本来想对2年前一篇发文进行二次分析，不过关于非人类身份，国内热度比较慢，但随着身份的蔓延，云原生架构应用，LLM的盛行，智能体的发展等，可能是未来的一个方向，所以有必要转述本篇报告。不过提醒供应商，没有此类“基因”的团队和对应的商业模式不要轻易尝试。

2023-10-26 ，Keyfactor出售少数股权后，估值达 13 亿美元，这家由 Tricentis 前高管领导的机器身份管理供应商在获得第六街集团（Sixth Street Group）的少数股权投资后，估值达到 13 亿美元。

2024-05-20，CyberArk以15.4亿美元收购Venafi，加强机器对机器安全领域的实力。

2024-05-09，Token Security 融资 700 万美元从隐形中脱颖而出，通过引入机器优先的方法，为该领域带来可视性和持续的威胁暴露管理。

2024-06-19 ，Entro Security获1800万美元A轮融资，这家以色列初创公司的平台可帮助安全团队对机密和NHI管理实施强有力的治理并使之自动化，同时进行实时检测和响应。

2024-09-11，P0 Security完成1500万美元A轮融资，帮助企业在数分钟内管理和保护所有人工和机器身份的云访问安全。

2024-09-13，Aembit融资2500万美元，采用非人类身份管理（IAM）服务，超越被动的可见性和治理，主动缩小非人类身份所带来的攻击面。

【RSAC 2024 惜败AI类】

身份将是网络安全的新前沿

        在为这个身份优先的时代做准备时，您准备好安全地利用人工智能、量子和云原生计算等先进技术的力量了吗？借助现代机器身份管理，您将能够做到。

        2024年10月1-3日，在在波士顿进行为期三天的探索塑造机器身份和网络安全的最新、最具远见的趋势。

从Gartner 2023数据安全成熟度曲线看处于落入谷低的时间段，符合大力推进的预期。

本篇报告来自Francis (Software Analyst) --网络安全研究员 |Software Analyst 的创始人 |Ex. Opposite Capital 的网络安全研究 |例如 AI/ML 产品主管。

该报告讨论了非人类身份 (Non-Human Identities，以下简称NHI) 的重要性、解决该问题的主要供应商以及我们为何会看到该领域的复苏。

今天，来探讨一下非人类身份 (NHI) 的主题。NHI 是今年最热门的话题之一，仅次于AI安全或AI SOC。

software analyst今年早些时候的一份热门研究报告是关于身份安全的。当时的重点主要放在人类身份上。然而，非人类身份 (NHI) 及其挑战在2024年开始引起CISO和安全领导者的共鸣。

本报告旨在概述NHI，解释其为何受到青睐，讨论其未来成果（功能或平台），并详细分析该市场的主要供应商。该报告有助于区分身份生态系统中的关键参与者。    

上周， Francis有机会在纽约市的一次NHI会议上向CISO和安全领导者们介绍了NHI。我的目标是分享我与高层领导讨论的关键见解以及我根据大型全球安全领导者的成果收集到的工作成果。

(1)NHI是指与应用程序、服务和机器相关的数字身份。它们包括所有机器人、API 密钥、服务帐户和OAuth令牌 - 所有这些都是允许机器进行身份验证、访问资源和相互通信的凭据。

    (2)在任何企业堆栈中，NHI 的数量都远远超过人类身份，大约每个人类身份对应 17 个 NHI。有迹象表明，每 1,000 名员工就有超过 20,000 个 NHI。虽然 NHI 并不是什么新鲜事物，但在过去 13 个月中，其重要性再次上升是有明显原因的。

    (3)NHI 并不位于一个中心位置——它们分散在各个系统中。由于分散性如此之大，公司很难准确定位它们。企业面临的最大挑战是获得全面可见性并维护整个企业堆栈中所有NHI的清单。

    (4)一个关键发现是，目前还没有明确的身份解决方案能够完全解决与NHI相关的问题。身份访问管理 (IAM)、IGA、PAM和ITDR等现代身份安全工具可以部分了解企业内的 NHI，但没有一个可以提供整体解决方案。这就是为什么我们看到一批新的公司试图解决这个问题。 

