2020年第21期信息与电脑China Computer & Communication 信息安全与管理特权账号安全管理系统研究及分析刘 奇（国华能源投资有限公司，北京 100007）摘 要：本文在深入研究国内外特权账号安全管理相关技术的基础上，设计和实施特权账号安全管理平台，实现集中、自动化地管理所有类型的特权账号、密码，提升各纳管系统的主动防御能力，降低弱口令、口令泄露带来的敏感信息外泄的风险。
本文围绕特权账号安全管理系统的设计、能力等方面进行详细分析，还针对安全性、可用性、可靠性等设计，真正从技术管控上和制度要求上实现特权账号安全管理，实现特权账号种类的全覆盖和生命周期的完整涵盖，满足未来不断变化的需要。
关键词：特权账号；安全管理；运维管理中图分类号：TP309 文献标识码：A 文章编号：1003-9767（2020）21-198-03Research and Analysis of Privilege Account Security Management SystemLiu Qi(Guohua Energy Investment Co., Ltd., Beijing 100007, China)Abstract: Based on the in-depth study of the related technologies of privileged account security management at home and abroad, this paper designs and implements the privilege account security management platform, realizes centralized and automatic management of all types of privileged account passwords, improves the active defense capability of each ATM system, and reduces the risk of sensitive information leakage caused by password and password disclosure. This paper analyzes the design and capability of the privilege account security management system in detail, and designs the security, availability and reliability of the system to realize the privilege account security management from the technical control and system requirements. To achieve the full coverage of privilege account types and life cycle, to meet the changing needs in the future.Keywords: privileged account; security management; operation and maintenance management１ 研究背景随着企业IT 基础设施的增加，日常网络设备管理难度越来越大[1-4]。
特权帐号自动化安全管理系统的研究与构建特权帐号在企业信息系统中扮演着重要的角色，它们具有更高的权限，并且可以访问和控制敏感的系统资源，因此需要进行严格的安全管理。
为了提高特权帐号的安全性，研究与构建特权帐号自动化安全管理系统具有重要意义。
本文旨在探讨特权帐号自动化安全管理系统的研究与构建，以帮助企业更好地管理特权帐号，提高信息系统的安全性。
首先，特权帐号的安全管理需要从身份审核、权限控制、日志监控等方面进行综合考虑。
通过建立特权帐号的身份审核机制，确保特权帐号只授予有必要权限的人员，避免权限滥用的情况发生。
而权限控制则需要建立特权帐号的授权机制，确保只有被授权的用户才能访问和操作敏感的系统资源。
此外，日志监控也是特权帐号安全管理的一项重要工作，通过记录和监控特权帐号的操作行为，及时发现异常行为并采取相应的应对措施。
其次，特权帐号自动化安全管理系统的构建需要综合运用技术手段，包括身份认证技术、访问控制技术和日志监控技术等。
身份认证技术可以通过使用双因素认证、生物识别等方式，提高特权帐号的身份认证的安全性。
访问控制技术可以通过建立访问控制列表、角色分配等方式，确保只有被授权的用户才能访问和操作敏感资源。
