Видимостта на самоличностите е отправна точка за съвременната сигурност на самоличностите, тъй като откраднатите и злоупотребени идентификационни данни са сред най-често докладваните вектори за първоначален достъп в изследванията на пробиви, включително годишния Data Breach Investigations Report на Verizon. Тази статия обяснява какво означава видимост на самоличностите в IAM, защо облачните и мултиоблачните среди я усложняват, кои възможности са от значение в инструментите за видимост на самоличностите и как да изградите практична програма.
Какво е видимост на самоличностите?
Видимостта на самоличностите е способността да се вижда всяка самоличност в дадена среда, до какво има достъп тя и как този достъп действително се използва по време на работа (runtime). Тя комбинира инвентаризация, картографиране на правата (entitlements) и поведенческа телеметрия в една непрекъсната картина вместо периодична моментна снимка.
Важната разлика е между намерение и изпълнение. Платформите за управление на самоличностите и достъпа (IAM) изразяват намерението на политиката: кой трябва да има достъп, при какви условия и за колко време. Приложенията и инфраструктурата разкриват изпълнението: кои идентификационни данни са се удостоверили, кои разрешения са били упражнени и кои пътища са били поети.
Пространството между тези два слоя е мястото, където живее „тъмната материя на самоличностите“: локални акаунти в приложенията, вградени идентификационни данни за услуги, остарели потоци за удостоверяване и интеграции, които никога не са били въведени в централен доставчик на самоличности (IdP). Тази скрита повърхност е това, което прави видимостта проблем на сигурността, а не административен такъв.
Защо видимостта на самоличностите се превърна в критично предизвикателство за IAM
Тъмната материя на самоличностите рядко е изолиран частен случай. Тя е чест страничен продукт от десетилетие на внедряване на SaaS, облачна миграция и автоматизация. Когато организациите добавят системи по-бързо, отколкото техните програми за самоличности могат да ги усвоят, разликата между документирания достъп и реалния достъп се увеличава.
Нарастващата повърхност за атака срещу самоличностите
Атакуващите са се адаптирали към тази разлика. Вместо да внедряват зловреден софтуер, за чието улавяне са настроени инструментите за крайни точки, много пробиви сега започват с компрометирани легитимни идентификационни данни, използвани в рамките на разрешенията, които тези данни вече притежават. Резултатната активност може да наподобява отблизо нормално оперативно поведение.
Фактори за растежа на повърхността за атака срещу самоличностите
- Внедряване, базирано на идентификационни данни: Фишингът, кражбата на токени и прихващането на сесии генерират събития за удостоверяване, които наподобяват нормално потребителско поведение в логовете на IdP.
- Машинни и нечовешки самоличности: Акаунтите за услуги, API ключовете и идентификационните данни за работно натоварване (workloads) често превъзхождат по брой акаунтите на служителите в среди с интензивно използване на облачни услуги и често нямат срок на валидност.
- Локални акаунти в приложенията: Системите, които се удостоверяват извън единичния вход (SSO), може никога да не се появят в централизираните прегледи на достъпа.
- Агентни AI работни натоварвания (Agentic AI workloads): Автономните агенти действат с делегирани разрешения в множество системи, често с темпо и обем, които ръчният преглед не може да съпостави.
Защо традиционното IAM отчитане не е достатъчно
Повечето IAM отчети описват конфигурацията: членство в групи, назначения на роли и каталози с права. Тези данни отговарят на въпроса какъв достъп е бил предоставен, но не и дали приложението го е приложило, дали акаунтът все още има човек за собственик или дали разрешението е било използвано през последната година.
Платформите за управление (Governance platforms) също са склонни да отчитат свързаните към тях приложения, вместо да проверяват покритието независимо. Ако дадено приложение никога не е било интегрирано, то не се появява в отчета, а липсата може да бъде погрешно приета за съответствие (compliance).
Разбиране на видимостта на самоличностите в IAM: основни концепции
Проверката, а не предположението, е организиращият принцип зад видимостта на самоличностите в IAM. Три концепции правят тази проверка възможна: точна инвентаризация, картографирани връзки за достъп и непрекъснат контекстуален анализ.