    (5)关于NHI的未来存在一些重要的争论；我就它们如何与企业内现有的解决方案相结合以及如何预期行业的未来发展进行了战略性的讨论。

    (6)感谢软件分析师的合作伙伴，例如Astrix、Entro、Natoma、Clutch 和 Aembit，感谢他们帮助完成这一研究项目。    

报告的其余部分分析了这个生态系统市场的每个组成部分以及它在未来十年将如何发展。挑战的很大一部分与企业目前用于解决这一问题的碎片化方法密切相关。根据我所做的大量研究和工作，显然没有一种解决方案可以全面解决这个问题。

流程分散

这份涵盖 800 多名安全和 IT 领导者的研究报告同样展示了组织当前如何应对 NHI 挑战。这份报告清楚地解释了此前市场地图中生态系统崛起的原因。    

当前NHI管理方法脱节

一些组织利用某种形式的CIEM、PAM或PKI集成来管理其机器身份挑战的各个方面。许多组织要么使用手动脚本，要么使用流程来处理该问题。基于当前分散的身份生态系统，没有一种解决方案可以解决问题，很明显，该行业需要一个全面的解决方案，我在上面已经提出并在整个报告中进行了讨论。

由于没有供应商能够解决这个问题，而 NHI 问题需要整体解决方案，因此最大的问题是，未来这些传统的身份安全类别是否仍将保持独立 - 拥有各自的泳道，或者我们是否会看到这两个类别之间的融合。该报告深入探讨了所有内容。    

企业身份安全解决方案的历史令人着迷。在今年与Alex Krongold和Daniel Bartus合著的热门报告《深度概述：云原生身份安全的未来》中，我们细分了身份市场，并对身份生态系统进行了透彻的了解，主要关注员工身份。   

身份和访问管理 (IAM) 的核心是了解“谁（或什么）”对“哪些”资源采取“什么”行动，以确保人员和流程保持高效，同时保持安全 - 跨人员和机器。

从历史上看，身份管理侧重于人，即通过身份提供者 (IdP) 和访问权限管理人类凭证。然而，近年来，管理非人类工作量和机器的重要性显著增加。

随着向云原生架构、微服务和 DevOps 实践的转变，非人类身份日益增多。它们的数量现在远远超过人类身份，预计到 2025 年这一趋势将增长 50 倍。与通过身份治理和管理 (IGA) 系统集中管理的人类身份不同，非人类身份通常分布在云环境、SaaS 应用程序、本地环境和服务到服务通信中。这形成了一个缺乏监督的复杂身份网络，使其成为攻击者的诱人目标。

非人类身份 (NHI) 是与企业技术堆栈内的应用程序、服务和机器等实体绑定的数字身份。这些包括机器人、API 密钥、服务帐户、OAuth令牌、云服务和其他允许机器或软件进行身份验证、访问资源和在系统内通信的凭据。

它们位于哪里？

NHI广泛而多样，包括服务账户、系统账户、机密、webhook、SSH密钥、物联网设备、机器人、机器身份、容器、微服务、RPA、LLM、自动化脚本和云资源。

这种多样性和碎片化性质增加了管理NHI的复杂性，增加了对自动化的需求。非人类身份在组织中无处不在，常见于：

    (1)基于云的环境和本地环境

    (2)Google Workspace、Salesforce 和 Slack 等商业平台

    (3)GitHub、AWS 和 GCP 等工程环境

    (4)Snowflake 等解决方案中存在的服务帐户

服务帐户

服务帐号是应用程序、服务或系统用来对 IT 环境中的其他资源进行身份验证和交互的特殊类型的非人类身份。这些帐号通常用于自动化流程、应用程序间通信或授予对特定资源的访问权限而无需人工干预。    

    服务账户的主要特征包括：

    (1)它们不与任何特定的个人用户绑定。

    (2)他们通常拥有执行特定任务的提升权限

    (3)它们通常不需要交互式登录

服务帐户可以在各种环境中找到，例如 Active Directory、云平台和数据库。据了解，Active Directory 服务帐户（用于 Microsoft Active Directory 环境中的机器对机器通信）是众多NHI类型中最普遍和最易受攻击的NHI。这些身份与人类身份一样容易受到潜在的攻击和滥用。事实上，由于历史上缺乏可见性和保护，它们甚至可能面临更大的风险。通常，它们具有对敏感机器的特权访问权限，实际上使它们成为管理员帐户。

