- Понимание ландшафта нечеловеческой идентичности
- Типы и риски, связанные с нечеловеческими идентичностями
- Идентификаторы машин и агенты искусственного интеллекта в различных средах
- Анализ угроз NHI и растущей поверхности атаки.
- Управление национальным медицинским страхованием: основные проблемы и как начать.
- Согласование принципов NHI и «нулевого доверия»
Что такое нечеловеческая идентификация (НЧИ)? Определение и риски.
Идентификатор, не являющийся человеческим, — это любые учетные данные или аккаунты, используемые программным обеспечением, а не человеком. В этом руководстве объясняется, что такое идентификатор, не являющийся человеческим, основные типы машинных идентификаторов, связанные с ними риски, как управлять их жизненным циклом и как безопасность, основанная на идентификаторах, не являющихся человеческими, вписывается в концепцию «нулевого доверия» и программы аудита.
- Основные выводы о нечеловеческой идентичности
- Идентификаторы, не являющиеся человеческими (NHI), предоставляют рабочим нагрузкам, приложениям, устройствам, скриптам, ботам и агентам ИИ доступ к ресурсам посредством ключей API, токенов, сертификатов и облачных ролей, а не традиционной аутентификации человека.
- Внедрение облачных технологий, микросервисы, автоматизация DevOps, интеграция с SaaS и агенты искусственного интеллекта приводят к быстрому размножению NHI (немедийных медицинских карт), зачастую вне рамок традиционного управления идентификацией и без четких процессов владения или вывода из эксплуатации.
- Угрозы для NHI включают в себя скрытое распространение, компрометацию цепочки поставок, злоупотребление OAuth, цепочку ролей, бесхозные учетные записи и повторное использование учетных данных. Поскольку украденные учетные данные могут генерировать активность, выглядящую как легитимная, для обнаружения требуется определить базовые параметры обычных ресурсов, сетевых путей, объема и поведения каждой учетной записи.
- Эффективное управление NHI охватывает весь жизненный цикл идентификации: обнаружение, владение, предоставление минимальных привилегий, безопасное хранение учетных данных, непрерывный мониторинг, автоматическая ротация, периодические проверки доступа и вывод из эксплуатации. Концепция «нулевого доверия» усиливает этот подход за счет кратковременных учетных данных, федерации идентификации рабочих нагрузок и непрерывной проверки.
- Звездный Кибер Open XDR Система сопоставляет данные об идентификации, облачных сервисах, SaaS, конечных устройствах и сетевой телеметрии с поведенческой аналитикой для выявления случаев злоупотребления NHI как взаимосвязанных инцидентов и поддержки оперативных мер реагирования, таких как блокировка учетных записей, аннулирование сессий, ротация секретов и изоляция затронутых рабочих нагрузок.
Как искусственный интеллект и машинное обучение повышают кибербезопасность предприятия
Соединение всех точек в сложном ландшафте угроз
Испытайте безопасность на основе искусственного интеллекта в действии!
Откройте для себя передовой искусственный интеллект Stellar Cyber для мгновенного обнаружения угроз и реагирования на них. Запланируйте демонстрацию сегодня!
Понимание ландшафта нечеловеческой идентичности
Каждому автоматизированному процессу, требующему аутентификации в системе, необходима идентификация. Сервисные учетные записи обращаются к базам данных, конвейеры CI/CD отправляют код, контейнеры запрашивают секреты, а скрипты извлекают данные из API SaaS. Каждое из этих взаимодействий подкрепляется учетными данными, принадлежащими машине, а не сотруднику. В совокупности это нечеловеческие идентификаторы.
Что же такое нечеловеческая идентичность?
Нечеловеческая идентификация (NHI) — это цифровая идентификация, присваиваемая рабочей нагрузке, приложению, устройству, скрипту или автоматизированному агенту для аутентификации и авторизации доступа к ресурсам. Вместо имени пользователя, пароля и запроса многофакторной аутентификации (MFA) NHI обычно аутентифицируется с помощью ключа API, токена, сертификата, подписанного утверждения или предположения о роли в облачной среде.
