OSG9第十三章 管理身份和认证

第十三章 管理身份和认证，CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证

第十三章 管理身份和认证

• 13.1 控制对资产的访问
  • 资产
    • 资产可以是有形的或无形的。有形资产是指你可以触摸的东西，如物理设备
    • 而无形资产是指信息和数据，例如知识产权。除了人员之外，资产还可以是信息、系统、设备、设施或应用程序。
    • 信息： 组织的信息包括其所有数据。
    • 系统： 组织的系统包括提供一个或多个服务的任何 IT 系统
    • 设备： 设备是指任何计算系统，包括服务器、台式计算机、便携式笔记本电脑、平板电 脑、智能手机和外部设备（如打印机）
    • 设施： 组织的设施包括其拥有或租赁的任何物理场所
    • 应用程序 应用程序往往提供组织的数据访问
  • 13.1.1 控制物理和逻辑访问
    • 物理安全控制是你可以触摸的，如围栏、大门、 警卫和旋转门等边界安全控制，以及供暖、通风和空调(HVAC)系统和灭火等环境控制。
    • 物理安全控制通过控制访问和环境来保护系统、设备和设施
    • 服务器存储重要信息（数据），而许多服务器也可托管组织员工访间的应用程序
    • 逻辑访问控制是一种技术控制，用于保护对信息、系统、设备和应用程序的访问。逻辑访问控制包括身份认证、授权和权限。将这些逻辑访问控制结合起来，有助于预防对系统及其他设备上的数据和配置的未经授权的访问
    • • BCP
      • DRP
      • 备份恢复
  • 13.1.2 CIA 三性和访间控制
    • 组织实施访问控制机制的主要原因之一是预防损失。 IT 损失分为三类：保密性(confidentiality) 、完整性(integrity)和可用性(availability) 的损失，即 CIA 损失
    • 访问控制对 CIA 三性定义
      • 保密性：访问控制有助于确保只有已经授权的主体能够访问客体。如果未经授权的实体 可以访问系统或数据，将导致保密性的丧失。
      • 完整性： 完整性可以确保主体经授权后才可以修改数据或系统配置，或如果发生未经授权的变更，安全控制可以检测到变更
      • 可用性： 必须在合理时间内向主体授予访问客体的权限，换句话说，系统和数据应该在 需要时可以供用户和其他主体使用
• 13.2 管理身份标识和认证
  • 身份标识(identification) ： 是主体声明或宣称身份的过程。主体必须向系统提供身份标识，从而启动身份认证、授权和问责流程，用户名，刷智能卡，说出短语，将脸部、手掌或手指置于相机前或靠近扫描设备，核心是必须具有唯一的身份标识
  • 身份认证(authentication)： 将一个或多个因素与有效身份标识数据库（如用户账户）进行 比对，从而验证主体的身份，口令
  • 身份标识和身份认证作为一个流程的两个步骤同时发生。第一步是提供身份标识，第二 步是提供身份认证信息。如果缺少身份标识和身份认证，主体就无法访问系统。
  • 身份标识和身份认证方法在对人员进行身份认证时也会对设备和服务进行身份认证
  • 13.2.1 比较主体和客体
    • 主体（subject）: 主体是一种活动实体，访问被动客体以从客体接收信息或数据。
    • 客体(object) :客体是一个被动实体，可以向活动主体提供信息。
    • 主体和客体的角色可以来回切换
  • 13.2.2 身份注册、证明和创建
    • 可接受的身份证明文件包括护照、驾照、出生证明等实物文件
      • 美国水电费账单，需要真实ID去注册
    • 在线组织通常使用基于知识的身份认证(KBA)来验证新人（如新客户）的身份
    • 创建一个在线储蓄账户,银行可能询问的问题
      • 你最近购买以下哪些车辆
      • 你的购车费用是多少？
      • 你的抵押（或租金）费用是多少？
