Identity 安全：安全领导者指南

根据Netwrix 2026 Data and Identity Security Report对2,317名IT和安全专业人员的调查发现，75%的敏感数据泄露始于身份被泄露或权限配置错误。

看似有效的访问权限在配置后仍可能带来风险，这使得身份安全成为网络弹性和业务治理的问题，而不仅仅是技术问题。

在拥有100至5,000名员工的组织中，回答董事会成员或外部审计员关于谁拥有何种访问权限或组织是否安全的问题，通常需要手动核对。底层数据存在于Active Directory (AD)、Microsoft Entra ID、多种SaaS管理控制台和电子表格中，而这些记录常常不一致。

有纪律的计划将那些分散的数据转化为安全团队、董事会和审计员可以使用的可衡量态势。持续的治理支持更快的响应、可辩护的访问决策和明确的进展证据。

什么是身份安全？

Identity security 是持续保护组织中每个 Identity 免受泄露和滥用的实践。它识别授予访问权限带来的风险，监控访问的使用情况，并中断异常的 Identity 活动。范围涵盖员工和承包商，以及服务账户、应用程序 Identity 和 AI 代理。

Identity and access management（IAM）是相关的学科，使合适的人或机器能够在合适的时间以合法的理由访问合适的资产。IAM负责配置，决定谁获得什么并进行设置。

身份安全遵循该决策，在攻击发生前实施预防，并在攻击进行时进行检测和响应。IAM构建结构，身份安全则负责防护。

为什么身份安全现在成为董事会层面的风险

董事会需要具体且可衡量的证据来管理身份暴露，作为组织网络韧性姿态的一部分。最近有三股力量提高了风险。

去年几乎有一半的组织遭遇了云账户泄露

Netwrix 2026 Data and Identity Security Report发现，在过去12个月中，人工智能显著增加身份足迹的组织中，数据泄露率为43%，而未发生显著变化的组织中为11%。每增加一个身份，攻击者就多了一个可利用的凭证。有效的云租户凭证使攻击者能够读取电子邮件、提取数据，并在SaaS服务之间移动，而不会触发为网络边界构建的控制措施。

身份和权限决定攻击者访问数据的路径

敏感数据泄露的起因与攻击者首次入侵的方式是两个不同的问题。在 Verizon's 2026 Data Breach Investigations Report（DBIR）中，漏洞利用（31%）超过凭证滥用（13%），成为主要的初始访问途径。凭证滥用仍在39%的泄露事件中出现过。

一旦进入，无论是通过漏洞利用还是被盗密码，数据访问都通过身份和权限进行。 防火墙控制 管理网络流量，而身份和权限管理数据访问。

保险公司已经将此风险计入续保价格

在被保险组织中，Netwrix 2025 Cybersecurity Trends Report 发现对IAM的需求从2023年的38%上升到2025年的48%。续保周期现在包含身份相关的问题，保费反映了这些答案。

Identity Management 安全必须回答的问题

一个可行的方案回答了董事会和审计人员可以评估的四个实际问题：

1. 谁现在拥有有效访问权限？
2. 该访问是否被正常使用？
3. 访问决策以后可以辩护吗？
4. 访问权限是否按时被移除？

支持的学科包括Privileged Access Management（PAM）、身份治理和管理（IGA）、Identity Threat Detection & Response（ITDR）以及身份安全态势管理（ISPM）。

谁现在在所有系统中拥有何种访问权限？

团队通常逐个系统回答此问题。AD团队提取组成员资格，Microsoft 365管理员导出角色分配，每个SaaS所有者都有控制台。缺少的是跨AD、Microsoft Entra ID、SaaS和云的单一当前视图，嵌套组成员资格已解析为个人实际拥有的访问权限。答案通常需要会后进一步核对。

该访问是否按预期方式使用？

当人员在预期时间之外使用账户时，即使该账户拥有正确权限，行为仍需单独验证。凭证盗窃，横向移动和权限提升，从权限角度看可能像是允许的活动，因为账户执行的是被允许的操作，但其顺序和节奏与合法管理员行为不符。回答此问题需要对行为进行长期分析，这正是ITDR的职责。

我们能否事后展示访问为何是合适的？

当团队无法在事后重建有效的访问决策时，组织缺乏审计员所期望的证据。组织需要记录谁请求了访问、谁批准了访问以及最后一次由谁审核。该记录将最初的决策与当前的权限连接起来。

访问权限会在应当移除时被移除吗？

书面政策与目录状态可能迅速偏离。 Standing privileged access超出其存在理由，项目结束后仍活跃的承包商账户，以及所有者早已离开的服务账户，各自保留了今天无人会重新授权的权限。

Netwrix 2026 Data and Identity Security Report发现，76%的组织无法在不再需要时立即撤销持续访问权限，领导者可以通过更强的生命周期控制来解决这一问题。

