2023年最佳特权访问管理（PAM）解决方案
如果您是系统管理员，您肯定听说过与许多具有特权访问临 critical IT 资产有关的风险。阅读有关保持它们受控的最佳解决方案。
当用户数量随着应用程序、设备甚至基础架构类型的增加而增加时，特权访问的情况很快会失去控制。
您必须应用特权访问管理解决方案，以避免这种问题。让我们从回答最明显的问题开始：
什么是特权访问管理？
特权访问管理（PAM）是一套用于在 IT 环境中对用户、帐户、进程和系统的提升（”特权”）访问和权限行使控制的策略和技术。
通过定义适当的特权访问控制级别，PAM 帮助组织减少其攻击面，并防止（或至少减轻）来自外部攻击以及内部破坏或疏忽行为可能造成的损害。
尽管特权管理涵盖了许多策略，但其中一个核心目标是应用最小特权原则，即将访问权限和权限限制在用户、帐户、应用程序和设备正常授权活动所需的最低限度。
许多分析师和技术人员认为，PAM 是减少网络风险和实现高安全投资回报的最关键的安全举措之一。
特权访问管理 (PAM) 如何工作？
特权访问管理基于最小特权原则工作，以便即使是最高特权的用户也只能访问所需内容。特权访问管理工具通常是更广泛的 PAM 解决方案的一部分，旨在解决与监视、保护和管理特权帐户相关的各种挑战。
设计用于特权访问管理的解决方案必须能够监视和记录所有特权访问活动，并将其报告给管理员。管理员可以跟踪特权访问并检测可能被滥用的情况。
该解决方案必须使系统管理员能够识别异常和潜在威胁，采取及时行动并限制损害。特权访问管理解决方案的基本功能应包括：
- 在网络中识别、管理和监控所有系统和应用程序上的特权帐户。
- 控制对特权帐户的访问，包括在紧急情况下可能共享或可用的访问。
- 为特权帐户创建随机和安全的凭据，包括密码、用户名和密钥。
- 提供多因素身份验证。
- 限制和控制特权命令、任务和活动。
- 管理服务之间的凭证共享以限制风险。
PAM vs. IAM
特权访问管理 (PAM) 和身份访问管理 (IAM) 是保持高安全级别并允许用户在任何位置和设备上访问 IT 资产的常见方式。
对于企业和 IT 员工来说，了解这两种方法之间的区别以及在使用它们来保护对私人和敏感信息的访问时的作用是至关重要的。
IAM 是一个更通用的术语。它主要用于识别和授权组织中的用户。另一方面，PAM 是 IAM 的一个子集，着重于特权用户，即那些需要访问最敏感数据权限的用户。
IAM是指使用唯一数字身份验证、认证和授权用户配置文件。IAM解决方案提供了与网络安全方法兼容的功能组合，该方法要求用户在请求访问服务器、应用程序、服务或其他IT资产时验证其身份。
以下是可用的主要PAM解决方案的概述，既可以作为基于云的解决方案，也可以作为本地安装在预置系统上。
StrongDM
StrongDM提供了一个基础结构访问平台，消除了终端解决方案，并覆盖了所有协议。它是一个代理，将授权、授权、网络和可观察性方法结合在一个平台上。
StrongDM的权限分配机制不会使访问变得复杂，而是通过使用基于角色的访问控制（RBAC）、基于属性的访问控制（ABAC）或终端点批准来即时授予和撤销细粒度的最低特权访问权限，加快了访问速度。
通过 Slack、Microsoft Teams和PagerDuty，可以通过一键完成员工入职和离职，允许临时批准敏感操作的升级权限。
StrongDM允许您将每个最终用户或服务连接到他们所需的确切资源，而不考虑他们的位置。此外，它还用零信任网络替代了对访问和堡垒主机的需求。
StrongDM具有众多的automation选项，包括将访问工作流集成到现有部署流水线中，将日志流式传输到SIEM，以及收集各种认证审核的证据，包括SOC 2、SOX、ISO 27001和HIPAA。
ManageEngine PAM360