      • 下列任何一个地址是否曾经是你的住址？
      • 你的驾照号码是多少？
    • 已注册用户尝试更改口令时
      • 你最喜欢的运动是什么？
      • 你第一辆车是什么颜色的？
      • 你第一只宠物的名字是什么？
      • 你第一个老板的名字是什么？
      • 你母亲的婚前姓氏是什么？
      • 你小学最好的朋友叫什么？
    • 随后，系统使用这些问题进行身份认证。如果用户正确回答了所有问题，则系统对用户完成了身份认证
  • 13.2.3 授权和问责
    • 访问控制系统中的两个附加安全要素是授权(authorization)和问责(accountability) 。
    • 授权 ：基于已验证的身份授予主体对客体的访问权限。例如，管理员根据用户经过验证的身份授予用户对文件的访问权限
      • 1 授权
        • 授权表示可以信任谁来执行特定操作。
        • 简单示例：如果用户尝试打开文件，授权机制将进行检查，以确保用户至少具有该文件的读取权限
        • 身份标识和身份认证是访问控制的“全有或全无”方面。凭证证明用户是不是其声称的身份
    • 问责： 在实施审计时，用户和其他主体可以对其行为负责。审计在主体访问客体时追踪主体和记录，并在一个或多个审计日志中创建审计轨迹，审计提供问责机制
      • 2. 问责
        • 审计、日志记录和监控可以确保主体对其行为负责，进而实现问责机制
        • 日志通常记录谁执行某项操作，执行某项操作的时间和地点， 以及操作内容
        • 问责依赖于有效的身份标识和认证，但不需要有效的授权。换句话说，在标识和认证用户之后，审计曰志等问责机制可以跟踪用户活动，即使用户试图访问无权访问的资源，也是如此。
  • 13.2.4 三种主要的身份认证因素
    • 类型1--你知道什么：该身份认证因素包括已记住的秘密，例如口令、个人身份识别码(PIN)或口 令短语。早期的文档将此称为类型 l 身份认证因素
    • 类型2--你拥有什么：该身份认证因素包括用户拥有并可以帮助其提供身份认证的物理设备，例如智能卡、硬件令牌、存储卡或通用串行总线(USB)驱动器。早期的文档将此称为类型 II 身份认证因素
    • 类型3--你是什么：该身份认证因素利用人的身体特征并基于生物识别技术。“你是什么＂类别 的示例包括指纹、面部扫描、视网膜、虹膜和手掌扫描。早期的文档将此称为类型 III 身份认证因素
    • 你在什么地方：该身份认证因素基于具体计算机来识别主体所在的位置，主要通过 IP地址或者来电显示来识别地理位置
    • 上下文感知身份认证：许多移动设备管理(MDM)系统使用上下文感知身份认证来识别移动设备用户。上下文感知身份认证可以识别多个属性，如用户位置、时段、移动设备等
    • 你做什么:允许用户滑动屏幕网格上的点来解锁。这些身份认证方法有时被称为“你做什么“
  • 13.2.5 类型I-你知道什么
    • 口令是用户输入的一串字符串，是最常见的身份认证技术
    • 静态口令是最弱的身份认证形式
    • 口令脆弱的原因
      • 用户往往选择容易记住的口令，这样的口令也容易猜测或破解
      • 随机生成的口令难以记忆，因此，许多用户将口令抄写下来。
      • 用户经常共享口令或忘记口令。
      • 攻击者可以通过多种方式查出口令，包括监视、网络嗅探和窃取数据库。
      • 口令有时通过明文形式或容易破解的加密协议传输
      • 口令数据库有时存储在可公开访问的网络位置。
      • 暴力破解攻击可以快速发现弱口令。
    • 口令短语(passphrase)：是一种增强口令的方法。口令短语是一串字符，类似于口令，但对用户具有独特的含义。例如，口令可以是 “I passed the CISSP exam”。
    • 个人身份识别码(PIN)：也属于“你知道什么“类别。 PIN 通常包含 4 个、 6 个或 8 个数字。
