搜索

[15886] 2020-09-23_特权账号管理那些事

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-09-23_特权账号管理那些事 特 权 账 号 管 理 那 些 事 原 创   s h e n g l 9 9   F r e e B u f   2 0 2 0 - 0 9 - 2 3 国 际 权 威 技 术 分 析 与 咨 询 研 究 公 司 G a r t n e r 公 司 在 2 0 1 8 年 、 2 0 1 9 年 连 续 两 年 将 “ 特 权 账 号 管 理 （ P A M ） ” 纳 入 一 年 一 度 的 “ 年 度 十 大 安 全 项 目 回 顾 ” 中 ， 而 且 都 是 排 名 第 一 。 那 么 ， 到 底 什 么 才 是 特 权 账 户 管 理 呢 ？ 今 天 我 们 就 来 聊 一 聊 特 权 账 户 管 理 方 面 的 相 关 问 题 ， 包 括 什 么 是 特 权 账 户 、 特 权 账 户 存 在 哪 些 风 险 、 特 权 账 户 有 哪 些 特 点 、 特 权 账 户 管 理 的 难 度 在 哪 儿 、 特 权 账 户 如 何 管 理 、 特 权 账 户 管 理 的 核 心 能 力 是 什 么 、 特 权 账 户 管 理 与 其 他 相 关 管 理 系 统 的 关 系 等 。 一 、 什 么 是 特 权 账 户 一 、 什 么 是 特 权 账 户 对 于 特 权 账 户 的 理 解 ， 不 同 的 人 有 不 同 看 法 。 有 些 人 认 为 特 权 账 户 就 是 操 作 系 统 中 的 r o o t 账 户 、 数 据 库 中 的 D B A 账 户 ； 有 些 人 认 为 特 权 账 户 不 应 该 仅 包 括 r o o t 、 D B A 等 超 级 管 理 员 账 户 ， 还 应 包 括 操 作 系 统 、 数 据 库 中 的 普 通 权 限 的 账 户 ； 还 有 些 人 认 为 特 权 账 户 还 应 该 包 括 其 他 系 统 设 备 中 的 管 理 账 户 ， 这 里 的 其 他 系 统 包 括 网 络 设 备 、 安 全 设 备 、 集 中 管 理 控 制 平 台 （ 云 管 平 台 、 自 动 化 管 理 平 台 等 ） 、 W e b 管 理 后 台 （ W e b l o g i c 管 理 后 台 、 V P N 设 备 W e b 管 理 后 台 等 ） 等 。 依 笔 者 观 点 ， 特 权 账 号 就 是 在 企 业 运 营 过 程 中 ， 给 相 关 业 务 运 营 、 系 统 管 理 、 系 统 运 维 等 人 员 赋 予 的 系 统 维 护 、 权 限 增 加 、 数 据 修 改 删 除 、 导 出 等 高 级 权 限 的 系 统 账 户 。 这 些 账 户 及 其 持 有 人 掌 握 着 企 业 的 信 息 系 统 的 生 死 大 计 ， 绝 大 部 分 时 间 这 些 账 户 都 在 为 公 司 各 项 业 务 正 常 开 展 保 驾 护 航 。 然 而 ， 道 与 魔 ， 一 念 之 间 。 恶 念 乍 起 ， 或 者 是 “ 无 意 一 指 ” ， 这 些 缺 乏 管 控 的 特 权 账 户 可 能 就 会 给 公 司 业 务 带 来 灭 顶 之 灾 。 判 断 一 个 账 户 是 不 是 特 权 账 户 的 简 单 方 式 就 是 “ 这 个 账 号 做 了 一 件 具 有 极 端 破 坏 性 的 操 作 （ 包 括 删 除 、 增 加 权 限 等 ） ， 会 不 会 直 接 对 他 人 、 对 第 三 方 产 生 影 响 ， 导 致 他 人 或 第 三 方 无 法 工 作 、 信 息 泄 露 等 ” ， 比 如 O A 管 理 员 删 除 了 某 个 用 户 的 O A 账 号 或 者 把 所 有 O A 账 号 都 删 除 了 ， 其 他 用 户 都 用 不 了 O A 系 统 了 ， 你 说 O A 管 理 员 是 不 是 特 权 账 号 ？ 再 比 如 某 个 网 络 管 理 员 ， 登 录 单 位 防 火 墙 、 路 由 器 、 交 换 机 把 所 有 的 访 问 策 略 、 路 由 配 置 都 删 除 了 ， 你 说 这 个 网 络 管 理 员 账 号 算 不 算 特 权 账 号 ？ 有 时 候 ， 特 权 账 号 和 个 人 账 号 在 表 现 形 式 上 可 能 是 一 样 的 ， 比 如 都 是 O A 账 号 、 域 账 号 、 L D A P 统 一 认 证 账 号 等 ， 只 是 在 不 同 的 系 统 里 ， 该 账 号 被 赋 予 了 不 同 的 权 限 。 