De meeste mensen begrijpen identiteitsdiefstal als een aanvaller die de gevoelige informatie van een echte persoon steelt en deze nabootst. Synthetische identiteitsfraude is veel moeilijker te ontdekken. In plaats van een echte identiteit te stelen, vervaardigt de aanvaller een nieuwe, waarbij frankenstein verschillende echte datapunten samenvoegt met verzonnen datapunten om een persoon te creëren die niet bestaat. Omdat geen enkel echt slachtoffer misbruik in de gaten houdt, kan een valse identiteit in de loop van de tijd stilletjes machtigingen en geloofwaardigheid verzamelen voordat deze ooit wordt ontdekt. Ditzelfde principe heeft een grotendeels onontdekte parallel met niet-menselijke identiteiten (NHI’s).
Beveiligingsteams besteden aanzienlijke inspanningen om NHI’s te beschermen tegen diefstal. Toch wordt het machine-equivalent van synthetische identiteitsfraude zelden besproken: identiteiten die nooit vanaf het begin op legitieme wijze zijn ingericht. Volgens deze aanpak kaapt een aanvaller geen bestaand serviceaccount, maar verzint hij er in plaats daarvan een, waarbij echte omgevingskenmerken worden gecombineerd met nepkenmerken, zodat het lijkt alsof het erbij hoort. Omdat bedrijven sneller NHI’s verzamelen dan ze kunnen volgen, kan een verzonnen NHI gemakkelijk in de mix terechtkomen als het bestuur zwak is en er geen menselijk eigendom is.
Hoe synthetische identiteitsfraude eruit ziet voor machine-identiteiten
Voor mensen wordt synthetische identiteitsfraude goed begrepen als een identiteit die is samengesteld en niet is gestolen om controles te doorstaan, terwijl er geen verbinding is met een echte persoon. Dezelfde constructie werkt tegen machine-identiteiten, maar de meeste organisaties richten zich op gestolen NHI-inloggegevens in plaats van op verzonnen identiteiten. Met gefabriceerde machine-identiteiten leent een aanvaller geen echte identiteit, maar creëert hij er een die nooit had mogen bestaan. In plaats van in te loggen als een legitiem serviceaccount, registreert de aanvaller een nieuwe identiteit op beheerdersniveau met een vergelijkbare naamstructuur, verleent deze rechten en laat deze onopgemerkt. Omdat er niets wordt gekaapt, hoeft er geen gecompromitteerde gebruiker te worden gewaarschuwd en hoeft er ook geen verdacht gedrag te worden gemarkeerd.
Wat deze identiteiten overtuigend maakt, is de combinatie van echte en verzonnen attributen. Een verzonnen NHI erft de naamgevingsconventies van zijn omgeving, bestaat in het juiste domein, beschikt over plausibel ogende metadata en vraagt om het soort toestemmingen dat andere NHI’s al hebben. Voor een beheerder die een directory met tienduizenden serviceaccounts doorzoekt, is het simpelweg een routinematige werklast. Daarom is dit een van de meest over het hoofd geziene NHI-risico’s.
Hoe gefabriceerde machine-identiteiten worden gebouwd
Geen van de technieken die aanvallers gebruiken om valse machine-identiteiten te creëren, is nieuw. Wat echter nieuw is, is dat we ze zien als een patroon van het inbrengen van een geloofwaardig ogende maar onwettige identiteit in een omgeving die geneigd is deze te vertrouwen. In de praktijk creëren aanvallers op een aantal belangrijke manieren gefabriceerde machine-identiteiten:
- Rogue-serviceaccount: In plaats van een account dat al bestaat in gevaar te brengen, maakt een aanvaller die toegang heeft gekregen een nieuw account aan ziet er uit als een bestaande, met vergelijkbare kenmerken en permanente toegang. Een account dat nooit is goedgekeurd en zich toch zo gedraagt, is de puurste vorm van een verzonnen machine-identiteit.
