Jak atakujący wykorzystują tożsamość: powierzchnia ataku na tożsamość

dlaczego tożsamość jest dziś główną powierzchnią ataku

Perymetr sieci się rozpadł. Praca toczy się w aplikacjach SaaS, które działają poza siecią firmową, w infrastrukturze chmurowej, do której perymetr nigdy nie sięgał, i na portalach dla kontraktorów, które nigdy w pełni nie podlegały IT. Wszystkie te środowiska łączy jedno: tożsamość, czyli login i hasło, token sesji, asercja federacyjna.

Według raportu Verizon DBIR wykorzystanie skradzionych danych uwierzytelniających było czynnikiem w 36% naruszeń. Dane uwierzytelniające to najbardziej niezawodna i wielokrotnego użytku droga do środowiska. Skradziony login działa na każdym systemie, do którego dane konto ma dostęp. Nie uruchamia alarmów sieciowych. Wygląda jak normalna aktywność użytkownika, dopóki nie przestaje. Tożsamość to dziś miejsce, gdzie ataki się zaczynają, gdzie się rozprzestrzeniają i gdzie musi się skoncentrować obrona.

phishing i kradzież danych uwierzytelniających

Jak to działa. Phishing to najczęstszy punkt wejścia. Atakujący wysyła wiadomość, która wygląda, jakby pochodziła z zaufanego źródła, i nakłania ofiarę do wpisania danych logowania na fałszywej stronie, pobrania złośliwego oprogramowania albo wykonania działania, które daje dostęp. Bardziej celowane warianty, znane jako spear-phishing, są przygotowywane z użyciem szczegółów personalnych. Najbardziej ukierunkowane kampanie celują w kadrę zarządzającą i dział finansowy.

Sygnały ostrzegawcze. Logowania z nietypowych lokalizacji albo urządzeń krótko po wpisaniu danych logowania. Uwierzytelnienie z dwóch lokalizacji w oknie czasowym fizycznie niemożliwym do pokonania. Konta próbujące zalogować się do systemów, do których wcześniej nie miały dostępu.

Kontrola. MFA odporne na phishing eliminuje dane logowania jako obiekt do przejęcia. FIDO2 i passkeye wiążą odpowiedź uwierzytelniającą z konkretną, legalną domeną, więc dane przechwycone na fałszywej stronie nie działają na tej prawdziwej. MFA blokuje ponad 99,2% ataków na przejęcie konta (Microsoft). Szkolenia z zakresu świadomości bezpieczeństwa obniżają skuteczność ataków, ale nie zastępują kontroli technicznych.

credential stuffing

Jak to działa. Gdy naruszenia danych ujawniają pary login-hasło, te dane są sprzedawane i systematycznie wykorzystywane wobec innych usług. Boty przeganiają listy skradzionych danych logowania przez punkt logowania, aż znajdą trafienie. Atak działa, bo wiele osób powtarza te same hasła w różnych kontach. Przy odpowiedniej skali nawet niski wskaźnik skuteczności daje sporą liczbę przejętych kont.

Sygnały ostrzegawcze. Duża liczba nieudanych logowań do tego samego punktu w krótkim czasie. Wiele nieudanych prób z adresów IP rozproszonych geograficznie. Udane logowania z zakresów IP wcześniej kojarzonych z nieudanymi próbami.

Kontrola. Wykrywanie botów i rate limiting sprawiają, że automatyczne przeganianie list traci sens. MFA przerywa atak, nawet gdy hasło jest poprawne. Sprawdzanie swoich domen w bazach naruszeń pozwala zidentyfikować konta, których dane aktualnie krążą w obiegu.

brute force i password spraying

Jak to działa. Bezpośredni brute force próbuje każdej możliwej kombinacji hasła. W praktyce większe znaczenie mają bardziej praktyczne warianty. Password spraying próbuje jednego popularnego hasła na wielu kontach, na tyle wolno, żeby nie przekroczyć progu blokady konta. Offline brute force ma miejsce, gdy atakujący zdobył bazę zahaszowanych haseł i może próbować łamać hashe z dużą prędkością na własnych systemach, bez żadnej polityki blokady po drodze.

Sygnały ostrzegawcze. Wzorzec pojedynczych nieudanych prób logowania rozłożonych na wiele kont, często poza godzinami pracy. Przy atakach offline sygnałem ostrzegawczym jest samo naruszenie danych, które ujawniło plik z hashami.

