BURSU PAM ist ein Gateway für privilegierten Zugriff. Man verbindet sich mit dem Gateway, nicht mit dem Server: Es meldet sich mit einem Passwort, das die Person nie sieht, am Zielsystem an, zeichnet die Sitzung auf, lässt einen Auditor live zusehen und sie beenden und schreibt jede Aktion in ein Audit-Protokoll, in dem jede spätere Änderung sichtbar wird. Gateway, Datenbank und Aufzeichnungen bleiben bei Ihnen.
Das Gateway ist ein Dienst auf Ihrem eigenen Server neben seiner PostgreSQL-Datenbank. Eine Person meldet sich dort an, das Gateway prüft die Zugriffsregel für diese Person, diesen Server und dieses Konto, öffnet die Verbindung zum Ziel selbst mit dem gespeicherten Geheimnis und leitet die Sitzung durch – mit Aufzeichnung.
bursucm.com sieht nie eine Sitzung. Es stellt nur Lizenzen aus, und das Gateway ruft es nur auf, wenn ein Administrator eine Online-Schaltfläche drückt oder den täglichen Abgleich einschaltet. Ohne Internet arbeitet das Gateway vollständig: Eine Lizenz kommt per Anforderungscode.
Alles, was eine privilegierte Sitzung braucht, auf einem Server, den Sie betreiben.
Passwörter und SSH-Schlüssel der Zielserver liegen verschlüsselt auf dem Gateway, das sich selbst anmeldet. Ein Benutzer kann sie weder sehen noch kopieren noch mitnehmen; nicht einmal ein Administrator kann ein gespeichertes Passwort lesen – nur ersetzen.
Terminalsitzungen als Text, durchsuchbar nach dem Getippten, Desktops als Video mit Spulen und MP4-Export, Datenbanksitzungen als Liste der ausgeführten Abfragen.
Ein Auditor sieht eine laufende Sitzung und kann sie beenden. Eine Sitzung endet auch, wenn ihre Regel abläuft oder gelöscht wird.
Wer sich wann mit welchem Server unter welchem Konto verbinden darf – und ob Terminal, Dateiübertragung und Zwischenablage erlaubt sind, Regel für Regel.
Ein Benutzer beantragt Zugriff für eine Zeit, ein Genehmiger gibt ihn frei oder lehnt ab. Notfallzugriff (Break-Glass) wird anschließend verpflichtend geprüft.
Gefährliche Befehle in einer SSH-Sitzung können abgewiesen oder während der Sitzung einem Genehmiger zur Bestätigung vorgelegt werden.
Jedes Ereignis ist über seinen Hash mit dem vorherigen verkettet, mit regelmäßigen Prüfpunkten; die Integritätsprüfung findet eine in der Datenbank geänderte oder gelöschte Zeile. Aufzeichnungen liegen mit signierten Manifesten und Hashes vor.
Audit-Ereignisse gehen per Syslog (RFC 5424) als CEF, LEEF oder JSON hinaus.
Lokale Konten mit Passwort und TOTP-Code aus einer Authenticator-App, dazu Wiederherstellungscodes; Konten aus Active Directory und LDAP; Single Sign-on über Kerberos.
Administrator richtet das Gateway ein, User verbindet sich und beantragt Zugriff, Approver genehmigt Anfragen und Befehle, Auditor sieht Sitzungen und Aufzeichnungen, liest die Protokolle und prüft ihre Integrität.
Gateway, Datenbank, Schlüssel und Aufzeichnungen liegen auf Ihrem Server. Der Hauptschlüssel liegt in /var/lib/bursu-pam/keys, nicht in der Datenbank – eine Kopie der Datenbank allein öffnet also kein Geheimnis und keine Aufzeichnung.
Englisch, Deutsch, Spanisch, Portugiesisch (Portugal und Brasilien), Russisch, Ukrainisch und Georgisch; jeder Benutzer wählt seine eigene. Die Konsole funktioniert auch ohne JavaScript.
