Strategia bezpieczeństwa tożsamości innej niż ludzka dla architektury zerowego zaufania

Strategia bezpieczeństwa tożsamości innej niż ludzka dla architektury zerowego zaufania.

W miarę jak aplikacje stały się bardziej złożone, obejmując nie tylko maszyny, ale także różne centra danych, a poleganie na usługach stron trzecich za pośrednictwem interfejsów API stało się normą, IT nie może już polegać na zaufanych obszarach.
Teraz zaufany obszar zastąpiono modelami opartymi na "nigdy nie ufaj, zawsze weryfikuj” i „zasadzie najmniejszych uprawnień”. Ten model bezpieczeństwa zaczęliśmy nazywać „zero zaufania” (zero trust - ZT), a rodzaj infrastruktury, którą tworzymy w oparciu o tę zasadę „architekturą zerowego zaufania” (Architektura Zero Trust - ZTA).

Duża część dyskusji na temat zerowego zaufania koncentruje się na tożsamościach ludzkich, które należy wziąć pod uwagę, ale należy zająć się wyzwaniami związanymi z zabezpieczaniem tożsamości nieludzkich (NHI). Pełny zakres problemu zaufania NHI staje się bardzo niepokojący, gdy weźmie się pod uwagę ogromną liczbę zaangażowanych osób. Według badań CyberArk, w 2022 r. liczba NHI przewyższała liczbę tożsamości ludzkich w przedsiębiorstwie w stosunku 45 do 1. Szacunki wskazują, że w 2024 r. buło to aż 100 do 1 i przewiduje się, że będzie to nadal rosło w przyszłości. Wdrożenie zabezpieczeń dla wszystkich naszych tożsamości i przejście na zerowe zaufanie nigdy nie było ważniejsze.

Trochę definicji.

Zero Trust to struktura zabezpieczeń wymagająca, aby wszyscy użytkownicy, niezależnie od tego, czy znajdują się w sieci organizacji, czy poza nią, zostali uwierzytelnieni, autoryzowani i stale sprawdzani pod kątem konfiguracji i stanu zabezpieczeń, zanim uzyskają dostęp do aplikacji i danych. Czyli każdy użytkownik, urządzenie, adres IP uzyskujący dostęp do zasobu stanowi zagrożenie.

Architektura zerowego zaufania to strategia projektowania i wdrażania systemów informatycznych opartych na zasadzie Zero Trust. Użytkownicy i urządzenia nie są domyślnie zaufane, nawet jeśli zostały wcześniej zweryfikowane. ZTA opiera się na ciągłym monitorowaniu i rejestrowaniu

Tożsamości nieludzkie (non-human identities, NHI) to konta, klucze, tokeny lub inne formy tożsamości cyfrowych, które są przypisane do maszyn, aplikacji, procesów, serwisów, botów lub innych komponentów automatyzujących działania w infrastrukturze IT.

Wady, zalety, zalecenia

Źle zarządzane NHI stwarzają poważne wyzwania w zakresie bezpieczeństwa.
- rozrost tajemnic, wyciek zakodowanych na stałe kluczy API i tokenów, często ujawnia poufne dane uwierzytelniające w bazach kodów lub dziennikach, co tworzy łatwy cel dla atakujących.
- nadmiernie uprawnione NHI, które wykorzystują tylko ułamek przyznanego im dostępu, co znacznie zwiększa powierzchnię ataku i zwiększa ryzyko eskalacji uprawnień.
- nieodpowiednie zarządzanie cyklem życia sprawia, że ​​nieaktualne dane uwierzytelniające, takie jak nieużywane konta usług i nieaktualne certyfikaty, są podatne na ataki.

Przykładowe zalecenia poprawiające ochronę.

- Wyeliminowanie wszystkich długotrwałych poświadczeń
Dzięki automatycznemu wygasaniu po krótkim czasie krótkotrwałe poświadczenia zmniejszają ryzyko nieautoryzowanego dostępu i wymuszają regularne ponowne uwierzytelnianie. Zapewnia to, że wszelkie skradzione lub ujawnione poświadczenia mają ograniczoną użyteczność dla atakujących.

- Zespoły powinny zbierać i analizować dzienniki w celu wykrywania nietypowych lub nieautoryzowanych zachowań związanych z wywołaniami API, wykorzystaniem kont usług lub operacjami tokenów w szczególności w środowiskach gdzie istnieje interakcja maszyny z maszyną.

- Każda usługa powinna przedstawić krótkotrwałe kryptograficznie weryfikowalne poświadczenie tożsamości innym usługom, które są uwierzytelniane dla każdego połączenia i regularnie ponownie uwierzytelniane.

- Zasada najmniejszych uprawnień zapewnia, że NHI działają tylko z uprawnieniami niezbędnymi do wykonywania konkretnych zadań.
Minimalizując zakres dostępu, można znacznie zmniejszyć powierzchnię ataku, ograniczając potencjalne szkody w przypadku naruszenia konta. Wymaga to regularnych audytów uprawnień w celu zidentyfikowania niewykorzystanych lub nadmiernych uprawnień oraz ciągłego wysiłku w celu egzekwowania ograniczeń dostępu zgodnie z rzeczywistymi potrzebami operacyjnymi.

- W przypadku zarządzania tajemnicami przedsiębiorstwa zaleca się użycie scentralizowanych platform tj. HashiCorp Vault, AWS Secrets Manager lub Azure Key Vault. Oferują one bezpieczne przechowywanie, rotację i kontrolę dostępu do poufnych danych uwierzytelniających. Platformy te zapewniają szyfrowanie tajemnic, dostęp do nich mają tylko upoważnione podmioty i są rejestrowane w celach audytowych.

22.01.2025
źródło: DZone, EMS Partner, Crowdstrike, GOV, Kapitan Hack,

strategia bezpieczeństwa, architektura zerowego zaufania, zero zaufania, tożsamości nieludzkie, infrastruktura IT, tożsamości cyfrowe, cyberbezpieczeństwo, długotrwałe poświadczenia, nieaktualne certyfikaty, security strategy, zero trust architecture, zero trust, non-human identities, IT infrastructure, digital identities, cybersecurity, long-lasting credentials, outdated certificates, Sicherheitsstrategie, Zero-Trust-Architektur, Zero Trust, nicht-menschliche Identitäten, IT-Infrastruktur, digitale Identitäten, Cybersicherheit, langlebige Anmeldeinformationen, veraltete Zertifikate,