ITDR供应商开展了一项研究，揭示了Active Directory 服务帐户的范围、它们遭受攻击的可能性以及安全团队发现和保护这些帐户的信心。默认情况下，由于这些服务帐户具有高访问权限、低可见性和保护挑战，攻击者经常会针对这些服务帐户进行横向移动。此外，在许多情况下，服务和身份团队根本不知道这些帐户的存在，因此服务帐户无法被安全和身份团队发现。

该架构高度分散。组织在尝试将这种网格整合到一个架构中时面临巨大挑战。更重要的是，NHI给大型企业带来了重大风险，因为它们具有以下特点：    

    (1)连接各种系统，从而允许许多后门

    (2)本质上过于宽容，而且通常没有期限

    (3)未经授权的活动监控不充分，难以发现

    (4)能够进行大规模横向移动，从而增加攻击的爆炸半径 

    (5)NHI 缺乏 MFA：与通常使用多因素身份验证 (MFA) 保护的人类身份不同，非人类身份通常仅依赖静态机密（API 密钥、令牌）。如果这些机密被泄露，攻击者可以绕过大多数传统安全措施

    (6)寿命长：许多非人类身份在创建时没有到期日期，或者密钥在没有轮换的情况下可以保持活跃多年，这进一步增加了被利用的风险。

    与人类的 IAM 一样，非人类实体（例如机器人、API 和 IoT 设备）更多地受到过多权限、过时凭证和缺乏监控等问题的困扰。

    这是该类别观察者最大的疑问。大多数NHI在企业中并不是什么新鲜事。然而，它们的重要性和知名度却因以下几个原因而不断提高：

    (1)近期的 NHI 目标：SolarWinds 攻击、AWS 漏洞以及我将在后续章节中讨论的许多漏洞等重大漏洞暴露了企业在管理 NHI 方面的弱点，使其成为网络攻击者的主要目标。服务帐户、令牌和 API 密钥通常具有提升的权限和对关键基础设施的访问权限，一旦受到攻击，它们对于横向移动或泄露数据非常有价值。这不仅仅是管理组织基础设施内 NHI 风险的问题；它们还严重暴露于第三方供应链风险（中型组织通常有超过 300 个第三方 SaaS 集成）

    (2)云扩散和混合云：向云平台（AWS、Azure、GCP）的迁移以及与 SaaS 服务的集成成倍增加了非人类身份的使用（称为 Secrets Sprawl）。云中的服务通过 API 互连，这些集成需要使用令牌、API 密钥、服务帐户和其他形式的 NHI 进行机器对机器通信

    (3)微服务架构的爆炸式增长：微服务严重依赖非人类身份 (NHI) 进行内部通信。每个服务通常都有自己的 API 密钥、令牌或凭据来与其他服务交互。这大大增加了 NHI 的数量，因为现代应用程序由数百甚至数千个微服务组成。向微服务的转变反过来引发了一波 API 安全浪潮，通常基于 OAuth2。这种需求因跨不同管道和信任边界的自动化管理和数据移动需求而进一步加剧，涉及服务帐户、聊天机器人以及现在的 AI 系统

    (4)人工智能代理和自动化：人工智能代理通常被设计用于自动执行任务、分析数据、做出决策，甚至自主与其他系统交互，被归类为非人类身份。随着人工智能的最新进展，有预测表明人工智能代理将推动全面增长，这意味着拥有人工智能代理和自动化流程的公司越多，我们的 NHI 扩散蔓延就越多。    

    (5)投资者融资和创始人不断涌现：在过去三年中，许多公司纷纷涌现以应对 NHI 挑战，许多投资者也在推动这一领域的增长。

NHI 的身份生命周期流程通常非常薄弱，在大多数情况下，它们仍处于无人管理的状态，从而导致严重的安全风险。在与 Lalit Choda 的交流中，他分享了以下主要问题和挑战：

