performing-service-account-audit

name	performing-service-account-audit
description	审计企业基础设施中的服务账户，识别孤立账户、过度特权账户和不合规账户。本技能涵盖在 Active Directory、云平台中发现服务账户，评估权限级别，识别缺失负责人，以及执行生命周期策略。
domain	cybersecurity
subdomain	identity-access-management
tags	["iam","identity","access-control","service-accounts","audit","governance"]
version	1.0
author	mahipal
license	Apache-2.0

执行服务账户审计

概述

审计企业基础设施中的服务账户，识别孤立账户、过度特权账户和不合规账户。本技能涵盖在 Active Directory、云平台、数据库和应用程序中发现服务账户，评估权限级别，识别缺失负责人，执行生命周期策略。

目标

• 跨 AD、云、数据库和应用程序发现所有服务账户
• 识别没有有效负责人或关联应用程序的孤立账户
• 评估权限级别并标记过度特权的服务账户
• 检查未轮换密码和弱认证
• 映射服务账户依赖关系以便安全整改
• 为 SOX、PCI DSS 和 HIPAA 审计生成合规报告

核心概念

服务账户类型

1. AD 服务账户：Windows 服务、计划任务、IIS 应用程序池
2. 托管服务账户（gMSA）：AD 托管的自动密码轮换
3. 云 IAM 服务账户：AWS IAM 角色/用户、Azure 服务主体、GCP 服务账户
4. 数据库服务账户：应用程序连接账户、复制账户
5. 应用程序服务账户：API 密钥、机器人账户、集成账户

审计维度

• 所有权：谁负责这个账户？
• 用途：哪个应用程序/服务使用这个账户？
• 权限：这个账户有哪些权限？
• 认证：这个账户如何认证（密码、密钥、证书）？
• 轮换：凭据最后一次更改是什么时候？
• 活动：这个账户最后一次使用是什么时候？

实施步骤

步骤 1：发现 - Active Directory

1. 查询 AD 中的所有服务账户（按描述、OU、命名约定过滤）
2. 识别设置了 ServicePrincipalName 的账户
3. 列出特权组中的账户（Domain Admins、Enterprise Admins）
4. 检查 gMSA 与传统服务账户
5. 识别设置了 PasswordNeverExpires 标志的账户

步骤 2：发现 - 云平台

• AWS：列出带访问密钥的 IAM 用户，检查最后使用日期，识别未使用的角色
• Azure：枚举服务主体、应用注册、托管标识
• GCP：列出服务账户，检查密钥年龄，识别未使用的权限

步骤 3：评估

• 标记具有管理员/特权组成员资格的账户
• 根据轮换策略检查密码年龄（最多 90 天）
• 识别 90 天以上无登录活动的账户
• 对照 CMDB/资产清单验证账户所有权
• 检查共享凭据（多个账户具有相同密码哈希）

步骤 4：风险分类

• 严重：域/云管理员权限，无密码轮换
• 高危：访问敏感数据，无已识别负责人
• 中危：标准服务权限，密码超过 90 天
• 低危：只读访问，托管凭据（gMSA、托管标识）

步骤 5：整改

• 与应用程序团队验证后禁用孤立账户
• 在可能的情况下将传统服务账户转换为 gMSA
• 轮换超过策略阈值的凭据
• 将权限减少到最低要求
• 分配负责人并记录依赖关系

安全控制

控制项	NIST 800-53	描述
账户管理	AC-2	服务账户生命周期
账户审查	AC-2(3)	账户定期审查
最小权限	AC-6	最低服务账户权限
认证器管理	IA-5	服务凭据轮换
审计审查	AU-6	审查服务账户活动

常见陷阱

• 在未验证应用程序依赖关系的情况下禁用服务账户
• 未发现 Active Directory 之外的服务账户
• 遗漏云服务主体和托管标识
• 未检查服务账户的交互式登录权限
• 在整改前未记录依赖关系

验证

• 跨所有平台建立服务账户清单
• 每个账户都分配了负责人
• 特权服务账户已记录并说明理由
• 密码轮换合规性已检查
• 孤立账户已标记待整改
• 已识别 gMSA 迁移候选账户
• 已生成合规报告