BURSU PAM · Beta

Um gateway que grava tudo entre os seus administradores e os seus servidores

O BURSU PAM é um gateway de acesso privilegiado. As pessoas se conectam ao gateway, não ao servidor: ele entra no destino com uma senha que elas nunca veem, grava a sessão, permite que um auditor a assista ao vivo e a encerre, e registra cada ação em um log de auditoria que revela qualquer alteração posterior. O gateway, seu banco de dados e as gravações ficam na sua empresa.

Instalar Como funciona

Como funciona

O gateway faz o login; a pessoa nunca recebe a senha

O gateway é um único serviço no seu próprio servidor, ao lado do seu banco PostgreSQL. A pessoa faz login nele, o gateway verifica a regra de acesso para essa pessoa, servidor e conta, abre ele mesmo a conexão com o destino usando o segredo armazenado e repassa a sessão, gravando-a.

Login: senha e código de uso único, uma conta de diretório ou Kerberos.
Verificação da regra: quem, qual servidor, qual conta, quando, e se o terminal, a transferência de arquivos e a área de transferência são permitidos.
Login no destino: o gateway descriptografa o segredo da conta e verifica a chave de host ou o certificado do destino.
Gravação e visualização ao vivo: um auditor pode assistir à sessão e encerrá-la.
Fim: a gravação é fechada e assinada, e os eventos vão para o log de auditoria e para o seu SIEM.

O bursucm.com nunca vê uma sessão. Ele só emite licenças, e o gateway o chama apenas quando um administrador clica em um botão online ou ativa a verificação diária. Sem internet o gateway funciona por completo: a licença chega por um código de solicitação.

bursu-pam · o caminho de uma sessão

O que o gateway faz

Tudo o que uma sessão privilegiada precisa, em um servidor que você administra.

As senhas ficam no gateway

As senhas e chaves SSH dos servidores de destino ficam criptografadas no gateway, que faz o login sozinho. O usuário não pode vê-las, copiá-las nem levá-las; nem mesmo um administrador consegue ler uma senha armazenada — só substituí-la.

Toda sessão gravada

Sessões de terminal como texto pesquisável pelo que foi digitado, áreas de trabalho como vídeo com avanço e exportação para MP4, sessões de banco de dados como a lista das consultas executadas.

Assistir ao vivo, encerrar na hora

Um auditor assiste a uma sessão em andamento e pode encerrá-la. A sessão também termina quando sua regra expira ou é excluída.

Regras de acesso

Quem pode se conectar a qual servidor, com qual conta e quando — e se o terminal, a transferência de arquivos e a área de transferência são permitidos, regra por regra.

Solicitações e aprovações

O usuário pede acesso por um tempo e um aprovador aprova ou recusa. O acesso de emergência (break-glass) passa por uma revisão obrigatória depois.

Controle de comandos

Comandos perigosos em uma sessão SSH podem ser recusados ou enviados a um aprovador para confirmação durante a sessão.

Um log de auditoria que revela adulteração

Cada evento é encadeado ao anterior pelo hash, com pontos de controle regulares; a verificação de integridade encontra uma linha alterada ou excluída no banco. As gravações são guardadas com manifestos assinados e hashes.

Seu SIEM recebe cada evento

Os eventos de auditoria saem por syslog (RFC 5424) em CEF, LEEF ou JSON.

Login do seu jeito

Contas locais com senha e código TOTP de um app autenticador, além de códigos de recuperação; contas do Active Directory e LDAP; login único com Kerberos.

Quatro funções

Administrator configura o gateway, User se conecta e pede acesso, Approver aprova solicitações e comandos, Auditor assiste a sessões e gravações, lê os logs e verifica sua integridade.

Na sua empresa

O gateway, seu banco de dados, suas chaves e as gravações ficam no seu servidor. A chave mestra fica em /var/lib/bursu-pam/keys, não no banco, então uma cópia do banco sozinha não abre nenhum segredo nem gravação.

Um console web em oito idiomas

Inglês, alemão, espanhol, português (Portugal e Brasil), russo, ucraniano e georgiano; cada usuário escolhe o seu. O console também funciona sem JavaScript.

Protocolos e clientes

As pessoas continuam com os programas que conhecem e os apontam para o gateway em vez do servidor.