    • 1. 口令策略组件
      • 最长期限：此设置要求用户定期更改其口令，例如每 45 天修改一次
      • 口令复杂度： 口令复杂度是指口令包含几种字符类型
      • 口令长度： 长度是指口令密码中的字符数，例如至少 8 个字符
      • 最短期限： 此设置要求用户经过特定时间以后才可再次修改口令。口令策略通常强制要 求口令历史不少于 1 天。
      • 口令历史 ：许多用户养成了轮换使用两个口令的习惯。
    • 2. 权威口令建议
      • NIST SP 800-63B, “数字身份指南：身份认证和生命周期管理”
      • 支付卡行业数据安全标准(PCI DSS)3.2.1 版
      • NIST SP 800-63B口令建议
        • 口令必须经过哈希：永远不要以明文形式存储或传输口令。
        • 口令不应该过期：不应要求用户定期更改口令例如每 30 天修改一次。在强制修改口 令时，用户往往仅修改单个字符，例如，用户将 PasswordI 更改为 Password2 。
        • 不应要求用户使用特殊字符：如果要求口令包含特殊字符，通常会让用户面临记忆挑战， 因此用户会写下这些口令。
        • 用户可以复制和粘贴口令：密码管理器允许用户创建和存储复杂的口令。当复制和粘贴受到限制时，用户必须重新输入口令，导致用户通常预设更简单的口令。
        • 用户可以使用所有字符;口令存储机制通常拒绝使用空格和一些特殊字符。
        • 口令长度至少为 8 个字符，最多为 64 个字符
        • 口令系统应该筛选口令:123456或password
      • PCIDSS 口令要求
        • 口令至少每 90 天过期一次。
        • 口令长度至少为 7 个字符。
  • 13.2.6 类型II-你拥有什么
    • 智能卡和硬件令牌都是类型 2 身份认证因素示例，或者“你拥有什么＂的身份认证因素。手机验证码
    • 1. 智能卡
      • 智能卡是信用卡大小的 ID 或徽章，并嵌入了集成电路芯片
      • 智能卡包含授权用户的信息，用于身份标识和／或身份认证。多数通用智能卡包括微处理器以及一个或多个数字证书。
      • 数字证书用于非对称加密，例如加密数据或对电子邮件数字签名
      • 智能卡具有防篡改功能，为用户提供一种携带和使用复杂加密密钥的简便方法
      • 用户在进行身份认证时将卡插入智能读卡器，系统通常还会要求用户输入PIN或口令，这是智能卡的第二个身份认证因素
    • 2. 令牌
      • 令牌设备或硬件令牌是用户可以随身携带的口令生成设备。目前常见令牌包括一个显示6 至 8 位数字的显示器
      • 令牌通常与另一种身份认证机制结合起来使用。例如，用户会输入用户名和口令(“你知道什么“身份认证因素），再输入令牌显示的数字（“你拥有什么“身份认证因素），提供了多因素身份认证
      • 硬件令牌设备使用动态一次性口令，比静态口令更安全。这些口令通常是 6 位或 8 位PIN 码。
      • 令牌可以被划分为两种类型
        • 同步动态口令令牌：生成动态口令的硬件令牌和身份认证服务器保持时间同步，定期生 成一个新的 PIN 码，如每 60 秒更新一次
        • 异步动态口令令牌：相反，硬件令牌根据算法和递增计数器生成 PIN 码。使用递增计数 器时，硬件令牌会创建一个动态的一次性PIN 码，该 PIN 码在用于身份认证之前保持不变。
  • 13.2.7 类型III-你是什么
    • 生物特征因素屈于类型 3 身份认证因素
    • 若将生物特征用作身份认证技术，则需要将主体提供的生物特征模式与声明主体身份的存储模式进行一对一匹配。
    • 生理生物识别方法包括指纹、面部扫描、视网膜扫描、虹膜扫描、手掌扫描（也称为手掌 地形或手掌地理）和声纹识别
    • 生物识别技术
