继续阅读，深入了解多租户安全，以及使用 KeeperMSP 保护和管理客户环境所带来的优势。

什么是 MSSP 的多租户安全？

多租户安全是指在统一系统中对多个租户（即客户）环境进行管理与保护的实践，其中每个客户在具备各自访问控制与策略的独立隔离空间中运行。 多租户架构要求确保不同客户环境之间的用户、凭据或数据不得相互暴露。 这确保了租户之间的完全隔离，无论有多少租户共享同一底层平台。 MSSP 通过基于角色的访问控制（RBAC）、客户专属权限以及细粒度访问控制来实施这种隔离，明确界定谁可以查看、修改或管理各个环境。 在 KeeperMSP 中，每个客户都拥有独立的保管库、策略与审计日志，以满足其独特的安全需求，并由 MSSP 统一管理，彼此之间完全隔离。 由于单一客户的安全漏洞可能影响所有托管客户，MSSP 成为网络犯罪分子的高价值攻击目标，因此强大的多租户安全能力已成为基础性的业务要求。

MSSP 多租户安全的主要挑战

多租户安全具有较高复杂性，若 MSSP 未使用合适工具并遵循网络安全最佳实践，可能会在无意中导致安全暴露风险。 以下是 MSSP 在保护多个客户环境时面临的主要挑战。

跨多个客户环境的访问管理

当技术人员需要同时访问数十甚至数百个客户系统时，规模化权限管理很快便会变得极为复杂。 每个客户环境都有各自的工具、平台与访问要求，这意味着技术人员需要在所服务的每个账户之间切换多套凭据与权限。 若缺乏统一的权限配置与撤销系统，MSSP 将难以在各客户间实施最小权限原则，从而产生可能被网络犯罪分子利用的安全漏洞。

不安全的凭据共享

不安全地共享凭据是托管服务运营中最常见且风险极高的做法之一。 通过电子表格、即时通讯工具甚至便签共享用户名和密码的团队，将完全失去操作可追溯性与责任界定能力。 由于无法追踪具体是哪些技术人员使用了某一凭据及其操作行为，一旦单个凭据泄露，攻击者便可能同时获得多个客户环境的无限制访问权限。

可见性不足与合规风险

在不同客户环境中追踪用户活动具有较高挑战性，尤其在缺乏集中式会话监控与记录机制时更为明显。 当出现可疑行为时，分散的日志记录几乎无法及时定位问题来源，从而可能导致合规性风险或违规事件。 MSSP 正日益需要满足 HIPAA、CMMC 等监管要求，并证明其符合 SOC 2 与 NIST CSF 等安全框架，而这些均要求具备详细的审计记录与访问治理证明。 在缺乏集中式日志记录与报告能力的情况下，满足这些合规标准将变得容易出错，并可能增加管理开销、削弱客户信任。

MSSP 如何使用 Keeper^® 保障多租户环境安全

KeeperMSP 旨在为 MSSP 提供基础设施，使其能够通过统一的身份安全平台，在所有客户环境中实施一致的企业级安全防护。 与其依赖一系列分散的工具和手动流程管理多租户环境，MSSP 可借助 KeeperMSP 简化服务交付流程。

跨所有客户的集中管理

KeeperMSP 为管理员提供统一仪表板，用于跨客户环境管理凭据、访问权限与安全策略。 技术人员无需在多个平台或各客户专属工具之间切换，即可通过统一界面简化工作流程。 这有助于降低人为错误风险，并使管理层对整个客户组合的安全事件具备全面可见性。

内置租户隔离机制

KeeperMSP 中的每个客户环境在设计层面均实现有意隔离。 每个租户在独立隔离空间中运行，拥有专用保管库、安全策略与管理权限，确保不同客户之间的凭据或数据无法相互访问。 这种内置隔离机制消除了跨租户数据泄露风险，并进一步增强信任，确保每个客户的数据始终在其自身环境中得到保护。 Keeper 已通过 FedRAMP High、SOC 2 Type II 及 ISO 27001 认证，为 MSSP 提供具备合规级安全基线的供应商，其安全态势可支撑对客户的合规承诺。

安全凭据管理

KeeperMSP 采用零知识加密保管库，并结合内置机密管理能力，对客户凭据与机密进行安全管理。 在该架构下，密码与机密信息不会暴露给技术人员，也不会暴露给 Keeper 本身。 Keeper 在后台处理身份验证流程，确保凭据在使用过程中不会被查看、存储或在保管库之外共享。 这消除了凭据扩散风险，减少对不安全存储与共享方式的依赖，并确保所有客户环境中的凭据与机密均集中于单一、可审计的管理位置。

最小权限与 JIT 访问控制

KeeperMSP 允许管理员通过将权限限定于特定角色与职责，在所有客户环境中实施最小权限访问控制。 借助即时（JIT）访问机制，MSSP 可按需授予访问权限，并在任务完成后自动撤销，确保技术人员不会保留超出工作需求的常设权限。 权限按客户分别配置，使访问控制始终基于具体环境进行设计，而非采用统一的全局策略。 因此，面向 MSSP 的 KeeperPAM 提供了一种严格控制的访问模型，可降低特权滥用和未经授权访问的风险。

会话监控与记录

MSSP 可借助 KeeperMSP 的会话监控与录制能力，实现对所有客户环境中特权活动的全面可见性。 每个会话均被监控、录制并记录，形成完整审计日志，用于支持合规报告与内部问责机制。 除会话监控外，KeeperAI^® 还可对会话行为与操作模式进行实时分析，识别可疑活动与潜在网络威胁。

端点特权管理

KeeperMSP 通过 Keeper 端点特权管理器（EPM），将特权访问控制从凭据与机密扩展至端点层级。 Keeper EPM 不再为技术人员授予跨客户端设备的广泛管理员权限，而是仅在需要时基于应用程序或任务进行临时权限提升。 该机制消除了常设权限带来的安全风险（如未经授权的软件安装与横向移动），同时确保技术人员仍具备完成工作的必要访问能力。 Keeper EPM 确保最小权限原则不仅在客户保管库内执行，也延伸至技术人员用于维护环境的所有设备层级。

使用 KeeperMSP 的优势

大规模管理和保障多租户环境的安全，需要一个专为 MSP 和 MSSP 打造的平台。 以下为使用 KeeperMSP 简化多租户安全管理的核心优势：

了解 Queen Consulting 如何借助 KeeperMSP 在联邦承包商客户中实现安全标准化。

使用 Keeper 提升 MSSP 客户安全能力

随着 MSSP 不断接入新客户、管理更多特权凭据并应对日益复杂的网络威胁，多租户安全的重要性持续提升。 集中化且安全的访问控制，是区分能够稳定扩展业务的 MSSP 与持续暴露于可预防安全风险的服务提供商的关键因素。 KeeperMSP 旨在从各个层面解决多租户安全问题，涵盖零知识凭据存储、严格的客户环境隔离、最小权限访问控制以及合规报告等能力。

即刻开启 KeeperMSP 免费试用，以减少您的攻击面，并为您客户提供他们应得的多租户安全保障。

继续阅读，了解 LastPass 2026 年数据泄露事件的详情、该事件反映出的企业多年安全事件规律，以及为什么 Keeper^® 是保护您敏感数据的更安全替代方案。

经历最近的安全泄露事件后，您准备好从 LastPass 迁移至 Keeper 了吗？ 数千名 LastPass 用户已完成切换，加入其中。

2026 年 LastPass 安全泄露事件须知

以下是 2026 年 LastPass 安全泄露事件的关键事实与发生经过：

为何 LastPass 频发安全事件值得重视

2026 年的泄露事件只是 LastPass 近年来遭遇的众多安全事件之一，每一次事件都在削弱客户对凭据安全性的信心与信任。 此次最新泄露事件，也是 LastPass 首次获悉 Klue 被入侵 10 天后才对外披露的。该公司于 2026 年 6 月 12 日获悉此事，直到 2026 年 6 月 22 日才公开通报。 在此期间，客户可能无从知晓自身个人信息存在泄露风险，而这种延迟披露的处理方式，在 2022 年的泄露事件中也曾出现。

这一规律凸显了一个令人不安的现实：即便服务提供商自身未直接遭到黑客入侵，您的信息也可能发生泄露。 本次事件中 LastPass 自身基础设施未被攻破，但即便只是供应链攻击，客户数据依然遭到了泄露。 随着组织接入的工具与平台日益增多，每一次集成都可能成为潜在入侵点，供应链中的任意一个薄弱环节，都可能危及客户信息安全。

为什么 Keeper 是比 LastPass 更安全的替代方案

经历多次泄露事件后，LastPass 用户自然会重新考量密码存储方案。 访问我们的 Keeper 与 LastPass 对比页面，查看双方在客户数据保护方面的过往记录、安全架构与责任落实情况。

零知识加密

Keeper 基于零知识安全架构而构建，所有加密与解密操作均在用户设备本地完成。 解锁保管库的密钥由用户主密码派生，且绝不会离开用户设备，因此 Keeper 永远无法查看、解密或访问存储的数据。 这一点至关重要：即便 Keeper 系统成为攻击目标，客户保管库数据依然无法被读取，因为解密所需的密钥并不存储在系统中，无被盗取的可能。

独立审计与认证

Keeper 是业内认证最齐全、接受审计最多的平台。 平台已获得 FedRAMP High 认证与 GovRAMP High 授权，通过 SOC 2、ISO 27001、FIPS 140-3 验证，同时符合 GDPR、HIPAA、PCI DSS 等多项合规标准。 这些均来自严格的独立评估，是个人、企业与政府机构向平台托付核心敏感数据前的重要参考依据。 Keeper 平台还接受第三方专家的持续验证，验证方式包括定期渗透测试、常态化漏洞赏金计划与公开漏洞披露机制，确保解决方案持续接受测试、验证并迭代优化。

零泄露记录

除零知识架构与全面认证之外，Keeper 的加密保管库与底层基础设施从未发生过泄露事件。 Keeper 依托零知识加密与独立验证，长期保持着无泄露的安全记录，其安全模型的设计目标，是即便在最极端场景下也能保障客户数据安全。

立即切换至 Keeper，持续获得安全防护

LastPass 的每一次新安全事件都在提醒我们，保护敏感信息不能选择一款频繁出现数据泄露的工具。 幸运的是，迁移到 Keeper 这类更安全的密码管理器操作十分简便。 使用 Keeper，您只需几步操作，即可将现有密码、文件夹、共享文件夹、TOTP 验证码与文件附件直接从 LastPass 导入，完成保管库迁移。无需逐一重新输入凭据，迁移过程也不会丢失任何数据。 与其等待下一次数据泄露是否波及自身，不如转向基于零知识加密构建的平台。该平台拥有业内最严格的独立认证背书，且始终保持着客户保管库零泄露的安全记录。

立即开启 Keeper 免费试用，保护您的密码与其他敏感数据。

多年来，入驻大型分销商的平台主要是一项商业合作。 提交您的企业信息，通过基础入驻审核后即可开展销售。 身份安全此前不受重视，仅作为一个产品品类，而非合作的必要条件。

这样的时代已经过去。

在整个渠道领域，MSP 分销商正在果断转型。 曾经只是 MSP 产品列表中的一项内容，如今已成为接入整个生态系统的基础门槛。 未能优先落实身份优先安全策略的 MSP 在当下的合作伙伴网络中可能难以保持竞争力。

为何身份安全正成为 MSP 合作的必备条件

根据 Huntress 2025 年托管 ITDR 报告，基于身份的攻击占所有安全事件的 40% 以上，仅去年就有超过半数的组织遭遇商业邮件欺诈。 此外，Sophos X-Ops 的研究显示，2024 年 6 月至 2025 年 6 月间，暗网上被盗凭据的上架数量激增了 106%。 这些并非抽象的威胁情报指标，而是 MSP 所服务的组织每天都要面对的现实。

由于身份相关的安全入侵会在客户环境中造成深远影响，分销商肩负着越来越大的责任，需要在整个合作伙伴网络中推行更完善的身份防护措施。 领先平台已采取应对措施，基于 CIS Controls 等框架推出正式安全项目，并精心打造以身份为核心的供应商产品矩阵。

传递的信号十分明确。 如今，严格的身份和访问控制已成为平台入驻成员的基本要求。

Microsoft 的 CSP 要求如何提升 MSP 的身份安全标准

如果说威胁态势凸显了身份安全的必要性，那么 Microsoft 最新的 CSP 要求则体现了这些要求正快速落地为正式规范。 这只是技术生态系统整体转型的一个缩影，供应商、平台、网络保险公司与合规框架都在不断提高安全责任的准入门槛。

2025 年 10 月 1 日，Microsoft 最新的 CSP 政策在所有合作伙伴层级生效，要求落实多因素身份验证 (MFA) 强制执行、指定安全联系人、及时响应安全警报等措施。 对于现有合作伙伴，合规情况每年核验一次，未履行相关义务的合作伙伴可能被取消授权。

此类标准正日益成为合作伙伴评估的重要组成部分。 无法证明具备基础身份管理规范（包括 MFA 强制执行与安全凭据管理）的 MSP，未来可能更难接入供应商生态系统、分销商计划以及聚焦安全的合作项目。

为什么分销商分销商优先招募以身份为先的 MSP

随着身份威胁带来的业务影响日益凸显，这不仅改变了 MSP 的运营要求，也从根本上重塑了分销商的招募方向。

事实上，分销商处于供应商与 MSP 的衔接环节。 成功不仅取决于吸引以身份为先的供应商，也取决于招募到具备相应技能、可支撑相关产品部署的合作伙伴。 使用共享凭据、未落实 MFA 强制执行，也不具备身份威胁检测与响应 (ITDR)可见性的 MSP，最终可能损害分销商的声誉与合规状态。

具备安全意识的服务提供商正成为重点招募对象。 已投入建设身份基础设施（例如 MFA 强制执行、特权访问管理 (PAM) 与 ITDR）的 MSP，对想要推动平台业务增长的分销商越来越有吸引力。 这类服务提供商通常更具优势，能够开展追加销售、降低运营风险，并且服务的客户均将网络安全视为战略重点，而非仅为满足合规要求。

安全态势评估正逐渐成为合作伙伴审核流程中的常规环节。 能够展示成熟身份管理策略的 MSP，体现了其运营成熟度、合规意识，以及支撑领先安全解决方案与服务的能力。

这一趋势的影响范围已超出传统的访问与凭据控制范畴。 ITDR 正成为分销商招募 MSP 时的重要差异化考量因素，它能帮助服务提供商通过持续身份监控、威胁检测与响应，完善自身的安全服务能力。 随着基于身份的攻击不断升级，身份弹性已成为用户、系统与接入点的核心防护重点。

对分销商而言，这不仅仅是新增了一个安全品类。 它正在拉大能够提供高级身份安全服务的 MSP 与无法提供相关服务的 MSP 之间的差距。 能够有效推广、部署并管理现代身份解决方案的服务提供商，正在创造新的经常性收入机会，满足众多竞争对手无力支撑的客户需求。

身份管理的覆盖范围也在不断拓展，不再局限于人类用户。 服务账户、API 凭据、机器身份以及 AI 驱动的工作流，如今均可访问 MSP 托管环境中的业务关键型系统。 随着各组织持续采用自动化与 AI 技术，保护这些非人类身份 (NHI) 正成为现代安全战略的关键组成部分。

如今就投入建设这类安全实践的 MSP，将更有能力应对未来的安全挑战。 同样，及早洞察这些趋势并据此调整合作伙伴生态系统的分销商，将更有能力吸引具有前瞻性思维的 MSP，助力合作伙伴实现长期成功，并在安全驱动的渠道格局中巩固自身地位。

