Bunu çok duyuyoruz:
“Arka planda çalışan yüzlerce hizmet hesabımız ve AI ajanımız var. Çoğunu yaratmadık. Onlara kimin sahibi olduğunu bilmiyoruz. Onları nasıl güvence altına almalıyız?”
Bugün her işletme kullanıcılardan daha fazla çalışıyor. Perde arkasında, hizmet hesaplarından API jetonlarına, AI ajanlarına, erişim sistemlerine, verileri taşıyan ve yürütme görevlerine kadar binlerce insan olmayan kimlik.
Yeni değiller. Ama hızlı çoğalıyorlar. Ve çoğu güvenlik göz önünde bulundurularak inşa edilmedi.
Geleneksel kimlik araçları niyet, bağlam ve sahiplik varsayar. İnsan olmayan kimliklerin bunlardan hiçbiri yoktur. Giriş yapıp çıkmazlar. Giriş yapmıyorlar. Ve otonom ajanların yükselişiyle, genellikle geniş izinler ve çok az gözetim ile kendi kararlarını vermeye başlıyorlar.
Zaten yeni kör noktalar yaratıyor. Ama biz sadece başlangıçtayız.
Bu yazıda, insan olmayan kimlik riskinin nasıl geliştiğine, çoğu kuruluşun hala ortaya çıktığı ve bir kimlik güvenlik kumaşının güvenlik ekiplerinin ölçek yönetilemez hale gelmeden önce nasıl ilerlemelerine yardımcı olduğuna bakacağız.
İnsan olmayan kimliklerin yükselişi (ve riski)
Bulut ilk mimarileri altyapı karmaşıklığını arttırdı ve arka plan kimliklerinde bir artışı tetikledi. Bu ortamlar büyüdükçe, arka plan kimliklerinin sayısı onlarla birlikte büyür, bunların çoğu açık mülkiyet veya gözetim olmadan otomatik olarak oluşturulur. Birçok durumda, bu kimlikler insan kullanıcılarını 80 ila 1’den fazla saymaktadır.
Bunu özellikle riskli yapan şey, çoğu takımın onlar hakkında ne kadar az bildiğidir. NHI’lar genellikle dağıtım veya sağlama sırasında otomatik olarak oluşturulur, daha sonra radardan kaybolur, izlenmemiş, sahipsiz ve genellikle aşırı bırakılır.
Özellikle hizmet hesapları her yerde. Verileri sistemler arasında taşırlar, planlanan işleri çalıştırırlar ve başsız hizmetleri doğrularlar. Ancak yayılmaları nadiren görülebilir ve izinleri nadiren gözden geçirilir. Zamanla yanal hareket ve ayrıcalık artışı için mükemmel araçlar haline gelirler.
Ancak hizmet hesapları resmin sadece bir parçasıdır. Yapay zeka benimsemesi arttıkça, yeni bir insan olmayan kimlik kategorisi daha da öngörülemeyen bir risk getirmektedir.
AI ajanları neden farklı davranıyor ve bu neden önemli?
Çoğu makine kimliğinin aksine, AI ajanları kendi başlarına eylemleri başlatır; API’lerle etkileşim kurmak, verileri sorgulamak ve karar vermek özerk bir şekilde.
Bu özerklik bir maliyetle geliyor. AI ajanlarının genellikle hassas verilere ve API’lara erişime ihtiyaçları vardır, ancak az sayıda kuruluşun ne yapabilecekleri veya bu erişimi nasıl iptal edeceği için korkulukları vardır.
Daha da kötüsü, çoğu AI ajanı net mülkiyetten yoksundur, standart yaşam döngüsünü takip eder ve gerçek dünya davranışlarına çok az görünürlük sunar. Geliştiriciler tarafından dağıtılabilir, araçlara gömülü veya harici API’ler üzerinden çağrılabilirler. Bir kez yaşadıktan sonra, genellikle kalıcı kimlik bilgileri ve yüksek izinlerle süresiz olarak çalışabilirler.
Ve bir kullanıcıya veya oturuma bağlı olmadıkları için, AI ajanlarının IP, konum veya cihaz bağlamı gibi geleneksel kimlik sinyallerini kullanarak izlemek zordur.
