3.7 工控堡垒机与运维审计（远程维护通道管控核心产品）

信源等级：L3 厂商官方 ｜ 最后核验：2026-09-24 厂商资料：威努特（SOMS 安全运维管理系统、远程运维技术方案、日志审计与分析系统）、安联云（通用堡垒机对比） 关联文档：3.2 工控安全审计（流量侧）、3.3 工业主机卫士、1.4 第 14/26 条、4.4 SIEM

一、定义与工控场景定位

工控堡垒机（安全运维管理系统 / 运维审计网关）：对工业现场的运维通道做统一账号托管、权限分配、认证管控与全过程操作审计的软硬件一体化设备，保障远程维护（设备厂商工程师、第三方运维）可管可控、可回溯。

它解决什么（威努特远程运维方案原文痛点，L3[2]）：运维过程无监管——厂商工程师误操作导致生产故障后，企业无法回溯、无法责任界定。

与 3.2 工控监测审计的分工：

维度	堡垒机（3.7，通道管控）	工控监测审计（3.2，流量侧）
部署	单臂部署在运维区域（串接运维通道）	旁路镜像
管控对象	人 + 账号 + 会话（谁以什么身份做了什么操作）	报文与协议（网络通信行为、指令级记录）
典型能力	临时账号、单点登录、双人授权、命令级控制、会话录屏、实时阻断	协议 DPI、白名单基线、异常指令告警（见 3.2）
合规	1.4 第 14 条远程维护；等保运维审计	1.4 第 22 条监测审计、第 26 条日志留存

协同：堡垒机管”进门的通道”，3.2 管”进门后协议层的行为”；两者告警汇聚至工业态势感知平台（3.4）。

二、核心能力（以威努特 SOMS 为例，L3[1]）

能力域	具体功能
账号统一管理	完整用户账号生命周期（创建/维护/修改/删除）；AD 域同步抽取 OU 与主账号；分组树形无限层级；口令策略/有效期/锁定策略
从账号托管	自动抽取/推送资源账号属性；定期校验平台密码与设备实际密码一致性；按时间计划导出账号口令（需解密器解密查看）——运维人员不接触真实密码
认证（4A）	本地/LDAP/RADIUS/USB Key + 第三方 CA/动态令牌/生物识别；混合认证（不同主账号不同认证方式，按需）；组合认证
授权	自定义角色 + 基于岗位授权（岗位绑定资源账号，授权可迁移、粒度更细）；有效期控制
单点登录	浏览器/第三方客户端（SecureCRT、Mstsc 等）登录；网络设备 enable、Unix 主机 su 身份切换；免二次输入口令
资源适配	Unix/网络/Windows/数据库/C-S/B-S/中间件/大型机；SSH/TELNET/FTP/SFTP/VNC/XWINDOW/文件共享协议；上位机/服务器/应用系统/工业网络设备/工业安全设备
工控特色	IEC104 协议解析 + 白名单（传输原因长度/公共地址长度/信息体地址长度配置）；内置 VPN 支持远程安全接入
审计	全过程（登录→退出）审计；字符审计（命令输入+执行结果+执行时间+允许/拒绝）；图形审计（键盘/剪切板/文件传输记录回放，可从指定位置回放）；实时审计与阻断（高危操作即时切断会话）；日志外置备份（NFS/文件共享，远程对审计员透明）
高可用	集群部署（单节点故障不影响访问）；Active-Standby；双网卡冗余；分布式部署；应用/管理/审计/配置备份

三、参考功能：IT 侧成熟堡垒机的工控可借鉴项（L3，安联云 UAuditHost[3]）

• 双人授权（核心设备需管理员现场审批）、二次授权、动态授权、会话协同；
• 命令级控制：预置命令、自定义命令、正则/通配符匹配；动作含拒绝执行/允许/告警/动态授权/断开；
• 图形审计四类信息文本化（键盘鼠标、剪贴板、标题栏、界面文字模糊识别）+ 关键字定位回放；
• 登录侧：IP/MAC 黑白名单、访问时段、失败锁定、微信小程序令牌、SSH 公钥免密；
• 双机热备、日志自动备份远程 Syslog、报表模板（Word/Excel/PDF/HTML）。

