什么是安全生命周期管理？
安全生命周期管理是一套自动化流程，用于管理 IT 系统中用户身份、凭据、服务和设备从开通到停用的全生命周期安全状况。
普通企业网络中会有成千上万甚至数万的身份实体，包括开发人员和其他利益相关者，以及非人类身份，如 AI 智能体、设备、工作负载和服务等。这类身份实体始终处于动态变化中。人类用户会频繁入职、离职或变更岗位。随着基础设施开通、扩容与停用，新的非人类身份不断出现。在云原生和 DevOps 开发运维场景下，CI/CD 管道与自动化工作流常会创建临时服务和负载。
每个身份都是一个潜在的漏洞。用户可能恶意或因疏忽滥用权限，演变为内部威胁。威胁参与者可利用窃取的凭据和暴力攻击劫持用户与非人类身份，未经授权访问敏感数据和系统。
事实上，基于身份的攻击（黑客会利用合法帐户凭据入侵网络）是最常见的网络攻击方式之一。这类攻击占数据泄露事件（由 IBM X-Force 威胁情报指数记录）的 30%。
安全生命周期管理旨在通过单一平台或紧密整合的工具，集中管控身份、权限与凭据，缩小身份攻击面，弥补安全漏洞。安全生命周期管理可自动化执行凭据创建与轮换、帐户开通与注销、安全策略下发等核心网络安全功能，强化访问控制与机密管理，而不会影响关键业务工作流。
您的团队能否及时捕获下一个零日？
加入安全领导者的行列，订阅 Think 时事通讯，获取有关 AI、网络安全、数据和自动化的精选资讯。快速访问专家教程和阅读解释器，我们会将这些内容直接发送到您的收件箱。请参阅 IBM 隐私声明。
安全生命周期管理通过平台或整合工具，集中管控并自动化关键安全功能，尤其是帐户安全、凭据管理和用户访问权限相关功能。
安全生命周期管理的核心功能包括身份管理、机密管理和安全网络。
身份管理
安全生命周期管理支持实现自动化的人类与非人类身份的身份和访问管理 (IAM) 工作流，例如：
- 为新用户和实体开通权限，包括创建帐户并分配权限。
- 随角色变动调整用户与实体的权限。
- 通过基于角色的访问控制 (RBAC)、持续身份验证和授权、实时权限等策略落实安全管控。
- 通过会话记录持续监控用户活动。
- 用户离职或服务停用时，及时注销帐户权限。
机密管理与凭据管理
安全生命周期管理在防护身份的同时，也能保障与这些身份关联的凭据安全。它可以自动化执行凭据管理与机密管理的核心功能，例如：
- 为新增的人类与非人类身份生成高安全性凭据，包括证书、API 密钥、密码和令牌。
- 定期轮换凭据。
- 将高价值凭据（如拥有敏感信息与系统高权限访问权的管理员、服务帐户凭据）存入凭据保管库。凭据保管库通过加密与多重身份验证 (MFA) 等强验证措施防护，确保仅授权用户可在必要时访问凭据。
- 以临时凭据或即时凭据替代长期有效凭据。
- 自动扫描并整改代码、代码库、协作平台、开发人员工具及其他场景中泄露的机密。
部分安全生命周期管理工具还支持凭据注入，在这种认证方式下，用户完全不用直接接触凭据。凭据会直接从安全保管库代用户发送到对应服务，降低泄露或被盗的风险。
安全网络
在身份和凭据安全的基础上，安全生命周期管理还能实现不同身份间的安全通信，尤其是服务之间。
安全生命周期管理工具通常提供以下能力：
- 提供服务身份的集中式权威数据源，支持服务发现和追踪，同时实时展示服务运行状况等信息。
- 支持基于身份的连接，包括服务间加密、持续认证和基于属性的授权。所有访问请求都会被核查，服务按自身属性获取权限，而非依据所在网络位置。
- 自动配置服务网格、负载均衡器、防火墙和网关等安全网络设施。服务在创建、扩容或停用时，安全通信会自动建立、更新和终止。
设备管理
虽然安全生命周期管理主要覆盖身份、凭据、服务和软件基础设施，但部分场景也包含设备管理功能。例如工作站和移动设备自动补丁、硬件证书管理，以及对摄像头、物理门禁等本地安全系统的持续监控与修复。
安全生命周期管理通过集中化、自动化运行 IAM 和机密管理核心功能，让安全团队更全面地监管各类身份。集中化和自动化能简化行为监控、访问控制和策略执行，降低身份攻击等网络安全风险。
复杂 IT 系统中，人类和非人类身份会分布在本地、远程和云基础设施中，并在其间流转。这种分布式网络结构让安全团队很难追踪每个身份的行为。此外，DevOps 开发运维管道中的资源通常动态多变、生命周期很短。新的非人类身份可能悄悄接入系统、访问敏感信息，在安全团队发现前就已消失。这会导致策略难以执行，安全风险上升。
在缺乏安全管理和集中监督的情况下，个人用户可能不会遵循安全卫生方面的最佳实践。用户可能设置弱密码，还会重复使用。他们也可能忘记开启多重身份验证。DevOps 开发运维很容易出现机密扩散，机密散落在代码库、代码、数据库中且无人管理，带来极大隐患。
应用程序蔓延也会引发问题，比如未经统一管理就将应用程序引入生态系统，尤其是身份验证和授权无法对接现有 IAM 系统的应用程序。如果应用程序各自维护身份目录、权限和凭据，权限审计、帐户注销等工作很容易被忽略。
安全生命周期管理通过集中管理和自动化流程，大幅降低身份、访问、凭据管控不严带来的安全风险。
在同一系统中管理所有身份，无论是人类还是非人类，有助于安全团队制定统一的访问策略。帐户的自动配置和取消配置能让策略及时、规范地落地。
自动化凭据管理能保证高安全凭据的规范使用与轮换，凭据检测工具可找出裸露机密并及时修复。
通过会话录制，安全团队可以跟踪用户的一切行为，简化策略执行和事件响应。如果发生安全漏洞，调查人员可通过记录查看黑客利用入侵帐户进行的操作。
最后，保障服务间连接安全有助于封堵软件供应链里最关键的一类漏洞：系统中组件间的连接。
正如 IBM 杰出工程师、首席发明家 Jeff Crume 在 Security Intelligence 播客中所说：
“很多严重漏洞都出在不同组件的接口衔接处。单个组件可能很安全，但组件之间的接口往往是薄弱点。攻击者一定会瞄准这些薄弱环节。”
简而言之，全面的安全生命周期管理方法可以为组织提供整个生态系统中人类和非人类身份、凭据和权限的单一记录系统，支持零信任和最低特权原则。
值得注意的是，安全生命周期管理工具与实践，旨在支撑 DevOps 开发运维管道的高效创新运作。事实上，它们可以帮助优化这些流程，开发人员无需再手动进行凭据管理。安全生命周期管理通过自动化创建、存储、轮换和防护机密，在不干扰业务流程的前提下，保障 IT 生态系统安全。