企业如何保护“特权访问”的安全？

什么是特权访问admin密码 ？

特权访问是指用户的访问级别，需要更多权限，并且比普通用户具有更多更高的访问级别admin密码 。这是一种分层模型，定义了用户在有组织的环境中活动范围。

与之对应的是特权账户admin密码 。它是具有较高访问权限的账户，允许该账户所有者访问系统中最受限制的区域并执行高特权任务。但特权账户也需要密码才能访问系统和执行任务。

例如，与具有较低访问级别的普通用户相比，某些操作系统的Root 用户（根用户）或者超级管理员具有特权访问权限admin密码 。超级管理员不仅可以不受限制地访问系统目录，还可以添加和删除用户，或者修改系统文件等。

特权账户可以由人或系统使用admin密码 。IT专业人员通常使用特权账户（例如管理账户）来管理软件，硬件和数据库。非人工特权账户的示例是具有运行自动任务的特殊权限的系统账户。特权账户用户可以执行诸如安装软件，访问限制区域，重设密码以及进行其他系统更改等任务。

01 特权访问的风险

特权访问控制了大部分企业财产的 IT 管理员以及可访问业务关键型资产的其他用户admin密码 。

因此，攻击者经常在人为勒索软件攻击和有针对性的数据盗窃中利用特权访问安全方面的弱点，因为这样可以让他们能够快速获得对企业业务资产的广泛访问，而这通常会迅速产生严重的业务影响admin密码 。

大多数数据泄露事件都证明，特权账户密码是通过社会工程技术或其他手段泄露，从而获得系统中最有价值的功能和数据的访问权限admin密码 。有时，拥有较低级别权限的用户账户在接管账户后会升级，以获取特权访问。当使用合法账户访问系统时，入侵通常会在数周内被忽略，从而使黑客能够在采取行动之前获取必要的信息。

因为特权账户如管理员和服务账号经常被共享、跨系统使用，并且可能会使用弱密码或默认密码，同时由于共享，密码也不会经常更改，使得它们容易被盗，在整个组织中被广泛使用以及高度提升的访问权限，让它们成为黑客攻击的重点目标admin密码 。据了解，超过20％的公司没有更改众所周知的默认密码，例如“admin”和“12345”。而且，使问题复杂化的是，有些账户所有者对多个不同的账户使用相同的密码。

劫持特权账户使攻击者能够访问和下载组织中最敏感的数据，分发恶意软件，绕过现有的安全控制并清除审计跟踪以隐藏其活动admin密码 。据行业分析师预测，高达80%的安全漏洞涉及特权账户密码的泄露，并且大多数泄露的系统在200天内未被发现。

例如，此前的爱德华·斯诺登“泄密门”、雅虎和OPM（人事管理办公室）的数据泄露、SWIFT银行攻击以及Uber数据泄露事件admin密码 。他们的一个共同点在于，攻击者都是利用通常授予内部人员的强大访问权限来启动和执行攻击活动的。

有时，部分内部员工也会滥用授予他们的特权admin密码 。组织中存在许多具有特权的用户，如超级管理员、技术专家、管理者，他们可以完全访问网络中的多个系统，甚至可以在不引起任何人注意的情况下创建新的特权账户。

不幸的是，企业很难检测到拥有特权的用户是否滥用了他们的权限admin密码 。这类罪犯往往可以巧妙地隐藏自己的行为，甚至可能误导组织的内部调查，就像下述Ubiquiti Networks的情况一样。

2020年12月，Ubiquiti Networks的一名员工滥用其管理权限窃取机密数据，并将其用于获取个人利益admin密码 。攻击者通过VPN服务访问公司的AWS和GitHub服务，并授予他自己高级开发人员的证书。这名员工冒充匿名黑客，告知公司“窃取了他们的源代码和产品信息”，并要求公司支付近200万美元的赎金，以阻止进一步的数据泄露。

可笑的是，该员工还参与了后续的事件响应工作admin密码 。为了混淆公司的调查方向，他谎称外部攻击者侵入了公司的AWS资源。

再如，2022年1月，国际红十字委员会遭受严重网络攻击和大规模数据泄露admin密码 。在后续调查中表明，恶意行为者通过红十字委员会的服务器的一个漏洞访问了红十字委员会的系统，获取了特权账户，并伪装成管理员获取敏感数据。

结合上述内容，特权访问一般存在如下的安全风险：特权身份冒用、滥用；访问权限管理混乱；缺乏有效的安全审计，无法满足安全监管要求；数据传输泄露和威胁分析能力不足admin密码 。

02 如何保护特权访问的安全admin密码 ？

特权访问在于使用者的特权账户是一个功能强大的账户，具有对系统的所有访问权限admin密码 。黑客可以执行恶意活动，窃取敏感信息，进行财务欺诈，并且经常很久之后才被发现。

