BURSU PAM — шлюз привілейованого доступу. Люди підключаються до шлюзу, а не до сервера: шлюз сам входить на цільовий сервер з паролем, якого людина не бачить, записує сесію, дає аудитору дивитися її наживо й перервати, а кожну дію заносить до журналу аудиту, у якому видно будь-яке пізніше виправлення. Шлюз, його база й записи залишаються у вас.
Шлюз — одна служба на вашому сервері поруч зі своєю базою PostgreSQL. Людина входить у шлюз, шлюз перевіряє правило доступу для цієї людини, сервера й облікового запису, сам відкриває з'єднання з цільовим сервером за збереженим секретом і пропускає сесію через себе, записуючи її.
bursucm.com ніколи не бачить сесій. Він лише видає ліцензії, і шлюз звертається до нього, тільки коли адміністратор натискає онлайн-кнопку або вмикає щоденну перевірку. Без інтернету шлюз працює повністю: ліцензія надходить через код запиту.
Усе, що потрібно привілейованій сесії, — на одному сервері, яким керуєте ви.
Паролі й SSH-ключі цільових серверів зберігаються на шлюзі в зашифрованому вигляді, і входить шлюз сам. Користувач не може їх побачити, скопіювати чи винести; навіть адміністратор не може прочитати збережений пароль — лише замінити його.
Термінальні сесії — як текст із пошуком за набраним, робочі столи — як відео з перемотуванням і експортом у MP4, сесії баз даних — як список виконаних запитів.
Аудитор дивиться сесію, поки вона триває, і може її перервати. Сесія переривається й тоді, коли її правило спливає або видаляється.
Хто, до якого сервера, під яким обліковим записом і коли може підключатися — і чи дозволені термінал, передавання файлів і буфер обміну, для кожного правила окремо.
Користувач просить доступ на певний час, погоджувач схвалює або відхиляє запит. Аварійний доступ (break-glass) — з обов'язковим подальшим розбором.
Небезпечні команди в SSH-сесії можна заборонити або передавати на підтвердження погоджувачу просто під час сесії.
Кожна подія пов'язана з попередньою ланцюжком хешів із регулярними контрольними точками; перевірка цілісності знаходить рядок, змінений або видалений у базі. Записи зберігаються з підписаними маніфестами й хешами.
Події аудиту надсилаються через syslog (RFC 5424) у форматі CEF, LEEF або JSON.
Локальні облікові записи з паролем і кодом TOTP із застосунку-автентифікатора, плюс коди відновлення; облікові записи Active Directory і LDAP; єдиний вхід через Kerberos.
Administrator налаштовує шлюз, User підключається й просить доступ, Approver погоджує запити й команди, Auditor переглядає сесії та записи, читає журнали й перевіряє їхню цілісність.
Шлюз, його база, ключі й записи розміщені на вашому сервері. Майстер-ключ лежить у /var/lib/bursu-pam/keys, а не в базі, тому сама лише копія бази не відкриває ні секретів, ні записів.
Англійська, німецька, іспанська, португальська (Португалія й Бразилія), російська, українська та грузинська; кожен користувач обирає свою. Консоль працює й без JavaScript.
Люди працюють звичними програмами й указують у них шлюз замість сервера.
| Протокол | Порт шлюзу | Клієнти |
|---|---|---|
| SSH, SFTP, SCP | 2222 | OpenSSH, PuTTY, WinSCP, FileZilla, BURSUcm |
| Telnet (мережеве обладнання) | 2222 | будь-який SSH-клієнт, BURSUcm |
| RDP | 3389 | mstsc із файлом .rdp, BURSUcm |
| VNC | 5900 | VNC-переглядачі, BURSUcm |
| PostgreSQL | 15432 | psql і програми з вікном, BURSUcm |
| MySQL / MariaDB | 13306 | mysql і програми з вікном, BURSUcm |
| Microsoft SQL Server | 11433 | sqlcmd і програми з вікном, BURSUcm |
Це типові порти; їх змінює bursu-pam-configure. Порт 22 залишається за власним SSH сервера. Вебконсоль і вхід із BURSUcm — на порту 443. Налаштуйте цільові сервери так, щоб SSH, RDP, VNC, Telnet і підключення до баз даних приймалися лише з адреси шлюзу, — інакше людина, яка дізналася пароль іншим шляхом, підключиться в обхід шлюзу, без запису.
BURSU Connection Manager має четвертий режим зберігання поряд із BURSUcloud, PostgreSQL і локальним: PAM Gateway. Людина входить логіном шлюзу, паролем і кодом — або через Windows чи Kerberos — і бачить лише ті сервери, які дозволяють правила.
Linux — платформа бети: пакет для Debian / Ubuntu, Fedora / RHEL або Arch чи підписаний репозиторій, щоб нові версії приходили разом з оновленнями системи. Пакет для Windows — згодом.
Цей пакет збирається; до репозиторію він потрапить одночасно.
Цей пакет збирається; до репозиторію він потрапить одночасно.
Цей пакет збирається; до репозиторію він потрапить одночасно.
Пакет шлюзу для Windows вийде після бети на Linux.
BURSU Connection Manager, клієнт, працює на Windows, Linux і macOS та підключається через шлюз у режимі PAM Gateway.
Ліцензується за кількістю цільових серверів, увімкнених у консолі; кількість користувачів не обмежена. По ціну — до відділу продажів.
Усі функції, до 25 активних серверів, на 7 днів. Вмикається на сторінці ліцензії шлюзу після майстра початкового налаштування: одним зверненням до bursucm.com, якщо шлюз у мережі, або кодом запиту, вставленим на bursucm.com/pam/activate, якщо ні.
Платна ліцензія — файл, підписаний BURSUsofts і прив'язаний до інсталяції та її сервера. Шлюз перевіряє його без зв'язку з інтернетом увесь строк: віддаленого вимикача, який міг би зупинити ваш шлюз, немає.
М'яка зупинка, а не вимкнення. Після закінчення строку — а для платної ліцензії й записаного в ній пільгового періоду — нові сесії та зміни в консолі відхиляються. Аудит, записи, надсилання до SIEM, перегляд наживо й переривання сесій продовжують працювати.
Напишіть, до скількох серверів підключатиметься шлюз. Платна ліцензія видається на ваш обліковий запис bursucm.com і активується ключем — онлайн або кодом запиту.
Ліцензії, пробні ліцензії, отримані без мережі, і прив'язані інсталяції належать обліковому запису bursucm.com. Увійдіть, щоб побачити свої.
Встановлення, консоль, кожна роль, клієнти й що означає кожне повідомлення — англійською, російською та грузинською.
Напишіть нам про пілот, ціну чи інтеграцію.