Kimlik tabanlı saldırılar yalnızca hassas bilgilere erişim hakkı olan veya kritik sistemlere ayrıcalıklı erişim hakkına sahip kişilerin kimlik bilgilerinin ihlal edilmesiyle sınırlı değildir. Makine kimlikleri saldırılarda giderek daha fazla hedef alınıyor ve kuruluşların savunmalarını hem kullanıcı hem de makine kimliğini içerecek şekilde genişletmeleri gerekiyor.
Kimlik güvenliği ve erişim yönetimi şirketi CyberArk’ın harcama yapacağını duyurdu Venafi’yi satın almak için 1,54 milyar dolar Özel sermaye şirketi Thoma Bravo’nun bu teklifi, makine kimliklerini korumaya yönelik değişimi yansıtıyor. CyberArk, son birkaç yılda Secrets Manager ve Secrets Hub aracılığıyla ayrıcalık erişim yönetimi (PAM) platformuna ve kimlik ve erişim yönetimi (IAM) araçlarına makine kimlik yönetimi yeteneklerini ekledi. Venafi, makine kimliği yönetiminde uzmanlaşıyor ve 2024’ün ikinci yarısında anlaşma tamamlandıktan sonra CyberArk’ın yeteneklerini genişletmesine olanak tanıyacak.
Analistler, CyberArk’ın, IAM ve PAM platformlarının önemli sağlayıcıları arasındaki diğer yerleşik kimlik sağlayıcılarından daha agresif bir şekilde makine kimlik güvenliğine odaklandığını söylüyor. “Makine kimlikleri odak noktamız olmadı [most IAM] Satıcılar” diyor TechVision Research CEO’su Gary Rowe.
Makine Kimliği Yönetimi Hızlanıyor
Birçok güvenlik şirketi bu değişimi zaten gerçekleştirdi. Ping Identity ForgeRock ile birleşti Geçen sonbaharda. Sertifika yaşam döngüsü yönetimi platformlarının sağlayıcıları ayrıca IBM’in yakın zamanda uygulamaya koyduğu AppViewX, Keyfactor ve HashiCorp gibi makine kimliği güvenliği yeteneklerini de eklediler. satın almayı kabul etti 6,4 milyar dolara.
Çok sayıda küçük oyuncu ve startup da makine kimliği teklifleriyle ortaya çıktı. Örneğin, başlangıç Token Güvenliği başlatıldı TLV Partners, SNR ve melek yatırımcılardan 7 milyon dolarlık başlangıç fonu alınmasının ardından bu ayın başında makine merkezli bir IAM platformu kuruldu. Ayrıca Şubat 2024’te Entro uzatılmış makine kimliği yaşam döngüsü yönetimi teklifiyle makine sırlarını ve kimlik korumasını sağlar.
Forrester baş analisti Geoff Cairns, makine kimlik yönetimi teklifleri sunan diğer startup şirketlerin arasında Aembit, Astrix ve Natoma’nın bulunduğunu söylüyor. Cairns, “Son zamanlarda giderek artan sayıda makine kimlik yönetimi girişimi görüyoruz, yerleşik PAM satıcıları ise makine kimlik yönetimine çoğunlukla DevOps sırları yönetimi bakış açısıyla yaklaşıyor” diyor.
Sertifika Yaşam Döngüsü Yönetimine Sahip Sırlar Merkezi
Aslında sır yönetimi teklifleri, makinelerin verilere, altyapıya ve sistemlere erişmek için kullandığı sırları koruyan, keşfeden, güvence altına alan ve yöneten CyberArk için de durum böyleydi. Ancak bu, kuruluşların yönettiği potansiyel makine kimliklerinin yalnızca bir kısmını kapsamaktadır.
CyberArk’ın baş strateji sorumlusu Clarence Hinton, Dark Reading’e “Biz oraya odaklandık, ancak bu, kapsamlı ve çok uzun kuyruklu insan dışı kimliklerin yalnızca bir kısmı” dedi. Hinton, Venafi’yi eklemenin CyberArk’ın, Venafi’nin sertifika yaşam döngüsü yönetimi platformuyla diğer makine kimlik türlerini yönetme ve koruma yeteneğini genişletmesine olanak tanıyacağını açıklıyor.
“Mülkünüz genelindeki sertifikaları tanımlayan devasa, güçlü bir sertifika keşif motorları var” diyor.
Venafi’nin platformu özellikle sertifikaları şifreleyip kilitler ve geçerliliğini yitirmiş, eskimiş veya kullanılmayan sertifikaların imha edilmesini sağlar. Ayrıca Hinton, Venifi’nin sertifikaların geri kalanını da güncel tuttuğunu ve bunların süresi dolmadan otomatik olarak yenilendiğini söylüyor. “Etkin olmayan ve ihtiyaç duyulan bir sertifikayı yenilemezseniz, elbette son derece pahalı olabilecek bir kesinti yaşayacaksınız” diye vurguluyor.
Anlaşma tamamlandıktan sonra CyberArk, sır yönetimi tekliflerini Venafi’nin kontrol düzlemiyle entegre etmeyi planlıyor. Venafi kontrol düzlemi, sertifika yaşam döngüsü yönetimine ek olarak bulut tabanlı PKI, IoT düğümlerinin kimlik yönetimi ve kriptografik kod imzalama olanağı sunar. Venafi kontrol düzlemi, makineler arası iletişimi kullanarak kriptografik anahtarları ve dijital sertifikaları düzenleyerek makine kimlik türlerini güvence altına alır.
CyberArk CEO’su Matt Cohen, anlaşmayı duyuran yatırımcı görüşmesi sırasında “Kurumsal ölçekte uçtan uca bir makine kimlik güvenliği platformu sunacağız” dedi. “Bu satın almanın, makine kimliği güvenliği için yeni bir standart belirlememize yardımcı olacağından eminiz.”
İnsandan Daha Fazla Makine Kimliği
Cohen, makine kimliklerinin son 2-3 yılda arttığına dikkat çekerek, büyük kuruluşların her insan kimliğine karşılık 40 makine kimliğine sahip olabileceğine dikkat çekti. “Tehdit ortamı o kadar hızlı bir şekilde arttı ki, makine kimlikleri saldırı ortamında aslında bir hedef haline geldi; aslında önemli bir hedef ve en yeni, en belirgin ihlallerin birçoğunun nedeni.”
Şirketler eski yazılımları mikro hizmetlerle değiştirerek dijital dönüşüm çabalarını genişlettikçe ve IoT tabanlı uygulamaları devreye aldıkça makine kimliklerinin sayısının artması bekleniyor. CyberArk, önümüzdeki 12 ay içinde makine kimliklerinde 2,4 kat artış öngörüyor. Şirketin 2024 Kimlik Güvenliği Tehdit Ortamı için 2.400 güvenlik liderinin katıldığı anket.
Bu hafta yayınlanan rapora göre, %68’i tüm makine kimliklerinin yarısının hassas verilere erişimi olduğunu belirtirken, %64’ü insan kimliklerinin yarısının bu erişime sahip olduğunu iddia ediyor.
Forrester’s Cairns’e göre CyberArk’ın Venafi’yi satın alması, makine kimliklerinin büyümesinin ve geliştiriciler için esnek operasyonlar ve çevik ortamlar gerektiren büyük organizasyonların karşı karşıya kalacağı zorlukların altını çiziyor. Cairns, “Uzun vadede, kuruluşların tek bir platformla hem insan hem de makine kullanım durumlarının çeşitli kümesinde kimlik güvenliğine daha uyumlu bir yaklaşım benimsemesine olanak sağlamalı” diyor.