一場由特權賬號引發(fā)的企業(yè)安全危機正在進行時……

某速遞有限公司內部員工與外部不法分子勾結，利用員工賬號和第三方非法工具竊取運單信息，導致40萬條個人信息泄露。

無獨有偶，某微信小程序頭部服務商因核心運維人員利用特權賬號惡意破壞，慘遭“刪庫”，影響百萬小微商戶登錄。當日晚間，官方發(fā)布賠付計劃，稱準備了1.5億元人民幣賠付撥備金，其中公司承擔1億元，管理層承擔5000萬元。

……

類似以上因特權賬號濫用或監(jiān)管不力而引發(fā)的企業(yè)安全危機事件還有很多，甚至就在進行。據(jù)Forrester Research顯示，80%以上網絡安全事件與特權賬號濫用有關；而2019 Microsoft Vulnerabilities Report爆出的189個重大微軟漏洞中，81%能夠通過刪除用戶本地管理權限而修繕。

面對這一系列因特權賬號引發(fā)的安全危機，企業(yè)亟需全面了解特權賬號可能存在哪些安全問題，從而更有針對性地快速、及時、高效應對。

為此，派拉軟件在基于服務2000+客戶的成功實踐上，總結出了以下幾點有關特權賬號安全問題的經驗教訓，供各大企業(yè)參考：

毋庸置疑，作為掌管著企業(yè)各大數(shù)據(jù)中心內部分布在主機、網絡設備、數(shù)據(jù)庫等各種資產上具有較高訪問權限的賬號，特權賬號是企業(yè)數(shù)據(jù)安全防護過程中最核心的一把鑰匙。

Gartner 分析師就曾表示，任何組織都需要解決特權賬號以及其他擁有高級權限賬號的安全問題。因為這些賬號一直是攻擊者的首要目標，利用這些賬號可以輕易獲取敏感信息和數(shù)據(jù)。

那么，針對上述派拉軟件在實戰(zhàn)中總結出的五大特權賬號安全問題，派拉軟件是如何在實際落地中幫助客戶成功解決的呢？

派拉軟件研發(fā)總監(jiān)茆正華表示，派拉軟件在身份與訪問控制管理的基礎上，拓展自研了特權賬號管理平臺（PAM）。眾所周知，PAM連續(xù)兩年位居Gartner的10大安全項目之首。

派拉軟件也早在多年前就意識到其重要性，并啟動PAM平臺的自主研發(fā)。通過“事前檢測、事中控制、事后審計”的平臺設計與管理思想，有效幫助企業(yè)解決上述特權賬戶管理的五大難題。

01 事前檢測

提供IT資產發(fā)現(xiàn)，IT資源、賬號、密碼、權限的自動檢測、梳理能力，定期自動改密能力等，幫助企業(yè)快速識別、梳理企業(yè)IT資產情況，及時清理弱密碼及風險賬號，實現(xiàn)資產在線全生命周期安全管理，涵蓋了數(shù)據(jù)庫、設備、賬號密碼等資產上線、維護、使用和下線等全過程，并可視化呈現(xiàn)，減輕管理員工作壓力，提升特權賬戶安全管理能力。

02 事中控制

在事中，派拉軟件針對安全風險點和合規(guī)要求，提供各種安全策略部署，如訪問控制策略、密碼策略、最小權限管理原則等，提供強認證方式、憑證管理、按需授權、訪問控制管理等，并持續(xù)監(jiān)控，及時預警通知。

當平臺發(fā)現(xiàn)風險賬號，可一鍵對其進行停用或刪除，并檢查密碼，避免強度過低而被黑客暴力破解。如果企業(yè)存在緊急使用情況，也可通過該平臺快速設置訪問資源限制，如什么時間，通過什么設備訪問，訪問可以操作哪些命令，只能看不能導出文件等限制條件，并快速共享使用。

03 事后審計

在事后，派拉軟件特權賬戶管理平臺提供完整、開放、不可逆的審計能力，發(fā)掘數(shù)據(jù)二次價值。用戶所有操作可通過視頻審計、文件審計、字符審計、日志審計等多種審計模式全程記錄，便于事后追溯，還能同企業(yè)其他日志平臺、態(tài)勢感知等進行集中化管理。

此外，通過對各種設備資產、后臺管理平臺實名制訪問管理，解決單一虛擬賬號無法對應到實體自然人身份的問題，避免過去有審計追溯，卻無法精準到人的定責情況發(fā)生。

最后，說到特權賬戶管理，很多企業(yè)都會提到堡壘機。的確，國內市場最早對標PAM工具的模型正是堡壘機，但其與派拉軟件特權賬戶管理平臺仍存在一定的差異，詳見下圖：