Видимость идентификационных данных — отправная точка для современной безопасности идентификационных данных, поскольку украденные и неправомерно использованные учетные данные являются одними из наиболее часто упоминаемых векторов первоначального доступа в исследованиях взломов, включая ежегодный отчет Verizon “Data Breach Investigations Report”. В этой статье объясняется, что означает видимость идентификационных данных в IAM, почему облачные и мультиоблачные среды усложняют ее, какие возможности важны в инструментах видимости идентификационных данных и как построить практическую программу.
Видимость идентификационных данных — это способность видеть каждую идентификационную запись в среде, к чему она имеет доступ и как этот доступ фактически используется во время выполнения. Она объединяет инвентаризацию, сопоставление прав и поведенческую телеметрию в единую непрерывную картину вместо периодического снимка.
Важное различие заключается между намерением и исполнением. Платформы управления идентификационными данными и доступом (IAM) выражают намерение политики: кто должен иметь доступ, при каких условиях и как долго. Приложения и инфраструктура демонстрируют исполнение: какие учетные данные аутентифицировались, какие разрешения были использованы и какие пути были пройдены.
Пространство между этими двумя уровнями — это то, где обитает “темная материя идентификационных данных”: локальные учетные записи приложений, встроенные учетные данные служб, устаревшие потоки аутентификации и интеграции, которые никогда не были интегрированы в централизованный поставщик идентификационных данных (IdP). Эта скрытая поверхность делает видимость проблемой безопасности, а не административной.
“Темная материя идентификационных данных” редко является изолированным крайним случаем. Это распространенный побочный продукт десятилетия использования SaaS, миграции в облако и автоматизации. Когда организации добавляют системы быстрее, чем их программы управления идентификационными данными могут их поглотить, разрыв между задокументированным доступом и реальным доступом увеличивается.
Злоумышленники адаптировались к этому разрыву. Вместо развертывания вредоносного ПО, которое инструменты конечных точек настроены на обнаружение, многие вторжения теперь начинаются с компрометации легитимных учетных данных, используемых в рамках уже имеющихся у этих учетных данных разрешений. Полученная активность может быть очень похожа на нормальное операционное поведение.
Большинство отчетов IAM описывают конфигурацию: членство в группах, назначение ролей и каталоги прав. Эти данные отвечают на вопрос, какой доступ был предоставлен, но не на то, был ли он применен приложением, имеет ли учетная запись все еще человеческого владельца или использовалось ли разрешение за последний год.
Платформы управления также, как правило, отчитываются о подключенных к ним приложениях, а не проверяют охват независимо. Если приложение никогда не было интегрировано, оно не появляется в отчете, а отсутствие может быть ошибочно принято за соответствие требованиям.
Проверка, а не предположение, является организующим принципом видимости идентификационных данных в IAM. Три концепции делают эту проверку возможной: точная инвентаризация, сопоставленные отношения доступа и непрерывный контекстный анализ.
Инвентаризация идентификационных данных перечисляет действующих лиц. Карта прав объясняет, что может делать каждый действующий субъект. Отношения доступа связывают эти два элемента в разных системах, раскрывая эффективные разрешения, а не номинальные.
Эффективный доступ часто шире, чем предполагалось. Пользователь, которому назначена скромная роль в приложении, может унаследовать административные возможности через вложенную группу, общую учетную запись службы или отношение доверия между облачными учетными записями. Сопоставление отношений раскрывает эти цепочки путей, и именно по этим путям злоумышленники перемещаются во время бокового перемещения.
Обнаружение отвечает на более сложный вопрос, чем инвентаризация: что существует, чего никто не зарегистрировал? Непрерывное обнаружение извлекает данные идентификационных записей непосредственно из приложений и инфраструктуры, выявляя локальные учетные записи, встроенные учетные данные и методы аутентификации, которые централизованные платформы IAM никогда не записывали.
Затем контекст преобразует результаты в приоритеты. Неактивная учетная запись с доступом на чтение к тестовой системе — это низкоприоритетный шум. Автоматизированное учетное данное без срока действия с доступом на запись к производственной среде, без назначенного владельца и без многофакторной аутентификации (MFA) несет материально более высокий риск.
Контекст фрагментируется в тот момент, когда данные идентификационных записей пересекают границы поставщиков. Видимость идентификационных данных в облаке затруднена не потому, что облачные платформы не ведут журналы, а потому, что каждая из них по-разному моделирует идентификационные данные, и ни одна из них не описывает, что происходит в других.
Каждая платформа выражает разрешения своим собственным словарем. Мультиоблачная видимость идентификационных данных — это практика нормализации этих словарей, чтобы единую идентификационную запись можно было отслеживать во всех средах, которых она касается.
Без нормализации команды безопасности проверяют каждую платформу отдельно и могут упустить связующее звено: федеративное доверие, межоблачное предположение и общие учетные данные, которые позволяют идентификационной записи в одном облаке действовать внутри другого. Боковое перемещение в облаке обычно следует этим отношениям доверия IAM, а не сетевым путям.
