Jako lidský účet má obvykle identifikátor, jeden či více autentizačních mechanismů a přiřazená oprávnění. Na rozdíl od osobního účtu reprezentuje technickou funkci a potřebuje odpovědného lidského či týmového vlastníka.
Servisní účty jsou často dlouho žijící, protože na nich software závisí, což může vést k nadměrnému oprávnění, zapomenutým přihlašovacím údajům a nejasnému vlastnictví. Každý účet by měl mít definovaný účel a spotřebitele, unikátní přihlašovací údaje, přístup nejmenších oprávnění, monitorované použití a testovaný proces obnovení, rotace, pozastavení a vyřazení. Interaktivní lidské použití by mělo být obvykle zakázáno či přísně řízeno a připisovatelné.
Klíčové body
Pole inventářeVlastník, účel, spotřebující úlohy, povolené prostředky, úroveň oprávnění, typ přihlašovacího údaje, datum vytvoření, datum revize a očekávaná životnost.
Ochranné kontrolyVyhýbejte se sdíleným přihlašovacím údajům, preferujte spravovanou či krátko žijící autentizaci, omezte cesty přihlášení, oddělte prostředí, monitorujte anomálie a rychle deaktivujte nepoužívané účty.
Provozní starostZměny přihlašovacích údajů musí dosáhnout každého legitimního spotřebitele, aniž by vytvářely skryté kopie či nutily týmy držet starý přihlašovací údaj aktivní do nekonečna.
Důležité omezeníKompromitace dává útočníkovi efektivní oprávnění účtu, často bez behaviorálních signálů asociovaných s lidským uživatelem. Statické, sdílené či příliš privilegované účty zvyšují dopad a oslabují připsání.