优先采用特权帐号管理(PAM)的五个原因

优先采用特权帐号管理(PAM)的五个原因。

寻找合适的信息安全方案来优先导入时，有时是一项艰钜的挑战，不论是人员安排或预算，不少机构常会发现缺乏足够的资源来应对新出现的威胁。在有限的预算中，网络安全的负责人都面临着如何分配预算的挑战。

能否在复杂的应用程序堆叠和基础架构中，同时有效地利用现有对信息安全的投资，而能仍然优先处理新的控制措施？况且，许多机构都会遇上解决方案供应商永无休止的敲门，争夺了他们的时间和注意力。

既然不能什麽都做，那应该要做什麽？在考虑哪些信息安全专案和计划要优先处理时，必须考虑信息安全如何能成为机构的业务推动者而不是阻碍者。如果是信息安全的负责人，肯定希望能推动可将强大的信息安全应用于现代科技的价值，这不仅可以减轻风险并保持强大的安全态势，还可以提高营运效率。

Cyber​​Ark是一家信息安全公司，提供特权帐号安全存取等解决方案及产品。最近就举行了一次在线研讨会，讲述了为什麽保护特权帐号如此重要的五个原因，以及为什麽它将会是 2020 年及以后的网安专案和计划中首先要处理的领域。

1. 特权帐号存取是通往最重要资产的途径

在解构被公开的网络攻击时，通常都与特权帐号存取权限有关。特权帐号是通往一个机构最重要资产的出入口，并且几乎是当今所有主要网络安全漏洞的核心。

Cyber​​Ark就用一个简单易懂和典型的网络攻击情景来说明：攻击者向员工发送成功的钓鱼电子邮件，以在终端电脑上建立抢滩阵地的移动。在站稳脚步后，攻击者会想办法提高存取权限，以获取使用相同帐号认证的服务器存取权限。从那里可以横向移动以存取锁定的关键资产和数据，最后导致业务损失或中断。

在数码优先的机构中，无论是使用者、设备和应用程序的数量都比以往更多，许多信息安全团队都在努力维护其在本地、云端和DevOps环境中，特权帐号和认证的能见度，更不用说去管理哪些人有权限去存取哪些内容 。但是，特权帐号存取通常是机构内的最后一道防线，因此应该要是最坚固的，因此保护特权帐号存取路径必须是当务之急要处理的。

2. 犯错乃人之常情

人也终究是人，轻而易举就会因某个人错误地点击了钓鱼电子邮件的连结或附件，或者无意间在其电脑上下载了恶意程序并在整个网络上引发连锁反应。实际上，2019 Verizon DBIR的报告指出，在所有违规事件中，就有32%与网络钓鱼活动有关。

人们不仅会犯错，而且通常会在严守网络安全最佳实践方面松懈，尤其在影响到生产力的情况下更甚。如果可以采取捷径来连接到敏感的系统，应用程序和数据通常都会照做。

会有什麽后果？网络攻击者与其要去破坏一个网络，要花上几天甚至几星期的时间，当然不会放过这个唾手可得的机会。这些网络攻击者可以针对机构的云端控制台，并立即取得对其业务关键应用程序的存取权限。要阻止这些网络攻击者，特权帐号管理(PAM)至关重要。

3. 要使用特权帐号存取的不止人类

在典型的企业中，需要特权帐号存取才能运行各种例行和重要任务的机器和应用程序远远超过实际人类使用者。这些非人类的身份 — 从企业IT票务系统到漏洞扫描程序再到服务帐号 — 都必须被清查、管理和保护。

随着机构将其数码转型策略扩展到机器人流程自动化(RPA)时，会引入数百个甚至数千个需要特权帐号存取的非人类身份，于是也扩大了可能受网络攻击的范围。随着机构采用零信任框架，管理所有这些身份变得越来越重要。

落实全面的特权帐号管理规划让机构能够有效地监控特权帐号在每个层面上的位置，了解各个人类和非人类使用者对哪些内容拥有存取权限，检测并警告恶意或高风险活动以增强整体网络安全。

4. 特权帐号存取存在于所有员工工作站和终端上

随着越来越多网络攻击者将终端作为目标，在每个工作站上都​​设置管理者帐号存取权限会造成巨大的网安漏洞。经由移除使用者的本地管理者权限来限制存取便至关重要。幸运的是这个动作很容易做到，也是落实信息安全的最佳做法，但并不是止于此的。

落实最小授权原则亦同样重要，它为员工提供了执行其工作职能所需的最少特权帐号存取权限，而同时监控应用程序以阻止其执行已知的恶意应用程序，限制(或将其列入灰名单)未知应用程序并仅允许信任的应用程序执行，这也是必不可少的。

CyberArk的安全解决方案可协助将特权帐号管理扩展到机构终端电脑上，可以消除不必要的本地管理者特权，阻止特权凭证盗用的攻击和勒索软件攻击，审核恶意行为并增强特权帐号的安全性，进而降低风险。而以上提到CyberArk 所提供的网安解决方案，都不会牺牲用户的生产力。

5. 稽核和合规围绕特权帐号存取进行

像是银行和医疗保健等受严格监管的行业，需要对特权用户活动进行全面的审计追踪。这些要求既来自企业政策层面，也来自行业法规和合规性框架。

这些机构迫切需要为所有特权用户建立个人责任制，同时还要能够根据风险来稽核特权连线。尽管试图手动识别高风险活动可能感觉像在大海捞针一样，但许多机构仍被要求在所有特权工作量中进行抽样检查。

建置强固的特权帐号存取控制，能够预先定义高风险指令、操作和活动，设定风险评分，更轻松的找出威胁来源，有助大大简化稽核和合规性要求且节省时间。

要了解有关Cyber​​Ark如何帮助企业开始或扩展特权帐号管理规划的更多信息，可参阅 CyberArk 网页上的详尽产品和解决方案介绍，或是到此申请定制化示范。