当 作 为 系 统 管 理 员 的 时 候 ， 这 个 账 号 就 具 有 某 些 特 权 ， 而 成 为 特 权 账 号 。 比 如 某 员 工 是 邮 件 系 统 管 理 员 ， 当 它 通 过 邮 件 客 户 端 登 录 自 己 邮 箱 时 ， 他 就 是 普 通 账 号 ， 但 是 ， 当 他 登 录 邮 件 系 统 的 管 理 后 台 时 ， 此 时 他 就 是 特 权 账 号 。 当 然 ， 目 前 有 些 系 统 （ 据 我 所 知 ， 这 个 “ 有 些 ” 是 “ 很 多 ” ） 的 管 理 后 台 账 号 都 是 通 过 单 独 创 建 账 号 的 方 式 ， 然 后 将 “ 新 账 号 ” 账 号 凭 证 告 诉 某 位 员 工 ， 让 他 成 为 系 统 管 理 员 ， 这 时 候 ， 该 员 工 具 有 的 特 权 账 号 就 是 这 个 “ 账 号 ” ， 而 不 是 他 的 O A 账 号 、 域 账 号 等 。 总 的 来 说 ， 笔 者 认 为 ： 特 权 账 号 可 分 为 以 下 两 类 场 景 ： 一 类 是 以 W e b 业 务 系 统 为 代 表 的 业 务 系 统 及 其 管 理 后 台 的 特 权 账 号 ； 另 一 类 是 以 操 作 系 统 、 数 据 库 、 网 络 设 备 等 为 代 表 的 信 息 基 础 设 施 管 理 后 台 的 特 权 账 号 。 这 两 类 账 号 有 什 么 区 别 呢 ？ 第 一 类 特 权 账 号 是 可 以 和 员 工 O A 账 号 或 员 工 号 保 持 一 致 ， 而 且 应 该 尽 量 保 持 一 致 ， 员 工 离 职 、 调 岗 等 异 动 可 以 通 过 删 除 该 员 工 的 账 号 权 限 而 取 消 授 权 ； 而 第 二 类 特 权 则 不 一 定 ， 这 类 特 权 账 号 以 操 作 系 统 、 数 据 库 、 网 络 设 备 运 维 视 角 设 定 账 号 ， 这 类 账 号 一 旦 设 定 ， 不 能 随 意 删 除 ， 因 此 ， 在 员 工 离 职 、 调 岗 等 异 动 时 不 能 通 过 删 除 账 号 来 实 现 账 号 权 限 回 收 ， 此 时 可 能 的 办 法 就 是 修 改 账 户 登 录 凭 证 、 限 制 登 录 源 I P 地 址 等 替 代 手 段 了 。 针 对 第 一 类 账 号 ， 即 与 员 工 O A 账 户 一 致 的 W e b 类 应 用 系 统 特 权 账 户 可 以 采 用 与 企 业 内 部 的 S S O 与 L D A P 用 户 数 据 库 对 接 ， 通 过 L D A P 对 用 户 密 码 进 行 统 一 管 理 。 这 不 属 于 本 文 的 重 点 ， 本 文 主 要 关 注 第 二 类 特 权 账 号 的 管 理 问 题 ， 即 那 些 L D A P 无 法 管 理 的 特 权 账 号 的 管 理 问 题 。 二 、 特 权 账 户 有 哪 些 特 点 二 、 特 权 账 户 有 哪 些 特 点 分 布 散 。 一 是 特 权 账 号 散 落 分 布 在 业 务 系 统 、 应 用 程 序 、 数 据 库 、 网 络 设 备 、 各 类 应 用 系 统 、 操 作 系 统 中 ， 只 要 你 在
企 业 内 能 看 到 的 任 何 一 个 信 息 系 统 都 至 少 有 一 个 特 权 账 号 。 目 之 所 及 ， 耳 之 所 闻 ， 还 有 你 看 不 到 听 不 到 的 系 统 都 包 含 有 特 权 账 号 。 二 是 特 权 账 号 的 持 有 人 分 布 散 ， 他 可 能 是 在 数 据 中 心 科 技 运 维 人 员 ， 也 可 能 是 企 业 总 部 业 务 、 后 勤 、 人 力 等 任 何 一 个 部 门 的 人 员 ， 还 有 可 能 是 偏 远 子 分 公 司 的 业 务 运 营 人 员 等 等 。 但 总 的 来 说 ， 总 部 科 技 部 门 和 业 务 部 门 应 该 占 有 绝 大 多 数 。 数 量 多 。 企 业 有 多 少 个 信 息 系 统 资 产 （ 软 件 、 硬 件 等 ） 就 至 少 有 多 个 少 个 特 权 账 号 ， 但 是 ， 通 常 情 况 下 ， 一 个 信 息 系 统 是 不 可 能 只 有 一 个 人 、 一 个 账 户 进 行 管 理 的 ， 因 此 ， 一 个 系 统 可 能 会 创 建 多 个 特 权 账 号 。 