資安中其中一個最重要的概念是最少權限的原則,到底它是甚麼,是如何運作,而這種原則又怎樣能夠令公司受益,以及要如何在現實世界中執行最少權限原則,以下將會逐一詳述。
最少權限原則的運作
最少權限原則(principle of least privilege, PoLP)又稱為principle of minimal privilege (PoMP),也有少數人稱為principle of least authourity (PoLA),其要旨是存取系統資源的原則是只有工作需要人士,現實中可能會涉不同系統和不同人士,每論哪一方,在企業保安中採取最少權限原則,都可以形容為任何在公司資訊架構內的人士,應該在他們有工作需要的指件下,才能擁有存取該資料的權限。
假如為了完成某工作,一位用戶需要存取現時沒有的資料,可以提升其權限,而此舉可以是永久,但如果有用戶的身份需要或只屬暫時性,只需要完成特定工作的話,提升權限也應該有特定期限,當用戶無需存取特定資訊時,根據最少權限原則便應該調低他們的權限。尤其普通的用戶永遠不應該獲得管理員或超級用戶權限,不但因為他們日常工作無需有關特權,也因為此舉會明顯增加風險。
需要最少權限原則的原因
最少權限原則有助改善存取管理,鞏固公司的資安架構,以下是採用最少權限原則後能獲得的重要保安成果:
- 降低風險 – 透過限制存取以減低意外或刻意誤用權限的機會,有助降低成功滲透和未經存取公司資源的風險。
- 數據保護 – 限制存取也能保護機密數據,只有工作需要的用戶能存取資料,藉此降低存取敏感資、外洩或盜竊的機會。
- 減少攻擊面 – 限制用戶權限令攻擊者更困難去使用安全漏洞,以及利用倚靠用戶權限的惡意程式和入侵工具,即是減少攻擊面。
- 在地化保安事故 – 如果公司的網絡遭入侵,最少權限原則有助限制事故的範圍和結果,因為最少權限能降低潛在傷害,以及在入侵系統或網絡內橫向移動。
- 識別事故的使用者責任 – 最少化權限能顯著把事故該負責任的用戶收窄,加速調查保安事故或未受權活動的速度。
- 遵守標準和法規 – 很多法規和標準都需要控制存取,尤其最少權限原則,遵守行業標準和最佳實踐有助機構避免不愉快的後果和制裁。
- 提高營運效果 – 採用最少權限原則降低公司資訊架構的風險,變相減少因為資安事故而產生的停機時間,增加公司運作效率。
如何部署最少權限原則
在公司的資訊架構內部署最少權限原則,可以分為以下基本部驟:
- 進行資源盤點,審核現時使用者擁有的存取權限。
- 對資源進行分類,並根據角色建立存取管理模型。
- 首先為使用者指派最少權限,只在工作需要時提升他們的權限。
- 定期審核和審查權限,降低不需存取某些資源用戶的權限。
- 如果用戶因為一件工作需要存取大量資源,提升權限便應該以暫時性則。
不要忘記其他保護考量
如果單純靠最少權限原則,當然不足以保護公司的資訊架構,其他考量包括:
- 行常的保安審計
- 定期軟件更新
- 為員工提供基本的資安培訓
- 在所有公司裝置上安裝可靠防護
資料來源:Kaspersky Blog