而日志监控技术可以通过使用日志分析工具，对特权帐号的操作行为进行实时监控，并及时发现和应对异常行为。
另外，特权帐号自动化安全管理系统的构建还需要考虑特权帐号的生命周期管理。
特权帐号的生命周期管理包括账号创建、账号授权、账号注销等过程。
企业可以通过建立特权帐号生命周期管理的流程，确保特权帐号的安全可控。
同时，特权帐号的生命周期管理也需要与企业的员工离职流程等进行整合，及时撤销特权帐号的访问权限，避免出现权限滥用的情况。
最后，特权帐号自动化安全管理系统的研究与构建还需要注重敏感数据的保护。
特权帐号往往具有操作敏感数据的权限，因此需要加强对敏感数据的保护措施。
可以通过使用数据加密、数据备份等方式，保护敏感数据的机密性和可用性。
广州海颐信息安全技术有限公司Xuhaoping@一、特权账号管理系统实施需要配合问题1.好的实施方案必须是深度切合企业现状的好的实施方案应该从一开始就做详尽的调研和设计，而不是在实施后才慢慢的修修补补。
特权账号管理涉及企业历史管理问题、岗位互斥问题、监管要求问题等，只有在做了深度评估和调研后才能设计出最贴合客户需求的实施方案。
2.安全管控工具无法脱离管理流程而健康运行一个好的安全工控工具需要融入到企业原来的IT管理机构中，必须配合行之有效的管理措施，才能发挥最大的价值。
因此特权账号管理系统的实施应深入了解企业的IT管理架构、岗位职责、管理文化，并设计一套全面完善的特权账号管理实施方案。
二、我们的做法1.特权账号管理现状评估：进行深度的调研和分析，从业务系统现状、运维人员现状、机器设备账号等层面进行调研分析，结合客户面临的监管条例和行业最佳实践，梳理出核心系统的关联关系、运维人员的交叉管理情况和岗位职责互斥情况，机器设备历史遗留账号问题和不符合安全规范的地方，为下一步特权账号技术方案的深化设计提供基础。
本阶段产出物：《特权账号管理现状评估报告》《业务系统关联关系图》《运维人员配备情况与岗位职责》《系统与设备账号清单》《监管要求与岗位互斥分析报告》2.特权账号管理策略制定：以上一阶段调研分析的基础材料为依据，对特权账号技术方案进行深化设计，制定特权账号管理策略、特权账号角色功能设计、特权账号审批权限矩阵，细化系统/账号/权限/使用人员/审批人员/部门/岗位/岗位互斥关系之间的关联关系和运转流程，制定工作岗位与系统权限的对应关系和互斥原则，对具体岗位做出具体的权限管理规定，为特权账号管理系统的策略制定和实施提供依据。
本阶段产出物：《特权账号管理深化设计方案》《特权账号角色功能设计》《特权账号审批权限矩阵》《账号命名规则与密码策略》3.特权账号运维管理规范融合实施：在客户的SDLC开发流程、运维管理规范、原有的账号申请审批等流程的基础上，融合实施特权账号管理系统运维管理规范。
pam操作规程PAM（Privileged Access Management）是一种用于管理系统特权用户访问权限的解决方案。
它提供了一套严格的操作规程，以确保系统特权用户的操作安全和合规性。
以下是关于PAM操作规程的详细说明。
1. 访问控制原则1.1 最小权限原则：特权用户只能被授予完成其工作所必需的最低权限。
1.2 限制访问原则：特权用户的访问权限应该被限制在他们需要的系统和资源上，不得超出其职责范围。
1.3 原则分离：特权用户的角色和职责应与普通用户分离，并有明确的责任划分。
2. 特权用户账号管理2.1 角色授权：特权用户的授权应由授权管理员进行，并应留有审批记录。
2.2 密码策略：特权用户的账号密码应采用强密码策略，并定期更新密码。
2.3 可追踪性：特权用户的账号应有唯一标识符，并保留相关操作日志，以便审计查证。
3. 特权用户操作控制3.1 操作审计：对特权用户的操作应进行审计记录，包括登录、命令执行、文件操作等。
3.2 访问控制：特权用户的访问权限应进行细粒度控制，并限制其对系统和资源的操作范围。
3.3 命令约束：特权用户的命令执行应受到限制，只能执行经授权的命令。
3.4 会话监控：特权用户的会话应进行实时监控，以及时发现非法操作和异常行为。
4. 特权用户账号的安全保护4.1 账号锁定：特权用户的账号在连续多次登录失败后应被锁定一段时间，以避免暴力破解。
4.2 账号禁用：特权用户的账号在离职或不再需要时应被及时禁用或删除。
4.3 账号认证：特权用户的账号登录应采用强认证方式，如双因素认证。
4.4 加密传输：特权用户登录和操作数据的传输应使用加密通信方式，确保数据安全。
5. 系统和资源的保护5.1 操作系统安全：对特权用户执行操作系统的安全配置，包括定期打补丁、禁用无关服务等。
5.2 应用程序安全：对特权用户访问的应用程序进行安全配置和漏洞管理，确保应用程序的安全性。
5.3 数据库安全：对特权用户访问的数据库进行访问控制和审计，保障数据的安全性和完整性。
