3. 特权账号风险画像

特权账号的风险画像不是给账号贴一个“高危”标签，而是把攻击者在拿到或接近特权凭证后，会沿哪些路径移动、在哪些环节留下可观测痕迹、哪些控制点能真正截断链路，用工程化方式表达出来。只有把“攻击路径”拆成可观测的信号与可验证的控制点，风险画像才能用于检测规则设计、权限收敛和应急响应，而不是停留在合规文档里。

一、四条典型攻击路径与它们的交汇点

在特权账号治理语境下，最常见的路径可以归纳为四类，它们往往不是独立发生，而是在凭证层交汇。

• 外部入侵后提权：攻击者先通过暴露面（VPN、Web 漏洞、弱口令 SSH/RDP）获得普通域用户或本地用户，再寻找本地管理员、服务账号或域管凭证完成提权。
• 凭证泄露直取特权：代码仓库、CI/CD 变量、配置文件、日志、聊天记录中硬编码的 AK/SK、数据库口令、SSH 私钥被直接读取，跳过提权阶段。
• 内部威胁滥用：拥有合法特权的人员（运维、DBA、外包）在授权范围内执行越权操作，或离职前批量导出凭证与数据。
• 横向移动扩散：拿到一个特权凭证后，通过远程登录、计划任务、服务创建、票据传递等方式扩散到更多主机与域控。

这四类路径的共同交汇点是凭证可用性：只要凭证在有效期内且权限未被收敛，攻击者就能把“一次泄露”放大为“一片失陷”。因此风险画像的核心不是枚举攻击者，而是刻画凭证从产生、存储、使用到失效的全生命周期中，哪些状态让攻击者“低成本可用”。

二、内部威胁：合法权限的“越界使用”

内部威胁的难点在于它不依赖漏洞，而是依赖“本来就有权限”。工程化分析要区分三种情形：一是权限过大，例如运维账号同时拥有生产数据库写权限与主机 root 权限；二是权限被滥用，例如 DBA 在非变更窗口批量导出全表；三是凭证被转交，例如把特权账号借给同事或外包人员使用。三者对应的检测信号不同：权限过大看授权矩阵与角色映射，权限滥用看操作行为与时间窗口，凭证转交看登录来源与设备指纹的突变。

一个可落地的判断依据是“三比对”：比对授权范围与实际访问对象，比对变更窗口与操作时间，比对常用登录来源与本次来源。任意一项偏离，就应触发复核而不是直接阻断，避免误伤正常运维。

三、凭证泄露：从“存储位置”反推风险等级

凭证泄露的风险等级不取决于凭证类型，而取决于它被谁可读、以什么形态存储、是否可轮换。例如，写在代码仓库中的数据库口令，任何有仓库读权限的人都能获取，且轮换需要改代码重新发布，风险最高；而存放在凭证保险库中、按需签发、有效期 15 分钟的临时令牌，即使被截获，攻击窗口也极短。

工程上可以用一个简单的评分思路做优先级排序（示例参数，非实测）：

风险分 = 可读范围权重 × 存储形态权重 × 有效期权重 × 权限范围权重

示例：
- 代码库明文口令：可读范围=3，存储形态=3，有效期=3，权限范围=3 → 81（高）
- 配置文件加密口令：可读范围=2，存储形态=2，有效期=3，权限范围=2 → 24（中）
- 保险库临时令牌：可读范围=1，存储形态=1，有效期=1，权限范围=1 → 1（低）

这个评分不是为了精确量化，而是为了把“先治理谁”变成可讨论的排序依据。实际使用时，权重应根据组织暴露面调整，但四个维度本身不应省略。

四、横向移动：把“登录事件”变成路径证据

横向移动的检测不能只看单条登录日志，而要把登录事件串成路径。关键信号包括：同一凭证在短时间内从多个来源登录；登录目标从普通主机跳向跳板机、再跳向域控；出现非交互式登录（如服务登录、网络登录）却伴随进程创建；以及票据类事件（如 Kerberos 票据请求异常）。

工程化做法是建立“凭证—来源—目标”三元组基线：正常情况下，某个特权账号只应从固定跳板机登录固定几台目标主机。一旦三元组出现新组合，就应记录并告警。下面是一个简化的检测规则示例（示例逻辑，非真实产品配置）：

规则：特权账号异常横向登录
条件：
  account IN 特权账号清单
  AND source_ip NOT IN 该账号基线来源
  AND target_host IN 核心资产清单
  AND 时间窗口内 target_host 去重数 >= 3
动作：告警 + 记录会话 + 触发凭证轮换复核

五、把画像落到工程动作上

风险画像的最终价值是驱动四类动作：收敛（把长期特权改为按需申请）、隔离（把凭证从代码与配置中移入保险库）、监测（对三元组偏离与批量操作告警）、响应（一键轮换、会话阻断、权限回收）。这四类动作分别对应攻击链上的不同截断点，而不是笼统的“加强管理”。

需要强调的是，攻击路径分析的目标不是预测所有攻击，而是识别那些“一旦发生就会放大”的凭证状态。把凭证可用性作为核心观测对象，把登录路径作为核心证据链，把轮换与收敛作为核心动作，风险画像才能从描述性文档变成可执行的治理工具。