CyberArk Glossary >

最小特權原則(PoLP)

最小特權原則(PoLP)是一種資訊安全概念,即給予用戶執行工作職能所需之最低存取級別(或權限)。

最小特權原則被公認為網路安全的最佳實踐做法,也是保護特權存取高價值數據及資產的基本必要措施。

最小特權原則不僅適用於人類存取,也可應用至需要特權或權限才能執行所需任務的應用程式、系統或連線的裝置。執行最小特權使非人類工具具備必要的存取權限,不多不少。

要有效執行最小特權,需要設法集中管理 及保護特權憑證,以及靈活平衡網路安全及合規性需求與營運及最終用戶需求。

>什麼是特權蠕變?

當組織撤銷業務用戶的所有管理權限時,IT團隊通常需要重新授予特權,以允許用戶執行某些任務。例如企業IT環境中使用的許多舊版及自有應用程式都需要特權來運作,許多市售的商業應用程式也需要特權。為了讓業務用戶操作這些經授權且必需的應用程式,IT團隊必須將本地管理員特權歸還給用戶。而這些特權重新授予之後鮮少撤銷,久而久之,組織的許多用戶可能都重新持有本地管理員權限。這種「特權蠕變」將會重新開啟與過多管理權限有關的安全漏洞,並且讓誤以為自身保護周全的組織更無力抵禦威脅。實施最小特權存取控制,有助於組織遏制「特權蠕變」,並確保人類及非人類用戶僅持有所需的最低存取級別。

為何最小特權原則(PoLP)很重要?

  • 它可減少網路攻擊面。 現今大多數進階攻擊都是特權憑證的侵用。 強制執行最小特權將可限制超級用戶及管理員特權(使IT管理員無法再不受限制存取目標系統),協助減少總體網路攻擊面。
  • 遏阻惡意軟體的散播。在終端上強制執行最小特權,可使惡意軟體攻擊(例如SQL隱碼攻擊)無法借升級的特權來擴大存取及橫向移動,以安裝或執行惡意軟體或破壞設備。
  • 提高最終用戶的生產力。 從業務用戶中刪除本地管理員權限有助降低風險,但啟用以政策為基礎的即時特權升級將有助於保持用戶的生產力,並大為減少IT接到的客服電話。
  • 有助簡化合規與稽核流程。 許多內部政策及監管機關規定要求組織對特權帳號實施最小特權原則,以防堵對關鍵系統的惡意或無意破壞。強制執行最小特權有助於組織遵守全面稽核追蹤特權活動的規定。

如何在您的組織內實施最小特權原則

為實施最小特權原則,組織通常會採取以下一項或多項措施,作為更廣泛的縱深防禦資安策略之一部分:

  • 審核整個環境以找出本地端、雲端、開發維運環境及終端上的特權帳號(例如密碼、SSH密鑰、雜湊密碼及存取密鑰)。
  • 移除不必要的本地管理員特權,並確保所有人類用戶及非人類用戶僅獲得執行其工作所需的特權。
  • 將管理員帳號與標準帳號分開,並隔離特權用戶連線。
  • 配置存取 數位金庫 的特權管理員帳號憑證,以開始保護及管理這些帳號。
  • 每次使用後立即輪換所有管理員密碼,撤銷任何可能被按鍵記錄軟體捕獲的憑證,並減輕傳遞雜湊的風險。
  • 持續監控所有與管理員帳號有關的活動,以快速偵測出顯示攻擊進行跡象的異常活動並發出警報。
  • 支援 即時存取升級,允許用戶按需要暫時存取特權帳號或執行特權命令。

最小特權原則是零信任框架的基本組成部分之一。基於對組織不應自動信任其外圍邊界之內或之外任何事物的概念,零信任原則要求組織在授予存取權之前驗證試圖連接至系統的所有事物。隨著許多組織加速執行數位化轉型 策略,他們已從傳統的外圍防護方法轉向「零信任」框架來保護最敏感的網路。

瞭解有關最小特權原則的更多資訊

其他詞匯