DEV Community
·
OWASP 2025年十大非人类身份风险：您需要了解的事项
💡
原文英文，约2500词，阅读约需9分钟。
📝
内容提要
OWASP发布了2025年十大非人类身份风险，强调非人类身份（NHI）在网络安全中的重要性。随着云计算和机器学习的发展，NHI数量激增，安全隐患随之增加。文章列出了十项主要风险，如不当下线、秘密泄露和过度权限，呼吁企业加强NHI管理、自动化流程及开发团队培训，以应对这些挑战。
🎯
关键要点
- OWASP发布了2025年十大非人类身份风险，强调非人类身份在网络安全中的重要性。
- 非人类身份（NHI）数量激增，主要由于云计算、API和机器学习的发展。
- 现有的身份和访问管理工具主要关注人类用户，企业在管理NHI方面面临挑战。
- 缺乏明确的NHI所有权定义导致责任不清，影响各部门的管理。
- 十大风险包括不当下线、秘密泄露、过度权限等，企业需加强NHI管理。
- NHI1：不当下线，企业需实施自动化生命周期管理以检测和停用未使用的身份。
- NHI2：秘密泄露，80%的数据泄露与身份相关，企业需关注硬编码凭证和明文秘密。
- NHI3：脆弱的第三方NHI，企业需确保技术合作伙伴遵循相同的安全实践。
- NHI4：不安全的身份验证方法，需定期审查加密和身份验证方法。
- NHI5：过度权限，企业需定期审查并执行最小权限政策。
- NHI6：不安全的云部署配置，需避免在配置文件中硬编码秘密。
- NHI7：长期有效的秘密，企业需消除长期凭证以减少攻击窗口。
- NHI8：环境隔离，需确保不同开发阶段使用专用的NHI。
- NHI9：NHI重用，需避免在多个平台间使用相同的身份和权限。
- NHI10：人类使用NHI，需监控异常使用以检测潜在的安全漏洞。
- 企业应实施集中管理、自动化流程、开发团队培训和持续监控以应对NHI风险。
- OWASP的发布为企业提供了应对NHI风险的框架，促进更安全的数字生态系统。
❓
延伸问答
什么是非人类身份（NHI）？
非人类身份（NHI）是指在系统中执行操作的身份，通常与其他非人类实体交互，如机器身份或工作负载身份。
OWASP列出的十大非人类身份风险有哪些？
十大风险包括不当下线、秘密泄露、脆弱的第三方NHI、不安全的身份验证方法、过度权限、不安全的云部署配置、长期有效的秘密、环境隔离、NHI重用和人类使用NHI。
企业如何应对非人类身份的管理挑战？
企业应实施集中管理、自动化流程、开发团队培训和持续监控，以应对非人类身份的管理挑战。
为什么非人类身份的数量在增加？
非人类身份的数量增加主要是由于云计算、API的使用和机器学习模型的发展。
如何防止秘密泄露？
企业应关注硬编码凭证和明文秘密，实施自动化工具来管理和监控身份凭证，以减少秘密泄露的风险。
过度权限对企业安全有什么影响？
过度权限增加了身份被攻击者利用的风险，因此企业需定期审查并执行最小权限政策。
➡️
