最新新闻
谷歌光纤部门裁员9% 暂停1个城市的光纤计划 谷歌光纤现在是一个光纤和无线ISP 在堪萨斯城 谷歌光纤结束了免费的5Mbps互联网服务 4K的谷歌视距可能会让你突破家庭互联网数据的上限 亚马逊在5G 混合IT领域加大竞争 一个可靠的VPN新来者 有一些不错的功能 OVPN审查一个可靠的执行者 有很好的隐私承诺 WireGuard协议对Mac用户来说很简单 讨厌macOS的屏幕截图吗 这里是如何摆脱它 iPhone 11 Pro即使在关闭选项时也能共享位置数据 敏捷云到底有什么用呢 年增长率70%怎么样 Bug赏金初创公司HackerOne在分析错误后遭到攻击 福克斯与AWS签署协议 升级电视制作和流媒体服务 思科推出5G Now产品组合 让合作伙伴在无线领域全速前进 阿里巴巴的YunOS超越了中国的iOS 但它到底是什么呢 我们不能阻止人工智能改变世界 但我们可以阻止机器人烹饪猫 人工智能能预测潜在的安全漏洞吗 广告是我们将为AI无处不在付出的代价吗 安卓创始人必备的手机将三星配件与iPhone设计融为一体 亚马逊Echo Show为Alexa不断增长的技能添加了视频通话功能 爱立信推出新的物联网加速器市场 旨在刺激大规模的物联网应用 特斯拉半电动卡车亮相 奔驰GLC F-CELL是绿色科技的和谐 吉普揭示越野车的概念复活节狩猎 汽车博览会梅赛德斯 奔驰确定参展阵容 日内瓦丰田C-HR紧凑型SUV泄露 奔驰g级40年的顽固遗产 雷克萨斯RX 450hL推出坐第三排 WELLBET详解奔驰旗下全新SUV车型GLB 丰田Yaris交付开始1000辆车找到
您的位置:首页 >要闻 >

标识和访问管理问题的五个迹象

2019-11-26 17:11:14   来源:

身份和访问管理一直是CISO战略的重要组成部分,但不幸的是,从泄露报告的数量来看,对细节的关注还远远不够,这些报告称窃取凭证是此次攻击的一个关键因素。

在今天的一篇专栏文章中,IBM高级管理安全顾问Andy Taylor提供了5条线索,提示考虑不周或过于复杂的访问治理过程可能会让错误的人获得过多的访问权限,而受到的监督太少:

孤立的账户

您知道谁使用或拥有您组织中的所有用户帐户吗?是否有已离职人员的有效账户?你的员工最后一次检查是什么时候?如果一段时间内没有答案,那就是一个警告信号。Taylor提供了另一个:帐户命名约定和元数据都没有给出帐户所有者的任何指示,但是这些帐户仍然可以用来访问敏感资源。

多达7万名管理人员有多余和不必要的权限,可以查看所有30万名联邦雇员的个人信息。

在一个恶意软件比应用程序还多的时代,黑名单可能是一个时代错误。越来越多的CISOs正在寻找……

-定义不清的认证过程

泰勒说,IAM认证过程出现得太频繁了,几乎没有任何警告或通知。“通知经常被发送给不正确的审稿人,并且包含了只有IT专家才能理解的令人困惑的权利。”他指出,定义不当的审查过程意味着用户身份和对宝贵资源的访问不安全,从而导致风险。

-访问请求批准不足

您可能有一个良好的访问审批流程,但是有些人可能会错误地进行审批。Taylor给出了一个与用户没有组织关系的人,或者对业务功能或访问知之甚少的人作为例子。特别危险的是,只有不了解安全需求或策略的部门经理才会批准特权访问。其结果可能是违反职责隔离(SOD)。

-职责控制缺乏隔离

为了限制欺诈行为的风险,一些功能必须被隔离——例如,提交发票的人不应该批准自己的支出。但是,Taylor说,由于缺乏关于它们的应用和它们在业务功能上的使用的知识,公司可能很难清楚地表达SOD控制。他写道:“这些流程检查通常是手动进行的,而且是临时安排的——在大多数情况下,在获得访问权限后很长一段时间才进行检查,有时是为了应对突发事件或违规行为。”

-跨组织的独立流程

拥有一系列不同的部门,可能由于收购和合并或地理上的分离,会导致组织拥有不同的身份和访问管理流程和团队。这不仅成本高、效率低,而且风险很大。

这是一个提供广泛的多因素身份验证技术以使数据访问更安全的时代。但如果infosec专业人员不能更好地管理注册和认证过程,那么所有这些工具都无济于事。

郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如作者信息标记有误,请第一时间联系我们修改或删除,多谢。