MSP 分销商如何构建以身份为先的合作伙伴环境

能够迅速行动的分销商，将在其合作伙伴网络中引领 MSP 人才的发展方向。 如今，身份已成为合作伙伴招募、赋能与落地的核心导向，助力打造以身份为先的平台生态。

以下是头部分销商可优先落地的几项举措，用于打造更完善的以身份为先的平台生态：

身份安全是衡量 MSP 成功的新标准

最初的安全要求正逐渐演变为竞争优势。 带头推动这一变革的分销商，所运营的平台已不再将安全视为可选项。 它们正在构建以身份安全为基础要求的生态系统，达不到相关标准的合作伙伴可能难以跟上行业发展。

对 MSP 分销商而言，把握时机至关重要。 合规要求日益严格，风险敞口持续扩大，终端客户对服务提供商的运营成熟度也提出了更高要求。 完善的身份实践正迅速成为客户、供应商与渠道合作伙伴选择 MSP 时的核心考量标准。

每个分销商都需要思考一个简单的问题：您的平台是面向过去的 MSP，还是面向客户真正需要的 MSP？

KeeperMSP：专为分销商所需的身份标准打造

专门打造的身份安全解决方案，正可帮助分销商完善 MSP 招募与赋能策略。 作为零信任、零知识的 PAM 平台，KeeperMSP 提供所需的身份基础设施，助力满足合规要求、保护客户环境，并在合作伙伴审核中脱颖而出。

随着对 MSP 的要求持续提升，分销商需要的不只是在产品组合中新增一个品牌，或是为平台引入又一款安全解决方案。 它们需要能够协助自身吸引、赋能并留存引领渠道未来的 MSP 的合作伙伴。

Keeper 已接入主流分发生态系统，为 MSP 提供专门打造的多租户平台，用于保障凭据安全、管理机密，并大规模推行身份安全实践。 除了技术本身之外，Keeper 还能帮助分销商把握托管服务中增长最快的重点方向之一：助力 MSP 提供可扩展、可持续的以身份为核心的安全服务。

核心身份基础带来的战略价值，远不止技术应用本身。 它能推动更深度的合作伙伴协作、更高效的招募沟通，以及生态系统的可持续增长。 通过为 MSP 配备取得成功所需的工具、资源与安全能力，分销商能够打造更具差异化与价值的渠道服务。

渠道行业正进入新阶段。在这一阶段，MSP 评估合作关系时，不仅考量产品能力，也关注合作所能带来的业务成果。

能在这一环境中蓬勃发展的分销商，必将是那些让自身生态系统贴合 MSP 需求发展方向的企业。 通过采用以身份为先的策略，它们将更有能力吸引下一代 MSP，深化合作伙伴关系，并打造更具韧性、利润率更高的渠道项目。

即刻开启 KeeperMSP 免费试用。

2026 年 5 月，Dashlane 就发生了此类事件：攻击者暴力破解了新设备注册所用的六位验证码，向不到 20 个账户添加未授权设备，并下载了这些用户的保管库副本。 加密本身从未被破解，漏洞出在新设备的批准机制上。 针对密码管理器设备注册的暴力破解攻击是日益严峻的网络威胁，但对 Keeper 的零信任、零知识架构无效，该架构确保仅凭密码永远无法注册设备并访问保管库。

针对设备注册的暴力破解攻击原理

当您向密码管理器添加新设备时，服务提供商必须确认设备归您所有，才能授权您访问保管库。 设备注册流程中的确认步骤，正是这类暴力破解攻击的目标。 为了了解为何 Dashlane 这类密码管理器易受此类攻击，而 Keeper^® 等产品不受影响，需要了解此类攻击的典型运作方式：

这一过程并非假设，Dashlane 遭遇的攻击就是这样发生的，因此保障设备注册流程的安全性与保护保管库同等重要。

为何未授权设备注册会带来风险

未经授权的设备注册会带来严重的安全风险，因为一旦新设备绑定密码管理器账户，就能访问用户保管库，并以经过身份验证的合法用户身份运行。 攻击者完全无需绕过、削弱或破解保管库的加密机制，即可实施此类暴力破解攻击。 攻击者只需获得服务提供商对其设备的信任，即可让加密保管库数据直接同步至其控制的硬件中。

攻击者持有用户加密保管库副本会造成深远的长期影响，因为攻击者可以按自己的节奏离线尝试破解，直至获得访问权限。 尽管强加密使得成功的可能性统计上较低，但成功的可能性很大程度上取决于用户可以控制的因素：主密码的强度。 长度充足、复杂且唯一的主密码可防止被盗取的保管库被破解，但强度较弱或重复使用的主密码，只要时间足够，被破解的几率会大幅提升。 保障设备注册流程的安全性至关重要，这样用户的保管库防护就不会完全依赖于主密码的强度。

Keeper 如何防范设备注册暴力破解攻击

使用 Keeper 的用户不会遭遇影响 Dashlane 的同类暴力破解攻击，因为 Keeper 确保仅仅获知用户密码或暴力破解出 OTP 并不足以完成新设备注册或访问保管库。

设备批准

使用 Keeper 时，每台新设备在访问保管库前，必须经过您的明确批准。 这种批准是独立的必要步骤，并非输入验证码后立即触发的操作。 对于个人用户，批准由账户所有者通过已受信设备完成；对于企业，管理员可代表合法用户批准新设备。 在此类攻击中，猜中有效 OTP 即可完成设备注册，但在使用 Keeper 时，不存在可通过暴力破解验证码来完成流程的单一 API 端点。

多因素身份验证 (MFA)

Keeper 支持多种多因素身份验证 (MFA)，即双因素认证 (2FA) 方式，包括 FIDO2/WebAuthn 硬件安全密钥、生物识别、身份验证应用与短信。 然而，并非所有验证方式抵御暴力破解攻击的能力都相同。 通过电子邮件或短信发送的代码最易受到攻击，因为它们可能在传输过程中被猜中或截获。 身份验证应用的防护能力更强，验证码在用户设备本地生成，但仍依赖短时效的动态验证码，因此需要速率限制等管控措施来防范暴力破解尝试。 硬件安全密钥的防护等级最高，其依托加密质询响应认证机制，而非短验证码。 由于攻击者无法向 API 端点反复提交可预测的数值，针对设备注册的暴力破解攻击便无法生效。

零信任安全

Keeper 基于零信任安全模型构建，即无论网络位置或过往认证记录如何，每一项访问请求都必须经过验证。 使用 Keeper 时，设备不会仅仅因为已完成注册或验证就获得持续的隐含信任，每一项请求都会经过独立评估。 这种安全模型意味着，即便攻击者设法注册了一台设备，单次成功也无法获得持续访问权限。 在零信任框架下，攻击者无法利用设备注册机制获取永久访问权限。

高级报告和警报模块 (ARAM)

Keeper 的高级报告与警报模块 (ARAM) 可帮助管理员全面掌握环境内的可疑行为，包括认证异常与设备注册尝试。 在短时间内密集出现的验证尝试、大量失败的设备注册尝试，正是 ARAM 可以识别的事件类型。 全面掌握异常活动可让管理员快速响应，避免可疑行为在未授权设备完成注册后才被发现。

为什么 Keeper 的零知识架构至关重要

Keeper 的访问控制旨在阻止攻击者注册设备，而另一层防护进一步强化了安全性：零知识架构。 在实际应用中，零知识意味着用户保管库中存储的所有内容始终处于端到端加密状态，即便 Keeper 也无法解密。 由于加密密钥在用户设备上生成，数据的加密和解密也在本地完成，确保保管库完全由用户掌控。 即便攻击者设法获取了用户加密保管库的副本，也几乎无法破解，因为解锁 Keeper Vault 所需的加密密钥并不存在于 Keeper 的基础设施中。

使用 Keeper 保护您的数据免受暴力破解攻击

Dashlane 的安全事件证明，仅靠高强度的保管库加密远远不够。 随着攻击者的目标从破解加密保管库转向利用访问授权工作流，了解如何防范暴力破解攻击、保障设备注册与认证流程的安全至关重要。 密码管理器必须同时保护用户保管库，以及管理访问权限的流程。

LastPass 2022 年的数据泄露事件结果类似，但攻击路径不同：攻击者入侵了该公司的基础设施，窃取了加密保管库副本，而安全研究人员后续追踪发现，失窃原因是保管库防护薄弱。 Dashlane 和 LastPass 的两起事件均表明，一旦攻击者获取了用户加密保管库的访问权限，便可对其进行无限期破解，这凸显了使用安全密码管理器保护您数据的重要性。

Keeper 通过多重机制防御此类攻击：设备批准确保猜中的验证码无法单独注册新设备；多种多因素身份验证方式；零信任安全模型确保无设备被默认信任。 这些防护机制运行于零知识架构之上，确保加密密钥由用户掌控。

开始免费试用 Keeper，体验其分层安全机制如何保障您的保管库数据由仅您掌控的密钥加密。

继续阅读，深入了解这两款数据库管理工具、其独特功能及核心差异。

什么是 KeeperDB？

KeeperDB 是一款功能完备的多协议数据库客户端，专为工程师、数据库管理员（DBA）及数据团队打造。 其开发初衷在于填补一大安全盲区：长期以来，数据库访问依赖非托管工具、共享凭证及游离于安全管控之外的未监控连接。 KeeperDB 提供免费独立桌面版，支持 Windows、macOS 及 Linux，以现代化界面、生物识别认证和内置 AI 代理取代 DBeaver、MySQL Workbench 等传统工具。

以下是 KeeperDB 相较于传统数据库管理工具的几大优势：

当 KeeperDB 作为 KeeperPAM 的组成部分部署时，其功能将进一步扩展，成为 Keeper 保管库内完全受控的特权访问会话。 在 Keeper 工作流程中，凭证既不对用户公开，也不存储于本地端点；而是在 Keeper Gateway 内完成解密，并经加密通道传输，从而实现无密码访问。 每次查询与会话均记录至详细审计日志，访问权限通过即时（JIT）授权管理，KeeperAI^® 持续分析行为活动，识别可疑查询及数据窃取企图。 无论是作为独立客户端还是通过 KeeperPAM 使用，KeeperDB 均为团队提供统一的跨协议、跨环境工具，彻底消除管理多数据库时频繁切换应用的繁琐。

什么是 DBeaver？

DBeaver 是一款广受欢迎的数据库管理客户端，专为需要灵活数据处理环境的开发者与数据库管理员而设计。 其单一界面即可支持 SQL、NoSQL 及云端数据源，是管理多元数据库环境团队的热门之选。 DBeaver 提供丰富的效率功能，包括功能完备的 SQL 编辑器、模式可视化、ER 图、查询性能分析及海量插件扩展。 其对逾 100 种数据库系统的广泛兼容，使其成为跨传统平台、混合基础设施或细分数据源团队的得力助手。

DBeaver 提供免费开源的社区版，覆盖通用数据库管理的基础功能；另有付费版本，新增云集成、单点登录（SSO）及更多高级开发工具。 尽管 DBeaver 以灵活性与效率为先，但其各版本均不支持生物识别认证或基于保管库的凭证调取。

KeeperDB 与 DBeaver 功能对比

KeeperDB 与 DBeaver 均提供数据库管理功能，但两者基于不同的核心理念与优先级构建。 以下为两者的详细对比：

日常使用体验

KeeperDB 旨在打造 DBA 真正乐于使用的工具，内置现代化界面、查询编辑器、SQL 笔记本、模式浏览器、ER 图、嵌入式 AI 代理及实时性能监控。 DBeaver 提供全面的功能与成熟的插件生态，这也是其得到广泛采用的重要原因。 然而，KeeperDB 在界面美观的同时，还融合了生物识别认证与基于保管库的凭证调取功能；而 DBeaver 与大多数传统客户端一样，默认仍依赖本地存储的凭证。

安全性与访问控制

KeeperDB 通过 Face ID 或 Windows Hello 完成身份验证，并在连接时从 Keeper Secrets Manager 调取数据库凭据，确保凭据不以明文形式残留于端点配置文件中。 当 KeeperDB 在 KeeperPAM 中使用，或现有客户端经由 KeeperDB 代理路由时，凭据完全不会抵达端点；每次会话均被记录，无密码访问全程受零信任安全策略管控。

DBeaver 付费版支持 SSO、Kerberos 与 MFA，凭证管理功能则仅在 Ultimate 版中通过专属密钥管理器提供。 这些功能固然实用，但终归只是效率优先工具的附加项，凭证默认仍以本地存储方式保留。 当 KeeperDB 部署于 KeeperPAM 时，凭证绝不抵达端点，每次会话均有记录，访问全程受零信任安全策略管控。 尽管 DBeaver 付费版提供访问控制功能，但由于缺乏凭证注入与会话录制能力，其安全性与治理水平仍无法与 KeeperDB 相提并论。

兼容性与数据库支持

KeeperDB 支持主流企业级数据库平台，包括 PostgreSQL、MySQL、Microsoft SQL Server、Oracle、Amazon Redshift 及 SQLite，所有平台均通过统一界面进行操作。 这意味着管理多数据库的 DBA 无需在不同工具间来回切换。 而 DBeaver 则支持逾 100 种数据库系统（含 NoSQL），是通用场景及使用传统、细分或多元数据源团队的有力之选，尤其适合主流企业平台之外的需求。

定价

KeeperDB 提供免费独立桌面版，高级功能可通过付费订阅解锁。 对于持有 KeeperPAM 许可证的组织，KeeperDB 已作为平台内置功能，可直接从 Keeper 保管库以受控嵌入式数据库会话的形式启动。 这为团队提供了充分的灵活性——可先以 KeeperDB 现代化独立客户端起步，随业务需求发展再借助 PAM 升级至高级安全能力。 与 KeeperDB 类似，DBeaver 同样采用免费加付费的定价模式。 社区版免费开源，Pro 版与 Ultimate 版等付费版本则新增了面向企业的功能，如云集成与更多数据库驱动支持。

KeeperDB 与 DBeaver，哪款多协议数据库工具更适合您？

在 KeeperDB 与 DBeaver 之间做出选择时，请综合考量团队的优先事项、合规要求及整体安全态势。

若符合以下情况，KeeperDB 可能更适合您：

• 您希望以一款界面现代、美观的工具替代 DBeaver 或 MySQL Workbench 等传统工具。
• 您希望通过生物识别认证，并从 Keeper Secrets Manager 调取凭证，而非将其存储于本地配置文件中。
• 您需要一个可调用自选大语言模型（LLM）的内置 AI 代理。
• 您需满足 FedRAMP、SOC 2 或 HIPAA 等合规要求，并需对会话进行全面监控、录制与审计。
• 您已在使用 Keeper，希望在同一平台内访问数据库，或期望未来扩展至受管控的特权访问能力。

若符合以下情况，DBeaver 可能更适合您：

• 您需要兼容多种数据库类型，包括 NoSQL 及各类细分数据库。
• 您依赖 DBeaver 生态中的特定插件或集成功能。
• 您倾向于使用拥有庞大社区支持的开源客户端。

若您的环境涉及 NoSQL 或 KeeperDB 暂不支持的细分数据库类型，DBeaver 是处理此类特定连接的合理之选。 然而，借助 KeeperDB Proxy，您无需二选一——团队可继续使用熟悉的 DBeaver 界面，Keeper 则在后台默默处理安全与治理事务。

KeeperDB Proxy 如何实现两者兼得

若您的团队尚未准备好从 DBeaver 迁移，KeeperDB Proxy 可让开发者继续使用现有数据库客户端（包括 DBeaver），同时将所有连接安全地路由至 Keeper。 集中式策略执行、全面可视化及 Keeper 零知识架构均在后台无缝运行，不影响现有工作流程。 KeeperDB Proxy 兼具双重优势：DBeaver 的灵活性与 Keeper 的安全治理能力。

