La mayoría de la gente entiende el robo de identidad como cuando un atacante roba información confidencial de una persona real y se hace pasar por esa persona. El fraude de identidad sintético es mucho más difícil de detectar. En lugar de robar una identidad real, un atacante fabrica una nueva, uniendo varios puntos de datos reales y fabricados para crear una persona que no existe. Dado que no hay víctimas reales que monitoreen la explotación, las identidades falsas pueden acumular silenciosamente permisos y credibilidad con el tiempo antes de ser detectadas. Este mismo principio tiene paralelos poco comprendidos con la identidad no humana (NHI).
Nuestro equipo de seguridad hace todo lo posible para proteger a NHI contra robos. Sin embargo, rara vez se discute el equivalente del fraude de identidad sintético en el lado de la máquina, una identidad que en primer lugar no se proporciona legítimamente. Siguiendo este enfoque, en lugar de secuestrar una cuenta de servicio existente, un atacante falsifica la cuenta y mezcla atributos de entorno reales y falsos para que parezca que pertenece. Sin una gobernanza y una propiedad humana débiles, un seguro nacional de salud fabricado puede fácilmente infiltrarse, ya que las empresas lo acumulan más rápido de lo que pueden rastrearlo.
Cómo se ve el fraude de identificación sintética en las identificaciones de máquinas
Para los humanos, el fraude de identidad sintético se entiende mejor como una identificación que se construye, en lugar de ser robada, para pasar un control sin conectarse con una persona real. La misma estructura funciona para las identidades de las máquinas, pero la mayoría de las organizaciones se centran en credenciales de NHI robadas en lugar de identidades falsificadas. Con una identificación de máquina fabricada, un atacante crea una identificación que se supone que no existe, en lugar de tomar prestada una identificación real. En lugar de iniciar sesión como una cuenta de servicio legítima, un atacante puede registrar una nueva ID de nivel de administrador con una estructura de nombre similar, otorgarle privilegios y pasar desapercibido. Nada es secuestrado, por lo que no alertamos a los usuarios comprometidos ni señalamos comportamientos sospechosos.
Es la combinación de atributos reales e inventados lo que hace que estas identidades sean convincentes. El NHI falsificado hereda las convenciones de nomenclatura de su entorno, reside en el dominio correcto, lleva metadatos plausibles y solicita los tipos de privilegios que ya poseen otros NHI. Para los administradores que escanean directorios de decenas de miles de cuentas de servicio, esto es sólo una carga de trabajo más del día a día. Como tal, es uno de los riesgos del NHI que más se pasa por alto.
Cómo se construyen las identidades de máquinas fabricadas
Ninguna de las técnicas utilizadas por los atacantes para crear identidades de máquinas falsas es nueva. Lo nuevo, sin embargo, es que los vemos como patrones que insertan una identidad aparentemente digna de confianza pero ilegítima en un entorno que tiende a hacerla digna de confianza. En la práctica, los atacantes crean identidades de máquinas falsificadas de varias formas principales.
Cuenta de servicio fraudulenta: en lugar de comprometer una cuenta existente, un atacante que obtiene acceso crea una nueva cuenta que se parece a la cuenta existente, con atributos similares y acceso permanente. Las cuentas que no están autorizadas pero que actúan como si lo estuvieran son la forma más pura de identidad artificial fabricada. DCShadow: Los atacantes que operan a nivel de infraestructura no falsifican cuentas, sino fuentes completas de privilegios. Esto es más una acción posterior al compromiso que una intrusión, ya que depende de los privilegios de administrador de dominio que el atacante ya posee. El atacante registra temporalmente un controlador de dominio fraudulento para que los cambios maliciosos parezcan ser tráfico de replicación legítimo de un par confiable. Una vez que se acepta la infraestructura suplantada, cualquier cosa que impulse heredará la autenticidad del propio sistema. Credenciales ocultas: un atacante incorpora credenciales fabricadas en un objeto existente e inyecta material controlado por el atacante, lo que le permite autenticarse libremente como ese objeto. Este es el medio más sutil de demostrar que una identidad ha sido forjada silenciosamente, ya que parece que la identidad ya existe y no ha cambiado.
Aunque los mecanismos son diferentes, todos implican una identidad injustificada que el entorno acepta como propia. Es importante distinguir esto de una idea relacionada llamada persona compuesta. El NHI Management Group define las personas sintéticas como identidades fabricadas construidas para parecer confiables a las personas y utilizadas para engañar a los usuarios humanos a través de perfiles falsos y tácticas de ingeniería social. Esto es lo opuesto a una identidad de máquina fabricada. No se trata de un ser humano falso cuyo propósito es engañar a la gente, sino de una máquina falsa que vive dentro del sistema, tiene privilegios reales y no responde a nadie.