攻击者入侵系统后，他们通常会使用访问权限来观察系统一段时间，并了解用户的活动admin密码 。最终，攻击者可以准确了解目标系统。根据攻击者的动机，他们可以使用特权账户执行以下操作：更改系统功能；禁用某些账户的访问权限；提升某些账户的访问权限；窃取敏感数据以进行欺诈、勒索或报复；损坏数据；注入错误代码或恶意软件，等等。

因此，组织应将保护特权访问作为头等安全优先事项admin密码 。因为攻击者破坏此级别的访问会带来严重的潜在业务影响（且发生的可能性很高）。那么，企业可以从哪些方面入手，保护特权访问的安全呢？

将分散、混乱特权访问现状进行集中统一管控是有效的解决办法，实现特权身份和访问权限进行集中管理，并对访问行为进行全程实时记录，为事后安全审计提供有力证据admin密码 。

一是，对特权身份集中管理，一方面是主账号集中管理，一方面是从账号集中管理admin密码 。把具有特权身份自然人抽象定义为主账号，所有可访问业务系统账号密码信息抽象定义为从账号，将所有主账号和从账号统一管理起来是特权访问管理的前提。

其中，主账号管理可采用三权分立原则，即划分为特权身份管理员、特权审计员和系统维护员三类角色权限，特权身份管理员负责主账号的全生命周期管理；特权审计员负责对主账号操作行为、从账号使用情况进行审计分析，并对审计结果进行统计报表等；系统维护员负责对特权身份管理系统的配置、更新和维护等admin密码 。

三类权限相互牵制，防范特权权限监管真空区admin密码 。同时结合双因素或多因素认证方式对主账号进行身份鉴别，解决特权身份混用、冒用问题，也为安全事件指证和定则提供可靠依据。并引入身份鉴别防护机制，例如对暴力尝试破解密码行为进行锁定登录，静默会话自动注销，不能使用重复密码，账号密码信息加密存储等等安全机制保护主账号信息。

从账号集中管理，则是把所有业务系统抽象定义为目标设备admin密码 。将目标设备中的所有从账号进行集中管理形成从账号分布全景图，等同于管理好了访问企业信息资产保险库的“金钥匙”。例如，通过SSO（单点登录）技术使得主账号用户在不知道从账号密码的条件下也可访问业务系统和数据。另外，也需要周期性扫描IDC机房中存活的业务系统以及发现从帐号信息；定期检查从账号密码状态；周期性对从账号密码进行改密；周期性检测从账号状态，等等。

二是，访问权限集中管控，一方面是最小访问权限原则，将访问权限尽可能划分为最小粒度，仅赋予特权访问所需的最小权限集合，统一集中分配特权访问时的权限，形成特权访问权限全景图，清晰描述哪些自然人能够访问哪些业务系统，具备哪些访问权限，尽可能减少特权访问中权限滥用或越权行为发生admin密码 。

例如，数影可实现所有平台、所有账号统一管理，在针对特权访问时，其中就有遵循最小访问权限原则，以保护帐号安全、组织数据安全admin密码 。

另一方面，则是金库模式，对于访问高价值业务系统和高危级别操作时，应采用实时金库模式进行管控，即配置“操作-监管”的双岗位模式对特权访问进行管理，实行高价值业务系统“一访问一审批”，高危级别操作“一操作一审批”，并对访问操作过程专人专岗实时管理admin密码 。

三是，全程集中安全审计admin密码 。事后事件分析的主要内容是谁在什么时间，什么地点对哪个业务系统进行了什么操作，具备什么权限，进一步可以提升到操作者是谁管理的，谁导入到运维环境中的，事件中的业务系统主管单位或者主管人员是谁，访问权限分配是否合理，访问权限都是由谁分配和审核，经过了哪些调整。这些问题都可以通过安全审计的方式完整记录下来。事后分析中更重要的是能够完整还原事件的过程，准确评估事件的风险和损失。

四是，数据加密和威胁分析，一方面是通信协议加密保护，加密数据是解决网络嗅探和监听的最好方式admin密码 。对特权访问通信的数据流进行数据加密，可有效防范监听和流量还原导致的数据泄露情况。例如将文件传输FTP协议更新为SFTP，TELNET更新为SSH，VNC更新为RDP等等。

另一方面是威胁分析和检测，业务系统被特权访问后留下的数据是否对业务系统稳定性、业务核心组建的安全影响有多大，是否存在安全威胁？这些问题时刻困扰着管理员和CISO们admin密码 。由于特权访问的强隐秘性，传统安全检测手段（例如IDS，网络审计或安全沙箱等）难以发现安全威胁。若是在传统安全检测技术基础上增加协议代理或数据摆渡技术可以有效解决特权访问过程中数据威胁分析，提高企业数据安全能力。