如需深入了解 KeeperDB Proxy 的工作原理，请参阅我们的官方文档。

以 KeeperDB 筑牢数据库访问安全防线

作为独立客户端，KeeperDB 是传统工具的现代化替代方案；当团队准备就绪时，同一工具可无缝扩展至 KeeperPAM，实现无密码认证、保管库凭证调取与零信任治理。 DBeaver 依然是灵活、兼容广泛的通用及细分场景工具，但在日常使用体验与企业级安全性方面，仍难以与 KeeperDB 相提并论。

立即下载 KeeperDB，开启团队数据库管理的现代化之旅；同步开启 KeeperPAM 免费试用，探索如何将其扩展为受控、安全的数据库访问体系。

请继续阅读，了解有关 IT 安全以及企业如何实施 IT 安全的更多信息。

要点总结

• IT 安全保护组织的系统、网络和数据免受未经授权的访问和网络威胁。
• 虽然 IT 安全、信息安全和网络安全经常被互换使用，但信息安全是最广泛的学科，而 IT 安全和网络安全则是其专门的子集。
• 最常见的 IT 安全威胁是恶意软件、勒索软件、网络钓鱼和内部威胁，这些都可能造成严重的财务和运营后果。
• 强大的身份控制措施，例如零信任安全、基于角色的访问控制 (RBAC) 和特权访问管理 (PAM)，是组织可以实施的最有效的防御措施之一。
• AI 使网络犯罪分子能够自动发起攻击、生成逼真的网络钓鱼内容，并扩大以前需要大量资源和专业知识才能开展的操作规模，这使得主动安全控制比以往任何时候都更加重要。

IT 安全、信息安全与网络安全

虽然 IT 安全、信息安全和网络安全有时可以互换使用，但每个术语都有其独特的含义。 它们的主要区别如下：

简而言之，信息安全是 IT 安全和网络安全的总称，二者各自侧重于更具体的领域。 在实践中，信息安全可能表现为公司针对存储在服务器和文件柜中的文件制定的安全策略；IT 安全可能表现为 IT 团队在员工设备上强制执行多因素身份验证 (MFA)；而网络安全则涉及阻止恶意流量到达公司的应用程序。

IT 安全的三大保护目标

任何 IT 安全策略的核心都包含三个核心目标，即 CIA 三要素：保密性、完整性和可用性。 这些原则构成了组织实施的每一项 IT 安全策略和控制措施的基础。

• 保密性：确保仅有授权用户才能访问敏感信息。 此目标通过加密和 MFA 等措施防止未经授权的访问或滥用。 例如，医疗机构应该对患者记录进行加密，以便只有经过授权的医护人员才能访问这些记录。
• 完整性：保持数据的准确性和一致性，确保数据不会被未经授权的第三方篡改。 无论是意外还是故意，任何未经授权的修改都会破坏数据完整性。 在实践中，银行可能会依靠数据完整性来确保交易记录在付款发出到处理完成之间不会被篡改。
• 可用性：保证授权用户在需要时可以访问系统、数据和网络。 这意味着既要防止服务中断，又要制定恢复计划以防万一。 例如，一家公司投资灾难恢复系统，以确保其在线平台即使在硬件故障期间也能保持在线。

IT 安全威胁：最常见的攻击类型

了解最常见的网络攻击类型和 IT 安全威胁有助于组织了解如何防范这些威胁。

恶意软件和勒索软件

恶意软件是一种旨在侵入、破坏或未经授权访问系统的恶意程序。 最具破坏性的恶意软件类型之一是勒索软件，网络犯罪分子会加密组织的文件，并要求支付赎金以释放这些文件。 成功的勒索软件攻击可能会扰乱运营，使组织无法访问关键系统，或造成严重的财务损失。

网络钓鱼和社会工程学

网络钓鱼攻击涉及通过冒充可信来源，诱骗个人泄露敏感信息（例如登录凭据）。 网络钓鱼是最常见的社会工程学攻击形式之一，这类攻击利用人类行为而非安全漏洞来获取未经授权的访问权限。 攻击者之所以利用人作为攻击目标，是因为人比软件更难修复，这也正是网络钓鱼至今仍是数据泄露最常见的入侵途径之一的原因。

内部威胁

内部威胁是指现任或前任员工、承包商或合作伙伴滥用其对组织系统和数据的访问权限。 无论是有意还是疏忽，内部威胁尤其难以发现和遏制，因为内部人员已拥有对敏感信息和关键系统的合法访问权限。

DDoS 攻击

分布式拒绝服务 (DDoS) 攻击通过大量流量淹没目标服务器、网络或应用程序，使其无法供合法用户使用。 这类攻击通常用于造成声誉损害或分散注意力，以便进行另一次网络攻击。 拥有面向客户的应用程序或在线服务的组织尤其容易遭受此类攻击。

实施 IT 安全

现代 IT 安全在很大程度上依赖身份和访问管理 (IAM)，因为控制谁可以访问哪些内容是减少组织攻击面的最有效的方法之一。 无论是员工登录企业应用程序，还是管理员访问敏感数据，验证身份和实施细粒度访问控制对于保持系统和数据安全都至关重要。 这意味着组织必须实施最低特权原则 (PoLP)，要求采用多因素身份验证 (MFA) 等强身份验证方法，并使用企业密码管理器或特权访问管理 (PAM) 解决方案来保护凭据。

特权访问管理 (PAM)

PAM 是一种网络安全解决方案，使组织能够控制和监控对其最关键系统和账户的访问。 特权账户通常由管理员和 DevOps 团队持有，拥有较高的权限，如果遭到入侵，网络犯罪分子可以获得对敏感数据和基础设施的广泛访问权限。 通过强制执行最低特权访问、自动轮换凭据和提供完整的会话可见性，PAM 可以显著降低数据泄露和内部威胁的风险。

零信任安全与 RBAC

零信任安全与基于角色的访问控制 (RBAC) 协同工作，以确保访问权限受用户身份和角色限制。 零信任遵循“永不信任，始终验证”的原则，这意味着默认情况下不会授予任何用户、设备或系统访问权限，并且会对每个访问请求持续进行身份验证。 RBAC 通过根据用户的职位而不是个人来分配权限，从而对上述方法进行了补充，确保每个角色只能访问必要的内容。 这两种方法相结合，使得网络犯罪分子更难在网络中横向移动或利用过度配置的账户。

密码管理

企业密码管理器是一个能够安全地存储、管理和自动填充组织内所有帐户和应用程序凭据的解决方案。 企业密码管理器不再依赖员工手动创建和管理密码（这往往会导致密码强度低或重复使用），而是强制每个帐户使用强密码和唯一密码，并确保这些密码存储在加密的保管库中。 使用密码管理器可消除数据泄露的常见原因之一，从而使 IT 团队能够全面掌控整个组织的凭据安全。

多因素身份验证 (MFA) 和无密码身份验证

MFA 通过要求用户在获得访问权限之前使用两种或多种身份验证因素进行身份验证，从而增强了账户安全性。 例如，用户可以使用密码和生物特征扫描进行身份验证；即使密码泄露，也需要第二个因素才能访问。 随着各组织力图彻底摆脱传统的密码身份验证，无密码身份验证方法（如通行密钥和生物识别）正变得越来越普遍。 这些无密码方法消除了 MFA 最初旨在弥补的凭据漏洞。

机密管理

在 IT 安全领域，机密是指应用程序和系统用于相互进行身份验证和通信的凭据。 例如 API 密钥、令牌和证书。 与人类用户使用的传统密码不同，机密通常被硬编码到配置文件和代码库中，使其成为一个常被忽视但极易被利用的攻击途径。 机密管理解决方案可确保机密安全存储、自动轮换，并且仅限需要这些机密的系统和服务访问。

加密和安全数据传输

加密是将数据转换成无法读取的格式的过程，只有拥有正确解密密钥的授权方才能读取该格式的数据。 作为 IT 安全最重要的方面之一，加密可确保数据即使被拦截或被未经授权的用户访问，该数据仍然无法读取和使用。 加密适用于静态数据和传输中的数据，可保护存储的数据和网络传输的信息。 传输层安全 (TLS) 等安全传输协议可在数据在系统和用户之间传输时对其进行保护，确保敏感数据在传输过程中不会被篡改或拦截。

AI 如何改变网络攻击

人工智能 (AI) 使网络犯罪分子能够以更快的速度、更大的规模和更高的技术复杂度发动攻击。 AI 正被用于生成具有高度说服力的网络钓鱼邮件，其中采用了先进的社会工程学手段，使员工越来越难以识别。 如今，IT 和安全团队比以往任何时候都更需要开发能够保护系统、数据和凭据免受高度自动化和智能网络威胁的控制措施。 遵循强有力的访问控制、MFA 和 PAM 等最佳实践，对于防御 AI 驱动的网络攻击至关重要。 Keeper 通过统一的身份安全平台帮助组织部署这些防御措施，该平台结合了企业密码管理、MFA 强制执行、机密管理和 PAM，以确保所有身份、凭据和系统都受到保护。

立即免费试用 KeeperPAM，以提升贵组织的 IT 安全策略。

继续阅读，了解更多关于 CMMC 二级的内容、其对研究型高校的重要性，以及 Keeper 如何支持 CMMC 合规。

什么是 CMMC 二级？

CMMC 包含多个认证等级，但参与国防部资助研究的机构最可能面临 CMMC 二级要求。CMMC 二级适用于存储、处理或共享 CUI 的组织，旨在确保敏感政府信息免受潜在网络威胁及未经授权访问。 CMMC 二级与美国国家标准与技术研究院（NIST）特别出版物 800-171 中规定的安全控制要求保持一致，该框架旨在帮助非联邦机构保护 CUI。 其 110 项安全控制涵盖多项网络安全实践，包括访问控制、身份认证、事件响应以及数据完整性保护。

CMMC 二级对研究型高校的重要性

随着针对政府机构的网络威胁持续上升，各类机构正逐步采用零信任安全原则，而 CMMC 要求也并不仅限于传统国防承包商。 对于研究型高校而言，CMMC 二级尤为重要，因为许多政府资助的研究项目涉及敏感数据、研究成果、测试结果以及其他形式的 CUI。 要达到 CMMC 二级要求，机构必须证明已建立完善的安全控制体系，以确保 CUI 在其整个生命周期内得到有效保护。

要求在国防部合同中纳入 CMMC 的实施规则（48 CFR）已于 2025 年 11 月 10 日生效，相关合同正按分阶段方式逐步落实 CMMC 要求。 在第一阶段，大多数要求以一级或二级自我评估形式实施，但部分合同已要求通过认证第三方评估机构（C3PAO）完成二级认证。 自 2026 年 11 月 10 日起，CMMC 二级 C3PAO 认证要求将全面生效。 具体要求取决于合同条款及所处理的信息类型。 参与当前或未来国防部资助项目的研究型高校，应尽快评估自身安全态势，以提前做好准备。

研究型高校的 CMMC 合规路径

为 CMMC 二级合规做好准备，需要研究型高校识别其环境中 CUI 的分布情况，评估现有安全控制体系，并持续推进合规管理工作。 积极推进 CMMC 二级合规，有助于机构尽早识别安全漏洞，并为敏感数据保护建立更稳固的基础。

识别 CUI 存在的位置

在实施安全控制之前，研究型高校必须全面了解组织内 CUI 的存储与处理位置。 CUI 可能存在于研究数据库、实验室系统、云平台以及教师和研究人员使用的终端设备中。 由于高校通常跨多个院系与项目运行，因此对敏感信息实现全面可见性可能具有一定挑战。 在许多情况下，CUI 可能存在于专用研究环境之外，例如电子邮件、共享云盘或教师个人设备中。 识别这些数据源是确定哪些用户与系统需要实施额外安全控制的重要第一步。

开展全面的安全差距评估

在识别 CUI 之后，研究型高校应评估其当前安全实践与 NIST SP 800-171 所规定要求之间的差距。 评估内容应包括现有访问控制、监控能力、事件响应计划以及审计流程的全面审查。 高校还应盘点特权账户并审查其权限配置，以判断访问权限是否超出岗位职责所需范围。 尽管许多机构已部署安全措施，但这些控制在不同院系与项目之间往往未能统一、持续执行。

构建安全的研究环境

研究环境应确保 CUI 仅对授权用户与系统开放访问。 限制访问权限可降低数据暴露风险，并有效防止敏感信息的未经授权泄露。 身份与访问管理（IAM）解决方案可帮助高校落实最小权限原则，确保用户仅获得履行职责所需的最低权限。 机构还应强制要求所有访问 CUI 系统的账户启用多因素认证（MFA），包括远程访问场景。 强有力的身份与访问控制有助于降低内部威胁风险，并满足 CMMC 二级在身份识别与认证方面的要求。

编制并维护 SSP 与 POAM 文档

保持系统安全计划（SSP）及行动与里程碑计划（POAM）的准确性，有助于简化后续评估，并证明符合 CMMC 二级要求。 SSP 记录了组织的安全控制措施，并定义了这些措施的实施和管理方式。 POAM 用于识别安全差距，并列出相应的整改措施与计划。 高校应将相关文档管理视为持续性工作，而非一次性任务，以确保系统与研究环境变化时信息仍保持准确更新。

为 C3PAO 审核做好准备

申请 CMMC 二级认证的研究型高校，可能需要接受由 C3PAO 执行的评估。 准备此类评估不仅需要部署安全控制措施，还需证明其运行状态符合要求并持续有效。 机构应保存能够验证其安全实践的证据材料，包括详细审计日志、访问记录、安全策略以及培训记录等。 提前收集相关信息有助于简化评估流程，并减轻正式评审准备工作的负担。

Keeper^® 如何支持 CMMC 2.0 准备工作

处理 CUI 的组织需要强有力的访问控制、对用户行为的全面可视性，以及验证安全控制有效运行的能力。 实现 CMMC 二级合规需要人员、技术与流程的协同，而 Keeper Security Government Cloud（KSGC）可帮助组织保护 CUI，并强化多项支持 CMMC 准备工作的安全控制能力。 作为 FedRAMP High 认证平台，Keeper 为研究型高校提供保护敏感信息、控制特权访问以及实现跨环境审计可视性的工具支持。

KSGC 通过以下能力支持研究型高校实现 CMMC 2.0 准备工作：

借助 Keeper 准备 CMMC 二级合规

随着研究型高校持续参与国防部资助研究，CMMC 合规已成为保护敏感信息并维持未来研究机会资格的关键组成部分。 由于 CMMC 二级重点关注 CUI 保护，机构应尽早开展安全态势评估，而非等待合规成为强制要求后再行动。立即申请演示，了解 KSGC 如何帮助机构强化访问控制、保护 CUI 并支持 CMMC 二级准备工作。

继续阅读，了解 KeeperDB 的数据库访问安全防护能力，以及该能力在现代企业安全体系中的价值。

保障数据库访问安全的重要性

数据库是存储组织敏感数据的核心资产之一。 多项因素凸显数据库访问安全的必要性：

• 高价值目标：数据库存储海量敏感数据，对谋求经济或战略利益的网络犯罪分子具备极高吸引力
• 可见性不足：许多组织缺少数据库操作的实时会话监控与记录，未授权访问、异常行为难以被察觉
• 合规风险：缺少完善审计机制时，组织将无法满足 SOC 2、HIPAA、ISO 27001 等监管规范要求
• 凭据类攻击：泄露、重复使用或管理不当的凭据，仍是网络犯罪分子入侵系统最常用的攻击渠道

