生成式AI是攻擊者用來(lái)創(chuàng)建和發(fā)起基于身份的攻擊的新武器。CrowdStrike總裁Michael Sentonas在最近的一次采訪中表示，“攻擊者正在不斷調(diào)整他們的間諜技術(shù)，尋找利用端點(diǎn)和身份交叉點(diǎn)的漏洞。這是當(dāng)今人們需要應(yīng)對(duì)的最大挑戰(zhàn)之一。George(CrowdStrike首席執(zhí)行官)和我在RSA 2023大會(huì)上做的黑客攻擊演示，就是為了展示身份和復(fù)雜性方面的一些挑戰(zhàn)。我們將端點(diǎn)與身份和用戶正在訪問(wèn)的數(shù)據(jù)聯(lián)系起來(lái)的原因，是因?yàn)檫@是一個(gè)關(guān)鍵問(wèn)題。如果你能解決這個(gè)問(wèn)題，你將能解決一個(gè)企業(yè)面臨的很大一部分網(wǎng)絡(luò)問(wèn)題。”
今天的深度偽造和假托 明天的自動(dòng)化和有彈性的攻擊
一些深度偽造(deepfakes)攻擊的目標(biāo)是首席執(zhí)行官和企業(yè)領(lǐng)導(dǎo)者。Zscaler的首席執(zhí)行官Jay Chaudhry講述了最近發(fā)生的一起事件，在這起事件中，一名攻擊者利用Chaudhry的深度偽造聲音，從該公司在印度的業(yè)務(wù)中勒索資金。對(duì)此，他表示，“這只是一個(gè)例子，事實(shí)上，不止我的聲音……越來(lái)越多的聲音偽造正在發(fā)生。除此之外，還有越來(lái)越多的外觀和感覺(jué)偽造。”深度偽造已經(jīng)變得如此普遍，以至于國(guó)土安全部(DHS)特意發(fā)布了一份指南——《日益增加的深度偽造身份威脅》。
如今，攻擊者正計(jì)劃利用人們的信任通過(guò)生成式AI獲利。Sentonas、Chaudhry和許多其他領(lǐng)先網(wǎng)絡(luò)安全公司的首席執(zhí)行官都認(rèn)為，被盜的身份和特權(quán)訪問(wèn)憑據(jù)是他們正在幫助客戶應(yīng)對(duì)的最危險(xiǎn)的威脅載體。攻擊者押注身份安全仍然薄弱，仍然是入侵企業(yè)的突破口。
通過(guò)建立在零信任的基礎(chǔ)上最大化身份和訪問(wèn)管理(IAM)的有效性
零信任是讓IAM發(fā)揮效益的重要力量，而身份是零信任的核心。首席信息安全官(CISO)必須假設(shè)已經(jīng)發(fā)生了違規(guī)行為，并在零信任框架上全力以赴。(然而，他們應(yīng)該意識(shí)到，網(wǎng)絡(luò)安全供應(yīng)商往往夸大了他們的零信任能力。)
CrowdStrike的George Kurtz表示，“身份優(yōu)先安全對(duì)于零信任至關(guān)重要，因?yàn)樗蛊髽I(yè)能夠根據(jù)用戶的需求實(shí)施強(qiáng)大而有效的訪問(wèn)控制。通過(guò)不斷驗(yàn)證用戶和設(shè)備的身份，企業(yè)可以降低未經(jīng)授權(quán)訪問(wèn)的風(fēng)險(xiǎn)，并防范潛在的威脅。”
今年早些時(shí)候，零信任創(chuàng)始人John Kindervag在接受采訪時(shí)總結(jié)了任何企業(yè)都可以從零信任入手的建議。他建議稱，“你不能從一項(xiàng)技術(shù)開始，這是對(duì)零信任的誤解。當(dāng)然，供應(yīng)商想要出售技術(shù)，所以他們說(shuō)‘你需要從我們的技術(shù)入手’。但這些都不是真的。事實(shí)是，你首先應(yīng)該設(shè)計(jì)一個(gè)保護(hù)表面，然后再研究技術(shù)。記住，零信任并不一定要代價(jià)高昂才能有效。”
關(guān)于2023年的IAM，每個(gè)CISO都需要知道什么
CISO稱，為了跟上IAM技術(shù)的發(fā)展，最大的挑戰(zhàn)是整合網(wǎng)絡(luò)安全技術(shù)堆棧，用更少的預(yù)算和人員做更多的事情。96%的CISO計(jì)劃整合他們的安全平臺(tái)，63%的人更喜歡擴(kuò)展檢測(cè)和響應(yīng)(XDR)。Cynet 《2022年CISO調(diào)查》發(fā)現(xiàn)，幾乎所有公司都在規(guī)劃整合，這一比例高于2021年的61%。
