当网络安全人员误入大型企业时IT在系统潮湿的厨房里，经常会感慨“别有洞天”。就像上周末登上娱乐头条的大连车务段一样，旧版本安装在运输生产电脑盗版系统中Flash。这其实是一种常见的情况“业务连续性压倒一切”俄罗斯轮盘赌，如果每个经理在扣动扳机后赞扬扳机的安全性，我们认为它是安全的，任何试图缓解安全部门的建议都将是危险、愚蠢和徒劳的。这些比较“删库跑路”和APT杨洋杀手要凶猛十倍。“高级可持续性威胁”，其实不是别人，而是我们自己制造的根深蒂固的企业“暗网”，今天最危险的“暗网漏洞”已经潜伏到每个企业的数字资产中，例如：机器工人。
在自动化时代，当我们讨论与人类错误有关的网络安全时，我们可能只讨论网络安全的冰山一角。
随着企业向数字化、自动化、智能化的转型，非人类工人的数量正在迅速增长。因为越来越多的全球企业优先考虑云计算，DevOps、IoT设备和人工智能需要大量的非人类工人（我们称之为机器工人，作为知识工人的比较）参与操作。
然而，该组织通常只将访问控制应用于人类（员工、承包商等），而对与非人类工人相关的数据泄露、特权账户访问和网络攻击风险视而不见。
此外，当人类员工离职时，通常会有相应的安全流程来消除员工访问系统和数据的权限，消除员工仍然可以访问系统和数据的风险。
然而，机器人员不必遵守这样的安全制度。对于许多企业和机构来说，退休机器人的访问权往往保持不变。这为网络罪犯提供了利用“孤儿账户”未经授权访问并发起网络攻击的机会。
显然，企业必须跟踪和管理非人类员工的生命周期。否则，网络罪犯将发起网络攻击，破坏整个组织。
组织可以通过使用适当的方法来监控和管理非人类员工的生命周期，提高运营效率，减少攻击面，防止与这些实体及其访问相关的网络攻击、数据泄露和合规性。以下是几种企业安全经理需要关注的问题“机器工人”：
服务账号
应用程序或操作程序通常用于操作系统中的服务账户。它也可以用于操作Unix和Linux启动程序。服务帐户属于特定的服务和应用程序，而不是最终用户。
常见的服务账户类型包括(包括):
- 管理(例如，访问本地主机或实例或跨指定域的所有工作站和服务器)
- 应用程序(如允许应用程序访问数据库、执行批处理任务、操作脚本和访问其他应用程序)
- 非交互(例如，用于系统过程或服务的交互，用于安排任务的自动脚本)
- 机器人流程自动化(例如，最终用户可以配置计算机软件也被称为“机器人”该软件模拟并集成了使用数字系统执行业务流程所涉及的人工行为)
全球组织的主要问题是服务账户管理不善。以下是最新服务账户安全报告中令人震惊的统计信息：
- 73在将应用程序转移到生产环境之前，%的组织没有审查、删除或修改默认服务账户；
- 70%的人找不到自己的账户；
- 40%的人没有试图找到这些账户；
- 20%的用户从未更改过账户密码。
特别是RPA，无意中为人类和非人类工人创造了新的网络攻击面。RPA登录软件机器人需要特权访问权限ERP、CRM或者其他业务系统用于执行任务。因此，特权凭证通常直接编码到机器人用于执行任务的脚本或流程规则中。
RPA机器人还可以从现成的商业应用程序配置文件或在其他不安全位置检索凭证。员工还可以共享数据库RPA因此，这些凭证很容易被多名员工重复使用。
如果RPA如果账户和凭证长期保持不变，没有得到适当的保护，网络犯罪分子可以发起攻击和窃取。犯罪分子一旦获得这些账户和凭证，就可以提高权限，横向移动访问企业的应用程序、数据和系统。
物联网
物联网设备允许组织无需人工或计算机干预就可以无线连接到网络并传输数据。物联网技术的普及促进了自动化、生产力和效率的提高，物联网技术对许多行业的组织越来越有价值，包括金融服务、医疗保健、高等教育、制造业和零售业。