据 估 算 ， 特 权 账 号 的 数 量 可 能 达 到 企 业 信 息 系 统 （ 主 机 操 作 系 统 、 数 据 库 、 业 务 系 统 、 管 理 系 统 等 ） 数 量 的 5 - 1 0 倍 ， 甚 至 更 多 。 权 限 大 。 既 然 叫 特 权 账 号 ， 肯 定 是 具 有 一 定 特 殊 权 限 ， 比 如 增 加 用 户 、 批 量 下 载 数 据 、 执 行 高 权 限 操 作 、 删 除 核 心 数 据 等 。 另 外 ， 根 据 业 务 系 统 的 重 要 程 度 ， 特 权 账 号 的 所 具 有 特 权 的 风 险 越 大 。 三 、 特 权 账 户 存 在 哪 些 风 险 三 、 特 权 账 户 存 在 哪 些 风 险 特 权 账 号 保 管 不 善 ， 导 致 登 录 凭 证 泄 露 、 丢 失 ， 被 恶 意 攻 击 者 、 别 有 用 心 者 获 取 ， 然 后 被 攻 击 者 利 用 该 登 录 凭 证 非 授 权 访 问 业 务 系 统 ， 进 而 可 能 导 致 系 统 数 据 被 删 除 、 恶 意 增 加 管 理 员 权 限 、 非 法 下 载 大 量 数 据 等 。 特 权 账 户 从 创 建 、 使 用 、 保 存 、 注 销 等 全 过 程 更 是 面 临 较 大 泄 露 风 险 ， 比 如 有 些 特 权 账 户 需 要 进 行 多 次 流 转 （ 从 超 级 管 理 员 到 普 通 管 理 员 传 递 ） ， 目 前 普 遍 采 用 邮 件 、 微 信 的 方 式 的 进 行 传 递 ， 有 些 安 全 意 识 较 高 的 可 能 还 进 行 加 密 处 理 ， 有 些 安 全 意 识 差 的 或 者 应 急 场 景 ， 密 码 明 文 传 输 更 是 比 比 皆 是 。 攻 击 者 若 获 取 部 分 的 账 户 、 密 码 可 能 会 对 企 业 进 行 大 范 围 的 横 向 扩 展 攻 击 ， 导 致 系 统 遭 受 大 面 积 入 侵 。 特 权 账 号 持 有 者 恶 意 破 坏 ， 对 自 身 运 维 的 信 息 系 统 进 行 恶 意 破 坏 ， 比 如 删 库 、 格 式 化 等 操 作 ， 比 如 前 一 段 时 间 发 生 的 微 盟 员 工 恶 意 删 库 事 件 。 2 0 2 0 年 2 月 2 5 日 ， 微 盟 发 布 公 告 称 ： “ 公 司 自 2 月 2 3 日 1 9 点 起 发 现 服 务 出 现 故 障 ， 大 面 积 服 务 集 群 无 法 响 应 ， 生 产 环 境 及 数 据 遭 受 严 重 破 坏 。 经 查 ， 本 次 故 障 是 由 微 盟 核 心 运 维 人 员 因 “ 个 人 精 神 、 生 活 原 因 ” 的 恶 意 破 坏 导 致 。 微 盟 预 计 ， 老 用 户 数 据 将 在 2 月 2 8 日 晚 上 2 4 点 前 方 可 完 成 数 据 修 复 。 ” 究 其 原 因 ， 拥 有 特 权 账 户 权 限 的 核 心 运 维 人 员 恶 意 破 坏 导 致 。 特 权 账 号 持 有 者 监 守 自 盗 ， 利 用 自 身 具 有 的 特 权 账 号 非 法 下 载 大 量 数 据 、 查 看 他 人 敏 感 信 息 等 。 特 权 账 号 持 有 者 失 误 操 作 ， 人 总 是 会 犯 错 误 ， 特 别 是 在 非 常 疲 惫 的 情 况 下 更 容 易 操 作 ， 因 特 权 账 号 具 有 较 高 的 维 护 权 限 ， 所 作 出 的 操 作 破 坏 性 更 大 。 比 如 操 作 系 统 运 维 人 员 在 清 理 磁 盘 数 据 时 ， 没 有 看 清 操 作 路 径 ， 使 用 了 r m   - r f   . 删 除 了 数 据 库 目 录 下 的 所 有 数 据 文 件 等 。 四 、 特 权 账 户 管 理 难 点 在 哪 儿 四 、 特 权 账 户 管 理 难 点 在 哪 儿 难 以 掌 控 企 业 特 权 账 户 的 全 貌 。 难 以 掌 控 企 业 特 权 账 户 的 全 貌 。 企 业 内 存 在 什 么 特 权 账 户 ， 分 布 在 哪 儿 ， 谁 在 使 用 这 些 账 户 ， 目 前 都 是 一 笔 糊 涂 账 ， 缺 少 长 期 持 续 自 动 发 现 、 持 续 跟 踪 的 。 难 以 对 特 权 账 号 凭 证 （ 密 码 、 密 钥 等 ） 进 行 动 态 管 理 ， 如 定 期 变 更 。 难 以 对 特 权 账 号 凭 证 （ 密 码 、 密 钥 等 ） 进 行 动 态 管 理 ， 如 定 期 变 更 。 