𝗡𝗼𝗻-𝗛𝘂𝗺𝗮𝗻 𝗜𝗱𝗲𝗻𝘁𝗶𝘁𝗶𝗲𝘀: 𝗧𝗵𝗲 𝗦𝗶𝗹𝗲𝗻𝘁 𝗔𝘁𝘁𝗮𝗰𝗸 𝗦𝘂𝗿𝗳𝗮𝗰𝗲

നിങ്ങളുടെ ജീവനക്കാരുടെ എണ്ണം നിങ്ങൾക്ക് അറിയാം. എന്നാൽ മനുഷ്യരല്ലാത്ത ഐഡന്റിറ്റികളുടെ (non-human identity) എണ്ണം നിങ്ങൾക്ക് അറിയാൻ സാധ്യതയില്ല.

മിക്ക കമ്പനികളും ആളുകളെ സംരക്ഷിക്കുന്നതിലാണ് ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നത്. മനുഷ്യരായ ഉപയോക്താക്കളെ സുരക്ഷിതരാക്കാൻ നിങ്ങൾ SSO, MFA എന്നിവ ഉപയോഗിക്കുന്നു. ഇത് ഫലപ്രദമാണ്. മനുഷ്യരുടെ അക്കൗണ്ടുകൾ ഹാക്ക് ചെയ്യുന്നത് ഇപ്പോൾ കൂടുതൽ പ്രയാസകരമാണ്.

നിങ്ങൾ മനുഷ്യരെ സംരക്ഷിക്കുമ്പോൾ, മെഷീൻ ഐഡന്റിറ്റികൾ വർദ്ധിച്ചുകൊണ്ടിരിക്കുകയാണ്. സർവീസ് പ്രിൻസിപ്പലുകൾ (Service principals), വർക്ക്ലോഡ് ഐഡന്റിറ്റികൾ (workload identities), AI റോളുകൾ എന്നിവയുടെ എണ്ണം ഇപ്പോൾ മനുഷ്യരേക്കാൾ 10 മുതൽ 50 മടങ്ങ് വരെ കൂടുതലാണ്.

ഈ ഐഡന്റിറ്റികൾ HR സിസ്റ്റങ്ങളിൽ കാണില്ല. അവ ഓർഗനൈസേഷൻ ചാർട്ടുകളിലും ഉണ്ടാകില്ല. എന്നിരുന്നാലും, നിങ്ങളുടെ ക്ലൗഡിൽ ഏറ്റവും ഉയർന്ന തലത്തിലുള്ള ആക്സസ് പലപ്പോഴും ഇവയ്ക്കായിരിക്കും.

ഉയർന്ന റിസ്കുള്ള മേഖലകൾ ഇവയാണ്: • Slack അല്ലെങ്കിൽ Salesforce-ലേക്ക് വിപുലമായ ആക്സസ് ഉള്ള OAuth ആപ്പുകൾ. • സർവീസ് പ്രിൻസിപ്പലുകളും മാനേജ്ഡ് ഐഡന്റിറ്റികളും. • CI/CD പൈപ്പ്‌ലൈൻ ഐഡന്റിറ്റികൾ. • AI സർവീസ് റോളുകൾ.

ആക്രമണകാരികൾ എളുപ്പവഴികൾ തേടുന്നു. മനുഷ്യരുടെ അക്കൗണ്ടുകൾ സുരക്ഷിതമായതിനാൽ, അവർ മെഷീനുകളെ ലക്ഷ്യം വെക്കുന്നു. മെഷീനുകൾ പ്രധാനമായും മൂന്ന് പ്രശ്നങ്ങൾ നേരിടുന്നു: • പ്രിവിലേജ് ക്രീപ്പ് (Privilege Creep): ആവശ്യപ്പെട്ടതിന് ശേഷവും പെർമിഷനുകൾ ദീർഘകാലം സജീവമായി തുടരുന്നു. • വിസിബിലിറ്റിയുടെ അഭാവം (Lack of Visibility): സജീവമായ സർവീസ് റോളുകളുടെയോ OAuth ഗ്രാന്റുകളുടെയോ പട്ടിക നിങ്ങളുടെ പക്കൽ ഇല്ല. • ദീർഘകാലം നിലനിൽക്കുന്ന ക്രെഡൻഷ്യലുകൾ (Long-Lived Credentials): സ്റ്റാറ്റിക് കീകൾ സ്ഥിരമായ ബാക്ക്‌ഡോറുകൾ സൃഷ്ടിക്കുന്നു.

മെഷീൻ ഐഡന്റിറ്റികളെ നിങ്ങൾ മുൻഗണന നൽകേണ്ട ഒന്നായി കാണണം.

അവ സുരക്ഷിതമാക്കാൻ ഈ ഘട്ടങ്ങൾ പാലിക്കുക: • Workload Identity Federation ഉപയോഗിക്കുക. സ്റ്റാറ്റിക് കീകൾക്ക് പകരം OIDC വഴി കുറഞ്ഞ കാലയളവിലേക്ക് മാത്രം നിലനിൽക്കുന്ന ടോക്കണുകൾ ഉപയോഗിക്കുക. • നിരന്തരം നിരീക്ഷിക്കുക. അസാധാരണമായ പെരുമാറ്റങ്ങൾ കണ്ടെത്താൻ AWS IAM Access Analyzer പോലുള്ള ടൂളുകൾ ഉപയോഗിക്കുക. • 'ലീസ്റ്റ് പ്രിവിലേജ്' (least privilege) ഓട്ടോമേറ്റ് ചെയ്യുക. ഉപയോഗിക്കാത്ത പെർമിഷനുകൾ സ്വയമേവ നീക്കം ചെയ്യുക. • AI ഐഡന്റിറ്റികൾ നിയന്ത്രിക്കുക. തുടക്കം മുതൽ തന്നെ ഓരോ AI സർവീസ് റോളും ഇൻവെന്ററി ചെയ്യുക.

സുരക്ഷാ സംവിധാനങ്ങൾ നെറ്റ്‌വർക്കുകളിൽ നിന്ന് എൻഡ്‌പോയിന്റുകളിലേക്കും പിന്നീട് മനുഷ്യരിലേക്കും മാറി. അടുത്ത ഘട്ടം നോൺ-ഹ്യൂമൻ ഐഡന്റിറ്റികളാണ്.

AI ഏജന്റുകളുടെ ഈ കാലഘട്ടത്തിൽ, ആക്രമണകാരികൾക്ക് ഒരു ജീവനക്കാരനെയും ഹാക്ക് ചെയ്യേണ്ടതില്ല. അവർക്ക് ഒരു ടോക്കൺ മാത്രം മതിയാകും.

ഐഡന്റിറ്റിയാണ് നിങ്ങളുടെ പുതിയ പെരിമീറ്റർ (perimeter). പലപ്പോഴും, ആ ഐഡന്റിറ്റി ഒരു മനുഷ്യന്റേതാകില്ല.

Source: https://dev.to/alifunk/non-human-identities-the-silent-attack-surface-no-one-is-monitoring-45ie

Optional learning community: https://t.me/GyaanSetuAi