保護特權用戶帳戶的九個實踐

盡管業內權威一再提醒管理特權賬戶的重要性，許多特權帳戶仍然未受到保護、不被重視或管理不善，使它們成為容易被攻擊的目標。基于這些現實情況，本文列出了幾條保護特權賬戶的實踐，僅供IT管理員和安全管理員參考。

1.自動發現特權賬戶，并對其進行集中化追蹤

如果您想管理公司的特權賬戶，實現賬戶信息安全化，隨著公司發展的壯大，您需要一個能夠自動化定期掃描網絡、檢測新賬戶，并登記管理的應用程序，將成為PAM（特權訪問管理）戰略的組成部分。

2. 安全集中存儲特權賬戶

摒棄過去那種本地化、單獨分散式的、需要由許多團隊共同維護的數據管理模式，正確的做法是將部門的特權帳戶和憑據存儲在一個集中的存儲庫中。此外，使用如今嚴密的加密算法（如AES-256）來保護您存儲特權帳戶憑證的存儲庫，以避免惡意訪問。

3. 設置特權訪問權限，明確用戶角色

特權帳戶被安全地存儲于存儲庫后，針對用戶對其的訪問就可以進行有效的管理與控制了。對于PAM管理員來講，需要明確劃分各IT成員的角色，使該角色僅具有其所需的最低訪問權限，同時確保特權賬戶不是針對日常活動，如閱讀郵件、瀏覽網頁等設定。

4.設定多重身份驗證

根據Symantec公司的2016年互聯網安全威脅報告，通過使用多重身份驗證的方法，可以有效避免大部分的漏洞。對于PAM管理員和用戶而言，實施雙重或多重身份驗證可以保證敏感數據的訪問安全。

5.消除純文本式特權帳戶憑據共享行為

PAM管理員不僅要關注消除因角色劃分不明確而帶來的安全隱患，同時也要實現安全地共享實踐。同時借助PAM管理工具，使用戶無需查看或輸入該憑證，就可以一鍵式連接到目標設備。

6.嚴格的自動密碼重置策略

對于IT團隊的管理而言，每個特權賬戶都使用同一個密碼，能夠使工作相對輕松容易許多。但是這種方法卻極其危險，會導致整個網絡環境出現高危漏洞。為了消除固定密碼以及未授權訪問帶來的安全隱患，您需要將密碼自動重置視為PAM策略中不可分割的一部分。

7.臨時訪問的控制實施

當用戶需要賬戶憑證訪問某個遠程資產時，強制要求他們給公司的PAM管理員發送訪問申請。PAM管理員將只為用戶提供臨時訪問憑據的權限，同時可通過設置訪問時間、在規定的訪問時間到期時能夠撤銷訪問權限并強制消除密碼。

8.停止在腳本文件中嵌入憑據

許多應用程序需要頻繁訪問數據庫和其他應用程序，以查詢與業務相關的信息。使用固定的密碼使管理員的工作更加輕松，但也為黑客們提供了便捷的入侵途徑。當應用程序需要使用其他應用程序或遠程資產的特權帳戶時，IT部門利用安全API直接查詢PAM工具。

9.審計

審計記錄、實時警報和通知確實讓工作變得更輕松，通過與內部事件管理工具的集成，將PAM活動事件與公司其他事件進行整合分析，智能識別異常并提供通知。

上述實踐并不是安全戰略的終極方案，我們還需要做更多的工作。卓豪Password Manager Pro是一個面向企業的特權對象管理軟件，用于管理服務器、網絡設備、數據庫以及各種應用程序的密碼，以及各種SSL、SSH數字證書等。幫助集中存儲安全對象信息、安全共享密碼、實施標準化的密碼策略、追蹤密碼訪問歷史、控制用戶非法使用，助力企業實現安全化的管理規范要求。