BURSU PAM — шлюз привилегированного доступа. Люди подключаются к шлюзу, а не к серверу: шлюз сам входит на целевой сервер с паролем, которого человек не видит, записывает сессию, позволяет аудитору смотреть её вживую и прервать, а каждое действие заносит в журнал аудита, в котором видна любая последующая правка. Шлюз, его база и записи остаются у вас.
Шлюз — одна служба на вашем сервере рядом со своей базой PostgreSQL. Человек входит в шлюз, шлюз проверяет правило доступа для этого человека, сервера и учётной записи, сам открывает соединение с целевым сервером по сохранённому секрету и пропускает сессию через себя, записывая её.
bursucm.com никогда не видит сессий. Он только выдаёт лицензии, и шлюз обращается к нему, лишь когда администратор нажимает онлайн-кнопку или включает ежедневную проверку. Без интернета шлюз работает полностью: лицензия приходит через код запроса.
Всё, что нужно привилегированной сессии, — на одном сервере, которым управляете вы.
Пароли и SSH-ключи целевых серверов хранятся на шлюзе в зашифрованном виде, и входит шлюз сам. Пользователь не может их увидеть, скопировать или унести; даже администратор не может прочитать сохранённый пароль — только заменить его.
Терминальные сессии — как текст с поиском по набранному, рабочие столы — как видео с перемоткой и экспортом в MP4, сессии баз данных — как список выполненных запросов.
Аудитор смотрит идущую сессию и может её прервать. Сессия прерывается и тогда, когда её правило истекает или удаляется.
Кто, к какому серверу, под какой учётной записью и когда может подключаться — и разрешены ли терминал, передача файлов и буфер обмена, по каждому правилу отдельно.
Пользователь просит доступ на время, согласующий одобряет или отклоняет запрос. Аварийный доступ (break-glass) — с обязательным последующим разбором.
Опасные команды в SSH-сессии можно запретить или отдавать на подтверждение согласующему прямо во время сессии.
Каждое событие связано с предыдущим цепочкой хешей с регулярными контрольными точками; проверка целостности находит строку, изменённую или удалённую в базе. Записи хранятся с подписанными манифестами и хешами.
События аудита уходят по syslog (RFC 5424) в формате CEF, LEEF или JSON.
Локальные учётные записи с паролем и кодом TOTP из приложения-аутентификатора, плюс коды восстановления; учётные записи Active Directory и LDAP; единый вход по Kerberos.
Administrator настраивает шлюз, User подключается и просит доступ, Approver согласует запросы и команды, Auditor смотрит сессии и записи, читает журналы и проверяет их целостность.
Шлюз, его база, ключи и записи находятся на вашем сервере. Мастер-ключ лежит в /var/lib/bursu-pam/keys, а не в базе, поэтому одна копия базы не открывает ни секретов, ни записей.
Английский, немецкий, испанский, португальский (Португалия и Бразилия), русский, украинский и грузинский; каждый пользователь выбирает свой. Консоль работает и без JavaScript.
Люди работают привычными программами и указывают в них шлюз вместо сервера.
| Протокол | Порт шлюза | Клиенты |
|---|---|---|
| SSH, SFTP, SCP | 2222 | OpenSSH, PuTTY, WinSCP, FileZilla, BURSUcm |
| Telnet (сетевое оборудование) | 2222 | любой SSH-клиент, BURSUcm |
| RDP | 3389 | mstsc с файлом .rdp, BURSUcm |
| VNC | 5900 | VNC-просмотрщики, BURSUcm |
| PostgreSQL | 15432 | psql и программы с окном, BURSUcm |
| MySQL / MariaDB | 13306 | mysql и программы с окном, BURSUcm |
| Microsoft SQL Server | 11433 | sqlcmd и программы с окном, BURSUcm |
Это порты по умолчанию; их меняет bursu-pam-configure. Порт 22 остаётся у собственного SSH сервера. Веб-консоль и вход из BURSUcm — на порту 443. Настройте целевые серверы так, чтобы SSH, RDP, VNC, Telnet и подключения к базам данных принимались только с адреса шлюза, — иначе человек, узнавший пароль другим путём, подключится в обход шлюза, без записи.
У BURSU Connection Manager есть четвёртый режим хранения рядом с BURSUcloud, PostgreSQL и локальным: PAM Gateway. Человек входит логином шлюза, паролем и кодом — или через Windows либо Kerberos — и видит только те серверы, которые разрешают правила.
Linux — платформа беты: пакет для Debian / Ubuntu, Fedora / RHEL или Arch либо подписанный репозиторий, чтобы новые версии приходили вместе с обновлениями системы. Пакет для Windows — следом.
Этот пакет собирается; в репозиторий он попадёт одновременно.
Этот пакет собирается; в репозиторий он попадёт одновременно.
Этот пакет собирается; в репозиторий он попадёт одновременно.
Пакет шлюза для Windows выйдет после беты на Linux.
BURSU Connection Manager, клиент, работает на Windows, Linux и macOS и подключается через шлюз в режиме PAM Gateway.
Лицензируется по числу целевых серверов, включённых в консоли; число пользователей не ограничено. За ценой — в отдел продаж.
Все функции, до 25 активных серверов, на 7 дней. Включается на странице лицензии шлюза после мастера первоначальной настройки: одним обращением к bursucm.com, если шлюз в сети, или кодом запроса, вставленным на bursucm.com/pam/activate, если нет.
Платная лицензия — файл, подписанный BURSUsofts и привязанный к установке и её серверу. Шлюз проверяет его без связи с интернетом весь срок: удалённого выключателя, который мог бы остановить ваш шлюз, нет.
Мягкая остановка, а не выключение. После окончания срока — а у платной лицензии и записанного в ней льготного периода — новые сессии и изменения в консоли отклоняются. Аудит, записи, отправка в SIEM, живой просмотр и прерывание сессий продолжают работать.
Напишите, к скольким серверам будет подключаться шлюз. Платная лицензия выдаётся на вашу учётную запись bursucm.com и активируется ключом — онлайн или кодом запроса.
Лицензии, пробные лицензии, полученные без сети, и привязанные установки принадлежат учётной записи bursucm.com. Войдите, чтобы увидеть свои.
Установка, консоль, каждая роль, клиенты и что значит каждое сообщение — на английском, русском и грузинском.
Напишите нам о пилоте, цене или интеграции.