三年前，一本名为《零信任网络》的图书由奇安信身份安全实验室引入国内并翻译出版，为还处在起步阶段的国内零信任市场带来了关于这一创新安全理念的系统介绍与基础知识。

如今三年过去了，零信任在国内已经广受认可，其中以远程访问为主的企业业务场景已经拥有了广泛的应用实践。然而，零信任这条路似乎有点“走窄了”。

零信任作为一种安全理念，本身是一个安全体系，涉及很多个维度的能力，如果这些能力构建不到位，将极大影响零信任的落地效果，最终影响企业的安全投资收益。

其中，身份安全就是零信任能力体系里面最重要的一个维度，零信任是以身份为基石的，在零信任视角下构建和完善身份安全能力至关重要。

新书推荐

目前国内介绍身份安全的专业书籍几乎空白，经过精心遴选，奇安信身份安全实验室选择将《身份攻击向量》引入国内，希望通过本书对身份安全领域进行一定的知识普及和实践指导。

《身份攻击向量》（Identity Attack Vectors）由安全业界知名公司、特权访问管理（PAM）解决方案领导者BeyondTrust公司出品，作者是来自BeyondTrust公司的莫雷•哈伯（Morey Haber）和来自SailPoint公司的达兰•罗尔斯（Darran Rolls），由奇安信身份安全实验室翻译引进，并于2022年8月正式发布与广大读者见面。主创和翻译团队可谓强强联合。 

本书从基础概念科普和工程化实践指导角度出发，详细介绍了企业IAM相关基本概念和技术以及身份治理，以攻击者视角展开分析身份管理与治理方面的漏洞是如何被利用进行攻击的，最后也给出了缓解身份攻击向量的实践建议。

送书活动

在本文评论区回复你对这本书的期待或想法。即日起，截止到2022年11月10日（星期四）12:00，截取评论点赞最多的三位，每位中奖者将会获得《身份攻击向量》一本。

《身份攻击向量》能带给我们什么

对零信任有一定了解的你可能会有疑问：

· 身份与权限管理被恶意利用，会对组织内部的账户和凭据产生哪些危害？

 · 应该如何实施基于角色的身份分配、授权及审计策略来缓解账户和身份盗用带来的威胁？

 · 应该如何通过管理来满足监管合规要求？

这些问题，在《身份攻击向量》中，都会有所解答！

《身份攻击向量》针对IAM相关的风险、攻击人员可以利用的技术，以及企业应该采用的最佳实践进行了解读，适合网络安全管理人员、身份访问与管理实施人员和审计人员阅读、参考。

 · 理解身份背后的概念，以及身份相关凭据和账户如何被用作攻击向量

 · 实施有效的IAM 项目集来管理身份和角色，并提供监管合规性证明

 · 了解在网络杀伤链中身份管理控制所发挥的作用，以及权限作为潜在的薄弱环节应如何管理

 · 以行业标准为基础，将关键身份管理技术集成到企业生态系统中

 · 基于实战策略，对成功部署、实施范围、可测量的风险缓解、审计和发现、监管报告和监督等进行成功规划，以预防身份攻击向量带来的威胁

写在最后

奇安信身份安全实验室负责人张泽洲在《身份攻击向量》的新书发布会上指出，零信任是以身份为基石的，身份不只是业务问题，更是安全问题。身份安全作为零信任体系下很重要的能力支柱，需要重点关注统一身份、全场景多因子认证、自适应访问、以及身份大数据驱动的动态策略运营与治理能力。构建零信任视角下的身份安全能力，首先需要梳理当前企业的身份安全现状，优先补短固底，然后在根据规划持续叠加建设。

奇安信身份安全实验室“零信任实践指导”已成系列，除了已上市出版的《零信任网络》和《身份攻击向量》以外，该系列还计划引入BeyondTrust公司的攻击向量三部曲中的另外两本《资产攻击向量》和《权限攻击向量》两本专业图书，介绍如何管理好企业的数字化资产和资源、如何做好权限管控，缓解权限漏洞。

相信这一系列参考书籍，能有效帮助大家体系化构建 “主体身份可信、数字资产和数字资源实体安全、业务访问权限持续合规”的零信任全场景架构。