ВАШИНГТОН – Агенцията за киберсигурност и инфраструктурна сигурност (CISA) и Националният институт за стандарти и технологии (NIST) днес публикуваха междинен доклад (IR) 8587, Protecting Tokens and Assertions from Forgery, Theft, and Misuse: Implementation Recommendations for Agencies and Cloud Service Providers (CSPs). Докладът предоставя насоки за федералните агенции и доставчиците на облачни услуги (CSPs) за защита на токените за идентификация и твърденията (assertions), които са в основата на съвременния единен вход (SSO), федерацията и достъпа, базиран на приложни програмни интерфейси (API) – системи, които атакуващите все по-често вземат под прицел, за да се придвижват странично в корпоративните мрежи и да достигнат до чувствителни данни.

Финалният доклад включва ключова обратна връзка от близо 250 публични коментара относно валидирането на токени, управлението на тайни и откриването на заплахи в голям мащаб. Докладът също така отразява приноса от дългосрочното стратегическо сътрудничество на CISA с индустриални доставчици на облачни услуги и партньори от други агенции чрез Joint Cyber Defense Collaborative. Ангажиментите на CISA и NIST с тази група включваха технически обмен през юни 2025 г. с над 50 индустриални експерти за идентифициране на подходи за укрепване на инфраструктурата за идентификация и уебинар през януари 2026 г. за преглед на проекта на доклада. Проведени бяха и десетки индивидуални срещи с доставчици на облачни услуги за обсъждане на обратна връзка, включително Google, HashiCorp, an IBM Company, IBM, Microsoft Corporation, Okta Inc., OpenID Foundation, Oracle America, Inc., Amazon Web Services и Wiz.

„Идентификацията е новият периметър, а токените и твърденията зад нея са привлекателни цели за квалифицирани атакуващи. Тези насоки дават на агенциите и облачните доставчици ясен и практически път за укрепване на издаването, проверката и управлението на токени, така че компрометираните или фалшифицирани идентификационни данни да не могат да се превърнат във входна точка в цялото федерално предприятие“, заяви и.д. изпълнителен заместник-директор по киберсигурност на CISA Крис Бутера. „Оценявам обширната и задълбочена обратна връзка и сътрудничеството, които получихме от обществеността и нашите партньори от индустрията и правителството. Тези прозрения не само обогатиха този финален доклад, но и ще подкрепят бъдещите ресурси на CISA за справяне с възникващите заплахи, свързани с облачните технологии.“

Финалният доклад разширява версия 5.1.1 на NIST Special Publication (SP) 800-53 и контрола IA-13 от SP 800-53, като предоставя:

  • Архитектурни съображения за доставчиците на идентичност и сървърите за авторизация;
  • Подобрения в управлението на ключове, проверката на токени и контрола върху жизнения цикъл на токените;
  • Насоки за защита на SSO, федерация и API достъп, разчитащи на дигитално подписани, асиметрично криптирани токени; и
  • Принципи за конфигурируеми, прозрачни и интероперабилни контроли, поддържащи защити, съобразени с риска и адаптиращи се към заплахите в облачни среди.

Препоръките във финалния доклад се прилагат за търговски и държавно управлявани облачни услуги и подпомагат изпълнението на Изпълнителна заповед 14306 за практики за сигурна разработка на софтуер.

CISA призовава федералните агенции, доставчиците на облачни услуги и потребителите на облачни среди да прегледат и внедрят IR 8587, за да подобрят сигурността на своите облачни системи.

За повече информация относно тази инициатива прочетете прессъобщението на NIST.

CISA не подкрепя нито един търговски субект, продукт, компания или услуга, включително субекти, продукти или услуги, цитирани или посочени с връзки на тази страница. Всяко позоваване на конкретни търговски субекти, продукти, процеси или услуги чрез марка за услуга, търговска марка, производител или по друг начин не представлява и не подсказва одобрение, препоръка или предпочитание от страна на CISA. Пълен отказ от отговорност: Вижте https://www.cisa.gov/notification.

Като национална агенция за киберзащита и национален координатор за сигурността на критичната инфраструктура, Агенцията за киберсигурност и инфраструктурна сигурност ръководи националните усилия за управление, разкриване и намаляване на риска за нашата дигитална и физическа инфраструктура, на която американците разчитат всеки час от всеки ден.

Посетете CISA.gov за повече информация и ни последвайте в X, Facebook, LinkedIn, Instagram.