为应对这些挑战，组织必须完整掌握数据库访问的可视性与管控权限。 相关举措包含落地零信任安全策略、在客户端管控凭据、留存完整审计轨迹。KeeperDB 搭载 Face ID、Windows Hello 生物识别认证，打造无密码登录流程，实现上述管控能力。 针对数据库凭据，KeeperDB 与 Keeper Secrets Manager 直接集成，在建立连接时从 Keeper Vault 调取凭据，避免凭据分散存储于各类端点。

以下为 KeeperDB 防护数据库访问安全的七种方式。

1. 依托无密码访问机制，杜绝凭据本地存储

本地存储数据库凭据会给组织带来重大安全隐患。 在许多环境中，密码会被存入配置文件、嵌入脚本，或是在团队间共享。 此类操作会形成多处风险暴露点，网络犯罪分子可通过钓鱼攻击、恶意程序窃取凭据。 凭据一旦泄露，攻击者可复用凭据横向渗透系统、提升操作权限。

KeeperDB 将数据库凭据与明文配置文件隔离，消除该类安全风险。 作为一款集成 Keeper Secrets Manager 的独立桌面应用程序，产品仅在建立连接时从保管库调取凭据，不会将凭据存入本地配置文件；生物识别认证可完全替代主密码。 当通过 KeeperPAM 部署 KeeperDB 时，凭据不会传输至端点，仅在访问阶段于客户管控的 Keeper Gateway 内完成解密。 解密后的凭据通过加密通道在内存中传输至 KeeperDB，会话结束后即刻清除。

依托 Keeper 远程浏览器隔离 (RBI) 技术实现会话完全隔离，KeeperDB 将以独立封闭会话流式推送至用户浏览器。 全程无凭据写入端点，凭据仅临时生效且全程受管控，实现数据库与端点的严格隔离。 彻底杜绝本地存储机密后，组织可降低凭据失窃风险，限制攻击者在基础设施内横向渗透。

2. 所有数据库会话强制启用零信任安全机制

在 KeeperPAM 中部署后，KeeperDB 通过 Keeper Gateway 建立经过身份验证的端到端加密连接，强制执行零信任访问。 数据库不会通过入站防火墙对外暴露，无需部署 VPN。 所有访问仅通过安全的单向出站连接中转，大幅缩减攻击面。

KeeperDB 同时支持即时访问 (JIT)，组织可仅在必要时授予限时数据库访问权限。 访问申请可通过 Slack、Jira、ServiceNow、Microsoft Teams 等集成工具发起与审批。 权限使用完毕后自动回收，消除常设权限。 结合零信任安全与即时访问能力，KeeperDB 在保障运行效率的同时，降低未授权访问发生概率。

3. 直接从 Keeper Vault 启动安全会话

对于使用 KeeperPAM 的团队，KeeperDB 支持您直接从 Keeper Vault 启动安全的数据库会话，无需使用 VPN 或手动配置。 会话运行于 Keeper 的 RBI 环境内，所有操作均在独立封闭会话中执行，并以流式形式推送至您的浏览器。 由于凭据不会传输至端点、也不会本地留存，该隔离机制可强化零信任安全防护，同时优化使用体验。

依托 KeeperDB 操作流程，您可以在保管库内选中数据库条目，启动 KeeperDB，通过内置界面一键建立连接。 您无需复制粘贴凭据、配置连接文件，或是切换多款独立工具。 传统操作流程依赖本地存储机密与手动配置，而 KeeperDB 会集中管控访问权限，消除操作流程中的繁琐步骤。 该方案可简化工程师与安全团队的安全访问操作，同时完整管控每一条会话。

4. 实时监控、记录并审计数据库操作行为

KeeperDB 内置实时性能监控模块，独立桌面应用程序、嵌入式 PAM 部署场景均可使用。 该模块可输出核心运营洞察分析，包含活跃进程列表、阻塞链、锁分析与一键终止会话功能。 当数据库运行卡顿之时，您的团队可快速定位长时间执行、造成阻塞的查询语句，终止对应会话以恢复运行性能。

在 KeeperPAM 中部署时，KeeperDB 会记录全部特权会话、记录所有 SQL 操作，补齐传统数据库客户端缺失的治理能力。 查询级日志完整留存每一条指令，附带时间戳、会话上下文与执行状态。 全部操作汇总生成完整审计轨迹，留存数据库访问全量记录。 这种程度的可见性可同时强化安全防护与合规能力，为 SOC 2、HIPAA、ISO 27001 等规范留存清晰凭证。 结合实时监控与全面审计能力，KeeperDB 实现了每一次数据库交互均可追溯、可核查。

5. 借助 KeeperAI^® 安全实现数据库操作自动化

KeeperDB 集成了 KeeperAI，可简化数据库工作流程，同时提供精细化访问管控。 用户可以通过自然语言与数据库交互，缩短编写、排查 SQL 查询语句的耗时。 KeeperAI 提供多种受控运行模式：

• 自然语言查询：结合完整的模式上下文生成并解读 SQL 语句
• 只读自动化：无需人工干预即可执行查询、分析结果
• 基于批准的写入：在执行 DML 或 DDL 变更前需完成明确授权，规避潜在破坏性操作

在 KeeperPAM 中使用 KeeperDB 时，KeeperAI 会持续分析会话活动中的异常与数据外泄行为，并提供自动会话终止功能。 该能力可助力团队加快故障排查与报表输出效率，完整管控数据库变更，保障数据完整性。

6. 通过隧道与 KeeperDB Proxy 搭建安全连接

旧版数据库访问通常依赖 VPN 或堡垒主机，KeeperDB 以零信任隧道替代上述方案，依托 Keeper Gateway 提供安全的仅出站连接通道。 无需开放入站防火墙规则、直接暴露数据库，隧道可让远程数据库呈现本地访问效果，所有流量全程加密并经由 Keeper 零信任架构转发。

KeeperDB Proxy 将该架构拓展适配桌面端操作流程。 在 PAM 数据库条目启用代理后，代理将作为中转节点代为完成身份验证。 KeeperDB Proxy 通过 Keeper Gateway 从保管库安全调取凭据，直接注入数据库协议握手流程，确保您无法查看、手动管理凭据。 隧道搭配 KeeperDB Proxy 可削减基础设施开销，最大限度地降低远程、内部数据库遭受未授权访问的风险。

7. 集中管控凭据并实现轮换

在数据库环境中，手动管理凭据会带来重大安全风险，跨团队共享密码、重复使用密码、密码轮换周期不统一均会加剧隐患。 KeeperDB 在 Keeper 零信任、零知识架构内集中管控凭据，解决该类挑战。 全部数据库凭据安全存放于 Keeper Vault，不会向用户明文展示。

依托 KeeperPAM，组织可以执行自动轮换策略，定期更新凭据且不中断业务流程。 密码完成轮换后，授权用户可通过 Keeper Vault 自动获取更新后的凭据访问权限。 该方案将密码从端点、脚本、共享文档中清除，大幅减少凭据分散乱象。 KeeperDB 可回收保管库访问权限，简化员工离职流程，保障凭据在完整生命周期内持续受保护。

借助 KeeperDB 实现数据库访问现代化

DBeaver、MySQL Workbench 等传统数据库工具仅侧重功能开发，未适配大规模场景下的安全需求。 这类工具依赖本地存储凭据，缺少会话录制能力，形成合规规范不认可的审计盲区；KeeperDB 的设计逻辑与之完全不同。 作为一款独立桌面应用程序，KeeperDB 支持生物识别认证、保管库凭据调取，搭载现代化 AI 驱动界面，可全面替代老旧工具。 当您的组织组织具备升级条件时，KeeperDB 可对接 KeeperPAM，拓展零信任特权访问、会话录制、即时 (JIT) 权限分配能力，数据库安全体系可随业务同步扩容。

下载 KeeperDB，实现团队数据库操作模式的现代化升级；即刻开启 KeeperPAM 免费试用，体验可弹性扩容的安全数据库访问方案。

许多组织仍将影子 AI 视为数据泄露问题，但其本质正逐渐演变为身份治理问题。 每一次未经授权的 AI 集成都可能悄然生成新的账户、凭证与身份，并在传统访问控制体系之外运行。 组织必须将“身份优先”的安全控制扩展至所有接入系统的人类与非人类身份（NHI），以恢复可视性、强化治理并降低整体安全风险。

影子 AI 实际带来的影响

影子 AI 之所以迅速扩散，是因为现代 AI 工具几乎无需复杂部署或配置。 员工无需 IT 介入即可快速连接应用、自动化工作流程并处理数据。 工具本身通常并不是问题的根源。 风险真正来自员工将这些工具接入的系统与数据。 一旦 AI 平台接入 SaaS、云环境或内部数据库，就会引入多数安全团队未知的凭证与身份，而这些往往缺乏相应的治理框架。

每一次未经授权的 AI 集成都可能产生新的身份与凭证，而这些通常缺乏审计与监管。 这些资产不断累积为一个账户、访问入口与密钥的清单，而这些从未由 IT 正式配置，因此也无法被有效回收或撤销。 当员工自行注册 AI 工具账户时，也会生成具备独立访问范围、数据权限与会话记录的身份。 这类身份会快速扩散。 最终，IT 面对的是分散在外部平台的“隐形未管理身份集群”：既无法掌握其访问范围，也无法审计其使用行为，更缺乏员工离职后的统一注销机制。

当员工进一步将 AI 工具接入内部系统时，也会将服务账号引入组织环境之中。 这些非人类身份（NHI）通常完全脱离生命周期管理、密钥轮换与访问治理体系运行。 每一次集成都会生成诸如 API 密钥、令牌和密钥等凭证，而这些往往被存放在浏览器扩展或配置文件中，游离于安全边界之外。 这些凭据很少轮换，几乎从不审计。

由此产生的身份治理鸿沟

传统身份安全体系建立在三个前提之上：人类用户、IT 统一配置的访问权限，以及明确的网络边界。 而影子 AI 正在同时动摇这三大前提。

在许多企业环境中，非人类身份（NHI）的数量已开始超过人类身份。 拥有生产数据库访问权限的 AI 智能体，其特权访问风险与同等权限的人类管理员相当，但在实际管理中，它们往往缺乏同等级别的审批审查、持续监控与统一的注销流程。

我们的研究也进一步印证了这一趋势。 Keeper Security 发布的《以机器速度构建身份安全体系》报告显示，全球 43% 的网络安全决策者将 AI 相关的 NHI 管理视为其身份治理体系中的关键短板。 率先识别这一治理缺口的组织，正在领先于尚未意识到这一问题的企业。

组织需要采取的不同应对方式

应对影子 AI 的关键，并不是更严格的政策或更全面的禁令。 真正的方向，是将“身份优先”的安全控制扩展至 AI 工具生成的每一种身份（包括人类与机器），并将治理模式从周期性审计转变为持续性治理。

实现对 AI 使用的全面可见性

组织无法治理其不可见的对象；因此必须持续发现运行在环境中的所有 AI 工具、代理、自动化与集成，无论其是否经过批准。 通过持续的网络与应用监控，组织可以追踪 AI 使用行为，建立控制机制限制未经批准的工具，并识别这些工具所生成、但从未经过 IT 正式配置的每一个非人类身份（NHI）。 除了发现能力之外，组织还必须实施实时特权会话监控与记录，以全面覆盖 AI 驱动的工作流，实现持续审计，而非依赖周期性的事后审查。

将身份安全扩展至人类与机器

每一个非人类身份都应与人类身份一样，纳入统一的身份认证、授权与生命周期管理体系，并遵循最小权限原则，执行自动化凭证轮换，以及与对应的人类所有者或工作负载生命周期绑定的明确注销机制。 适用于人类特权账户的安全控制，同样必须覆盖与其并行运行的 AI 智能体与服务账号。

为员工提供可行的替代方案

员工之所以使用影子 AI，往往并非有意绕过安全机制，而是因为他们并不知道已有合规且受管控的替代方案可供选择。 明确哪些工具已获批准、适用于哪些场景以及应在何种条件下使用，并提供易于获取的合规替代方案，才能从根本上解决问题，而非仅缓解表面症状。

强化身份安全能力，应对影子 AI 风险

传统安全模型建立在人类用户、IT 统一配置的访问权限以及明确网络边界的基础之上。 每当员工将未经批准的 AI 工具接入企业基础设施时，影子 AI 都会在云环境和 SaaS 平台中引入未经管理的机器身份、凭证和集成关系，从而不断削弱这些安全前提。 如果仅将影子 AI 视为数据泄露问题，组织就可能忽视其更深层的风险——失控的身份扩张。 要更有效地管理影子 AI，组织必须全面掌握 AI 驱动的访问活动，对人类身份和机器身份实施统一治理，并对凭证和特权访问实施自动化控制。 如需了解企业如何调整身份安全策略以适应 AI 驱动环境，请查阅我们的最新报告。

这是所有企业都必须正视并提前应对的现状。 无论是否身处冲突相关领域，各类组织都已成为攻击目标，认为只有政府机构才会遭受攻击的想法，已然存在巨大安全隐患。 网络攻击面持续扩大，攻击手段不断迭代，企业的安全防护体系也必须同步升级。

网络战为何开始波及企业

现代网络战的攻击目标已不再局限于各类政府机构。 国家级攻击势力日渐将企业作为突破口，借此实施大范围破坏，包括入侵供应链、窃取敏感数据、在互联基础设施中造成连带损害等。 与此同时，各类网络犯罪威胁也在不断加剧。 AI 自动化降低了复杂攻击的实施成本、提升了攻击速度，而勒索软件即服务 (RaaS) 平台，也让以往需要大量资源的攻击手段变得易于复刻。 利用 AI 生成的钓鱼攻击、自动化攻击工具如今已成为主流攻击手段，而非个例。 企业如今同时面临两类威胁，而应对威胁所需的安全防护手段存在大量共通之处。

供应链的存在，进一步放大了这类风险。 一处安全失守，就可能波及所有关联企业，而其中不少组织从未将自身视作攻击目标。 攻击者正是利用了这种侥幸心理。 企业并非旁观者，他们往往是攻击实现大范围扩散的重要渠道。 一旦企业网络被入侵，客户、合作伙伴相关信息、敏感数据及金融系统都会面临风险。 身处复杂供应链中的任何组织，都有可能成为攻击入口。

企业低估了身份体系对攻击面带来的影响

在绝大多数大规模网络攻击中，被盗用的身份凭据都是核心突破口。 网络攻击者会采用密码喷射、凭据窃取等手段，入侵医疗、金融等各行各业的组织。 在许多情况下，攻击入口都可追溯至被盗用的身份，包括服务账户、AI 智能体等非人类身份 (NHI)。

Keeper Security 发布的《机器速度下的身份安全》研究报告印证了这一趋势：传统工具与无控制的 AI 应用正在加速各类身份类攻击的爆发，许多组织难以应对。 事实上，在全球 3,200 名网络安全决策者中，有 43% 的受访者认为，与 AI 相关的非人类身份管理是身份治理领域的主要短板。 权限长期未更新的服务账户、嵌入代码仓库的 API 密钥、脱离规范治理流程部署的 AI 智能体，都是攻击者可利用的漏洞，而多数组织无法清晰掌握环境中此类账户的数量。

传统 PAM 并非为当下环境打造

多数企业仍在沿用面向传统本地部署环境、人工管理员与固定网络边界设计的架构来控制特权访问。 该模式已无法适配现代企业的实际运营形态。 如今企业需要适配云原生环境、分布式办公、第三方集成以及 AI 驱动的工作流，这些场景彻底打破了传统特权访问管理 (PAM) 方案当初所针对的网络边界。 AI 智能体、服务账户及其他机器身份，通常不在传统方案的控制范围内。

