特权访问是指具有业务系统特权，业务系统配置更改或业务数据访问权限的人员的行为。分散和混乱的特权访问状态的集中和统一控制是实现特权身份和访问权限的集中管理以及实时访问行为的实时记录的有效解决方案，为事后安全审计提供了强有力的证据。

特权访问
I.特权访问下的安全风险
特权访问是指具有业务系统特权，业务系统配置更改或业务数据访问权限的人员的行为。特权访问行为可以控制组织资源，修改安全策略以及访问大量敏感数据，这些数据通常与系统操作和维护操作相关。系统操作和维护访问操作是最典型的特权访问行为。例如，以root用户身份登录系统，以修改系统参数，停止核心业务服务或在Linux系统上执行系统关闭操作。或者使用管理员权限登录交换机以修改交换机路由配置。添加访问白名单以释放外部用户以访问内部敏感系统和数据等。特权访问具有强隐私，高可执行权限和广泛影响的特征。特权访问通常具有以下安全风险：
特权身份欺诈，滥用
访问管理混乱
缺乏有效的安全审核以满足安全法规要求

数据传输泄漏和威胁分析不足

第二，特权访问下的数据安全建议
分散和混乱的特权访问状态的集中和统一控制是实现特权身份和访问权限的集中管理以及实时访问行为的实时记录的有效解决方案，为事后安全审计提供了强有力的证据。绿盟已提出以下四项安全建议，以改善特权访问安全性。
建议1  - 特权身份的集中管理
（1）中央账户集中管理
特权身份自然人的抽象被定义为主帐户，并且所有可访问的业务系统帐户密码信息被抽象地定义为辅助帐户。所有主帐户和辅助帐户的统一管理是特权访问管理的先决条件。主账户通常由权利分离原则管理。它可以分为三种类型的角色权限：特权身份管理员，权限审计员和系统维护者。特权身份管理员负责创建，编辑，分配和注销主帐户。一系列完整的生命周期管理；特权审计师负责审计主要账户操作行为，审计账户使用情况，并对审计结果进行统计报告；系统维护者负责配置，更新和维护特权身份管理系统。三种特权相互制约，防止特权监管真空区。同时，采用双因素或多因素认证方法识别主账户，解决特权身份混合和欺诈使用问题，为安全事件指示和规则提供可靠依据。并引入身份保护机制，如锁定登录为暴力破解密码行为，静默会话自动注销，不能使用重复密码，帐户密码信息加密存储等安全机制来保护主账户信息。（2）账户集中管理
将所有业务系统抽象定义为目标设备。目标设备中所有从属账户的集中管理形成了账户分配的全景视图，这相当于管理用于访问企业信息资产库的“金钥匙”。根据全景图，管理“金钥匙”的分发和使用。同时，您还应该定期检查以找出企业中的目标设备和帐户信息。例如，通过SSO（单点登录）技术，主帐户用户可以在不知道帐户密码的情况下访问业务系统和数据。定期扫描IDC会议室中尚存的业务系统，并发现从属帐户信息。

定期检查账户密码的状态，及时发现异常情况，并保留“金钥匙”。例如，定期验证帐户密码的有效性可以及时发现帐户密码的泄密或被盗，并发现特权访问不仅仅是更改操作行为的权利。定期更改帐户密码，使密码符合强密码规范的要求，解决帐号密码泄露和被盗的问题。定期检测账户状态，您可以及时找到非法植入的鬼（后门）账户，因为员工离开公司后未及时取消的孤儿账户（不用于长期）是不正常的。对于核心业务系统，“金钥匙”最好能够转换升级认证机制，升级到双因素认证（即支持可知和不可知因素的双因素认证），例如，通过账户认证通过固定密码和动态密码组合认证可以彻底解决密码丢失，窃取和定期更新的问题。

建议2  - 集中控制访问权限
（1）最低访问权限原则
访问权限尽可能地划分为最小粒度，仅授予特权访问所需的最小权限集，并且特权访问权限以集中方式统一分布，以形成特权访问权限全景，这清楚地描述了自然人可以访问哪些业务系统，以及哪些访问可用。允许在特权访问中最小化权限滥用或未授权行为的发生的权限。例如，通过查询和编辑权限将数据库分为两种类型的帐户user1和user2。当仅需要查询操作时，可以分配usr1以防止意外删除数据。根据服务器应用程序的特性，还可以通过将权限分为上载和下载权限（例如文件服务器）来控制权限。
（2）资金管理模式
对于访问高价值业务系统和高风险操作，应使用实时保险库模型进行管理和控制，即“操作监管”双柱模式用于管理特权访问，以及实施高价值业务系统“一次访问和一次审批”。级别操作“一次操作，一次批准”，以及访问操作过程的特殊操作的实时管理。例如，当访问网络边界网关交换机和防火墙时，在修改访问控制配置或重新启动设备操作时，应执行操作批准和确认。建议3  - 集中的集中安全审计
事后事件分析的主要内容是谁在什么时间和地点操作业务系统，哪些权限可用，并且可以进一步提升给管理它的操作员，谁被导入到操作中如果是业务系统主管或主管，则是否正确分配了访问权限，分配和审核了谁以及进行了哪些调整，以及维护环境。可以通过安全审计完整记录这些问题。在事后分析中更重要的是能够完全恢复事件并准确评估事件的风险和损失。
建议4  - 数据加密和威胁分析
（1）通信协议加密保护
加密数据是解决网络嗅探和窥探的最佳方式。加密特权接入通信的数据流可以有效防止监控和流量恢复造成的数据泄露。例如，文件传输FTP协议更新为SFTP，TELNET更新为SSH，VNC更新为RDP，依此类推。
（2）威胁分析和检测

业务系统特权访问留下的数据是否会对业务系统的稳定性和业务核心的安全性产生重大影响，是否存在安全威胁？这些问题总是困扰着管理员和CISO。由于特权访问的强大隐私，传统的安全检测方法（如IDS，网络审计或安全沙箱）很难检测到安全威胁。如果在传统安全检测技术的基础上增加协议代理或数据轮渡技术，可以有效解决特权访问过程中的数据威胁分析，提高数据安全性能。

三，总结
在特权访问行为的整个过程中，先前的权限标识形成“一个人，一个角色，一个帐户”，即自然人属于一种角色权限，使用帐户来防止身份欺诈和混合使用；事件中的集中访问管理依赖于“一张图片，一张原则和一种模式”，即访问权限全景，“最小权限”原则和“操作 - 监督”模式，改变权限管理模式；事后操作行为安全审计，构成“一人一操，一记录”，即任何自然人都有任何操作行为记录，改进事件分析和可追溯性；持续保护操作和维护数据的数据和威胁，消除数据泄露和检测安全威胁。使特权访问管理从被动到主动，有效提高企业或组织的效率。

• 上一篇: 蓝盟IT外包，元宇宙：四梁八柱是什么
  下一篇: 我们来谈谈应用程序安全性。

• 分享到：