随着国家对网络安全的重视程度越来越高，各项法律对运维安全审计做了详细说明，其中公安部88号令、《中华人民共和国网络安全法》、《信息安全等级保护管理办法》、公安部151号令。

打开百度APP看高清图片

在上述的法律法规中，等级保护对运维安全的要求最为详尽，其中二级、三级、四级、五级等保中，都包含对账号改密周期、访问控制、审计等详尽的要求条例。

不管是从合规的角度还是从企业/组织运维安全角度来看，账号（尤其是特权账号）密码的管理和和访问行为的控制和审计都是重中之重，而所有这些行为的最终目的都是要保障目标服务器的安全。

Part 1 什么是特权账号?

不同的人、不同场景下一般会有不同的理解。有些人认为特权账户就是操作系统中的root账户、数据库中的DBA账户；有些人认为还应包括操作系统、数据库中的普通权限的账户；也有些人认为还应该包含应用系统的管理员账号和应用系统配置的相关内嵌账号等等。

笔者认为，特权是特殊（定）权限而非管理员权限，因此狭义的理解管理员账号、DBA账号等是不全面的。那我们应该怎么识别特权呢？可以基于以下几个方面：

• 权限：具备特殊权限，常规意义理解为较高权限；

• 威胁：该用户具备对系统或平台有威胁的操作权限，如可以删除用户导致别人无法正常使用；

• 敏感：能查看部分或全部敏感信息，可能导致泄密；

• 使用者：该用户使用者是人还是机器？如果是人，那一定是不完全可信的。

另外，特权账号其实应该是一个统称，不应该狭义的认为就是账号，而应该是访问凭证（包括但不限于账号密码、证书、公私钥等）。

Part 2 如何保障服务器安全

对于每一个黑客而言，一般都有如下的典型攻击模式：收集攻击对象信息、嗅探以及发现攻击路径、对目标进行攻击并且获取接入权限、给自己的接入账号进行提权。当然，如果能直接获取特权账号就事半功倍了。

因此，对于攻击者而言，在最初的攻击当中，目标都是获取尽可能高权限的账号，这样就能在目标系统中不受限地进行各种操作，达成自己的目的。同时，安全专家也估计，在他们进行调查的严重网络攻击事件中有80%到“几乎全部”都在攻击过程的某个环节利用了特权账户。

一说到运维安全或服务器安全，第一印象应该就是堡垒机。堡垒机又是怎么做安全保障呢？

堡垒机方案其实是借助网络隔离，通过跳板机延长了用户的访问路径，增加了攻击的复杂性。有了跳板机后，用户防范攻击也从大量的服务器转移到少量的跳板机上，简化了用户运维过程。

所以，堡垒机其实是提供访问通道（跳板机）管控入口来达到安全的目的。

特权账号方案其实应该是特权+堡垒机方案，其中特权纳管凭证和按需授权，堡垒机提供访问通道，综合起来保障目标服务器安全。这么做能从那些方面带来安全提升呢？

• 凭证管理（密码和密钥等）保障了信息不泄露；

• 按需授权保障最小权限原则；

• 访问通道提供访问、控制和审计，保障安全和合规。

综合下来一句话：凭证管理是基础，账号授权是保障，访问通道是补充。

Part 3 如何实现安全运维

组织或企业做安全防护，基本上都需要从两个方面着手，一个是规范制定，一个是监督执行。只制定规范是形式主义，只监督执行是耍流氓。

所以，安全运维也需要从两方面着手，得有运维规范，也得有规范执行情况的检查（落实规范的过程）。特权平台其实就能充当这个监督执行的角色。

• 日常运维：使用低权限账号，仅支持日常查看日志等不影响系统运行的命令或操作；

• 明确目标的变更：使用特定账号或sudo(Linux等支持该模式的设备）定向精确授权；

• 值班运维：使用高权限账号，受访问控制。允许最高权限，但受访问控制，比如高危命令不允许执行等；

• 紧急运维：取消授权控制和访问控制，仅保留审计信息。

2020年2月25日，微盟发布公告称内部服务出现故障，大面积服务集群无法响应，生产环境及数据受到严重破坏。究其原因，微盟本次故障是因为核心运维人员的恶意破坏所导致，实际上，IT历史上此类事件其实不在少数，如2015年携程运维员工误删、2017年广西移动数据误删等，各类删库事件，对企业及行业客户来说均造成了很大的影响。

总的来说，特权账户从创建、使用、保存、注销等全过程中均面临比较大的泄露风险，尤其在企业运转中，IT资产包括操作系统、数据库及网络设备等各种账号数量庞大、账号类型复杂，运维人员很难对这些账号进行统一的梳理和管控。从内控角度来看，绝大多数信息泄露都是因为账号被非法攻击所导致，由于企业内部弱密码、僵尸账号、孤儿账号等情况普遍存在，很难对这些账号进行实时的风险识别，更无法实现多纬度的审计和事后追溯。

派拉特权账号管理可以实现对企业IT资产的统一管理，通过访问控制和最小权限原则，可以有效防止“删库跑路”及恶意破坏IT数据资源事件的发生，从而实现对机房硬件设备、后台管理平台实名制访问管理，最大程度控制运维风险，保障企业信息安全。

派拉特权账号管理平台，主要是从以下几个方面，实现IT资产的安全运维：

• 特权密码管理：定期扫描系统中的账号和密码，并对密码进行统一保存和分配；

• 账号授权：员工资源访问时在系统上发起审批流程，流程审批通过后方有权限进行访问；

• 命令二次审批：派拉特权账号管理平台自定义预设高危命令，员工在删除系统资源时会立即切断用户连接，只有通过管理员审批的人员方有权限继续操作；

• 资源审计：对内外部相关人员访问的硬件设备及业务系统进行集中管控，用户所有操作均有迹可循。

相较于堡垒机，特权账号管理更侧重于账号的维护和梳理，通过管理和监控特权账户和访问权限，保护特权账号安全地存储在系统中防止企业信息数据泄露，满足合规性等方面要求。从市场趋势看，特权账号管理未来将会呈现持续的增长趋势，在Gartner曾经提出的十大网络安全项目中，特权账号安全也被列为第一项的重点安全项目，所以我们常说，堡垒机只管当下，特权才是未来。