Самоличности, права и връзки за достъп
Инвентаризацията на самоличностите изброява субектите. Картата на правата обяснява какво може да прави всеки субект. Връзките за достъп свързват двете в различните системи, разкривайки ефективните разрешения вместо номиналните.
Ефективният достъп често е по-широк от предвидения. Потребител, на когото е назначена скромна роля в приложение, може да наследи административни възможности чрез влагане на групи, споделен акаунт за услуги или връзка на доверие между облачни акаунти. Картографирането на връзките разкрива тези верижни пътища, а именно тези пътища са това, което киберпрестъпниците преминават по време на странично придвижване (lateral movement).
Непрекъснато откриване и контекстуален анализ на риска
Откриването отговаря на по-труден въпрос от инвентаризацията: какво съществува, което никой не е регистрирал? Непрекъснатото откриваемост извлича данни за самоличността директно от приложенията и инфраструктурата, изкарвайки на повърхността локални акаунти, вградени идентификационни данни и методи за удостоверяване, които централизираните IAM платформи никога не са записвали.
След това контекстът превръща констатациите в приоритети. Неактивен акаунт с достъп за четене до тестова система е шум с ниски последствия. Неизтичащи идентификационни данни за автоматизация с достъп за писане в производствена среда, без назначен собственик и без многофакторно удостоверяване (MFA) носят значително по-висок риск.
Видимост на облачните самоличности и предизвикателството при видимост на мултиоблачните самоличности
Контекстът се фрагментира в момента, в който данните за самоличността пресекат границите на доставчиците. Видимостта на облачните самоличности е трудна не защото на облачните платформи им липсва логване, а защото всяка от тях моделира самоличността по различен начин и нито една от тях не описва случващото се в останалите.
Силози на самоличности между облачните доставчици и SaaS приложенията
Всяка платформа изразява разрешенията в свой собствен терминологичен речник. Видимостта на мултиоблачните самоличности е практиката за нормализиране на тези речници, така че една самоличност да може да бъде проследена във всяка среда, до която се докосва.
Модели на самоличност, които изискват нормализация
- AWS: Роли, политики, базирани на самоличност и ресурси, както и приемане на роли между акаунти (cross-account role assumption) определят до какво може да достигне даден принципал.
- Azure/Entra ID: Принципали на директорията, назначения на роли в Azure RBAC и съгласувани разрешения за приложения (делегирани обхвати и обхвати на приложения).
- Google Cloud: Сервизни акаунти и IAM обвързвания (bindings), които наследяват обхват през йерархията на организацията, папката и проекта.
- SaaS приложения: Собственически администраторски нива, персонализирани роли и локални акаунти, които никога не стигат до доставчика на самоличности.
Без нормализация екипите по сигурност преглеждат всяка платформа поотделно и могат да пропуснат свързващата тъкан: федеративното доверие, приемането на роли между акаунти и споделените идентификационни данни, които позволяват на самоличност в един облак да действа вътре в друг. Облачното странично придвижване обикновено следва тези IAM връзки на доверие, а не мрежовите пътища.
Човешки, машинни и нечовешки самоличности в облака
Машинните идентификационни данни са подмножество от нечовешки идентификационни данни (non-human identities) и в облачните среди те често представляват мнозинството от субектите (principals). Автоматизацията на инфраструктурата ги създава — пайплайни, изпълнения на Terraform, инструменти за оркестрация — вместо събития от типа „постъпване-преместване-напускане“ (joiner-mover-leaver), управлявани от отдел „Човешки ресурси“, така че те са склонни да заобикалят управлението на жизнен цикъл, изградено за служителите.
Идентификационните данни от управляващото ниво (control-plane identities) заслужават специално внимание. Тъй като те конфигурират самата инфраструктура, компрометирани идентификационни данни за автоматизация могат да създадат нов достъп, да променят конфигурацията на логовете или да деактивират контролите, предназначени за откриването им. Всяка нечовешка самоличност се ползва от същите атрибути на управление като човешкия акаунт: посочен собственик, заявена цел, график за изтичане или ротация и активен мониторинг.
