AI缩短了从凭据被盗到特权账户被攻陷之间的时间，而为人工审查设计的检测循环无法以这样的速度做出响应。团队可以通过以下方式降低这种风险：将凭据迁入加密保管库，按角色限制访问，在特权访问前要求审批，并记录每一次凭据操作。预防堵住了最容易的入侵路径，之后SIEM便可专注于剩下的威胁。
探索Innovation Week的所有对话，听Netwrix与行业专家探讨数据和身份安全。
大多数事件响应计划都假定防御方有时间：告警触发，分析师检查日志，团队做出决定，然后有人响应。使用AI的攻击者行动速度超出这一流程所能应对的范围，因此计划需要增加一个在告警之前发生的步骤。
检测中缓慢的环节是决策
日志记录是检测循环中快的部分。审查和决策耗时更长，而团队构建这一循环时，攻击者还需要时间。侦察需要数天，横向移动需要数小时，这为防御方留出了行动空间。
AI夺走了其中大部分空间。借助自动化工具，攻击者可以映射目录，用被盗凭据尝试十几个系统，并在第一条告警还在队列中等待时就到达特权账户。凭据填充过去是动静很大的暴力破解，如今机器人会实时调整速度和指纹，使自己看起来像合法用户。
被攻陷的身份是常见的入口
只要有一个可用的凭据，攻击者就不需要破解加密或寻找零日漏洞。Netwrix的2026年数据与身份安全报告发现，75%的敏感数据暴露始于被攻陷的身份或配置错误的权限。
近期针对一家关键基础设施运营商的攻击就走了这条路径。入口是一个闲置且从未停用的远程访问VPN账户，该账户没有启用MFA，其密码也已出现在一份泄露的凭据集中。运营因此中断了数天。
沿用旧泄露事件中的密码、保存在电子表格中的共享登录信息，以及因为没人愿意负责轮换而被10个人知晓的特权账户，都会造成同样的缺口。AI可以大规模发现这类弱点，而无需任何人手动输入密码。
MFA可以降低风险，但不能消除风险。攻击者会反复发送推送请求，直到用户为了停止通知而批准其中一条，而依赖疲惫的人在恰当时刻拒绝的控制措施，几乎没有余地。
预防夺走了时间优势
检测是在事后确认事情已经发生。预防则在有人批准之前暂停敏感操作，消除攻击者所依赖的缺口。团队两者都需要。
长期存在且不受监控的访问权限是这种优势的来源。同一份报告发现，76%的组织无法在不再需要时立即撤销长期访问权限。
如何减少长期凭据访问
保存在浏览器、共享文档和私信中的密码无法被管控，因为没有人能看到全部。集中的加密保管库为团队提供了一个统一的起点。
基于角色的访问将每个人限制在其角色所需的凭据范围内，因此被盗凭据只能执行其所有者被允许执行的操作。
域管理员、数据库所有者和服务账户需要人工决策。申请人请求访问，第二个人批准，之后凭据才可用。定期轮换密码还能缩短任何泄露凭据的有效期。
记录每一次凭据操作，可以把预防与检测联系起来。凌晨2点被拒绝的权限请求会作为一个有意义的事件出现，而不是淹没在数千条例行登录记录中的一行，这让分析师收到的告警更少、质量更高。
AI代理和自动化也需要凭据，包括API密钥、服务账户和具有实际权限的令牌。报告发现，41%的组织已经在生产环境中运行代理式AI，而只有19%表示对非人类身份实施了全面治理。代理不会疲倦，也不会质疑指令，因此它们的凭据至少需要获得与人类管理员同等的处理：存入保管库、限定范围，并在特权使用前获得批准。计划在SOC中使用代理式AI的团队，应将其密钥与其他所有人的密钥保存在同一个受管控的位置。
对这种方法的常见异议
审批步骤会拖慢人们的工作。对大多数用户来说不会有任何变化，因为他们从不接触特权账户。少数会注意到额外步骤的人持有最敏感的密钥，而等待审批的短暂时间，比一次数据泄露的代价小。
已经部署PAM的团队，如果它能端到端覆盖特权账户，就应继续保留。如果覆盖不完整，首要任务是找出未覆盖的部分。无论哪种情况，工具都应能与Active Directory、Entra ID或组织所使用的任何目录配合工作，使访问治理跟随目录中已有的身份。
Netwrix Password Secure如何支持最小权限访问
Netwrix Password Secure支持上述每一个步骤。凭据存储在集中的加密保管库中，基于角色的访问将用户限制在其所需的范围内。审批工作流位于特权访问之前，完整的审计追踪会显示谁在何时访问了什么。与Active Directory和Entra ID的集成将访问与现有身份关联起来。团队可以在桌面、网页和移动端工作，并可根据基础设施和合规需求，选择本地、云端或混合方式部署。
AI速度的攻击会在事件发生与有人察觉之间的这段时间内得手。先让长期凭据变得遥不可及，剩下的就由SIEM来捕获。
查看Password Secure实际演示分享到
了解更多
关于作者
Sascha Martens
首席技术官（CTO）
来自一位致力于拆解当下挑战并指导团队保护身份与数据的安全专业人士的见解。