一场由特权账号引发的企业安全危机正在进行时……

某速递有限公司内部员工与外部不法分子勾结，利用员工账号和第三方非法工具窃取运单信息，导致40万条个人信息泄露。

无独有偶，某微信小程序头部服务商因核心运维人员利用特权账号恶意破坏，惨遭“删库”，影响百万小微商户登录。当日晚间，官方发布赔付计划，称准备了1.5亿元人民币赔付拨备金，其中公司承担1亿元，管理层承担5000万元。

……

类似以上因特权账号滥用或监管不力而引发的企业安全危机事件还有很多，甚至就在进行。据Forrester Research显示，80%以上网络安全事件与特权账号滥用有关；而2019 Microsoft Vulnerabilities Report爆出的189个重大微软漏洞中，81%能够通过删除用户本地管理权限而修缮。

面对这一系列因特权账号引发的安全危机，企业亟需全面了解特权账号可能存在哪些安全问题，从而更有针对性地快速、及时、高效应对。

为此，派拉软件在基于服务2000+客户的成功实践上，总结出了以下几点有关特权账号安全问题的经验教训，供各大企业参考：

毋庸置疑，作为掌管着企业各大数据中心内部分布在主机、网络设备、数据库等各种资产上具有较高访问权限的账号，特权账号是企业数据安全防护过程中最核心的一把钥匙。

Gartner 分析师就曾表示，任何组织都需要解决特权账号以及其他拥有高级权限账号的安全问题。因为这些账号一直是攻击者的首要目标，利用这些账号可以轻易获取敏感信息和数据。

那么，针对上述派拉软件在实战中总结出的五大特权账号安全问题，派拉软件是如何在实际落地中帮助客户成功解决的呢？

派拉软件研发总监茆正华表示，派拉软件在身份与访问控制管理的基础上，拓展自研了特权账号管理平台（PAM）。众所周知，PAM连续两年位居Gartner的10大安全项目之首。

派拉软件也早在多年前就意识到其重要性，并启动PAM平台的自主研发。通过“事前检测、事中控制、事后审计”的平台设计与管理思想，有效帮助企业解决上述特权账户管理的五大难题。

01 事前检测

提供IT资产发现，IT资源、账号、密码、权限的自动检测、梳理能力，定期自动改密能力等，帮助企业快速识别、梳理企业IT资产情况，及时清理弱密码及风险账号，实现资产在线全生命周期安全管理，涵盖了数据库、设备、账号密码等资产上线、维护、使用和下线等全过程，并可视化呈现，减轻管理员工作压力，提升特权账户安全管理能力。

02 事中控制

在事中，派拉软件针对安全风险点和合规要求，提供各种安全策略部署，如访问控制策略、密码策略、最小权限管理原则等，提供强认证方式、凭证管理、按需授权、访问控制管理等，并持续监控，及时预警通知。

当平台发现风险账号，可一键对其进行停用或删除，并检查密码，避免强度过低而被黑客暴力破解。如果企业存在紧急使用情况，也可通过该平台快速设置访问资源限制，如什么时间，通过什么设备访问，访问可以操作哪些命令，只能看不能导出文件等限制条件，并快速共享使用。

03 事后审计

在事后，派拉软件特权账户管理平台提供完整、开放、不可逆的审计能力，发掘数据二次价值。用户所有操作可通过视频审计、文件审计、字符审计、日志审计等多种审计模式全程记录，便于事后追溯，还能同企业其他日志平台、态势感知等进行集中化管理。

此外，通过对各种设备资产、后台管理平台实名制访问管理，解决单一虚拟账号无法对应到实体自然人身份的问题，避免过去有审计追溯，却无法精准到人的定责情况发生。

最后，说到特权账户管理，很多企业都会提到堡垒机。的确，国内市场最早对标PAM工具的模型正是堡垒机，但其与派拉软件特权账户管理平台仍存在一定的差异，详见下图：