业务数据可以存储在物联网设备上，这些设备也可以访问敏感的公司和个人数据。如果这些数据落入网络罪犯的手中，它们很容易遭受数据泄露。物联网设备对制造系统和安全系统的运行也至关重要其身份和访问权必须明确，以防止无意中被禁止。
然而，如果物联网设备不能定期更新凭证，或者在停止使用后没有取消其账户凭证，它将带来网络攻击和数据泄露的风险。此外，如果物联网设备的虚拟助手被入侵，网络罪犯可以检索助手收集的信息。
聊天和交易机器人(bot)
使用聊天机器人AI用自然语言模拟与最终用户的对话。这类机器人可用于网站、信息传输应用程序或移动应用程序，并促进机器和人之间的通信。
网络罪犯可以把聊天机器人变成“恶意机器人”，用于扫描企业网络，发现未来可能使用的其他安全漏洞，窃取组织数据，用于恶意目的。恶意机器人也可以伪装成合法的人类用户，并获得访问其他用户数据的权限。恶意机器人也可以用来从公共资源和黑暗网络中收集目标受害者的数据。
交易机器人可以代表人类客户在特定的对话场景中进行交易。交易机器人通常只服务于一个特定的目的，有能力快速方便地完成交易，但无法理解对话以外的信息。
但是交易机器人也不能“免疫”黑客网络攻击。如果交易机器人被网络罪犯入侵，它将被用来收集客户数据。犯罪分子还可以使用交易机器人进行欺诈性交易，或者阻止企业使用机器人来响应客户的关注、问题和要求。
对机器工人采用全面的生命周期管理方法
对非人类工人的生命周期采用端到端管理方法，可以保证组织在促进数字化转型的同时保护其IT环境。对于试图在内部、混合和云基础设施上扩展其运营的组织来说，这是当务之急。
在实施机器工人的生命周期方法之前，组织必须首先识别管理对象和资产。应回答以下问题：
- 谁组成了我的员工团队，除了员工，最终用户和供应商？
- 物联网设备必须管理哪些？
- 使用哪些机器人？
- 哪些RPA用于管理重复性活动
- 哪些服务账户需要监控？
- 是否必须符合合规要求？
- 如何跟踪和管理账户和系统访问？
- 机器工人的存在是否有验证程序，以及如何使用与这些人类员工相关的身份和账户？
- 审核和重新验证机器工人及其身份需要多长时间？
其次，组织必须建立流程、程序和系统，以验证所有机器工人是否正确分配了适当的访问权限。要求组织：
- 在系统中识别帐户和机器工人；
- 创建流程、程序和系统，确保所有非人类工人及其相关身份得到密切监控和管理；
- 避免使用特权组，因为如果有内置共享权限的账户被放入组中会产生难以检测的账户滥用情况;
- 定期审核，了解如何使用机器工人及其身份；
- 创建报告并定期审查，确保报告用于识别和解决异常机器工人模式；
- 制定非人为的人工调配和下岗流程，这可减轻产生“孤儿”、非人工账户未管理或过时的风险；
- 使用访问权限管理软件，确保正确设置非人工访问权限，并授予适当的权限；
最后，组织必须在工人级别（而不是访问级别）中建立和维护所有非人类工人的权威记录。该系统用于管理和监控非人类工人生命周期的统一资源。此举还可以降低人为错误、安全风险和合规的风险。
结论
不可否认，不知疲倦、不怕996的机器工人会创造巨大的财富，而且在IT广泛应用于环境的趋势是不可阻挡的。然而，如何监控和管理非人类工人的身份是一个关键问题。通过积极的方法，组织可以继续监控和管理非人类工人的身份，提高运营效率，做好充分准备，防止昂贵的网络攻击和数据泄露。
简而言之，今天的组织有足够的技术和方法来轻松管理非人类工人的身份生命周期，并根据需要进行审查。通过类似的零信任框架，组织可以完全弥补非人类员工生命周期的不足，确保机器工人在必要时获得必要的访问权限，就像对待人类员工一样。
【本文是51CTO专栏作者“安全牛”请通过安全牛(微信微信官方账号)转载原创文章id:gooann-sectv）获取授权】
戳这里，看作者更好的文章