Cómo llega el fraude de identidad sintético a las identidades de máquinas – CYBERDEFENSA.MX
La mayoría de las personas entienden el robo de identidad como un atacante que roba información confidencial de una persona real y se hace pasar por ella. El fraude de identidad sintético es mucho más difícil de detectar. En lugar de robar una identidad real, el atacante fabrica una nueva, uniendo varios puntos de datos reales con otros inventados para crear una persona que no existe. Dado que ninguna víctima real monitorea el uso indebido, una identidad falsa puede acumular silenciosamente permisos y credibilidad con el tiempo antes de ser detectada. Este mismo principio tiene un paralelo en gran medida inexplorado con las identidades no humanas (NHI).
Los equipos de seguridad están realizando importantes esfuerzos para proteger los NHI contra el robo. Aún así, rara vez se analiza el equivalente del fraude de identidad sintético en el lado de las máquinas: identidades que nunca fueron proporcionadas legítimamente desde el principio. Siguiendo este enfoque, un atacante no secuestra una cuenta de servicio existente, sino que fabrica una, mezclando atributos ambientales reales con otros falsos para que parezca pertenecer. A medida que las empresas acumulan NHI más rápido de lo que pueden rastrearlos, uno fabricado puede colarse fácilmente en la mezcla si la gobernanza es débil y no hay propiedad humana.
Cómo se ve el fraude de identidad sintético para las identidades de las máquinas
Para los seres humanos, el fraude de identidad sintético se entiende bien como una identidad ensamblada, no robada, para pasar controles sin conectarse con ninguna persona real. La misma construcción funciona contra las identidades de las máquinas, pero la mayoría de las organizaciones se centran en credenciales de NHI robadas en lugar de identidades fabricadas. Con identidades de máquinas fabricadas, un atacante no toma prestada una identidad real, sino que crea una que nunca se suponía que existiera. En lugar de iniciar sesión como una cuenta de servicio legítima, el atacante registra una nueva identidad de nivel de administrador con una estructura de nombres similar, le otorga privilegios y la deja pasar desapercibida. Dado que no se secuestra nada, no hay ningún usuario comprometido al que alertar ni ningún comportamiento sospechoso que señalar.
Lo que hace que estas identidades sean convincentes es la combinación de atributos reales e inventados. Un NHI fabricado hereda las convenciones de nomenclatura de su entorno, existe en el dominio correcto, lleva metadatos que parecen plausibles y solicita los tipos de permisos que otros NHI ya tienen. Para un administrador que hojea un directorio de decenas de miles de cuentas de servicio, es simplemente una carga de trabajo rutinaria más, razón por la cual ésta es una de las Riesgos del NHI que más se pasan por alto.
Cómo se construyen las identidades de máquinas fabricadas
Ninguna de las técnicas que utilizan los atacantes para crear identidades de máquinas falsas es nueva. Lo nuevo, sin embargo, es verlos como un patrón de inserción de una identidad aparentemente creíble pero ilegítima en un entorno predispuesto a confiar en ella. En la práctica, los atacantes crean identidades de máquinas fabricadas de varias formas principales:
- Cuenta de servicio fraudulenta: En lugar de comprometer una cuenta que ya existe, un atacante que ha obtenido acceso crea una nueva cuenta que aspecto como uno existente, con atributos de apariencia similar y acceso permanente. Una cuenta que nunca fue sancionada pero que se comporta como tal es la forma más pura de una identidad de máquina fabricada.
- DCSombra: Al operar a nivel de infraestructura, un atacante no fabrica una cuenta sino más bien una fuente completa de autoridad. Debido a que depende de los derechos de administrador de dominio que el atacante ya posee, es un movimiento posterior al compromiso más que una forma de entrada: el atacante registra temporalmente un controlador de dominio no autorizado para que los cambios maliciosos parezcan tráfico de replicación legítimo de un par confiable. Una vez que se acepta esa infraestructura suplantada, cualquier cosa que impulse hereda la propia credibilidad del sistema.
- Credenciales en la sombra: Un atacante implanta una autenticación fabricada en un objeto existente, inyectando material controlado por el atacante para que pueda autenticarse como ese objeto a voluntad. Dado que la identidad ya existe y parece intacta, éste es el medio más sutil de demostrar que una identidad ha sido forjada silenciosamente.
Si bien los mecanismos difieren, todos implican una identidad ilegítima que el entorno ha aceptado como propia. Es importante separar esto de una idea relacionada llamada persona sintéticadefinido por el NHI Management Group como una identidad fabricada creada para parecer creíble ante gente y se utiliza para engañar a usuarios humanos a través de perfiles falsos y tácticas de ingeniería social. Eso es lo contrario de una identidad de máquina fabricada, que no es un humano falso destinado a engañar a la gente, sino una máquina falsa que vive dentro de sistemas, tiene privilegios reales y no responde ante nadie.