特 权 账 户 数 量 太 多 ， 每 个 运 维 人 员 都 需 要 掌 握 数 个 、 数 十 个 、 甚 至 数 百 个 特 权 账 户 ， 还 有 定 期 密 码 更 替 ， 密 码 强 度 等 管 理 要 求 ， 对 于 管 理 员 来 说 ， 简 直 是 一 个 灾 难 ， 这 就 导 致 通 用 密 码 、 固 定 密 码 等 问 题 无 法 规 避 。 缺 乏 有 效 的 账 户 凭 证 传 递 手 段 。 缺 乏 有 效 的 账 户 凭 证 传 递 手 段 。 A 系 统 的 特 权 账 户 可 能 不 仅 一 个 管 理 员 在 运 维 ， 还 有 其 他 四 五 个 管 理 员 要 运 维 ， 还 可 能 有 其 他 下 游 系 统 的 要 使 用 这 个 账 户 。 如 果 凭 证 变 更 之 后 不 能 有 效 的 进 行 传 递 ， 则 可 能 导 致 下 游 应 用 无 法 进 行 同 步 ， 而 导 致 出 现 生 产 故 障 。 对 特 权 账 户 凭 证 集 中 自 动 化 管 理 的 信 心 不 足 。 对 特 权 账 户 凭 证 集 中 自 动 化 管 理 的 信 心 不 足 。 特 权 账 户 集 中 管 理 之 后 ， 特 权 账 户 管 理 员 自 身 可 能 就 不 能 确 定 性 的 掌 握 账 户 的 密 码 ， 这 种 不 确 定 性 导 致 管 理 员 对 特 权 账 户 集 中 管 理 的 信 心 严 重 不 足 ， 担 心 集 中 管 理 平 台 自 身 的 风 险 导 致 信 息 系 统 整 体 的 不 可 控 、 不 可 维 护 ， 引 发 严 重 的 安 全 事 故 。 五 、 特 权 账 户 如 何 管 理 五 、 特 权 账 户 如 何 管 理
对 于 一 个 企 业 安 全 管 理 者 ， 在 了 解 了 上 文 关 于 特 权 账 户 的 相 关 内 容 后 ， 下 一 步 就 要 关 注 如 何 进 行 管 理 ？ 有 哪 些 解 决 方 案 ？ 按 惯 例 ， 我 们 先 看 成 熟 的 特 权 账 户 解 决 方 案 有 哪 些 ？ G a r t n e r 在 2 0 1 8 、 2 0 2 0 年 分 别 发 布 了 一 版 特 权 账 户 管 理 魔 力 象 限 图 ， 图 中 处 于 领 导 者 象 限 的 几 个 企 业 包 括 C y b e r a r k 、 B e y o n d T r u s t 、 C e n t r i f y 等 ， 可 惜 的 是 ， 一 ， 这 些 企 业 在 国 内 有 大 量 业 务 开 展 的 只 有 第 一 个 ， 其 他 几 个 还 没 有 什 么 代 理 机 构 ， 二 ， 这 张 图 中 没 有 国 内 企 业 上 榜 。 另 外 还 有 I B M 、 O r a c l e 等 企 业 也 有 自 己 特 权 账 户 产 品 。 在 此 说 一 个 题 外 八 卦 ， 在 进 行 特 权 账 户 管 理 解 决 方 案 调 研 、 研 究 以 及 测 试 过 程 中 ， 国 内 有 几 家 堡 垒 机 厂 商 开 始 宣 称 自 己 具 有 特 权 账 户 解 决 方 案 。 这 里 就 有 一 个 特 权 账 户 厂 商 “ 鄙 视 链 ” 。 国 外 厂 商 说 ： 国 内 只 有 我 们 是 特 权 账 户 解 决 方 案 ， 其 他 都 是 堡 垒 机 ， 国 内 厂 商 所 说 的 特 权 账 户 解 决 方 案 都 是 假 的 。 国 内 某 厂 商 ： 我 们 是 国 内 唯 一 特 权 账 户 解 决 方 案 厂 商 ， 其 他 都 是 堡 垒 机 ， 不 是 真 正 的 特 权 账 户 解 决 方 案 。 国 内 其 他 厂 商 ： 我 们 不 光 是 堡 垒 机 ， 我 们 也 有 特 权 账 户 解 决 方 案 。 这 些 都 是 八 卦 之 谈 ， 那 么 什 么 才 是 特 权 账 户 管 理 应 该 的 姿 势 呢 ？ 在 半 年 多 来 的 学 习 、 测 试 以 及 实 施 过 程 中 ， 笔 者 认 为 特 权 账 号 管 理 的 整 体 方 案 应 该 包 括 账 户 集 中 管 理 、 密 码 管 理 、 账 户 自 动 发 现 、 访 问 管 理 、 提 供 密 码 调 用 服 务 、 流 程 控 制 、 日 常 监 控 、 日 常 审 计 等 。
