景，支持对机器用户进行身份认证与鉴权，并支持账号口令的动态供给，实现对机器用户的访问控制，降低横行移动攻击风险。

3. 账号威胁分析

支持账号风险检测与分析的能力，能够主动发现僵尸账号、幽灵账号、长期未改密账号、权限变更账号及弱口令等账号风险，并通过账号监控大盘进行图形化报表展示，且支持导出分析报告。

4. 多维度运维控制

通过集中的访问控制策略定制，帮助企业单位梳理用户与资源的关系，并且提供一对一、一对多、多对一、多对多的灵活授权模式。特权访问安全提供的访问控制策略，实现的不仅仅是将资源授权给用户，更实现了功能权限的精细化控制，最大程度地降低越权操作的可能。

5. 运维操作监控与审计

所有的运维操作都在系统的管控之下，并且所有的操作都进行详细记录，针对运维会话的审计日志，支持在线查看、在线播放和下线后离线播放。

6. 运维敏感数据发现

特权访问安全从数据源中获取少量的样本数据，通过与内置的敏感数据指纹进行比对，快速的识别敏感数据类型，记录敏感数据的存放位置。

7. 运维敏感数据流动审计

系统通过内置敏感数据识别规则，能够识别用户数据库中的敏感数据，用户了解敏感数据的分布情况后针对敏感数据制定访问控制策略，全面的监控敏感数据的流动，形成完整的审计记录，生成风险实时报表，能够直观了解到各类风险事件的发生情况，将系统防护日志进行数据化分析的可视化表现。

三、方案优势

1. 兼容性强

对企业单位各类型服务器、数据库、安全设备、网络设备、存储设备及中间件等资产全面兼容，支持国产化资源，全面支持各种协议的账号管理、账号改密和验证、账号风险分析和运维操作监控与审计。

2. 操作简洁，可视度高

• 系统页面采用WEB2.0技术， office菜单样式设计，一站式快速授权管理，方便客户快速设置账号与用户之间的策略关系；
• 智能学习，对数据库访问语句自动进行模型提取与分类，并生成特征模型，避免规则的复杂配置；
• 系统提供丰富的审计报表，多维度可视化，能帮客户快速定位责任鉴定及事件追溯

3. 多维嵌套，精细管控

得益于多年服务大型政企客户的经验，充分理解大规模部署及复杂应用场景下的管理需要，提供访问控制策略、用户策略、用户组策略及灵活的用户权限管理等多项功能，让客户能够通过精细化、细粒度的账号管控设置，真正解决特定账号、特定用户、特定场景下的多维管控难题。

4. 开放程度高

系统具有充分的开放性和灵活性，提供标准的API接口，具有良好的可扩展性，可以满足更多人机交互与机机交互场景的特权账号管理。

5. 高可靠的冗余特性

系统采用多重冗余的方案，提供系统的高可靠性，并且可以通过软/硬件Bypass功能，能够及时发现业务的异常，防止系统出现单点故障导致的业务中断。

6. 自身安全，专业度高

• 整个系统安全可靠，底层采用独立的密码保险箱对账号口令进行多级加密存储；
• WEB层采用分权管理模式；
• 开发过程严格遵守奇安信集团SSDL规范，版本发版经过全面的安全检测。通过多个第三方机构严格检测，获得专业机构证书（可提供检测报告）， 已获得公安部销售许可、中国信息安全认证产品、国家保密局认证等。

四、东方华展交付与服务

北京东方华展经贸有限公司作为 IT 综合解决方案服务商，围绕安全方案的落地提供从评估到运维的全流程服务：

五、关于东方华展

北京东方华展经贸有限公司成立于 2007 年，是一家 IT 综合解决方案服务商，定位「您身边的 IT 专家」。公司业务覆盖咨询规划、产品集成、实施交付、运维外包与数据安全五大领域，长期服务于金融、政府、交通、能源、航空航天等行业客户。