Saviynt 研究報告：企業實現特權訪問可見性，面臨的挑戰有哪些？

文章來源 / Saviynt Blog

對於企業營運面而言，實現降低特權用戶的訪問風險至關重要，但面臨多元的工作模式，降低風險的舉措只會越來越困難。Saviynt 與隱私暨資安管理研究機構 Ponemon Institute 最新共同研究報告《企業身份現況》，則帶領我們深入了解IT團隊在日益數位化的世界中，嘗試保護特權訪問所面臨的挑戰。

網絡攻擊的數量和種類不斷攀升。根據 2022 年 Verizon 資料洩露調查報告 得出：「在過去的12 個月，從廣為人知的關鍵基礎架構攻擊、到大規模供應鏈資料外洩，出於經濟動機的犯罪分子、來自民族國家的攻擊行為者仍承襲一貫作風，攻擊事件仍有增無減。」其中，特權帳號更是他們最喜歡的攻擊路線。

特權帳號的管理工作特別複雜，因為作為超級用戶或管理員，一旦受到損害，可能容易帶來更高的風險。特權訪問管理（PAM），旨在作用於人和裝置的身份在提升訪問權限的過程中，進行保護、管理和監視的行為；同時也是預防和減輕內外部網路攻擊的關鍵。PAM 透過採取零信任策略，擁有最重要的兩點功能—「最小特權訪問」：將權限和對資源的訪問，限制在每個用戶完成工作的「所需最低級別」；「零常設特權（Zero Standing Privilege）」，消除「24x7x365」的 Always-on 管理權，避免透過特權洩露而造成損失。

對於降低特權訪問濫用景況，企業信心普遍不足

從 Ponemon 報告可以看出，大多組織都需要改進他們處理特權訪問安全性的方式。該報告包括來自 1000 多名 IT、資安從業人員的回覆，大多是專注於減輕網絡安全、確保身份訪問安全以及合規風險的專家。只有 36% 的受訪者表示其組織有信心確定特權用戶是否符合政策。

受訪者對於自身在特權訪問管理計劃的信心方面，以及對於在防止特權憑證關聯的內部威脅之有效性進行了評價。只有 35% 的受訪者表示，其組織對於識別和管理特權訪問的能力充滿信心，並有 32% 的受訪者相信特權用戶無法繞過其控制。同時，也只有 35% 的受訪者表示高度相信他們當前的控制措施，能夠有效防止涉及特權憑證的內部威脅。這些數據表明，許多組織仍在努力獲得對特權訪問的完整可見性。

Photo Credit : Saviynt

為什麼說特權訪問的可見性如此難以實現？研究報告揭示了可見性面臨的四大挑戰。

歸納出 IT 團隊面臨的四大現況：

• 他們無法跟上組織 IT 資源在入職、離職和外包管理方面發生的變化 (61%)

• 他們擁有特權帳號的「使用」資訊，但沒有特權用戶的「權利」資訊 (56%)

• 他們無法在整個企業中創建統一的特權訪問視圖 (51%)

• 他們無法應用需要跨越資訊資源的控制 (46%)

保護複雜環境和複雜身份

當今複雜的企業生態系統只會增加挑戰。數位化轉型正在加速，但由於企業正在利用混合雲和多雲 IT 環境和 SaaS 應用程式進行有效且高效的轉型，因此保護其特權帳號對企業而言至關重要。

許多企業也在尋找解決方案，以更好地支持其遠端員工、並加強與非內部員工的協作（例如獨立承包商或第三方供應商）。根據 Saviynt 的說法，「企業應該要求他們的特權訪問管理解決方案提供整合非傳統身份和管理整個身份生命週期的能力，以確保訪問不會超出遠程員工的權限級別，又或是承包商的預定參與工作的時間軸。」

根據 Ponemon 報告，遠端和混合工作人員存在重大安全風險。37% 的受訪者表示，他們在確保混合/遠端勞動力安全方面的第一步是篩選新員工。但要持續保持合規又是另一回事。

限制用戶訪問的範圍和持續時間

雲端技術和 SaaS 應用程式，現正主導著許多組織的數位化轉型戰略，動態式且持續性地了解「誰」在嘗試訪問什麼，並根據現代身份安全要求，對每個用戶的訪問範圍和持續時間進行限制。軟體解決方案需要靈活地檢測可疑活動、並創建警報，以進行快速修復。這對於防止破壞性攻擊至關重要。

該報告還發現，只有 40% 的受訪者在其 PAM 計劃中應用零信任原則，方法是取消長期特權，僅在特定時間為特定帳號發放特權訪問權限以執行特定操作。更少的組織（37%）正在執行基本的 PAM 控制，在技術內容庫中存儲和管理特權憑證。

44% 的受訪者表示，他們的 PAM 解決方案可以透過鎖定端點上的應用程式來終止訪問。這些漏洞使組織容易受到攻擊，從而為攻擊對手打開了大門，可以找到特權帳號並將其用於邪惡目的。

雲端採用的步調，也暴露了傳統特權訪問管理的差距。管理特權帳號的舊方法—發現和保管，只是集中風險、無法降低其中的風險。由於本地基礎架構成本高昂，且對混合多雲、基礎架構和 SaaS 應用程式的監督有限，因此組織正在尋求一種更靈活、基於風險的 PAM 方法也就不足為奇了。

現代 PAM 解決方案，可解決當前傳統 PAM 解決方案中缺乏細緻度（granularity）的問題，從而更好地了解當今複雜的連接、策略和權利，使組織能夠減少對日益增長的網絡攻擊威脅的脆弱性。