Почему безопасность NHI важна
Идентификаторы, не являющиеся людьми, функционируют непрерывно, часто обладают привилегированным доступом и обычно полагаются на долгосрочные учетные данные, которые не могут использовать интерактивную многофакторную аутентификацию. По мере того, как идентификаторы, не являющиеся людьми, множатся в облачных средах, SaaS, DevOps и средах искусственного интеллекта, неясность принадлежности и забытые учетные данные могут создавать поверхность атаки, которую трудно инвентаризировать и отслеживать . Обеспечение безопасности этих идентификаторов означает контроль над тем, к чему они имеют доступ, как долго остаются действительными их учетные данные и соответствует ли их поведение их предполагаемому назначению.
Почему количество пациентов с немедицинскими страховками превышает количество людей
Практическая проблема с нечеловеческими идентификаторами заключается в масштабируемости. Человеческие идентификаторы привязаны к численности персонала и, как правило, следуют установленным процессам приема на работу, перевода и увольнения. Машинные идентификаторы, однако, создаются по запросу разработчиками и командами платформы, часто вне рамок традиционного управления идентификацией, и могут оставаться активными еще долго после того, как их первоначальное назначение перестает существовать. В результате значительная часть активности аутентификации в облачных сервисах и SaaS может приходиться на учетные записи, в которые никто никогда напрямую не входит.
Этот стремительный рост обусловлен рядом технологических тенденций:
- Внедрение облака: Каждый облачный ресурс, функция и управляемая услуга часто имеют свою собственную роль или субъект обслуживания.
- Микросервисы и контейнеры: Аутентификация между сервисами увеличивает количество идентификационных данных при каждом развертывании.
- Автоматизация и DevOps: Агенты сборки, средства запуска инфраструктуры как кода и боты развертывания требуют привилегированного доступа.
- Взаимосвязь SaaS: Интеграция OAuth между бизнес-приложениями создает долговременные токены, которые сохраняются даже после того, как интеграция будет удалена.
- Агенты ИИ: Автоматизированные помощники и системы оркестрации действуют от имени пользователей и нуждаются в собственных учетных данных для вызова инструментов и API.
Типы и риски, связанные с нечеловеческими идентичностями
Не все системы NHI работают одинаково. Понимание категорий помогает определить, где хранятся секретные данные, кому принадлежит ротация и как выглядит «норма» с точки зрения обнаружения.
| Тип НМИ | Типичные квалификационные документы | Распространенный пример | Основной риск |
|---|---|---|---|
| Сервисный аккаунт | Пароль или ключ хранятся в конфигурации. | Учетная запись приложения, подключающаяся к базе данных. | Статический, общий и редко вращающийся объект. |
| Ключ API | Статическая строка в заголовке | Интеграция платежей или мониторинга | Утечки в код, заявки и журналы событий. |
| Клиент и токен OAuth | Секретный ключ клиента, токен обновления | Стороннее SaaS-приложение, подключенное к электронной почте или хранилищу данных. | Широкие согласованные области применения, которые сохраняются |
| роль облачной рабочей нагрузки | Принятая роль, управляемая идентичность | Бессерверная функция чтения объектного хранилища | Чрезмерно либеральная политика и иерархическая структура ролей |
| Сертификат и пара ключей | Сертификат X.509, ключ SSH | Взаимное TLS-соединение между сервисами, администрирование серверов. | Сбои в работе сервисов и потерянные ключи |
| Аккаунт бота и RPA | Учетная запись каталога с делегированными правами | Автоматизация роботизированных процессов в финансовых операциях | Привилегии человеческого уровня без многофакторной аутентификации. |
| Агенты ИИ | Токен с ограниченной областью действия или делегированное удостоверение личности | Искусственный интеллект-помощник, использующий внутренние инструменты и API. | Непредсказуемые схемы доступа и действия, запускаемые по запросу. |
Идентификаторы машин и агенты искусственного интеллекта в различных средах
Идентификаторы машин существуют на всех уровнях технологического стека, от инфраструктуры и устройств до приложений и агентов ИИ. Сертификаты устройств аутентифицируют конечные точки в сетях Wi-Fi и VPN, ключи хоста обеспечивают безопасность административных сессий, а ключи подписи кода подтверждают происхождение программного обеспечения. Агенты ИИ добавляют еще один уровень, используя токены с ограниченной областью действия или делегированные идентификаторы для доступа к внутренним инструментам, API и данным, часто действуя динамически от имени пользователей. Эти идентификаторы легко упустить из виду, поскольку они создаются и управляются на уровне инфраструктуры, разработки, облачных и ИИ-систем, а не посредством традиционного управления идентификацией.
