最小許可權是零信任安全的基本原則,其核心理念是僅授予必要的訪問許可權。雖然最初是作為網路安全戰略的一部分進行討論的,但將零信任安全應用於可消耗資源(應用程式、服務、數據等)的應用層要有效得多。此方法允許您將特定的資源訪問策略與訪問它們的人員和程式相關聯。
最小特權訪問是一種安全策略,側重於確保向標識、人員和流程授予高效工作所需的最低許可權級別,或者在程式設計訪問的情況下,正常運行。NIST(美國國家標準與技術研究院)在其 800-12R1 資訊安全簡介中指出了最小許可權解決的常見問題:
許可權蠕變是指用戶積累的權利超出了其在組織中角色的合理性。它通常會隨著時間的推移逐漸發生,並且通常會影響需要保護其受監管或敏感信息的組織。當個人改變角色時,通常會迅速授予許可權以使人們富有成效,但由於責任可能會揮之不去,因此通常會保留以前的權利。需要評估最低權限的資源類型包括:
在某些時候,領導團隊意識到他們需要處理對其核心服務和敏感資訊的特權訪問。他們優先考慮並贊助安全團隊與資訊擁有者聯手組建特權訪問老虎團隊。項目啟動並確定目標。借助其新設計的身份治理環境,可以自動執行訪問請求和審批,將其維護工作移交給運營部門。很多時候,這種關注方式並不是持續的,但即使有自動請求和批准,特權蔓延仍然是一個潛在的風險。
通常,隨著業務動態偏離定義的治理策略,許可權蔓延就會建立起來。許可權工作流有隨著組織變形和職責轉移而擴展的趨勢。特權蠕變的一些最常見來源包括:
特權蔓延幾乎是不可避免的,因為組織會適應或應對強加給他們的各種動態。但它違反了旨在保護組織免受外部攻擊的關鍵零信任租戶,並且是導致幾乎每個行業持續增長的巨大違規成本的一個因素。
防止特權蠕變最困難的方面之一是,它經常隨著時間的推移而發生,而負責許多事情的審閱者則專注於其他事情。它在任何一個時間點都無法觀察到,而必須在相對較長的時間跨度內進行觀察。承認帳戶可以在不被發現的情況下演變為不可接受的風險級別的微妙方式,它構成安全問題的程度取決於用戶數量、用戶經歷的更改次數以及受保護資訊的敏感性。這是一個無法用電子表格解決的安全挑戰。
旨在遵守法規的職責分離和其他公司政策可以很好地轉化為治理規則,但風險標準更加主觀。以下是最常見的:
審閱者很難識別隨時間變化的許可權。這些類型的評估可以通過對隨時間變化的自動分析來輔助。然後,審閱者可以在儀錶板或報表中訪問該資訊。雖然評估整個組織中的所有使用者是不可行的,但可以有效地審查和審查風險最高的前十幾個使用者。
其他類型的自動生成的風險警報和報告來自對受治理資源的分析。包含未定期審查的敏感信息的資源被分配了更高的風險評分。對於所有這些警報,當今佔主導地位的治理創新是識別和突出顯示整個環境中的風險區域。
最低許可權訪問是零信任架構的核心元件之一。這意味著僅授予所需的訪問許可權,並在所需的最短持續時間內僅授予最低許可權。
其他零信任元件包括:
以最小的摩擦為正確的使用者提供正確的訪問許可權
通過簡化的合規性和使用者訪問審查流程保護所有數據
在整個IT環境中集中控制管理員帳戶
獲取洞察,保護非結構化數據,防止未經授權的訪問