有不少朋友讓我分享一些堡壘機的選購經(jīng)驗，這是由于他們知道我從07年開始先后在多個公司任職IT運維部門的負責人，并為公司選購并部署過從傳統(tǒng)堡壘機到云堡壘機的多款產(chǎn)品，積累了不少的經(jīng)驗。我們知道，堡壘機的主要功能是做一個IT系統(tǒng)的看門人，任何人都只能通過堡壘機作為門戶單點登錄系統(tǒng)。

堡壘機不僅集中管理和分配全部賬號，更重要的是能對運維人員的運維操作進行嚴格審計和權限控制，確保運維的安全合規(guī)和運維人士的最小化權限管理，堡壘機出現(xiàn)可以解決許多切實的問題。在沒有部署堡壘機以前，很多公司都會遇到不少安全運維問題，比如：

a)登錄賬號管理混亂，多個用戶使用一個賬號或者一個用戶使用多個賬號；

b)運維權限劃分不明，越權操作頻頻發(fā)生；

c)認證方式過于簡單，無雙因子認證賬號容易丟失被盜；

d)對運維過程沒有監(jiān)控措施，出現(xiàn)網(wǎng)絡安全故障難以排查原因和準確追責。

而以上這些問題都可以通過堡壘機來解決，作為看門人的堡壘機其嚴格管控能力十分強大，能在很大程度上的攔截非法訪問，和惡意攻擊，對不合法命令進行命令阻斷，過濾掉所有對目標設備的非法訪問行為，并對內(nèi)部人員誤操作和非法操作進行審計監(jiān)控，以便事后責任追蹤。

市面上堡壘機很多，那么該如何選購呢？我主要根據(jù)自己的經(jīng)驗，從幾個要點進行分析和比較，分享給大家參考。

首先說下傳統(tǒng)的堡壘機，多為軟硬件結合且價格昂貴，其管控能力十分強大，是銀行、國營大型企業(yè)IT運維團隊的首要選項。傳統(tǒng)堡壘機的缺點是，價格很高動輒數(shù)十上百萬，而且部署起來困難，需要專業(yè)的團隊統(tǒng)籌部署，維護成本高。同時對現(xiàn)有網(wǎng)絡結構侵入大，軟件和硬件升級都不方便，并不怎么適合中小型企業(yè)、一般創(chuàng)業(yè)企業(yè)。

如果你的團隊規(guī)模不是超大型，服務器的數(shù)量不是過萬臺級別，那么我主要建議大家選購我們的堡壘機即可。在選購合適的堡壘機之前，首先分解一下堡壘機的主要選購指標。

1、侵入性：如果要每臺主機安裝Agent，安全性不好保障，工作量也大。對于局域網(wǎng)主機而言，最好是只需要在網(wǎng)絡內(nèi)安裝一個代理軟件即可，保持其它主機的純凈和安全。如果是公有云主機，最好是支持API導入，方便快捷；

2、審計方式：這點要特別注意，目前很多堡壘機只有錄像審計，事實上如果真要回溯追責，光靠錄像可是不夠的，誰會有那么多時間去逐幀看錄像呢！所以最好是要有指令審計，比如追查是誰刪除了某個文件，只需輸入文件名即可檢索。還有一些堡壘機是不支持Windows指令審計的，如果您的主機包含了Windows，可一定要求具備Windows指令審計功能哦；Windows服務器指令檢索

3、安全性：要支持身份授權、訪問控制、雙因子認證等安全策略。同時還要有高危命令阻斷功能，要能夠設置命令的黑白名單，主動攔截高危命令；雙因子驗證登錄

4、配套功能考慮：是否具備其它運維相關功能，比如主機監(jiān)控、遠程協(xié)同、自動化運維。需要注意的是，堡壘機對于自動化運維的影響，如果堡壘機成為自動化運維的羈絆，那么可就得不償失了；

5、部署難度：部署難度是否大，一般SaaS模式是無需部署的，免維護，這對于小團隊來說非常適用，能夠減少很大的人力成本；

6、產(chǎn)品更新頻率：既然是堡壘機，那么產(chǎn)品的更新迭代頻率應該要快，不能像傳統(tǒng)堡壘機一樣幾年不更新，畢竟產(chǎn)業(yè)發(fā)展的速度是很快的；

7、價格：選擇堡壘機的用戶一般來說對價格較敏感，在能夠滿足需求的前提下，自然是越便宜越好。

以上這些指標基本涵蓋的堡壘機的主要選購點，您可以根據(jù)所在公司和自己團隊的實際需求情況來標示要點，根據(jù)這些要點對不同的堡壘機品牌進行比較，選出最合適的即可。目前市場上的堡壘機品牌也較多，至于價格嘛，我們的堡壘機應該都屬于大家能接受的范圍，相對傳統(tǒng)堡壘機來講，真的是非常實惠的。總的來說，選購堡壘機并非越貴的就越好，而是要綜合考量各項指標與運維團隊本身的契合度，以及在實際應用中的真實需求。如果您所在的團隊是金融、政府等對安全性要求極高的組織，建議您考慮傳統(tǒng)堡壘機。但是對于一些互聯(lián)網(wǎng)企業(yè)、創(chuàng)業(yè)企業(yè)而言，我比較傾向于向大家推薦使用我們的堡壘機，無論是從價格還是靈活性來說他都具備優(yōu)勢。