上海互普鑫渠安全科技有限公司

01 产品背景Product background

02 产品介绍Product introduction03 成功案例Successful case

04 豌豆介绍introduce

P R O D U C T B A C K G R O U N D 1/401

01 数字化转型使得数字资产更加重要数字化转型

业务运营 数据运营云大物移智 新业务增长新冠疫情业务相关的数据、应用、账号成为新的企业资产业务应用

外部 互联网服务Web/APP

内部 OA、EMail、ERP

基础 OS、Web栈、中间件

特权账号数据 管理员、高级/普通用户应用 管理员、高级用户基础 管理员

国内外环境

业务数据

DB Oracle、MSSQL

noSQL MongoDB、Membase

大数据 Hadoop、Spark

01 特权账号管理中的难点

• 无法实现生命周期管理；• 改密靠制度约束；靠人工进行操作。• 设备和系统数量多、分布散；

• 账号类型多；

• 台账不清。账 号梳理难 风险识 别难 账号维护难• 缺乏技术手段，无法识别幽

灵账号、僵尸账号、共享账

户、弱密码、长期不改密。

01 特权账号的安全风险

针对特权账号的攻击成本低破坏性强攻防演练中特权账号已成最大弱点特权账号作为访问资产、数据资源、配置策略、最直接的入口，与其穿透层层内网防护设施窃取数据，不如利用特权账号管控手段的缺失，盗取高权限账号，攻击成本非常低且有效特权账号是攻击者瞄准的重点攻击目标。攻击者窃取特权账号后进行内网横向移动，最终达到获取组织管理权限或破坏/窃取组织数据的目的。实战中通过弱口令获得权限的情况占比高达70%以上。

特权账号安全成为数据泄漏的首要原因

据IBM Security发布的《2022年数据泄漏成本

报告》指出，使用被盗或被破坏的凭证仍然是导

致数据泄露的最常见原因。

IBM Security 《Cost of a Data Breach Report

2022》

01 特权账号管控不利导致的安全事件2022.62017.6 2020.2 2022.4

2020.1 2022.3

安全

事件

京东内部员工窃取

50亿条数据

雅诗兰黛一套未受

保护的数据库将4.4

亿条内部记录意外

暴露在互联网上

英伟达内部敏感数

据失窃，入侵者通

过员工登陆信息实

施内网攻击

万豪国际集团被黑客窃取20G敏感数据，攻击者通过控制员工电脑实施微盟删库，损失1.5

亿，市值损失20+

亿

美国支付应用Block八百万用户数据遭前员工窃取

01 账号合规的要求

01 《信息安全技术网络安全等级保护基本要求》

第一到第四级“安全通用要求”中的“安全计算环

境”部分都有对身份鉴别、访问控制的要求。

身份鉴别

应对登录的用户进行身份标识和鉴别，身份标识具有

唯一性，身份鉴别信息具有复杂度要求并定期更换。访问控制

v 应对登录的用户分配账号和权限；

v 应重命名或删除默认账号，修改默认账号的默认

口令；

v 应及时删除或停用多余的、过期的账号，避免共

享账号的存在。

02 《网络安全法》第二十一条国家实行网络安全等级保护制度：网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务……03 《数据安全法》第二十七条……应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。