身份安全的核心组成部分

Identity 安全将工作分配在配置、privilege、治理、检测以及它们都依赖的目录之间，按照每个学科进入访问生命周期的顺序进行。

IAM：授予和管理访问权限的保护伞

IAM涵盖决定谁可以访问什么并进行配置的系统和流程，包括目录、single sign-on、多因素认证（MFA）和访问请求。安全控制基于IAM授予的权限，通过审查已发放的权限以发现妥协、滥用或累积风险的迹象。

Privileged Access Management：能够造成最大损害的特权子集

Privileged Access Management 管理能够更改环境本身的账户，包括域管理员、云全局管理员和 服务账户，这些账户拥有提升的权限。PAM 工具对用于管理或配置系统和应用程序的账户、凭据和命令施加更严格的技术控制。

组织为这种狭窄且高风险的访问使用独立的工具和会话记录，因为保险公司和审计员比标准用户访问更严格地审查它。Netwrix Cybersecurity Trends Report 2025发现，42%的IT专业人员如果有选择，会优先改善PAM，而非其他安全举措。

IGA：检查访问权限的治理层仍然有意义

Identity治理和管理提供了定期审查层。IAM配置面向未来，因为某人今天需要一个角色，而IGA回顾过去，询问18个月前授予的访问权限是否仍然适当，以及团队应该已经撤销了哪些权限。IGA的核心功能包括identity lifecycle management，访问认证和访问请求处理。出于审计目的，IGA会生成显示有人审查过访问权限的认证记录。

ITDR：访问授权后监控妥协

Identity threat detection and response 提供实时层。 Gartner 于2022年引入了该类别。它能在凭证被盗、横向移动和权限提升发生时进行检测。IGA和PAM管理团队是否正确设置访问权限，而ITDR则在访问存在后识别滥用行为。

Directory 安全性：保护每个 Identity 依赖的系统

Active Directory 和 Entra ID 构成了其他学科的基础。被破坏或配置错误的目录会同时破坏所有这些学科，因为目录控制更改了每个身份的真实来源。

Five Eyes 指南 检测和缓解 Active Directory 受损，首次发布于2024年9月，随后进行了修订，警告称控制 Active Directory 会使恶意行为者获得其管理的所有系统和用户的特权访问权限。

Identity 安全性在 Zero Trust 中的位置

网络安全和基础设施安全局（CISA）将身份置于持续验证的核心。 CISA 的 Zero Trust Maturity Model 将身份作为其五大支柱中的第一项，处于最佳阶段时，组织通过使用抗钓鱼的多因素认证（MFA）持续验证访问过程中的身份。

持续验证，least privilege，以及在实时会话中重新评估信任，都是身份安全工作。与CISA模型一致的Zero Trust策略依赖于执行该策略的身份控制的强度。

如何评估您的组织现状

三个练习使用团队已有的工具产生可辩护的基线。定时可见性测试、特权访问审批审查和独立目录扫描各自产生一个特定的成果，团队可以将其交给领导层或审计员。

运行为期一天的有效访问可见性测试

请团队在一个工作日内回答“谁当前在每个系统中拥有何种访问权限”。记录所涉及的控制台数量、所需时间以及团队未能覆盖的系统。完成的结果应为每个用户的有效访问权限的单一核对列表，或在无法完成时，记录阻碍生成该列表的因素。两种结果均应在后续董事会报告中体现。

审查无人记得授予的持续特权访问权限

提取具有提升权限的所有账户的完整列表，包括服务账户和通过嵌套组继承管理员权限的账户。对于每个账户，确定是谁批准的，何时批准，以及为何访问仍然有效。

完成的内容看起来像一个电子表格，每条记录都附有审批记录，并有一份要撤销账户的简短名单。 Cybersecurity Maturity Model Certification (CMMC) 2级评估人员正是要求这套工件，包括与指定个人相关联的活动系统账户列表及相应的访问授权记录，因此该演练也可作为审计准备。

根据标准清单运行独立的目录扫描

使用外部扫描对目录进行评分，例如基于MITRE ATT&CK映射的评估或基于AD攻击技术的Five Eyes guidance，以生成独立的基线。结果类似于一个排名的错误配置列表，包括允许普通用户升级为管理员的配置以及攻击者无需交互式登录即可攻击的账户。

将身份安全转化为董事会和审计语言

资金依赖于将身份发现转化为暴露、响应时间和董事会可采取行动的可辩护证据。美国全国企业董事协会（NACD）的Director's Handbook on Cyber-Risk Oversight，第五版（2026年），将该翻译责任分配给管理层。

