Escuchamos mucho esto:
«Ejecutamos cientos de cuentas de servicio y agentes de IA en el fondo. No creamos la mayoría de ellas. No sabemos quién las posee. ¿Cómo se supone que las asegura?»
Todas las empresas hoy funcionan más que los usuarios. Detrás de escena hay miles de identidades no humanas que pasan de cuentas de servicio a tokens API, agentes de IA, sistemas de acceso, datos y realizan tareas durante todo el día.
No son nuevos. Pero están creciendo a alta velocidad. Y la mayoría no se construyó con seguridad en mente.
Las herramientas de identidad tradicionales asumen intención, contexto y propiedad. La identidad no humana no tiene ninguno de ellos. No inician sesión y salen. No se quedan fuera de borda. Y con el surgimiento de agentes autónomos, a menudo comienzan a tomar sus propias decisiones con amplios permisos y poca supervisión.
Ya has creado un nuevo punto ciego. Pero somos solo el primero.
Esta publicación explica cómo la mayoría de las organizaciones todavía están disponibles públicamente los riesgos de identidad no humanos están evolucionando, y cómo el tejido de seguridad de identidad ayuda a los equipos de seguridad a la escala antes de que la escala se vuelva inmanejable.
Rising (y riesgo) en identidad no humana
La arquitectura de la primera nube ha aumentado la complejidad de la infraestructura y ha causado un aumento en la identidad de fondo. A medida que estos entornos crecen, el número de identidades de fondo aumenta con ellos, muchos de los cuales se crean automáticamente sin una propiedad o supervisión clara. En muchos casos, estas identidades superan a los usuarios humanos por números de 80 a 1.
Lo que pone eso en particular en riesgo es lo poco que la mayoría de los equipos saben sobre ellos. Los NHI a menudo se crean automáticamente durante el despliegue o el aprovisionamiento, luego desaparecen del radar, no rastreado, no propiedad y, a menudo, exagerado.
Las cuentas de servicio en particular están en todas partes. Mueva los datos entre sistemas, ejecute trabajos programados y autentique los servicios sin cabeza. Sin embargo, sus expansiones rara vez son visibles y su permiso rara vez se revisa. Con el tiempo, se convierten en el vehículo perfecto para el movimiento lateral y la escalada del privilegio.
Sin embargo, la cuenta de servicio es solo una parte de la foto. A medida que crece la adopción de AI, las nuevas categorías de identidad no humana presentan riesgos aún más impredecibles.
Por qué los agentes de IA se comportan de manera diferente y por qué son importantes
A diferencia de la mayoría de las ID de máquina, el agente de IA comienza la acción en sí. Interactúa de forma autónoma con API, consulta datos y tome decisiones.
Esa autonomía es costosa. Los agentes de IA a menudo requieren acceso a datos y API confidenciales, pero pocas organizaciones tienen barandillas sobre lo que pueden y cómo revocar ese acceso.
Peor aún, la mayoría de los agentes de IA carecen de propiedad clara, no siguen el ciclo de vida estándar y tienen poca visibilidad del comportamiento del mundo real. Pueden ser implementados por desarrolladores, integrados en herramientas o invocados a través de API externas. Una vez que viven, pueden funcionar indefinidamente, a menudo acompañados de credenciales permanentes y mayores privilegios.
Además, es difícil para los agentes de IA monitorear el uso de idincels tradicionales como IP, ubicación, contexto del dispositivo, etc., porque no están vinculados a los usuarios o sesiones.
Costos de acceso invisible
El secreto está codificado. El token se reutilizará. La identidad huérfana permanece activa durante meses, a veces durante años.
Estos riesgos no son nuevos, pero si tiene docenas de cuentas de servicio, las credenciales estáticas y el acceso extenso pueden ser manejables. Sin embargo, con miles o incluso decenas de miles de NHI operando de forma independiente a través de los servicios en la nube, el seguimiento manual simplemente no se expande.
Es por eso que muchos equipos de seguridad están reexaminando cómo definir la identidad en primer lugar. Porque si un agente de IA puede autenticarse, acceder a los datos y tomar decisiones, es porque es una identidad. Y si esa identidad no se rige, es una responsabilidad.
Desafíos de seguridad NHI comunes
Comprender que la identidad no humana representa un mayor riesgo es una cosa. Gestionar ese riesgo es otra cosa. El problema central es que las herramientas y procesos creados para la gestión de la identidad humana no se convierten en el mundo de las API, las cuentas de servicio y los agentes de IA. Esta desconexión crea algunos desafíos de seguridad claros y peligrosos que muchas organizaciones apenas comienzan a enfrentar.