04 《关键信息基础设施安全保护条例》第六条……在网络安全等级保护的基础上，采取技术保护措施和其他必要措施，应对网络安全事件……

P R O D U C T I N T R O D U C T I O N 2/402

02 特权账号范围规划

示例：特权账号范围矩阵

02 互普豌豆 xPAM特权账号管理系统概述账号巡检识别

访问控制 操作审计

认证授权以集中管理为前提，以资产账号密码管理为核心

保障资产账号安全 保障操作安全 满足合规要求

自动改密存储

账号自动发现

互普豌豆 xPAM

02 xPAM产品具体功能

密码管理

账号管理

访问控制

操作审计

用户管理• 用户账号全生命周期管理• 支持MFA，支持第三方应用的认证• 可设置临时账号• 可设置用户组资产对接

• 支持对接网络设备、安全设备、服务

器、数据库、物联网设备（摄像头、

ETC门架）

• RPA机器人流程技术实现对大规模资

产的快速对接

02 xPAM产品具体功能

资产对接

用户管理

访问控制

操作审计

• 账号生命周期管理

• 资产账号的添加和删除

• 自动发现、自动巡检、自动改密

• 密码代填

账号管理 密码管理• 密码策略，执行周期和密码规则可灵活设置• 改密执行结果统计和查询• 密码保险箱

02 xPAM产品具体功能

资产对接

用户管理

密码管理

账号管理

访问控制 操作审计• 操作会话的记录、回放和查询• 操作记录的统计分析，并导出报表• 细粒度的访问控制

• 高危命令的申请和审批

• 高危操作告警和阻断

02 密码管理：改密策略

时间策略

可根据天、周、月灵活设置改密周期，密码规则

密码长度

密码安全

密码字符集

密码兼容性

02 密码保险箱：密码加密存储密码文件采用多层加密技术确保密

码不可被篡改或泄漏

安全加固

密码保险箱与业务服务器分开

部署

独立服务器

微服务架构，支持分布式高可用

部署

HA高可用

支持SM2/SM3/SM4算法国密算法支持对接加密机或加密KEY支持硬件加密

02 资产对接

已完成包括国产数据库、国产操作系统、信创产品在内的上百种资产的对接操作系统

数据库 信创产品

物联网设备

网络设备

摄像头 安全设备

ETC门架

字符型远程操作协议：SSH/TELNET

图形化远程操作协议：RDP/VNC/X11

文件传输协议：FTP/SFTP

关系数据库协议：MySQL/Oracle/PostgreSQL/SQLServer/等

NoSQL数据库协议：Redis/MongoDB/ClickHouse/

Cassandra/Memcached

B/S应用协议：HTTP/HTTPS

说明：数据库只适用于非实时交易类的应用，并且需要进行对接的定制开发来实现

02 xPAM部署拓扑架构

资产物理环境 虚拟环境云环境xPAM

主节点

密码保险箱 改密引擎

业务服务

xPAM

备节点

业务服务

密码保险箱 改密引擎

会话连接

改密连接

内部通信

物联网设备 业务系统网络设备 操作系统数据库中间件

02 xPAM产品形态

大型企业Lite版本

针对最基本的操作系统

（ linux、Windows ）账

号进行管控

小微企业 中小型企业

软硬件一体机版本

部署、使用和运维方便

对接资产在500个以内

纯软件版本对接资产种类和数量多扩容灵活

02 客户收益

实现安全操作

登录操作全流程管理，以集中管控为前提，

包含身份认证，授权管理，账号管理

访问控制和操作审计，从事前、事中和事

后三个阶段保障了操作的安全

降低运维成本

自动化的密码管理机制大大降低了靠制度

改密的不确定性和运维成本

保障账号安全建立特权账号管理的技术机制，实现账号生命周期管理，消除弱口令和长期不改密现象，保证账号的安全满足合规要求满足等保2.0中关于身份鉴别和访问控制的要求

02 xPAM相关资质

销售许可证

安全测试证书

信创产品评估

证书

软件产品登记测试报告统信软件产品互认证明

02 互普豌豆 xPAM兼容国产信创生态环境国产操作系统

UOS统信操作系统

中标麒麟操作系统

银河麒麟操作系统

国产中间件

UOS统信操作系统+东方通

中标麒麟操作系统+东方通

银河麒麟操作系统+东方通

国产数据库达梦数据库人大金仓数据库适配的处理器：互普豌豆 xPAM适配龙芯、申威、海光、鲲鹏、飞腾等主流CPU；

S u c c e s s f u l c a s e 3/403

03 政务数据安全案例-市大数据中心政务云市电子政务云数据安全管理案例当前通过集约化部署方式输出数据安全管理能力，覆盖市政务云电信、移动、联通三侧平台，共六个区域（互联网区、政务外网区）的用户系统内主机。XC化部署，10套DM数据库，60多个特权账户已经投入使用。