    (1)纯文本/未加密凭证- 组织经常会发现许多 NHI 已被硬编码到源代码存储库（和其他地方），因此很容易被外部和内部威胁者发现。解决这些问题是当今大多数组织的一项重大任务。

    (2)账户的完整清单- 获取所有 NHI 的清单非常具有挑战性，因为这些 NHI 可能存在于许多平台、端点、目录服务和云集成中。

    (3)陈旧/不活跃的账户-由于生命周期流程薄弱以及缺乏账户使用信息可见性，许多 NHI 最终处于不活跃状态，这增加了攻击面。

    (4)缺乏账户所有权- 大多数组织中的 NHI 缺乏所有权信息 - 确定每个 NHI 的所有者对于帮助推动卫生/补救活动至关重要。

    (5)人类使用非人类账户- 人类使用 NHI 一直是一个问题。用户很容易绕过人类访问控制并使用 NHI 账户。这会导致否认问题，而且在许多情况下，这些活动都无法被发现。

    (6)缺乏凭证循环/轮换——循环/轮换 NHI 非常具有挑战性，原因有很多，例如缺乏密码更改信息、可能导致操作影响的未知依赖关系、应用程序代码/配置所需的更改、缺乏秘密保管功能以及缺乏端点循环功能。    

    (7)缺乏环境隔离-在许多情况下，相同的 NHI 会在生产和非生产环境中使用，或者相同的逻辑 NHI 在每个环境中都有相同的密码，从而增加了横向移动的风险。

    (8)凭证共享- 跨应用程序共享 NHI 是一个主要问题，违反了必需品和最小权限原则。这会使密码循环等事情变得更加复杂，因为您不知道凭证使用位置的所有依赖关系。

机器和服务数量的不断增长为网络犯罪分子带来了新的攻击媒介。攻击者不再以采用复杂安全措施（例如 FIDO2）的人类为目标，而是利用硬编码凭证利用监控不力的 API。目前已发生四起与非人类身份 (NHI) 相关的著名攻击。

深入探讨每一个：

利用库存缺口

Cloudflare 2023 年感恩节安全事件涉及一名威胁行为者利用其非人类身份清单中的漏洞访问内部系统。攻击者使用之前 Okta 漏洞中泄露的凭证访问了 Cloudflare 的 Atlassian 环境，其中包括 5,000 个轮换密钥和 4 个遗漏的密钥。这种管理凭证和权限的疏忽为攻击者创造了一个可利用的漏洞。    

利用错误配置的环境变量

最近针对亚马逊网络服务 (AWS) 的网络攻击利用了配置错误的环境变量文件 ( .env文件)。这些文件通常存储敏感信息，例如访问密钥和 API 凭据。攻击者扫描了超过 110,000 个域，提取了超过 90,000 个唯一凭据，包括 AWS IAM 访问密钥。

根据我的所有研究，这些是处理和解决NHI问题的基本程序。这些是组织为人员配备或寻求雇用供应商而采取的步骤。正如所讨论的，目前还没有一个整体的解决方案来解决这个问题。许多供应商和企业解决问题的方式涉及NHI的生命周期。它由几个关键步骤组成，这些步骤与身份和访问管理 (IAM) 的最佳实践相一致。其中最重要的是：    

1. 可见性：发现和盘点

许多组织需要采取的第一个关键步骤是识别整个组织内使用的所有 NHI（例如服务帐户、API 密钥、机器身份），无论是在本地还是在云环境中。然后，企业必须建立并维护所有 NHI 的动态清单，并按类型（例如服务帐户、令牌）和用例（例如云服务、DevOps 管道）对每个 NHI 进行分类。

组织将利用这一点来 a) 建立全面的注册表并进行盘点，以规划所有 NHI，包括其用途、所有者和相关权限。记录并查看其风险。c) 与不同的利益相关者合作以了解这一情况。这将涉及工程、DevOps、身份和云团队。

2. 配置、分配和分类

第二个组件负责在首次部署 NHI 时安全地创建和分配唯一凭证。这确保了 NHI 从一开始就获得正确的访问权限以及适当的特权和治理。这包括定义其访问范围并确保正确分类以进行持续监控。此过程包含几个组件：

