從SolarWinds事件到Ubiquiti事件，數據泄露事件充斥著最近的頭條新聞，并且他們都有一個共同風險：非人類身份。隨著受影響的企業逐漸恢復，人們開始討論這些泄露事件發生的原因，以及安全如何可以做得更好。

[[413383]]

不過，有一點是所有人都認同的：傳統安全已死，而造成這個的原因就是云。技術大勢已經發生了改變，而傳統安全不再有效。人類和非人類的交互成為了新的戰場。正如美國網絡安全和基礎設施安全局技術策略師Jay Gazlay在最近的一次會議中說的那樣：“現在身份就是一切。”

企業已經從一個整體的應用套裝轉向了微服務的模式、從瀑布開發轉向了敏捷、IT控制轉向DevOps控制、數據中心轉向云架構、人為部署架構轉向代碼部署。在對云環境全時間高安全度的期望下，安全團隊正在盡力控制非人類身份。那些責任心強的團隊必須重新思考他們如何管理安全。

幾乎現在每個重大的數據泄露事件都會涉及到身份的泄露，然后通過操控人類或者非人類身份進行接入。非人類身份也有接入數據的權限，而這些權限導致泄露事件影響更大。如果企業不管理非人類身份，那這場戰斗已經輸了。

何為非人類身份?

非人類身份有各種形式， 但一般而言，它們都能智能化行動，并且代表人類身份進行決策。普通的非人類身份包括角色、服務條款、無服務器功能、代碼即架構、容器、計算資源等。

非人類身份的短暫、輕量化、以及缺少可視化的特性，使得其難以管理：以容器編排為例，一般的容器生命周期為12小時;而已經被22%企業啟用的無服務器功能，可能每次的存在時間只有數秒。

由于非人類身份的輕量化特性，并且還廣泛存在于企業中，很難對它們進行批量化的風險評估。平均一個企業可能會同時在虛擬環境和云端運行大約1,000臺虛擬機。這些虛擬機可能連接了遍及全球的幾千臺設備，以及多個軟件定義架構的組件。非人類身份遠比人類身份更多， 并且它們往往存在于安全團隊不知曉的地方。

一個企業在云端有超過一萬個被定義的角色并不罕見，許多都和非人類身份有關。數據不再只存在于一個中心化的位置——它會被所有這些身份所使用。為了最小化風險，企業需要持續發現、分類、審計和保護數據，并且貫徹最小權限策略。

非人類身份需要保持最小權限

最小權限原則是安全的基礎規則，只給身份它們需要完成自己工作的權限。在所有身份中貫徹最小權限管控是最好的實踐操作，也是減少基于身份總體風險的最有效方式。最小權限應該對每一個接入決定都生效，需要回答誰、何時、接入什么、在哪接入，以及如何接入的關鍵問題。

生效的許可，或者一個身份獲得的完整許可組合，可以描繪出一個身份能執行的操作以及可接入資源的視圖。企業必須能夠理解端到端的非人類身份的有效許可，從而確保數據安全。

管理有效許可是第一優先

身份是現在的新邊界，需要對所有身份——人類或者非人類的，進行一個完整的身份管理。如果企業無法在技術生態中部署這些能力，就會讓自己暴露在各種安全與合規風險中。關鍵目標是提升安全性、貫徹合規性、減少業務風險、以及驅動業務增長和革新。

如果要保護非人類身份，企業需要：

• 持續保存所有身份目錄
• 持續評估他們的有效許可，并且監控是否發生改變
• 確保身份安全解決方案生效，并且對特權非人類身份進行配置和管理

最基礎的一點，企業需要控制所有的身份，以及這些身份在環境中的交互行為。因此，企業需要減少共享賬號的數量，從而讓所有系統中交互的人類與非人類身份都能有一個被管理的身份，并且應用最小權限、最少接入、以及責任分離原則;最終達成可視化、可追蹤化、以及責任制。企業同樣有必要有一個標準化的策略，用以管理身份——畢竟身份現在是惡意人員的通常目標。