1 、 账 户 集 中 管 理 ： 高 度 分 散 的 特 权 账 户 对 于 安 全 管 控 是 不 可 行 的 ， 所 以 笔 者 认 为 ， 特 权 账 户 管 理 的 技 术 防 控 措 施 主 要 思 路 是 “ 先 集 中 ， 再 施 加 控 制 措 施 ” 。 特 权 账 户 只 有 集 中 起 来 才 能 进 行 一 些 有 效 管 理 ， 比 如 实 施 统 一 的 安 全 策 略 、 方 便 审 计 等 。 账 户 散 布 各 系 统 ， 如 果 不 能 采 用 某 种 手 段 对 特 权 账 户 集 中 托 管 ， 显 然 不 适 合 管 理 。 这 是 特 权 账 户 管 理 的 第 一 步 ， 需 要 建 立 一 个 统 一 平 台 ， 能 够 满 足 多 样 化 系 统 的 密 码 托 管 能 力 。 这 个 平 台 必 须 具 有 良 好 的 平 台 兼 容 能 力 ， 要 不 然 操 作 系 统 一 套 平 台 、 数 据 库 一 套 平 台 ， 对 于 特 权 账 户 管 理 来 说 ， 仍 然 存 在 较 大 的 运 维 和 使 用 难 度 。 2 、 密 码 口 令 管 理 ： 特 权 账 户 管 理 的 核 心 是 密 码 管 理 ， 要 能 通 过 自 动 化 手 段 定 期 对 密 码 进 行 修 改 、 设 置 密 码 安 全 策 略 等 ， 使 得 密 码 口 令 满 足 高 复 杂 度 、 一 机 一 密 、 定 期 修 改 等 要 求 ； 3 、 账 户 自 动 发 现 ： 不 管 任 何 系 统 ， 从 系 统 建 立 到 销 毁 过 程 的 全 生 命 周 期 中 ， 可 能 会 持 续 数 年 ， 这 期 间 因 测 试 需 要 、 人 员 变 动 等 原 因 ， 系 统 中 可 能 建 立 了 很 多 长 期 未 使 用 的 账 户 。 这 些 账 户 长 期 缺 乏 维 护 ， 风 险 很 大 。 因 此 ， 特 权 账 户 管 理 需 要 具 有 能 够 发 现 一 些 僵 尸 账 户 、 多 余 账 户 的 能 力 ； 4 、 访 问 管 理 ： 这 里 有 几 个 原 因 要 提 供 访 问 管 理 功 能 ， 一 是 账 户 密 码 被 托 管 之 后 ， 管 理 员 无 法 掌 握 密 码 之 后 ， 集 中 管 理 系 统 得 提 供 一 个 特 权 账 户 的 访 问 通 道 要 不 然 无 法 对 目 标 系 统 进 行 管 理 ； 二 是 管 理 员 在 对 目 标 系 统 进 行 管 理 时 ， 要 能 提 供 高 危 行 为 阻 拦 、 二 次 验 证 等 功 能 。 三 是 统 一 访 问 控 制 通 道 后 不 允 许 再 开 其 他 网 络 访 问 策 略 ， 因 此 ， 业 务 系 统 管 理 人 员 需 要 主 动 来 联 系 对 接 特 权 账 户 集 中 平 台 ， 一 定 程 度 上 避 免 了 “ 业 务 系 统 先 上 线 、 安 全 人 员 后 被 动 跟 进 ” 的 困 境 。 访 问 控 制 也 是 国 内 堡 垒 机 厂 商 具 有 核 心 能 力 ， 但 是 ， 最 近 听 到 国 内 某 传 统 堡 垒 机 厂 商 的 讲 解 特 权 账 户 解 决 方 案 时 ， 竟 然 把 这 一 块 给 省 略 了 、 弱 化 了 ， 只 是 说 可 以 和 自 家 堡 垒 机 联 动 ， 把 堡 垒 机 和 特 权 账 户 管 理 平 行 起 来 。 笔 者 认 为 ， 堡 垒 机 功 能 是 特 权 账 号 解 决 方 案 的 一 个 子 集 ， 必 须 纳 入 特 权 账 号 解 决 方 案 的 整 体 进 行 考 虑 ， 而 不 仅 仅 是 联 动 。 5 、 提 供 密 码 调 用 服 务 ： 密 码 口 令 托 管 之 后 ， 如 果 不 能 提 供 有 效 的 A P I 接 口 供 下 游 系 统 调 用 ， 那 么 ， 特 权 账 户 管 理 平 台 要 对 密 码 进 行 定 期 修 改 的 功 能 就 不 能 实 现 。 因 此 ， 特 权 账 户 管 理 要 能 为 第 三 方 系 统 提 供 A P I 调 用 服 务 。 笔 者 认 为 ， 这 是 国 内 堡 垒 机 厂 商 被 排 除 在 P A M 厂 商 之 外 的 主 要 原 因 ， 国 内 堡 垒 机 很 早 就 具 有 了 账 户 管 理 功 能 ， 能 够 托 管 一 些 账 户 密 码 ， 但 是 他 们 不 具 有 提 供 A P I 调 用 能 力 ， 导 致 他 们 只 能 修 改 一 些 不 会 被 其 他 人 使 用 的 账 户 密 码 ， 需 要 被 其 他 系 统 使 用 的 密 码 只 能 保 持 固 定 不 变 。