Инструменти за видимост на самоличностите (IVIP): списък с основни възможности
Мониторингът на машинни и човешки идентификационни данни в мащаб е работа на платформите за видимост и интелигентност на самоличностите (IVIP) — категория, която се появи, тъй като инструментите за управление, облачна съвкупност от мерки за сигурност (cloud posture) и откриване адресираха само част от проблема. Доставчиците по-долу подхождат към него от различни архитектурни начални точки.
Платформи за видимост на самоличностите и техните основни подходи
Списъкът е илюстративен, а не изчерпателен, и не е подреден по производителност. Наборите от възможности се застъпват и се променят често, затова ги оценете спрямо вашата собствена среда и изисквания. Обърнете внимание, че тази страница е публикувана от Orchid Security, която фигурира в списъка.
- Orchid Security: Открива самоличности, права на достъп (entitlements) и потоци на автентификация директно от приложенията и инфраструктурата, вместо да разчита само на данни за конфигурацията на IAM, и превръща тази телеметрия в готови за одит доказателства за съответствие. Ориентирана е към слепите петна на ниво приложение.
- Veza: Граф на достъпа, ориентиран към наблюдаемостта (observability), който картографира ефективните разрешения в среди с данни, облачни платформи и SaaS, с акцент върху анализа на връзките между правата на достъп.
- SailPoint: Платформа за сигурност на самоличностите, ориентирана към управлението, фокусирана върху управление на жизнен цикъл, кампании за сертификация и прилагане на политики в корпоративен мащаб.
- Saviynt: Конвергирано управление и управление на облачните права за достъп, комбиниращо работни процеси за управление и администрация на самоличностите (IGA) с анализ за управление на правата в облачната инфраструктура (CIEM).
- Silverfort: Видимост и прилагане на автентификация по време на изпълнение (runtime), включително за остарели (legacy) и неуправлявани системи, които не могат лесно да бъдат интегрирани към модерен SSO.
- Semperis: Защита, ориентирана към сигурността (posture-centric), за Active Directory и Entra ID, акцентираща върху хигиената на конфигурацията, анализа на пътищата на атака и възстановяването.
- CrowdStrike Falcon Identity Protection: Откриване и реагиране на заплахи, свързани със самоличността (ITDR), ориентирано към откриването и тясно свързано с телеметрията на крайните точки и работните товари (workloads).
Обединен инвентар на самоличностите и картографиране на достъпа
Независимо от началната архитектура, базовата възможност е същата: един авторитетен инвентар, който съпоставя самоличностите в IdP среди, облачни платформи, приложения и инфраструктура, а след това картографира ефективния достъп между тях.
Полезен тест за този инвентар е дали включва самоличности, които никой не е регистрирал. Платформа, която чете само конфигурацията на IAM, ще възпроизведе слепите петна, които вече присъстват в IAM. Откриването на ниво приложение разграничава отчета от инвентара.
Откриване на рискове, анализи и работни процеси за отстраняване
Инвентарът без анализ създава по-дълъг списък, а не по-сигурна среда. Качеството на откриване зависи от поведенческата базова линия: познаване на това как изглежда нормалната употреба за дадени идентификационни данни, преди да се съди за отклонение.
Аналитични възможности, които си струва да бъдат оценени
- Поведенческо базиране (behavioral baselining): Разграничава рутинната дейност по автоматизация от аномално използване на привилегии със същите идентификационни данни.
- Анализ на пътищата на атака: Оценява дали дадена неправилна конфигурация е експлоатируема предвид разрешенията, достъпността и контекста по време на изпълнение.
- Картографирания на техниките: Подравнява констатациите към техниките на MITRE ATT&CK, свързани със самоличността, като Valid Accounts (T1078), така че аналитиците да могат да разсъждават върху поведението на атакуващия, вместо върху изолирани сигнали за предупреждение.
- Маршрутизиране за отстраняване: Изпраща констатациите на съответния екип собственик с доказателствата, необходими за действие, вместо към споделена опашка.