No puedes proteger lo que no puedes ver
El desafío más fundamental para garantizar NHIS es la visibilidad. La mayoría de los equipos de seguridad no tienen un inventario completo de todas las identidades no humanas que operan en su entorno. Estas identidades a menudo son creadas dinámicamente por desarrolladores o sistemas automatizados para proporcionar una funcionalidad temporal específica. Se giran para admitir nuevos microservicios, ejecutar scripts de implementación e integrar aplicaciones de terceros.
Sin embargo, una vez creado, rara vez está documentado o rastreado por un sistema central de gestión de identidad. Se convierten en identidades de «sombra» que son activas y funcionales, pero son completamente invisibles para la seguridad y la TI. Sin una visión integral de lo que existe NHIS, quién (o qué) fue creado y a qué están accediendo, es imposible construir estrategias de seguridad significativas. Están tratando de asegurar una superficie de ataque de tamaño desconocido.
¿Por qué «establecer y olvidar» una responsabilidad de seguridad?
Una práctica común para los desarrolladores y los equipos de operaciones es asignar amplios permisos a NHIS para garantizar que el servicio o la aplicación funcionen sin interrupción. Piense en instalar una aplicación que requiere acceso al rollo de cámara, micrófono o ubicación. Simplemente toque «Permitir» que funcione y olvídelo.
Es más rápido y más conveniente en este momento, pero plantea riesgos innecesarios. Del mismo modo, aunque los permisos excesivamente extendidos pueden facilitar la configuración, crea brechas de seguridad críticas y hace que el sistema sea vulnerable a la explotación.
El principio de menor privilegio a menudo se sacrifica por velocidad y conveniencia. Es posible que NHI necesite leer datos de una tabla de base de datos, pero se otorga acceso de escritura a toda la base de datos para evitar futuros errores relacionados con el permiso.
Este enfoque crea una gran responsabilidad de seguridad. Estas identidades excesivamente permitidas se convierten en objetivos valiosos para los atacantes. Si los actores de amenaza comprometen NHI con privilegios excesivos, pueden mover el sistema de lado, aumentar el acceso y eliminar los datos confidenciales sin la necesidad de credenciales de los usuarios humanos.
Como cómo se revisa o excluye la forma de NHI, estas cuentas tolerantes permanecen activas y vulnerables durante meses o años, esperando ser explotadas.
Sin contexto, sin controles modernos
La seguridad de la identidad moderna depende del contexto. Una vez que un usuario inicia sesión, puede usar señales como ubicación, dispositivo, red y más para verificar su identidad. En muchos casos, si algo parece inusual, fomenta la autenticación multifactor (MFA). NHIS no tiene nada de este contexto. Es solo el código que se ejecuta en el servidor. No hay dispositivo, ubicación geográfica o patrón de comportamiento que se pueda monitorear fácilmente.
MFA no se aplica, ya que se autentican con credenciales estáticas de larga duración. Esto significa que si sus credenciales son robadas, no hay un segundo factor para evitar que el atacante lo use. No hay un control de acceso consciente del contexto, lo que hace que sea extremadamente difícil distinguir entre actividades legales y maliciosas de NHI hasta que sea demasiado tarde.
Identidad huérfana y fantasma digital
¿Qué sucede cuando el desarrollador que creó una cuenta de servicio deja a la empresa? ¿O qué pasa si una aplicación que usa un token API específico está en desuso? La mayoría de las organizaciones tienen el NHIS asociado que queda atrás. Estas identidades «huérfanas» o «duraderas» permanecen intactas, pero no son responsables del ciclo de vida, por lo que estas identidades permanecen activas.
Estos fantasmas digitales son pesadillas de cumplimiento y riesgos de seguridad. Acumulan el medio ambiente y dificultan identificar identidades legítimas y positivas. Más importante aún, representan puntos de entrada abandonados y sin supervisión a su sistema. El atacante, que descubrió la identidad del huérfano con credenciales válidas, encontró la puerta trasera perfecta que nadie había visto.
Cómo los equipos de seguridad están recuperando el control
Frente a una superficie de ataque en crecimiento, se está volviendo más autónomo, con equipos de seguridad clave que se mueven de la remediación reactiva a la gobernanza agresiva. Este cambio comienza con el reconocimiento de todos los sistemas de certificación, scripts y agentes como valiosas identidades para administrar.
