performing-service-account-audit

执行服务账户审计

概述

对全企业基础设施中的服务账户进行审计，以识别孤立账户、权限过大账户和不合规账户。本技能涵盖在 Active Directory、云平台、数据库和应用中发现服务账户、评估权限级别、识别缺失的负责人，以及执行生命周期策略。

何时使用

• 在进行涉及执行服务账户审计的安全评估时
• 在遵循相关安全事件的事件响应流程时
• 在执行定期安全测试或审计活动时
• 在通过动手测试验证安全控制措施时

先决条件

• 熟悉身份访问管理概念和工具
• 可访问测试或实验环境以安全执行
• 已安装所需依赖项的 Python 3.8+
• 为任何测试活动获得适当授权

目标

• 发现 AD、云、数据库和应用中的所有服务账户
• 识别没有有效负责人或关联应用的孤立账户
• 评估权限级别并标记权限过大的服务账户
• 检查未轮换密码和弱身份验证
• 映射服务账户依赖关系，以便安全地进行修复
• 为 SOX、PCI DSS 和 HIPAA 审计生成合规报告

关键概念

服务账户类型

1. AD 服务账户：Windows 服务、计划任务、IIS 应用池
2. 托管服务账户 (gMSA)：由 AD 管理的自动密码轮换
3. 云 IAM 服务账户：AWS IAM 角色/用户、Azure 服务主体、GCP 服务账户
4. 数据库服务账户：应用连接账户、复制账户
5. 应用服务账户：API 密钥、机器人账户、集成账户

审计维度

• 负责人：谁负责此账户？
• 用途：什么应用/服务使用此账户？
• 权限：此账户拥有什么权限？
• 身份验证：此账户如何进行身份验证（密码、密钥、证书）？
• 轮换：凭据上次更改是什么时候？
• 活动：此账户上次使用是什么时候？

工作流

步骤 1：发现 - Active Directory

1. 在 AD 中查询所有服务账户（按描述、OU、命名约定筛选）
2. 识别设置了 ServicePrincipalName 的账户
3. 列出特权组（Domain Admins、Enterprise Admins）中的账户
4. 检查 gMSA 与传统服务账户
5. 识别具有 PasswordNeverExpires 标志的账户

步骤 2：发现 - 云平台

• AWS：列出具有访问密钥的 IAM 用户，检查上次使用日期，识别未使用的角色
• Azure：枚举服务主体、应用注册、托管标识
• GCP：列出服务账户，检查密钥年龄，识别未使用的权限

步骤 3：评估

• 标记具有管理员/特权组成员身份的账户
• 根据轮换策略检查密码年龄（最长 90 天）
• 识别 90 天以上没有登录活动的账户
• 对照 CMDB/资产清单验证账户负责人
• 检查共享凭据（多个账户使用相同密码哈希）

步骤 4：风险分类

• 严重：域/云管理员权限，无密码轮换
• 高：可访问敏感数据，没有已识别的负责人
• 中：标准服务权限，密码超过 90 天
• 低：只读访问，托管凭据（gMSA、托管标识）

步骤 5：修复

• 与应用团队验证后禁用孤立账户
• 尽可能将传统服务账户转换为 gMSA
• 轮换超过策略阈值的凭据
• 将权限降低到所需的最低权限
• 分配负责人并记录依赖关系

安全控制

控制项	NIST 800-53	描述
账户管理	AC-2	服务账户生命周期
账户审查	AC-2(3)	定期审查账户
最小权限	AC-6	最小服务账户权限
身份验证器管理	IA-5	服务凭证轮换
审计审查	AU-6	审查服务账户活动

常见陷阱

• 在未先验证应用程序依赖关系的情况下禁用服务账户
• 未发现 Active Directory 之外的服务账户
• 遗漏云服务主体和托管标识
• 未检查服务账户的交互式登录权限
• 在修复前未记录依赖关系

验证

• 已对所有平台的服务账户进行清点
• 每个账户均已分配负责人
• 特权服务账户已记录并附有正当理由
• 已检查密码轮换合规性
• 已标记孤立账户以供修复
• 已识别 gMSA 迁移候选对象
• 已生成合规报告