零信任特权访问管理

零信任特权访问管理（PAM）是一个安全框架，它结合了基本的零信任原则来保护特权帐户和资源。它要求对尝试访问企业资源的所有用户进行持续验证和授权，以防止未经授权的访问。此强制过程可确保默认情况下永远不会信任用户和设备，即使它们已连接到企业网络也是如此。这种“从不信任，始终验证”的方法可帮助您识别恶意和可疑活动并实时阻止它们，这在传统的基于边界的方法中可能无法实现。

在传统方法中，用户和设备可以不受限制地访问网络边界内的 IT 资源。因此，如果攻击者获得对企业网络的访问权限，他们可以在其中横向移动并获得对关键资源和数据的访问权限，从而扩大威胁范围。这就是零信任对现代企业很重要的原因。

零信任是一种整体方法，旨在为企业提供全面的安全性。它与解决方案无关，必须在整个企业的基础架构中实施。通过在全球范围内采用零信任框架，您可以对关键资源执行风险分析，并采用基于风险的方法进行 IT 安全管理。这允许管理员对选定的几个关键系统和帐户实施额外的限制，保护它们免受内部和外部威胁，从而最大限度地减少数据泄露的可能性。因此，若要实现有效的零信任模型，必须采用包含零信任原则的解决方案。

PAM 在零信任中的作用

PAM 解决方案通过规范对关键 IT 基础架构的访问，在组织安全中发挥着关键作用。如果没有零信任 PAM 解决方案，任何零信任策略都将不完整。此外，现代混合劳动力不断变化的访问管理要求使零信任原则在 PAM 解决方案中至关重要。这些原则涉及最小特权访问、持续监视、风险分析、访问审查和会话管理，企业可以使用这些原则来仔细检查对特权帐户和设备的访问，并在整个组织中强制实施零信任特权。

什么是零信任特权

零信任特权是一种安全模型，它使用零信任的核心原则帮助规范特权访问。此方法要求企业假设所有特权用户和设备都是潜在的威胁参与者，必须通过持续的身份验证和授权进行审查。通过实时对用户操作和资源进行风险分析，组织可以采取主动的 PAM 方法，而不仅仅是根据用户角色和要求验证特权访问。

采用零信任特权的 PAM 解决方案可帮助组织实施实施实施最低特权访问的动态安全控制，实时识别潜在威胁和恶意用户活动，尽量减少特权滥用，并立即使访问无效或触发自动操作。

零信任与最低特权访问相同吗

虽然零信任和最小特权原则（PoLP）都有助于增强企业安全性，但它们有其差异。PoLP 规定用户获得的访问权限不超过执行其分配的任务所需的访问权限。这是为了确保即使帐户遭到入侵，攻击者的任何潜在攻击范围也很小。

另一方面，零信任是一种整体方法，它超越了访问验证。它考虑了组织基础结构和数据的各个方面，涉及跨所有这些层的持续身份验证和授权。因此，虽然最小特权访问是可靠的零信任方法的基础，但它只是零信任总体概念的一部分。

采用零信任 PAM 的好处

通过在 PAM 策略中采用零信任原则，可以：

在整个组织中采用 PoLP。
主动对用户和资源执行风险剖析并识别威胁。
通过上下文操作修正风险。
将数据泄露的威胁降至最低。
提高组织的整体生产力和安全性。

零信任 PAM 方法

正确的零信任 PAM 方法可能因每个组织的规模、规模和需求而异。但是，在考虑零信任 PAM 方法时，可以使用 PAM 解决方案确保以下内容：

审核特权访问：确定每个用户的访问权限，并将其与其访问权限要求进行映射。确定多余的特权并相应地适度访问。
确定关键资源：创建需要额外安全层的任务关键型 IT 资源列表。撤销对这些资源的所有长期特权。
启用访问控制：提供对特权帐户的有时间限制的按需访问。使用请求释放工作流自动预配和取消预配特权访问，以强制实施最低特权访问。
对用户和设备执行风险剖析：分别根据用户和设备的操作和完整性识别与用户和设备相关的风险。
强制实施自适应 MFA：通过在检测到行为异常时强制实施自适应 MFA 来持续授权用户。
创建基于策略的控制：创建自定义访问策略以保护关键资源。设置策略限制以防止未经授权的访问、限制用户执行恶意操作、提醒利益干系人关键操作以及执行更多操作。
生成基于属性的控件：采用基于属性的访问控制（ABAC）流程，采用精细的访问管理方法。

在这里插入图片描述

传统 PAM 与零信任 PAM

考虑需要保护对关键数据库服务器的访问的场景。传统的 PAM 解决方案可以安全地向相关用户授予访问权限，但只能在全有或全无的基础上。虽然这确实简化了原本孤立的访问管理策略，但它也会产生长期特权，最终可能导致特权滥用或意外误用。

相比之下，零信任 PAM 解决方案通过实现实时（JIT）访问控制来授予最低特权访问权限。这可确保仅根据需要临时授予对敏感凭据的访问权限，然后自动撤销。此外，借助特权会话监控等功能，零信任 PAM 解决方案使管理员可以选择终止带有恶意意图的用户的会话。

除了巩固内部用户的访问管理外，零信任 PAM 解决方案还持续监控用户活动和设备风险，以自适应 MFA 的形式强制实施持续的用户身份验证。这些解决方案甚至可以执行自动操作，例如会话终止和访问吊销。因此，零信任 PAM 解决方案超越了基本的访问法规，为威胁缓解提供了精细的控制。如果您在传统 PAM 和零信任 PAM 之间徘徊，请始终选择零信任 PAM 解决方案。

选择正确的零信任 PAM 解决方案

如果您找到适合您的企业的零信任 PAM 解决方案，则可以解决大多数技术挑战。如果要切换到零信任就绪的 PAM 解决方案，请找到提供以下功能的解决方案：

请求发布工作流
特权提升和委派管理
命令和应用程序控制
特权会话管理
用户和实体行为分析
基于策略的访问控制

请求发布工作流

请求-发布工作流是每个良好 PAM 解决方案的关键部分，也是采用零信任原则的第一步。它们对于预配对特权凭据的有限按需访问至关重要。有了这些限制，用户必须通过说明其访问要求来请求相关利益相关者的访问。如果他们的理由被发现有效，他们将获得对相关资源的限时访问权。

特权提升和委派管理

通常，用户需要临时访问特权凭据或组才能执行业务关键型任务。在这种情况下，如果没有正确的做法，这些用户可能会获得这些凭据的常设特权。提供权限提升和委派管理（PEDM）功能的 PAM 解决方案通过自动执行权限提升和降级来简化此过程，而不会造成业务中断。JIT 特权提升等控件有助于临时权限提升，而无需用户访问具有更高权限的凭据。这有助于您在整个企业中采用 PoLP，否则零信任 PAM 方法将不完整。