Görünmez erişim maliyeti
Sırlar sert kodlanır. Jetonlar yeniden kullanılır. Yetimlik kimlikler aylarca, bazen yıllarca aktif kalır.
Bu riskler yeni değildir, ancak statik kimlik bilgileri ve geniş açık erişim birkaç düzine hizmet hesabınız olduğunda yönetilebilir olabilir. Ancak, bulut hizmetleri arasında bağımsız olarak faaliyet gösteren binlerce veya on binlerce NHI ile manuel izleme basitçe ölçeklenmez.
Bu yüzden birçok güvenlik ekibi kimliği nasıl tanımladıklarını yeniden ziyaret ediyor. Çünkü bir AI ajanı kimlik doğrulaması yapabilir, verilere erişebilir ve kararlar alırsa, ki bir kimlik. Ve eğer bu kimlik yönetilmezse, bu bir sorumluluktur.
Ortak NHI Güvenlik Zorlukları
İnsan olmayan kimliklerin büyüyen bir riski temsil ettiğini anlamak bir şeydir; Bu riski yönetmek başka bir şeydir. Temel sorun, insan kimliği yönetimi için inşa edilen araç ve süreçlerin API’ler, hizmet hesapları ve AI ajanları dünyasına dönüşmemesidir. Bu bağlantıyı kesme, birçok kuruluşun sadece yüzleşmeye başladığı birkaç farklı ve tehlikeli güvenlik zorluğu yaratır.
Göremediğinizi koruyamazsın
NHI’ları güvence altına almada en temel zorluk görünürlüktür. Çoğu güvenlik ekibinin, çevrelerinde faaliyet gösteren her insan olmayan kimliğin tam bir envanteri yoktur. Bu kimlikler genellikle belirli ve geçici bir işleve hizmet etmek için geliştiriciler veya otomatik sistemler tarafından dinamik olarak oluşturulur. Yeni bir mikro hizmeti desteklemek, bir dağıtım komut dosyası çalıştırmak veya üçüncü taraf bir uygulamayı entegre etmek için bükülürler.
Bununla birlikte, oluşturulduktan sonra, merkezi bir kimlik yönetim sisteminde nadiren belgelenir veya izlenirler. Aktif ve işlevsel, ancak güvenlik ve BT için tamamen görünmez olan “gölge” kimlikleri haline gelirler. Neyin var olduğu, kimin (veya neyin yarattığı) ve neye eriştiklerine dair kapsamlı bir bakış olmadan, anlamlı bir güvenlik stratejisi oluşturmak imkansızdır. Bilinmeyen boyutta bir saldırı yüzeyini güvence altına almaya çalışıyorsunuz.
Neden “Ayarla ve Unutma” bir güvenlik yükümlülüğüdür
Geliştiriciler ve operasyon ekipleri için yaygın bir uygulama, kesintisiz bir hizmet veya uygulama çalışmasını sağlamak için NHIS’e geniş izinler vermektir. Bunu kamera rulonuza, mikrofonunuza ve konumunuza erişim isteyen bir uygulama yükleme olarak düşünün. Sadece çalışmasını sağlamak için “izin ver” e dokunun, sonra unutun.
Şu anda daha hızlı ve daha uygun, ancak gereksiz riskler getiriyor. Benzer şekilde, NHIS’e aşırı geniş izinler atamak, kurulumu kolaylaştırabilir, ancak önemli güvenlik boşlukları oluşturur ve sistemlerinizi sömürüye karşı savunmasız bırakır.
En az ayrıcalık ilkesi genellikle hız ve rahatlık için feda edilir. Bir NHI’nın yalnızca bir veritabanı tablosundan verileri okuması gerekebilir, ancak gelecekteki izinle ilgili hatalardan kaçınmak için tüm veritabanına yazma erişimi verilir.
Bu yaklaşım büyük bir güvenlik yükümlülüğü yaratır. Bu aşırı bırakılan kimlikler, saldırganlar için yüksek değerli hedefler haline gelir. Bir tehdit oyuncusu bir NHI’yı aşırı ayrıcalıklarla tehlikeye atarsa, sistemler arasında yanal olarak hareket edebilir, erişimlerini artırabilir ve bir insan kullanıcının kimlik bilgilerine ihtiyaç duymadan hassas verileri dışarı atabilir.
