1. 身份攻击面与账号风险治理导论

在传统边界安全模型中，企业习惯把防火墙当作"城墙"，把内网当作"可信区"。但今天，业务系统大量迁移到云上，员工、外包、合作伙伴、服务账号、API 密钥、CI/CD 机器人身份同时存在，访问路径从"人—内网—应用"变成了"任意身份—任意网络—任意资源"。此时，身份已经成为新的安全边界。所谓身份攻击面，就是指一个组织内所有可被用于认证、授权、凭据获取与权限提升的身份实体及其关联关系所构成的暴露集合。它不只是"有多少个账号"，而是"这些账号能到达哪里、拥有什么权限、凭据是否可被窃取或滥用"。

要理解身份攻击面，需要先区分几个核心概念。身份实体包括人类用户（正式员工、外包、离职人员）、非人类身份（服务账号、应用注册、托管标识、API Key、证书）以及外部身份（客户、供应商、联邦身份）。凭据是证明身份的材料，如密码、TOTP、FIDO2 密钥、OAuth 令牌、SAML 断言、SSH 私钥、云访问密钥。权限是身份被授予的操作集合，通常通过角色、策略、组成员关系、ACL 表达。攻击路径则是攻击者从初始身份出发，经过凭据窃取、权限提升、横向移动，最终到达高价值资产的链路。身份攻击面治理的目标，就是让这些路径尽可能少、尽可能短、尽可能可检测。

当前威胁态势有三个显著变化。第一，凭据窃取成为主流入口。钓鱼、信息窃取木马、浏览器 Cookie 窃取、CI/CD 日志泄露、代码仓库硬编码密钥，都能让攻击者直接获得合法身份，绕过传统边界检测。第二，非人类身份数量远超人类。一个中等规模云环境里，服务账号、应用注册、托管标识的数量往往是员工数的数倍，且长期不过期、权限过大、无人负责。第三，身份基础设施本身成为攻击目标。攻击者一旦控制 IdP（身份提供商）、AD 域控、云 IAM 或密钥管理服务，就能批量创建身份、修改信任关系、持久化后门。因此，身份攻击面治理不是"账号管理"的附属工作，而是现代安全体系的基础工程。

治理目标可以归纳为四条主线：看得见——发现并清点全部身份实体、凭据、权限与信任关系；管得住——对身份生命周期、权限授予、凭据轮换建立可执行的控制；查得清——对身份相关操作建立审计与异常检测；收得回——在身份被滥用或泄露时，能够快速禁用、轮换、隔离并追溯影响范围。这四条主线贯穿本课程全部章节。

上图把身份攻击面拆成四层：最上层是身份实体与凭据，中间是权限与信任关系，下层是攻击者视角的攻击路径，最底部是治理主线。理解这张图的关键在于：攻击路径不是凭空产生的，而是由实体、凭据、权限和信任关系共同"铺"出来的。治理工作就是在这四层上分别施加控制，让路径变少、变短、变可见。

为了把概念落到可操作层面，下面给出一个简化的身份攻击面清点示例。假设某公司使用 Azure AD 作为 IdP，同时有 AWS 和阿里云两个云账号，员工 800 人，外包 200 人，服务账号约 1500 个。清点后可能得到如下结构（数据为教学示例，非实测）：

清点只是第一步。真正决定治理效果的是权限收敛与凭据轮换。以服务账号为例，一个常见问题是"一个服务账号被多个应用共用，权限按最大需求授予"。治理时可以先做权限使用分析：采集 30 天内的实际调用日志，统计该账号访问过的资源与操作，再与授予权限做差集。若授予了 120 个操作，实际只用了 18 个，就可以把权限收敛到 18 个加上少量预留。这个过程需要业务方确认，不能纯自动化删除，否则可能造成生产故障。

凭据轮换同样需要工程化。对于云访问密钥，建议设置 90 天轮换周期，并采用"双密钥过渡"方式：先生成新密钥，更新应用配置，观察调用正常后，再禁用旧密钥，最后删除。对于 OAuth 令牌和证书，应优先使用短期令牌和自动续期机制，减少长期凭据的存在。对于人类用户，密码应配合 MFA，并逐步向无密码（FIDO2/Passkey）迁移。

本课程后续章节将围绕四条治理主线展开：先讲身份资产发现与清点方法，再讲权限分析与最小权限落地，然后讲凭据管理与轮换工程，接着讲身份威胁检测与响应，最后讲治理体系与持续运营。每一章都会给出可操作的对象、参数、判断依据和示例结果，帮助读者从"知道概念"走到"能够落地"。

需要强调的是，身份攻击面治理不是一次性项目，而是持续运营过程。身份会新增、权限会变化、凭据会过期、信任关系会调整，攻击者的手法也在演进。因此，治理体系必须包含定期复核、自动化检测和快速响应机制。只有把身份当作动态资产来管理，才能真正压缩攻击面，降低账号风险。