從SolarWinds事件到Ubiquiti事件，數據泄露事件充斥著最近的頭條新聞，并且他們都有一個共同風險：非人類身份。隨著受影響的企業(yè)逐漸恢復，人們開始討論這些泄露事件發(fā)生的原因，以及安全如何可以做得更好。

[[413383]]

不過，有一點是所有人都認同的：傳統(tǒng)安全已死，而造成這個的原因就是云。技術大勢已經發(fā)生了改變，而傳統(tǒng)安全不再有效。人類和非人類的交互成為了新的戰(zhàn)場。正如美國網絡安全和基礎設施安全局技術策略師Jay Gazlay在最近的一次會議中說的那樣：“現在身份就是一切。”

企業(yè)已經從一個整體的應用套裝轉向了微服務的模式、從瀑布開發(fā)轉向了敏捷、IT控制轉向DevOps控制、數據中心轉向云架構、人為部署架構轉向代碼部署。在對云環(huán)境全時間高安全度的期望下，安全團隊正在盡力控制非人類身份。那些責任心強的團隊必須重新思考他們如何管理安全。

幾乎現在每個重大的數據泄露事件都會涉及到身份的泄露，然后通過操控人類或者非人類身份進行接入。非人類身份也有接入數據的權限，而這些權限導致泄露事件影響更大。如果企業(yè)不管理非人類身份，那這場戰(zhàn)斗已經輸了。

何為非人類身份?

非人類身份有各種形式， 但一般而言，它們都能智能化行動，并且代表人類身份進行決策。普通的非人類身份包括角色、服務條款、無服務器功能、代碼即架構、容器、計算資源等。

非人類身份的短暫、輕量化、以及缺少可視化的特性，使得其難以管理：以容器編排為例，一般的容器生命周期為12小時;而已經被22%企業(yè)啟用的無服務器功能，可能每次的存在時間只有數秒。

由于非人類身份的輕量化特性，并且還廣泛存在于企業(yè)中，很難對它們進行批量化的風險評估。平均一個企業(yè)可能會同時在虛擬環(huán)境和云端運行大約1,000臺虛擬機。這些虛擬機可能連接了遍及全球的幾千臺設備，以及多個軟件定義架構的組件。非人類身份遠比人類身份更多， 并且它們往往存在于安全團隊不知曉的地方。

一個企業(yè)在云端有超過一萬個被定義的角色并不罕見，許多都和非人類身份有關。數據不再只存在于一個中心化的位置——它會被所有這些身份所使用。為了最小化風險，企業(yè)需要持續(xù)發(fā)現、分類、審計和保護數據，并且貫徹最小權限策略。

非人類身份需要保持最小權限

最小權限原則是安全的基礎規(guī)則，只給身份它們需要完成自己工作的權限。在所有身份中貫徹最小權限管控是最好的實踐操作，也是減少基于身份總體風險的最有效方式。最小權限應該對每一個接入決定都生效，需要回答誰、何時、接入什么、在哪接入，以及如何接入的關鍵問題。

生效的許可，或者一個身份獲得的完整許可組合，可以描繪出一個身份能執(zhí)行的操作以及可接入資源的視圖。企業(yè)必須能夠理解端到端的非人類身份的有效許可，從而確保數據安全。

管理有效許可是第一優(yōu)先

身份是現在的新邊界，需要對所有身份——人類或者非人類的，進行一個完整的身份管理。如果企業(yè)無法在技術生態(tài)中部署這些能力，就會讓自己暴露在各種安全與合規(guī)風險中。關鍵目標是提升安全性、貫徹合規(guī)性、減少業(yè)務風險、以及驅動業(yè)務增長和革新。

如果要保護非人類身份，企業(yè)需要：

• 持續(xù)保存所有身份目錄
• 持續(xù)評估他們的有效許可，并且監(jiān)控是否發(fā)生改變
• 確保身份安全解決方案生效，并且對特權非人類身份進行配置和管理

最基礎的一點，企業(yè)需要控制所有的身份，以及這些身份在環(huán)境中的交互行為。因此，企業(yè)需要減少共享賬號的數量，從而讓所有系統(tǒng)中交互的人類與非人類身份都能有一個被管理的身份，并且應用最小權限、最少接入、以及責任分離原則;最終達成可視化、可追蹤化、以及責任制。企業(yè)同樣有必要有一個標準化的策略，用以管理身份——畢竟身份現在是惡意人員的通常目標。