NHI’lerin ne kadar nadiren gözden geçirildiği veya yoksun bırakıldığı için, bu izin veren hesaplar aylar hatta yıllarca aktif ve savunmasız kalabilir ve sömürülmeyi bekleyebilir.
Bağlam yok, modern kontrol yok
Modern kimlik güvenliği bağlama dayanır. Bir kullanıcı oturum açtığında, bir şey olağandışı görünüyorsa, genellikle çok faktörlü kimlik doğrulama (MFA) isteyen konumları, cihaz ve ağları gibi sinyalleri kullanarak kimliklerini doğrulayabiliriz. NHIS’in bu bağlamın hiçbiri yok. Onlar sadece bir sunucuda kod yürütme. Kolayca izlenebilen bir cihaz, coğrafi konumu veya davranışsal kalıpları yoktur.
Statik, uzun ömürlü kimlik bilgileriyle kimlik doğrulaması yaptıkları için MFA geçerli değildir. Bu, bir kimlik bilgisi çalınırsa, bir saldırganın onu kullanmasını engellemek için ikinci bir faktör olmadığı anlamına gelir. Bağlama duyarlı erişim kontrollerinin olmaması, çok geç olana kadar meşru ve kötü niyetli NHI aktivitesi arasında ayrım yapmayı inanılmaz derecede zorlaştırır.
Yetim kimlikler ve dijital hayaletler
Bir hizmet hesabı oluşturan geliştirici şirketten ayrıldığında ne olur? Veya belirli bir API jetonu kullanan bir uygulama hizmet dışı bırakıldığında? Çoğu organizasyonda, ilişkili NHI’lar geride kalır. Bu “yetim” veya “kalıcı” kimlikler, izinleri bozulmadan, ancak yaşam döngülerinden sorumlu hiçbir sahibi olmaksızın aktif kalır.
Bu dijital hayaletler bir uyum kabusu ve güvenlik riskidir. Çevreyi karıştırırlar, meşru ve aktif kimlikleri tanımlamayı zorlaştırırlar. Daha da önemlisi, sistemlerinize terk edilmiş, terk edilmemiş bir giriş noktasını temsil ederler. Geçerli kimlik bilgileriyle yetim bir kimliği keşfeden bir saldırgan, kimsenin izlemediği mükemmel bir arka kapı buldu.
Güvenlik ekipleri kontrolü nasıl yeniden kazanıyor
Genişleyen ve daha özerk hale gelen bir saldırı yüzeyiyle karşı karşıya kalan önde gelen güvenlik ekipleri, reaktif düzeltmelerden proaktif yönetişime geçiyor. Bu değişim, her kimlik bilgileri, komut dosyasını ve acenteyi yönetmeye değer bir kimlik olarak tanımakla başlar.
Tüm nhis’i keşfedin ve envanter
Modern kimlik platformları, AWS, GCP ve şirket içi altyapı gibi ortamları gizli jetonlar, yönetilmeyen hizmet hesapları ve aşırı bırakılan rollere tarayabilir.
Bu araçlar, elektronik tabloların ve tahminlerin, hem insan hem de insan olmayan kimliklerin gerçek zamanlı, birleşik bir envanteri ile yerini alır. Bu temel olmadan, yönetişim sadece tahminlerdir. Bununla birlikte, güvenlik ekipleri nihayet hizmet hesaplarıyla Whack-A-Mole oynamaktan gerçek kontrol oluşturmaya geçebilir.
Önce yüksek riskli kimliklerin triyajı ve mücadele
Tam bir envanter yerinde olduğunda, bir sonraki adım potansiyel patlama yarıçapını küçültmektir. Bütün NHI’lar aynı risk seviyesine neden olmaz. Anahtar, izinlere ve erişime göre iyileştirmeye öncelik vermektir. Riske dayalı ayrıcalık yönetimi, hangi kimliklerin tehlikeli bir şekilde aşırı bırakıldığını belirlemeye yardımcı olur.
