Gartner：2018年10大安全项目详解

【项目目标客户】该项目旨在让攻击者更难访问特权账户，并让安全团队监测到异常访问的行为。最低限度，CISO们应该要求对所有管理员实施强制多因素认证，建议同时也对承包商等外部第三方的访问实施强制多因素认证。

【项目建议】先对高价值、高风险的系统实施PAM，监控对其的访问行为。

PAM工具为组织的关键资产提供安全的特权访问，以符合对特权账号及其访问的监控管理合规需求。PAM通常具备以下功能：

• 对特权账号的访问控制功能，包括共享账号和应急账号;
• 监控、记录和审计特权访问操作、命令和动作;
• 自动地对各种管理类、服务类和应用类账户的密码及其它凭据进行随机化、管理和保管;
• 为特权指令的执行提供一种安全的单点登录(SSO)机制;
• 委派、控制和过滤管理员所能执行的特权操作;
• 隐藏应用和服务的账户，让使用者不用掌握这些账户实际的密码;
• 具备或者能够集成高可信认证方式，譬如集成MFA。

很显然，虽然国内谈PAM很少，但实际上早已大量运用，其实就对应我们国内常说的堡垒机。

Gartner将PAM工具分为两类：PASM(特权账户和会话管理)和PEDM(权限提升与委派管理)。如下图所示：

显然，PASM一般对应那个堡垒机逻辑网关，实现单点登录，集中的访问授权与控制，设备系统密码代管、会话管理、对操作的审计(录像)。

PEDM则主要通过分散的Agent来实现访问授权与控制，以及操作过滤和审计。国内的堡垒机一般都没有采用这种技术模式。

Gartner分析未来PAM的技术发展趋势包括：

• 支持特权任务自动化，多个操作打包自动化执行;
• 将PAM用于DevOps，让DevOps更安全更便捷;
• 支持容器;
• 支持IaaS/PaaS和虚拟化环境;
• 以云服务的形式交付PAM;
• 特权访问操作分析，就是对堡垒机日志进行分析，可以用到UEBA技术;
• 与漏洞管理相结合;
• 系统和特权账户发现;
• 特权身份治理与管理。

Gartner列出了评价PAM的几个关键衡量指标：

• 环境支持的情况，是否支持云环境?
• 具备PASM和PEDM功能，具有录像功能;
• 提供完备的API以便进行自动化集成;
• 具备自然人/非自然人的账号管理功能。

在Gartner的2018年IAM技术Hype Cycle中，PAM处于早期主流阶段，正在向成熟的平原迈进。

国内堡垒机已经发展好多年了，本人早些年也负责过这块业务。国外PAM也趋于成熟，Gartner估计2016年全球PAM市场达到了9亿美元，市场并购也比较频繁。Gartner对中国的PAM市场了解甚少，没有什么研究，这里我也建议国内的堡垒机领导厂商可以主动联系Gartner，让他们更多地了解中国的PAM市场。

2. 符合CARTA方法论的弱点管理项目

【项目目标客户】基于CARTA方法论，该项目能够很好地处理漏洞管理问题，并有助于显著降低潜在风险。在补丁管理流程中断，以及IT运维的速度赶不上漏洞增长的速度时，可以考虑该项目。你无法打上每个补丁，但你可以通过风险优先级管理显著降低风险。

【项目建议】要求你的虚拟助手/虚拟机供应商提供该能力(如果客户已经上云/虚拟化的话)，并考虑使用风险缓解措施，譬如上防火墙、IPS、WAF等等。

注意，弱点管理不是弱点评估。弱点评估对应我们熟知的弱点扫描工具，包括系统漏扫、web漏扫、配置核查、代码扫描等。而弱点管理是在弱点评估工具之上，收集这些工具所产生的各类弱点数据，进行集中整理分析，并辅以情境数据(譬如资产、威胁、情报等)，进行风险评估，并帮助安全管理人员进行弱点全生命周期管理的平台。记住，弱点管理是平台，而弱点扫描是工具。

另外，Vulnerability Management我一直称作“弱点管理”，而不是“漏洞管理”，是因为弱点包括漏洞，还包括弱配置!如果你认为Vulnerability应该叫做漏洞，那也没关系，但不要把弱配置落掉。

那么，什么叫做基于CARTA的弱点管理呢?熟悉CARTA就能明白，本质上CARTA就是以风险为核心一套安全方法论。因此，基于CARTA的弱点管理等价于基于风险的弱点管理。基于风险的管理是一个不断迭代提升的过程，包括弱点发现、弱点优先级排序、弱点补偿控制三个阶段，如下图所示：

作为排名第二位的项目，Gartner建议尽快启动，尽早降低组织面临的风险。

Gartner对基于CARTA方法论的VM的衡量指标包括：

• 是否有情境信息，谁收到攻击?不仅是IP，而是他的情境信息都需要，以便全面评估;
• 能否算出资产的业务价值?
• 能否绘制网络拓扑，给出缓解措施?
• 把VA(漏洞评估)和漏洞管理一并考虑，譬如集成VA工具

（编辑：核心网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!