Kontrola. Blokada konta odpowiada na bezpośredni brute force. Reguły detekcji wzorca „jedna próba na wiele kont" odpowiadają na password spraying. MFA sprawia, że samo odgadnięte hasło nie wystarcza.

initial access brokers

Jak to działa. Initial access brokers zdobywają dostęp do organizacji i sprzedają go, zamiast wykorzystywać samodzielnie. Skupiają się na powtarzalnych technikach, przede wszystkim na przestarzałych systemach dostępu zdalnego, niezałatanych VPN-ach i sposobach na obejście MFA. Zdobyty dostęp trafia potem do innych aktorów, często operatorów ransomware. Kupujący nabywa działające dane logowania albo sesję i od tego zaczyna.

Sygnały ostrzegawcze. Uwierzytelnienie o nietypowych porach, z nietypowych urządzeń albo lokalizacji, niepasujące do ustalonych wzorców. Dostęp do systemów, z których dane konto wcześniej nie korzystało. Użycie danych logowania, którego nie da się powiązać z żadnym znanym działaniem użytkownika.

Kontrola. Szybko łataj systemy wystawione publicznie. Wymagaj MFA na wszystkich ścieżkach dostępu zdalnego. Ogranicz dostęp VPN do zarejestrowanych i zarządzanych urządzeń. Monitoruj uwierzytelnienia odbiegające od ustalonych wzorców.

MFA fatigue i obejście MFA

Jak to działa. Atakujący z poprawnym hasłem wysyła serię próśb o potwierdzenie MFA typu push, generując strumień powiadomień, aż ofiara zatwierdzi jedno przez przypadek albo z frustracji. Proxy typu adversary-in-the-middle (AiTM) przechwytują w czasie rzeczywistym zarówno dane logowania, jak i token sesji, całkowicie omijając MFA. SIM swapping przekierowuje numer telefonu na kartę SIM kontrolowaną przez atakującego, co odsłania kody wysyłane SMS-em.

Sygnały ostrzegawcze. Wiele próśb push MFA w szybkiej sekwencji, których właściciel konta nie zainicjował. Zakończone uwierzytelnienia o nietypowych porach albo z nietypowych lokalizacji.

Kontrola. Uwierzytelnienie push z number matching wymaga od użytkownika potwierdzenia wyświetlonego kodu przed zatwierdzeniem, co znacznie utrudnia przypadkowe zatwierdzenie. Klucze sprzętowe FIDO2 i passkeye nie są podatne na proxy AiTM, bo uwierzytelnienie jest związane z domeną źródłową. Zastąp MFA oparte na SMS aplikacją uwierzytelniającą albo kluczem sprzętowym, żeby wyeliminować ścieżkę ataku przez SIM swapping.

przejęcie sesji i kradzież tokenów

Jak to działa. Po udanym uwierzytelnieniu systemy wystawiają tokeny albo ciasteczka reprezentujące aktywną sesję. Jeśli atakujący zdobędzie jeden z nich, może uzyskać dostęp do systemów bez oryginalnych danych logowania czy MFA. Tokeny można wykraść z pamięci przeglądarki przez złośliwe rozszerzenia, przechwycić w niezaufanej sieci albo wyciągnąć z pamięci przejętego urządzenia końcowego. Kradzież tokenu następuje po uwierzytelnieniu: działa w ramach sesji, która została już legalnie ustanowiona, dlatego samo MFA nie rozwiązuje tego problemu w pełni.

Sygnały ostrzegawcze. Aktywność sesji z lokalizacji niepasujących do wcześniejszych wzorców. Tokeny używane długo po spodziewanym oknie aktywności. Równoczesne sesje z kilku różnych lokalizacji na tym samym koncie.

