审计管理员访问权限的5个步骤

具有管理员和更高权限的账户对于业务与 IT 运作都必不可少，但它们会给您的组织带来重大风险。在粗心或心怀不满的内部人员手中，或落入对手之手时，特权凭据会打开通往 数据泄露、基础设施中断以及合规违规的通道。

据 Forrester 称，高达 80% 的 数据泄露涉及特权账户。降低这一风险的关键在于采用一种现代化的方法来 privileged access management (PAM)。它并不是试图通过诸如密码保险库之类的策略来阻止数百或数千个强大账户被滥用，而是让您将现有特权账户的数量降到绝对最少——从而显著降低风险。以下是需要采取的步骤。

第 1 步。发现所有具有特权访问权限的账户

第一步是找出你所有具有特权访问权限（privileged）的账户。有些账户很容易识别，例如属于 Domain Admins 这类强大的安全组的账户。但也有一些不那么显眼；事实上，据估计在大多数组织中，所有特权（privileged）授权（entitlements）中有超过一半是未知的。尤其容易被忽略的是较低层级的管理员，例如 DBAs，以及那些能够访问高度敏感数据或系统的业务用户。

为简化工作，请考虑将所有用户账户按以下组进行分类：

• 管理员/Root/超级用户
• 基础设施/应用程序/高级用户（Power User）
• CEO/CFO/CISO/高级业务用户
• 员工/普通用户

第 3 步。与所有者合作，了解每个账号的用途

与每个特权账号的所有者沟通，了解它的用途、所需的访问权限——以及它是否仍然需要使用。以下是你可能想要询问的一些问题：

• 该账号的用途是什么？它用来做什么？
• 它所拥有的权限是否是执行这些操作所必需的？
• 如果该账户被多个人共享，如何确保个人责任可追溯？

第 4 步：移除不再需要的账户

在获得账户所有者的批准后，移除无需持续访问的特权账户，并从最关键的资源开始。为确定优先级，请考虑以下因素：

• 该账户可以访问哪些资源 — 例如，能够访问域控制器的账户比用于管理打印服务器的账户更关键。
• 这些资源所在的位置— 用于测试实验室的管理账户，可能不如生产环境中的管理账户那么关键。
• 资源的敏感程度— 该账户是否可以访问受监管的金融数据或个人健康记录，或访问诸如 CRM 或 ERP 之类的关键应用？

对于无法移除的账户，将其访问权限降低到执行其功能所需的最低程度。请注意，尤其是服务账户往往被过度授权。

第 5 步：实施零常驻特权（Zero standing privilege，ZSP）

现在你只剩下一组特权账户，你知道它们确实有用途。但即使这些账户只是偶尔才会使用，它们仍然面临着 24/7 被滥用的风险。

借助现代 PAM 解决方案，您可以将这些 高风险的长期授权替换为按需及时（just-in-time，JiT）访问。实施 JiT 有两种方法：

• 短暂账号 — 当用户需要执行需要更高权限的任务时，创建一个仅存在足够时间来完成该任务的账号。
• 临时权限提升 — 另一种做法是，为用户现有账号授予执行任务所需的权限，并在任务完成后立即移除这些权限。

Netwrix 如何提供帮助

Netwrix 的 Privileged Account Management 解决方案可在所有终端上提供对特权账号的动态且持续的可视化，从而让组织通过持续发现并移除未受管理的特权来缩小攻击面。我们的解决方案以按需及时（just-in-time）特权访问替代传统特权账号，确保在不影响管理员工作效率的情况下显著提升安全性。通过监控并记录特权用户会话， Netwrix Privilege Secure 促进调查、满足审计要求并建立问责机制。该解决方案还能通过定制仪表板，帮助组织可视化、分析并管理其攻击面，在不牺牲用户便利性的前提下消除问责与安全之间的差距。

实现特权访问的理想状态

通过在您的 IT 生态系统中发现所有特权身份，并以 ZSP 方式取而代之，您可以大幅降低对安全、合规以及业务连续性的风险。毕竟，如果特权账户不存在，就不可能被攻破。