Protocolo	Porta do gateway	Clientes
SSH, SFTP, SCP	`2222`	OpenSSH, PuTTY, WinSCP, FileZilla, BURSUcm
Telnet (equipamentos de rede)	`2222`	qualquer cliente SSH, BURSUcm
RDP	`3389`	mstsc com um arquivo .rdp, BURSUcm
VNC	`5900`	visualizadores VNC, BURSUcm
PostgreSQL	`15432`	psql e programas com janela, BURSUcm
MySQL / MariaDB	`13306`	mysql e programas com janela, BURSUcm
Microsoft SQL Server	`11433`	sqlcmd e programas com janela, BURSUcm

Estas são as portas padrão; o bursu-pam-configure as altera. A porta 22 continua com o SSH do próprio servidor. O console web e o login do BURSUcm ficam na 443. Faça os servidores de destino aceitarem SSH, RDP, VNC, Telnet e conexões de banco de dados apenas do endereço do gateway — caso contrário, quem descobriu uma senha por outro meio se conecta contornando-o, sem gravação.

BURSU Connection Manager

Um clique duplo, nenhuma senha no dispositivo

O BURSU Connection Manager tem um quarto modo de armazenamento ao lado de BURSUcloud, PostgreSQL e local: PAM Gateway. A pessoa faz login com o usuário, a senha e o código do gateway — ou com Windows ou Kerberos — e vê apenas os servidores que as regras permitem.

Um clique duplo conecta: o app pede ao gateway um tíquete de uso único, válido por 60 segundos e para uma conexão, e o usa. Nenhuma senha de servidor chega ao dispositivo.
SSH, Telnet, RDP, VNC e bancos de dados; os arquivos do servidor por SFTP, até onde a regra permitir.
As solicitações de acesso são feitas pelo app; o catálogo é somente leitura.
A partir do BURSUcm 5.5.1 no Windows e 3.3.7 no Linux e macOS.

Baixar o BURSU Connection Manager →

Confiança, login e gravação

O certificado do gateway é confirmado na primeira vez pela impressão digital SHA-256, e um certificado alterado é recusado.
O login dura o tempo que o administrador definir — 8 horas por padrão — e sair encerra as sessões que ele abriu.
Cada sessão é gravada no gateway, exatamente como uma aberta com qualquer outro cliente.

Requisitos

O servidor do gateway

Um servidor Windows ou Linux em x86_64. A beta sai primeiro com os pacotes para Linux (Debian / Ubuntu, RPM e Arch); o pacote para Windows vem depois. Um único pacote; .NET vai dentro.
Pelo menos 4 GiB de memória; cada sessão RDP ou VNC pode usar até 512 MiB e um núcleo de processador.
Pelo menos 5 GiB livres em /var/lib/bursu-pam, e mais para gravações de sessões de área de trabalho.
No Linux: cgroup v2, Landlock e seccomp — um kernel atual já os tem; sudo bursu-pam-check verifica.
Um /etc/machine-id não vazio (a licença fica vinculada a ele) e sincronização de horário.

O banco de dados

PostgreSQL 15 ou mais recente. Por padrão o pacote para Linux traz o PostgreSQL 16 do arquivo da distribuição e cria o próprio banco e a própria função, que entra pelo socket Unix sem senha.
Um servidor PostgreSQL externo também serve; então o gateway só precisa do cliente.

A rede

Entrada: 443 (console e BURSUcm), 2222 (SSH, SFTP, SCP, Telnet) e 3389, 5900, 15432, 13306, 11433 para o que você ativar. O pacote nunca altera o firewall.
Saída: os servidores de destino, os controladores de domínio, o e-mail, o SIEM — e o bursucm.com só quando você pedir.
Usuários: um navegador atual e um app autenticador; o BURSUcm se quiserem.

Instalar

Linux é a plataforma da beta: um pacote para Debian / Ubuntu, Fedora / RHEL ou Arch, ou o repositório assinado, para que as novas versões cheguem com as atualizações do próprio sistema. O pacote para Windows vem depois.

Linux BETA

Versão 1.0.5-beta · lançado 2026-11-03

Pacote Debian / Ubuntu — Ubuntu 22.04+, Debian 12+

x86_64 · 45.0 MB · atualizado 2026-11-03

Baixar

SHA-256 b84e775d2403850dbafd139ea70c31be366ee833b891b52318aa188d067f33d4

Instalar sudo apt install ./bursu-pam_1.0.5~beta_amd64.deb

Repositório APT atualizações automáticas Adicione o repositório uma vez — novas versões chegam com as atualizações normais do seu sistema.