Kontrola. Krótkotrwałe tokeny skracają okno, w którym skradziony token jest przydatny. Powiązanie tokenu z kontekstem urządzenia albo IP sprawia, że traci ważność w innym kontekście. Nagłówki HTTPS i HSTS zmniejszają ryzyko przechwycenia w trakcie transmisji. Zabezpieczenia punktów końcowych wykrywające złośliwe rozszerzenia przeglądarki eliminują wektor kradzieży u źródła.

eskalacja i nadużycie uprawnień

Jak to działa. Eskalacja uprawnień przesuwa atakującego z konta o niższych uprawnieniach na konto o wyższych, wykorzystując błędy konfiguracji, nadmiarowe uprawnienia albo jedno przejęte konto, żeby dosięgnąć drugiego z szerszymi prawami. Nadużycie uprawnień to co innego: atakujący działający w granicach tego, co przejęte konto już może, może wyrządzić poważne szkody, jeśli to konto było nadmiernie uprzywilejowane. Konto analityka, które zachowało uprawnienia administratora z poprzedniej roli, albo konto kontraktora z dostępem do zapisu w środowisku produkcyjnym, to ryzyko nadużycia bez żadnego kroku eskalacji. MITRE ATT&CK dokumentuje eskalację uprawnień jako jedną z najbardziej konsekwentnie obserwowanych taktyk w realnych naruszeniach, zwykle pojawiającą się krótko po uzyskaniu wstępnego dostępu.

Sygnały ostrzegawcze. Dostęp do zasobów wykraczających poza normalną aktywność konta. Wiele błędów odmowy dostępu, po których następuje udany dostęp do tego samego zasobu inną ścieżką. Zmiany przypisań ról wykonane przez konta, które zwykle nie zajmują się zarządzaniem dostępem.

Kontrola. Least privilege: przydzielaj tylko uprawnienia potrzebne do bieżącej roli i usuwaj je, gdy potrzeba mija. Regularne przeglądy dostępów wychwytują narosłe nadwyżki. Rozdzielenie kont do codziennej pracy od kont administracyjnych zapobiega temu, żeby przejęte konto codzienne od razu miało dostęp na poziomie administratora.

nadużycie federacji i SSO

Jak to działa. Uwierzytelnianie federacyjne pozwala użytkownikowi zalogować się raz u dostawcy tożsamości i być zaufanym we wszystkich połączonych systemach. Jeśli atakujący przejmie dostawcę tożsamości albo wykorzysta źle skonfigurowaną relację zaufania, zyskuje dostęp do wszystkiego, co jest podłączone do federacji. Częste błędy implementacyjne umożliwiające fałszowanie albo powtórne użycie tokenów to brak walidacji terminu ważności tokenu, brak sprawdzania pola wystawcy, brak walidacji podpisów i niedokładne mapowanie identyfikatorów podmiotu. Słabsi partnerzy federacyjni w łańcuchu dostaw to również udokumentowany punkt wejścia.

Sygnały ostrzegawcze. Uwierzytelnione sesje, których nie da się powiązać z rzeczywistym zdarzeniem logowania u dostawcy tożsamości. Asercje z nietypowymi wartościami wystawcy albo znacznikami czasu. Zdarzenia uwierzytelnienia od nieoczekiwanych partnerów federacyjnych.

Kontrola. Ścisła walidacja tokenów u każdej strony ufającej: sprawdzaj pole wystawcy, waliduj podpisy, szybko odrzucaj wygasłe tokeny, precyzyjnie mapuj identyfikatory podmiotu. Ogranicz relacje zaufania federacyjnego do tego, co aktualnie potrzebne. Zestawiaj zdarzenia uwierzytelnienia w IdP z tworzeniem sesji po stronie odbiorczej, żeby wykryć sfałszowane albo powtórnie użyte asercje.

przejęcie konta uprzywilejowanego

Jak to działa. Konta administracyjne, właściciele konsol chmurowych, administratorzy baz danych i konta serwisowe z szerokimi uprawnieniami to cele o najwyższej wartości. Przejęcie kontroli nad jednym z nich daje dostęp do wielu systemów naraz. Przejęcie konta uprzywilejowanego może być punktem końcowym phishingu, credential stuffingu albo przejęcia sesji, wymierzonym konkretnie w cele administracyjne. Konta serwisowe to specyficzne ryzyko: długo żyjące dane logowania, szerokie uprawnienia i brak odpowiednika MFA w wielu konfiguracjach.

Sygnały ostrzegawcze. Działania na poziomie administratora odbiegające od ustalonych wzorców, zwłaszcza poza godzinami pracy. Zmiany ustawień logowania albo konfiguracji audit trail wykonane przez konta, które zwykle się tym nie zajmują. Nowe konta tworzone od razu z podwyższonymi uprawnieniami.

