如今，企业中机器身份的数量远远超过了人类身份。事实上，机器身份的兴起造成“网络安全债”不断累积，增加安全风险。
以下是机器身份造成的三个主要安全风险以及应对措施：
· 证书更新问题
机器身份的保护方式与人类不同。人类 的ID 可以使用登录名和密码进行验证，但机器 ID 需要使用证书和密钥，而这些凭证则存在一个有效期的问题。
证书的有效期一般为两年，但是技术的快速发展已将一些证书的有效期缩短至 13 个月。鉴于在给定的 DevOps 周期中通常存在数千个机器身份，所有这些证书的有效期都不同，因此进行手动更新和审计几乎不可能。
依赖手动流程来验证证书的团队可能会面临计划外的中断，这是 DevOps 运维无法承受的。具有面向公众服务的公司可能会因此类中断而遭受负面的品牌影响。2021 年2月发生了一次与证书相关的宕机事件，过期的TLS证书使Google Voice崩溃，导致其24小时不可用。
自动化证书管理是解决此问题的最佳方案。例如Akeyless 这类的解决方案可以自动审核和更新过期证书。除了适合更广泛的 DevOps 自动化外，Akeyless 等工具还简化了机密管理。例如，该工具允许企业通过在机器访问敏感信息时创建一次性、短期证书来实现即时访问。这些证书消除了对静态密钥和证书的需求，从而减少了公司内部的潜在攻击面。
机器 ID 验证也 依赖于私钥。随着企业中工具使用量的增加，影子 IT 已经成为一个主要问题。即使员工仅试用 SaaS 软件的试用版然后停止使用这些产品，该软件的安全证书通常仍然会保留在网络上，从而成为攻击者可以利用的漏洞。
秘密信息管理工具集成您网络的各个方面，并监控影子证书和密钥。因此，删除多余密钥并保护有效密钥变得简单。
· 事件响应滞后
安全团队面临的问题之一是因机器身份受损或过期而导致的级联问题。例如，如果单个机器 ID 被泄露，安全团队必须迅速更换其密钥和证书。如果不这样做，像Jenkins这样的自动化 CI/CD 工具将出现影响发布进度的错误。
像 Jenkins 这样的工具连接了 DevOps 运维的每个部分，也会产生下游问题。然后是第三方工具集成的问题。如果云容器因为检测到单个 ID 存在漏洞而决定撤销您的所有机器 ID，该怎么办？
所有这些问题都会即刻影响到您的安全团队，从而导致大量问题，使得将所有问题归咎于一个根本原因极具挑战性。好消息是自动化和电子密钥管理简化了这个过程。这些工具将使您的安全团队全面了解数字密钥和证书的位置，以及更新或颁发新证书所需的步骤。
令人惊讶的是，由于 DevOps 中的容器化方法，大多数组织缺乏对关键位置的可见性。大多数产品团队都是各自为营，并在生产之前聚集在一起集成不同的代码。其结果则是缺乏对不同移动部分的安全透明度。
在机器 ID 主导的世界中，安全性不能保持静态或集中。您必须创建敏捷的安全态势以匹配敏捷的开发环境。这种态势将帮助您快速应对级联问题并确定根本原因。
· 缺乏审计洞察力
机器 ID 的兴起并没有被忽视。政府越来越多地强制要求加密密钥，以监控数字身份，尤其是在监管敏感业务部门时。再加上企业必须遵守的数据隐私法律，对于任何手动机器ID管理程序来说都是极大的困扰。
如今，失败的安全审计会导致可怕的后果。除了失去公众信任之外，组织还为黑客设定了一个目标，这通常会增加安全漏洞的几率。一般的企业在其权限下可能有数十万个机器身份，每个身份都有不同的配置和有效期。
人类团队无法跟上这些身份的步调。然而有许多组织仍以这种方式为其安全团队分配任务，使他们面临重大的安全风险。即使手动过程处理密钥更新，人为错误也会产生问题。此外，期望少数管理员了解每个证书的信任要求是不现实的。
像 Hashicorp 这样的自动化解决方案可以无缝地解决这些问题，因为它提供了安全团队可以使用的简单审计和合规性数据。
自动化是关键
DevOps 优先考虑整个运维的自动化。要包括安全性，您必须在整个组织中自动化和集成这些应用程序，以创建灵活的安全态势。如果不这样做，机器身份数量的增加将使您的安全团队负担过重，无法应对威胁。
原How to Combat the Biggest Security Risks Posed by Machine Identities
链接：https://thehackernews.com/2022/07/how-to-combat-biggest-security-risks_29.html
