BURSU PAM es una pasarela de acceso privilegiado. Las personas se conectan a la pasarela, no al servidor: ella inicia sesión en el destino con una contraseña que nunca ven, graba la sesión, permite a un auditor verla en directo y terminarla, y anota cada acción en un registro de auditoría que delata cualquier modificación posterior. La pasarela, su base de datos y las grabaciones se quedan en sus instalaciones.
La pasarela es un único servicio en su propio servidor, junto a su base de datos PostgreSQL. Una persona inicia sesión en ella, la pasarela comprueba la regla de acceso para esa persona, servidor y cuenta, abre ella misma la conexión con el destino usando el secreto guardado y deja pasar la sesión, grabándola.
bursucm.com nunca ve una sesión. Solo emite licencias, y la pasarela lo llama únicamente cuando un administrador pulsa un botón en línea o activa la comprobación diaria. Sin internet la pasarela funciona por completo: la licencia llega mediante un código de solicitud.
Todo lo que necesita una sesión privilegiada, en un servidor que usted gestiona.
Las contraseñas y claves SSH de los servidores de destino se guardan cifradas en la pasarela, que inicia sesión por sí misma. Un usuario no puede verlas, copiarlas ni llevárselas; ni siquiera un administrador puede leer una contraseña guardada: solo sustituirla.
Las sesiones de terminal, como texto en el que se busca lo tecleado; los escritorios, como vídeo con avance y exportación a MP4; las sesiones de bases de datos, como la lista de consultas ejecutadas.
Un auditor ve una sesión mientras transcurre y puede terminarla. Una sesión también termina cuando su regla caduca o se elimina.
Quién puede conectarse a qué servidor, con qué cuenta y cuándo, y si se permiten el terminal, la transferencia de archivos y el portapapeles, regla por regla.
Un usuario pide acceso durante un tiempo y un aprobador lo aprueba o lo rechaza. El acceso de emergencia (break-glass) conlleva una revisión obligatoria posterior.
Los comandos peligrosos en una sesión SSH pueden rechazarse o enviarse a un aprobador para que los confirme durante la sesión.
Cada evento está encadenado al anterior por su hash, con puntos de control periódicos; la comprobación de integridad detecta una fila modificada o borrada en la base de datos. Las grabaciones se guardan con manifiestos firmados y hashes.
Los eventos de auditoría salen por syslog (RFC 5424) en CEF, LEEF o JSON.
Cuentas locales con contraseña y código TOTP de una app de autenticación, más códigos de recuperación; cuentas de Active Directory y LDAP; inicio de sesión único con Kerberos.
Administrator configura la pasarela, User se conecta y pide acceso, Approver aprueba solicitudes y comandos, Auditor ve sesiones y grabaciones, lee los registros y comprueba su integridad.
La pasarela, su base de datos, sus claves y las grabaciones están en su servidor. La clave maestra está en /var/lib/bursu-pam/keys, no en la base de datos, así que una copia de la base de datos por sí sola no abre ningún secreto ni ninguna grabación.
Inglés, alemán, español, portugués (Portugal y Brasil), ruso, ucraniano y georgiano; cada usuario elige el suyo. La consola también funciona sin JavaScript.
Cada uno sigue con sus programas de siempre y los dirige a la pasarela en lugar de al servidor.
| Protocolo | Puerto de la pasarela | Clientes |
|---|---|---|
| SSH, SFTP, SCP | 2222 | OpenSSH, PuTTY, WinSCP, FileZilla, BURSUcm |
| Telnet (equipos de red) | 2222 | cualquier cliente SSH, BURSUcm |
| RDP | 3389 | mstsc con un archivo .rdp, BURSUcm |
| VNC | 5900 | visores VNC, BURSUcm |
| PostgreSQL | 15432 | psql y programas con ventana, BURSUcm |
| MySQL / MariaDB | 13306 | mysql y programas con ventana, BURSUcm |
| Microsoft SQL Server | 11433 | sqlcmd y programas con ventana, BURSUcm |
Estos son los puertos predeterminados; bursu-pam-configure los cambia. El puerto 22 sigue siendo del SSH propio del servidor. La consola web y el inicio de sesión de BURSUcm usan el 443. Haga que los servidores de destino acepten SSH, RDP, VNC, Telnet y conexiones de bases de datos solo desde la dirección de la pasarela; si no, quien haya obtenido una contraseña por otra vía se conectará sin pasar por ella y sin grabación.
BURSU Connection Manager tiene un cuarto modo de almacenamiento junto a BURSUcloud, PostgreSQL y local: PAM Gateway. La persona inicia sesión con el usuario, la contraseña y el código de la pasarela —o con Windows o Kerberos— y solo ve los servidores que permiten las reglas.
Linux es la plataforma de la beta: un paquete para Debian / Ubuntu, Fedora / RHEL o Arch, o el repositorio firmado, para que las nuevas versiones lleguen con las actualizaciones del propio sistema. El paquete para Windows vendrá después.
El paquete de la pasarela para Windows llegará tras la beta de Linux.
BURSU Connection Manager, el cliente, funciona en Windows, Linux y macOS y se conecta a través de la pasarela en su modo PAM Gateway.
Se licencia por el número de servidores de destino activados en la consola; los usuarios son ilimitados. Para un presupuesto, escriba a ventas.
Todas las funciones, hasta 25 servidores activos, durante 7 días. La prueba empieza en la página de licencia de la pasarela tras el asistente inicial: con una llamada a bursucm.com si la pasarela está en línea, o con un código de solicitud pegado en bursucm.com/pam/activate si no lo está.
Una licencia de pago es un archivo firmado por BURSUsofts, ligado a la instalación y a su servidor. La pasarela lo comprueba sin conexión durante todo su plazo: no existe un interruptor remoto que pueda apagar su pasarela.
Una parada suave, no un apagado. Tras el plazo —y, en una licencia de pago, el periodo de gracia que figura en ella— se rechazan las sesiones nuevas y los cambios en la consola. La auditoría, las grabaciones, la exportación al SIEM, la vista en directo y la terminación de sesiones siguen funcionando.
Díganos a cuántos servidores llegará la pasarela. La licencia de pago se emite a su cuenta de bursucm.com y se activa con una clave, en línea o con un código de solicitud.
Las licencias, las licencias de prueba iniciadas sin conexión y las instalaciones vinculadas pertenecen a una cuenta de bursucm.com. Inicie sesión para ver las suyas.
La instalación, la consola, cada rol, los clientes y qué significa cada mensaje, en inglés, ruso y georgiano.
Escríbanos sobre un piloto, un presupuesto o una integración.