Ідентифікація — це новий периметр. Перехід до хмарних технологій та віддаленої роботи створює нові межі безпеки, що базуються на користувачах та сервісах, які працюють у хмарних та гібридних середовищах. Тому постійна перевірка ідентифікації та прав доступу стає необхідною для запобігання несанкціонованому доступу та унеможливлення використання зловмисниками помилок у налаштуваннях та надмірних прав доступу.
Тепер Cymulate Exposure Validation розширює можливості перевірки безпеки ідентифікації за допомогою моделювання реальних атак у локальних середовищах Active Directory, Microsoft Entra ID та хмарних середовищах. Ці оцінки імітують методи, що використовують зловмисники для експлуатації вразливостей, пов’язаних із підвищенням привілеїв, зловживанням токенами та гібридними довірчими відносинами, що дозволяє командам перевіряти не лише стан конфігурації, а й те, чи дійсно засоби контролю ідентифікації та механізми виявлення в хмарі запобігають зловживанням або виявляють їх.
Це розширення забезпечує відчутну економічну вигоду завдяки посиленню безпеки ідентифікації та підвищенню операційної ефективності:
- Зниження ризиків — Постійне виявлення надмірних привілеїв, помилок у налаштуваннях та слабких місць у системі довіри до того, як ними скористаються зловмисники.
- Підвищення ефективності та масштабованості — Заміна ручних аудитів, що проводяться одноразово, на автоматизовані та повторювані симуляції атак на ідентифікаційні дані.
- Зниження витрат та оптимізація зусиль — Визначення пріоритетності заходів з усунення недоліків на основі підтвердженої вразливості та прогалин у системах виявлення, щоб зосередити ресурси там, де це найважливіше.
Ідентифікаційні дані є основною площиною атаки
Останні галузеві опитування показують, що 99 відсотків порушень безпеки, пов’язаних із хмарними технологіями, спричинені незахищеними ідентифікаційними даними. Замість того, щоб використовувати складні вразливості програмного забезпечення, зловмисники зосереджуються на викраденні облікових даних, зловживанні токенами та маніпулюванні процесами автентифікації, щоб отримати законний доступ і діяти практично без перешкод.
Гучні інциденти в таких організаціях, як Snowflake, Cloudflare та Okta, відбувалися саме за цією схемою. У цих випадках зловмисники не використовували нових вразливостей чи шкідливого програмного забезпечення. Вони застосовували викрадені облікові дані або перехоплені токени сеансів, щоб отримати прямий доступ до внутрішніх систем та середовищ клієнтів. Опинившись всередині, розширення доступу та надмірні привілеї дозволили зловмисникам швидко переміщатися по системі, закріпитися в ній та отримати більш високі права. Збитки були спричинені не якоюсь однією вразливістю, а сукупним ефектом дії довірчих облікових записів, які працювали саме так, як і передбачалося.
Дослідження в галузі безпеки, проведені протягом останнього року, підтверджують цю тенденцію до зловживання ідентифікаційними даними, оскільки багато найважливіших відкриттів стосуються саме інфраструктури ідентифікації, зокрема інтеграції Azure Entra ID та Active Directory. Наприклад, Cymulate Research Labs продемонстрували атаки з ретрансляцією Kerberos та віддалене виконання коду в Azure Windows Admin Center. Серед інших значущих відкриттів — зловживання глобальними правами адміністратора за допомогою токенів Actor, виявлене Дірком Яном, та SyncJacking від Semperis.
Ці атаки не обходять засоби контролю безпеки; вони використовують надійні механізми автентифікації, ключі та ролі.
Ця реальність змінює роль керівника служби інформаційної безпеки (CISO). Тепер уже недостатньо лише визначати політику, впроваджувати засоби управління ідентифікацією та розраховувати на те, що все під контролем. Ви повинні довести, що ваші засоби захисту працюють на практиці. Вам потрібні чіткі відповіді на такі основні питання, як:
- Чи наразі ми вразливі?
- Чи можемо ми виявити зловживання ідентифікаційними даними, коли це трапляється?
- Чи дійсно наші виправні заходи усунули ризик?
- Чи можуть відхилення в конфігурації, нові користувачі або нові інтеграції непомітно знову створити вразливість?
