2024年7月15日，AT&T（美国电话电报公司）将客户数据存储在云数据平台Snowflake上，由于用户未使用多因素身份认证来保护账户口令，黑客盗用凭证入侵了Snowflake账户，窃取超过1亿条用户数据；7月23日，墨西哥ERP软件商ClickBalance被指出云数据库未设置安全认证机制，可能造成7.69亿条记录泄露，其中包含大量敏感信息。由于账户口令保护机制欠缺导致大规模安全事件频发，可见账户口令的保护工作是保障企业资产安全的重点。特权账号管理系统（下文称“PAMS”）的主要功能是对特权账号进行集中管理，实现用户身份鉴别及访问控制管理，防止非授权访问，加强运维审计管理，规避操作风险，配合密码技术将进一步提升企业账号管理及运维管理的安全性。图1 PAMS主要功能
特权账号是指在企业内部，分布在数据库、安全设备、网络设备、业务服务器等资产上的具有较高权限的账号，可以更改和优化资产重要安全配置，并具备使用户绕过现有安全控制的能力，而与资产相关的特权是黑客的主要目标，因此特权账号是“重点保护对象”。特权账号的数量一般是资产数量的3倍及以上，具有分布散、数量多和权限大的特点，导致在日常的账号梳理、账号风险识别、账号运维管理环节中无法明确账号信息，不能快速识别风险账号并进行精准管控。
PAMS可依托账号发现功能，通过持续对目标设备进行扫描，识别未管控账号、僵尸账号、弱口令账号、长期不改密账号等风险账号，进而托管特权账号，配置密码管理策略，对账号口令统一进行自动化周期改密，可以消除风险账号，提高系统安全性，并将改密执行操作记录到日志中，让运维管理人员掌握改密记录和历史口令，提高账号运维管理效率。
PAMS对特权账号的集中管理可大幅降低由于特权账号管理不善为企业资产带来的风险。二、密码赋能登录用户身份鉴别功能——资产安全的“护城河”作为登录系统的第一道防线，身份鉴别功能担负确保合法用户访问，防止未授权访问的重要作用。例如传统的登录用户身份鉴别机制通常仅使用用户名和口令进行认证，并使用“123456”、“admin123”、“system”等弱口令和初始口令，存在认证形式单一、口令安全强度较低的现象，让黑客有机可乘，降低了系统的安全性。建议PAMS配合使用密码技术并采取多因素认证机制以提高系统防护强度，例如支持用户使用国密证书进行认证，将用户登陆账号、姓名、电子邮箱等信息与usbkey绑定，并保证身份标识的唯一性，只有使用对应的usbkey和正确pin码才能登录系统，或者将用户账号口令进行数字签名，验签成功后才可登录系统，保证了用户身份的真实性，并且限制连续非法登录尝试的次数和登录连接的时间，超时自动断开连接，增加用户非法登录系统的难度。还应实现抗重放功能，防止非授权用户复制上一次的鉴别信息通过认证进入系统。部分企业将用户身份鉴别信息明文存储在数据库中，增加了重要数据泄露的风险，账号口令应加密存储在安全环境中，例如使用符合安全强度的杂凑算法实现完整性保护。另外，建议PAMS支持单点登录功能，用户只需要通过自身账号口令登录PAMS便可访问资产进行管理维护，提高运维效率的同时控制资产账号口令的知悉范围，减少重要数据泄露的途径。
安全有效的身份鉴别机制可以确认用户真实身份，防止未授权访问，保护用户信息和系统资源安全。
三、密码赋能用户访问控制管理功能——资产安全的“护卫队”应基于角色类型进行权限划分，根据最小权限原则明确访问边界。建议PAMS至少具有系统操作员、系统管理员和安全审计员三种角色，且角色之间权限不能重合，操作员负责设备的操作应用、维护、升级等工作，管理员可在控制台配置密码策略，对特权账号全生命周期进行监督管理，安全审计员负责对运维人员通过PAMS运维的操作行为进行安全审计和监督检查，及时发现违规行为并进行报警处理，情节严重的，及时上报相关部门和领导。三员分工明确，各司其职，确保运维操作的合规性。在进行分级分权管理时，传统的系统可能采用安全强度较低的保护措施，黑客可通过篡改用户权限，窃取重要数据。建议通过使用密码技术对用户权限信息进行完整性保护，例如使用HMAC-SM3算法，在调用权限信息时，对信息进行哈希值比对，验证失败则登录系统失败并且进行报警提醒，可以有效识别用户权限信息是否被篡改，杜绝用户访问非授权信息的现象。PAMS的用户访问控制管理功能可以控制重要数据的知悉范围，防止用户访问非授权信息，提高系统安全防护能力。四、密码赋能系统运维审计管理功能——资产安全的“天眼系统”PAMS提供资产运维统一接口，全面监督运维操作，确保合规性。在远程运维方面，以PAMS为桥梁的运维通道应建立安全网络传输通道，包括运维终端至系统之间、系统至资产之间的通道，而传统的系统未采用安全加密通道，一旦黑客进行网络拦截，运维人员将无法及时处理网络安全事件，对企业造成不可弥补的损失。在违规溯源方面，可根据日志中的重要操作记录进行违规操作溯源，例如安全事件报警记录、用户登录记录、重要配置变更、权限修改记录等信息。因此，使用密码技术建立安全网络传输通道并且保证重要操作记录不被篡改尤为重要，例如使用国密浏览器，建立基于国密TLCP协议的安全通道，使用SM4算法保证通道的传输机密性，使用HMAC-SM3算法保证通道的传输完整性。涉及重要数据传输时，建议在建立安全网络传输通道的同时对重要数据本身进行加密保护，避免明文传输，在应用和数据安全层面保证了敏感数据的安全性。使用HMAC-SM3或者数字签名等密码技术对日志进行完整性保护，可有效识别和避免恶意篡改操作。综上，PAMS通过使用密码技术，强化特权账户管理、用户身份验证、访问权限控制和系统运维审计四个方面，为企业打造了一个全面的安全防护体系，构建资产安全堡垒。 
还没有评论，来说两句吧...