最小权限原则 (PoLP) 是一种信息安全概念，即为用户提供执行其工作职责所需的最小权限等级或许可。
最小权限原则被广泛认为是网络安全的最佳实践，也是保护高价值数据和资产的特权访问的基本方式。
最小权限原则超出了人类访问范畴。该模型可应用于请求权限或许可以执行所需任务的应用程序、系统或已连接设备中。强制执行最小权限确保非人类工具仅能够获得必要的访问权限。
若要有效地强制执行最小权限，需要一种集中管理和保护特权凭据的方法，以及可以在网络安全性和合规性需求与运营和最终用户需求之间取得平衡的灵活控制组件。
什么是特权蠕变？
当组织选择撤消业务用户的所有管理权限时，IT团队通常需要重新授予特权，以便用户可以执行某些任务。例如，企业IT环境中使用的许多旧版和自行开发的应用程序都需要权限才能运行，许多现成的商用（COTS）应用程序也是如此。为了使业务用户能够运行这些授权的和必要的应用程序，IT团队必须重新向用户授予本地管理员权限。重新授予特权后，很少会进行撤销，随着时间的流逝，组织最终可能会对许多用户重新授予本地管理员权限。这种“特权蠕变”重新打开了与过度授予管理权限相关的安全漏洞，并使可能自认为受到良好保护的组织更容易受到威胁。最小权限访问控制有助于组织遏制“特权蠕变”，并确保人类和非人类用户仅具有所需的最低访问级别。
为什么最低特权原则（PoLP）如此重要？
- 它减少了网络攻击面。 当今，大多数高级攻击都依赖于利用特权凭证。通过限制超级用户和管理员权限（使IT管理员可以不受限制地访问目标系统），最小权限执行有助于减少总体网络攻击面。
- 它阻止了恶意软件的传播。 通过在端点上执行最小权限，恶意软件攻击（例如SQL注入攻击）将无法使用提升的特权来增加访问权限并横向移动以安装或执行恶意软件或损坏计算机。
- 它提高了最终用户的生产率。移除业务用户的本地管理员权限有助于降低风险，但是基于策略启用即时特权提升有助于保持用户的工作效率并尽量减少IT服务台呼叫。
- 它有助于简化合规性和审核。许多内部政策和法规要求都要求组织对特权帐户实施最低特权原则，以防止对关键系统的恶意或意外损坏。最小权限执行可以帮助组织证明对特权活动的完整审核跟踪的合规性。
如何在组织中实施最小权限原则
为了实施最小权限原则，组织通常会采取以下某个或某些步骤，作为更广泛的纵深防御网络安全策略的一部分：
- 在内部、云、DevOps环境和端点中，审核整个环境以查找特权帐户（例如密码、SSH密钥、密码哈希和访问密钥）。
- 消除不必要的本地管理员权限，并确保所有人类用户和非人类用户仅具有执行其工作所需的权限。
- 将管理员帐户与标准帐户分开，并隔离特权用户会话。
- 将特权管理员帐户凭据提供给数字保管库，以开始保护和管理这些帐户。
- 每次使用后，立即轮换所有管理员密码，以使按键记录软件可能已捕获的所有凭据无效，并降低哈希传递的风险。
- 持续监视与管理员帐户有关的所有活动，以快速检测和警告可能表明正在进行攻击的异常活动。
- 启用即时访问特权升级，允许用户根据需要临时访问特权帐户或运行特权命令。
最小权限原则是零信任框架的基本组成部分。出于对组织不应自动信任其内部或外部的任何事物的观点，零信任要求组织在授予访问权限之前验证试图连接到系统的所有事物。随着许多组织加快其数字转型策略的步伐，他们正在从传统的外围安全方法转变为“零信任”框架以保护其最敏感的网络。