CrowdStrike、Palo Alto Networks、Zscaler和其他網(wǎng)絡(luò)安全供應(yīng)商在幫助客戶整合技術(shù)堆棧方面看到了新的銷售機(jī)會(huì)。Gartner預(yù)測(cè)，到2023年，全球IAM支出將達(dá)到207億美元，到2027年將增長(zhǎng)到324億美元，復(fù)合年增長(zhǎng)率為11.8%。領(lǐng)先的IAM提供商包括AWS身份和訪問(wèn)管理、CrowdStrike、Delinea、Ericom、ForgeRock、Ivanti、Google Cloud Identity、IBM、Microsoft Azure Active Directory、Palo Alto Networks和Zscaler。
根據(jù)今年上半年對(duì)CISO和CIO的一系列采訪，VentureBeat總結(jié)了CISO和CIO在2023年需要了解的10個(gè)IAM事實(shí)：
1. 首先，審計(jì)所有訪問(wèn)憑據(jù)和權(quán)限，以阻止日益嚴(yán)重的憑據(jù)泛濫
內(nèi)部攻擊是CISO的噩夢(mèng)。這是他們工作中的煩惱之一，也是讓他們夜不能寐的原因之一。一次毀滅性的內(nèi)部攻擊如果沒(méi)被發(fā)現(xiàn)，可能會(huì)讓他們及其團(tuán)隊(duì)失去工作，尤其是在金融服務(wù)領(lǐng)域。92%的安全負(fù)責(zé)人表示，內(nèi)部攻擊與外部攻擊一樣復(fù)雜，甚至更難以識(shí)別。
將遺留憑據(jù)導(dǎo)入新的身份管理系統(tǒng)是一個(gè)常見(jiàn)的錯(cuò)誤。建議花時(shí)間檢查和刪除憑據(jù)。四分之三(74%)的企業(yè)表示內(nèi)部攻擊有所增加，超過(guò)一半的企業(yè)在過(guò)去一年中經(jīng)歷過(guò)內(nèi)部威脅。8%的人遭受過(guò)20次或更多的內(nèi)部攻擊。
Ivanti最近發(fā)布的《2023年網(wǎng)絡(luò)安全狀況報(bào)告》發(fā)現(xiàn)，45%的企業(yè)懷疑前員工和承包商仍然可以主動(dòng)訪問(wèn)公司的系統(tǒng)和文件。其首席產(chǎn)品官Srinivas Mukkamala博士表示，“大型組織往往沒(méi)有考慮到龐大的應(yīng)用程序、平臺(tái)和第三方服務(wù)生態(tài)系統(tǒng)，這些應(yīng)用程序、平臺(tái)和第三方服務(wù)會(huì)在員工被解雇后很長(zhǎng)一段時(shí)間內(nèi)仍授予訪問(wèn)權(quán)限。我們稱這些為‘僵尸憑據(jù)’，數(shù)量驚人的安全專業(yè)人員，甚至是領(lǐng)導(dǎo)層的高管，仍然可以訪問(wèn)前雇主的系統(tǒng)和數(shù)據(jù)。”
2. 多因素身份驗(yàn)證(MFA)可以快速實(shí)現(xiàn)零信任
CISO、CIO和安全運(yùn)營(yíng)團(tuán)隊(duì)成員都強(qiáng)調(diào)了，多因素身份驗(yàn)證(MFA)作為零信任防御的第一道防線的重要性。他們依靠MFA來(lái)展示零信任計(jì)劃的積極成果。
他們建議，MFA必須在對(duì)員工生產(chǎn)力影響最小的情況下啟動(dòng)。MFA實(shí)現(xiàn)最好地將“你知道什么”(密碼或PIN碼)身份驗(yàn)證與“你是什么”(生物識(shí)別)、“你做了什么”(行為生物識(shí)別)或“你擁有什么”(令牌)因素結(jié)合起來(lái)。
3. 無(wú)密碼是未來(lái)，所以現(xiàn)在就開始計(jì)劃吧
CISO必須考慮如何擺脫密碼，并采用零信任方法來(lái)保護(hù)身份安全。高德納(Gartner)預(yù)測(cè)，到2025年，50%的勞動(dòng)力和20%的客戶身份驗(yàn)證交易將是無(wú)密碼的。
領(lǐng)先的無(wú)密碼認(rèn)證提供商包括Microsoft Azure Active Directory(Azure AD)、OneLogin Workforce Identity、Thales SafeNet Trusted Access和Windows Hello for Business。但CISO們更青睞Ivanti的零登錄(ZSO)解決方案，因?yàn)樗腢EM平臺(tái)結(jié)合了無(wú)密碼認(rèn)證、零信任和簡(jiǎn)化的用戶體驗(yàn)。