6 、 流 程 控 制 ： 流 程 控 制 最 重 要 的 就 是 在 审 批 流 程 和 特 权 账 号 使 用 流 程 进 行 关 联 ， 在 特 权 账 号 的 使 用 流 程 中 设 置 关 键 控 制 点 ， 如 在 特 权 账 号 密 码 代 填 方 面 ， 必 须 要 经 过 审 批 流 程 批 准 后 才 能 进 行 密 码 下 发 和 填 入 操 作 。 比 如 特 权 账 号 的 危 险 操 作 行 为 ， 如 r m   - r f   . 、 D R O P   D a t a b a s e 等 ， 必 须 要 经 过 第 二 个 人 的 复 核 或 者 增 加 一 步 验 证 确 认 环 节 。 在 特 权 账 号 的 操 作 流 程 中 增 加 审 批 和 确 认 流 程 ， 以 减 少 特 权 账 号 的 误 操 作 和 恶 意 操 作 风 险 。 7 、 日 常 监 控 ： 通 过 集 中 的 特 权 账 号 管 理 平 台 ， 不 用 监 控 分 析 和 审 计 人 员 再 去 一 一 对 接 海 量 的 业 务 系 统 ， 对 用 户 的 操 作 行 为 进 行 识 别 ， 阻 断 高 危 操 作 ， 如 r m   - r f   . 等 ， 对 用 户 进 行 U E B A 的 分 析 ， 比 如 目 标 系 统 登 录 日 志 出 现 了 非 统 一 访 问 控 制 通 道 发 起 登 录 操 作 ， 操 作 日 志 中 短 时 间 出 现 了 大 量 的 新 建 、 删 除 、 修 改 、 批 量 导 出 等 高 危 操 作 ， 即 可 判 定 为 异 常 ， 从 而 发 出 告 警 ， 让 管 理 人 员 进 行 进 行 应 急 响 应 。 8 、 日 常 审 计 ： 在 风 险 管 理 领 域 ， 有 著 名 的 “ 三 道 防 线 ” 论 ， 即 建 设 、 风 险 管 理 和 审 计 。 在 特 权 账 户 管 控 方 面 ， 制 度 建 设 、 流 程 建 设 和 技 术 管 控 手 段 都 算 一 道 防 线 ， 运 营 监 控 应 该 算 二 道 防 线 。 定 期 事 后 审 计 评 估 安 全 措 施 是 否 落 实 到 位 并 整 改 ， 是 安 全 管 控 措 施 的 最 后 一 道 防 线 。 无 论 多 么 好 的 制 度 、 流 程 、 技 术 或 运 营 手 段 ， 缺 少 适 当 的 审 计 措 施 ， 都 可 能 存 在 “ 制 度 落 实 不 到 位 、 流 程 流 于 形 式 ， 技 术 管 控 失 效 ” 等 问 题 。 六 、 企 业 在 特 权 账 户 管 理 实 施 过 程 中 应 该 关 心 什 么 六 、 企 业 在 特 权 账 户 管 理 实 施 过 程 中 应 该 关 心 什 么 1 、 对 多 种 平 台 、 系 统 的 兼 容 能 力 、 对 多 种 平 台 、 系 统 的 兼 容 能 力 如 果 一 个 平 台 虽 然 具 有 一 些 特 权 账 号 管 理 能 力 ， 但 是 ， 只 能 支 持 一 两 种 平 台 和 系 统 的 账 号 管 理 ， 那 么 ， 它 可 能 不 能 被 称 为 真 正 的 特 权 账 号 管 理 平 台 。 这 也 是 国 内 堡 垒 机 厂 商 被 国 外 厂 商 诟 病 主 要 原 因 之 一 吧 。 目 前 ， 典 型 的 特 权 账 号 管 理 平 台 方 案 支 持 的 平 台 和 系 统 类 型 已 经 包 含 以 下 内 容 ： （ 1 ） 操 作 系 统 ： 支 持 W i n d o w s 系 列 （ 本 地 及 A D 域 账 号 ） 、 I B M   A S   系 列 、 L i n u x 系 列 、 U n i x 系 列 、 A i x 等 （ 2 ） 数 据 库 ： 支 持 O R A C L E 、 S Q L   S E R V E R 、 S Y B A S E 、 M y S Q L 等 （ 3 ） 网 络 及 安 全 设 备 ： 支 持 思 科 、 华 三 、 华 为 、 绿 盟 、 3 6 0 、 山 石 等 厂 商 的 交 换 机 、 路 由 器 、 I D S 、 网 闸 、 防 火 墙 、 带 外 管 理 等 网 络 安 全 设 备 （ 4 ） 支 持 阿 里 云 、 腾 讯 云 等 云 管 理 员 账 号 、 A c c e s s K e y 等 特 权 账 号 托 管 ， 并 支 持 对 这 类 账 号 密 码 自 动 更 改 。 （ 5 ） 支 持 通 过 底 层 账 号 自 动 扫 描 阿 里 云 、 腾 讯 云 已 有 和 新 增 实 例 并 安 全 托 管 账 号 、 自 动 更 改 账 号 密 码 。 在 具 备 兼 容 以 上 已 知 系 统 能 力 的 同 时 ， 还 应 具 备 强 大 的 定 制 扩 展 能 力 ， 能 够 快 速 适 应 飞 速 发 展 的 计 算 机 终 端 、 操 作 系 统 、 数 据 库 等 市 场 。