适用于董事会对话的指标

漏洞数量衡量的是工作量，而董事会需要看到风险暴露。基于时间的identity指标提供了这种视角，将技术活动转化为非技术董事可以评估的风险时间线。NACD将这些指标列为至少每季度报告一次，并在任何重大事件发生后立即报告：

• 平均检测时间（MTTD）： 被攻破身份未被发现的时间窗口，攻击者可在此期间横向移动或提升权限而不被察觉。
• 平均响应时间（MTTR）： 从标记不必要或受损访问到撤销所需的时间，是衡量组织关闭漏洞速度的直接指标。
• 高成本事件比例： Netwrix Cybersecurity Trends Report 2025发现，报告攻击损失超过20万美元的组织比例几乎翻倍，从2024年的7%增至2025年的13%。这一趋势为MTTD和MTTR提供了业务成本的参考。

审计员期望看到的证据

准确的访问决策及其证据是独立的审计要求。System and Organization Control 2 (SOC 2) 标准中的 CC6.2 条款要求在访问权限不再被授权时移除用户系统凭据，且 AICPA's Trust Services Criteria 设定了SOC 2审计员测试的标准。

审查通常追踪两种类型的证据：

• 配置和终止记录： 一些访问授权和访问移除事件的样本，这些事件可追溯到已批准的工单，延迟移除则作为例外记录。
• 访问审查文档： 审查者姓名、审查日期、涵盖的系统及经理签字，记录于每次定期审查中，而不仅仅是初始授权。

口头保证无法支持这些测试。审计人员将来自记录系统的带时间戳导出视为可审查的证据。

将发现转化为风险叙述，而非任务清单

当团队将目录发现作为技术积压呈现时，董事会可能会将其视为例行维护。围绕运营成果来框定相同的发现，使风险和修复目标更加清晰。

例如，“常驻域管理员访问缺乏可追踪的批准”变为“移除不必要的常驻访问缩小了目录范围控制的路径，并使批准过程可审计。”

Netwrix如何在实践中支持身份安全

Netwrix 在混合 Microsoft 环境的身份生命周期中构建控制，从目录评估和态势可见性到活动记录、权限执行、威胁检测和实时阻断。每个产品都对应本指南开头提出的四个问题之一。

使用外部基线对目录暴露进行评分

Netwrix PingCastle通过170多个映射到MITRE ATT&CK的检查评估、评分和排名AD风险，生成上述目录扫描所需的独立基线。由于目录控制支撑着所有其他Identity领域，优先排序的PingCastle评分将广泛的Microsoft目录问题转化为技术采购人员可执行的可衡量工作清单。

保持身份风险的最新状况

Netwrix Identity Security Posture Management (ISPM) 通过 Netwrix 1Secure™ Platform 提供，利用170多个检查点揭示 AD 和 Microsoft Entra ID 中的错误配置，保持态势可见性实时更新，为团队提供随环境变化而变化的全貌，而非滞后于最后一次手动对账。

这就是回答“谁现在拥有对什么的访问权限”所需的。SaaS交付模式消除了设置工作中的基础设施配置。

通过混合活动记录缩短调查时间

Netwrix Auditor记录 AD、Microsoft 365、文件系统及其他平台的变更和访问活动。该记录为团队提供了回答“我们能否证明访问的合理性”所依赖的证据链，并提供了更快发现异常活动的方式。

对高风险账户实施最小权限

Netwrix Privilege Secure 直接回答特权账户的“访问是否按时移除”。它用针对特定任务的即时访问替代常设管理员权限，任务结束时自动移除，并记录相关会话以供审计审查。

Eastern Carver County Schools取消了对存储9,300名学生数据的系统的常驻管理员访问权限，改为按需访问，并在几天内完成了部署，而非数月。

实时捕捉访问滥用

Netwrix Threat Manager 回答“该访问是否在实时中正常使用？” 它检测凭据盗窃、横向移动、权限提升、Kerberoasting、Golden Ticket攻击及其他身份威胁，覆盖AD和Microsoft Entra ID环境，并额外支持Active Directory Certificate Services（AD CS）ESC1-ESC7技术。

Netwrix Threat Prevention 通过实时阻止DCSync、Kerberoasting和Pass-the-Hash攻击，进一步提升防护。将检测和阻断分布在两个产品中，保持控制的独立性，同时保护Tier Zero资产，如特权组、域控制器和Group Policy Objects（GPOs）。

了解您的身份状态

跨混合 Microsoft 环境的有效访问可见性、可追溯的治理证据、当前态势信息以及及时的检测或遏制，应推动身份安全投资。

将书面政策与目录状态进行比较以建立基线，然后使用一天的可见性测试、privileged-account审查和独立扫描来确定下一步投资将产生最大影响的地方。

请求演示，了解 Netwrix 如何帮助您映射混合 Microsoft 环境中的有效访问，消除常驻特权访问，并实时检测身份威胁。