Машинные идентификационные данные — это подмножество нечеловеческих идентификационных данных, и в облачных средах они часто составляют большинство субъектов. Автоматизация инфраструктуры создает их — конвейеры, запуски Terraform, инструменты оркестрации — а не события присоединения-перемещения-увольнения, управляемые HR, поэтому они, как правило, обходят управление жизненным циклом, построенное для сотрудников.
Идентификационные данные плоскости управления заслуживают особого внимания. Поскольку они настраивают саму инфраструктуру, скомпрометированные учетные данные автоматизации могут создавать новый доступ, изменять конфигурацию журналов или отключать средства, предназначенные для их обнаружения. Каждая нечеловеческая идентификационная запись выигрывает от тех же атрибутов управления, что и человеческая учетная запись: именованный владелец, заявленная цель, срок действия или график ротации и активный мониторинг.
Мониторинг машинных и человеческих идентификационных данных в масштабе — это задача платформ видимости и аналитики идентификационных данных (IVIP), категория, которая возникла потому, что инструменты управления, облачной безопасности и обнаружения решали часть проблемы. Вендоры ниже подходят к этому с разных архитектурных точек зрения.
Список носит иллюстративный, а не исчерпывающий характер, и не упорядочен по производительности. Наборы возможностей часто пересекаются и меняются, поэтому оценивайте их в соответствии с вашей собственной средой и требованиями. Обратите внимание, что эта страница опубликована Orchid Security, которая присутствует в списке.
Независимо от исходной архитектуры, базовая возможность остается прежней: единая авторитетная инвентаризация, которая сверяет идентификационные данные между IdP, облачными платформами, приложениями и инфраструктурой, а затем сопоставляет эффективный доступ между ними.
Полезным тестом для такой инвентаризации является то, включает ли она идентификационные данные, которые никто не регистрировал. Платформа, которая считывает только конфигурацию IAM, будет воспроизводить слепые зоны, уже существующие в IAM. Обнаружение на уровне приложений отделяет отчет от инвентаризации.
Инвентаризация без анализа создает более длинный список, а не более безопасную среду. Качество обнаружения зависит от поведенческой базы: знание того, как выглядит нормальное использование для данной идентификационной записи, прежде чем судить об отклонении.
Видимость и аналитика идентификационных данных — это не заменяющий уровень. Это уровень наблюдаемости, который делает существующие инвестиции в идентификационные данные проверяемыми.
Платформы IAM обычно работают в двух измерениях: время проектирования, охватывающее жизненный цикл, политики и предоставление доступа, и время выполнения, охватывающее аутентификацию и применение авторизации. Платформы видимости наблюдают за обоими и сообщают о разнице между ними.
Эти отчеты по-разному питают каждую соседнюю систему. IGA получает доказательства того, что сертификации отражают реальный доступ. Управление привилегированным доступом (PAM) получает информацию об обнаружении привилегированных учетных записей, работающих вне хранилища. Операции безопасности получают контекст идентификационных данных, который может сократить время реконструкции во время расследования, вместо того чтобы требовать от аналитиков сшивать события из нескольких консолей.
Нулевое доверие, как описано в NIST SP 800-207, предполагает непрерывную проверку, а непрерывная проверка требует непрерывного наблюдения. Решения о доступе хороши настолько, насколько хорош сигнал, стоящий за ними: контекст сеанса, тип учетных данных, историческое поведение и конфиденциальность целевой системы.
Аналитика идентификационных данных предоставляет этот сигнал. Она также предоставляет противовес: доказательства того, где применение фактически не происходит, например, приложения, которые все еще принимают устаревшие протоколы аутентификации, или административные учетные записи без MFA.
Приоритизация — это то, где многие программы преуспевают или терпят неудачу. Зрелые организации, как правило, рассматривают видимость идентификационных данных как путь к зрелости: от ручного, статического управления к автоматизированному и непрерывному контролю, к поведенческой наблюдаемости в приложениях и инфраструктуре.
Разрастание разрешений — распространенная находка в облачных средах, часто потому, что политики IAM были широко предоставлены во время развертывания и никогда не были правильно настроены впоследствии. Начинайте там, где избыточные привилегии пересекаются с подверженностью.
Практические первые цели включают неуправляемые учетные записи служб с доступом на запись к производственной среде, административные учетные записи, аутентифицирующиеся без MFA, учетные данные, которые никогда не были ротированы, и неактивные учетные записи уволенных сотрудников. Каждая из них является конкретной, исправимой находкой с четким владельцем, что повышает доверие к более широкой программе.
Последовательность имеет значение, потому что обнаружение генерирует объем, а объем без пути исправления создает усталость от оповещений.
Временные рамки сильно варьируются в зависимости от сложности среды, количества приложений и доступности владельцев приложений.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – The Hacker News