2 、 账 户 凭 证 （ 密 码 ） 自 动 改 密 的 可 靠 性 、 账 户 凭 证 （ 密 码 ） 自 动 改 密 的 可 靠 性 一 个 号 称 具 有 自 动 改 密 功 能 的 特 权 账 号 管 理 平 台 ， 如 果 在 改 密 过 程 中 老 是 出 错 ， 在 实 验 室 环 境 下 ， 即 便 改 密 正 确 性 达 到 9 9 % 也 不 行 ， 1 0 0 0 0 个 账 户 改 一 次 错 1 0 0 个 ， 更 别 说 复 杂 的 数 据 中 心 环 境 了 ， 对 于 系 统 管 理 员 来 说 ， 是 不 可 忍 受 的 。 但 是 ， 很 不 幸 ， 目 前 没 有 一 个 权 威 测 评 机 构 进 行 相 应 测 试 验 证 ， 所 有 的 可 靠 性 都 是 厂 商 自 家 说 辞 ， 没 有 大 面 积 的 应 用 是 很 难 验 证 出 来 的 。 在 这 儿 ， 笔 者 认 为 可 以 多 与 其 他 甲 方 进 行 调 研 ， 问 问 别 人 用 什 么 ， 有 没 有 什 么 坑 ， 然 后 选 口 碑 好 的 、 应 用 时 间 长 的 。 3 、 特 权 账 号 平 台 自 身 的 安 全 性 和 鲁 棒 性 、 特 权 账 号 平 台 自 身 的 安 全 性 和 鲁 棒 性 平 台 自 身 的 安 全 性 和 鲁 棒 性 主 要 关 心 该 方 案 有 没 有 充 分 考 虑 备 份 、 灾 备 切 换 、 灾 难 恢 复 、 信 息 安 全 等 措 施 。 在 甲 方 实 施 时 ， 有 没 有 典 型 的 部 署 、 实 施 以 及 实 践 经 验 。 4 、 密 码 调 用 接 口 的 稳 定 性 和 安 全 性 、 密 码 调 用 接 口 的 稳 定 性 和 安 全 性 一 方 面 ， 随 着 特 权 账 户 管 理 平 台 纳 管 的 目 标 数 量 越 来 越 多 ， 未 来 ， 将 会 有 越 来 越 多 的 系 统 需 要 调 用 该 系 统 的 密 码 获 取 接 口 ， 这 个 接 口 的 稳 定 性 至 关 重 要 ， 不 能 发 生 严 重 的 服 务 不 可 用 问 题 。 另 一 方 面 ， 密 码 调 用 接 口 本 身 要 具 有 访 问 控 制 、 密 码 安 全 传 输 、 接 口 认 证 、 防 批 量 拉 取 等 能 力 ， 否 则 的 话 ， 该 平 台 将 可 能 会 变 成 一 个 集 中 的 密 码 泄 露 通 道 。 还 要 能 支 持 不 同 应 用 的 密 码 获 取 ， 比 如 支 持 应 用 系 统 源 码 、 配 置 文 件 （ 包 括 t x t 、 i n i 等 ） 、 A P I 接 口 账 号 、 服 务 账 号 、 计 划 任 务 、 中 间 件 数 据 源 密 码 等 5 、 横 向 扩 展 能 力 、 横 向 扩 展 能 力 企 业 信 息 化 过 程 中 是 个 逐 步 深 入 的 过 程 ， 随 着 时 间 的 推 移 ， 企 业 的 信 息 系 统 数 量 、 数 据 中 心 数 量 将 会 不 断 增 加 ， 因 此 ， 一 个 优 秀 的 特 权 账 户 管 理 平 台 必 须 要 具 备 强 大 的 横 向 扩 展 能 力 ， 满 足 企 业 快 速 信 息 化 过 程 中 的 特 权 账 户 管 控 要 求 。 七 、 其 他 可 能 关 心 的 问 题 七 、 其 他 可 能 关 心 的 问 题 1 、 特 权 账 户 管 理 系 统 与 堡 垒 机 的 关 系 、 特 权 账 户 管 理 系 统 与 堡 垒 机 的 关 系 每 一 个 第 一 次 接 触 特 权 账 户 管 理 的 人 ， 听 了 特 权 账 户 管 理 的 相 关 功 能 之 后 ， 都 会 有 一 个 疑 问 ， 他 和 堡 垒 机 是 什 么 关 系 ？ 在 此 有 几 个 观 点 分 享 给 读 者 ： 一 是 特 权 账 户 管 理 本 身 就 有 堡 垒 机 功 能 ， 就 像 前 文 说 的 ， 堡 垒 机 功 能 是 特 权 账 户 管 理 的 子 集 ， 从 某 种 意 义 上 讲 ， 特 权 账 户 管 理 解 决 方 案 可 以 完 全 替 代 堡 垒 机 方 案 。 二 是 如 果 非 要 在 他 们 之 间 找 出 什 么 不 同 ， 那 么 ， 我 认 为 堡 垒 机 核 心 功 能 是 对 目 标 主 机 访 问 管 道 的 控 制 ， 而 特 权 账 户 管 理 核 心 功 能 是 对 目 标 主 机 账 户 口 令 的 管 理 。 