特權(quán)賬戶管理:網(wǎng)絡(luò)安全的小秘密
最嚴(yán)重的事件,無(wú)可避免地源于特權(quán)憑證(通常是那些用于管理的登錄憑證)落入壞人之手。任何思維正常的人,都不會(huì)將通往自己領(lǐng)地的鑰匙交到壞人手上。但這些壞人非常卑鄙。他們會(huì)通過(guò)社會(huì)工程、網(wǎng)絡(luò)釣魚(yú)或暴力破解,來(lái)染指相對(duì)無(wú)害的用戶憑證,然后用提權(quán)技術(shù)和橫向移動(dòng)來(lái)獲取超級(jí)用戶權(quán)限,之后會(huì)發(fā)什么,就難說(shuō)了。
身份及訪問(wèn)管理(IAM)的基石之一,是特權(quán)賬戶管理(PAM)。IAM考慮的是確保正確的人能有恰當(dāng)?shù)臋?quán)限,在正確的時(shí)間,以恰當(dāng)?shù)姆绞剑L問(wèn)該訪問(wèn)的系統(tǒng),且所有牽涉其中的人都認(rèn)為該訪問(wèn)是正確的。PAM則是將這些原則和操作,簡(jiǎn)單應(yīng)用到“超級(jí)用戶”賬戶和管理憑證上。此類憑證的例子包括:Unix和Linux系統(tǒng)的root賬戶、活動(dòng)目錄(AD)的Admin賬戶、業(yè)務(wù)關(guān)鍵數(shù)據(jù)庫(kù)的DBA賬戶,以及IT運(yùn)營(yíng)所需的大量服務(wù)賬戶。
普遍認(rèn)為,PAM可能是減小數(shù)據(jù)泄露風(fēng)險(xiǎn)和最小化數(shù)據(jù)泄露影響的頂級(jí)操作。PAM的主要原則有:杜絕特權(quán)憑證共享、為特權(quán)使用賦以個(gè)人責(zé)任、為日常管理實(shí)現(xiàn)最小權(quán)限訪問(wèn)模型、對(duì)這些憑證執(zhí)行的活動(dòng)實(shí)現(xiàn)審計(jì)功能。但不幸的是,現(xiàn)在明顯大多數(shù)企業(yè)的PAM項(xiàng)目并沒(méi)有跟上不斷發(fā)展的威脅。
One Identity 最近對(duì)900多位IT安全人士做了調(diào)查,發(fā)現(xiàn)了關(guān)于該重要防護(hù)操作的一些令人警醒的數(shù)據(jù)。太多公司使用的是很原始的工具和實(shí)踐來(lái)保護(hù)并管理特權(quán)賬戶和管理員訪問(wèn),尤其是:
- 18%的受訪者承認(rèn)使用紙質(zhì)日志來(lái)管理特權(quán)憑證
- 36%用電子表格進(jìn)行管理
- 67%依賴2種或2種以上的工具(包括紙質(zhì)和電子表格)來(lái)支持他們的PAM項(xiàng)目
盡管很多公司正在嘗試管理特權(quán)賬戶(該嘗試用的只是相當(dāng)有限的工具),真正監(jiān)視這些“超級(jí)用戶”權(quán)限所執(zhí)行活動(dòng)的,卻相對(duì)較少:
- 57%的受訪者承認(rèn)僅監(jiān)視了部分或根本沒(méi)有監(jiān)視其特權(quán)賬戶;
- 21%承認(rèn)自身并沒(méi)有監(jiān)視特權(quán)賬戶行為的能力;
- 31%報(bào)告稱發(fā)現(xiàn)不了以管理憑證執(zhí)行活動(dòng)的個(gè)人,換句話說(shuō),近1/3的人實(shí)現(xiàn)不了強(qiáng)制性的個(gè)人責(zé)任,而這對(duì)防護(hù)和風(fēng)險(xiǎn)緩解又是如此重要。
如果這些數(shù)據(jù)還不夠嚇人,還有數(shù)據(jù)表明太多太多組織(商業(yè)、政府和全球各類組織),甚至連最基本的常識(shí)性操作都沒(méi)能做到:
- 88%的人承認(rèn)在管理特權(quán)口令上有困難;
- 86%的人在管理員口令用過(guò)后都不修改——為前文提及的提權(quán)和橫向移動(dòng)行為大開(kāi)方便之門;
- 40%直接留用系統(tǒng)、服務(wù)器和基礎(chǔ)設(shè)施的默認(rèn)管理員口令,徹底消除了壞人費(fèi)勁獲取權(quán)限的必要。
很多簡(jiǎn)單的常識(shí)性操作,比如管理員口令每次用過(guò)后都做修改、不留下默認(rèn)口令等,就可以解決很多問(wèn)題。不過(guò),對(duì)技術(shù)和實(shí)踐進(jìn)行升級(jí),以清除人為錯(cuò)誤或因密碼管理實(shí)踐繁瑣而產(chǎn)生的懈怠,也可以添加一層保障和個(gè)人責(zé)任。
最后,將PAM項(xiàng)目延展至包含所有漏洞——不僅僅是那些很容易被補(bǔ)上的,可帶來(lái)安全的指數(shù)級(jí)提升。

責(zé)任編輯:售電衡衡
- 相關(guān)閱讀
- 碳交易
- 節(jié)能環(huán)保
- 電力法律
- 電力金融
- 綠色電力證書(shū)
-
碳中和戰(zhàn)略|趙英民副部長(zhǎng)致辭全文
2020-10-19碳中和,碳排放,趙英民 -
兩部門:推廣不停電作業(yè)技術(shù) 減少停電時(shí)間和停電次數(shù)
2020-09-28獲得電力,供電可靠性,供電企業(yè) -
國(guó)家發(fā)改委、國(guó)家能源局:推廣不停電作業(yè)技術(shù) 減少停電時(shí)間和停電次數(shù)
2020-09-28獲得電力,供電可靠性,供電企業(yè)
-
碳中和戰(zhàn)略|趙英民副部長(zhǎng)致辭全文
2020-10-19碳中和,碳排放,趙英民 -
深度報(bào)告 | 基于分類監(jiān)管與當(dāng)量協(xié)同的碳市場(chǎng)框架設(shè)計(jì)方案
2020-07-21碳市場(chǎng),碳排放,碳交易 -
碳市場(chǎng)讓重慶能源轉(zhuǎn)型與經(jīng)濟(jì)發(fā)展并進(jìn)
2020-07-21碳市場(chǎng),碳排放,重慶
-
兩部門:推廣不停電作業(yè)技術(shù) 減少停電時(shí)間和停電次數(shù)
2020-09-28獲得電力,供電可靠性,供電企業(yè) -
國(guó)家發(fā)改委、國(guó)家能源局:推廣不停電作業(yè)技術(shù) 減少停電時(shí)間和停電次數(shù)
2020-09-28獲得電力,供電可靠性,供電企業(yè) -
2020年二季度福建省統(tǒng)調(diào)燃煤電廠節(jié)能減排信息披露
2020-07-21火電環(huán)保,燃煤電廠,超低排放
-
四川“專線供電”身陷違法困境
2019-12-16專線供電 -
我國(guó)能源替代規(guī)范法律問(wèn)題研究(上)
2019-10-31能源替代規(guī)范法律 -
區(qū)域鏈結(jié)構(gòu)對(duì)于數(shù)據(jù)中心有什么影響?這個(gè)影響是好是壞呢!