Identidades Não Humanas: A Superfície de Ataque Silenciosa
Você conhece o número de seus funcionários. Provavelmente, você não conhece o número de suas identidades não humanas.
A maioria das empresas foca em proteger pessoas. Você usa SSO e MFA para proteger usuários humanos. Isso funciona. As contas humanas agora são mais difíceis de serem hackeadas.
Enquanto você protege humanos, as identidades de máquina crescem. Service principals, workload identities e funções de IA agora superam os humanos em 10 a 50 vezes.
Essas identidades não aparecem nos sistemas de RH. Elas não constam nos organogramas. No entanto, elas frequentemente detêm o nível mais alto de acesso em sua nuvem.
Áreas de alto risco incluem: • Apps OAuth com amplo acesso ao Slack ou Salesforce. • Service principals e managed identities. • Identidades de pipeline de CI/CD. • Funções de serviço de IA.
Atacantes buscam o caminho mais fácil. Como as contas humanas são seguras, eles visam as máquinas. As máquinas sofrem com três problemas principais: • Privilege Creep: As permissões permanecem ativas muito tempo depois de serem necessárias. • Falta de Visibilidade: Você não possui uma lista de funções de serviço ativas ou concessões de OAuth. • Credenciais de Longa Duração: Chaves estáticas criam backdoors permanentes.
Você deve tratar as identidades de máquina como uma prioridade.
Siga estes passos para protegê-las: • Use Workload Identity Federation. Substitua chaves estáticas por tokens de curta duração via OIDC. • Monitore constantemente. Use ferramentas como o AWS IAM Access Analyzer para encontrar comportamentos incomuns. • Automatize o privilégio mínimo. Remova permissões não utilizadas automaticamente. • Governe identidades de IA. Faça o inventário de cada função de serviço de IA desde o início.
A segurança mudou de redes para endpoints e de endpoints para humanos. A próxima etapa são as identidades não humanas.
Na era dos agentes de IA, os atacantes não precisam hackear um funcionário. Eles precisam de apenas um token.
A identidade é o seu novo perímetro. Frequentemente, essa identidade não é humana.
Fonte: https://dev.to/alifunk/non-human-identities-the-silent-attack-surface-no-one-is-monitoring-45ie
Comunidade de aprendizado opcional: https://t.me/GyaanSetuAi