解决 SaaS 密码泛滥问题的答案是单点登录

[aklima@]

这是一个大问题，因为他们不可避免地在所有地方重复使用相同的密码，将孩子的姓名和生日等个人信息链接在一起，或者创建像 Aa123456 这样的“最小可行”密码来绕过要求。

(SSO)，它允许员工使用存储在云端身份提供商 (IdP) 的一组集中管理的凭证，登录任意数量的 SaaS 应用。SSO 最终成为 IT 和 DevOps 团队的福音，因为它消除了密码疲劳，赋予他们更多控制权，并使他们无需不断地帮助其他同事重置密码。

然而，SSO 并非没有风险。首先，您必须将凭证抽象到您的 IdP，这会降低您的可见性，并且更容易导致错误配置潜入而不被发现。其次，根据 Silverfort 的数据，67% 的组织使用不安全的方法将其本地密码同步到其云 IdP，这创造了一个全新的攻击向量，如果您出于其他原因不需要 SSO 的安全优势，这种攻击向量就不会存在。

他们的团队写道：“这种地下暴露还可以让攻击者直接访 挪威电话号码列表 问您的 SaaS 环境。”换句话说，您的本地身份服务和基于云的 IdP 之间的连接是横向移动的完美环境。

威胁行为者如何横向移动至 SaaS 数据
就像电影里的抢劫一样，无论威胁行为者的目标或建筑是什么，奠定基础和打击的过程几乎总是相同的。

1.妥协
首先，威胁行为者会寻找您外围防御的第一个弱点，例如您的员工或本地基础设施。他们可能会先向您的员工发送钓鱼邮件以获取第一组凭证，或者完全跳过这一过程，在目标系统上运行恶意软件，通过键盘记录器收集信息。如果他们识别出您安装了本地目录服务（例如 AD），他们可能会直接对其进行攻击，就像撬开银行大门一样。