Ivanti使用的FIDO2協(xié)議消除了密碼，并支持包括蘋果面部識(shí)別在內(nèi)的生物識(shí)別技術(shù)作為次級(jí)認(rèn)證因素。ZSO在IT團(tuán)隊(duì)中得到了很高的評(píng)價(jià)，因?yàn)樗麄兛梢栽谌魏我苿?dòng)設(shè)備上配置它，而無(wú)需代理——這為ITSM團(tuán)隊(duì)節(jié)省了大量的時(shí)間。
4. 使用身份威脅檢測(cè)和響應(yīng)(ITDR)工具保護(hù)IAM基礎(chǔ)設(shè)施
身份威脅檢測(cè)和響應(yīng)(ITDR)工具可以降低風(fēng)險(xiǎn)，并不斷改進(jìn)和強(qiáng)化安全配置。它們還可以發(fā)現(xiàn)和修復(fù)IAM基礎(chǔ)設(shè)施中的配置漏洞;檢測(cè)攻擊;并提出修復(fù)建議。通過(guò)部署ITDR來(lái)保護(hù)IAM系統(tǒng)和存儲(chǔ)庫(kù)，包括Active Directory(AD)，企業(yè)正在改善他們的安全狀況，并降低IAM基礎(chǔ)設(shè)施被破壞的風(fēng)險(xiǎn)。
主要供應(yīng)商包括Authomiz、CrowdStrike、微軟、Netrix、Quest、Semperis、SentinelOne (Attivo Networks)、Silverfort、SpecterOps和Tenable。
5. 在IAM技術(shù)棧中添加特權(quán)訪問(wèn)管理(PAM)
Savynt創(chuàng)始人、首席執(zhí)行官兼董事會(huì)主席Sachin Nayyar表示，“我一直認(rèn)為特權(quán)訪問(wèn)管理(PAM)屬于身份和訪問(wèn)管理的整體范疇。它是任何公司中特定用戶有特定需求的一種訪問(wèn)類型。當(dāng)它需要與身份訪問(wèn)管理一起運(yùn)行時(shí)，有特定的工作流程，圍繞會(huì)話管理有特定的要求，特別是合規(guī)性要求和安全要求……在我們看來(lái)，這都是身份管理和治理保護(hù)傘的一部分。”
Nayyar還指出，他從公司的企業(yè)客戶那里看到了云計(jì)算的強(qiáng)勁勢(shì)頭，由于與微軟聯(lián)合銷售，他們40%的工作負(fù)載運(yùn)行在Azure上。
6. 在授予對(duì)資源的訪問(wèn)權(quán)限之前，驗(yàn)證每臺(tái)機(jī)器和人的身份
最新的IAM平臺(tái)具有靈活性、適應(yīng)性和開放的API集成。這節(jié)省了SecOps和IT團(tuán)隊(duì)將其集成到網(wǎng)絡(luò)安全技術(shù)堆棧中的時(shí)間。最新一代的IAM平臺(tái)可以驗(yàn)證每個(gè)資源、端點(diǎn)和數(shù)據(jù)源的身份。
零信任安全需要從嚴(yán)格的控制開始，只有在驗(yàn)證身份并跟蹤每個(gè)資源交易后才允許訪問(wèn)。通過(guò)要求身份驗(yàn)證來(lái)限制對(duì)員工、承包商和其他內(nèi)部人員的訪問(wèn)，可以防止外部威脅。
7. 要知道活動(dòng)目錄(AD)幾乎是所有入侵的目標(biāo)
每天大約有9500萬(wàn)個(gè)活動(dòng)目錄(Active Directory，AD)帳戶受到攻擊，因?yàn)?0%的組織使用身份平臺(tái)作為其身份驗(yàn)證和用戶授權(quán)的主要方法。
KuppingerCole網(wǎng)絡(luò)安全研究總監(jiān)兼首席分析師John Tolbert在《身份與安全：應(yīng)對(duì)現(xiàn)代威脅形勢(shì)》的報(bào)告中寫道：“活動(dòng)目錄組件是攻擊活動(dòng)中的高優(yōu)先級(jí)目標(biāo)，一旦被發(fā)現(xiàn)，攻擊者可以創(chuàng)建額外的活動(dòng)目錄森林和域，并在它們之間建立信任，以方便他們更容易地訪問(wèn)。它們還可以在完全不同的域之間創(chuàng)建聯(lián)邦信任(federation trust)?？尚庞蛑g的身份驗(yàn)證看起來(lái)是合法的，如此一來(lái)，惡意分子的后續(xù)行為可能不會(huì)輕易被解釋為惡意，直到為時(shí)已晚，數(shù)據(jù)已經(jīng)泄露和/或破壞行為已經(jīng)發(fā)生。”