Общие черты, которые отличают национальные медицинские институты (НМИ).
- Они проводят непрерывную аутентификацию и могут работать на машинной скорости.
- Как правило, они не могут выполнить интерактивное задание в рамках программы MFA.
- Их учетные данные могут храниться длительное время или вне защищенного хранилища.
- По мере изменения приложений, команд и инфраструктуры, распределение прав собственности может стать неясным.
- Агенты искусственного интеллекта могут внедрять динамические, управляемые подсказками шаблоны доступа, которые усложняют определение и мониторинг нормального поведения.
Анализ угроз NHI и растущей поверхности атаки.
Злоумышленники нацеливаются на нечеловеческие учетные записи, поскольку действительный токен генерирует аутентифицированный, на первый взгляд ожидаемый трафик. При этом не требуется фишинг, не нужно обходить многофакторную аутентификацию, и часто инструменты, ориентированные на аномалии при входе в систему человеком, не генерируют никаких предупреждений.
Распространенные угрозы идентичности, не связанные с людьми
- Тайный разрастание: Ключи, добавленные в репозитории исходного кода, встроенные в образы контейнеров или вставленные в чаты и системы обработки заявок.
- Компромисс в цепочке поставок: Взломанный инструмент сборки или зависимость извлекает доступные ему учетные данные CI/CD, а затем повторно использует их в производственной среде.
- Злоупотребление OAuth: Вредоносное или взломанное стороннее приложение сохраняет предоставленный пользователем доступ к почтовым ящикам, файлам или хранилищам данных еще долго после того, как кто-либо его проверит.
- Повышение привилегий посредством цепочки ролей: Идентификатор малозначимой рабочей нагрузки принимает на себя более важную роль, которая, в свою очередь, принимает другую, пока не достигает административного масштаба.
- Осиротевшие и зомби-аккаунты: Служебные учетные записи для выведенных из эксплуатации систем, которые остаются активными с действительными учетными данными.
- Повторное использование учетных данных в разных средах: Один и тот же ключ используется как в разработке, так и в производстве, поэтому слабо защищенная песочница становится путем к критически важным данным.
Почему выявление заболеваний затруднено в системах национального медицинского страхования
Поведенческие сигналы, работающие для людей, не всегда применимы на практике. «Невозможное путешествие» бессмысленно для рабочей нагрузки, выполняющейся в нескольких регионах. «Первый вход в систему в 3 часа ночи» — это нормальное явление для ночной пакетной обработки данных. Эффективное обнаружение зависит от моделирования базового уровня для каждой учетной записи: к каким ресурсам она обращается, по каким сетевым путям, в каком объеме и в какой последовательности.
Здесь важна корреляция между различными источниками данных. Компания Stellar Cyber Open XDR Платформа объединяет телеметрию от поставщика идентификационных данных, облачных сервисов, SaaS-сервисов, конечных устройств и сети в единый конвейер обработки данных и применяет его. анализ поведения пользователей и сущностейТаким образом, внезапное перечисление учетных записей служб или аутентификация из незнакомой ASN отображается как связанный инцидент, а не как строка в журнале, которую никто не читает.
Приоритизация рисков, связанных с нечеловеческой идентичностью
Не каждая учетная запись NHI заслуживает одинакового внимания. Оцените их по степени уязвимости: к каким данным или системам может получить доступ данная учетная запись, является ли она долгосрочной, хранится ли в хранилище, доступна ли она из интернета и принадлежит ли она кому-либо из пользователей. Ключ мониторинга только для чтения — это совершенно иная проблема, чем учетная запись автоматизации, подключенная к домену и имеющая права локального администратора.
Управление национальным медицинским страхованием: основные проблемы и как начать.
В большинстве организаций нет единого авторитетного списка идентификаторов своих машин. Управление доступом к данным, полученным с помощью нечеловеческих идентификаторов, обычно начинается с этапа исследования, прежде чем превратиться в программу управления.
