Jak konto ludzkie, ma zwykle identyfikator, jeden lub więcej mechanizmów uwierzytelniania i przypisane uprawnienia. W przeciwieństwie do konta osobistego reprezentuje funkcję techniczną i potrzebuje rozliczalnego właściciela — człowieka lub zespołu.
Konta serwisowe są często długowieczne, bo oprogramowanie od nich zależy, co może prowadzić do nadmiernych uprawnień, zapomnianych poświadczeń i niejasnego właścicielstwa. Każde konto powinno mieć zdefiniowany cel i konsumentów, unikalne poświadczenia, dostęp zgodny z minimalnymi uprawnieniami, monitorowane użycie oraz przetestowany proces odnawiania, rotacji, zawieszania i wycofywania. Interaktywne użycie przez ludzi powinno być zwykle zabronione lub ściśle kontrolowane i przypisywalne.
Najważniejsze punkty
Pola inwentarzaWłaściciel, cel, konsumujące obciążenia, dozwolone zasoby, poziom uprawnień, typ poświadczenia, data utworzenia, data przeglądu i oczekiwany czas życia.
Kontrole ochronneUnikaj współdzielonych poświadczeń, preferuj zarządzane lub krótkotrwałe uwierzytelnianie, ograniczaj ścieżki logowania, rozdzielaj środowiska, monitoruj anomalie i szybko wyłączaj nieużywane konta.
Kwestia operacyjnaZmiany poświadczeń muszą dotrzeć do każdego prawidłowego konsumenta bez tworzenia ukrytych kopii ani zmuszania zespołów do utrzymywania starego poświadczenia aktywnego bez końca.
Istotne ograniczenieKompromitacja daje atakującemu efektywne uprawnienia konta, często bez sygnałów behawioralnych związanych z ludzkim użytkownikiem. Statyczne, współdzielone lub nadmiernie uprzywilejowane konta zwiększają skutki i osłabiają atrybucję.