这一差距不仅体现在技术层面，更是架构层面的问题。 近 3 年未重新梳理 PAM 架构的组织，往往仅控制了一部分实际存在的特权访问行为。

企业需做出哪些改变以保障安全

对多数企业而言，当前安全态势与威胁环境提出的要求之间的差距远比表面看上去更大。 想要弥合这一差距，就需要重点落地零信任安全、PAM 以及最低特权访问。

采用零信任安全架构

零信任安全遵循一项核心原则：无论用户、设备或系统处于网络边界内部还是外部，都不会被默认信任。 访问权限需经过身份、场景与风险的持续核验后方可授予，一旦核验不通过，权限会立即撤销。 面对攻击者利用合法凭据在环境中横向渗透的现状，零信任架构可对每一次身份认证进行持续核验，而非默认可信，构建起更稳固的安全体系。

将 PAM 控制范围延伸至非人类身份 (NHI)

仅针对人类用户的 PAM 无法覆盖全部特权访问场景，只能实现部分控制。 针对 AI 训练数据、部署环境、核心生产系统的管理权限与机器级访问权限，其控制标准必须与人类特权账户保持一致。 具体落地要求为：为每一个服务账户、AI 智能体配置独立且可核验的身份，严格划分访问边界，并且不设置常设权限。

执行最低特权访问原则

权限过度问题以往大多依靠定期访问审查进行事后整改。最低特权访问应从项目初期就融入开发与部署流程，确保人类身份与机器身份仅被分配完成指定任务所需的访问权限，不多授予额外权限。 在权限分配阶段就防范未授权访问，远比供应链出现安全问题后再补救更为有效。

监控并审计所有操作行为

当攻击者可利用被盗用的合法凭据在系统内活动时，全面可视能力已是必备能力。 必须对所有特权会话、自动化工作流中的人类及非人类身份操作行为，进行持续监控、记录与日志留存。 我们的目标是在安全事件升级、造成大范围损害前，及时发现权限滥用、数据泄露及各类异常行为。

要求供应商提供安全合规证明

企业的安全态势取决于供应链中最薄弱的一环。 任何通过数据、软件或集成接口访问您基础设施的供应商，都有可能成为攻击入口。 仅依靠自我声明并不具备说服力。 应要求供应商通过独立评估、可核验的控制措施，证明自身符合安全规范。

做好应对网络战连带损害的准备

网络战波及企业早已不是新鲜事。 如今变化的是攻击背后的自动化程度，以及攻击可覆盖的范围。 没有任何依据可以认为企业会被攻击者放过。 组织必须评估现有安全策略，判断其是否能够抵御现代网络威胁。 如果您的组织仍在使用并非面向云原生环境、大规模非人类身份场景设计的工具，那么身份访问与供应链安全方面的治理鸿沟，会比看上去更加严峻。KeeperPAM 旨在帮助企业填补这一治理缺口。

国家技术奖由 National Technology News 主办，旨在表彰推动英国科技行业实现卓越发展、技术创新与产业变革的组织及技术负责人。

该奖项认可 Keeper 长期践行的理念：依托基于零信任、零知识架构打造的统一平台，助力各类组织强化网络安全防护能力。

评委评语

评审团选择 Keeper Security 的理由如下：

一套极具创新性的工具套件，可高效解决该高难度行业的各类复杂安全问题，落地成效突出。

随着各类组织面临的网络安全环境日趋复杂，对适配企业级场景的一体化安全平台的需求空前高涨。 无论是凭据类攻击、特权访问风险，还是合规管控压力、混合办公场景，IT 与安全团队都需要在不拖累业务运转的前提下，保障核心系统安全。

Keeper Security 凭借一体化平台可化解上述各类难题，简化身份与访问安全管控，同时为团队提供更全面的可视能力与管控权限，因此获得评审的认可。

面向现代化组织的创新工具套件

Keeper Security 提供一体化工具，用于管控并保护整个企业的访问权限，涵盖以下功能：

• 企业密码管理
• 特权访问管理
• 机密管理
• 端点特权管理
• AI 威胁检测与响应

Keeper Security 受到全球众多组织的信赖，有助于降低网络风险，同时保障业务生产力与日常运营效率。

该平台兼顾可扩展性与易用性，组织可落实最低特权访问原则、保护关键基础设施、管控身份安全，同时不会给终端用户、IT 团队增添额外操作负担。

本次国家技术奖授予的荣誉印证了 Keeper Security 始终坚持打造创新网络安全方案，助力各类组织抵御新型网络威胁。

预约演示，了解 Keeper Security 如何帮助您的组织降低网络风险，保障整个企业的访问安全。

关键系统访问权限的集中也让 MSSP 的安全防护面临极高风险。 由于 MSSP 在多个客户环境中集中管理访问权限，一次安全泄露就可能同时波及多家组织。 这进一步说明落实完善的安全措施十分必要。

继续阅读，以深入了解 MSSP、其对组织的支持作用以及 Keeper^® 如何保护客户环境。

MSSP 在网络安全领域负责什么？

MSSP（托管安全服务提供商）通过提供各类安全服务，保护客户的 IT 环境。 从网络监控到访问管理，MSSP 可帮助组织降低风险、及早发现威胁，并保障各系统合规运行。

网络安全监控

MSSP 持续监控网络流量，以识别异常模式和潜在威胁。 通过分析跨环境与系统的行为，MSSP 能够在安全事件演变为漏洞或入侵之前，识别可疑活动，例如未授权访问尝试或数据外泄。 这种主动防护的方法，对于同时保护多个客户环境至关重要。

身份和访问管理 (IAM)

管控数据与系统的访问权限，是 MSSP 的主要职责之一。 具体包括管理用户身份、分配权限，并在各类环境中统一执行访问策略。 强有力的 IAM（身份与访问管理）实践有助于最大程度降低未经授权访问风险，限制凭证滥用，并确保用户仅获得其履行职责所需的访问权限。

终端管理

MSSP 通过监控威胁、排查漏洞，并协助组织搭建完善的安全配置，可以帮助组织保护笔记本电脑、服务器等端点设备。 部分 MSSP 还会提供漏洞与补丁管理服务，具体视服务商而定。

威胁检测与事件响应

MSSP 致力于尽早识别威胁，并协助控制潜在损害。 具体工作包括监控告警信息、排查异常行为，并采取初步措施控制安全事件影响。 早期检测至关重要，但全面修复通常需要 MSSP、客户，以及在严重情况下专门事件响应团队之间的协同配合。

合规与报告

许多组织必须满足 SOC 2、HIPAA、PCI DSS、CMMC 等框架的监管要求。 MSSP 会留存详细审计日志、生成报表，并协助核验安全管控措施的落地情况，以配合客户完成合规工作。 诚然，合规工作始终是客户的责任，但 MSSP 可以通过数据可视化、报表及文档支持，帮助客户简化合规流程。

MSSP 如何保障客户环境安全

为有效保护客户环境，MSSP 必须在凭证管理与特权访问方面实施严格的安全控制措施。 由于 MSSP 通常拥有跨系统特权访问权限，即便是微小的安全漏洞，也可能造成严重后果。 以下是 MSSP 降低客户风险的主要方式：

MSSP 必备的卓越网络安全工具

MSSP 依靠多种网络安全工具的组合，保护客户的身份、凭证及基础设施安全。 这些解决方案协同运作，可以帮助降低风险、管控访问权限，并全面掌握所有托管环境的运行状态。

密码管理

密码管理器提供团队和客户之间安全存储和共享凭证。 MSSP 可以将凭据统一存放在加密保管库中，摒弃电子表格等不安全存储方式，保障凭据安全，同时确保需要时可正常调取。 强密码管理机制能够避免密码重复使用，大幅降低针对凭据的攻击风险。

特权访问管理 (PAM)

PAM 解决方案可帮助组织管控并监控对关键系统与敏感数据的访问行为。 MSSP 可以实施即时访问权限 (JIT) 访问，仅在必要时授予提升的权限，并在之后撤销访问权限。 PAM 解决方案还支持会话监控与录制，提供对特权活动的全面可见性。

机密管理

机密管理工具可保护 API 密钥、服务账户以及其他非人类身份 (NHI) 等敏感数据。 对这类机密进行集中安全管理，MSSP 能够避免机密泛滥，降低其在脚本、代码及基础设施中泄露的风险，这一点在 DevOps 环境中尤为重要。

端点特权管理

端点权限管理可帮助 MSSP 管控设备的本地管理员权限。 MSSP 可以在端点上强制执行最低特权访问原则，以更好地防止未经授权的权限升级，缩小攻击面，严格按照实际工作需求为用户和应用程序分配权限。

Keeper^® 如何为 MSSP 提供支持

Keeper 的统一身份安全平台整合了 MSSP 所需的核心工具，用于保障客户环境安全。 通过将密码管理、机密管理、特权会话管理与终端特权管理整合为一体化解决方案，Keeper 帮助 MSSP 简化并提升其在所有托管客户环境中的安全防护能力。 以下是 Keeper 为 MSSP 提供支持的关键领域：

借助 KeeperMSP 保障客户环境安全

MSSP 在助力组织抵御现代网络威胁方面发挥着重要作用。 MSSP 负责管理复杂基础设施、监控系统运行、跨环境管控访问权限，让组织无需组建庞大的内部团队，也能保障整体安全。

然而，这一职责要求 MSSP 建立强有力的访问控制体系、安全的凭证管理机制，并对用户活动具备全面可视性。 Keeper 提供统一的身份安全平台，是 MSSP 强化其安全态势的理想选择。 通过将多种核心网络安全工具整合为统一解决方案，Keeper 使 MSSP 能够更有信心地保障客户环境安全，并有效降低安全风险。

立即免费试用 KeeperMSP，以强化访问控制、保护凭证并保障客户环境安全。

我们很高兴为您推出 KeeperPAM 配套 Workflow 功能。这项全新能力会要求所有访问请求做到明确提报、审批通过并设置有效时限，以此杜绝常设权限。 该功能可为 PAM 资源的访问权限设置有效时限，清除常设权限、减少非必要风险，同时简化最小权限的合规工作。

启用 Workflow 后，您需要申请或签出对应资源，由经授权的审批人员批准或拒绝该申请。访问权限会在设定的时限结束后自动失效。 单用户模式带有签入/签出功能，支持同一时间仅一位用户访问，专属访问控制还会增设强制审批环节，确保每一次访问都经过授权且可追溯审计。 可选的多因素身份验证 (MFA) 二次校验功能，能在访问环节增设一道身份验证屏障。 借助 Workflow，组织可获得对应的执行能力，在 Keeper Vault 内部强化特权访问治理，并落地最低特权访问机制。

自动将 Keeper 安全警报转为可操作的 Jira 工单

Keeper Security ITSM 集成是一款基于 Forge 构建的应用，可将 Keeper 的安全警报自动转换为可执行的 Jira 工单。 系统通过 webhook 接收 Keeper 推送的安全警报，并自动生成 Jira 问题单，完整留存警报详情，其中包含原始 JSON 负载，便于开展全链路审计。 该集成使安全团队、IT 管理员和合规官员能够立即响应安全事件，无需手动创建工单。

借助 KeeperDB，实现无密码零信任数据库访问、状态监控以及 AI 辅助管理

我们很高兴推出 KeeperDB——一款安全、功能完整的数据库管理工具，原生集成于 Keeper 零知识架构平台。 MySQL Workbench、DBeaver、SSMS 等传统客户端会造成凭据分散在各类端点，数据库连接行为也无法得到监控。 KeeperDB 完全消除了这一权衡：所有特权会话均可视化记录，所有凭证均存储于终端之外，且无需安装任何驱动程序。

KeeperDB 依托统一界面，支持 PostgreSQL、MySQL/MariaDB、SQL Server、Oracle、Amazon Redshift、SQLite 多款数据库。 产品内置 KeeperAI，作为数据库管理员辅助工具，可实现自然语言查询、图表生成以及性能问题排查。 对于偏好现有工具的团队，可使用 KeeperDB Proxy，在连接时注入由 Gateway 获取的凭证，而不会向用户暴露这些凭证。 内置实时性能监控模块，可展示进程列表、分析阻塞链路，还支持一键终止会话。数据库管理员 (DBA) 无需退出平台，即可全面掌握运行状态。 KeeperDB 既可以作为嵌入式会话，直接从 KeeperPAM 记录中启动，也可作为独立桌面应用，适配 macOS、Windows、Linux 系统。

Keeper Secrets Manager SDK 及集成亮点

今年早些时候，Keeper Secrets Manager (KSM) 推出了两项重要更新，进一步提升了平台安全性，同时简化了部署流程。 KSM CLI 1.3.0该版本调用操作系统的原生安全存储能力，包括 macOS Keychain、Windows Credential Manager 和 Linux Secret Service，默认保护 Keeper 设备身份信息，以全面提升凭据防护等级。 这消除了敏感凭证以明文形式存储在磁盘 keeper.ini 文件中的风险。 Ansible Integration 1.4.0 为在 Ansible Automation Platform 中使用 KSM 的团队消除了一个关键使用障碍。 该更新将关键系统组件（openssh-clients、sshpass、rsync 与 git）直接集成至 Tower Execution Environment Docker 镜像，使自动化流水线可开箱即用。

Keeper Secrets Manager 新增功能：云集成、AI 工作流与安全加固

4 月份，我们将 KSM 的应用场景拓展至云端、CI/CD 以及 AI 工作流中。 JavaScript Cloud KMS Storage 1.0.0 为四大主流云服务提供商（AWS KMS、Azure Key Vault、GCP Cloud KMS 与 Oracle Cloud Infrastructure Vault）提供加密集成，支持对称与非对称密钥、密钥轮换及灵活认证机制。 KSM GitHub Action 1.3.0增加了回写功能，使管道能够生成并持久化凭证到保险库，而不仅仅是检索它们。 Go SDK 1.7.0 引入 HTTP 代理支持、自动区域检测与 GraphSync 链接共享；同时 Terraform Provider 为全部 25 种记录类型引入临时资源，使敏感信息完全避免写入状态文件。 新增的 KSM AI Agent Kit 完成了本次发布，使 Keeper 可直接连接至 AI 编码代理（包括 Claude Code、Cursor、Codex 与 GitHub Copilot），开发者可在终端中检索密钥并执行管理工作流。

5 月的更新主要针对 Oracle、GCP 对应的 Python KMS 存储层开展安全加固，完成 AES-GCM 随机数修正、SHA-256 算法升级、线程安全性优化，并调整默认配置，禁止将明文凭据写入磁盘。 Rust SDK 修复了 OpenSSL 高危漏洞，并将 TLS 后端迁移至 aws-lc-rs，为后续满足 FIPS 140-3 合规要求打下基础。

通过集中审批机制简化特权管理流程

端点特权管理器 (EPM) 的审批功能现已整合至管理控制台的统一全局“审批”页面，各类场景、各平台的权限提升请求都将纳入一套精简工作流中处理。 管理员可配置基于团队的审批人及升级规则，在降低管理开销的同时，确保组织范围内治理与访问控制的一致性。

浏览器扩展新增多账户切换、PAM 会话启动以及智能 URL 关联功能

您拥有多个账户吗？ Keeper 支持在同一浏览器中运行多个保管库，您无需退出当前会话，就能在个人账户与企业账户之间无缝切换。 只需点击扩展窗口右上角的用户图标，并选择需要切换的账户即可。 Keeper 现在还支持通过浏览器扩展，直接启动特权访问管理会话，支持设备、数据库、浏览器等各类记录类型。 符合条件的记录新增“启动”按钮，可将用户重定向至 Web 应用以快速发起会话，使 PAM 访问更贴近用户当前工作环境。 此外，用户可将多个网站快速关联至同一记录，以支持自动填充。 在浏览器扩展中编辑记录时，系统会在对应记录的“附加 URL”字段自动推荐当前网站的基础链接，您可以一键完成添加。