Основные проблемы
- Товаров в наличии нет. Идентификаторы распределены по каталогам, облачным системам управления идентификацией и доступом (IAM), консолям администрирования SaaS, менеджерам секретов и репозиториям кода.
- Нет владельца: Без ответственного лица или команды никто не будет утверждать, проверять или аннулировать сертификат.
- Страх вращения: Команды избегают смены секретных данных, потому что не уверены, что может сломаться, поэтому учетные данные устаревают неограниченно долго.
- Превышение допустимого количества прав по умолчанию: Общие правила устанавливаются на этапе устранения неполадок и никогда не сужаются впоследствии.
- Фрагментация инструментов: Хранение данных, управление правами доступа к облаку и обнаружение угроз — каждая из этих составляющих представляет собой лишь часть общей картины, но редко имеют общий контекст.
Управление жизненным циклом NHI
Рассматривайте каждый идентификатор машины как нечто, имеющее определенное начало и конец, точно так же, как вы рассматриваете учетную запись сотрудника.
- Запрос и обоснование: Определите цель, команду, ответственную за проект, целевые системы и предполагаемый срок службы на момент создания.
- Предоставление услуг лицам с наименьшими привилегиями: По возможности используйте краткосрочные учетные данные, ограниченные определенными возможностями, из хранилища или собственной облачной службы идентификации, вместо статических ключей.
- Храните и распространяйте данные в безопасном режиме: Не храните секреты в коде, изображениях и конфигурационных файлах; внедряйте их во время выполнения.
- Монитор используется: Регистрируйте каждое решение по аутентификации и авторизации и устанавливайте базовый уровень нормального поведения.
- Поочередно по расписанию и в зависимости от мероприятия: Автоматизируйте ротацию и принудительно запускайте её после любого предполагаемого контакта с зараженным или смены команды.
- Периодически просматривайте: Необходимо подтвердить права собственности и права доступа, а также понизить уровень неиспользуемых разрешений.
- Вывод из эксплуатации: Сначала отключите, следите за возможными сбоями, затем удалите идентификатор и отзовите зависимые токены.
Разработка стратегии обеспечения безопасности нечеловеческих идентификационных данных
Эффективная стратегия предполагает последовательную обработку данных, а не попытку решить все проблемы сразу. Начните с обнаружения учетных данных в наиболее важных средах, назначьте ответственных лиц и удалите учетные данные с самым широким охватом и самым длительным сроком действия. Затем автоматизируйте процессы: политики как код для управления правами доступа, автоматическое сканирование секретов в репозиториях и контент обнаружения, настроенный на поведение машины. Передача данных об идентификации и облачных журналах в единый аналитический слой, например, в систему мониторинга. следующее поколение SIEM В рамках платформы Stellar Cyber это обеспечивает команде специалистов по безопасности необходимую прозрачность для проверки эффективности принимаемых мер.
Согласование принципов NHI и «нулевого доверия»
Принцип нулевого доверия не предполагает неявного доверия, основанного на местоположении в сети, и требует, чтобы каждый запрос был аутентифицирован, авторизован и постоянно проверялся. Чаще всего этот принцип игнорируется при работе с нечеловеческими идентификаторами, поскольку жестко закодированный ключ является определением неявного, постоянного доверия.
Применение принципов нулевого доверия к идентификаторам машин
| Принцип нулевого доверия | Применение к национальным медицинским учреждениям |
|---|---|
| Подтвердить явно | Аутентификация рабочих нагрузок с помощью криптографической идентификации, например: Сертификаты mTLS или федеративные токены вместо общих секретов. |
| Наименьшие привилегии | Назначьте каждому пользователю определенные действия с конкретными ресурсами. и предпочитают повышение по службе «точно в срок» правам на сохранение статуса. |
| Предположим нарушение | Используйте короткие сроки действия учетных данных, чтобы украденный токен быстро истек. и сегментировать таким образом, чтобы одна рабочая нагрузка не могла достигать несвязанных систем. |
| Непрерывная валидация | Оценивайте поведение на каждом сеансе, а не только при выдаче. и автоматически отзывать при отклонении от нормы. |
| Комплексная телеметрия | Регистрируйте и сопоставляйте события аутентификации машины. В результате человеческой деятельности становится видимым боковое перемещение по всей длине. |
Федерация удостоверений рабочей нагрузки
Одним из наиболее эффективных подходов к концепции «нулевого доверия» для систем идентификации пользователей является замена статических ключей федеративной идентификацией рабочих нагрузок. Конвейер или контейнер подтверждает свою принадлежность поставщику идентификации, получает кратковременный токен и использует его в течение всего выполнения задания. Нет долговременного секрета, который можно было бы украсть, а отзыв токена осуществляется путем изменения политики, а не путем поиска в конфигурационных файлах.