PAM360是一种全面的解决方案，适用于希望将PAM纳入其安全运营的公司。通过PAM360的上下文集成功能，您可以创建一个中央控制台，将IT管理系统的不同部分相互连接，以更深入地关联特权访问数据和整体网络数据，促进有意义的推理和更快的修复。
PAM360确保您的重要资产没有未管理、未知或未监控的特权访问路径。为了实现这一点，它提供了一个凭证库，您可以在其中存储特权帐户。该库提供集中管理、基于角色的访问权限和AES-256加密功能。
通过针对域帐户的即时控制，PAM360仅在用户需要时授予升级权限。一定时间后，权限会自动撤销，并重置密码。
除了管理特权访问外，PAM360还可让特权用户通过单击即可连接到远程主机，无需浏览器插件或终端代理。此功能通过加密的无密码网关提供连接的隧道，提供最大的保护。
Heimdal
Heimdal Privileged Access Management是一种特权升级和委派解决方案，可以授权系统管理员仅通过单击批准或阻止升级请求。通过根据预定义的规则和条件创建自动化升级请求批准流程，IT团队可以根据公司需求完全策划其环境，同时在过程中节省宝贵的时间和资源。
通过将Heimdal的PAM工具集成到基础架构中，企业可以完全符合NIST AC-5和AC-6标准。特权访问管理为用户提供了可用于90天的全面升级和降级数据的完整审计跟踪。管理员还可以根据多个要求对登录信息的视图进行过滤-按请求、按用户等。
最后，重要的是要提到Heimdal Patch & Asset Management是市场上唯一一种在检测到威胁时自动降低请求权限的特权升级和委派解决方案。当与Heimdal套件中的其他产品（即Heimdal’s Next-Gen Antivirus）一起使用时，这是可能的。
由于内部特权滥用和误用的威胁对各种规模的组织始终是一个主要关注点，实施强大的特权升级和委派系统对于正确的主动保护策略至关重要。这就是Heimdal Patch & Asset Management的作用所在，以及它的强大功能，让管理员根据自己的条款完全控制，同时尽可能自动化流程。
Teleport
Teleport’s的策略是将基础设施访问的所有方面集中到一个单一平台上，供软件工程师和他们开发的应用程序使用。这个统一的平台旨在减少攻击面和运营成本开销，同时提高生产力并确保符合标准。
Teleport的Access Plane是一个开源解决方案，取代了共享凭据、VPN和传统的特权访问管理技术。它专门设计为在不妨碍IT人员工作或降低生产力的情况下提供对基础设施的必要访问。
安全专业人员和工程师可以通过一个工具访问Linux和Windows服务器、Kubernetes集群、数据库和DevOps应用程序，例如CI/CD、版本控制和监控仪表板。
Teleport Server Access使用了开放标准，如X.509 certificates、SAML、HTTPS和OpenID Connect等。其创作者专注于简单易用的安装和使用，因为这些是良好用户体验和可靠安全策略的支柱。因此，它只包含两个二进制文件：一个客户端，允许用户登录以获取短期证书，以及Teleport代理，通过一个命令安装在任何Kubernetes服务器或集群上。
Okta
Okta是一家专注于身份验证、目录和单点登录解决方案的公司。它还通过合作伙伴提供PAM解决方案，这些解决方案与其产品集成，提供集中式身份、可定制和自适应访问策略、实时事件报告和减少攻击面。
通过Okta的集成解决方案，企业可以自动配置/取消配置特权用户和管理账户，同时提供对关键资产的直接访问。IT管理员可以通过与安全分析解决方案集成来检测异常活动，并发出警报并采取措施以防止风险。
Boundary
HashiCorp提供其Boundary解决方案，为动态基础设施提供基于身份的访问管理。它还提供简单和安全的会话管理和远程访问到任何可信身份验证系统。
通过集成HashiCorp的Vault解决方案，可以通过用户界面、CLI会话或HTTP API安全地存储和结构化控制访问令牌、密码、证书和加密密钥，以保护机密和其他敏感数据。