Ризики, пов’язані з ідентифікацією, постійно змінюються, і статичні перевірки чи аудити не встигають за цими змінами. Досягти цього можна лише за допомогою перевірки вразливості ідентифікації.
Cymulate забезпечує таку перевірку за допомогою моделювання реальних атак на ідентифікаційні дані. Платформа безпечно імітує складні загрози ідентифікації, спрямовані безпосередньо на ваше середовище та засоби безпеки, застосовуючи ті самі методи, що й зловмисники. Вона показує, чи можна скористатися вразливістю, чи виявляються спроби зловживання за допомогою журналів ідентифікації, вбудованих сповіщень або робочих процесів SIEM, а також чи дозволяє усунення вразливості істотно знизити ризик. Тестування є безперервним, повторюваним і орієнтованим на реальну поведінку зловмисників, а не на контрольні списки відповідності вимогам.
Нова перевірка вразливостей з акцентом на ідентифікацію
Новий набір тестових даних Cymulate, орієнтований на ідентифікацію, містить 72 сценарії атак, об’єднані в 5 шаблонів, що дозволяють командам з безпеки легко та безпечно проводити розширені симуляції атак для перевірки надійності захисту ідентифікації — як з точки зору можливостей зловмисника, так і з точки зору телеметрії та виявлення, що забезпечуються системою SIEM.
Поширені методи атак на Active Directory
- Моделювання поширених атак на AD, таких як перебір, зловживання обліковими даними та розширення прав доступу.
- Безпечне виконання нещодавно виявлених експлойтів AD.
- Перевірка ефективності заходів запобігання та виявлення в контексті конфігурації ідентифікації та засобів контролю ідентифікації.
Microsoft Entra ID
- Моделює атаки на хмарні облікові записи, зокрема операції з високим рівнем привілеїв та зловживання сторонніми додатками Entra ID.
- Перевіряє ефективність умовного доступу, системи оповіщення та реагування.
- Перевіряє, чи засоби захисту Entra ID виявляють та локалізують випадки зловживання обліковими записами.
Гібридне середовище Azure та Active Directory
- Перевіряє безпеку ідентифікації в інтегрованих розгортаннях AD та Entra ID.
- Перевіряє дотримання політик, контроль доступу та моніторинг у межах синхронізації та токенів ідентифікації.
- Виявляє прогалини, що виникають через гібридні довірчі відносини.
Підготовка до пентесту Active Directory
- Застосовує методи атак, які зазвичай використовуються під час пентестів AD.
- Допомагає командам оцінити рівень готовності перед тестуванням силами «Red team» або сторонніми організаціями.
- Перевіряє, чи засоби контролю безпеки блокують або виявляють атаки.
Служби сертифікатів Active Directory (ADCS)
- Перевіряє методи зловживання ADCS, зокрема неправильно видані сертифікати та розширення привілеїв.
- Перевіряє виявлення атак на основі сертифікатів, які часто не виявляються традиційними засобами захисту.
- Виявляє слабкі місця в системі довіри, що дають змогу отримати довгостроковий доступ.
Перетворіть ризики, пов’язані з ідентифікацією, на докази
Атаки, спрямовані на ідентифікацію, вже стали основним способом проникнення, оскільки зловмисники використовують довіру, закладену в самій системі. Єдиний спосіб дізнатися, чи витримають ваші засоби контролю ідентифікації, — це перевірити їх так само, як це роблять зловмисники.
Для клієнтів Cymulate саме зараз настав час активувати нові сценарії, орієнтовані на ідентифікаційні дані, та постійно перевіряти рівень вразливості у середовищах Active Directory, Microsoft Entra ID та гібридних середовищах. Проведіть оцінки, проаналізуйте, що було виявлено (а що ні), перевірте ефективність моніторингу SIEM, переконайтеся, що вжиті заходи дійсно знижують ризик, та заплануйте регулярні оцінки, щоб уникнути повторного виникнення вразливостей через відхилення від конфігурації або появу нових ідентифікаційних даних.
Для команд з безпеки, які оцінюють Cymulate, ці сценарії атак на ідентифікаційні дані дають чіткий і вимірюваний спосіб оцінити готовність до протидії найпоширенішим на сьогодні методам злому.
Джерело: Validate What Matters: Simulate Real-World Identity and Privilege Attacks in AD and Entra ID