      • 指纹： 指纹是人的手指和拇指上可见的图案，存储的是指纹特征，不存储指纹图像，注册快一分钟不到
      • 面部扫描： 面部扫描使用人脸的几何特征进行检测和识别，和指纹一样也是存储特征点
      • 视网膜扫描：视网膜扫描关注眼睛后部的血管图案，，视网膜扫描仪通常要求用户和扫描仪相隔 3 英寸，生物识别中最安全
      • 虹膜扫描： 虹膜扫描关注瞳孔周围的彩色区域，是第二准确的生物特征认证方式，用户通常认为虹膜扫描比视网膜扫描更容易接受，因为扫描可以从远处进行，且侵入性较小，通常可以从 6 至12 米（大约 20 到 40 英尺）之外的地方进行虹膜扫描
      • 手掌扫描：手掌扫描仪通过扫描手掌来识别用户身份，注册主需要几秒钟
      • 声纹识别： 这种类型的生物特征认证凭借的是个人说话声音的特征（称为声纹），声纹识别有时被用作附加的身份认证机制，它很少单独使用，AI诈骗，视频和声音
      • 签名/签字不具备唯一性
    • 1. 生物特征因素错误评级
      • I类错误FRR
        • 错误拒绝率FRR(假阴性身份认证) ：当未对有效主体进行身份认证时，身份认证系统就出现了错误拒绝。合法用户被拒绝
        • Dawn 今天使用指纹进行身份 认证，但系统错误地拒绝她的指纹，并显示指纹是无效的
        • 错误拒绝/有效身份认证的比率=错误拒绝率(False Rejection Rate，FRR)。错误拒绝也被称为I 类错误。
      • II类错误FAR
        • 错误接受率FAR（假阳性身份认证）： 当对无效主体进行身份认证时，身份认证系统就出现了错误接受，非法用户被接受
        • 例如，假设黑客 Joe 没有账户，也没有注册指纹。但是，当 Joe 使用自己的指纹进行身份认证时，系统却可以识别其身份。这种情况就是误报或错误接受
        • 误报/有效身份认证的比率=错误接受率(False Acceptance Rate，FAR) 。错误接受有时被称为 II 类错误
      • FRR 和 FAR百分比相同的点就是交叉错误率 CER。CER 也被称为等错误率(Equal Error Rate，ERR)
      • CER 较低的设备比 CER 较高的设备更准确
      • 错误拒绝FRR比错误接受FAR更值得容忍
    • 2. 生物特征注册
      • 由于注册时间、吞吐率和接受度等因素，生物识别设备可能是无效或不可接受的
      • 一般来说，超过 2 分钟的注册时间是不可接受的
      • 吞吐率是系统扫描主体并允许或拒绝访问所需的时间，用户通常可以接受约 6 秒或更快的吞吐率。
  • 13.2.8 多因素身份认证
    • 多因素身份认证(Multi-Factor Authentication，MFA)：是使用两个或更多因素的身份认证
    • 双因素身份认证(2-Factor Authentication，2FA)： 需要两种不同的认证因素来实施身份认证
    • 当采用两种或多种不同的身份认证因素
  • 13.2.9 使用身份认证应用程序进行双因素身份认证
    • 智能手机和平板电脑支持身份认证器应用程序，例如 Microsoft Authenticator 或 Google Authenticator
    • 这些应用程序提供了一种无需硬件令牌即可实现双因素身份认证(2FA) 的简单方法
    • HOTP 基于哈希的消息身份认证码(HMAC)：包含一个哈希函数，该函数被基于 HMAC的一次性口令(HOTP)标准用来创建一次性口令。 HOTP 通常生成六至八位数的 HOTP 值。
    • 基于时间的一次性口令(Time-based One-time Password，TOTP)：标准类似于 HOTP。但是， TOTP 使用时间戳并在特定时间范围内保持有效，如 30 秒。如果用户未在时间范围内使用 TOTP 口令，则该口令将过期
