# 事实台账 · PAM（Privileged Access Management）

- 建档：2026-11-06
- 用途：本目录所有产物（R1 文字稿 / R2 SVG / R3 交互页 / R4 视频）的**数字与专名白名单**。台账没有的数字不得出现在任何产物；写作中发现需要新数字，先补台账再使用。
- 置信度分级：**逐字**（核对过原文）> **转述**（多来源一致的二手定义/通识）> **单一来源**（仅一处，引用须显式标注）。

## A. 定义与概念

| # | 事实 | 置信度 | 来源 |
|---|---|---|---|
| F1 | PAM 全称 Privileged Access Management，中文"特权访问管理" | 转述 | Microsoft Security 101、SSH.com Academy 等多来源一致 |
| F2 | PAM 定义（转述）：对特权账号与特权访问进行收拢、看管、审查的技术与策略的合称 | 转述 | Palo Alto Cyberpedia / Microsoft Security 101 |
| F3 | "keys to the kingdom"（王国的钥匙）是业界对特权凭据的常用比喻 | 转述 | Palo Alto Cyberpedia《What Is PAM?》 |
| F4 | 特权账号类型包括：OS 管理员（root / Administrator）、数据库管理员（sa / sys 等）、网络设备特权模式、云控制台管理员、服务账号、应急账号（break-glass） | 转述 | Palo Alto / SSH.com / idmanagement.gov Playbook 综合口径 |
| F5 | 服务账号（service account）＝程序用来连接程序/系统的账号，不是给自然人登录用的 | 转述 | 业界通识（Palo Alto 页有同类表述） |
| F6 | 应急账号（break-glass account）＝平时封存、仅在紧急故障时启用的特权账号 | 转述 | idmanagement.gov《Privileged Identity Playbook》 |
| F7 | JIT（Just-In-Time）＝特权限时授予、到期自动收回 | 转述 | idmanagement.gov Playbook（含 JIT 特权访问原则） |
| F8 | Zero Standing Privileges（零常驻特权）＝不保留长期有效的特权，改为按需授予 | 转述 | 行业术语（BeyondTrust 等推广），多来源一致 |
| F9 | 最小权限原则（Least Privilege）是 NIST SP 800-53 访问控制族 AC-6 号控制 | 转述 | NIST SP 800-53 Rev.5（公开稳定文档） |
| F10 | MITRE ATT&CK 编号 T1078 = Valid Accounts：攻击者使用窃取的合法凭据登录 | 转述 | MITRE ATT&CK 官网（公开稳定文档） |

## B. 数据

| # | 事实 | 置信度 | 来源 |
|---|---|---|---|
| F11 | Verizon DBIR 2025：凭据滥用（credential abuse）是最常见的初始入侵途径，涉及 **22%** 的数据泄露事件；钓鱼 16%、漏洞利用 20% 居后 | 转述（报告 PDF 经检索核对摘要） | [2025 Verizon DBIR](https://www.verizon.com/business/resources/reports/2025-dbir-data-breach-investigations-report.pdf) |
| F12 | 【白名单数字】**22%** —— 产物中引用时**必须**伴随"DBIR 2025"字样；16% / 20% 为备用数字，同样须带出处 | — | 同 F11 |

## C. 架构与能力

| # | 事实 | 置信度 | 来源 |
|---|---|---|---|
| F14 | PAM 六项核心能力：发现 Discovery、保管库 Vault、代理访问 Brokered Access、凭据轮换 Rotation、会话录制 Session Recording、即时访问 JIT | 转述 | Palo Alto / SSH.com / 各厂商能力清单的交集口径 |
| F15 | 典型访问流（五步共识）：申请 → 策略校验/审批 → 凭据代注入（用户不见密码）→ 会话全程录制 → 用后自动轮换。组件命名各厂商略有差异，流程顺序为共识 | 转述 | 各厂商 PAM 架构文档 |
| F16 | 保管库以加密形式存凭据，人看不到原文；代理注入后直到会话结束用户都不接触密码明文 | 转述 | Palo Alto Cyberpedia |
| F17 | 堡垒机（bastion host / 跳板机）提供集中登录通道与会话审计；现代 PAM 在堡垒机能力之上叠加保管库、轮换与 JIT | 转述 | SSH.com / JumpServer 文档口径 |
| F18 | JumpServer 是国内常见的开源堡垒机/PAM，由 FIT2CLOUD（飞致云）维护 | 转述 | JumpServer 官网 |
| F19 | IAM 与 PAM 的分工：IAM 管"你是谁、一般权限给你什么"；PAM 专管特权凭据的发放、回收与审计 | 转述 | Microsoft Security 101 |

## D. 合规锚点（产物中只出现名称，不展开条款）

| # | 事实 | 置信度 | 来源 |
|---|---|---|---|
| F20 | 等保 2.0（GB/T 22239-2019）三级要求中含"安全审计"控制点 | 转述 | 标准公开文本 |
| F21 | PCI DSS 要求账号唯一 ID 与访问监控 | 转述 | PCI DSS v4.0 Req 8 / Req 10 |

## E. 脏输入处理记录（被拒的声称不静默丢弃）

| 原声称 | 核验过程 | 裁定 |
|---|---|---|
| "80% 的数据泄露涉及特权凭据"（多厂商营销页流传，归 Forrester） | 检索仅见厂商博客互相转引，未找到 Forrester 一手报告页 | **拒收**（不入任何产物） |
| PAM 市场规模若干亿美元（Gartner 等预测） | 未做专项检索；与教学主线无关 | 不收录 |

## F. 数字白名单（产物允许出现的全部具体数字）

| 数字 | 允许位置 | 伴随条件 |
|---|---|---|
| 22% | R1 / R2 图注 / R3 摘要 / R4 旁白 | 必须写"DBIR 2025" |
| 168h / 2.5h 等模拟读数 | R3 交互页 | 属滑块推导的算术结果，非事实声称，须标"演示参数" |
| 12 台（模拟器服务器数） | R3 交互页 | 演示参数，须标"演示假设" |

- 过程规则数字（非内容数字，不入白名单）：R1 每句 ≤30 字、旁白 4.2 字/秒、30fps、1080p。

## G. 回避项

- 不引用任何未入台账的市场规模、厂商份额、"每 X 秒发生一次攻击"类修辞数字。
- 不引用具体厂商价格与产品对比结论。