特权访问管理——网络看门人

作为系统管理员，您的主要职责之一是控制对网络的访问。您可能很清楚您的 IT 同事正在访问哪些设备以及他们在连接时正在做什么。那个“需要”额外访问 ERP 系统的财务用户怎么办？或者工程师要求您设置对工厂系统的远程访问，以便他们的供应商之一可以连接以诊断问题？事情很快就会变得复杂起来，而且还没有考虑合规性要求，例如审计和新的 CISO 强制执行的“零信任”政策。

不幸的是，给您和您的网络带来风险的不仅仅是外部攻击者。根据Ponemon Institute的研究，所谓的“内部威胁”事件在过去两年中增加了 44%，估计凭证盗窃的成本从 2020 年的 279 万美元增加到去年的 460 万美元。遏制内部威胁的时间也有所增加，不出所料，数据显示，消除海滩所需的时间越长，企业在现金和声誉方面的成本就越高。

当然，这不是一个新问题。自电传打字机时代以来，管理员一直在努力保护他们的系统。TACACS和RADIUS等协议分别出现在 1980 年代和 1990 年代；几十年来，他们一直在监督对系统的安全访问。但它们已不足以管理构成现代“万物互联”世界的令人眼花缭乱的平台、设备和要求。

那么，答案是什么？身份和访问管理（IAM 或 IdAM）是IT 安全学科的一个引人入胜的（如果您有这种倾向的话）分支。它试图准确定义术语“身份”的含义，而不仅仅是用户名和密码！它过于复杂，无法在此处详细描述，但本文提供了一个很好的概述。

与任何复杂系统一样，正确的工具集对使主题易于理解和控制大有帮助。IAM 的局限性在于只能证明试图连接到设备或系统的人的身份。要控制他们需要的访问级别，并监控他们使用该访问权限所做的事情，需要的不仅仅是 IAM 所能提供的。

使用 Osi