三 是 国 内 堡 垒 机 厂 商 在 过 去 的 解 决 方 案 中 ， 过 多 的 关 注 了 访 问 控 制 ， 对 密 码 管 理 、 密 码 A P I 接 口 服 务 支 持 能 力 不 足 ， 的 确 也 不 能 称 为 特 权 账 户 解 决 方 案 。 四 是 随 着 时 间 的 发 展 ， 我 觉 得 特 权 账 户 解 决 方 案 的 已 经 基 本 成 型 ， 就 像 汽 车 一 样 ， 一 个 发 动 机 ， 一 副 车 架 ， 四 个 车 轱 辘 ， 一 百 年 没 变 ， 未 来 国 内 堡 垒 机 厂 商 肯 定 也 会 朝 着 这 个 方 向 发 展 。 2 、 特 权 账 户 管 理 系 统 与 、 特 权 账 户 管 理 系 统 与 L D A P / I A M 系 统 的 关 系 系 统 的 关 系 谈 到 账 户 ， 另 一 个 比 较 疑 惑 的 问 题 就 是 特 权 账 户 管 理 系 统 与 L D A P / I A M 系 统 的 关 系 ， 特 权 账 户 管 理 系 统 管 理 的 账 户 是 机 器 上 的 账 户 ； 而 L D A P / I A M 系 统 管 理 的 账 户 是 人 的 账 户 ， 其 关 系 如 下 图 所 示 （ 图 中 的 特 权 账 户 r o o t 、 d b a 只 是 示 例 ， 实 际 情 况 比 这 范 围 大 很 多 ） 。 用 户 使 用 L D A P 账 户 经 过 双 因 素 认 证 之 后 登 录 特 权 账 户 系 统 ， 特 权 账 户 管 理 系 统 对 目 标 系 统 的 特 权 账 户 进 行 纳 管 。 然 后 ， 将 托 管 的 账 户 授 权 给 相 应 的 L D A P 账 户 管 理 员 进 行 管 理 。
3 、 特 权 账 户 管 理 系 统 在 网 络 攻 防 中 的 价 值 、 特 权 账 户 管 理 系 统 在 网 络 攻 防 中 的 价 值 有 安 全 圈 朋 友 说 过 ， 弱 口 令 ， 各 种 弱 口 令 ， 系 统 弱 口 令 、 应 用 弱 口 令 、 用 户 弱 口 令 ， 如 果 解 决 好 了 口 令 的 问 题 ， 我 认 为 可 以 解 决 企 业 至 少 5 0 % 的 安 全 问 题 。 攻 击 者 在 进 行 渗 透 攻 击 时 ， 除 了 用 漏 洞 打 的 ， 很 多 攻 击 落 脚 点 还 是 用 户 账 号 ， 通 过 弱 密 码 、 通 用 密 码 进 行 单 点 突 破 、 横 向 移 动 。 如 果 有 个 平 台 能 够 实 现 账 户 密 码 都 是 强 密 码 ， 而 且 真 正 是 一 机 一 密 ， 一 个 账 户 一 个 密 码 ， 那 么 ， 内 网 横 向 攻 击 估 计 就 没 那 么 简 单 了 吗 ？ 八 、 结 束 语 八 、 结 束 语 从 技 术 上 看 ， 现 在 市 场 上 “ 特 权 账 号 管 理 ” 的 相 关 解 决 方 案 的 确 是 一 种 比 较 好 的 特 权 账 号 管 理 解 决 方 案 ； 但 是 ， 从 甲 方 企 业 视 角 看 特 权 账 号 管 理 ， 他 们 的 解 决 方 案 只 是 企 业 特 权 账 号 管 理 整 体 解 决 方 案 的 一 个 点 或 几 个 点 。 做 个 类 比 ， 如 果 把 企 业 安 全 建 设 看 作 是 一 个 “ 战 略 ” ， 企 业 特 权 账 号 管 理 一 个 “ 战 术 行 动 ” ， 以 上 公 司 提 供 的 解 决 方 案 最 多 只 能 算 “ 一 场 战 役 或 几 个 战 役 ” 。 不 过 这 几 场 战 役 可 能 是 特 权 账 号 管 理 中 的 “ 重 点 战 役 ” 、 “ 核 心 战 役 ” ， 但 是 如 果 没 有 其 他 “ 战 役 ” 做 支 持 ， 单 靠 这 几 个 战 役 是 很 难 达 成 “ 战 术 目 的 ” 。 甲 方 企 业 的 特 权 账 号 管 理 必 须 要 从 制 度 建 设 、 流 程 控 制 、 技 术 管 控 与 监 控 审 计 等 多 个 方 面 拿 出 整 体 解 决 方 案 ， 才 能 在 特 权 账 号 管 理 领 域 形 成 较 为 有 效 的 安 全 管 控 能 力 ， 建 设 特 权 账 户 管 理 平 台 只 是 一 个 开 始 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理