O BURSU PAM é um gateway de acesso privilegiado. As pessoas ligam-se ao gateway, não ao servidor: ele inicia sessão no destino com uma palavra-passe que nunca veem, grava a sessão, permite a um auditor vê-la em direto e terminá-la, e regista cada ação num registo de auditoria que revela qualquer alteração posterior. O gateway, a sua base de dados e as gravações ficam nas suas instalações.
O gateway é um único serviço no seu próprio servidor, ao lado da sua base de dados PostgreSQL. A pessoa inicia sessão nele, o gateway verifica a regra de acesso para essa pessoa, servidor e conta, abre ele próprio a ligação ao destino com o segredo guardado e deixa passar a sessão, gravando-a.
O bursucm.com nunca vê uma sessão. Só emite licenças, e o gateway contacta-o apenas quando um administrador carrega num botão online ou ativa a verificação diária. Sem internet o gateway funciona por completo: a licença chega através de um código de pedido.
Tudo o que uma sessão privilegiada precisa, num servidor gerido por si.
As palavras-passe e chaves SSH dos servidores de destino ficam cifradas no gateway, que inicia a sessão sozinho. O utilizador não as pode ver, copiar nem levar; nem mesmo um administrador consegue ler uma palavra-passe guardada — apenas substituí-la.
Sessões de terminal como texto pesquisável pelo que foi escrito, ambientes de trabalho como vídeo com avanço e exportação para MP4, sessões de base de dados como a lista das consultas executadas.
Um auditor vê uma sessão enquanto decorre e pode terminá-la. A sessão também termina quando a sua regra expira ou é eliminada.
Quem se pode ligar a que servidor, com que conta e quando — e se o terminal, a transferência de ficheiros e a área de transferência são permitidos, regra a regra.
O utilizador pede acesso por um período e um aprovador aprova ou recusa. O acesso de emergência (break-glass) tem uma revisão obrigatória posterior.
Comandos perigosos numa sessão SSH podem ser recusados ou enviados a um aprovador para confirmação durante a sessão.
Cada evento é encadeado ao anterior pelo hash, com pontos de controlo regulares; a verificação de integridade encontra uma linha alterada ou eliminada na base de dados. As gravações são guardadas com manifestos assinados e hashes.
Os eventos de auditoria saem por syslog (RFC 5424) em CEF, LEEF ou JSON.
Contas locais com palavra-passe e código TOTP de uma aplicação de autenticação, além de códigos de recuperação; contas do Active Directory e LDAP; início de sessão único com Kerberos.
Administrator configura o gateway, User liga-se e pede acesso, Approver aprova pedidos e comandos, Auditor vê sessões e gravações, lê os registos e verifica a sua integridade.
O gateway, a sua base de dados, as suas chaves e as gravações estão no seu servidor. A chave mestra fica em /var/lib/bursu-pam/keys, não na base de dados, pelo que uma cópia da base de dados sozinha não abre nenhum segredo nem gravação.
Inglês, alemão, espanhol, português (Portugal e Brasil), russo, ucraniano e georgiano; cada utilizador escolhe o seu. A consola também funciona sem JavaScript.
As pessoas continuam com os programas que conhecem e apontam-nos para o gateway em vez do servidor.
| Protocolo | Porta do gateway | Clientes |
|---|---|---|
| SSH, SFTP, SCP | 2222 | OpenSSH, PuTTY, WinSCP, FileZilla, BURSUcm |
| Telnet (equipamentos de rede) | 2222 | qualquer cliente SSH, BURSUcm |
| RDP | 3389 | mstsc com um ficheiro .rdp, BURSUcm |
| VNC | 5900 | visualizadores VNC, BURSUcm |
| PostgreSQL | 15432 | psql e programas com janela, BURSUcm |
| MySQL / MariaDB | 13306 | mysql e programas com janela, BURSUcm |
| Microsoft SQL Server | 11433 | sqlcmd e programas com janela, BURSUcm |
Estas são as portas predefinidas; o bursu-pam-configure altera-as. A porta 22 continua com o SSH do próprio servidor. A consola web e o início de sessão do BURSUcm ficam na 443. Faça com que os servidores de destino aceitem SSH, RDP, VNC, Telnet e ligações de base de dados apenas a partir do endereço do gateway — caso contrário, quem soube uma palavra-passe por outra via liga-se contornando-o, sem gravação.
O BURSU Connection Manager tem um quarto modo de armazenamento ao lado de BURSUcloud, PostgreSQL e local: PAM Gateway. A pessoa inicia sessão com o utilizador, a palavra-passe e o código do gateway — ou com Windows ou Kerberos — e vê apenas os servidores que as regras permitem.
Linux é a plataforma da beta: um pacote para Debian / Ubuntu, Fedora / RHEL ou Arch, ou o repositório assinado, para que as novas versões cheguem com as actualizações do próprio sistema. O pacote para Windows vem depois.
Este pacote está a ser compilado; o repositório recebe-o ao mesmo tempo.
Este pacote está a ser compilado; o repositório recebe-o ao mesmo tempo.
Este pacote está a ser compilado; o repositório recebe-o ao mesmo tempo.
O pacote do gateway para Windows vem depois da beta para Linux.
O BURSU Connection Manager, o cliente, corre em Windows, Linux e macOS e liga-se através do gateway no modo PAM Gateway.
Licenciado pelo número de servidores de destino ativados na consola; utilizadores ilimitados. Para um orçamento, escreva para vendas.
Todas as funcionalidades, até 25 servidores ativos, durante 7 dias. A avaliação começa na página da licença do gateway após o assistente inicial: com uma chamada ao bursucm.com se o gateway estiver online, ou com um código de pedido colado em bursucm.com/pam/activate se não estiver.
Uma licença paga é um ficheiro assinado pela BURSUsofts, associado à instalação e ao seu servidor. O gateway verifica-a offline durante todo o prazo: não existe nenhum interruptor remoto que possa desligar o seu gateway.
Uma paragem suave, não um encerramento. Após o prazo — e, numa licença paga, o período de tolerância nela inscrito — novas sessões e alterações na consola são recusadas. Auditoria, gravações, exportação para o SIEM, visualização em direto e o fim de sessões continuam a funcionar.
Diga-nos quantos servidores o gateway vai alcançar. A licença paga é emitida para a sua conta bursucm.com e ativada com uma chave, online ou por um código de pedido.
Licenças, licenças de avaliação iniciadas offline e instalações associadas pertencem a uma conta bursucm.com. Inicie sessão para ver as suas.
Instalação, consola, cada função, os clientes e o que significa cada mensagem — em inglês, russo e georgiano.
Escreva-nos sobre um piloto, um orçamento ou uma integração.