四级阶梯 · R3 交互讲解 · 主题 PAM

PAM：特权是怎么被管起来的

Privileged Access Management（特权访问管理）· 阅读约 6 分钟 · 两个可拖拽模拟 + 一个流程演示

摘要：管理员账号、数据库口令、云控制台……这些"王国的钥匙"（keys to the kingdom）一旦散落在表格、聊天记录和代码里，攻击者拿到一把就能横向移动。凭据滥用是 DBIR 2025 中最常见的初始入侵途径，涉及 22% 的数据泄露事件。PAM 把这些钥匙收拢进保管库：用时才借、用完即换、全程录像。

主线：特权从"常驻在手里"变成"按需、限时、留痕"。

一 · 横向移动模拟器：一把钥匙能开几扇门？

设定（演示假设）：一家小公司有 12 台服务器。攻击者钓鱼攻陷了 1 台运维终端。 如果终端上存着本地管理员密码、且多台服务器复用同一密码，攻击者就能逐台登录。 PAM 托管的凭据不在终端上，攻击者无从窃取。

先预测，再揭晓（E5）

凭直觉猜：托管率 0%、密码复用率 60% 时，攻击者一晚上能直接登录几台服务器？

 台   填 0–12 的整数后可揭晓
已被钓鱼
运维终端
终端存有本地管理员密码
60%
0%
沦陷 0/ 12
PAM 阻断 0/ 12
未波及 12/ 12
// 揭晓后，这里逐条播放攻击者的尝试日志（时间为演示）
演示参数：12 台服务器、复用/托管按比例确定性分布；真实的横向移动还涉及哈希传递等更多手法，此处只演示"密码复用 × 终端存密"这一条最短路径。拖动托管率到 100%，再回到 0%，观察沦陷数的因果变化。

二 · 常驻特权 vs 即时访问（JIT）：攻击窗口差多少？

常驻特权 = 权限 7×24 小时挂着，一周 168 小时全部是攻击窗口。 JIT（Just-In-Time）= 只在授权的时间段内生效，到期自动收回。拖动滑块，看窗口怎么塌缩。

常驻特权的暴露时段 JIT 授权时段 演示参数：每周 5 次授权，时刻固定
30 min
JIT 周暴露 2.5 h
常驻周暴露 168 h
攻击窗口缩小 67 倍
读数为滑块推导的算术结果（5 × 单次时长 / 168h），非事实声称。R1 基准：S40–S42（JIT 与零常驻特权）。

三 · 一次完整的取用：五步

这是 R2 架构图的"动态版"。点下一步，看一次 root 会话从申请到轮换的全过程（日志为演示数据）。

① 申请
运维提交工单
→
② 校验
策略引擎裁决
→
③ 代注入
保管库放行凭据
→
④ 录制
会话逐条留痕
→
⑤ 轮换
用后自动改密
点击"下一步"开始演示。

什么会改变我的看法

  • 22% 这个数字：来自 DBIR 2025（凭据滥用为最常见初始入侵途径）。检索摘要有"2026 版降至 13%"的说法，我未核对 2026 版原报告；若核实为真，本页与全梯产物都会更新口径。
  • 模拟器的简化：真实横向移动还包括哈希传递、令牌窃取、Kerberos 滥用等手法；"密码复用 × 终端存密"只是最短路径，不构成对攻击面的完整刻画。
  • 能力清单口径：六项能力是多家厂商文档的交集口径；个别产品的命名与边界不同（如密钥管理、工作站加固是否算 PAM）。
  • 反例：如果你所在环境证明"高摩擦的 PAM 审批流导致运维私建通道（影子运维）"，那说明治理设计比工具更重要——这是对主线最强的反驳。