分类和安全配置：应根据关键性、权限级别和访问类型（例如特权、敏感数据访问、职责分离）对 NHI 进行标记，并使用元数据捕获所有权以及它们所绑定的服务或系统。之后，应通过符合安全策略的受控、自动化流程创建 NHI。    

基于角色的分配：必须将每个 NHI 分配给特定的角色、服务或系统，并明确定义其可以访问的数据或操作（例如，AWS Lambda 函数或 Azure 服务帐户）。

特权分类：必须根据 NHI 的访问级别（特权、敏感数据）和上下文（例如，它们是否用于内部服务到服务通信或第三方集成）对其进行分类。

3. 态势管理与监控

态势管理涉及对 NHI 的持续评估，以确保其安全配置符合组织的政策和标准。监控侧重于对 NHI 的异常或危险行为进行持续评估，确保实时检测到任何偏离安全实践的行为。

安全态势评估：供应商必须持续评估每个 NHI 是否存在安全漏洞，例如过多的权限、过时的凭证或错误配置（例如，访问范围过宽的 API 密钥）。

行为监控：实施跟踪 NHI 行为的监控工具，确保活动符合基线模式（例如，API 密钥不应访问未经授权的服务或与未知端点通信）。NHI 供应商应利用此基线分析来检测可能表明受到威胁的可疑行为（例如，在异常时间或未经授权的位置使用 API 密钥）。

这里还有另一个重要组成部分，即调整 NHI 的即时访问权限。这有助于通过仅在必要时授予访问权限来减少常设特权。这可确保 NHI 仅在需要时才有权访问，从而最大限度地降低风险并符合零信任安全原则。

4. NHI 检测与响应

此阶段的重点是实时检测受损或异常的 NHI，并快速响应潜在事件以最大限度地减少损害。它涉及设置检测机制和定义针对非人类身份的事件响应流程。NHI 供应商应建立自动警报机制，通知安全团队潜在的 NHI 入侵或政策违规行为。他们还应专门针对与 NHI 相关的威胁建立预定义的事件响应手册，以确保迅速采取行动。

5. 轮换和秘密保管

保护 NHI 的一个关键方法是确保企业内的所有机密和保管库定期更新或在适当的时候撤销凭证，以降低凭证泄露的风险。这涉及管理 NHI 机密（例如 API 密钥、令牌、证书和密码）的安全存储、轮换和生命周期，以最大限度地降低未经授权访问的风险。

机密轮换：每个 NHI 供应商都必须确保他们可以实施自动策略，定期轮换 NHI 机密（例如 API 密钥、令牌），以限制凭证的使用寿命并减少攻击者的机会窗口。最佳做法包括每 30、60 或 90 天轮换一次机密。

安全保管：公司应将所有 NHI 机密存储在集中式加密机密管理解决方案或保管库中。确保对保管库的访问受到严格控制和监控，并使用基于角色的权限来防止未经授权的访问。HashiCorp Vault 或 AWS Secrets Manager 等机密管理工具可以协助实现这一点。

审计和跟踪：维护所有 NHI 机密的访问、更改和轮换的详细审计日志。这可确保问责制并为合规性和安全性调查提供审计线索

如果未能及时轮换凭证，则会增加泄露的凭证被恶意使用的可能性。

6. 取消配置和退役

最后阶段涉及安全取消配置和停用不再需要的 NHI，确保它们不会造成持续的安全风险。取消配置和停用非人类身份 (NHI) 对于维护强大的 NHI 安全性至关重要。此过程涉及几个关键步骤，以确保安全从系统中删除不活跃或不必要的 NHI，从而防止潜在的安全风险。

自动化工作流程在此过程中发挥着至关重要的作用。这些工作流程识别并停用不再有效或不必要的 NHI，删除所有相关凭证、特权和访问权限。为了补充这一点，组织应制定到期政策，为 NHI 及其凭证设置具体日期，确保自动停用不活跃或过时的身份，从而最大限度地降低陈旧的 NHI 被攻击者利用的风险。

定期验证和确认是取消配置过程的重要组成部分。这涉及检查已取消配置的 NHI 是否已从所有系统（包括云平台、本地环境和第三方集成）中完全删除。应进行定期审核，以确保系统中不存在“僵尸”身份。这种彻底的取消配置方法是必要的，因为未正确删除的 NHI 可能会成为潜在的安全风险，尤其是在其凭据仍然有效的情况下。

