什麼是最小特权原则？
概述
最小许可权是零信任安全的基本原則，其核心理念是僅授予必要的訪問許可權。雖然最初是作為网路安全戰略的一部分進行討論的，但將零信任安全應用於可消耗资源（應用程式、服務、數據等）的應用層要有效得多。此方法允許您將特定的资源訪問策略與訪問它們的人員和程式相關聯。
最小特权原则
通过最低许可权安全可以最好地解决哪些类型的威胁？
最小特权访问是一種安全策略，側重於確保向標識、人員和流程授予高效工作所需的最低許可權級別，或者在程式設計訪問的情況下，正常運行。NIST（美國國家標準與技术研究院）在其 资讯安全介绍中指出了最小许可权解决的常见问题：?
- 恶毒的内幕： 这种威胁类型通常难以检测，有害活动很容易在数月或数年内被忽视。内部不良行為者可以是承包商、員工，甚至管理人員和各級管理人員。最小许可权是限制組織可能造成的損害或濫用範圍的主要安全方法。
- 恶意勾结：當兩個或多個不良行為者協調惡意活動時，就會發生這種情況。這種剝削類型通常導致的損害遠遠超過單個人通常可能造成的損害。這就是為什麼監管機構和組織使用職責分離 （SoD） 來防止這種濫用的原因。SoD 需要多個人才能完成一項任務。儘管它通常被認為是在金融服務的背景下，但這些相同的原則可以防止不同形式的欺詐、破壞、盜竊或濫用敏感資訊。
- 疏忽的内幕人士：這些行為者雖然沒有惡意，但會犯錯誤，使他們的組織面臨風險。疏忽行為包括無意中關閉重要數位服務或將敏感資訊暴露給 Web 的配置錯誤。這些類型的事件經常在媒體上公佈。?
- 洩露的内部人员：这是当内部人员的凭据以某种方式被洩露时，通常是通过网路钓鱼。帐户的访问范围越广、影响越远，对组织的潜在损害就越大。这就是為什麼高管们越来越多地成為目标（捕鲸）。
特权蔓延的主要原因是什麼？
許可權蠕變是指用戶積累的權利超出了其在組織中角色的合理性。它通常會隨著時間的推移逐漸發生，並且通常會影響需要保護其受監管或敏感信息的組織。當個人改變角色時，通常會迅速授予許可權以使人們富有成效，但由於責任可能會揮之不去，因此通常會保留以前的權利。需要評估最低權限的资源類型包括：?
- Core 應用和服務
- 非结构化数据?
- 系统和平臺
在某些时候，领导团队意识到他们需要处理对其核心服务和敏感资讯的特权访问。他們優先考慮並贊助安全團隊與資訊擁有者聯手組建特权访问老虎團隊。項目啟動並確定目標。借助其新設計的身份治理环境，可以自动执行访问请求和审批，将其维护工作移交给运营部门。很多时候，这种关注方式并不是持续的，但即使有自动请求和批准，特权蔓延仍然是一个潜在的风险。
通常，随着业务动态偏离定义的治理策略，许可权蔓延就会建立起来。许可权工作流有随着组织变形和职责转移而扩展的趋势。特权蠕变的一些最常见来源包括：?
- 批准：审批者（最好是资讯拥有者）无法準确评估许可权请求。繁忙的审批者可能不会花时间準确瞭解请求使用者是谁以及他们的需求是什麼。
- 审核流程不充分：这包括缺乏定期审查，或者由那些没有能力适当审查或评估访问请求适当性的人进行的审查。?
- 高风险使用者： 在某些使用者中，他们很可能会随着时间的推移积累一定程度的权利，从而对组织构成不可接受的风险。当用户临时承担需要授权才能执行的各种专案和角色时，就会发生这种情况，并且这些授权随后被保留。?
特權蔓延幾乎是不可避免的，因為組織會適應或應對強加給他們的各種動態。但它違反了旨在保護組織免受外部攻擊的關鍵零信任租戶，並且是導致幾乎每個行业持續增長的巨大違規成本的一個因素。
如何控制许可权蠕变
防止特权蠕变最困难的方面之一是，它经常随着时间的推移而发生，而负责许多事情的审阅者则专注於其他事情。它在任何一个时间点都无法观察到，而必须在相对较长的时间跨度内进行观察。承认帐户可以在不被发现的情况下演变為不可接受的风险级别的微妙方式，它构成安全问题的程度取决於用户数量、用户经歷的更改次数以及受保护资讯的敏感性。这是一个无法用电子表格解决的安全挑战。
维护职责分离
旨在遵守法规的职责分离和其他公司政策可以很好地转化為治理规则，但风险标準更加主观。以下是最常见的：
- 太多的组织没有适当的取消许可流程。相反，这些组织依赖於基本的平台帐户管理工具。通常，他们的许可权控制只不过是禁用离开组织的帐户。风险管理並不是這些組織的首要任務。 ?
- 隨著時間的流逝，組織中擔任不同角色的特定個人成為特權蠕變的最佳人選，這種情況並不少見。常見的用例包括虛線報告、為不同的 tiger 團隊做出貢獻以及參與不同部門的各種專案。雖然在為這些人員分配權利時，有明顯的生產力在起作用，但安全考慮往往被忽視。刪除許可權的場合通常是分散的，但擔心中斷許可使用者是不這樣做的常見原因。
- 过度泛化的角色可能是特权蔓延的另一个因素。在这裡，它不是关於向适当的请求授予许可权，而是关於用於分配它们的角色的过度扩展或泛化。有效角色是那些经过适当划分的角色，每个角色都具有适当的许可权级别。通常，对用於应用许可权的角色进行定义和概括是一种诱惑。?
防范风险蔓延
審閱者很難識別隨時間變化的許可權。這些類型的評估可以通過對隨時間變化的自動分析來辅助。然後，審閱者可以在儀錶板或報表中訪問該資訊。雖然評估整個組織中的所有使用者是不可行的，但可以有效地審查和審查風險最高的前十幾個使用者。
其他類型的自動生成的風險警報和報告來自對受治理资源的分析。包含未定期審查的敏感信息的资源被分配了更高的風險評分。對於所有這些警報，當今佔主導地位的治理創新是識別和突出顯示整個環境中的風險區域。
最低许可权如何融入零信任？
最低许可权访问是零信任架构的核心元件之一。这意味着仅授予所需的访问许可权，并在所需的最短持续时间内仅授予最低许可权。
其他零信任元件包括：
- 微分段：将环境分解為较小的安全区域，以限制访问范围。為环境的每个区间维护单独的安全控制（需要对这些控制进行分散式管理）。
- 多重身份驗證 （MFA）：需要兩個或多個驗證因素才能訪問资源;需要根據當前風險狀態提供更好的身份保證。
- API 控制和監控：確保在程式設計級別和使用者交互級別進行適當的控制。控制嘗試訪問资源的不同設備和/或 API 的數量。
- 适应的：對風險進行情境感知、持續評估 – 可及早發現威脅並快速回應。在當前環境和過去活動的上下文中動態回應當前狀態。
?