- DCSchaduw: Een aanvaller die op infrastructuurniveau opereert, verzint geen account, maar eerder een volledige bron van autoriteit. Omdat het afhangt van de domeinbeheerdersrechten die de aanvaller al heeft, is het eerder een zet na een compromis dan een manier om binnen te komen: de aanvaller registreert tijdelijk een frauduleuze domeincontroller, zodat kwaadaardige wijzigingen lijken op legitiem replicatieverkeer van een vertrouwde peer. Als die nagebootste infrastructuur eenmaal is geaccepteerd, erft alles wat erdoor wordt gepusht de geloofwaardigheid van het systeem zelf.
- Schaduwreferenties: Een aanvaller implanteert gefabriceerde authenticatie op een bestaand object, waarbij hij door de aanvaller gecontroleerd materiaal injecteert, zodat de aanvaller zich naar believen kan authenticeren als dat object. Omdat de identiteit al bestaat en onaangetast lijkt, is dit de subtielste manier om te bewijzen dat een identiteit in stilte is gesmeed.
Hoewel de mechanismen verschillen, gaat het allemaal om een onwettige identiteit die de omgeving als een eigen identiteit heeft geaccepteerd. Het is belangrijk om dit te scheiden van een verwant idee dat de synthetische persona wordt genoemd en door de NHI Management Group wordt gedefinieerd als een verzonnen identiteit die is gebouwd om geloofwaardig over te komen. mensen en gebruikt om menselijke gebruikers te misleiden door middel van nepprofielen en social engineering-tactieken. Dat is het tegenovergestelde van een verzonnen machine-identiteit, die geen nepmens is die bedoeld is om mensen te misleiden, maar een nepmachine die in systemen leeft, echte privileges bezit en aan niemand verantwoording aflegt.
Het gebrek aan aandacht dat dit equivalent aan de machinezijde krijgt, maakt het zo gevaarlijk. Gefabriceerde machine-identiteiten kunnen de detectie omzeilen die is gebouwd om gestolen identiteiten te identificeren, omdat de echte eigenaar van een gestolen identiteit mogelijk een login vanaf een onbekende plaats opmerkt of een dark web-waarschuwing ontvangt. Ondertussen zal een verzonnen identiteit zonder eigenaar geen alarm slaan over verdacht gedrag, gelekte geheimen of iets dat de moeite van het vermelden waard is. Omdat NHI’s snel groeien in een tempo dat groter is dan het aantal menselijke gebruikers, zullen bedrijven een niet-gecontroleerde identiteit misschien niet als een uitschieter opmerken als deze de rechten verbergt en stilletjes verzamelt.
Waarom agent-AI dit actueler maakt
Tot voor kort vereiste het fabriceren van een machine-identiteit dat een aanvaller een systeem binnendrong, het nepaccount aanmaakte en de rechten ervan handmatig toewees. Agentic AI begint die wrijving weg te nemen. AI-agenten verwerven tijdens runtime al op dynamische wijze inloggegevens en zijn steeds beter in staat andere agenten met hun eigen identiteit op te starten. Naarmate het creëren van machinale identiteiten een geautomatiseerde achtergrondactiviteit wordt, begint de grens tussen een legitiem gecreëerde identiteit en een verzonnen identiteit te vervagen.
Hoe je je kunt verdedigen tegen synthetische machine-identiteiten
Als verzonnen identiteiten door de mazen van het net glippen, kunnen organisaties niet verwachten dat ze zichzelf kunnen beschermen door ze allemaal handmatig te ontdekken. Sterk bestuur zorgt ervoor dat verzonnen identiteiten niet vanaf het begin kunnen opgaan in, zich kunnen ophopen of blijven bestaan.