    • 许多在线网站使用的另一种流行的双因素身份认证(2FA)方法是电子邮件挑战。
    • 另一种双因素身份认证方法使用短信服务(SMS)向用户发送带有－PIN 码的短信（短信验证码）
  • 13.2.10 无口令身份认证
    • 无口令身份认证允许用户在不输入口令（或其他记忆的秘密）的情况下登录系统。
    • 例如：许多智能手机和平板电脑都支持生物特征认证。
    • 线上快速身份认证(FIDO)联盟是一个开放的行业协会，其使命是减少人们对口令的过度依赖，FIDO发现的问题
      • 用户拥有多达 90 个在线账户
      • 多达 51 ％的口令被重复使用。
      • 口令是超过 80％数据泄露的根本原因
      • 用户因忘记口令而放弃三分之一的网上购物
  • 13.2.11 设备身份认证
    • 现在，越来越多的员工带着自己的移动设备来工作并将其连接到公司网络。
    • 一种方法是设备指纹识别
    • 许多 MDM 系统使用上下文感知身份认证方法来识别设备。
    • 802.lX 是另一种实现设备身份认证的方法。802.lX 可以在某些路由器和交换机上应用于基于端口的身份认证
    • 此外， 802.lX 通常与无线系统一起使用，强制用户在获得网络访问权限之前使用账户登录
  • 13.2.12 服务身份认证
    • 许多服务也需要身份认证，通常使用账户名和口令
    • 某些应用程序拥有内置的服务账户。例如，微软 SQLServer 有一个内置账户，名为 sa(系统管理员的缩写）账户。 sa 拥有 sysadmin 服务器角色，并且对 SQL 实例具有不受限制的权限
  • 13.2.13 双向身份认证
    • 很多场景需要双向身份认证。例如，当客户端访问服务器时，客户端和服务器都需要提供身份认证，这样可以防止客户端向伪造服务器泄露信息
    • 双向身份认证方法通常使用数字证书。
    • 例如，当居家工作时连接到公司网络，员工通常连接到虚拟专用网络(VPN)服务器。服务器和客户端都向对方提供数字证书，以实现双向身份认证
• 13.3 实施身份管理
  • 身份管理实现技术通常分为两类
    • 集中式
      • 集中式访问控制意味着所有授权验证都由系统内的单个实体执行。
      • 小型团队或个人可以管理集中式访问控制。集中式访问控制的管理开销较低，因为所有 更改都在单个位置进行，并且单个更改会影响整个系统
      • 集中式身份管理解决方案的另一个好处是它可以通过扩展来支持更多用户
      • 集中式访问控制可能会产生单点故障，这是它的一个缺点。
    • 分散式/分布式
      • 分散式访问控制（也称为分布式访问控制）意味着整个系统中的各类实体执行授权验证。
      • 分散式访问控制通常需要多个团队或多人管理。分散式访问控制的管理开销较高，因为 必须在多个位置实施修改。
  • 13.3.1 单点登录
    • 单点登录(Single Sign On，SSO)：是一种集中式访问控制技术，允许主体在系统上进行单次身份认证并访问多个资源，而不必再次进行身份认证
    • SSO 的主要缺点是，攻击者一旦侵入账户，就可以获得对所有授权资源的无限制访问权 限。但大多数 SSO 系统都拥有保护用户凭证的方法
    • 几种常见的SSO机制
      • 1. LDAP 与集中式访问控制
        • 在单个组织内，集中式访问控制系统往往应用于 SSO
        • 目录服务都基于轻量级目录访问协议(Lightweight Directory Access Protocol, LDAP)
        • 目录服务是一个集中式数据库，包含主体和客体的有关信息，如身份认证数据，微软活动目录域服务(ADDS)是基于 LDAP 的
        • 可以将 LDAP 目录看作针对网络服务和资产的电话簿。用户、客户端和进程可以检索 目录服务，从而定位所需系统或资源的位置