La falta de atención que recibe este equivalente del lado de la máquina es lo que lo hace tan peligroso. Las identidades de máquinas fabricadas pueden evadir la detección creada para identificar las robadas porque el verdadero propietario de una identidad robada puede notar un inicio de sesión desde un lugar desconocido o recibir una alerta de la web oscura. Mientras tanto, una identidad fabricada sin propietario no generará ninguna alarma sobre comportamientos sospechosos, secretos filtrados o cualquier cosa digna de mención. Dado que los NHI están creciendo rápidamente a un ritmo que supera en número a los usuarios humanos, es posible que las empresas no noten una identidad no monitoreada como un valor atípico si oculta y acumula permisos silenciosamente.
Por qué la IA agente hace que esto sea más oportuno
Hasta hace poco, fabricar la identidad de una máquina requería que un atacante ingresara a un sistema, creara una cuenta falsa y asignara sus privilegios manualmente. La IA agente está empezando a eliminar esa fricción. Los agentes de IA ya adquieren credenciales dinámicamente en tiempo de ejecución y son cada vez más capaces de activar otros agentes con identidades propias. A medida que la creación de identidades por máquinas se convierte en una actividad automatizada en segundo plano, la línea entre una identidad creada legítimamente y una fabricada comienza a desdibujarse.
Cómo defenderse de las identidades de máquinas sintéticas
Si las identidades fabricadas pasan desapercibidas, las organizaciones no pueden esperar protegerse detectando manualmente cada una de ellas. Una gobernanza sólida garantiza que las identidades fabricadas no puedan mezclarse, acumularse o persistir desde el principio.
Asignar la propiedad de cada NHI
Lo que permite que una identidad fabricada sobreviva es el hecho de que nadie sabe cómo controlarla. Cada NHI debe tener un propietario humano registrado, un propósito documentado y una fecha de vencimiento, eliminando la posibilidad de que las identidades permanezcan permanentes por defecto. Una identidad de máquina con un propietario garantiza que alguien rinda cuentas y ayuda a proteger las identidades legítimas en el proceso.
Rotar secretos
Varias técnicas de fabricación tienen éxito al inyectar credenciales ocultas en un objeto existente, donde un atacante deja claves que controla para autenticarse a voluntad. La gestión centralizada de secretos con rotación automatizada corta esos caminos. Cada secreto abovedado, rastreado y rotado prohíbe que una credencial inyectada o fabricada tenga una vida útil prolongada. Las organizaciones deben intentar dejar a los atacantes en una posición en la que no puedan anclar la autenticación de una identidad fabricada.
Hacer cumplir el privilegio mínimo
Las identidades fabricadas introducen importantes riesgos de seguridad debido a lo que pueden alcanzar y el acceso permanente que tienen las cuentas de servicio típicas. Las organizaciones que imponen el acceso con privilegios mínimos y el acceso justo a tiempo (JIT) minimizan el impacto de las identidades fabricadas en todos los entornos. Si una identidad posee sólo los permisos que necesita durante el tiempo que los necesite, entonces una identidad fabricada heredará una ventana pequeña y de tiempo limitado en lugar de acceso permanente. Esto limita el daño que puede causar cualquier identidad, real o falsa, por lo que es eficaz contra amenazas que las organizaciones tal vez ni siquiera hayan detectado.
Verificar continuamente el comportamiento
La principal ventaja de una identidad fabricada es que parece legítima desde su creación, con el nombre correcto, metadatos plausibles y el dominio correcto. Si la confianza se establece solo una vez durante el aprovisionamiento, será menos probable que las organizaciones noten actividad inusual. La verificación continua cambia la base de la confianza de las credenciales en el momento de la creación al comportamiento a lo largo del tiempo, basándose en lo que realmente hace la identidad y a qué accede. Verificar continuamente el comportamiento es la forma en que las organizaciones pueden detectar más fácilmente las identidades falsas que fueron lo suficientemente convincentes para ingresar.
Cuenta de las falsificaciones en seguridad de identidad
Proteger las identidades ha significado proteger las identidades reales de la explotación. Si bien sigue siendo importante rotar las credenciales filtradas y bloquear las cuentas comprometidas, eso supone que se supone que todas las identidades en un entorno están ahí. Las organizaciones deben ser capaces de detectar identidades que nunca fueron creadas legítimamente pero que se comportan como si fueran reales. La seguridad de la identidad de las máquinas exige que cada identidad sea propiedad de cada identidad, que cada secreto sea de corta duración y que cada comportamiento sea monitoreado de cerca, todo lo cual se puede hacer desde una plataforma de seguridad de identidad como GuardiánPAM®. Al gestionar la propiedad, los secretos y el acceso privilegiado, las organizaciones tienen más posibilidades de eliminar los escondites de identidad fabricados y garantizar que nada se pueda acumular.
Nota: Este artículo fue escrito cuidadosamente y contribuido para nuestra audiencia por Ashley D’Andrea, redactora de contenido de Keeper Security.