如今，非人类身份 (NHI) 生态系统中有多种类型的供应商：    

Aembit：非人类身份的 Okta

Aembit 是一个非人类身份 (NHI) 和访问管理平台，旨在处理跨多云、SaaS 和本地环境的安全机器对机器交互。Aembit 通常被称为“非人类身份的 Okta”，它简化了机器身份及其访问权限的实施，确保安全和自动化的访问，而无需开发人员或 IT 团队的手动干预。

我发现人们对 Aembit 存在误解。它们的区别在于，它们基于实时策略实施和条件访问来代理访问。它们采用无秘密身份验证方法处理短期访问凭证。与此同时，讨论的其他供应商则专注于 NHI 发现、可见性和生命周期管理和补救。

Aembit可能大家不陌生，它是今年RSAC2024创新的TOP10之一，去年笔者在公众号一篇有涉及，当然今年Aembit已经或者2500万美元的融资。

众所周知，一些公司可能会使用某种形式的 Cloud IAM 和机密管理器（例如 HashiCorp Vault），但它们在管理现代分布式基础架构方面存在局限性。这些工具通常旨在管理特定环境（例如 AWS 或 GCP）中的静态凭据，但它们难以处理多云或混合基础架构所需的跨环境通信。例如，Cloud IAM 系统是内向型的，这意味着它们在本机环境中运行良好，但在尝试连接到外部系统、SaaS 应用程序或其他云提供商时会产生漏洞。同样，CyberArk 和 HashiCorp 等机密管理器旨在安全地存储机密，但缺乏分布式环境中非人类身份 (NHI) 安全所需的条件访问、实时策略实施和身份联合。

Clutch Security

Clutch Security 是一家非人类身份供应商，于2024年初成立，并于7月正式亮相。Clutch正在从独特的角度解决这个问题，该角度基于所谓的身份谱系，并使用零信任方法来解决此问题。

Clutch Lineage 是一种功能，它提供了一个全面的框架，用于了解组织基础设施内非人类身份（例如服务帐户、API 密钥、令牌和机密）的完整生命周期和交互。

身份谱系围绕一个模型构建，该模型描绘了每个NHI运行的生态系统。Clutch确定了涵盖NHI生命周期的五个关键要素：

来源（创建地点）:这是身份的来源，例如生成 API 密钥或机密的系统。

人员（拥有、创建或使用人员）：这些是组织内创建或有权访问这些非人类身份的人类行为者。通过将NHI与特定个人联系起来，Clutch提供了问责制和清晰的归因线索

存储（位置）：NHI 通常存储在各种位置，例如机密管理器（例如 AWS Secrets Manager、Azure Key Vault）、密码管理器（例如 1Password、LastPass）或硬编码在应用程序代码中。Clutch 跟踪这些身份的存储位置，从而了解这些存储机制是否安全。    

消费者（哪些系统正在使用它）：这些系统以编程方式使用 NHI 执行操作。通过识别哪些系统使用这些身份，Clutch 可帮助组织监控和控制哪些流程或应用程序可以访问敏感信息。

资源（这些身份可以访问的内容）：这些是 NHI 可以访问的资产或数据。通过规划每个 NHI 可以与哪些资源交互，Clutch 可确保组织能够了解其身份是否具有过多特权或存在漏洞。

Clutch 确实涵盖了 NHI 的所有领域 - 可见性、生命周期管理治理、态势和风险管理以及检测和响应。通过绘制每个 NHI 的完整生命周期，Clutch 不仅让公司了解其身份所在位置，还让公司全面了解这些身份如何与其环境交互。从本质上讲，Clutch 的产品解决了实时身份泄露的问题。通过一个直观的平台关联来自广泛集成的数据，Clutch 为安全团队提供了对其 NHI 生态系统的直观和全面了解。这不仅仅是为了发现风险；而是要将这些风险置于组织基础设施的背景中。