Как видимостта и интелигентността на самоличностите се вписват в рамката на самоличностите (identity fabric)
Видимостта и интелигентността на самоличностите не са заместващ слой. Те са слоят за наблюдаемост (observability layer), който прави съществуващите инвестиции в самоличности проверими.
Свързване на IAM, IGA, PAM и операциите по сигурност
IAM платформите обикновено работят в две измерения: фаза на проектиране (design time), покриваща жизнен цикъл, политика и предоставяне на ресурси (provisioning), и фаза на изпълнение (runtime), покриваща прилагането на автентификация и авторизация. Платформите за видимост наблюдават и двете и докладват разликата между тях.
Това докладване захранва всяка съседна система по различен начин. IGA получава доказателства, че сертификациите отразяват реалния достъп. Управлението на привилегирования достъп (PAM) получава откриване на привилегировани акаунти, работещи извън хранилището (vaulting). Операциите по сигурност получават контекст за самоличността, който може да скъси времето за реконструиране на хронологията по време на разследване, вместо да се изисква от аналитиците да сглобяват събития от няколко различни конзоли.
Използване на интелигентността на самоличностите в подкрепа на Zero Trust
Zero Trust (нулево доверие), както е описано в NIST SP 800-207, предполага непрекъсната проверка, а непрекъснатата проверка изисква непрекъснато наблюдение. Решенията за достъп са толкова добри, колкото и сигналът зад тях: контекст на сесията, тип идентификационни данни, историческо поведение и чувствителност на целевата система.
Интелигентността на самоличностите осигурява този сигнал. Тя осигурява и противотежестта: доказателство за това къде прилагането всъщност не се случва, като например приложения, които все още приемат остарели протоколи за автентификация, или администраторски акаунти без MFA.
Реални случаи на употреба и добри практики за внедряване
Приоритетизацията е мястото, където много програми успяват или забиват. Зрелите организации са склонни да разглеждат видимостта на самоличностите като пътуване към зрялост: от ръчно, статично управление, към автоматизиран и непрекъснат контрол, до поведенческа наблюдаемост в приложенията и инфраструктурата.
Приоритетизиране на високорискови самоличности и прекомерни привилегии
Разрастването на разрешенията (permission sprawl) е честа констатация в облачните среди, често защото IAM политиките са били предоставени широко по време на внедряването и никога след това не са били коригирани до правилния размер. Започнете оттам, където излишните привилегии се пресичат с излагането на риск.
Практичните първи цели включват сервизни акаунти без собственик с достъп за запис в производствена среда, административни акаунти, които се удостоверяват без MFA, идентификационни данни, които никога не са били ротирани, и неактивни акаунти, принадлежащи на напуснали служители. Всеки от тях представлява конкретна констатация с възможност за отстраняване и с ясен собственик, което изгражда доверие към цялостната програма.
Изграждане на поетапна програма за видимост на самоличностите
Последователността е от значение, тъй като откриването генерира голям обем, а обемът без път за отстраняване създава умора от сигнали за сигурност.
Последователност на внедряване на програмата
- Определяне на обхвата: Идентифицирайте най-критичните приложения и облачни акаунти, при които компрометирането на самоличност би причинило най-големи щети.
- Директно откриване: Извличайте данни за самоличностите и правата за достъп от тези приложения и инфраструктурни слоеве, а не само от IdP.
- Картографиране на ефективния достъп: Разрешавайте влагането на групи, отношенията на доверие и наследените разрешения в реални възможности за достъп.
- Задаване на собственост: Предоставете на всеки акаунт, включително и на нечовешките (неперсоналните), определен човешки собственик и дата за преглед или изтичане.
- Мониторинг на поведението: Определете базова линия за нормална употреба и генерирайте сигнали при отклонения в използването на привилегии и моделите на удостоверяване.
- Автоматизация на доказателствата: Генерирайте артефакти за съответствие от телеметрия в реално време, вместо да сглобявате отново електронни таблици при всеки одитен цикъл.
Времевите рамки варират значително в зависимост от сложността на средата, броя на приложенията и наличността на собствениците на приложенията.