使用移动设备，不错过任何一条重要的 Keeper 通知

iOS 与 Android 客户端现已上线全新应用内通知中心，可集中管理安全警报、访问请求、设备审批等各类消息，让您实时掌握保管库动态。 您可以快速筛选全部通知与未读通知，轻点屏幕即可批准或拒绝共享申请以及新设备登录请求。 未读标识可避免您错过时效类消息，同时页面跳转流畅，返回记录页面时不会丢失当前浏览位置。

企业订阅管理相关功能现已全部集成至控制台

Keeper 管理控制台 17.8.0为企业及 MSSP 管理员带来多项重要升级。 控制台内结账功能允许持有有效信用卡且符合条件的管理员，在不离开管理控制台的情况下，购买额外许可、升级套餐以及添置新功能产品。 MSP 管理员也可在订阅页面直接启用 PAM 附加组件，采用可配置许可证数量限制的按量计费模式，使用体验与现有 Keeper EPM 保持一致。

从单一 PAM 资源启动多个并发会话

用户现可从单一 PAM 资源或模板启动多个并发会话，无需复制资源。 所有活动会话将按父资源归类至连接基座，每个会话具有独立详情并独立运行，关闭其中一个会话不会影响其他会话。 您可以在资源记录中检索并查看所有活跃连接，也能一键终止全部关联会话。

Keeper Secrets Manager 与 Harness CI 集成，实现动态机密检索

Keeper Secrets Manager Harness CI 插件支持在 Harness CI 管道中，安全、动态地调取机密内容。 团队可以从 Keeper Vault 提取凭据并保护文件，将机密设为构建参数，并通过一次性访问令牌、Base64 令牌或 JSON 配置文件完成身份验证。 机密信息会写入共享工作空间路径，并在管道日志中自动做脱敏处理，防止信息泄露。

赋能管理员与安全团队在 ServiceNow 中直接管理 Keeper 保管库操作

Keeper Vault ServiceNow 工作流应用将企业密钥管理直接嵌入现有工作流，实现无需上下文切换的操作体验。 安全团队与管理员可在 ServiceNow 平台内，实时处理 EPM 申请、分配或回收用户对记录及文件夹的访问权限（含一次性共享权限），同时检索、存储和管理 Keeper Vault 中的各类机密。

在主流 SaaS 平台上实现密码自动轮换

云端服务的自动密码轮换是一项重要能力，可增强安全态势并简化合规管理。 该功能支持团队自定义轮换规则，并可按计划或按需触发密码更新，从而消除静态长期凭证带来的安全风险。 目前自动化轮换功能已适配多款 SaaS 平台，包括 Okta、Snowflake、REST、AWS Access Key、Azure Client Secret、Cisco IOS XE、Cisco Meraki，系统会根据各服务的特性定制对应运行逻辑。 无论是少量集成场景，还是复杂的多云环境，团队都能在不增加人工工作量的前提下，强化对凭据安全的管控能力。

全新上线发现规则引擎，实现资源自动化管理

全新的发现规则引擎，让管理员可以精细化管控发现任务对资源的枚举、处理与存储方式。 管理员可将有序规则集分配至网关，发现任务运行时会按顺序执行规则，自动纳入符合条件的资源、过滤无效信息，并针对特定实体推送处理提醒。 管理员可在专属管理界面中完成规则的创建、编辑、复制、启用/禁用和删除操作，界面自带起草/部署状态、内容校验以及审计能力。 仅拥有发现任务运行权限的用户可创建和管理规则，以此保障资源接入流程规范简洁，同时减少误报情况。

通过生物识别登录，体验 Keeper Vault 的顺畅身份验证

Keeper Web Vault 现在支持使用通行密钥进行生物识别登录，允许用户使用设备绑定的通行密钥进行身份验证，取代所有传统登录方法，包括主密码、单点登录 (SSO)、双因素身份验证 (2FA)。 用户可通过支持的生物识别认证方式（如面部识别或指纹识别）登录网络数据库或桌面应用。 启用生物识别登录后，您无需输入主密码、操作单点登录流程，即可一键完成登录。 此功能现已与 Keeper 的浏览器扩展程序保持一致，该扩展程序去年推出了使用通行密钥进行生物识别登录的功能。 这项功能在提升 Keeper 使用便捷性的同时，也强化了账户安全防护。

WiFi 记录的创建与共享更加便捷，现已支持 Keeper 网络与桌面端

最初在 Keeper iOS 应用中推出的 WiFi 登录记录类型现已扩展至 Web 与桌面端，使安全存储与共享 WiFi 凭证更加便捷。 每条记录都会完整留存关键信息，包括网络名称、密码、加密类型以及网络可见权限。 用户还可以基于记录生成可分享的二维码，iOS 设备扫码后即可快速接入对应网络。

通过 Terraform Provider for Commander 以代码化方式管理 Keeper

Terraform Provider for Commander 支持组织以基础设施即代码的形式，管理 Keeper Security 企业版与 MSP 相关配置。 该组件调用 Keeper Commander 服务模式 REST API，在 Terraform 中管理 Keeper 资源，在保留 Keeper 零知识架构的基础上提供声明式配置、版本控制以及完整审计日志。

浏览器扩展程序可优化自动填充冲突问题，新增防钓鱼提醒与自定义字段功能

Keeper 浏览器扩展程序会引导用户将 Keeper 设为默认密码管理器，从而解决其与 Chrome、Edge、Firefox、Brave、Opera 等浏览器自带密码工具的冲突，实现流畅的自动填充效果。 全新验证模式防钓鱼功能会监控粘贴行为，若您向陌生或域名不匹配的网站提交凭据，系统会实时发出预警。该功能提供中、高、最高三档防护级别，可按需选择。 用户还可以直接从浏览器扩展添加 Custom Fields，将脱敏后的 PIN 码、安全问题、私人笔记等敏感数据和任意登录记录一同保存，支持拖拽排序，方便整理归类。

iOS 版安全审计全新改版

保管库安全状况的可视化能力进一步提升。 Keeper iOS 应用的安全审计完成全面重构，搭载直观易懂的安全评分与可操作仪表板，让用户一键查看整体安全态势。 借助全新操作卡片，用户轻点几下即可更新弱密码、开启双因素身份验证、轮换重复使用的凭据，快速提升安全评分。 优化后的记录列表搭配清晰的密码强度图标与升级的排序、筛选功能，便于用户优先处理高优先级事项。

暗黑模式现已上线 Keeper Web Vault 与桌面应用，用户可自定义保管库界面显示样式

Keeper Web Vault 现已支持暗黑模式，以满足市场对界面自定义程度与视觉舒适度日益提升的需求。 暗黑模式现在已成为现代应用程序的标配功能，本次更新也让 Keeper 贴合了用户使用习惯与行业发展趋势。 这些好处也很实用，包括在低光环境下减少眼睛疲劳、提高可读性，以及从整体上提供更个性化的体验。 暗黑模式还确保了跨平台的统一外观和体验，使用户能够在网页、桌面和移动环境间无缝切换。

无缝会话连续性和新增会话内控制项

Vault 17.6 版本为 KeeperPAM 会话带来了一系列意义重大的改进。现在，当连接意外中断，它会在倒计时结束后自动尝试重新连接，无需配置，也无需用户手动重新建立会话。RDP 会话现在支持文件传输，提升了在本地机器和远程环境之间传输文件的便利性，用户无需离开当前连接。 远程连接中的新操作按钮还能让用户直接从会话中发送特定的按键事件（如 Ctrl+Alt+Delete），从而让管理员在实时特权会话中进行更精细的控制。

远程浏览器隔离获得重大升级

KeeperPAM 的远程浏览器隔离 (RBI) 体验在最新版本中得到显著增强，为特权网页访问提供更强大且更直观的操作环境。 用户现在可在 RBI 会话中打开并管理多个标签页，直接通过远程浏览器上传与下载文件，并利用按用户或资源配置的持久会话机制，减少重复登录带来的操作成本。 日常可用性改进包括右键点击的上下文菜单，用于复制、粘贴和在新标签页中打开链接，以及原生支持 JavaScript 提醒，以实现更完整的网站兼容性。 安全和访问控制也得到了加强。 HTTP Basic Auth 现在在 RBI 会话内自动填充，而新的 Launch-As 选项则允许共享用户在会话启动时选择自己的凭据，以确保访问权限的正确归属，无需单独记录。

扩展 SSH 身份验证和本地 CLI 访问

KeeperPAM 现在支持通过 Vault 和 Keeper Gateway 1.8.0 提供的 SSH 身份验证选项集，该选项集经过了显著扩展。 团队可使用公钥证书与私钥口令短语认证 SSH 连接，依赖 CA 签名密钥的组织现已获得完整的基于证书的身份认证支持。 PAM 用户现在还可使用私有 PEM 密钥，该功能对标 Google Cloud PAM 配置自带的服务账户密钥能力，让各环境下的 SSH 凭据管理更加一致化。 这些增强功能结合 KeeperDB，将原生 CLI 级访问扩展至 SSH 与数据库资源，使特权用户可通过其首选工具进行连接，同时由 Gateway 1.8.0 在后台执行凭证注入、会话记录及零信任策略控制。

Commander CLI 的多项功能

Keeper Commander 正在持续优化。 以下是最新新增的命令：

• 自动化命令 – 借助网关创建 Active Directory 用户，支持用户名模板
• 域名别名命令：管理域名别名的命令
• PAM 启动 – 为 PAM 启动指令新增“以身份连接”选项
• PAM 隧道：增强型 PAM 隧道诊断，包含完整的网关准备测试

如需查看 Keeper Commander 完整更新列表，请访问我们的发行说明。

当下的网络攻击很少依靠复杂恶意软件、针对防火墙的暴力破解发起。 网络犯罪分子转而瞄准所有组织最易突破、见效最快的入口：身份凭证。

IBM 2025 年数据泄露报告印证了身份类攻击持续增多的趋势，报告指出攻击者的核心手段是“登录而非入侵”。 泄露的凭据、弱密码、钓鱼攻击、无管控特权访问，是绝大多数安全入侵事件的诱因。 攻击者一旦获取合法账户权限，就能在系统内隐蔽横向移动，完全绕过传统安全控制。

这一变革为 MSP 带来全新行业现状。 企业需要的服务商不再只是能排查 IT 故障、保障系统平稳运行的合作伙伴。 各类托管企业的整体预期标准已大幅提升。 企业更倾向选择具备战略能力的服务商，在身份成为核心攻击目标的环境中，保障关键系统、应用与数据的访问安全。

身份安全早已不再是独立附加服务。 它是现代网络安全策略的核心模块，也是 MSP 拓展业务的重要切入点。

网络安全边界已经重构

传统网络安全策略的设计初衷，是守护物理网络边界。防火墙、VPN、端点防护平台的作用是拦截未授权访问，阻止攻击者渗透企业环境。

云服务普及、混合办公、大量 SaaS 应用落地，彻底改变了组织的运营模式。 员工现在可以在任意地点访问核心业务系统，涉及数百款应用与运行环境。

由此，身份成为全新安全边界。

以当下 MSP 托管的典型中小企业环境为例：Microsoft 365、Salesforce、QuickBooks、VPN 访问、RMM 平台、远程桌面工具及数十款 SaaS 应用，全部支持跨设备、跨地点远程访问。

在许多情况下，被泄露的凭据可支持攻击者大范围访问环境，且不会触发传统恶意软件告警。 攻击者不会强攻加固后的基础设施，而是利用钓鱼、诱饵、伪装话术等手段针对员工发起攻击。

单一泄露密码，可能造成以下资源泄露：

• 电子邮件平台
• 云存储
• 金融系统
• 管理控制台
• 远程访问工具
• 客户数据库

由于登录行为往往看似正常，传统安全工具无法及时识别入侵，直至严重损失产生。

对 MSP 而言，安全服务不能再局限于端点防护、防火墙管理、网络监控、基础设施维护等传统范畴。 保护身份、控制访问权限，与基础设施防护同等关键。

传统密码管理方式仍存在大量安全漏洞

尽管网络安全技术飞速迭代，大量组织仍让员工手动管理凭据。

由此产生的风险显而易见：

• 弱密码、重复复用密码
• 大量共用账户
• 凭据存放在表格、浏览器中
• 特权访问可视能力不足
• 多因素身份验证 (MFA) 落地不统一

MSP 技术人员接手的系统中，普遍存在共享管理员凭据、存放密码的表格、无管控服务账户、离职员工未注销登录权限等问题。 随着 MSP 接入更多客户、扩充技术人员，凭据泛滥、访问管理标准不统一的问题愈发难以控制。

Verizon 2025 数据泄露调查报告显示，被盗凭据仍是安全入侵的首要入口，占全部事件的 22%。 员工每日需要管理的账户数量繁多，负担沉重。 人的使用习惯会优先追求便捷，进而产生安全漏洞。

这让 MSP 陷入业务困境。 客户期望更高安全防护水平，但多数企业缺少降低身份类风险所需的基础控制手段。

仅依靠高强度密码已不足以保障安全。 企业需要一体化身份安全策略，整合以下能力：

• 安全凭据管理
• 多因素身份验证
• 特权访问控制
• 安全凭据共享
• 访问可视与审计
• 零信任原则

现代钓鱼工具搭载中间人攻击 (AiTM) 功能，可拦截 MFA 会话，实时窃取认证令牌。 Verizon 报告同时指出，针对 Microsoft 365 环境的令牌窃取、MFA 绕过攻击持续增多。 同等重要的是，各类控制手段需操作简便，便于用户长期规范使用。

MSP 正在转型为安全咨询服务商

客户愈发依赖服务商获取网络安全指导、合规筹备方案与风险管理专业能力。 2025 全球 MSP 基准报告显示，76% 的 MSP 认为客户最关注安全问题，64% 表示客户需要安全最佳实践指导，而非仅采购工具。

在许多情况下，MSP 充当中小企业的外包安全团队，弥补企业内部安全资源缺口。 这类业务机遇，也意味着更重的安全责任。

当下具备竞争力的 MSP 均从被动故障处理模式转型为战略安全咨询服务商。 服务商主动开展评估，提出核心核查问题：

• 贵组织内哪些人员可访问敏感系统？
• 特权访问如何控制？
• 凭据共享流程是否安全？
• 员工离职时，访问权限能否立即撤销？
• 贵组织是否已完成合规审计筹备？
• 是否持续监控身份相关风险？

这类问题直击核心，将网络安全与企业短期、长期经营收益直接挂钩。

安全工作的范畴早已不止抵御攻击。 同时涵盖以下维度：

• 维护客户信任
• 最大限度降低业务中断影响
• 满足合规管控要求
• 保障网络保险合规资质
• 为大规模业务场景搭建稳固安全体系

身份安全是以上所有工作的核心根基。

由于 MSP 持有大量客户环境的高级管理员权限，其自身也成为攻击者的重点目标。 单一技术人员凭据泄露，会给全部合作客户带来连锁安全风险。

这一现状推动企业加大对特权访问管理 (PAM)、身份安全控制方案的投入。

易用性与安全性同等重要

企业普遍存在一个错误认知：提升安全等级必然会增加操作复杂度。 优质 PAM 解决方案依托云原生无代理架构简化操作负担，且不会中断业务运行。 部署周期仅需数日，而非数月。

