performing-privileged-account-access-review

执行特权账户访问审查

概述

特权账户访问审查是一项关键的身份治理流程，用于验证拥有提升权限的用户是否仍需要这些访问权限。此审查涵盖域管理员、服务账户、数据库管理员、云 IAM 角色以及应用级特权账户。SOC 2、PCI DSS、HIPAA 和 SOX 合规框架要求定期进行访问审查；对于高权限账户，通常要求按季度审查。

适用场景

• 在开展涉及特权账户访问审查的安全评估时
• 在处理相关安全事件并遵循事件响应流程时
• 在执行计划内的安全测试或审计活动时
• 在通过实际操作测试验证安全控制时

前提条件

• 已部署 PAM 解决方案（CyberArk、BeyondTrust、Delinea 或同类产品）
• 身份治理平台（SailPoint、Saviynt 或同类产品）
• 涵盖所有平台的完整特权账户清单
• 已制定访问审查政策，明确 SLA 和升级流程
• 已指定审查人员（账户所有者、经理、安全团队）

核心概念

特权账户类别

类别	示例	风险级别	审查频率
域管理员	Enterprise Admin、Domain Admin、Schema Admin	严重	每月
服务账户	SQL 服务、备份 Agent、监控 Agent	高	每季度
云 IAM	AWS root、Azure Global Admin、GCP Owner	严重	每月
数据库管理员	DBA 账户、sa/sys 账户	高	每季度
应用管理员	应用管理员角色、具有管理员范围的 API 密钥	中	每半年
紧急/应急账户	Firecall 账户、紧急访问账户	严重	每次使用后

四大支柱审查框架

DISCOVER                    VALIDATE                    REMEDIATE                 MONITOR
    │                           │                           │                       │
    ├─ Enumerate all            ├─ Verify business          ├─ Remove excess        ├─ Continuous
    │  privileged accounts      │  justification            │  privileges           │  monitoring
    │                           │                           │                       │
    ├─ Identify orphaned        ├─ Confirm account          ├─ Disable orphaned     ├─ Anomaly
    │  accounts                 │  ownership                │  accounts             │  detection
    │                           │                           │                       │
    ├─ Map permissions to       ├─ Check compliance         ├─ Enforce password     ├─ Session
    │  business roles           │  with policies            │  rotation             │  recording
    │                           │                           │                       │
    └─ Classify by risk         └─ Review last usage        └─ Implement JIT        └─ Audit
       level                       and activity                access                  logging

工作流

步骤 1：发现账户并建立清单

枚举环境中的所有特权账户：

Active Directory：

• Domain Admins、Enterprise Admins、Schema Admins 组
• 具有 AdminCount=1 属性的账户
• 具有 SPN（Service Principal Names）的服务账户
• 具有委派权限的账户（无限制/受限制）

云平台：

• AWS：具有 AdministratorAccess、PowerUserAccess 或 iam:* 权限的 IAM 用户/角色
• Azure：Global Administrator、Privileged Role Administrator、Security Administrator 角色
• GCP：组织/项目级别的 Owner、Editor 角色

数据库：

• SQL Server：sysadmin、db_owner、securityadmin 固定角色
• Oracle：DBA、SYSDBA、SYSOPER 权限
• PostgreSQL：superuser、createrole、createdb 属性

步骤 2：制定审查标准

必须根据以下标准评估每个特权账户：

1. 业务依据：用户当前的角色是否需要此权限？
2. 最小权限：能否使用更低权限完成任务？
3. 账户活动：该账户在过去 90 天内是否处于活动状态？
4. 合规状态：该账户是否符合密码政策和 MFA 要求？
5. 职责分离：此访问权限是否会造成 SoD 冲突？
6. 所有权：是否已指定负责的所有者，且该所有者仍在履职？

步骤 3：开展审查

对于每个账户，指定的审查人员必须：

1. 审查账户详细信息、权限和最近活动日期
2. 如果仍有需要，则批准（认证）访问权限，并记录理由
3. 如果不再需要访问权限，或审查人员无法说明该权限的合理性，则撤销访问权限
4. 如果发现异常活动或违反政策的情况，则标记以供调查
5. 如果审查人员无法作出判定，则上报

决策矩阵：

条件	操作
活跃用户，权限合理	认证 - 保留访问权限
活跃用户，权限过多	补救 - 将权限缩减至最小权限
超过 90 天未活动	禁用账户，通知所有者
未找到所有者	禁用账户，上报安全团队
检测到职责分离（SoD）冲突	补救 - 重新分配职责或添加补偿性控制
紧急访问账户	确认最近一次使用已获授权，重置凭据

步骤 4：补救与执行

审查完成后：

• 撤销未在 SLA 期限内通过认证的账户的访问权限
• 对未在 14 天内完成审查的账户实施自动撤销
• 轮换所有通过认证的特权账户的凭据
• 尽可能将常驻权限转换为即时（JIT）访问权限
• 使用当前账户清单更新 PAM 保管库

步骤 5：报告与文档记录

生成审查报告，包括：

• 已审查账户总数与范围内账户总数
• 认证率（已批准与已撤销）
• 平均审查完成时间
• 逾期审查和上报事项
• 已采取的补救措施
• 与上一审查周期的对比

验证清单

• 已记录所有特权账户的完整清单
• 已为所有账户指定负责人／审查人员
• 已定义审查标准和决策矩阵
• 审查人员已在 SLA（14 天）内完成认证
• 已禁用已撤销的账户并轮换凭据
• 已识别并禁用孤立账户
• 已按最小权限原则审查服务账户
• 已审计紧急访问账户，确认其仅用于经授权的用途
• 已生成包含指标和趋势的审查报告
• 已创建补救工单并跟进至完成
• 已保留合规审计所需的证据

参考资料

• NIST SP 800-53 AC-2：账户管理
• CIS Controls v8 - 控制措施 5：账户管理
• Netwrix PAM 最佳实践指南
• StrongDM PAM 最佳实践 2025