03 某省高速公路ETC门架运营方资产账号集中管控IT资产包括网络设备、安全设备、ETC门架、监控摄像头、牌识

摄像头约17500台；IT资产独立管理；账号密码是传统的操作

方式。

1. 实现对IT资产的集中管理；

2. 实现对资产账号的集中管理，实现定期改密，密码代填；

3. 满足等保2.0标准中关于身份鉴别、访问控制、操作审计的要求；

4. 满足交通运输部相关规范中网络安全基本技术要求。

1. 省运维中心集群方式部署xPAM系统，通过RPA工具实现对业

务网、监控网中网络设备、安全设备、ETC门架、监控摄像头

和牌识摄像头的对接；

2. 实现资产账号自动发现、自动巡检、自动改密；

3. xPAM身份认证、授权管理、访问控制、操作审计功能满足等

保和行业规范要求

xPAM客户端 xPAM集

群

运维中心服务器 网路设备安全设备RSU控制器

站级交换机

存储服务器

门架服务器

门架交换机 门架交换机

工控机 工控机

RSU控制器

牌识摄像头 天线交换机 牌识摄像头 天线交换机

站点业务网

RSU控制器

站级交换机

存储服务器

门架服务器

门架交换机 门架交换机

工控机 工控机

RSU控制器牌识摄像头 天线交换机 牌识摄像头 天线交换机

站点业务网背 景

需 求

方 案

03 上海教育行业案例

1. 上海教委下属事业单位，负责教委直属单位IT资产管理；

2. IT资产独立管理，账号密码的管理靠制度进行约束；

3. 运维人员少，信息资产多；经常有第三方人员需要登录资产。

1. 实现对IT资产的集中管理，提高工作效率

2. 实现对资产账号的集中管理，实现定期改密，密码代填；

3. 定期对IT资产的账号进行梳理，识别并提醒风险账号；

4. 对第三方服务人员账号进行操作时间的限制。

1. 集群方式部署xPAM系统，对接服务器、安全设备、数据库、

网络设备，实现对IT资产的集中管理，通过密码代填方式一键

登录资产；

2. 实现IT资产账号的自动发现、自动巡检、自动改密；

3. xPAM临时账号功能，满足对第三方人员账号的管控。

xPAM集群运维/管理人员

服务器

安全设备 数据库网络设备背 景

需 求

方 案

i n t r o d u c e 4/404

04 专注于数字身份安全解决方案以数字身份安全为核心的SecMind系列产品服务体系，保障客户业务和数据安全2014年成立，上海总部、贵州分公司，业务范围覆盖长三角、西南等区域xPAM

特权账号

管理

xTOP

安全运营服务

xMesh远程访问安全15年+攻防实战经验，300+政企、教育、交通等客户，10万+Web年度安全检测能力

04 豌豆信息团队介绍

宋国徽，创始人&CEO，中国致公党，上海市五一劳动奖章、智慧工匠、首席技师，上海市委党校第21期高技能人才研修班，先后就职于携程网、张江集团及国家信息安全成果产业化(东部)基地，擅长情报学、大型软件安全体系建设、漏洞挖掘、逆向工程、恶意代码分析、安全咨询和规划、产业研究分析。

【社会职务】

国际软件安全组织OWASP上海区主席（中国区董事会成员）

上海市工商联信息技术商会 副会长

上海市信息安全行业协会 职业能力教育专委会 副主任

上海市信息安全高技能人才培养基地 技术专委会秘书长

FSI&ISF会议联合创始人

中国鹰派IDF实验室联合创始人

COO CTO 技术VPPro-IPO公司联合创始人，20年以上企业

经营管理经验。在公司运营、融资、全国

市场开拓、政府关系、团队建设等方面拥

有丰富的实践经验。

相关部门服务近十年，国内知名安全厂商

区域大售前，15年以上攻防实战经验，

在操作系统底层和网络协议分析等方面具

备深厚的产品研发能力。

连续创业者，15年以上安全集成和顾问咨询经验，丰富的大型企业安全规划设计经验，先后为国内外大型数据中心提供安全解决方案。

04 荣誉&资质

浦东机场特权账号管理项目2022年智慧长三角数字化转型优秀案例2022年上海市重点行业网络安全“揭榜

挂帅”解决方案第一名

2020年工信部网络安全技术应用试点示范项目2022年上海市总工会网络与信息安全技

能大赛裁判长单位

2021年上海市重点行业网络安全“揭榜

挂帅”解决方案第一名

上海市“专精特新”企业 上海市高新技术企业 上海市科技型中小企业2022年上海市网络安全产业创新攻关

成果目录

上海市网络与信息安全优秀服务案例上海市通信管理局

网络安全支撑单位（二级）

上海市网络与信息安全

优秀服务推荐单位

上海市经信委网络安全技术支撑单位ISCCC安全服务资质

风险评估、安全运维、应急响应

国家网络安全周支撑单位

上海网络安全周支撑单位

上海市经信委总工会智慧工匠工作室上海市信息安全行业协会

理事单位

上海市工商联信息技术分会

副会长单位

ISO9000、ISO27001 信创产品评估证书 ISO20000、ITSS长三角职业教育产科教创新联盟理事单位知识产权管理体系认证 腾讯安全战略合作伙伴

04 典型客户

上海市人民政府 上海市大数据中心 浦东大数据中心 公安部三所公安部一所上海市通管局 上海市教委 上海市国资委 上海市纪委上海市委组织部上海市环保局 仪电集团 上港集团 上海电信振华重工上海燃气集团 上海城建集团 浦东机场

战略支援部队信息工程大学中科院信息工程研究所贵州高速

ETC发行管理公司

贵州高速

ETC门架运营公司

贵州高速

路段收费中心

贵州高速联网收费中心云南广电携程旅行网 叮咚买菜 享道出行 得物APP 腾讯上海市电教馆 长宁区教育局 徐汇区教育局 华东师范大学复旦大学

上海互普网络科技有限公司（总部）

地址：上海市浦东新区周康路 28 号 (万达国际

商务中心F栋) 26 楼 2610-2616 室

电话：021-51028848

销售热线：15900681271 刘经理

网站：www.hupu.net

江苏互普科技有限公司

地址：江苏省苏州市姑苏区苏站路1588号世界

贸易中心B座1511室

电话：021-51028848

销售热线：15900681270 汤经理

网站：www.hupu.net

浙江互普科技有限公司地址：杭州市滨江区伟业路298号先锋科技大厦第6层609室电话：021-51028848

销售热线：15021214061杜经理网站：www.hupu.net

互普公众号

感谢您的信任和支持！