但过于繁琐的安全体系，反而会催生新漏洞。 如果员工认为工具操作繁琐，会刻意绕过管控流程。 如果技术人员难以批量管理安全策略，管控标准会出现执行偏差。

对 MSP 而言，运营流程简洁是核心优势。 优质安全解决方案需具备以下能力：

• 可快速适配各类客户环境实现扩容
• 降低管理成本
• 提升用户规范使用比例
• 简化员工入职、离职权限流程
• 减轻服务台工单压力
• 无缝集成到现有工作流程中

对于需要平衡业务扩张、人员编制、持续营收的服务商而言，这一点尤为关键。

具备竞争力的安全方案可在强化防护能力的同时减少运营阻碍。

为何身份安全成为 MSP 的增长契机

随着企业持续面临攻击、网络保险、合规法规多重压力，以身份为核心的安全服务需求持续暴涨。 企业希望寻找可靠合作伙伴，保障复杂基础设施内的访问安全。

网络保险机构、合规框架均要求企业强化身份安全控制，重点覆盖多因素身份验证、特权访问管理、凭据治理。

需求激增为 MSP 创造全新业务机会：

• 提升盈利能力
• 挖掘更多潜在客户
• 树立行业口碑
• 打造差异化竞争优势
• 深化存量客户合作粘性

从多维度来看，身份安全是现代托管安全服务的核心基石。

KeeperMSP 的产品定位

MSP 推行身份优先安全策略时，需要兼具高性能、高合规性、运营高效的平台。

KeeperMSP 专为服务商打造，依托集中式多租户平台，统一保护、管理全部客户的身份信息。

服务商借助 KeeperMSP 可提供以下能力：

• 企业密码管理
• 特权访问管理
• 安全凭据共享
• 零信任安全架构
• 基于角色的访问权限管控
• 更高可见性和详细审计报告
• 智能体 AI 威胁检测和响应

利用 MSP，技术人员无需通过表格、工单备注、聊天工具手动分发凭据；只需依托 Keeper 零信任架构，即可统一梳理内部团队与客户环境的访问权限。

该方案不仅提升整体安全水平，还可简化各租户的员工入职、离职及日常访问管理流程。

部署、管理、使用门槛过高的安全工具会同时增加服务商与客户的运营阻碍。 KeeperMSP 消除各类使用门槛，同时提升所有托管环境的可视能力与控制力度。

对 MSP 而言，该产品可实现：

• 更快完成部署与客户上线
• 简化管理操作
• 降低技术支持成本
• 可弹性扩容的安全运营体系
• 更高持续性营收

对客户而言，可有效抵御凭据类攻击。

MSP 安全发展趋势：身份优先

托管企业不再需要仅负责监控基础设施与端点的服务商。 保障业务稳定运行、处理常规故障工单，已是行业基础服务标准。 优质 IT 运维服务已无法形成差异化竞争力。

中小企业需要专业的合作伙伴，协助其应对网络安全环境，身份、访问权限、特权凭据均是攻击者首要目标。

这正是身份安全成为 MSP 全新核心要务的原因。

在下一阶段网络安全赛道中，取得优势的 MSP 并非工具品类最多的服务商。 胜出者能够简化安全运维、降低身份类风险，并为全部客户规模化落地零信任准则。

即刻开启 KeeperMSP 免费试用。

继续阅读以了解有关 PAM、ITDR 的更多信息，以及组织为何应将两者结合以加强应对基于身份的威胁的能力。

什么是特权访问管理 (PAM)？

特权访问管理 (PAM) 保护、控制并监控对组织最关键系统和敏感数据的访问。 它重点关注具有高级权限的特权账户，包括管理员账户和服务账户，这些账户可以在 IT 环境中进行重大更改。 这些账户是网络犯罪分子的重要目标，因为它们能直接访问敏感数据，并能在网络中实现横向移动。 特权凭据一旦泄露，攻击者就可以广泛访问组织基础设施的重要部分。 现代 PAM 解决方案的关键功能包括：

• 凭据保管：安全存储和管理特权凭据
• 机密管理：保护人类和机器凭据，包括 API 密钥
• 即时 (JIT) 访问：仅在必要时授予临时访问权限，取消常驻特权
• 最低特权访问：确保用户拥有执行任务所需的最低权限
• 会话监控与记录：跟踪并记录特权会话，以提供全面可见性和审计
• 密码轮换：自动更新凭据，防止重复使用

什么是身份威胁检测与响应 (ITDR)？

身份威胁检测与响应 (ITDR) 是一种专注于监控、检测和响应基于身份的网络威胁的安全防护层。 随着组织越来越依赖云应用程序、身份提供商 (IdP) 和身份与访问管理 (IAM) 解决方案，网络犯罪分子已开始将注意力从端点转移到身份。

虽然 IAM 解决方案可以充当预防性控制，但它们并非为检测或响应使用遭泄露身份的攻击而构建，而 ITDR 在此时就显得至关重要。 与专注于端点活动和网络遥测的传统安全工具（如端点检测与响应 (EDR) 或扩展检测与响应 (XDR)）不同，ITDR 通过分析身份验证活动和用户行为来保护身份基础设施。 现代 ITDR 的几项关键功能包括：

• 行为异常检测：识别可疑登录模式、特权升级或工作时间以外的特权活动
• 可疑活动的实时警报：在发生凭据滥用或未经授权的访问尝试等潜在威胁时发出警告
• 风险评分与身份关联：汇总身份信号以评估风险水平，并连接多个系统中的相关活动
• 自动响应补救措施：快速终止会话、撤销访问权限或锁定帐户，以阻止潜在威胁

为什么 PAM 和 ITDR 应协同工作

PAM 和 ITDR 结合使用效果最佳，因为它们同时解决了访问控制和威胁检测的问题。 由于身份是极具价值的攻击途径，组织需要这两种功能来抵御基于身份的威胁。 PAM 侧重于限制对关键系统的访问，而 ITDR 则持续监控活动；两者共同创建了全面的身份安全策略。 然而，仅依靠其中一种方法会造成严重的安全漏洞：

• 没有 ITDR，PAM 就无法实现实时威胁检测。 如果网络犯罪分子窃取了特权凭据，他们就能使用通过批准的访问权限进行操作，而不被发现。
• 如果没有 PAM，ITDR 就会生成警报，却无法采取行动。 安全团队可能会检测到可疑活动，但无法强制执行最低特权访问或阻止进一步的权限提升。

PAM 和 ITDR 结合起来还可以满足它们各自无法单独满足的合规性要求。 CMMC 需要对特权账户进行监控，并对特权活动进行详细的审计日志记录，这些功能跨越了这两个领域。 SOC 2、HIPAA 和 ISO 27001 同样要求实施细粒度的访问控制以及持续监控。 PAM 和 ITDR 可共同提供这些框架所需的审计跟踪、访问管理和实时监督。

Keeper^® 如何提供 PAM 和 ITDR 功能

Keeper 通过基于零知识架构的统一云原生平台提供 PAM 和 ITDR 功能。 保管库内容经过端到端加密，Keeper 无法访问。 经授权的管理员可查看会话记录、审计日志和行为警报，为安全团队提供全面的可见性，同时又不影响存储凭据的零知识模型。 KeeperPAM 涵盖了访问控制层：凭据保管、机密管理、JIT 访问、自动密码轮换、特权会话管理和 MFA。

对于 ITDR，KeeperAI^® 提供会话级行为分析，构建每个用户和账户的基线，并实时标记偏离预期模式的活动。Keeper 端点特权管理器将此功能扩展到端点级别，强制执行最低特权控制并监控跨协议（包括 SSH、RDP、VNC、和数据库会话）的权限提升事件。 它们共同使组织能够识别特权滥用，即使使用合法凭据时也是如此。

展望未来，Keeper 将继续通过即将推出的用户和实体行为分析 (UEBA) 来增强这些功能，扩大对基于身份的风险的可见性，并实现对异常行为的更高级检测。

借助 Keeper 提升您的身份安全策略

要确保现代组织的安全，既要控制谁或什么内容可以访问，又要控制如何使用这些访问权限。 PAM 通过强制执行细粒度的访问控制和限制凭据暴露来降低风险，而 ITDR 则提供了实时检测和响应可疑活动所需的可见性。 PAM 和 ITDR 共同创建了一种全面的安全策略，兼顾预防和检测。 Keeper 的统一身份安全平台通过将 PAM 控制与 ITDR 功能相结合，将这些功能整合起来，以保护关键系统，从而实现企业级安全防护。

立即开始免费试用 KeeperPAM，强化您的身份安全策略。

Gartner 是全球顶尖的技术研究与咨询机构，该报告每年追踪统计全球安全软件市场的营收涨幅。

Ready to see KeeperPAM for yourself and understand how you can secure every human, machine and AI agent across your organization? Request a demo today.

推动增长的因素

各类组织逐步摒弃单点方案，以及分别用于密码管理、机密管理、特权访问、远程连接的独立工具，转而选用可在同一架构内承载全部功能的整合型平台。

安全采购方同样愈发关注 AI 在产品中的实际落地嵌入形式。 2025 年实现业务增长的厂商，依托 AI 提升安全团队的处置效率，而非仅在原有功能上粘贴“AI 驱动”标签、不优化底层能力。

该结论对选型 PAM 的组织带来的启示

PAM 市场正迎来行业整合。 采购方愈发倾向选择单一供应商，可一站式管控凭据、机密、特权会话与基础设施访问，产品原生搭载审计轨迹、零知识架构与企业级管控能力。

KeeperPAM 依托一体化平台实现上述全部功能。 您无需拼凑多款独立工具、维护零散审计日志，或是处理凭据遗失带来的管控漏洞。

Keeper Forcefield 防护 Windows 端点免遭内存类攻击。 此类攻击直接瞄准应用程序内存，数据在运行阶段会处于临时非加密状态。 Forcefield 在进程层级拦截恶意程序窃取密码与会话令牌，阻止程序获取对应数据。

KeeperAI 通过解析实时会话行为、按风险等级划分操作类型，在侦测到高危威胁时关停会话，为特权会话提供基于 AI 的实时威胁侦测与处置能力。 安全团队不用人工逐条翻阅海量会话录制文件，即可获取详尽的取证汇总内容。

零知识架构当下愈发关键的原因

传统密码管理与 PAM 工具将加密密钥存放在自有服务器，厂商理论上具备调取您数据的权限。Keeper 的零知识模型可保障加密密钥始终由您全权管控，除您以外任何主体均无法读取明文数据，Keeper 自身也不例外。

伴随网络攻击手段日趋复杂、供应链风险广受重视，各组织开始审慎核查自身安全体系内所有供应商的安全状态。 零知识平台能够规避一整类安全风险。

市场环境

Gartner 将 Keeper 列入全球增速第二的安全企业，排名高于 Fortra、仅次于 Google。 我们认为 Google 的增长依托其全品类安全业务的体量与覆盖范围。 Keeper 的业务增长聚焦在 PAM、机密管理与企业凭据安全赛道。 在我们看来，在该细分市场中，Keeper 的 53.42% 营收涨幅印证了产品高度贴合市场需求。

想要了解 KeeperPAM 如何守护您的组织安全？预约定制演示。

来源：Gartner，《市场份额分析：2025 年全球安全软件报告》，Rahul Yadav、Deepali，2026 年 5 月 11 日，G00846661。

GARTNER 是 Gartner, Inc. 和/或其关联公司的商标。Gartner 不对其研究出版物中提及的任何供应商、产品或服务提供背书，也不建议技术用户仅选择那些获得最高评级或其他特定评级的供应商。Gartner 研究出版物之内容来自 Gartner 研究与咨询机构的观点，不应被解读为事实陈述。Gartner 不对本研究承担任何明示或暗示的保证责任，包括任何适销性保证或特定用途适用性保证。

继续阅读，了解有关 Keeper 的“发现规则引擎”、它帮助组织解决的问题以及它带来的优势等更多信息。

什么是 Keeper 的“发现规则引擎”？

Keeper 的“发现规则引擎”是 KeeperPAM^® 中的一项基于规则的自动化功能，用于治理发现的资源的处理方式。 它无需管理员手动审查发现结果，而是应用预定义的逻辑，以便按照一致的安全策略处理每项资产。

每条规则都与特定的 PAM 配置相关联，并使用筛选条件（字段、运算符和值）构建。 例如，“主机名包含‘prod’”或“操作系统等于 Windows Server 2019”。 规则按顺序进行评估，第一个匹配的规则决定了资源的处理方式，这凸显了规则排序的重要性。 符合规则 2 的资产永远不会触发规则 3，因此管理员应将规则按从最具体到最不具体的顺序排列。 所有规则均由 Keeper 保管库集中管理。

该引擎支持丰富的字段集，涵盖主机名、操作系统、数据库类型、目录类型、云提供商区域、实例 ID 等，并提供从简单的相等检查、模式匹配、开始/结束于、包含和完整的正则表达式搜索等多种操作符。 这使得您可以制定精准的规则，准确定位任何基础设施类型中您所关注的资源。

Keeper 中的“发现规则引擎”有什么作用？

Keeper 的“发现规则引擎”可自动处理发现结果，使组织能够快速、安全且一致地处理大量资产。

使用基于规则的逻辑来评估每一项发现的资产

管理员使用基于基础设施元数据（例如主机名、操作系统或资源类型）的筛选标准来定义与特定 PAM 配置相关的规则。 规则将按顺序针对每项发现的资源进行评估。 第一个匹配成功的规则将决定所采取的操作。

按优先级顺序应用规则

默认情况下，规则按创建顺序执行。 管理员可以随时手动重新排序，以反映组织优先事项的变化。 规则也可以单独启用或禁用，而无需删除，从而让管理员能够灵活调整规则集，同时保留已有的配置工作。

自动执行操作

当规则与发现的资源匹配时，“发现规则引擎”会自动应用以下三种可配置操作之一：

• 添加：自动应用规则逻辑，并将资源直接纳入保险库，使其受 PAM 策略约束，包括访问控制和会话监控
• 忽略：排除匹配资源，以减少不必要的结果和误报
• 提示：当规则识别出需要人工判断才能完成上线的资产时，标记该资源以供管理员审核。 例如，所有权不明确的资源或跨越多个环境的资源

Keeper 的“发现规则引擎”帮助解决了哪些挑战

如果没有自动化，安全团队通常难以高效地处理可能包含成百上千个资产的发现结果。 Keeper 的“发现规则引擎”旨在解决以下主要安全挑战：

• 人工处理错误：人工审查每一项发现的资产既繁琐又容易出错。 由于数据量庞大，关键资源可能会被忽视或处理不当，从而导致响应速度减慢，并带来新的安全漏洞。
• 警报疲劳：发现结果常包含无关或低优先级的数据。 由于无法自动筛选和优先处理这些结果，安全团队可能会不堪重负，难以确定哪些资产需要立即处理。
• 决策不一致：人工处理发现结果时，不同管理员在评估相同类型资源时可能会采用不同标准。 随着时间推移，这些不一致可能会导致安全漏洞、策略执行不一致，以及在各个环境之间缺乏标准化。
• 延迟的安全操作：在人工工作流中，敏感资产在发现后并不总能立即得到保护。 这些延迟会形成暴露窗口，使未受管理的资源在得到控制之前就可能遭到利用。

使用 Keeper 的“发现规则引擎”的优势

“发现规则引擎”通过实现对基础设施资产的集中式、策略驱动型控制，扩展了 KeeperPAM 的功能。 作为零信任、云原生 PAM 解决方案的一部分，它可以帮助组织实施一致的安全工作流，同时降低运营复杂性。

