Nečloveške identitete: potencialno nevarni skriti uporabniki IT okolij

Čeprav nečloveških identitet končni uporabniki pogosto sploh ne opazijo, so danes eden ključnih gradnikov sodobne IT infrastrukture in hkrati pomemben varnostni izziv.

Kaj so nečloveške identitete?

Nečloveška identiteta je vsaka digitalna identiteta, ki ne pripada fizični osebi, temveč stroju, aplikaciji, storitvi, skripti ali avtomatiziranemu procesu. Njena naloga je, da se sistem lahko varno avtenticira in dostopa do drugih virov, podatkov ali storitev.

V praksi so to servisni računi, aplikacije in skripte, ki izvajajo specifične avtomatizirane naloge z višjimi pravicami, boti za robotsko avtomatizacijo procesov ter vse pogosteje tudi umetni agenti umetne inteligence (UI), ki samostojno komunicirajo z zunanjimi sistemi.

Preprosto povedano: kjer koli sistem komunicira s sistemom, je skoraj vedno prisotna neka oblika nečloveške identitete.

Zakaj število nečloveških identitet tako hitro narašča?

Njihovo število v podjetjih hitro narašča predvsem zaradi digitalne transformacije, selitve v oblak in širjenja avtomatizacije. V tradicionalnih IT okoljih je bilo število uporabniških računov razmeroma pregledno, danes pa lahko podjetje uporablja na tisoče ali celo milijone nečloveških identitet.

Vsak mikroservis, vsak kontejner, vsaka funkcija v oblaku in vsak integracijski vmesnik potrebuje lastno identiteto. To je še posebej izrazito v oblačnih (cloud) okoljih, kjer so API-ji, infrastruktura kot koda (Infrastructure-as-Code) in dinamično skaliranje osnovni del sodobne arhitekture.

Varnostna tveganja, ki jih ne smemo spregledati

Prav zaradi tega predstavljajo nečloveške identitete tudi varnostno tveganje. Večje kot je njihovo število, večja je napadalna površina. Vsak API ključ, servisni račun ali žeton lahko predstavlja potencialno vstopno točko za napadalca.

Med najpogostejšimi tveganji so kraje poverilnic, saj so ključi in gesla pogosto shranjeni v konfiguracijskih datotekah, repozitorijih kode ali okoljskih spremenljivkah. Če pride do uhajanja teh podatkov, lahko napadalec pridobi neposreden dostop do sistema.

Dodatno težavo predstavljajo preširoko dodeljena dovoljenja. Zaradi praktičnosti razvijalci servisnim računom pogosto dodelijo več pravic, kot jih dejansko potrebujejo, kar je v nasprotju z načelom najmanjših privilegijev.

Pogost problem so tudi zapuščene oziroma »zombi« identitete – računi, ključi in dostopi, ki niso več v uporabi, vendar ostajajo aktivni in s tem predstavljajo varnostno luknjo.

Vse pogostejši so tudi primeri ugrabitve žetonov, še posebej, kadar se ti ne rotirajo redno. Če napadalec pridobi dostop do veljavnega žetona, lahko dalj časa neopaženo izvaja aktivnosti v sistemu.

Posebno tveganje predstavljajo tudi napadi na dobavno verigo, saj integracije s tretjimi ponudniki pogosto uporabljajo nečloveške identitete. Če je kompromitiran zunanji ponudnik, se lahko ogrozi tudi interno okolje podjetja.

Zakaj je upravljanje NHI danes nujno?

Našteli smo dovolj razlogov, da je jasno – upravljanje nečloveških identitet je postalo nujno. Podjetja danes tega področja preprosto ne morejo več učinkovito upravljati ročno. Brez centralnega pregleda se hitro znajdemo tam, ko nihče ne ve, koliko identitet sploh obstaja, kdo jih je ustvaril, čemu služijo in ali so še vedno potrebne.

Poleg varnostnega vidika je to pomembno tudi zaradi skladnosti z regulativami, kot so GDPR, ISO 27001, NIST CSF 2.0 in PCI DSS, ki vse pogosteje zahtevajo sledljivost tudi za nečloveške račune.

Dobre prakse za upravljanje

Učinkovito upravljanje nečloveških identitet temelji na 5 ključnih načelih:

Popis vseh identitet
Prvi korak je popolna inventura vseh servisnih računov, ključev, žetonov in certifikatov v oblaku, lokalnih sistemih ter pri zunanjih integracijah.

Načelo najmanjših pravic
Vsaka identiteta naj ima le tista dovoljenja, ki jih nujno potrebuje za svoje delovanje.

Redna rotacija poverilnic
Ključe, gesla in žetone je treba samodejno menjavati v rednih intervalih.

Neprestano spremljanje
Vsaka aktivnost nečloveških identitet mora biti beležena in nadzorovana. Če na primer CI/CD bot ob treh zjutraj dostopa do produkcijske baze, mora sistem sprožiti alarm.

Ukinjanje neuporabljenih dostopov
Zastarele ključe, neaktivne servisne račune in zapuščene integracije je treba redno odstranjevati.

Pomen NHI bo samo še večji

Z rastjo avtomatizacije, mikroservisov in umetne inteligence bo pomen nečloveških identitet še večji. Podjetja, ki tega področja ne bodo sistemsko uredila pravočasno, bodo izpostavljena večjim varnostnim tveganjem, počasnejšemu odzivu na incidente in večjim težavam pri zagotavljanju skladnosti.

Upravljanje nečloveških identitet zato ni več zgolj tehnična podrobnost, temveč pomemben del celotne strategije kibernetske varnosti.

Več informacij o tem, kako lahko v svojem podjetju uredite področje nečloveških identitet, lahko najdete na www.adm-adria.eu