一場由特權(quán)賬號引發(fā)的企業(yè)安全危機正在進行時……

某速遞有限公司內(nèi)部員工與外部不法分子勾結(jié)，利用員工賬號和第三方非法工具竊取運單信息，導(dǎo)致40萬條個人信息泄露。

無獨有偶，某微信小程序頭部服務(wù)商因核心運維人員利用特權(quán)賬號惡意破壞，慘遭“刪庫”，影響百萬小微商戶登錄。當(dāng)日晚間，官方發(fā)布賠付計劃，稱準備了1.5億元人民幣賠付撥備金，其中公司承擔(dān)1億元，管理層承擔(dān)5000萬元。

……

類似以上因特權(quán)賬號濫用或監(jiān)管不力而引發(fā)的企業(yè)安全危機事件還有很多，甚至就在進行。據(jù)Forrester Research顯示，80%以上網(wǎng)絡(luò)安全事件與特權(quán)賬號濫用有關(guān)；而2019 Microsoft Vulnerabilities Report爆出的189個重大微軟漏洞中，81%能夠通過刪除用戶本地管理權(quán)限而修繕。

面對這一系列因特權(quán)賬號引發(fā)的安全危機，企業(yè)亟需全面了解特權(quán)賬號可能存在哪些安全問題，從而更有針對性地快速、及時、高效應(yīng)對。

為此，派拉軟件在基于服務(wù)2000+客戶的成功實踐上，總結(jié)出了以下幾點有關(guān)特權(quán)賬號安全問題的經(jīng)驗教訓(xùn)，供各大企業(yè)參考：

毋庸置疑，作為掌管著企業(yè)各大數(shù)據(jù)中心內(nèi)部分布在主機、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫等各種資產(chǎn)上具有較高訪問權(quán)限的賬號，特權(quán)賬號是企業(yè)數(shù)據(jù)安全防護過程中最核心的一把鑰匙。

Gartner 分析師就曾表示，任何組織都需要解決特權(quán)賬號以及其他擁有高級權(quán)限賬號的安全問題。因為這些賬號一直是攻擊者的首要目標，利用這些賬號可以輕易獲取敏感信息和數(shù)據(jù)。

那么，針對上述派拉軟件在實戰(zhàn)中總結(jié)出的五大特權(quán)賬號安全問題，派拉軟件是如何在實際落地中幫助客戶成功解決的呢？

派拉軟件研發(fā)總監(jiān)茆正華表示，派拉軟件在身份與訪問控制管理的基礎(chǔ)上，拓展自研了特權(quán)賬號管理平臺（PAM）。眾所周知，PAM連續(xù)兩年位居Gartner的10大安全項目之首。

派拉軟件也早在多年前就意識到其重要性，并啟動PAM平臺的自主研發(fā)。通過“事前檢測、事中控制、事后審計”的平臺設(shè)計與管理思想，有效幫助企業(yè)解決上述特權(quán)賬戶管理的五大難題。

01 事前檢測

提供IT資產(chǎn)發(fā)現(xiàn)，IT資源、賬號、密碼、權(quán)限的自動檢測、梳理能力，定期自動改密能力等，幫助企業(yè)快速識別、梳理企業(yè)IT資產(chǎn)情況，及時清理弱密碼及風(fēng)險賬號，實現(xiàn)資產(chǎn)在線全生命周期安全管理，涵蓋了數(shù)據(jù)庫、設(shè)備、賬號密碼等資產(chǎn)上線、維護、使用和下線等全過程，并可視化呈現(xiàn)，減輕管理員工作壓力，提升特權(quán)賬戶安全管理能力。

02 事中控制

在事中，派拉軟件針對安全風(fēng)險點和合規(guī)要求，提供各種安全策略部署，如訪問控制策略、密碼策略、最小權(quán)限管理原則等，提供強認證方式、憑證管理、按需授權(quán)、訪問控制管理等，并持續(xù)監(jiān)控，及時預(yù)警通知。

當(dāng)平臺發(fā)現(xiàn)風(fēng)險賬號，可一鍵對其進行停用或刪除，并檢查密碼，避免強度過低而被黑客暴力破解。如果企業(yè)存在緊急使用情況，也可通過該平臺快速設(shè)置訪問資源限制，如什么時間，通過什么設(shè)備訪問，訪問可以操作哪些命令，只能看不能導(dǎo)出文件等限制條件，并快速共享使用。

03 事后審計

在事后，派拉軟件特權(quán)賬戶管理平臺提供完整、開放、不可逆的審計能力，發(fā)掘數(shù)據(jù)二次價值。用戶所有操作可通過視頻審計、文件審計、字符審計、日志審計等多種審計模式全程記錄，便于事后追溯，還能同企業(yè)其他日志平臺、態(tài)勢感知等進行集中化管理。

此外，通過對各種設(shè)備資產(chǎn)、后臺管理平臺實名制訪問管理，解決單一虛擬賬號無法對應(yīng)到實體自然人身份的問題，避免過去有審計追溯，卻無法精準到人的定責(zé)情況發(fā)生。

最后，說到特權(quán)賬戶管理，很多企業(yè)都會提到堡壘機。的確，國內(nèi)市場最早對標PAM工具的模型正是堡壘機，但其與派拉軟件特權(quán)賬戶管理平臺仍存在一定的差異，詳見下圖：