8. 通過(guò)為最低權(quán)限訪問(wèn)配置IAM，防止人類在AWS中扮演機(jī)器角色
避免將DevOps、工程和生產(chǎn)人員以及AWS承包商的人和機(jī)器角色混合在一起。如果角色分配不正確，惡意員工或承包商可能會(huì)在任何人都不知道的情況下，從AWS實(shí)例中竊取機(jī)密數(shù)據(jù)。審計(jì)交易，并強(qiáng)制執(zhí)行最低權(quán)限訪問(wèn)以防止違規(guī)。在AWS身份和訪問(wèn)管理中有可配置的選項(xiàng)來(lái)確保這種級(jí)別的保護(hù)。
9. 縮小身份和端點(diǎn)之間的缺口，以強(qiáng)化依賴于IAM的威脅面
攻擊者正在使用生成式AI來(lái)加強(qiáng)對(duì)IAM、PAM和端點(diǎn)間缺口的攻擊。CrowdStrike的Sentonas表示，他的公司將繼續(xù)關(guān)注這一領(lǐng)域，并將其視為“未來(lái)端點(diǎn)安全的核心”。98%的企業(yè)確認(rèn)他們管理的身份數(shù)量呈指數(shù)級(jí)增長(zhǎng)，84%的企業(yè)已經(jīng)成為身份相關(guān)泄露的受害者。
端點(diǎn)蔓延(Endpoint sprawl)使得身份泄露更難阻止。端點(diǎn)通常配置過(guò)度且容易受到攻擊。十分之六(59%)的端點(diǎn)至少有一個(gè)IAM代理，11%的端點(diǎn)有兩個(gè)或更多。這些和其他來(lái)自Absolute Software《2023年彈性指數(shù)報(bào)告》的發(fā)現(xiàn)說(shuō)明了零信任策的有效性。Absolute報(bào)告發(fā)現(xiàn)，“零信任網(wǎng)絡(luò)訪問(wèn)(ZTNA)可以幫助企業(yè)擺脫對(duì)用戶名/密碼的依賴，而是在授予對(duì)企業(yè)資源的訪問(wèn)權(quán)限之前依賴于上下文因素，如時(shí)間、地理位置和設(shè)備安全狀態(tài)。”
報(bào)告解釋稱，“自我修復(fù)網(wǎng)絡(luò)安全系統(tǒng)的不同之處在于，它們能夠相對(duì)地防止人為錯(cuò)誤、軟件沖突和惡意活動(dòng)等因素。”
10. 決心在即時(shí)(JIT)供應(yīng)方面出類拔萃
JIT(just-in-time)配置是零信任的另一個(gè)基本元素，它降低了風(fēng)險(xiǎn)，并被內(nèi)置到許多IAM平臺(tái)中。使用JIT限制用戶對(duì)項(xiàng)目和目的的訪問(wèn)，并使用策略保護(hù)敏感資源。限制訪問(wèn)可以提高安全性，保護(hù)敏感數(shù)據(jù)。JIT通過(guò)配置最低特權(quán)訪問(wèn)和根據(jù)角色、工作負(fù)載和數(shù)據(jù)分類限制用戶訪問(wèn)，從而補(bǔ)充零信任。
你的首要任務(wù)：首先假設(shè)身份將被泄露
零信任代表了組織所依賴的“基于邊界”的傳統(tǒng)方法的根本轉(zhuǎn)變。這是因?yàn)椴僮飨到y(tǒng)和支持它們的網(wǎng)絡(luò)安全應(yīng)用程序假定，如果外圍是安全的，那么一切都會(huì)很好。但事實(shí)證明恰恰相反。攻擊者很快就學(xué)會(huì)了如何微調(diào)他們的間諜技術(shù)，以滲透基于邊界的系統(tǒng)，造成網(wǎng)絡(luò)攻擊和破壞的數(shù)字流行病。
現(xiàn)在，生成式AI又將挑戰(zhàn)提升到了一個(gè)新的高度。攻擊者利用最新技術(shù)對(duì)社交工程、商業(yè)電子郵件攻擊(BEC)、假托和冒充首席執(zhí)行官的深度偽造進(jìn)行微調(diào)，目的都是利用受害者的信任進(jìn)行交易。萬(wàn)事達(dá)卡(MasterCard)負(fù)責(zé)安全和網(wǎng)絡(luò)創(chuàng)新的執(zhí)行副總裁Johan Gerber警告稱，“犯罪分子已經(jīng)在利用人工智能來(lái)突破世界上的一些網(wǎng)絡(luò)安全措施。但人工智能必須成為我們未來(lái)的一部分，成為我們解決網(wǎng)絡(luò)安全問(wèn)題的一部分。”
