所有的安全事件幾乎都始于高權(quán)限（特權(quán)）賬號的泄漏，在當今數(shù)字化時代，企業(yè)面臨著越來越復雜，并且隱患重重的網(wǎng)絡(luò)安全威脅。特權(quán)訪問是組織最有價值資產(chǎn)的入口，幾乎是每次重大安全漏洞的核心。組織必須制定一套完整的策略來管理和監(jiān)控特權(quán)訪問，并在需要時及時檢測和應對威脅，以減輕來自當今先進黑客攻擊的風險。
經(jīng)驗教訓和緩解措施
為了加強安全措施并減輕類似的攻擊，組織應考慮以下策略：
人員是攻擊向量中最薄弱的環(huán)節(jié)，通過特權(quán)賬號管理組件（PAM），最大限度減少特權(quán)賬號暴露，從而遏制攻擊者網(wǎng)絡(luò)釣魚等針對人員攻擊的嘗試；
密碼保險箱（Vault）專屬區(qū)域，隔離保護特權(quán)賬號密碼，再通過最小權(quán)限原則來確保只有合適的人員具有對敏感應用程序和基礎(chǔ)架構(gòu)的必要訪問級別，且僅限于完成其工作所需的權(quán)限；
檢測可疑活動至關(guān)重要，組織應考慮實施特定日志來跟蹤和分析特權(quán)身份的信任變化，并且為潛在的安全漏洞提供有價值的處置見解。
最佳實踐：奇安信特權(quán)訪問安全
奇安信已經(jīng)開發(fā)了一套成熟的特權(quán)訪問安全解決方案，以幫助組織建立行之有效的特權(quán)訪問安全計劃。奇安信在“特權(quán)訪問安全”領(lǐng)域擁有近10年的技術(shù)積累，也是國內(nèi)獨家將SDP架構(gòu)應用于特權(quán)訪問安全領(lǐng)域的廠商，相比傳統(tǒng)堡壘機只關(guān)注特權(quán)會話的單一方案，在特權(quán)安全性、特權(quán)身份管理成本、特權(quán)身份納管范圍等維度都進行了全面升級，為特權(quán)訪問提供端到端的訪問安全防護。
奇安信提供給組織一套簡單而全面的“特權(quán)訪問安全”指導性藍圖，使組織的特權(quán)訪問安全計劃與潛在的數(shù)據(jù)泄漏/勒索病毒等安全風險降低目標緊密結(jié)合，從而幫助組織能夠盡快解決其當前最大安全困擾。
藍圖考慮了數(shù)字化時代的組織及其業(yè)務可擴展性的需求。它可以為使用傳統(tǒng)的本地基礎(chǔ)設(shè)施和軟件開發(fā)方法的組織，以及正在進行數(shù)字轉(zhuǎn)型（如將基礎(chǔ)設(shè)施遷移到云端、采用CI/CD實踐或通過機器人流程自動化流程等）的組織，提供了特權(quán)訪問安全控制的最佳實踐建議。
作為國內(nèi)“特權(quán)訪問安全”的領(lǐng)導者，奇安信已然具備了提供全面有效的特權(quán)訪問安全解決方案的能力：
結(jié)束語：特權(quán)賬號是數(shù)據(jù)安全重要維度，亟待體系化保護
從上述的分析可以看出，企業(yè)機構(gòu)一系列錯誤和疏忽，最終導致最明顯、最具破壞性的攻擊，其后果極其嚴重。為了減輕類似的攻擊，組織應重點關(guān)注最大限度減少特權(quán)賬號的暴露、隔離保護組織最關(guān)鍵的身份憑證信息、監(jiān)控信任變化并及時了解應對不斷變化的安全風險，防止特權(quán)賬號的濫用和泄漏，從而保護系統(tǒng)和數(shù)據(jù)資產(chǎn)的安全性。
作為直接接觸組織關(guān)鍵IT資產(chǎn)和數(shù)據(jù)資源的入口，特權(quán)賬號是通往企業(yè)數(shù)據(jù)大門的“鑰匙”，要實現(xiàn)數(shù)據(jù)安全的精準防護，首先就是要管特權(quán)、“防內(nèi)鬼”。在技術(shù)變革快，安全風險復雜，合規(guī)性要求越來高的背景下，企業(yè)迫切需要一套體系化的安全能力來應對新技術(shù)、新場景帶來的新挑戰(zhàn)。對此，奇安信推出了數(shù)據(jù)安全保護系統(tǒng)“奇安天盾”，它以數(shù)據(jù)資產(chǎn)為核心，特權(quán)賬號安全為關(guān)鍵組件，形成了一個集“事件監(jiān)測、風險分析、策略調(diào)整、訪問控制”為一體的全鏈條閉環(huán)體系。這套系統(tǒng)能幫助客戶實現(xiàn)數(shù)據(jù)安全風險能看清、內(nèi)鬼能管好、攻擊能防住的“三能”目標,構(gòu)建起包括特權(quán)訪問安全在內(nèi)的體系化數(shù)據(jù)安全能力。