La falta de atención a este equivalente del lado de la máquina es lo que lo hace tan peligroso. Las identificaciones de máquinas falsificadas pueden evadir las detecciones creadas para identificar las identificaciones de máquinas robadas, ya que el verdadero propietario de la identificación de la máquina robada puede notar inicios de sesión desde ubicaciones desconocidas o recibir alertas de la web oscura. Por otro lado, una identificación falsificada sin propietario no le alertará sobre comportamientos sospechosos, secretos filtrados ni nada digno de mención. Debido a que NHI está creciendo rápidamente, superando el número de usuarios humanos, es posible que las empresas no lo noten como un caso atípico si una identidad no monitoreada se esconde y acumula permisos silenciosamente.
Cómo la IA del agente hace que esto sea más oportuno
Hasta hace poco, falsificar la identidad de una máquina requería que un atacante comprometiera el sistema, creara una cuenta falsa y asignara manualmente sus privilegios. La IA agente está empezando a eliminar esa fricción. Los agentes de IA ya obtienen credenciales dinámicamente en tiempo de ejecución, lo que les permite lanzar otros agentes utilizando sus propias identidades. A medida que la creación de identidades de máquinas se convierte en una actividad automatizada en segundo plano, las líneas entre las identidades creadas legítimamente y las falsificadas comienzan a desdibujarse.
Cómo proteger la identidad de una máquina sintética
Si las identidades falsificadas pasan desapercibidas, las organizaciones no pueden esperar protegerse encontrándolas manualmente una por una. Una gobernanza sólida garantiza, en primer lugar, que las identidades fabricadas no se introduzcan, se acumulen o persistan.
Asignar la propiedad de todos los NHI
La razón por la que pueden persistir las identidades fabricadas es el hecho de que nadie sabe cómo controlarlas. Todos los NHI deben tener un propietario humano registrado, un propósito documentado y una fecha de vencimiento, lo que elimina la posibilidad de persistencia de la identidad de forma predeterminada. Tener una identificación de máquina y un propietario garantiza que alguien sea responsable y ayuda a proteger identidades legítimas en el proceso.
Rotar secretos
Algunas técnicas de falsificación tienen éxito al inyectar credenciales ocultas en objetos existentes. El atacante deja las claves controladas en su lugar, lo que le permite autenticarse a voluntad. La gestión secreta centralizada con rotación automática bloquea estas rutas. Todos los secretos que se almacenan, rastrean y rotan prohíben el almacenamiento a largo plazo de credenciales inyectadas o fabricadas. Las organizaciones deben intentar ponerse en una situación en la que un atacante no pueda garantizar la autenticación de una identidad falsificada.
Hacer cumplir el privilegio mínimo
Las identidades falsificadas plantean un riesgo de seguridad importante debido al alcance alcanzable y al acceso persistente que tienen las cuentas de servicios comunes. Las organizaciones que imponen el acceso con privilegios mínimos y el acceso justo a tiempo (JIT) minimizan el impacto de las identidades falsificadas en sus entornos. Si una identificación solo tiene los permisos necesarios durante el tiempo necesario, la identificación falsificada hereda una ventana pequeña y de tiempo limitado en lugar de acceso permanente. Esto limita el daño que puede causar cualquier identidad, real o falsa, haciéndola efectiva contra amenazas que tu organización quizás ni siquiera haya detectado.
Verificar continuamente el funcionamiento
La principal ventaja de una identificación falsificada es que tiene el nombre correcto, metadatos válidos y el dominio apropiado, lo que la hace parecer legítima desde el momento de su creación. Si la confianza se establece solo una vez durante el aprovisionamiento, es menos probable que su organización note actividad anómala. La validación continua mueve la base de la confianza desde las credenciales en el momento de la creación hasta el comportamiento a lo largo del tiempo en función de lo que la identidad realmente hace y a lo que accede. La validación continua del comportamiento facilita que las organizaciones detecten identidades falsas que sean lo suficientemente convincentes como para comprometerlas.
Considere las falsificaciones en la seguridad de la identidad
Proteger su identidad significa proteger su identidad real para que no sea utilizada indebidamente. Rotar las credenciales comprometidas y bloquear las cuentas comprometidas sigue siendo importante, pero se supone que todas las identidades en el entorno están presentes. Las organizaciones deben ser capaces de detectar identidades que se comportan como si fueran genuinas, aunque no hayan sido creadas legítimamente. La seguridad de la identidad de las máquinas requiere que todas las identidades sean propiedad de ellas, que todos los secretos sean de corta duración y que todo el comportamiento sea monitoreado de cerca. Todo esto se puede hacer desde una plataforma de seguridad de identidad como KeeperPAM®. Al controlar la propiedad, los secretos y el acceso privilegiado, es más probable que las organizaciones eliminen los cachés de identidades fabricadas y garanticen que nada se acumule.
Nota: Este artículo fue escrito cuidadosamente y contribuido por la redactora de contenido de Keeper Security, Ashley D’Andrea, para nuestros lectores.
Source link
