Table of Contents
Comentário
Imagine um vasto e invisível exército infiltrando silenciosamente as defesas digitais da sua organização. Não, isso não é o enredo de um thriller de ficção científica — é a realidade das identidades não humanas (NHIs) no atual cenário de cibersegurança. Como um experiente arquiteto de segurança, tenho observado essa força oculta crescer de um contingente gerenciável para uma multidão ampla, frequentemente não governada, que mantém os diretores de segurança da informação (CISOs) acordados à noite.
Em minha jornada por startups e empresas da Fortune 500, testemunhei em primeira mão os efeitos mistos das NHIs. Elas mantêm nossa maquinaria digital funcionando suavemente — mas também são um tesouro potencial para atacantes que procuram explorar nossos pontos cegos. É hora de iluminar esse exército invisível e desenvolver estratégias para aproveitar seu poder enquanto mitigamos seus riscos.
A Escala do Problema
Considere o seguinte: para cada 1.000 usuários humanos em sua organização, você provavelmente tem 10.000 conexões ou credenciais não humanas. Algumas estimativas sugerem que essa relação pode ser tão alta quanto 45 para 1. Estas NHIs incluem contas de serviço, contas de sistema, chaves de API, tokens e outras formas de autenticação baseada em máquinas que facilitam a complexa teia de interações em nosso moderno ecossistema digital.
Por que as NHIs Importam
Expansão da superfície de ataque: Cada NHI representa um potencial ponto de entrada para atacantes. Comumente possuindo privilégios elevados e falta de supervisão humana, NHIs comprometidas podem ser uma mina de ouro para atores maliciosos.
Desafios de visibilidade: Ao contrário dos usuários humanos, as NHIs frequentemente operam em segundo plano, criadas por desenvolvedores ou sistemas sem a devida governança. Essa falta de visibilidade as torna um ponto cego significativo para muitas equipes de segurança.
Expansão de privilégios: Estudos mostram que apenas 2% das permissões concedidas às NHIs são realmente utilizadas. Essa superosição maciça de direitos de acesso cria um cenário de riscos desnecessários.
Risco de terceiros: NHIs frequentemente facilitam conexões com serviços e parceiros externos. Quando esses terceiros experienciam uma violação, as NHIs da sua organização se tornam um vetor potencial para movimento lateral.
Implicações no Mundo Real
A importância de proteger as NHIs vai além da teoria. Incidentes recentes de alto perfil ressaltam seu papel crítico em ataques modernos.
Atores de estados-nação demonstraram proficiência em abusar de aplicações OAuth para se mover lateralmente através de ambientes em nuvem. Ao mesmo tempo, grandes empresas de software como Microsoft e Okta foram vítimas de ataques que enfatizaram identidades de máquinas comprometidas. Em um recente registro na Comissão de Valores Mobiliários (SEC), até o Dropbox revelou um incidente material envolvendo uma conta de serviço comprometida.
Passos Práticos para Mitigação
Descoberta e inventário: Você não pode proteger o que não consegue ver. Implemente ferramentas e processos para descobrir e catalogar continuamente as NHIs em todos os ambientes, incluindo aplicativos de software como serviço (SaaS).
Gestão de postura: Vá além do simples inventário. Compreenda as permissões associadas a cada NHI, seus padrões de uso e os riscos potenciais que elas representam.
Um Apelo à Ação
A explosão das NHIs representa tanto um desafio quanto uma oportunidade para a comunidade de cibersegurança. Embora a escala do problema possa parecer assustadora, estamos à frente da curva em comparação com onde estávamos na gestão de acesso de identidades humanas (IAM) décadas atrás.
Em minhas conversas com CISOs e líderes de segurança, comecei a ver uma mudança de mentalidade. Há um reconhecimento crescente de que a segurança das NHIs precisa ser elevada a uma prioridade de alto nível, equiparada às iniciativas tradicionais de IAM e segurança de rede.
Conforme avançamos, serei cautelosamente otimista. A tecnologia e as práticas para proteger as NHIs estão evoluindo rapidamente. Podemos inverter a maré sobre esse tsunami silencioso de riscos com a mistura certa de visibilidade, automação e uma cultura voltada para a segurança.
O futuro da cibersegurança será moldado por nossa capacidade de gerenciar a explosão das identidades não humanas. Como profissionais de segurança, é nossa responsabilidade liderar a carga nessa nova fronteira da segurança de identidade. Você está pronto para enfrentar o desafio?
#Cibersegurança, #IdentidadesNãoHumanas, #SegurançaDigital, #FuturoDaSegurança, #GestãoDeIdentidade, #RiscosCibernéticos
autor ref: Vaibhav Malik
ref:https://www.darkreading.com/vulnerabilities-threats/invisible-army-non-human-identities