加入收藏 | 设为首页 | 会员中心 | 我要投稿 PHP编程网 - 黄冈站长网 (http://www.0713zz.com/)- 数据应用、建站、人体识别、智能机器人、语音技术!
当前位置: 首页 > 服务器 > 安全 > 正文

几个机器身份管理的优秀践行

发布时间:2022-09-02 05:01:37 所属栏目:安全 来源:互联网
导读:机器身份是企业攻击面中一个快速增长的重要组成部分。如今,机器服务器、设备和服务的数量正在迅速增长,然而企业在保护它们的方面所付出的努力却往往显得不足。 Saviynt的产品管理总监Chris Owen表示,企业往往过于信任其网络上的机器,这意味着他们未经
  机器身份是企业攻击面中一个快速增长的重要组成部分。如今,机器——服务器、设备和服务的数量正在迅速增长,然而企业在保护它们的方面所付出的努力却往往显得不足。

  Saviynt的产品管理总监Chris Owen表示,企业往往过于信任其网络上的机器,这意味着他们未经人工干预或传统形式的认证,就与其他网络资源相连接。因此一旦机器被破坏,那么攻击者就可以通过这些“机器到机器”的路径来在网络中移动。
 
  幸运是的,企业已经开始意识到该问题。根据 Ponemon研究所和 Keyfactor三月发布的报告,61%(较去年增长了34%)的IT专业人员认为,盗窃或滥用机器身份是一个严重的隐患。
 
  意识到问题是解决问题的第一步,但是企业也可以采取其他更为具体的措施来防止机器身份问题失控。以下是其中的七个例子。
 
  1. 了解自己的证书、密钥以及数字资产
  Ponemon表示,IT组织的内部证书平均拥有量超过26.7万,较去年同期增长16%。证书以及密钥与操作基础设施、物联网、本地IT基础设施、云基础设施以及容器化基础设施相互关联。然而,其中一些证书和密钥却版本过旧。有些是被硬编码的,有些则与其他身份交织在一起。Vanson Bourne去年的一项调查显示,61%的组织都对其数字资产的证书和密钥缺乏充分的认识。其中96%缺乏充分认识的企业表示自己遭受了严重的后果。对于常见的后果,55%的受访者表示出现了网络安全漏洞;35%表示遭遇了系统中断,33%表示遭受了财务损失。
 
  Hitachi ID Systems的副首席工程师Ian Reay表示,他目睹了企业由于不了解机器身份,从而遇到了严重的问题。例如,美国的一家重要企业需要更改密码来维护其用来营销的打印机。

  2. 频繁修改密钥和证书
  网络安全供应商Corsha的联合创始人兼首席技术官AnushaIyer表示,静态的密钥和证书往往更容易成为不法分子盗窃和重复利用的目标。事实上,凭证填充攻击从很大程度上已经从利用人类身份的用户名和密码,转而利用API凭证,而API凭证本质上正是当今机器身份的代理。
 
  随着API生态系统的快速增长,该问题只会变得更具挑战性。美洲航空公司 Capgemini的Excellence网络安全中心的高级解决方案经理 Prasanna Parthasarathy表示,机器身份管理的不当往往会导致安全漏洞的产生。在最严重的情况下,攻击者可以同时清除掉整个IT环境。攻击者可以利用已知的API调用来访问进程控制、事务或关键基础设施,而这会产生毁灭性的后果。
 
  Parthasarathy 表示,为了防止该情况的发生,公司应对源机器、云连接、应用服务器、掌上设备以及API交互实行严格的授权机制。最重要的是,受信任的证书不能是静态的。应该对其进行频繁的修改更新,并且永远不能将其硬编码到API调用中。
 
  Parthasarathy认为,为每一笔交易都更改证书可能很困难,但随着更新的越来越频繁,企业将会拥有一个更加安全的环境。并且,公司必须在设备或程序弃用时立即其撤销证书和密钥。Gartner建议企业应从所有计算基础设施中废除隐性信任,代之以实时的自适应信任。

(编辑:PHP编程网 - 黄冈站长网)

【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容!

    热点阅读