Автоматизация реагирования
Концепция «нулевого доверия» также подразумевает возможность быстрого реагирования. Когда аналитика обнаруживает скомпрометированный токен, ответные действия должны занимать всего несколько минут: отключение идентификации, аннулирование сессий, смена секрета и изоляция затронутой рабочей нагрузки. Stellar Cyber поддерживает автоматизированные действия по реагированию благодаря интеграции с поставщиками идентификации, облачными платформами и инструментами для работы с конечными точками, поэтому локализация не зависит от обработки заявки вручную.
Тестирование и аудит нечеловеческих личностей
Управление заслуживает доверия только в том случае, если оно проверено. Аудит национальных медицинских учреждений отвечает на три вопроса: что существует, что оно может делать и что оно фактически сделало.
Контрольный список для аудита
- Полнота инвентаризации: Сопоставьте данные об учетных записях, найденные в облачной системе управления идентификацией и доступом (IAM), каталогах, менеджерах секретов и консолях администрирования SaaS, с данными вашего реестра.
- Собственность: Подтвердите каждую карту идентификации конкретной команде, имеющей актуальное контактное лицо.
- Гигиена удостоверений: Сообщите о возрасте, истории ротации, месте хранения, а также о наличии каких-либо секретных данных в коде или журналах CI.
- Сдвиг в сторону чувства собственного превосходства: Сравните предоставленные права доступа с правами доступа, фактически использованными за предыдущий период, и вычтите разницу.
- Покой: Помечайте учетные записи, не проявляющие активности аутентификации в течение определенного периода времени, как кандидатов на отключение.
- Воздействие: Выявите учетные данные, которые можно использовать с любого IP-адреса или за пределами ожидаемой среды.
Методы тестирования
- Секретное сканирование: Выполняйте непрерывное сканирование репозиториев, реестров контейнеров, артефактов сборки и внутренних вики-страниц.
- Упражнения фиолетовой команды: Имитация кражи и повторного использования токенов по необычному сетевому маршруту позволит подтвердить срабатывание детекторов и запуск ответных действий.
- Упражнения на вращение: Преднамеренно поверните производственный секрет в контролируемом временном окне, чтобы доказать работоспособность процесса до того, как инцидент вынудит это сделать.
- Проверка разрешений в непроизводственной среде: Попробуйте совершить действия за пределами предполагаемой сферы действия учетной записи, чтобы убедиться в соблюдении установленных правил.
- Картирование зоны обнаружения: Проверьте методы злоупотребления идентификацией машин с помощью вашей библиотеки средств обнаружения и устраните выявленные уязвимости.
Показатели, заслуживающие отчетности
Полезные показатели включают процент национальных медицинских карт с указанным владельцем, долю учетных данных, выданных из хранилища или в виде кратковременных токенов, медианный возраст учетных данных, количество неактивных учетных записей, отключенных за квартал, и среднее время до отзыва после предполагаемого взлома. Эти цифры показывают, улучшается ли управление жизненным циклом национальных медицинских карт или просто документируется.
Идентификаторы, не являющиеся человеческими, представляют собой постоянную инфраструктуру, а не частный случай. Рассмотрение каждого ключа, токена, сертификата и цифрового агента как управляемого идентификатора с владельцем, областью действия, сроком службы и непрерывным мониторингом превращает невидимую поверхность атаки в управляемую и предоставляет команде по обеспечению безопасности необходимый контекст для выявления злоупотреблений, пока они еще локализованы.
