Большинство людей понимают кражу личных данных как ситуацию, когда злоумышленник похищает конфиденциальную информацию реального человека и выдаёт себя за него. Мошенничество с использованием синтетической личности гораздо сложнее выявить. Вместо того чтобы похитить реальную личность, злоумышленник создаёт новую, «соединяя по типу Франкенштейна» несколько реальных данных с вымышленными, чтобы создать несуществующего человека. Поскольку реальная жертва не отслеживает неправомерное использование, поддельная личность может незаметно накапливать права доступа и доверие в течение длительного времени, прежде чем её обнаружат. Этот же принцип имеет в значительной степени неисследованную параллель с нечеловеческими идентичностями (NHI).
Специалисты по безопасности прилагают значительные усилия для защиты NHI от кражи. Тем не менее, машинный аналог мошенничества с синтетической идентичностью обсуждается крайне редко: речь идет об идентичностях, которые с самого начала не были легитимно выделены. При таком подходе злоумышленник не захватывает существующую учетную запись службы, а создает новую, смешивая реальные атрибуты среды с поддельными, чтобы она выглядела как часть системы. Поскольку предприятия накапливают NHI быстрее, чем успевают их отслеживать, сфабрикованная учетная запись может легко проникнуть в систему, если управление слабое и отсутствует ответственность со стороны человека.
Как выглядит мошенничество с синтетическими идентичностями в случае машинных идентичностей
В случае с людьми мошенничество с синтетическими идентичностями хорошо известно как создание идентичности, а не её кража, с целью прохождения проверок, при этом она не связана с реальным человеком. Такая же схема работает и в отношении машинных идентичностей, но большинство организаций сосредоточено на украденных учетных данных NHI, а не на сфабрикованных идентичностях. В случае с сфабрикованными машинными идентичностями злоумышленник не заимствует реальную идентичность, а создает такую, которая изначально не должна была существовать. Вместо входа в систему под легитимной учетной записью службы злоумышленник регистрирует новую идентичность уровня администратора с похожей структурой именования, предоставляет ей привилегии и позволяет ей оставаться незамеченной. Поскольку ничего не угнали, нет ни скомпрометированного пользователя, которого нужно предупредить, ни подозрительного поведения, на которое следует обратить внимание.
Что делает эти идентичности убедительными, так это сочетание реальных и вымышленных атрибутов. Сфабрикованная идентичность NHI наследует конвенции именования своей среды, существует в правильном домене, содержит правдоподобные метаданные и запрашивает те же права доступа, которыми уже обладают другие идентичности NHI. Для администратора, просматривающего каталог с десятками тысяч служебных учетных записей, это просто ещё одна рутинная задача, и именно поэтому этот риск, связанный с NHI, является одним из самых недооценённых.
Как создаются вымышленные идентификаторы машин
Ни один из методов, которые злоумышленники используют для создания поддельных идентификаторов машин, не является новым. Однако новым является рассмотрение их как шаблона внедрения правдоподобно выглядящего, но незаконного идентификатора в среду, предрасположенную к доверию к нему. На практике злоумышленники создают сфабрикованные идентификаторы машин несколькими основными способами:
Неавторизованная учетная запись службы: вместо взлома уже существующей учетной записи злоумышленник, получивший доступ, создает новую учетную запись, внешне похожую на существующую, с аналогичными атрибутами и постоянным доступом. Учетная запись, которая никогда не была санкционирована, но ведет себя как санкционированная, представляет собой чистейшую форму поддельной идентичности машины.
DCShadow: действуя на уровне инфраструктуры, злоумышленник создаёт не учётную запись, а целый источник полномочий. Поскольку этот метод зависит от прав администратора домена, которыми злоумышленник уже обладает, он представляет собой действие, предпринимаемое после взлома, а не способ проникновения: злоумышленник временно регистрирует поддельный контроллер домена, чтобы вредоносные изменения выглядели как легитимный трафик репликации от доверенного узла. Как только эта поддельная инфраструктура принимается системой, всё, что она передаёт, наследует доверие самой системы.
Теневые учетные данные: злоумышленник внедряет поддельные данные аутентификации в существующий объект, вставляя контролируемый им материал, чтобы иметь возможность аутентифицироваться от имени этого объекта по своему усмотрению. Поскольку идентичность уже существует и выглядит нетронутой, это самый незаметный способ доказать, что идентичность была незаметно подделана.
Хотя механизмы различаются, все они связаны с нелегитимной идентичностью, которую среда приняла как свою собственную. Важно отличать это от смежной концепции, называемой «синтетической личностью», которую NHI Management Group определяет как сфабрикованную идентичность, созданную для того, чтобы выглядеть достоверной в глазах людей, и используемую для обмана пользователей с помощью поддельных профилей и тактик социальной инженерии. Это противоположность сфабрикованной машинной личности, которая представляет собой не поддельного человека, предназначенного для обмана людей, а поддельную машину, существующую внутри систем, обладающую реальными привилегиями и не подотчётную никому.
