权限不清还谈什么安全

一个用户或实体，不单单要清楚是什么身份，做好身份鉴别是第一步，更要关注其权限，做好访问控制。大家听的最多的一句话就是“最小权限原则”，每个用户或实体都应当有赋予其相关权限，权限如何管控也是面临的一个难点，每个用户或实体的权限不是一成不变的，而是随着用户身份的属性在动态变化，权限动态的变化必然导致脆弱性的产生，威胁的利用，从而带来网络安全风险。

权限的管控必须是以动态的视角来看待，当权限作为攻击向量时，其它的防守方案可能全部失效，因为必须重视权限管控，既要满足安全要求，同时又要方便业务需要。当一个用户或实体的身份和职责被定义之后，那他就必须赋予一定的权限。就如同人性一样，我是比较尊崇法家学说的，人性本恶，圣人还是少，完全靠道德约束是不可能的，那真正意义上的道德黑客又有多少了，如何没有法律的约束，这个世界就犹如脱缰的野马，正如曾国藩在镇压太平天国运动时要乱世用重典一样。保证网络安全也一样，需要对每个用户和实体进行权限的约束，做好权限管控也是网络安全的基础工作之一。

最近也和很多同行，客户有过交流，发现很多客户在权限管控这块还是有所欠缺，细粒度还是不够，对权限范围梳理不够清晰，对身份的定义不够明确，存在很多真空地带。权限的赋予不单单是基于用户身份的账户的权限范围，同时还应该包括所使用的实体对象的权限范围，只有这样才能更加细粒度的做好权限管控。

在项目建设初期，可能对权限这块定义比较清楚，但是随着项目上线正式运营之后，时间长了，对权限的管理松懈了，这样就必须通过技术和管理相结合的方法做好做好动态权限管控。权限管控始终面临一些问题需要去解决，一是权限动态变化，用户或实体的身份和职责可能发生变化，导致其权限需求随之改变，传统的静态权限管理难以适应这种动态需求。二是权限管理复杂，随着系统规模和用户数量的增长，权限管理变得越来越复杂，传统的权限管理方法难以有效地管理大量细粒度的权限。三是威胁利用权限漏洞，攻击者可能会利用权限漏洞来获取未经授权的访问权限，或者利用合法身份及权限做出异常的行为，从而对系统造成威胁。四是业务被权限复杂化，过于严格的权限限制可能会影响业务的正常运行，而过于宽松的权限分配则可能带来安全风险，需要在安全与业务需求之间找到平衡点。

针对权限面临的风险问题，在权限管控中必须做好以下几方面的工作：

• 严格定义和划分权限

首先，需要对网络内的用户和实体进行严格的权限定义和划分。这包括明确每个角色和职位的权限范围，确保每个用户或实体仅拥有其工作所需的权限。权限的定义应包括访问权限、操作权限和管理权限等多个方面，确保覆盖所有可能的操作场景。

• 动态调整权限

其次，需要根据用户身份属性的变化和环境安全因素的变化，随时动态调整权限。例如，员工职位变动时应及时更新其权限，确保其新角色所需的权限得到正确配置。同时，应监控环境因素的变化，如网络环境的安全状况，确保权限设置始终符合当前的安全需求。

• 权限突破和失控监测

最后，需要建立完善的权限突破和失控监测机制，防止正常权限下的不正常行为或权限被绕过。这包括实施实时监控和日志分析，及时发现并响应异常行为。通过机器学习和人工智能技术，可以提高异常行为的检测准确率，及时采取应对措施。

• 安全意识培训

定期开展安全培训是提升员工安全意识的关键步骤，有助于防止社会工程学攻击。通过培训，员工可以了解常见的攻击手段，如钓鱼邮件、假冒电话等，并掌握应对策略。这不仅能防止身份信息的泄露，还能有效避免由于权限失控带来的安全风险。

权限管控是网络安全的基础工作，也是保障业务正常运行的重要手段。通过严格定义和划分权限、动态调整权限以及实时监测权限使用情况，可以有效防范权限滥用和安全威胁。未来，随着技术的不断发展，权限管控将更加智能化和自动化，为企业和组织提供更强大的安全保障。在这一过程中，企业需要不断优化权限管控策略，提升安全意识，确保在复杂多变的网络环境中始终保持领先的安全水平。

原文始发于微信公众号（兰花豆说网络安全）：权限不清还谈什么安全