一場由特權(quán)賬號引發(fā)的企業(yè)安全危機(jī)正在進(jìn)行時(shí)……

某速遞有限公司內(nèi)部員工與外部不法分子勾結(jié)，利用員工賬號和第三方非法工具竊取運(yùn)單信息，導(dǎo)致40萬條個(gè)人信息泄露。

無獨(dú)有偶，某微信小程序頭部服務(wù)商因核心運(yùn)維人員利用特權(quán)賬號惡意破壞，慘遭“刪庫”，影響百萬小微商戶登錄。當(dāng)日晚間，官方發(fā)布賠付計(jì)劃，稱準(zhǔn)備了1.5億元人民幣賠付撥備金，其中公司承擔(dān)1億元，管理層承擔(dān)5000萬元。

……

類似以上因特權(quán)賬號濫用或監(jiān)管不力而引發(fā)的企業(yè)安全危機(jī)事件還有很多，甚至就在進(jìn)行。據(jù)Forrester Research顯示，80%以上網(wǎng)絡(luò)安全事件與特權(quán)賬號濫用有關(guān)；而2019 Microsoft Vulnerabilities Report爆出的189個(gè)重大微軟漏洞中，81%能夠通過刪除用戶本地管理權(quán)限而修繕。

面對這一系列因特權(quán)賬號引發(fā)的安全危機(jī)，企業(yè)亟需全面了解特權(quán)賬號可能存在哪些安全問題，從而更有針對性地快速、及時(shí)、高效應(yīng)對。

為此，派拉軟件在基于服務(wù)2000+客戶的成功實(shí)踐上，總結(jié)出了以下幾點(diǎn)有關(guān)特權(quán)賬號安全問題的經(jīng)驗(yàn)教訓(xùn)，供各大企業(yè)參考：

毋庸置疑，作為掌管著企業(yè)各大數(shù)據(jù)中心內(nèi)部分布在主機(jī)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫等各種資產(chǎn)上具有較高訪問權(quán)限的賬號，特權(quán)賬號是企業(yè)數(shù)據(jù)安全防護(hù)過程中最核心的一把鑰匙。

Gartner 分析師就曾表示，任何組織都需要解決特權(quán)賬號以及其他擁有高級權(quán)限賬號的安全問題。因?yàn)?strong style="margin: 0px; padding: 0px; outline: 0px; max-width: 100%; box-sizing: border-box; overflow-wrap: break-word !important;">這些賬號一直是攻擊者的首要目標(biāo)，利用這些賬號可以輕易獲取敏感信息和數(shù)據(jù)。

那么，針對上述派拉軟件在實(shí)戰(zhàn)中總結(jié)出的五大特權(quán)賬號安全問題，派拉軟件是如何在實(shí)際落地中幫助客戶成功解決的呢？

派拉軟件研發(fā)總監(jiān)茆正華表示，派拉軟件在身份與訪問控制管理的基礎(chǔ)上，拓展自研了特權(quán)賬號管理平臺（PAM）。眾所周知，PAM連續(xù)兩年位居Gartner的10大安全項(xiàng)目之首。

派拉軟件也早在多年前就意識到其重要性，并啟動PAM平臺的自主研發(fā)。通過“事前檢測、事中控制、事后審計(jì)”的平臺設(shè)計(jì)與管理思想，有效幫助企業(yè)解決上述特權(quán)賬戶管理的五大難題。

01 事前檢測

提供IT資產(chǎn)發(fā)現(xiàn)，IT資源、賬號、密碼、權(quán)限的自動檢測、梳理能力，定期自動改密能力等，幫助企業(yè)快速識別、梳理企業(yè)IT資產(chǎn)情況，及時(shí)清理弱密碼及風(fēng)險(xiǎn)賬號，實(shí)現(xiàn)資產(chǎn)在線全生命周期安全管理，涵蓋了數(shù)據(jù)庫、設(shè)備、賬號密碼等資產(chǎn)上線、維護(hù)、使用和下線等全過程，并可視化呈現(xiàn)，減輕管理員工作壓力，提升特權(quán)賬戶安全管理能力。

02 事中控制

在事中，派拉軟件針對安全風(fēng)險(xiǎn)點(diǎn)和合規(guī)要求，提供各種安全策略部署，如訪問控制策略、密碼策略、最小權(quán)限管理原則等，提供強(qiáng)認(rèn)證方式、憑證管理、按需授權(quán)、訪問控制管理等，并持續(xù)監(jiān)控，及時(shí)預(yù)警通知。

當(dāng)平臺發(fā)現(xiàn)風(fēng)險(xiǎn)賬號，可一鍵對其進(jìn)行停用或刪除，并檢查密碼，避免強(qiáng)度過低而被黑客暴力破解。如果企業(yè)存在緊急使用情況，也可通過該平臺快速設(shè)置訪問資源限制，如什么時(shí)間，通過什么設(shè)備訪問，訪問可以操作哪些命令，只能看不能導(dǎo)出文件等限制條件，并快速共享使用。

03 事后審計(jì)

在事后，派拉軟件特權(quán)賬戶管理平臺提供完整、開放、不可逆的審計(jì)能力，發(fā)掘數(shù)據(jù)二次價(jià)值。用戶所有操作可通過視頻審計(jì)、文件審計(jì)、字符審計(jì)、日志審計(jì)等多種審計(jì)模式全程記錄，便于事后追溯，還能同企業(yè)其他日志平臺、態(tài)勢感知等進(jìn)行集中化管理。

此外，通過對各種設(shè)備資產(chǎn)、后臺管理平臺實(shí)名制訪問管理，解決單一虛擬賬號無法對應(yīng)到實(shí)體自然人身份的問題，避免過去有審計(jì)追溯，卻無法精準(zhǔn)到人的定責(zé)情況發(fā)生。

最后，說到特權(quán)賬戶管理，很多企業(yè)都會提到堡壘機(jī)。的確，國內(nèi)市場最早對標(biāo)PAM工具的模型正是堡壘機(jī)，但其與派拉軟件特權(quán)賬戶管理平臺仍存在一定的差異，詳見下圖：