Descubrir y almacenar todo nhis
Las plataformas de identidad modernas escanean entornos como AWS, GCP e infraestructura ONPREM para representar tokens ocultos, cuentas de servicio no administradas y roles demasiado autorizados.
Estas herramientas reemplazan las hojas de cálculo y el inventario aplicable con un inventario unificado en tiempo real de las identidades humanas y no humanas. Sin esta base, la gobernanza es simplemente una especulación. Esto permite que los equipos de seguridad pasen de jugar al centro comercial utilizando sus cuentas de servicio para crear controles reales.
Triage y abordar la identidad de alto riesgo primero
Con completamente almacenado, el siguiente paso es reducir el radio de explosión potencial. No todos los NHIS plantean el mismo nivel de riesgo. La clave es priorizar las reparaciones basadas en permisos y acceso. La gestión de privilegios basados en el riesgo ayuda a identificar qué identidades son riesgosas y demasiado pertinistas.
A partir de ahí, el equipo puede realizar sistemáticamente el acceso a la derecha, consistente con el principio de menor privilegio. Esto incluye la implementación de controles más potentes, como secretos y rotación automática de credenciales. Para el NHIS más poderoso, como los agentes de IA autónomos, es importante tener un «interruptor de muerte» que permita la terminación de la sesión inmediata si se detecta un comportamiento anormal.
Automatizar la gobernanza y el ciclo de vida
La identidad humana incluye políticas de ciclo de vida, como incorporación, cambios de roles y fuera de borda. Las identidades no humanas requieren el mismo rigor.
Las principales organizaciones automatizan estos procesos de extremo a extremo. Cuando se crea un nuevo NHI, se asigna un propietario con permiso de alcance y se agrega al inventario auditable. Si la herramienta está en desuso o el desarrollador deja las identidades asociadas desprisionalmente, cerrando la puerta a la cuenta huérfana y el acceso no permanecerá indefinidamente.
Por qué la sensación de seguridad de identidad cambia las ecuaciones de las ecuaciones
Muchos de los riesgos asociados con las identidades no humanas no tienen nada que ver consigo mismos, pero están relacionados con sistemas fragmentados que intentan administrarlos.
Cada proveedor de la nube, herramienta CI/CD y plataforma AI manejan la identidad de manera diferente. Algunos usan tokens estáticos. Algunos pueden emitir credenciales durante el despliegue. Algunas personas no expiran el acceso en absoluto. Sin un sistema compartido para definir la propiedad, asignar autoridad y hacer cumplir las barandillas, no se verifican los expansiones.
El tejido de seguridad de identidad unificado cambia esto al integrar todas las identidades humanas y no humanas bajo un solo plano de control. Y con Okta, eso significa:
La gestión de la postura de seguridad de identidad (ISPM) superficie automáticamente la brecha entre la identidad y la actitud superficial, superficial, superficial y superficialmente. Haga cumplir un acceso mínimo utilizando rotación y bóveda para secretos confidenciales que definen la política de ciclo de vida para todas las identidades, incluidas las cuentas de agentes y servicios, que extienden el patrón de identidad de carga. Credenciales de agente/carga de trabajo subyacente
En lugar de coser una solución, el equipo puede definir los controles de identidad una vez y aplicarlos en cualquier lugar. Esto significa que no necesita 10 herramientas diferentes para llegar allí, y tendrá menos puntos ciegos, tiempos de respuesta más cortos y superficies de ataque más pequeñas.
No dejes que NHIS se convierta en tu punto ciego más grande
Los agentes de IA y las identidades no humanas ya han reconstruido su superficie de ataque. Se multiplican más rápido que la mayoría de los equipos pueden rastrear, y muchos todavía funcionan sin propiedad clara, control fuerte o visibilidad real.
No hay necesidad de reconstruir su estrategia desde cero. Sin embargo, necesitamos tratar identidades no humanas como ellas. Es un punto de acceso importante que merece el mismo gobierno que el usuario.
Una plataforma de identidad unificada permite a los equipos de seguridad almacenar lo que están ejecutando, aplicar controles escalables y bloquear el acceso de alto riesgo antes de explotarlos.
Vea cómo Okta y AWS pueden ayudar a las organizaciones a traer orden a la expansión NHI. (Guía de descarga) Comience.
Source link