四、工业现场远程维护体系（组合方案，L3[2]）

威努特给出的”可信访问 + 运维审计 + 边界限制 + 主机管控 + 流量监测”五段式远程维护体系（优于单一 VPN/堡垒机）：

1. 可信访问：办公网零信任网关，仅”特定人员 + 特定设备”可见；身份与终端安全合法性验证；登录后仅开放安全运维管理系统入口；数据加密传输；人员位置/IP/环境变化即断连；
2. 运维审计：管理员开临时账号 + 最小权限 + 高危命令控制告警；工程师不接触设备真实口令；临时账号运维后自动解除权限；录屏留证；越权可实时阻断；
3. 边界限制：工业防火墙限制管理端口（SSH 22/TELNET 23/RDP 3389/MySQL 3306）仅允许堡垒机地址访问，确保只有经堡垒机的运维动作可达；
4. 主机管控：工控主机卫士外设管控（阻断私接无线网卡）+ 网络白名单（仅放行必要业务与堡垒机策略）；
5. 流量监测：旁路镜像工控审计，识别”经堡垒机登录服务器后跳板非法登录其他主机/远程控制工具/弱口令”等离群行为。

五、合规落点

依据	要求	对应能力
工信部网安〔2024〕14 号第 14 条（1.4）	严格远程访问：禁止不必要 HTTP/FTP/Telnet/RDP；必要时安全接入代理 + 身份认证；远程维护用 IPsec/SSL VPN，严格限制范围与授权时间，日志留存审计	临时账号/限时授权/会话审计/实时阻断
工信部网安〔2024〕14 号第 26 条（1.4）	重要设备/平台/系统访问和操作日志留存 ≥ 6 个月，定期备份	审计日志外置备份、留存策略
网络安全法第 21 条 / 等保 2.0（1.1/2.2）	日志留存不少于六个月；运维审计（访问控制+安全审计）项	字符/图形审计、报表、留存
IEC 62443（2.1）	区域/管道访问管理、远程访问受控	授权粒度、通道管控

六、选型建议

防"厂商工程师/第三方运维"通道风险  → 工控堡垒机（SOMS 类）+ 临时账号 + 最小权限 + 录屏
防"运维通道被绕开"（跳板/私接网络）→ 3.7 堡垒机 + 3.1 工业防火墙端口限制 + 3.3 主机卫士外设/白名单
防"运维动作本身越界"（改参数/下装）→ 3.7 命令级控制/双人授权 + 3.2 协议级指令审计
防"事后无法定责"               → 字符+图形审计+告警日志外置备份（≥6个月）

七、来源引用

1. 威努特，安全运维管理系统 SOMS 产品页（4A 认证/从账号托管/单点登录/字符与图形审计/实时阻断/IEC104 白名单/高可用/单臂部署）— https://www.winicssec.com/product/l103.html （L3）
2. 威努特工控安全，直击痛点：威努特解决智能制造企业远程运维难题（五段式远程维护体系、临时账号/录屏/边界端口限制/主机管控/流量监测）— https://sechub.in/view/2953669 （L3）
3. 安联云，堡垒机 UAuditHost 功能文档（双人授权/命令级控制/图形四类审计/IP-MAC 黑白名单/双机热备）— https://docs.an-link.com/zh/docs/uhas/concepts/function （L3，IT 侧对照）
4. 威努特，日志审计与分析系统（6 个月日志留存、范式化与关联分析，衔接 4.4）— https://www.winicssec.com/product/l102.html （L3）
5. 合规条文：工信部网安〔2024〕14 号（本库 1.4）、网络安全法（本库 1.1）、GB/T 22239-2019（本库 2.2）