        • 安全域：是共享通用安全策略的主体和客体的集合，各个安全域可以独立于其他域运行。各域之间建立信任，创建安全桥，并允许一个域的用户访问另一个域的资源。信任可以是单向的，也可以是双向的。
      • 2. LDAP 与 PKI
        • 在将数字证书集成到传输过程时，公钥基础设施(PKI) 使用 LDAP
        • PKI是一组在数字证书生命周期中管理数字证书的技术
        • 客户端需要查询 发证机构(CA) 以获取有关证书的信息，并且使用的协议之一就是 LDAP
  • 13.3.2 sso 与联合身份标识
    • SSO 在内部网络上非常常见，并且在互联网上应用于第三方服务。许多基于云的应用程序使用 SSO 解决方案，让用户能更方便地通过互联网访问资源
    • 身份管理：是对用户身份及其凭证的管理。联合身份是指将一个系统中的用户身份与多个 身份管理系统关联起来
    • 1 ．基于云的联合
      • 基于云的联合通常使用第三方服务来共享联合身份
      • 例如，许多企业的在线培训网站使用联合 sso 系统
      • 云计算联合的一种常见方法是将用户内部登录 ID 与联合身份关联起来
      • 身份及服务（IDaas）
    • 2. 本地联合
      • 联合身份管理系统可以托管在本地、云上，也可以将两者结合为混合系统。
      • 假设 Acme 公司与 Emca 公司合并，通过创建本地联合身份管理系统，两家公司可以共享身份认证数据
      • 本地解决方案为组织提供了最大的控制权，安全
      • 微软AD预控
    • 3. 混合联合
      • 混合联合是云计算联合和本地联合的组合
    • 4. 准时制
      • 一些联合身份解决方案支持准时制(Just In Time，JIT)配置。这些解决方案自动创建两个实体之间的关系，以便新用户访问资源。一个节点到下一个节点，几乎没有等待时间，组织最高的效率，权限及时审批，用完立刻回收
        • 《精益思想》
        • 《丰田套路》
  • 13.3.3 凭证管理系统
    • 凭证管理系统为用户名和密码提供存储空间。例如，许多网络浏览器可以记录用户访问站点的用户名和口令。
    • Web 浏览器已采用该API 进行凭证管理
      • 在用户登录后询问是否存储用户凭证
      • 显示账户选择器，允许用户跳过表单
      • 允许用户在后续访问中自动登录，即使会话已过期。
    • 例如，如果你有 Google 或 Facebook 账户，那么可以使用其中一个账户登录Zoom
    • 身份即服务或身份和访问即服务(IDaaS)：是提供身份和访问管理的第三方服务。 IDaaS 有效地为云平台提供 sso, 并且在内部客户端访问基于云的软件即服务(SaaS)应用程序时特别有用
    • 又如， Office 365 将已安装应用程序和 SaaS 应用程序组合起来，为用户提供 Office 应用程序
  • 13.3.4 凭证管理器应用程序
    • Windows 的控制面板中包含凭证管理器(Credential Manager)小程序
    • 当用户在浏览器或Windows 应用程序中输入凭证时，凭证管理器会询问是否保存凭证
    • 我们也可使用第三方凭证管理系统。例如， KeePass 是一个免费软件工具，可以存储凭证
    • 凭证存储在加密数据库中，用户可以使用主口令解锁数据库。解锁数据库后，用户可以 轻松复制口令，并将其粘贴到网站表单中
    • 我们需要使用强效的主口令来保护所有其他凭证，这一点非常重要。
  • 13.3.5 脚本访问
    • 在登录会话开始时，脚本访问或登录脚本可以提供自动传输登录凭证，以建立通信链接。
    • 脚本可以在未真正实现 SSO 技术的环境中模拟实现 SSO。因为脚本和批处理文件通常包含明文形式的访问凭证，所以它们应该存储在受保护的区域。
  • 13.3.6 会话管理
