2、信息安全专业人士的挑战与应对策略

信息安全专业人士的挑战与应对策略

1. 经验丰富的专业人士常犯的错误

在面对挑战时，经验丰富的专业人士也可能会犯一些错误，从而阻碍他们看到根本问题。这些错误主要包括以下几点：
1. 未充分关注层面的交汇点 ：单独看待每个层面既无趣又无效。以数据为例，在查看数据时，必须考虑谁可以访问这些数据，这涉及到身份层面；而如何访问则是身份所被授予的权限。很多人没有这样去拆解问题。
2. 混淆或合并身份与权限的概念 ：以微软的 Active Directory 为例，人们容易认为“Enterprise Admins”是 Active Directory 环境的管理员，但实际上，一个安全组在本地被明确授予了权限。默认情况下，它拥有管理其他一切的必要权限，但这并非不可更改。这意味着恶意行为者可以赋予其他身份类似“Enterprise Admins”的权限，而无需修改“Enterprise Admins”组。
3. 未应用假设三段论 ：假设三段论是一个基本的逻辑推理，即如果 A 推出 B，B 推出 C，那么如果 A 成立，则 C 成立。在 Active Directory 的例子中，如果一个身份拥有 Active Directory 的控制权，而 Active Directory 控制着加入域的计算机，那么这个身份对于 Active Directory 边界内的所有计算机的安全至关重要。

1.1 未关注层面交汇点的影响

单独看待身份和权限层面无法有效解决安全问题，因为它们相互关联。例如，只关注数据本身而不考虑谁能访问以及如何访问，就无法全面保障数据安全。