Сигурността на идентичността е подложена на все по-голям натиск. Паролите, отговорите за многофакторна автентификация (MFA), репутацията на IP адресите, геолокацията и характеристиките на браузъра, които организациите традиционно използват, за да преценят дали едно влизане е легитимно, стават все по-лесни за кражба, имитиране или заобикаляне от страна на атакуващите.
Изкуственият интелект (AI) засилва този натиск, не като създава напълно нов клас атаки, а като прави познатите атаки срещу идентичността по-бързи и по-ефективни. Междувременно ротиращите се IP адреси и профилите в браузъри за еднократна употреба правят злонамерените влизания по-трудни за разграничаване от легитимните.
На фона на този бързо развиващ се пейзаж на заплахи организациите се нуждаят от ефективни мерки за Zero Trust (нулево доверие), които да предпазват от „легитимни“ влизания от контролирана от атакуващите инфраструктура. Именно тук помага доверието в устройствата (device trust), гарантирайки, че валидните идентификационни данни не са достатъчни без контекста на устройството, от което е било предназначено да бъдат използвани.
Индустриализацията на атаките за превземане на акаунти
Изкуственият интелект не е създал фундаментално нова форма на превземане на акаунти. Киберпрестъпниците все още разчитат на познати техники: фишинг, кражба на идентификационни данни, злоупотреба с MFA, отвличане на сесии и социално инженерство. Това, което се промени, е количеството ръчна работа, необходима за ефективното провеждане на тези атаки.
Авторите на заплахи могат да създават и изпращат хиляди убедителни фишинг имейли с минимални усилия. Ако е необходимо по-персонализирано съобщение, AI може да извлече публична информация от целия интернет, за да изгради подробен профил на целта.
След това атакуващите могат да адаптират съобщението си, за да съответства на езика и бизнес контекста на целта. Служител във финансовия отдел може да получи заявка, свързана с доставчик, докато към администратор може да се обърнат с проблем с достъпа до облака.
Нищо от това не означава, че AI управлява автономно цялото проникване. В повечето случаи хората все още избират целите, контролират инфраструктурата и решават какво да правят с успешния достъп.
По-точният начин да се опише промяната е, че AI компресира човешката работа между придобиването на информация и предприемането на действия по нея. Той намалява цената на персонализацията и сортирането, позволявайки на екипите да провеждат повече кампании и да фокусират усилията си върху акаунти с най-висока очаквана стойност.
Докладът на Verizon за разследване на нарушения на данните установи, че откраднатите идентификационни данни участват в 44,7% от пробивите.
Къде традиционните сигнали за доверие се провалят
Платформите за идентичност често комбинират няколко сигнала, за да решат дали едно влизане трябва да бъде доверено. Всеки от тях все още има стойност, но атакуващите все по-често знаят как да откраднат, имитират или заобиколят доказателствата, на които разчитат тези контроли.
Въпреки че опциите без парола стават все по-популярни, идентификационните данни все още се изискват в повечето потоци за автентификация. Като такъв, фишингът и злонамереният код за събиране на идентификационни данни, като например инфостийлърите, съставляват първата стъпка в много атаки за превземане на акаунти.
Атакуващите могат също така просто да използват повторно идентификационни данни от предишни пробиви. При инцидент по-рано тази година Twitch стриймът на IGN беше компреметиран от неизвестен злонамерен субект, използващ идентификационни данни за Restream.io, които са стояли в бази данни с открадната информация около месец преди да бъдат експлоатирани.
Атаката подчертава важността на сканирането за изтекли идентификационни данни.
MFA значително подобрява сигурността, но нейната сила зависи от метода и околния поток на автентификация.
Еднократните кодове могат да бъдат прихванати чрез фишинг. Push известията могат да бъдат експлоатирани чрез повтарящи се подкани или социално инженерство. Фишингът тип „противник по средата“ (Adversary-in-the-middle) може да препредава идентификационни данни и MFA отговори към легитимната услуга в реално време.
Атакуващите могат също така да откраднат сесийни бисквитки след автентификация и да избегнат изцяло MFA проверката.
Репутацията на IP адресите може да идентифицира връзки от известна злонамерена инфраструктура, докато геолокацията може да сигнализира за активност от неочакван регион.
Въпреки това атакуващите могат да насочват трафика през жилищни прокси сървъри (residential proxies), мобилни мрежи или компрометирани системи. Те могат да изберат изходна точка близо до жертвата, правейки влизането да изглежда географски достоверно.
Легитимната дейност е също толкова трудна за тълкуване. Дистанционната работа и корпоративните VPN мрежи могат да генерират непознати местоположения. По-строгите политики могат да блокират повече атаки, но също така увеличават фалшивите сигнали и работата по поддръжката.
Насоките на NIST за архитектура с нулево доверие (Zero Trust Architecture) отразяват това ограничение. Документът SP 800-207 гласи, че организациите не трябва да предоставят подразбиращо се доверие единствено въз основа на физическо или мрежово местоположение.
Той разглежда автентификацията на потребителя и на устройството като отделни функции, които трябва да се извършат преди установяването на достъп до ресурсите на предприятието.