各行业事后事件复盘反复揭示出同一模式:攻击者首先通过权限相对较低的立足点获得初始访问,随后通过窃取长期存在、被共享或监控不力的域管理员、数据库或云端root账户凭证来实现权限升级。特权账户始终是最有价值的目标,因为它们以最小的额外代价换来最广泛的操控范围。
从常驻特权到即时访问
成熟的PAM计划会尽可能消除常驻的管理访问权限,代之以即时提权——仅在经批准的任务持续期间授予权限,任务完成后自动撤销。对特权会话进行会话录制和命令日志记录,可形成审计轨迹,既能起到威慑作用,又能在出现问题时加快调查速度。
服务账户和应用程序凭证应得到与人工管理员同等的重视,因为它们往往一次性配置后便被遗忘,从未轮换,成为隐藏在明处却拥有长期高权限的目标。
贾万信息技术集团(JIG)设计并实施PAM计划,封堵攻击者最依赖的凭证升级路径。