身份与攻击路径——你能阻止黑客从A点移动到B点吗？

传统上，IT 安全一直致力于将威胁行为者拒之门外并防止入侵。然而，尽管过去几年软件漏洞的数量不断攀升，许多公司面临的最大风险并非黑客潜入。相反，真正的风险在于他们能在内部潜伏多久，以及能在该网络内移动多远。

威胁行为者之所以能够横向移动，根源在于身份管理难度太大。身份和凭证一直用来授权访问，但它们同时也被用来支撑配置和软件部署流程。那些本可以让员工省事的简单软件令牌，恰恰因为其提供的访问权限和许可而成了攻击目标。

企业正逐渐认识到这一威胁。Omdia 研究估计，2026 年将有 75% 的组织增加在身份管理上的支出，而 2025 年这一比例为 57%。但有哪些问题必须解决？最快的解决途径又是什么？

理解攻击路径与身份

威胁行为者的目的是赚钱。他们通过窃取公司数据或加密文件索取赎金来实现这一目的。他们先在某处拿到初始访问权限——比如一台没打补丁的终端，或通过钓鱼邮件和恶意软件下载。得手之后，他们就想在网络中横向移动，逼近有价值的目标。

对于防御者而言，这种横向移动，即攻击路径，恰恰是拒绝访问或阻断攻击的契机。攻击者使用与合法员工访问资产相同的方法：他们的身份。对许多攻击者来说，既然直接登录就能拿到想要的东西，或者离目标更近一步，何必还用零日攻击。

理解攻击路径可能很困难。对于关注知识产权或关键任务应用等业务最核心资产的安全防御者来说，攻击路径通常被理解为从初始访问点到这些宝贵资产的直接路线。虽然这很容易理解，但攻击者并不是这样运作的。

他们不知道你的内部网络拓扑或通往有价值资产的最直接路线。相反，他们是在摸清自己能访问到什么。

由于每个账户都有自己的访问级别，不同账户的权限大小也不一样，这使得情况更加复杂。每个资产都会有多个可以访问它的账户。网络越大，复杂度就涨得越快。

对于拥有约1，000名员工的组织，我们估计，攻击路径超过500万条。公司还得算清楚自己手上有多少个身份——一个有1万个身份的组织，就得管大约2200万条潜在攻击路径。

AI 和非人类身份加剧攻击路径问题

人工智能（AI）和非人类身份的采用将进一步增加这一比例，从目前每名员工约五个身份，增长到每名员工20甚至40个身份。而且这股身份激增的势头，预计每年还会再涨20%。

这些数字确实很多。为了更直观地理解，不妨用看地图和图表的方式来理解。例如，伦敦的公共交通网络拥有 330 个车站，涵盖地铁和铁路网络，以及公交车和河船。

乘客可以选择数百万条不同的路线从任何地方到达任何地方，从最快、最直观的路线，到更绕、更冷门的走法——这些路线脱离具体场景根本说不通。需要的话，乘客还可以在不同交通网络之间换乘。要把所有这些网络、时刻表和出行选择同时装进脑子里，对任何人来说都几乎不可能。

用地图就能看出最佳路线和方向，包括那些由不同网络组合而成的路径。从防御的角度来看，搞清楚这个网络里哪些节点最受关注、哪些地方安全最关键，有助于防止攻击。从攻击路径和权限的角度来看，根据各个节点拥有的访问级别，就能判断出网络里哪些位置最关键。

在伦敦交通网络中，这相当于在皮卡迪利广场或国王十字圣潘克拉斯站设置安保，因为这些车站最为繁忙。守住这些关键节点，就能堵住攻击者通往重要目标的多条潜在路径，降低攻击者触及关键任务系统或数据的风险。一旦锁定了这些中心枢纽，再去找下一个重要节点，同样把它锁死。

迈向安全的未来

这套锁定身份和访问权限的做法，能砍掉一大片潜在攻击路径，而不是逐一审视每条攻击路径。

需要管理的单独路径太多，因此把问题拢到一起管、把整个环境锁住，可以减少威胁行为者在网络中移动的途径。这就会逼得攻击者更容易露出马脚，从而被清除出网络。

针对IT的攻击正变得越来越快。试图修复所有现存漏洞如今已不可能，防御者也无法实现完美安全。我们得接受这些不完美，在问题冒出来之前尽量把安全管理到位。

虽然安全团队可能习惯于防御系统之间的直接路径，但威胁行为者会寻找其他可以让他们到达目的地的路线。所以，我们管理网络时，既要防范数量最多的风险，也要防范影响最大的风险。

通过了解攻击路径和身份风险，我们可以找出最需要优先解决的问题，然后加以防护。通过身份攻击路径，我们就能搞清楚风险在哪里、需要做哪些工作。

本文是TechRadar Pro Perspectives栏目的一部分，这个栏目专门介绍当今科技行业最顶尖的人才。

本文观点仅代表作者个人，不代表TechRadarPro或Future plc的立场。