盡管很多組織都部署了 SIEM 和IDS 等安全基礎(chǔ)設(shè)施，但是特權(quán)訪問管理(PAM)依舊非常重要。PAM可以幫助組織充分利用其現(xiàn)有安全基礎(chǔ)設(shè)施，對于關(guān)鍵系統(tǒng)和數(shù)據(jù)的保護(hù)至關(guān)重要。

特權(quán)訪問可以創(chuàng)建、修改和刪除IT基礎(chǔ)設(shè)施，以及該基礎(chǔ)設(shè)施中所承載的數(shù)據(jù)，可能帶來災(zāi)難性風(fēng)險。因此，管理特權(quán)訪問是每個組織的關(guān)鍵安全功能。

正是因為PAM的重要性，PAM市場的發(fā)展勢頭強(qiáng)勁。根據(jù)Research Nester的數(shù)據(jù)，2024年P(guān)AM市場價值為34.9億美元，預(yù)計到2037年將增長到429.6億美元。

部署 PAM 解決方案是只是做好特權(quán)訪問管理的第一步，如果不遵循一些特權(quán)訪問管理最佳實踐，組織仍可能容易受到攻擊。

安全牛列舉了10個特權(quán)訪問管理最佳實踐。這些實踐可以幫助組織管理和保護(hù)對組織資源的特權(quán)訪問，增強(qiáng)網(wǎng)絡(luò)安全防御。

1.清點特權(quán)賬戶

維護(hù)一個全面且最新的特權(quán)賬戶清單可以降低安全漏洞的風(fēng)險。

如果不了解網(wǎng)絡(luò)內(nèi)特權(quán)賬戶的數(shù)量和位置，會留下后門，內(nèi)部人員或外部行為者可能利用這些后門繞過安全控制。有效的特權(quán)訪問管理需要了解組織IT環(huán)境中所有具有提升訪問權(quán)限的賬戶。

定期發(fā)現(xiàn)和接入特權(quán)賬戶，有利于提高對這些賬戶可能帶來的潛在安全風(fēng)險的可見性和控制。對所有特權(quán)賬戶及其權(quán)限進(jìn)行編目和映射，包括它們在哪些資源中，誰使用它們以及如何使用。

2.選擇正確的訪問控制模型

在建立組織的訪問控制時，要了解模型的優(yōu)勢和局限性，并檢查它是否符合所在組織的規(guī)模、結(jié)構(gòu)和網(wǎng)絡(luò)安全需求。

如強(qiáng)制訪問控制(MAC)和自主訪問控制(DAC)：MAC涉及基于數(shù)據(jù)機(jī)密性和用戶許可級別由軟件系統(tǒng)提供訪問；而在DAC中，用戶或組的訪問權(quán)限由數(shù)據(jù)所有者定義。

此外，還可以考慮采用基于角色的訪問控制(RBAC)，它涉及將相關(guān)權(quán)限分配給用戶角色；或基于屬性的訪問控制(ABAC)，它基于用戶和資源屬性控制訪問。

3.強(qiáng)化密碼管理

密碼使用嚴(yán)格的密碼政策可以幫助組織最小化特權(quán)賬戶被濫用或泄露的風(fēng)險。制定密碼政策時，應(yīng)要求用戶使用復(fù)雜密碼，包括字母、數(shù)字和特殊字符的混合。禁止使用默認(rèn)、常見和容易猜測的密碼。要求員工定期更新密碼并禁止重復(fù)使用密碼。密碼管理解決方案可以幫助組織控制企業(yè)賬戶密碼，確保一致的政策執(zhí)行和增強(qiáng)的安全性。

使用多因素認(rèn)證(MFA)增加了額外的安全層，以保護(hù)組織的敏感數(shù)據(jù)和關(guān)鍵系統(tǒng)。MFA要求用戶在獲得資源訪問權(quán)限之前提供多個認(rèn)證因素來驗證其身份。即使密碼被盜或泄露，攻擊者也無法在沒有額外認(rèn)證因素的情況下訪問賬戶。

為每個用戶強(qiáng)制實施MFA可以幫助組織實施零信任原則。這是基于"永不信任，始終驗證"的原則，是增強(qiáng)網(wǎng)絡(luò)安全最有效的方法之一。