Man arbeitet mit den gewohnten Programmen und richtet sie auf das Gateway statt auf den Server.
| Protokoll | Gateway-Port | Clients |
|---|---|---|
| SSH, SFTP, SCP | 2222 | OpenSSH, PuTTY, WinSCP, FileZilla, BURSUcm |
| Telnet (Netzwerkgeräte) | 2222 | jeder SSH-Client, BURSUcm |
| RDP | 3389 | mstsc mit einer .rdp-Datei, BURSUcm |
| VNC | 5900 | VNC-Viewer, BURSUcm |
| PostgreSQL | 15432 | psql und Programme mit Fenster, BURSUcm |
| MySQL / MariaDB | 13306 | mysql und Programme mit Fenster, BURSUcm |
| Microsoft SQL Server | 11433 | sqlcmd und Programme mit Fenster, BURSUcm |
Das sind die Standardports; bursu-pam-configure ändert sie. Port 22 bleibt beim eigenen SSH des Servers. Webkonsole und BURSUcm-Anmeldung laufen über 443. Lassen Sie die Zielserver SSH, RDP, VNC, Telnet und Datenbankverbindungen nur von der Adresse des Gateways annehmen – sonst verbindet sich, wer ein Passwort anderweitig erfahren hat, am Gateway vorbei und ohne Aufzeichnung.
BURSU Connection Manager hat neben BURSUcloud, PostgreSQL und lokal einen vierten Speichermodus: PAM Gateway. Man meldet sich mit Gateway-Login, Passwort und Code an – oder mit Windows bzw. Kerberos – und sieht nur die Server, die die Regeln erlauben.
Linux ist die Beta-Plattform: ein Paket für Debian / Ubuntu, Fedora / RHEL oder Arch oder das signierte Repository, damit neue Versionen mit den Updates des Systems ankommen. Ein Windows-Paket folgt.
Dieses Paket wird gebaut; das Repository bekommt es zur gleichen Zeit.
Dieses Paket wird gebaut; das Repository bekommt es zur gleichen Zeit.
Dieses Paket wird gebaut; das Repository bekommt es zur gleichen Zeit.
Das Windows-Paket des Gateways folgt auf die Linux-Beta.
BURSU Connection Manager, der Client, läuft unter Windows, Linux und macOS und verbindet sich im Modus PAM Gateway über das Gateway.
Lizenziert nach der Zahl der in der Konsole eingeschalteten Zielserver; Benutzer sind unbegrenzt. Für ein Angebot schreiben Sie dem Vertrieb.
Alle Funktionen, bis zu 25 aktive Server, 7 Tage lang. Die Testlizenz startet nach dem Einrichtungsassistenten auf der Lizenzseite des Gateways: mit einem Aufruf von bursucm.com, wenn das Gateway online ist, sonst mit einem Anforderungscode, eingefügt auf bursucm.com/pam/activate.
Eine bezahlte Lizenz ist eine von BURSUsofts signierte Datei, gebunden an die Installation und ihren Server. Das Gateway prüft sie über die ganze Laufzeit offline: Es gibt keinen Fernschalter, der Ihr Gateway abschalten könnte.
Ein sanfter Stopp, kein Abschalten. Nach der Laufzeit – bei einer bezahlten Lizenz nach der darin festgelegten Kulanzzeit – werden neue Sitzungen und Änderungen in der Konsole abgewiesen. Audit, Aufzeichnungen, SIEM-Export, Live-Ansicht und das Beenden von Sitzungen funktionieren weiter.
Sagen Sie uns, wie viele Server das Gateway erreichen soll. Eine bezahlte Lizenz wird auf Ihr bursucm.com-Konto ausgestellt und mit einem Schlüssel aktiviert, online oder per Anforderungscode.
Lizenzen, offline gestartete Testlizenzen und zugeordnete Installationen gehören zu einem bursucm.com-Konto. Melden Sie sich an, um Ihre zu sehen.
Installation, Konsole, jede Rolle, die Clients und was jede Meldung bedeutet – auf Englisch, Russisch und Georgisch.
Schreiben Sie uns zu einem Pilotprojekt, einem Angebot oder einer Integration.