Повечето хора разбират кражбата на самоличност като случай, в който атакуващ краде чувствителна информация на реален човек и се представя за него. Измамата със синтетична идентичност обаче се разкрива много по-трудно. Вместо да открадне съществуваща самоличност, киберпрестъпникът създава нова, сглобявайки като Франкенщайн няколко реални парчета данни с измислени такива, за да създаде несъществуващ човек. Тъй като няма реална жертва, която да следи за злоупотреби, фалшивата идентичност може тихомълком да натрупва права и доверие с течение на времето, преди изобщо да бъде открита. Този същият принцип има до голяма степен неизследван паралел при немашинните идентичности (Non-Human Identities - NHIs).

Екипите по сигурността полагат значителни усилия, за да защитят немашинните идентичности от кражба. Въпреки това машинният еквивалент на измамата със синтетична идентичност рядко се обсъжда: идентичности, които първоначално никога не са били легитимно създадени. При този подход атакуващият не компрометира съществуващ служебен акаунт, а вместо това създава нов, смесвайки реални атрибути на средата с фалшиви, така че да изглежда, че той принадлежи към нея. Тъй като предприятията натрупват немашинни идентичности по-бързо, отколкото могат да ги проследят, фалшифицираната идентичност може лесно да се вмъкне в общата маса, ако управлението е слабо и няма човешка отговорност за нея.

Как изглежда измамата със синтетична идентичност при машинните идентичности

При хората измамата със синтетична идентичност е добре позната като самоличност, която е сглобена, а не открадната, за да премине проверките, без да е свързана с конкретен реален човек. Същата схема работи и срещу машинните идентичности, но повечето организации се фокусират върху откраднати идентификационни данни за немашинни идентичности, а не върху фалшифицирани такива. При фалшифицираните машинни идентичности атакуващият не заема реална идентичност, а по-скоро създава такава, която никога не е трябвало да съществува. Вместо да влезе в системата като легитимен служебен акаунт, атакуващият регистрира нова идентичност с администраторски права и подобна структура на имената, предоставя ѝ привилегии и я оставя да съществува незабелязано. Тъй като нищо не е компрометирано, няма реален потребител, който да бъде известен, нито подозрително поведение, което да бъде маркирано.

Това, което прави тези идентичности убедителни, е комбинацията от реални и измислени атрибути. Фалшифицираната немашинна идентичност наследява конвенциите за именуване на своята среда, съществува в правилния домейн, носи достоверно изглеждащи метаданни и изисква същите права, каквито другите немашинни идентичности вече притежават. За администратор, който преглежда директория с десетки хиляди служебни акаунти, това е просто още едно рутинно работно натоварване, поради което това е един от най-пренебрегваните рискове, свързани с немашинните идентичности.

Как се изграждат фалшифицираните машинни идентичности

Нито една от техниките, които киберпрестъпниците използват за създаване на фалшиви машинни идентичности, не е нова. Новото обаче е разглеждането им като модел на вмъкване на изглеждаща достоверно, но нелегитимна идентичност в среда, предразположена да ѝ се довери. На практика атакуващите създават фалшифицирани машинни идентичности по няколко основни начина:

  • Компрометиран служебен акаунт (Rogue service account): Вместо да компрометира вече съществуващ акаунт, атакуващият, който е придобил достъп, създава нов акаунт, който прилича на съществуващ, със сходни атрибути и постоянни права за достъп. Акаунт, който никога не е бил одобрен, но се държи като такъв, е най-чистата форма на фалшифицирана машинна идентичност.
  • DCShadow: Работейки на ниво инфраструктура, атакуващият не фалшифицира акаунт, а по-скоро цял източник на легитимност. Тъй като разчита на права на администратор на домейн, които атакуващият вече притежава, това е действие след компрометиране на системата, а не начин за проникване: атакуващият временно регистрира компрометиран домейн контролер, така че злонамерените промени да изглеждат като легитимен трафик за репликация от доверен партньор. След като тази фалшива инфраструктура бъде приета, всичко, което тя изпраща, наследява доверието на самата система.
  • Сенчести идентификационни данни (Shadow credentials): Атакуващият имплантира фалшифицирано удостоверяване върху съществуващ обект, инжектирайки контролирани от него данни, така че да може да се удостовери като този обект по всяко време. Тъй като идентичността вече съществува и изглежда непокътната, това е най-незабележимият начин да се докаже, че дадена идентичност е била тихомълком фалшифицирана.

Макар че механиката се различава, всички методи включват нелегитимна идентичност, която средата е приела за своя. Важно е това да се ограничи от свързаното понятие за „синтетична персона“, дефинирано от Групата за управление на немашинни идентичности като фалшива идентичност, създадена да изглежда достоверна за хората и използвана за заблуда на човешки потребители чрез фалшиви профили и тактики за социално инженерство. Това е обратното на фалшифицираната машинна идентичност, която не е фалшив човек, целящ да измами хора, а фалшива машина, живееща в системите, която притежава реални привилегии и не се отчита пред никого.

Липсата на внимание към този машинен еквивалент е именно това, което го прави толкова опасен. Фалшифицираните машинни идентичности могат да избегнат засичането, предназначено за откриване на откраднати такива, тъй като реалният собственик на открадната идентичност може да забележи влизане от непознато място или да получи предупреждение от тъмната мрежа. В същото време фалшифицирана идентичност, която няма реален собственик, няма да предизвика никакви аларми за подозрително поведение, изтичане на тайни или други забележителни събития. Тъй като броят на немашинните идентичности расте...