SaaS安全态势管理：定义与检查要点

SaaS安全态势管理（SSPM）是指持续检查组织所使用的每一款SaaS应用的安全配置——共享默认设置、管理员设置、OAuth授权以及用户访问权限——而不是假定某个应用自设置之日起就一直是安全的。这一点至关重要，因为大多数SaaS数据泄露源于某项设置悄然偏离正轨，而非网络入侵。

本指南将介绍SSPM究竟检查哪些内容、如何逐个应用手动进行检查，以及这种人工方式的局限所在。

SaaS安全态势管理究竟检查什么？

在一家典型公司所使用的各类SaaS应用中，SSPM的检查项通常涵盖：

• 身份验证要求 —— 是否强制启用了多因素身份验证（MFA），以及适用于哪些人员。
• 共享默认设置 —— 文件、频道或记录默认是公开、全组织可见，还是私有。
• OAuth应用授权 —— 哪些第三方应用已获得授权，授予了何种范围的权限。
• 管理员角色泛滥 —— 有多少人拥有超级管理员或所有者级别的角色，这一数量是否超出了组织实际所需。
• 陈旧或孤立账户 —— 已离职员工或不再使用的服务账户，但仍保留着访问权限。
• 访客与外部访问权限 —— 哪些外部身份能够访问内部数据，以及通过何种渠道。

以上每一项都是应用内部真实、可核查的具体设置，而非抽象概念——SSPM正是按固定周期、而非一次性地对所有已连接应用逐一核查这些设置的做法。

如何逐个应用手动检查SaaS安全态势？

每个主流SaaS平台都以各自的方式、在各自的位置、以各自的格式呈现这些信息：

• Google Workspace：管理控制台 → 安全性 → 安全状况信息中心，以及安全性 → 访问权限和数据控制 → API控制，用于设置共享和应用访问权限。
• Microsoft 365：Microsoft Entra 管理中心以及 Microsoft 365 Defender 的安全分数（Secure Score），后者会根据微软自身的基准对整个租户的配置进行评分。
• Slack：设置和管理 → 管理应用，用于审查已安装的应用，以及工作区安全设置中的双重验证（2FA）和Slack Connect控制项。
• GitHub：组织的“设置 → 安全概览”用于查看双重身份验证的强制情况，以及“设置 → 第三方访问”用于查看OAuth应用策略。

手动完成这项工作，意味着依次打开每一个控制台，套用同一套思维检查清单——身份验证、共享、应用、角色、陈旧访问权限、外部访问范围——并把发现的情况一一记录下来，因为这些控制台彼此之间互不相通、互不知情。

是什么让人工逐应用的态势检查难以持续跟上？

有四个因素共同加剧了人工流程的难度：

1. 态势持续漂移。 每一次共享、每一位新管理员、每一个新获授权的应用，都会在发生的那一刻改变整体状况。上一季度做的审查，描述的是一个已不复存在的工作区。
2. 各应用之间没有统一标准。 Google Workspace中的“强制启用MFA”和Microsoft Entra中的“已启用安全默认设置”本质上是同一种控制机制，只是表述和配置方式不同——除非有人手动搭建一套统一语言，否则两者之间没有共通之处。
3. 每个控制台展示的详细程度各不相同。 有些能显示每位用户的授权历史记录，有些则只显示汇总数字。人工审查的完整程度，取决于你所使用的一整套系统中详细程度最低的那个控制台。
4. 单个应用自身的设置也可能分散在多个界面中。 仅Google Workspace一项，就把共享默认设置放在“安全性 → 共享设置”下，把OAuth应用访问权限放在“安全性 → API控制”下，把整个租户的风险摘要放在“安全性 → 安全状况信息中心”下——单单一款应用就需要查看三个不同的界面，这还不算上第二款SaaS工具。

SSPM与合规检查清单或一次性审计有何不同？

合规审计回答的是“在有人检查的那一天，我们的配置是否正确”。而SSPM回答的是“此刻我们的配置是否正确，五分钟前是否正确”——二者的区别在于快照与持续状态之别。一个组织可能在三月份通过了SOC 2审计，却在四月份创建了一个公开共享链接，而这个链接此后再也不会被那次审计发现。态势管理是一种在审计结束后仍然持续关注的选择，而不是替代审计本身。大多数采用SSPM的组织会持续检查核心类别，并按固定节奏重新审视完整的检查清单——外部共享和OAuth授权每周检查一次，因为这两项变化频繁；管理员角色和陈旧账户每月检查一次，因为它们变化较慢。

人工逐应用审查无法告诉你什么？8200.dev又是如何应对这一问题的？

一次人工排查所反映的，只是你查看当天的设置情况。它无法告诉你哪些发现实际上最为关键、整体趋势如何演变，也无法捕捉到你排查完毕后第二天就发生变化的设置。8200.dev的Posture Guard将同类检查项——共享、OAuth授权、管理员角色、陈旧访问权限、外部访问范围——从每个已连接的数据源中提取出来，汇总成一个统一、持续重新核查的视图，并按照真实风险（敏感度乘以访问广度乘以访问级别）对发现结果进行排序，而不是简单地罗列一份平铺清单。每个连接器默认以只读模式运行：发现结果与建议是标准模式，只有当组织为某条特定规则专门启用“自动修复”（Auto-remediate）并单独授予相应的写入权限范围时，才会对已连接的数据源做出任何改动——系统本身绝不会擅自行动。

不妨从Google Workspace连接器开始，或浏览完整连接器列表，并了解评分与策略分级的完整运作方式。