在复杂环境中扩展发现

“发现规则引擎”可自动处理本地、混合和云环境中的大量发现结果。 它无需人工分类，并可在不同类型的现代复杂环境中自动扩展。

减少人工工作负载

通过消除安全团队的重复性审查任务，“发现规则引擎”最大限度地减少了发现工作流中的人工干预。 这使团队能够专注于更高优先级的战略安全举措，而不是人工处理。

加快确保资产安全的时间

Keeper 的“发现规则引擎”使用预定义的规则，自动将关键资源纳入 Keeper 保管库。 通过自动化，它加快了与访问控制和会话监测等 PAM 工作流的集成，从而缩短了从发现到资产保护之间的时间。

提高了准确性和一致性

在所有发现的资产中统一应用标准化规则，消除了人工决策的不可预测性。 根据相同的预定义安全策略对每项资产进行评估，支持零信任原则，提高整体可见性和控制能力。

使用 Keeper 实现发现自动化

对于管理复杂多云环境的现代组织而言，缺乏自动化的发现无法实现扩展。 随着基础设施的不断发展，安全团队需要一种更快、更可靠的方式来处理和保护新发现的资产；基于规则的自动化提供了这种能力。 Keeper 的“发现规则引擎”将自动化决策直接集成到发现工作流中，消除了人工瓶颈，并支持在更大范围内实施一致的策略。

立即开始免费试用 KeeperPAM，助力自动化发现并保障您的基础设施安全。

以下是有关 SaaS 配置、它的工作原理以及它是否适合您的组织的介绍。

Keeper 中的 SaaS 配置是什么？

SaaS 配置是 KeeperPAM 中的一项功能，可实现云端服务的自动化密码轮换。 它提供了一种可扩展的方法来管理任意数量需要自动轮换的 PAM 用户记录，而不仅仅是少量手动托管的账户。

云应用程序中的静态和过期密码会带来凭据暴露风险。 如果不定期更换密码，遭泄露的凭据就会保持更长的有效期，从而给攻击者更多时间进行破坏。 按照预定计划轮换密码，或在检测到威胁时按需轮换密码，能够有效缩短风险窗口。

包括 PCI DSS、SOC 2 和 NIST 800-53 在内的安全框架要求组织执行一致的凭据管理规范 SaaS 配置支持这些要求，使轮换成为一个系统的、可重复的流程，而不是等到有人想起时才执行。

SaaS 配置的工作原理

SaaS 配置使用 PAM 网关安全地连接到目标服务并更新密码或机密。 轮换完成后，Keeper 会自动更新存储在保管库中的凭据。 网关必须运行 1.6 或更新版本，并且在设置时必须在线。

Keeper 为包括 Okta、Snowflake、AWS、Azure、Cisco、ServiceNow 和 Splunk 等在内的各种云服务提供了预定义的可用轮换目录。 选择服务，配置轮换计划或触发器，Keeper 会处理其余事项。 对于目录中未涵盖的服务，管理员可以使用 Keeper 的 GitHub 存储库中的自定义开发模板构建自己的轮换插件。 这使得 SaaS 配置几乎可以扩展到组织所依赖的任何云服务，而不仅限于开箱即用的预配置服务。

轮换可按既定计划运行，也可在需要立即采取操作时按需触发。 无论采用哪种方式，该流程都是自动化、有记录和一致的。

设置 SaaS 配置是一个两步过程：

1. 在保管库中创建 SaaS 配置记录，并将其保存到与 PAM 配置关联的共享文件夹中。
2. 将该记录分配给轮换配置文件下的目标 PAM 用户记录。 保存后，Keeper 会在每次用户密码轮换运行时使用该配置。 偏好使用命令行界面 (CLI) 的管理员也可以使用 Keeper Commander 配置 SaaS 轮换。

哪些用户应使用 SaaS 配置？

SaaS 配置专为大规模管理特权访问权限的团队而打造。 如果以下任何一项适用于您的组织，就值得仔细关注。

您正在手动轮换 SaaS 密码，或者根本没有轮换

在没有结构化轮换流程的情况下管理大量云应用账户，会带来安全漏洞。 SaaS 配置将其关闭。

您需要一个有记录且可重复的轮换流程

安全与合规团队通常需要证明轮换流程正在持续、稳定地进行。 由于 SaaS 配置是自动化且可审计的，因此很容易证明。

您已在使用 KeeperPAM

SaaS 配置将轮换覆盖范围扩展到 SaaS 层，而无需在现有特权访问管理堆栈中添加新的工具或工作流。

您的技术栈在 Okta、Snowflake 或类似平台上运行

如果这些工具位于您的身份或数据基础设施的核心位置，那么确保其凭据安全并及时更新就显得尤为重要。

停止手动管理 SaaS 凭据

组织使用的云服务越多，若没有自动化，就越难有效管理凭据安全状况。 SaaS 配置提供了一种可扩展、可审计的方法，直接集成在 KeeperPAM 中。

开始免费试用 KeeperPAM，让 SaaS 凭据自动轮换。

继续阅读，了解有关影子 IT、影子 AI 以及如何有效检测和管理影子 AI 的更多信息。

什么是影子 IT？

影子 IT 是指员工在 IT 部门不知情或未批准的情况下使用的任何软件或云服务。 这可能包括使用个人电子邮件账户共享工作文件、安装未经授权的浏览器扩展程序或将个人设备连接到公司网络。 由于这些操作绕过了正式审批流程，因此在使用前未经安全团队审查。 尽管影子 IT 主要是出于提高工作效率而非恶意目的，但它可能带来多种安全风险：

• 可见性有限：如果 IT 团队不了解未经授权的应用程序，就无法监测使用情况或保护公司数据。 这些应用程序中的任何安全漏洞都可能成为入侵网络的隐藏入口点。
• 违规行为：未经授权的软件很少能满足 GDPR 或 HIPAA 等法规的数据处理标准。 如果数据处理不当，组织可能面临严重的处罚和罚款。
• 攻击面扩大：每一个未经批准的应用程序都可能成为网络犯罪分子的潜在攻击途径。 随着影子 IT 的不断发展，尤其是在云环境中，保障组织的安全边界变得更加困难。

什么是影子 AI？

影子 AI 指的是在 IT 部门不知情或未批准的情况下使用 AI 工具或应用程序。 常见的例子包括员工使用生成式 AI 起草包含机密数据的内部通信，或者开发人员使用个人账户通过 AI 工具运行代码。 影子 AI 之所以特别具有挑战性，是因为员工并不总是有意绕过安全措施。 许多现代应用程序默认嵌入了 AI 功能，因此员工可能根本没有意识到他们正在使用 AI。

影子 AI 带来的风险超出了许多组织所能应对的范围：

• 无法追踪的数据泄露：当员工通过个人账户使用 AI 工具时，组织通常无法访问交互日志，即使是在提供企业级日志记录的平台上也是如此。 至于输入了哪些数据、如何处理或是否保留了这些数据，都没有审计跟踪。
• 身份安全影响：随着自主 AI 智能体的兴起，影子 AI 带来了传统安全模型未曾设计应对的新安全风险。 当员工在外部 AI 平台上创建账户时，组织将失去对这些身份如何访问敏感数据的控制权。

影子 IT 与影子 AI 的主要区别

影子 IT 和影子 AI 的根本原因相同，都是员工采用工具来提高工作效率，但它们在引入风险的方式上有所不同。

数据处理与共享

在影子 IT 中，数据通常遵循结构化流程，例如文件上传或文档共享。 这些操作会创建可预测的模式，安全工具可以检测到这些模式。 而影子 AI 则通过非结构化的对话输入来运作。 员工在提示中输入敏感数据，这些提示经过实时处理并通过标准 HTTPS 流量传输，因此很难将这种流量与正常活动区分开来。

可见性与可审计性

影子 IT 活动通常通过应用程序使用、文件传输或网络监测生成审计跟踪，以便安全团队能够调查安全事件。 相比之下，影子 AI 通常缺乏集中可见性，因为许多 AI 平台不为组织提供详细的交互日志。 当员工使用外部 AI 工具，尤其是通过个人账户使用时，组织可能只能有限地访问或无法访问交互数据，从而难以确定信息的使用或存储方式。

数据保留风险

影子 IT 带来了未经授权的数据存储风险，敏感数据最终存储在批准系统之外的可识别位置。 影子 AI 带来了另一种风险。 在消费级 AI 平台上，输入到提示中的数据可能会默认用于训练未来的模型，尽管大多数企业级平台都会禁用此功能。 当员工在消费级工具上使用个人账户时，绕过了企业许可提供的数据保护，风险最高。

如何检测和管理影子 AI

由于影子 AI 会以难以察觉的方式暴露敏感数据，因此企业必须采取积极主动的方法进行管理。 用于管理影子 IT 的传统工具无法解决员工将敏感数据输入到 AI 平台或允许 AI 访问内部系统相关的相同风险。 虽然许多组织倾向于全面禁止 AI 工具，但这往往适得其反，因为这会促使员工在无人监管的情况下寻找未经批准的工具。 组织应通过以下方式专注于治理：

• 制定 AI 可接受使用策略：制定明确的指导方针，明确哪些 AI 工具可批准使用，可共享的数据范围以及滥用行为的后果。
• 构建内部 AI 应用目录：为员工提供经过审核的 AI 工具清单，避免他们使用未经批准且可能存在风险的替代方案。
• 部署企业级 AI 解决方案：与消费级 AI 工具相比，企业 AI 解决方案可以更好地控制数据处理和存储。
• 定期进行 AI 合规性审计：监测正在使用的 AI 工具，识别新出现的安全风险。
• 对员工进行 AI 使用培训：持续的教育可培养员工的组织意识，而员工仅通过阅读策略可能无法充分理解。 开展积极培训计划的组织有助于员工了解如何安全地使用 AI。

掌控影子 AI

影子 AI 传播迅速，通过难以监测的渠道运作，并带来了传统安全工具无法捕获的风险。 要对其进行有效管理，就必须了解所有与 AI 系统进行交互的身份（人类和机器）及其访问的数据。 随着 AI 智能体嵌入企业工作流程，它们依赖的机器身份（即 API 密钥、服务账户令牌和基础设施机密）需要与人类用户账户相同的治理。 权限过大且没有审计跟踪的 AI 智能体是最危险的影子 AI 风险。

通过像 Keeper^® 这样的零信任特权访问管理 (PAM) 解决方案，组织可以获得对用户、系统和身份的集中可见性和控制。 无论风险来自未经授权的应用程序还是未经批准的 AI 使用，Keeper 都能帮助确保所有访问都受到严密监测和保护。

立即开始免费试用 KeeperPAM，确保环境中的所有身份都得到妥善管理。

近日，一名安全研究人员发布了一款名为 EdgeSavedPasswordsDumper 的工具，可直接从浏览器父进程内存中提取存储于 Edge 的凭证信息。 无需借助任何漏洞利用技术，只要具备足够的系统权限即可。 Microsoft 表示，这种行为属于产品设计的一部分，并未承诺进行修复。这意味着依赖 Edge 内置密码管理器的组织将持续面临安全暴露风险，且暂无补丁可供部署。

下文将解析这一漏洞的本质、浏览器存储密码为何会带来此类风险，以及 Keeper 如何通过不同方式加以应对。

什么是 Microsoft Edge 密码漏洞？

在 Edge 中保存密码后，浏览器并非仅在用户登录相关网站时才将该凭证载入内存。 Edge 会一次性将所有已保存密码加载至其父进程内存中。只要浏览器处于开启状态，所有用户名和密码都会以明文形式驻留在内存中。 攻击者或获得设备本地访问权限的恶意软件，可通过转储内存直接获取全部凭证信息。

研究人员还对 Chrome 和 Brave 进行了测试，并未发现类似行为。这表明该问题源于 Edge 与 Microsoft Password Manager 的集成机制，而非 Chromium 内核浏览器普遍存在的缺陷。

借助任务管理器等 Windows 原生工具，便足以定位目标进程并转储其内存内容。研究人员还特意基于 .NET Framework 3.5 开发了概念验证（PoC）工具，以规避 AMSI 等现代安全扫描机制。这意味着攻击程序即使在已遭入侵的设备上运行，也可能绕过大多数组织依赖的安全防护措施。

Microsoft 坚称该行为属于既定设计，这也意味着寄希望于厂商修复的组织目前并无明确的缓解途径。 真正有效的解决方案，是彻底停止在 Edge 中存储密码。

为什么将密码存储在浏览器中会带来安全风险

Edge 的这一漏洞，正是浏览器密码存储机制固有风险的典型体现。 当凭证存储于浏览器中时，它们本质上会与浏览器进程绑定。 问题并不在于这些凭证是否会进入内存——只要浏览器运行，它们就必然存在于内存之中。 关键在于这些内存数据暴露到何种程度，以及获取它们的难易程度。

Edge 与 Microsoft Password Manager 的深度集成，似乎使其面临的风险远高于其他基于 Chromium 的浏览器。 但其根本问题——拥有本地访问权限的实体能够获取浏览器内存中的凭证——并非 Edge 独有。信息窃取程序是一类专门窃取浏览器凭证的恶意软件，多年来一直将这一攻击面作为主要目标。

浏览器内置密码管理功能之所以广受欢迎，正是因为其使用便捷。 然而，便利性与安全性往往难以兼得，而 Edge 的这一漏洞正生动展现了这种取舍在现实中的具体体现。

Keeper Forcefield 如何防范浏览器密码遭窃

这正是 Keeper Forcefield 专门设计用于阻止的攻击类型。

在 Windows 系统中，同一用户账户下运行的应用程序默认可相互访问内存，而这正是 EdgeSavedPasswordsDumper 利用的机制。 Keeper Forcefield 通过在内核层部署轻量级驱动程序来应对这一问题，对受保护应用的内存访问进行持续监控和严格限制。 当不受信任的进程试图读取受保护应用的内存时，驱动程序会立即予以拦截。 受信任的系统进程仍可正常运行，只有未经授权的访问行为会被阻断。

这一防护机制的具体体现，正是上方代码截图中高亮显示的 OpenProcess 调用环节。 这是转储工具尝试附加至 Edge 父进程并读取其内存的关键步骤。 在启用 Keeper Forcefield 的设备上，该调用会直接失败。 内核驱动会在任何内存被读取之前拦截访问请求，从根源上阻断攻击所依赖的关键步骤。

Keeper Forcefield 不仅保护 Keeper 自身应用程序，也覆盖主流浏览器，包括 Chrome、Firefox、Edge、Brave、Opera 和 Vivaldi，因此无论组织使用哪一款浏览器，都能获得一致防护。 该功能在后台静默运行，不影响系统或应用性能，可通过 Keeper Desktop 应用直接启用，或借助 Intune、组策略及 RMM 工具在各终端进行无感部署。

如何防范 Microsoft Edge 密码漏洞风险

若组织使用 Edge 内置密码管理器，则任何开启 Edge 的设备，其内存中都可能以明文形式驻留用户凭证。 在被入侵或多人共享的设备上，这将成为一条极易被利用的攻击路径。

实际可行的解决方案，是将密码从浏览器中迁移至独立运行的专用密码管理器（如 Keeper），使其不再依赖浏览器进程。 如果凭证从未进入浏览器内存，自然也就无从被提取。 在此基础上启用 Keeper Forcefield，可在浏览器层面叠加内核级防护机制，阻止未经授权的进程读取应用程序内存，即使设备已存在恶意软件亦可提供额外防护。

基本要点

组织无法等待一个可能不会到来的厂商补丁。 若团队正在使用 Edge 内置密码管理器，则当前风险已实际存在。 将凭证迁移至专用密码管理器，并部署 Keeper Forcefield，以确保即便设备被攻陷，浏览器内存中也不会留下可被提取的数据。

如需了解 Keeper Forcefield 如何保护组织终端设备，可立即开启 Keeper 免费试用。