4.授予盡可能低的權(quán)限

最小權(quán)限原則斷言，組織應(yīng)該只授予用戶執(zhí)行其特定職責(zé)所需的最小訪問權(quán)限。在整個組織中最小化用戶權(quán)限可以減少攻擊面并降低整體網(wǎng)絡(luò)安全風(fēng)險。

由于用戶只能訪問其工作所必需的資源，與權(quán)限濫用相關(guān)的風(fēng)險就會減少。這有助于限制來自組織內(nèi)外的攻擊。

5.提供臨時特權(quán)訪問機(jī)制

根據(jù)即時特權(quán)訪問管理(JIT PAM)方法，特權(quán)用戶應(yīng)該有正當(dāng)理由訪問敏感資源，并且訪問時間應(yīng)該有限。這確保用戶有足夠的時間使用資源，而不獲得永久訪問權(quán)。

JIT PAM可以確保組織內(nèi)沒有長期特權(quán)。制定描述哪些用戶可以在什么條件下訪問特定資源的政策，并建立請求、提供和撤銷對這些資源的訪問機(jī)制。

6.定期審查特權(quán)訪問權(quán)限

隨著員工角色或職責(zé)的變化，他們的訪問權(quán)限也需要修改。在員工離職后立即撤銷其訪問權(quán)限。通過移除不必要的訪問權(quán)限，組織可以最小化用戶賬戶被泄露時的潛在損害。

定期審查特權(quán)訪問權(quán)限，確保用戶只保留執(zhí)行當(dāng)前工作職能所需的權(quán)限，有助于降低權(quán)限蔓延的風(fēng)險，即用戶隨著時間積累不必要的訪問權(quán)限，從而在組織中創(chuàng)造潛在的安全漏洞。

7.保護(hù)共享賬戶

許多組織使用共享賬戶和密碼來簡化系統(tǒng)訪問管理。共享賬戶是多個個人使用相同登錄憑證訪問系統(tǒng)和資源的賬戶。它們?nèi)狈栘?zé)制，因為很難將操作追溯到共享賬戶的特定用戶。

通過密碼管理器集中使用共享賬戶，提供簽入和簽出密碼的能力，可以保護(hù)共享特權(quán)賬戶并確保個人問責(zé)制。記錄共享特權(quán)賬戶中的用戶活動也至關(guān)重要。

8.監(jiān)控特權(quán)用戶活動

監(jiān)督特權(quán)用戶活動對網(wǎng)絡(luò)安全和合規(guī)性都至關(guān)重要。持續(xù)監(jiān)控和記錄特權(quán)用戶的活動使組織能夠識別潛在威脅，并在它們損害組織之前阻止它們。

實時或通過錄制查看或觀察特權(quán)用戶會話，可以幫助組織了解員工和供應(yīng)商是否負(fù)責(zé)任地處理敏感數(shù)據(jù)，并遵循信息安全政策。

在安全漏洞事件中，特權(quán)會話錄制可幫助數(shù)字取證團(tuán)隊確定事件的根本原因，并確定可以改進(jìn)哪些網(wǎng)絡(luò)安全措施來防止類似情況再次發(fā)生。

9.采用自動化和自助服務(wù)

權(quán)限控制可能導(dǎo)致用戶無法訪問完成項目所需的數(shù)據(jù)，這時就需要利用自助式自動權(quán)限平臺，從而讓用戶輕松請求并獲得對所需資源的訪問權(quán)限。管理員可以授予無限訪問權(quán)限或為特定時間段授予一次性權(quán)限。這有助于在加強(qiáng)訪問控制的同時保持憑證簡化。

10.加強(qiáng)員工培訓(xùn)

每次制定新的網(wǎng)絡(luò)安全政策時，確保明確向員工宣布并解釋其重要性。信息充分的員工更有可能遵守信息安全協(xié)議，避免可能危及組織安全的風(fēng)險行為。

定期進(jìn)行網(wǎng)絡(luò)安全意識培訓(xùn)，確保員工了解攻擊者可能對組織使用的最新策略。這種培訓(xùn)可以幫助員工識別并及時檢測攻擊，有助于減輕安全威脅。