Oradan, ekipler en az ayrıcalık prensibiyle uyumlu olmak için sistematik olarak sağ boyutlu erişim olabilir. Bu aynı zamanda sırlar ve kimlik bilgileri için otomatik dönüş gibi daha güçlü kontrollerin uygulanmasını da içerir. Otonom AI ajanları gibi en güçlü NHI’lar için, anormal davranış tespit edilirse derhal seans fesihine izin veren “öldürme anahtarlarına” sahip olmak önemlidir.
Yönetişim ve yaşam döngüsünü otomatikleştirin
İnsan kimliklerinin yaşam döngüsü politikaları vardır: işe alım, rol değişiklikleri, offting. İnsan olmayan kimliklerin aynı titizliğe ihtiyacı vardır.
Önde gelen kuruluşlar bu süreçleri uçtan uca otomatikleştiriyor. Yeni bir NHI oluşturulduğunda, kapsamlı izinler verilen bir sahibi atanır ve denetlenebilir bir envantere eklenir. Bir araç emekli olduğunda veya bir geliştirici ayrıldığında, ilişkili kimlikler otomatik olarak yoksun bırakılır, yetim hesaplardaki kapıyı kapatır ve erişimin süresiz olarak oyulmamasını sağlar.
Bir Kimlik Güvenlik Kumaşı Neden Denklemi Değiştirir?
İnsan olmayan kimliklere bağlı risklerin çoğunun kimliklerin kendileriyle daha az ve bunları yönetmeye çalışan parçalanmış sistemlerle daha fazla ilgisi vardır.
Her bulut sağlayıcısı, CI/CD aracı ve AI platformu kimliği farklı işler. Bazıları statik jetonlar kullanır. Dağıtım sırasında bazı kimlik bilgileri yayınlar. Bazılarının süresi dolmaz. Mülkiyet tanımlamak, izinleri atamak ve korkulukları uygulamak için paylaşılan bir sistem olmadan, yayılma kontrolsüz büyür.
Birleşik bir kimlik güvenliği kumaş, tek bir kontrol düzlemi altında insan ve insan olmayan tüm kimlikleri birleştirerek bunu değiştirir. Ve Okta ile şu anlama geliyor:
- Kimlik Güvenliği Duruş Yönetimi (ISPM) ile otomatik olarak kimlikler ve duruş boşlukları
- Hassas sırlar için rotasyon ve vairing ile en az ayrı erişim uygulamak
- Temsilciler ve hizmet hesapları dahil olmak üzere her kimlik için yaşam döngüsü politikalarının tanımlanması
- İş yükü kimlik kalıplarını (kısa ömürlü jetonlar, müşteri kimlik bilgileri) genişletmek ve hizmetlere ve arka plan işlerine uyarlanabilir erişim
- AWS IAM, temel ajan/iş yükü kimlik bilgilerini verir ve uygularken, Bedrock ve Amazon Q gibi AWS hizmetlerine erişimin yönetimi
Ekipler geçici çözümleri bir araya getirmek yerine, kimlik kontrollerini bir kez tanımlayabilir ve her yere uygulayabilir. Bu, oraya ulaşmak için on farklı araca ihtiyaç duymadan daha az kör nokta, daha hızlı tepki süreleri ve daha küçük bir saldırı yüzeyi anlamına gelir.
NHIS’in en büyük kör noktanız olmasına izin verme
AI ajanları ve insan olmayan kimlikler saldırı yüzeyinizi zaten yeniden şekillendiriyor. Çoğu takımın izleyebileceğinden daha hızlı çoğalırlar ve çok fazla kişi net sahiplik, güçlü kontroller veya gerçek bir görünürlük olmadan çalışır.
Stratejinizi sıfırdan yeniden inşa etmenize gerek yok. Ama sen Yapmak İnsan olmayan kimlikleri oldukları gibi ele almanız gerekir: herhangi bir kullanıcı ile aynı yönetişimi hak eden kritik erişim noktaları.
Birleşik bir kimlik platformu ile güvenlik ekipleri, koşan şeyleri envanter yapabilir, ölçeklenebilir kontroller uygulayabilir ve istismar edilmeden önce riskli erişimi kesebilir.
Okta ve AWS’nin kuruluşların NHI yayılmasına sipariş getirmesine nasıl yardımcı olduğunu görün. [Download the guide] başlamak için.