#1#：生産環境采用集群模式，2+N提供服務，中心不進(jìn)行運維，各台節點分攤運維壓力，每周五及每個月底的大投産向(xiàng)開(kāi)發(fā)及運維人員提供穩定服務，現已經(jīng)托管了上千台資産及過(guò)萬的設備賬号。該行運維模式遵循所有非查詢賬号都(dōu)需要進(jìn)行雙人複核運維的原則，任何變更操作都(dōu)需要有人進(jìn)行監督進(jìn)行；
#2#：總行采用2台分權模式堡壘機（類SAAS模式），各地分行通過(guò)分權模式劃分各個部門，部門内部資源自治互不幹涉；
#3#：同城災備環境部署2台堡壘機，與生産環境的版本及内容一緻，進(jìn)行冷備；
#4#：測試環境2台堡壘機，新老版本各一台，爲對(duì)接開(kāi)發(fā)其他平台和生産環境優化升級包提供測試環境。
項目痛點：
應上級單位的國(guó)密改造文件要求，各個金融企業都(dōu)需要對(duì)内部核心業務進(jìn)行國(guó)密改造，該行也是其中之一。堡壘機在國(guó)密改造中是關鍵的一部分，該行需要在短時間内，對(duì)堡壘機的認證、傳輸通道(dào)、存儲及抗抵賴等進(jìn)行國(guó)密改造；
目前使用的堡壘機亟需升級達到規定的國(guó)密改造要求。
解決方案：
帕拉迪根據該行的需要及監管要求爲該行目前部署的所有生産環境堡壘機提供完整的國(guó)密改造方案，具體爲：
1.針對(duì)堡壘機的認證方式及密碼存儲進(jìn)行國(guó)密改造，實現認證方式和底層密碼存儲使用國(guó)密算法滿足監管單位國(guó)密改造要求。
2.針對(duì)堡壘機的數據抗抵賴及傳輸通道(dào)改造，本次項目實現堡壘機關鍵操作簽名驗簽抗抵賴及國(guó)密HTTPS通道(dào)的改造。
具體實現情況如下：
1.認證方式
此次項目堡壘機使用國(guó)密動态令牌系統進(jìn)行身份認證鑒别，令牌采用了國(guó)密算法，針對(duì)敏感認證信息進(jìn)行加密傳輸。對(duì)于關聯了動态令牌策略的用戶，需要輸入綁定該人員的令牌上的6位動态碼及其他認證信息進(jìn)行驗證登錄。
此外，此次改造還(hái)對(duì)接該行自身的國(guó)密統一認證平台，認證的鑒别信息存儲于國(guó)密認證平台内，傳輸過(guò)程及存儲都(dōu)采用國(guó)密算法加密，兩(liǎng)者在堡壘機上配置雙因素認證，确保身份認證實現全國(guó)密算法支持。
2.數據存儲
堡壘機上存儲的敏感信息，如托管的資産密碼及用戶本地密碼，都(dōu)以國(guó)密算法進(jìn)行加密存儲。
3.傳輸通道(dào)
此次項目通過(guò)對(duì)傳輸通道(dào)的改造，提高了數據傳輸機密性、保證了數據傳輸完整性，最終該行運維人員可在前台通過(guò)專用的國(guó)密浏覽器進(jìn)行業務的相關操作。
4.數據抗抵賴
升級改造後(hòu)，堡壘機管理員需要接入國(guó)密USBKEY才可以對(duì)堡壘機進(jìn)行配置操作，驗證身份後(hòu)將(jiāng)操作指令簽名傳輸到堡壘機，堡壘機的驗簽服務進(jìn)行驗簽後(hòu)才會(huì)執行對(duì)應的指令。
結語：
目前，該改造方案已經(jīng)在全國(guó)多家金融單位成(chéng)功部署實施，并協助客戶通過(guò)國(guó)密改造檢查，符合國(guó)密改造測評對(duì)金融單位的要求及技術規範。在客戶側，該改造方案成(chéng)熟、穩定，部署周期短，不影響客戶業務運行及運維維護，且在身份認證、傳輸通道(dào)、敏感信息存儲及關鍵操作抗抵賴層面(miàn)采用國(guó)密算法相關技術，進(jìn)一步提高堡壘機自身的安全性，保證信息中心安全運維。
未來，帕拉迪將(jiāng)繼續在密評建設中爲客戶解決實際問題，根據客戶信息系統建設要求不斷完善産品和解決方案，助力客戶網絡安全建設，爲各行各業的數字化發(fā)展保駕護航。