Wijs het eigendom van elke NHI toe
Wat een verzonnen identiteit laat overleven, is het feit dat niemand weet hoe deze in de gaten moet worden gehouden. Elke NHI moet een geregistreerde menselijke eigenaar, een gedocumenteerd doel en een vervaldatum hebben, waardoor de mogelijkheid wordt geëlimineerd dat identiteiten standaard permanent blijven. Een machine-identiteit met een eigenaar zorgt ervoor dat iemand verantwoordelijk wordt gehouden en helpt de legitieme identiteiten in het proces te beschermen.
Geheimen roteren
Verschillende fabricagetechnieken slagen erin schaduwreferenties in een bestaand object te injecteren, waarbij een aanvaller de sleutels die hij beheert op zijn plaats laat om zich naar believen te authenticeren. Gecentraliseerd geheimbeheer met geautomatiseerde rotatie scheidt deze paden. Elk gewelfd, bijgehouden en geroteerd geheim verhindert dat een geïnjecteerde of verzonnen inloggegevens een lange houdbaarheid hebben. Organisaties moeten ernaar streven om aanvallers in een positie te laten waarin ze niet in staat zijn de authenticatie van een verzonnen identiteit te verankeren.
Dwing de minste privileges af
Gefabriceerde identiteiten brengen aanzienlijke veiligheidsrisico’s met zich mee vanwege wat ze kunnen bereiken en de permanente toegang die typische serviceaccounts hebben. Organisaties die toegang met de minste bevoegdheden en Just-in-Time (JIT)-toegang afdwingen, minimaliseren de impact van gefabriceerde identiteiten in verschillende omgevingen. Als een identiteit alleen over de benodigde machtigingen beschikt zolang deze nodig is, zal een verzonnen identiteit een klein, in de tijd beperkt venster erven in plaats van permanente toegang. Dit beperkt de schade die elke identiteit, echt of nep, kan veroorzaken, en daarom is het effectief tegen bedreigingen die organisaties misschien niet eens hebben gedetecteerd.
Controleer gedrag voortdurend
Het belangrijkste voordeel van een verzonnen identiteit is dat deze vanaf het begin legitiem lijkt, met de juiste naamgeving, plausibele metadata en het juiste domein. Als het vertrouwen slechts één keer tijdens de provisioning tot stand wordt gebracht, is het minder waarschijnlijk dat organisaties ongebruikelijke activiteiten opmerken. Voortdurende verificatie verschuift de basis van vertrouwen van referenties bij het aanmaken naar gedrag in de loop van de tijd, op basis van wat de identiteit feitelijk doet en waartoe deze toegang heeft. Door voortdurend gedrag te verifiëren, kunnen organisaties gemakkelijker de valse identiteiten ontdekken die overtuigend genoeg waren om binnen te komen.
Houd rekening met de vervalsingen op het gebied van identiteitsbeveiliging
Het beveiligen van identiteiten betekent het beschermen van echte identiteiten tegen uitbuiting. Hoewel het roteren van gelekte inloggegevens en het vergrendelen van gecompromitteerde accounts nog steeds belangrijk is, wordt ervan uitgegaan dat elke identiteit in een omgeving aanwezig zou moeten zijn. Organisaties moeten identiteiten kunnen detecteren die nooit op legitieme wijze zijn gecreëerd, maar zich gedragen alsof ze echt zijn. Machine-identiteitsbeveiliging vereist dat elke identiteit eigendom is, dat elk geheim van korte duur is en dat elk gedrag nauwlettend in de gaten wordt gehouden – dit alles kan worden gedaan vanaf een identiteitsbeveiligingsplatform zoals KeeperPAM®. Door eigendom, geheimen en geprivilegieerde toegang te beheren, hebben organisaties een betere kans om verzonnen schuilplaatsen voor identiteiten te elimineren en ervoor te zorgen dat er zich niets kan ophopen.
Opmerking: Dit artikel is zorgvuldig geschreven en bijgedragen voor ons publiek door Ashley D’Andrea, Content Writer bij Keeper Security.