使用Boundary，可以单独通过多个供应商访问关键主机和系统，无需为每个系统管理个别凭据。它可以与身份提供者集成，消除了将基础设施暴露给公众的需要。
Boundary是一个跨平台的开源解决方案。作为HashiCorp组合的一部分，它自然可以轻松集成到安全工作流中，从而可以轻松部署到大多数公共云平台。所需的代码已经在GitHub上准备好供使用。
Delinea
Delinea’s特权访问管理解决方案旨在尽可能简化工具的安装和使用。该公司的解决方案直观易用，便于定义访问边界。不论是在云端还是本地环境中，Delinea的特权访问管理解决方案都可以简单部署、配置和管理，而不会牺牲功能。
Delinea提供了一种基于云的解决方案，可以在数十万台机器上部署。该解决方案由工作站特权管理器和服务器云套件组成。
特权管理器能够发现工作站或云端托管的服务器上具有管理员权限的机器、账户和应用程序，甚至能够操作不同域中的机器。通过定义规则，它可以自动应用策略来管理权限，永久定义本地组成员资格，并自动轮换非人类特权凭证。
策略向导可以通过几个点击来提升、拒绝和限制应用程序。最后，Delinea的报告工具可以提供关于被恶意软件阻止的应用程序和最低特权合规性的深入信息。它还可以与特权管理器云集成使用特权行为分析。
BeyondTrust
BeyondTrust特权管理可通过控制应用程序使用情况以及记录和报告特权活动，轻松提升已知和可信应用程序的特权。它通过使用已在基础架构中使用的安全工具来实现这一点。
通过特权管理器，您可以为用户提供完成任务所需的确切特权，而无需过度特权的风险。您还可以定义策略和特权分配，调整和确定组织中可用的访问级别。通过这种方式，您将避免由于特权过度导致的攻击。
您可以使用细粒度策略为标准的Windows或Mac用户提升应用程序特权，为每个任务提供足够的访问权限。BeyondTrust特权管理与受信任的帮助台应用程序、漏洞管理扫描器和SIEM工具集成，通过工具内置的连接器实现。
BeyondTrust的端点安全分析让您可以将用户行为与安全情报相关联。它还为您提供了所有用户活动的完整审计跟踪，以加速取证分析和简化企业合规性。
One Identity
One Identity的特权访问管理（PAM）解决方案可以减轻安全风险并实现企业合规性。该产品提供SaaS或本地部署模式。无论哪种变体，都可以在多个环境和平台上安全、控制、监控、分析和管理特权访问。
此外，它还提供灵活性，只有在必要时才给予用户和应用程序完全权限，在其他情况下应用零信任、最低特权操作模型。
CyberArk
使用CyberArk特权访问管理器，您可以自动发现和整合人员或非人员实体使用的特权凭证和秘密。通过集中策略管理，CyberArk的解决方案允许系统管理员定义密码轮换、密码复杂度、每用户保险库分配等策略。
该解决方案可以作为服务（SaaS模式）部署，也可以安装在您的服务器上（自托管）。
Centrify
“Centrify特权威胁分析服务”通过为您的云和本地基础架构添加一层安全性来检测特权访问滥用。它通过采用先进的行为分析和自适应多因素认证来实现这一点。使用Centrify的工具，可以实时获得网络内所有用户异常行为的警报。
Centrify Vault Suite允许您为共享帐户和凭据分配特权访问权限，控制密码和应用程序机密，并保护远程会话。而Centrify Cloud Suite可以使您的组织无论大小，都能通过在服务器上动态执行的集中管理策略全局管控特权访问。
结论
滥用特权是当前面临的顶级威胁之一，往往导致巨大损失甚至企业瘫痪。它也是网络犯罪分子中最受欢迎的攻击向量之一，因为一旦成功实施，它就可以免费访问公司的内部，通常在造成损害之前不会引起任何警报。当账户特权滥用风险难以控制时，使用适当的特权访问管理解决方案是必须的。