成功的决定因素

成功的关键因素是与公司的 SaaS、IaaS 和本地环境的集成广度。原因如下：

    1、有效的NHI生命周期管理至关重要，但由于需要了解NHI的使用地点，因此管理起来很复杂。例如，如果NHI与关键服务相关联，则在无法完全了解其依赖关系的情况下轮换或卸载该NHI可能会导致系统故障。虽然可见性是起点，但更成熟的客户寻求更深层次的治理功能。他们想要能够帮助协调NHI管理的解决方案--例如，在确保依赖关系保持完整的情况下自动在各种环境中轮换机密。

    2、能够与访问管理/IDP、IGA 和 PAM 解决方案等根深蒂固的企业产品紧密集成至关重要。这三种产品在企业中具有强大的持久力。这种集成最终使公司能够在整个企业堆栈中获得有关人类和非人类身份的完整背景信息。

功能或平台融合之争

许多CISO认识到这是一个重大的安全盲点，有些CISO正在分配预算来解决此问题。然而，对于一些组织而言，这仍然是2025年的优先事项，因为当前的预算侧重于更紧迫的安全问题。通过我的广泛讨论和阅读，很明显，这个问题需要得到明确解决，否则它将成为更大平台的一部分。

通过收购或独立与更大的平台整合：

NHI领域将有赢家，有些会做得很好，而有些会被收购。一些供应商可能只关注可视性而不提供可操作的补救措施，这可能会限制他们的长期吸引力。客户越来越需要不仅能检测问题还能提供解决方案的平台。因此，许多这些供应商必须扩大其在堆栈其他领域的吸引力。

DevOps团队可能会拒绝实施破坏性的NHI安全解决方案，因为它们需要更改现有的脚本、流程和工具，即使该解决方案最终更安全。一些供应商提供侵入性较低的解决方案，在不中断工作流程的情况下提供可见性，但这些解决方案可能仅作为“功能”提供短期利益，而不是长期全面的安全解决方案。

身份治理与访问 (IGA)

IGA可以集成NHI发现工具，用于扫描云环境、SaaS应用程序和本地系统以查找 NHI（例如服务帐户和令牌）。这些工具应该能够识别与每个NHI相关的角色和权限，类似于管理人类身份的方式。

特权访问管理 (PAM)

PAM系统可以扩展其管理NHI凭证（例如 API 密钥和服务帐户）的功能，方法是使用保险库解决方案安全地存储和轮换这些凭证。PAM 系统/供应商可以收购 NHI 供应商，因为PAM工具已经管理了人类和特权访问。这种协同作用可以为人类和非人类身份提供完整的解决方案，尤其是对于缺乏强大 SaaS 和云立足点的供应商而言。

CNAPP / CIEM 提供商

Wiz 拥有一个 CIEM 解决方案，用于监控和管理跨云环境的授权。为了使 NHI 安全有效发挥作用，云安全和身份安全系统必须无缝协作。

需要以NHI为重点的专业计划和产品。

总而言之，基于目前身份生态系统的碎片化，没有一种解决方案可以解决问题，很明显，该行业需要一个全面的解决方案来解决问题。最近，NHI Mgmt Group进行了一项大型行业调查，涉及近 330 名安全从业人员，调查非人类身份产品和人类身份产品是否应该分开或融合。虽然结果很接近，55% 对 45% 的人赞成将非人类身份产品与人类身份产品分开，但现实情况是，一些投票支持融合的人希望这是一个理想的最终状态，但他们清楚地看到，目前有充分的理由将 NHI 风险的重点分开。    

解决非人类身份风险与人类身份风险的挑战和方法非常不同，例如解决源代码中的硬编码密码，需要通过扫描工具发现，然后补救需要将左移DevSecOps CI/CD 流程集成到秘密库中等。

虽然非人类和人类身份的身份生命周期流程可能存在重叠，但显然需要将 NHI 身份风险计划与人类身份风险计划以及更垂直地专注于发现和管理 NHI 风险的专门 NHI 产品分开管理。

从长远来看，随着行业走向零信任模型，我们从静态秘密转向JIT 模型，我们可能会看到更多的融合，因为它将成为身份管理和安全的更普遍的问题。

关注本公众号，回复 NHI  ，赠送一份《机器身份安全参考架构》。