CloudKnox Security的創始人兼首席執行官Balaji Parimi表示，在多云環境中管理身份權限并非易事，而且是一個需要創新的領域。Parimi于2016年創立了CloudKnox，專注于在日益分散的市場中更輕松地管理混合云環境中的身份。CloudKnox的想法源于他之前雇主所遇到的實際操作問題，他無法輕易找出該組織在云中使用的所有特權身份。沒有對特權身份的可見性和控制權，代表了組織可能無限制的風險，因為這些帳戶具有廣泛的訪問權限和功能。

“我們在任何基礎設施中看到的最大風險是無管理的特權身份，”Parimi告訴eWEEK。“特權帳戶能夠導出數據，而不會響應市場上大多數DLP(數據丟失防護)工具的警報。”

到目前為止，CloudKnox已籌集了1,080萬美元的資金，并于2018年10月正式從隱身中脫穎而出。該公司是2019年RSA會議創新沙盒活動的十大決賽選手之一，展示了其平臺以及它可以做些什么來幫助組織限制特權帳戶的風險。

據Parimi稱，如今許多組織都依賴靜態的基于角色的訪問控制(RBAC)技術來授予訪問權限。然而，RBAC的問題在于它可以提供比實際需要更多的訪問權限。

“范式必須從使用靜態角色轉變為動態數據驅動方式，我們正在提供'足夠'的特權，”他說。“這需要不斷監控和跟蹤正在進行的操作，正在使用哪些特權，哪些身份正在觸及基礎設施以及他們正在做什么。”

此外，Parimi表示，還需要對不同工作負載部署模型(包括內部部署系統，VMware部署和公共云)的所有特權帳戶進行全面計算。

CloudKnox如何工作

CloudKnox所做的是創建基于活動的授權協議。Parimi解釋說，今天的每個云提供商都有自己的授權方式，這導致了混亂和政策差距。CloudKnox協議提供了一種規范化所有不同授權方法的方法。

“我們實施了可以與其他授權系統進行交互并正確做出決策的協議實施，”Parimi說。

CloudKnox將其Sentry軟件打包成Linux虛擬機，然后客戶可以在他們部署工作負載的任何環境中運行。CloudKnox Sentry軟件收集與身份相關的數據，并識別與身份相關聯的不同活動。來自CloudKnox Sentry的數據被發送到處理數據的CloudKnox FortSentry服務。

“我們在FortSentry中的機器學習算法為每個身份創建配置文件，我們使用我們的特權蠕變索引來計算風險，”他說。

Parimi解釋說，特權蠕變索引可以識別給定身份的權限數量以及實際使用的權限數量。他說，這是組織了解有多少未使用權限被授予各種身份的一種方式。更進一步，由于CloudKnox系統持續監控身份和訪問，組織可以隨時了解各種特權身份的風險，并有權幫助降低風險。降低風險的關鍵在于使用CloudKnox Just Enough Privileges(JEP)控制器實現身份之間的權限調整。

“通過JEP，您可以根據身份實際所做的事情確定特權的大小，”Parimi說。

Parimi認為CloudKnox開發的創新與傳統的特權訪問管理(PAM)供應商提供的創新之間存在差異。在他看來，PAM面向終端，如臺式機和筆記本電腦，并不一定非常適合云。他還強調CloudKnox是一種授權技術，而不是一種訪問技術。CloudKnox系統不僅僅授予訪問權限，還授權具有所需權限的身份。

“基本上，每個人都能得到他們所需要的東西，以便在不影響生產力和信任的情況下完成日常工作，”他說。