1. Chave sudo wget -qO /usr/share/keyrings/bursucm.gpg https://bursucm.com/repo/bursucm.gpg

2. Origem

sudo tee /etc/apt/sources.list.d/bursucm.sources >/dev/null <<'EOF'
Types: deb
URIs: https://bursucm.com/repo/apt
Suites: stable
Components: main
Architectures: amd64 arm64
Signed-By: /usr/share/keyrings/bursucm.gpg
EOF

3. Instalar sudo apt update && sudo apt install bursu-pam

Pacote RPM — RHEL / Alma / Rocky 9+, Fedora

x86_64 · 48.7 MB · atualizado 2026-11-03

Baixar

SHA-256 cab0cb8f8d5ab31edd440d1fb01ce2d1fd7c7b3b269c0d1490e60e05239447c9

Instalar sudo dnf install ./bursu-pam-1.0.5~beta-1.x86_64.rpm

Repositório DNF / YUM atualizações automáticas Adicione o repositório uma vez — novas versões chegam com as atualizações normais do seu sistema.

1. Chave sudo rpm --import https://bursucm.com/repo/bursucm.asc

2. Origem

sudo tee /etc/yum.repos.d/bursucm.repo >/dev/null <<'EOF'
[bursucm]
name=BURSUcm
baseurl=https://bursucm.com/repo/rpm
enabled=1
gpgcheck=1
repo_gpgcheck=1
gpgkey=https://bursucm.com/repo/bursucm.asc
metadata_expire=6h
EOF

3. Instalar sudo dnf install bursu-pam

Pacote Arch — Arch Linux

x86_64 · 54.9 MB · atualizado 2026-11-03

Baixar

SHA-256 951090b0e33833411726b51749b8eb166bf5334c6cf2fc7dc5f3981f5aac82a1

Instalar sudo pacman -U bursu-pam-1.0.5beta-1-x86_64.pkg.tar.zst

Repositório Pacman atualizações automáticas Adicione o repositório uma vez — novas versões chegam com as atualizações normais do seu sistema.

1. Chave

curl -fsSL https://bursucm.com/repo/bursucm.asc | sudo pacman-key --add - && sudo pacman-key --lsign-key BA53B57D047CE8F14610C02A037A882DB839E2E0

2. Origem echo -e '\n[bursucm]\nServer = https://bursucm.com/repo/arch' | sudo tee -a /etc/pacman.conf

3. Instalar sudo pacman -Syu bursu-pam

Depois do pacote

O pacote pergunta as portas e inicia o gateway. Verifique o host e abra https://<endereço do gateway>/setup: o assistente inicial pede o código de configuração de uso único que a instalação imprimiu, cria a chave de criptografia e o primeiro administrador com segundo fator, e termina na página de licença, onde começa o teste de 7 dias.

Verificar sudo bursu-pam-check

Código de configuração sudo cat /var/lib/bursu-pam/setup-code

Windows

Mais tarde

O pacote do gateway para Windows vem depois da beta para Linux.

O BURSU Connection Manager, o cliente, roda no Windows, Linux e macOS e se conecta pelo gateway no modo PAM Gateway.

Registro de alterações

Versão 1.0.5-beta

Primeira beta pública para Linux: pacotes deb, rpm e Arch, e repositórios APT, RPM e Arch.

Licenciamento

Licenciado pelo número de servidores de destino ativados no console; usuários ilimitados. Para um orçamento, escreva para vendas.

Teste de 7 dias

Todos os recursos, até 25 servidores ativos, por 7 dias. O teste começa na página de licença do gateway após o assistente inicial: com uma chamada ao bursucm.com se o gateway estiver online, ou com um código de solicitação colado em bursucm.com/pam/activate se não estiver.

Um arquivo de licença assinado

Uma licença paga é um arquivo assinado pela BURSUsofts, vinculado à instalação e ao seu servidor. O gateway a verifica offline durante todo o prazo: não existe chave remota que possa desligar o seu gateway.

Quando uma licença termina

Uma parada suave, não um desligamento. Após o prazo — e, numa licença paga, o período de carência escrito nela — novas sessões e alterações no console são recusadas. Auditoria, gravações, exportação para o SIEM, visualização ao vivo e encerramento de sessões continuam funcionando.

Orçamento com vendas

Diga-nos quantos servidores o gateway vai alcançar. A licença paga é emitida para a sua conta bursucm.com e ativada com uma chave, online ou por um código de solicitação.

sales [at] bursusofts.com

Suas licenças

Licenças, licenças de teste iniciadas offline e instalações vinculadas pertencem a uma conta bursucm.com. Faça login para ver as suas.

Entrar Criar conta

O guia do BURSU PAM

Instalação, console, cada função, os clientes e o que significa cada mensagem — em inglês, russo e georgiano.

Abrir o guia

Dúvidas antes de instalar?

Escreva para nós sobre um piloto, um orçamento ou uma integração.

Instalar Contato