Именно отсутствие внимания к этому машинному аналогу делает его столь опасным. Сфабрикованные машинные идентичности могут ускользать от средств обнаружения, предназначенных для выявления украденных идентичностей, поскольку настоящий владелец украденной идентичности может заметить вход в систему с незнакомого места или получить оповещение из даркнета. Между тем сфабрикованная идентичность, не имеющая владельца, не вызовет никаких тревог в связи с подозрительным поведением, утечкой секретной информации или чем-либо, заслуживающим внимания. Поскольку число НИИ растет стремительно, опережая рост числа человеческих пользователей, предприятия могут не заметить неконтролируемую идентичность как аномалию, если она скрывается и незаметно накапливает разрешения.
Почему агентский ИИ делает это более актуальным
До недавнего времени для создания машинной идентичности злоумышленнику требовалось проникнуть в систему, создать поддельную учетную запись и вручную назначить ей привилегии. Агентный ИИ начинает устранять эти препятствия. Агенты ИИ уже динамически получают учетные данные во время выполнения, и они все чаще способны запускать других агентов с собственными идентичностями. По мере того как создание машинных идентичностей становится автоматизированным фоновым процессом, грань между законно созданной идентичностью и поддельной начинает стираться.
Как защититься от синтетических машинных идентичностей
Если сфабрикованные идентичности проскальзывают через щели, организации не могут рассчитывать защитить себя, вручную выявляя каждую из них. Эффективное управление гарантирует, что сфабрикованные идентичности не смогут с самого начала влиться в систему, накапливаться или сохраняться.
Причина, по которой сфабрикованная идентичность может сохраняться, заключается в том, что никто не знает, что за ней нужно следить. Каждая машинная идентичность (NHI) должна иметь зарегистрированного владельца-человека, задокументированное назначение и срок действия, что исключает возможность того, что идентичности по умолчанию останутся постоянными. Машинная идентичность, имеющая владельца, гарантирует, что кто-то несет ответственность, и помогает защитить легитимные идентичности в процессе.
Некоторые методы фальсификации работают за счет внедрения «теневых» учетных данных в существующий объект, когда злоумышленник оставляет на месте контролируемые им ключи для аутентификации по своему усмотрению. Централизованное управление секретами с автоматической ротацией перекрывает эти пути. Каждый секрет, хранящийся в хранилище, отслеживаемый и подвергающийся ротации, не позволяет внедренным или сфабрикованным учетным данным сохраняться в системе в течение длительного времени. Организации должны стремиться поставить злоумышленников в положение, при котором они не смогут закрепить аутентификацию сфабрикованной идентичности.
Фальсифицированные идентичности создают значительные риски безопасности из-за того, к чему они могут получить доступ, а также из-за постоянного доступа, которым обычно обладают учетные записи служб. Организации, которые применяют принцип доступа с минимальными привилегиями и доступ «точно в срок» (JIT), сводят к минимуму воздействие фальсифицированных идентичностей во всех средах. Если идентичность обладает только теми разрешениями, которые ей необходимы, и только на время, пока они ей нужны, то сфабрикованная идентичность получит лишь небольшое, ограниченное по времени окно доступа вместо постоянного доступа. Это ограничивает ущерб, который может нанести любая идентичность — реальная или поддельная, — и именно поэтому такой подход эффективен против угроз, которые организации, возможно, даже не обнаружили.
Главное преимущество фиктивной идентичности заключается в том, что она с момента создания выглядит легитимной: имеет правильное имя, правдоподобные метаданные и соответствующий домен. Если доверие устанавливается только один раз во время предоставления доступа, организации с меньшей вероятностью заметят необычную активность. Непрерывная верификация переносит основу доверия с учетных данных на момент создания на поведение в динамике, основываясь на том, что на самом деле делает учетная запись и к чему она получает доступ. Именно благодаря непрерывной проверке поведения организации могут легче выявлять поддельные учетные записи, которые были достаточно убедительными, чтобы проникнуть внутрь.
Учет поддельных учетных записей в системе безопасности идентификации
Обеспечение безопасности идентичностей означает защиту подлинных идентичностей от злоупотребления. Хотя смена утечек учетных данных и блокировка скомпрометированных учетных записей по-прежнему важны, это предполагает, что каждая идентичность в среде должна находиться там по праву. Организации должны быть способны обнаруживать идентичности, которые никогда не создавались законным образом, но ведут себя так, как будто они настоящие. Безопасность машинных идентификационных данных требует, чтобы каждая идентификационная запись имела владельца, каждый секрет был кратковременным, а каждое поведение тщательно отслеживалось — и все это можно обеспечить с помощью платформы безопасности идентификационных данных, такой как KeeperPAM®. Управляя владельцами, секретами и привилегированным доступом, организации получают больше шансов устранить укрытия для сфабрикованных идентификационных данных и гарантировать, что ничто не сможет накапливаться.
Примечание: Эта статья была тщательно подготовлена и предоставлена для наших читателей Эшли Д’Андреа (Ashley D’Andrea), автором контента в компании Keeper Security.