    • 无论使用哪种类型的身份认证系统，都应使用会话管理方法防止未经授权的访问，这点 非常重要
    • 台式计算机和笔记本电脑内置屏幕保护程序
    • 屏幕保护程序可以配置时间范围（以分钟为单位）。时间范围通常设定在 10 到 20 分钟之间
    • 安全的在线会话通常也会在一段时间后断开。例如，如果你与银行建立安全会话，但超过 10 分钟未与会话交互，应用程序通常会将你注销。
• 13.4 管理身份和访问配置生命周期
  • 身份和访问配置生命周期是指账户的创建、管理和删除。
  • 开通（Provisioning）
  • 账号审核（Account Review）
    • 员工长时间请假，生病时，需要禁用账户
  • 账号撤销（Account Revocation）
  • 13.4.1 配置和入职
    • 入职流程包括创建用户账户并为其提供新工作所需的所有权限。
    • 入职流程
      • 让员工阅读并签署组织可接受的使用策略(AUP) 。
      • 解读安全最佳实践，如电子邮件如何避免感染。
      • 复习组织的移动设备策略（如果适用）。
      • 确保员工的计算机可运行且可登录
      • 帮助员工配置口令管理器（如果可用）。
      • 协助员工配置双因素身份认证（如果可用）。
      • 说明如何联系服务台人员来获得进一步的帮助。
      • 向员工展示如何访问、共享和保存资源。
    • 新用户账户的创建通常是一个简单的流程，但必须通过组织安全策略程序保护该流程。 不应该根据管理员的心血来潮或任意请求来创建用户账户。
  • 13.4.2 取消配置和离职
    • 当员工离开组织时，组织会实施取消配置和离职流程。流程包括员工因故被解雇、被裁 员或主动离职
    • 取消账户的最简单方法是删除，有时被称为账户注销
    • 许多组织选择在员工离职时禁用该账户。然后，主管可以查看用户的数据，并在删除账 户之前确定是否有需要做的事情
    • 如果离职员工在离职面谈后仍保留对账户的访问权限，则组织遭到破坏的风险非常高。
    • 作为离职流程的一部分，员工福利的终止也非常重要
  • 13.4.3 定义新角色
    • 在组织的生命周期中，员工的职责都会发生变化。很多时候，员工只是简单池转移到不 同的位置。其他情况下，组织可能会创建一个完全不同的工作角色
    • • 目标获得更大权限
  • 13.4.4 账户维护
    • 在账户的整个生命周期中，组织需要对其进行待续的维护
    • 大多数账户维护涉及权限的修改。组织应该建立类似于创建新账户时使用的程序，以便 在账户的整个生命周期中管理访问权限的更改
    • 未经授权地增加或减少账户的访问能力，可能会导致严重的安全影响。
  • 13.4.5 账户访问审查
    • 管理员会定期检查账户以确保账户不存在多余的权限
    • 计算机的本地系统账户通常与本地管理员账户具有相同的权限，从而允许计算机以计算机（而不是用户）的身份访问网络上的其他计算机，存在安全风险
    • 许多管理员使用脚本定期检查非活动账户，例如，脚本可以定位过去 30 天内未登录的用 户账户并自动将其禁用
    • 权限监控需要审核允许提升权限的账户。这类账户包括具有管理员权限的所有账户，如 管理员账户、 root 账户、服务账户或比普通用户拥有更多权限的账户
    • 务必预防与访问控制相关的两个问题
      • 过度权限：用户拥有的权限超过完成工作任务所需的权限时，就会出现过度权限
      • 取消配置的流程包括回收发给员工的所有硬件，如笔记本电脑、移动设备和授权令牌。 如果组织准确记录了发给员工的物品清单，这个过程会容易得多
      • 权限蔓延：是指随着工作角色和所分配任务的变化，用户账户随着时间的推移积累额外的权限
    • 这两种情况都违反了最小特权的基本安全原则，账户审查可以有效地发现这些问题。身份认证对于确保网络支持问责制是必要的，组织需要准确的身份标识和身份认证来支持问责制