Kontrola. Oddziel konta administracyjne od kont do codziennej pracy. Zastosuj MFA na każdym koncie administracyjnym. Trzymaj zakres konta administracyjnego tak wąski, jak faktycznie wymaga tego rola. Regularnie przeglądaj konta uprzywilejowane. Loguj każdą aktywność uprzywilejowaną. Dla kont serwisowych, gdzie to możliwe, stosuj krótkotrwałe i zawężone dane logowania, z ograniczeniami IP i monitoringiem anomalii.

inżynieria społeczna wspierana deepfake'ami

Jak to działa. Syntetyczne audio i wideo stały się na tyle dostępne, że atakujący wykorzystują je do podszywania się pod zaufane osoby. Pracownik finansów odbierający pozornie rozmowę wideo od CFO, agent helpdesku resetujący hasło komuś, kto brzmi przekonująco, proces weryfikacji tożsamości oszukany przez syntetyczną twarz: to wszystko udokumentowane wzorce ataku. Sam etap weryfikacji staje się celem ataku.

Sygnały ostrzegawcze. Nietypowe prośby napływające nietypowymi kanałami. Presja, żeby działać szybko i pominąć standardową weryfikację. Niespójności w jakości obrazu albo dźwięku.

Kontrola. Weryfikacja out-of-band dla żądań wysokiego ryzyka: potwierdź prośbę osobnym kanałem, korzystając z wcześniej ustalonego sposobu kontaktu. W procesach helpdesku, wieloetapowa weryfikacja oparta na czymś, czego atakujący nie wygeneruje z publicznie dostępnych źródeł.

co to wszystko łączy: widoczność

Każda technika opisana w tym przewodniku generuje sygnały: nietypowe pory uwierzytelnienia, konta korzystające z systemów, do których wcześniej nie miały dostępu, sesje aktywne po spodziewanym wygaśnięciu, działania administracyjne odbiegające od normalnych wzorców. W większości środowisk te sygnały istnieją i pozostają niewykryte, bo nikt nie jest w stanie ich zobaczyć.

Widoczność to warunek konieczny, żeby kontrole opisane w tym przewodniku w ogóle działały. Przeglądy dostępów zależą od wiedzy, jakie konta istnieją. Sprawdzenie pokrycia MFA zależy od inwentarza kont i aplikacji. Wykrywanie anomalii zależy od punktu odniesienia. Offboarding zależy od pełnej listy systemów do odebrania dostępu. Nie da się bronić powierzchni ataku na tożsamość, której się nie widzi. Punkt startowy to pełny obraz środowiska tożsamości: każde konto, każda aplikacja, każde uprawnienie, zmapowane względem aktualnych ról i potrzeb dostępowych.

jak to się przekłada na SOC 2, ISO 27001, NIS2 i DORA

Techniki ataku na tożsamość opisane w tym przewodniku mają bezpośrednie odzwierciedlenie w kontrolach, jakich oczekują główne standardy.

SOC 2. Trust Services Criteria obejmują kontrolę dostępu logicznego (CC6.1, CC6.2, CC6.3): nadawanie, modyfikację i odbieranie dostępu, a także monitoring i wykrywanie anomalii. Wymuszanie MFA, least privilege, przeglądy dostępów i offboarding wprost odpowiadają kryteriom, które sprawdzają audytorzy.

ISO 27001. ISO 27001:2022 Annex A zawiera kontrole dotyczące zarządzania dostępem (A.5.15 do A.5.18), uwierzytelniania (A.8.5) i monitoringu (A.8.16). Zarządzanie dostępem uprzywilejowanym (PAM) ma własną kontrolę (A.8.2). Techniki ataku opisane tutaj pokazują, przed czym każda z tych kontroli ma faktycznie chronić.

NIS2. Artykuł 21 wymaga od podmiotów objętych regulacją wdrożenia polityk kontroli dostępu i uwierzytelniania jako części zarządzania ryzykiem cyberbezpieczeństwa. Powierzchnia ataku na tożsamość to dokładnie to, co te wymogi mają ograniczać. MFA, przeglądy dostępów i kontrola kont uprzywilejowanych to ich operacyjna realizacja.

DORA. Artykuł 9 określa wymogi bezpieczeństwa ICT dla podmiotów finansowych, z wyraźnym naciskiem na zarządzanie dostępem uprzywilejowanym, uwierzytelnianie i monitoring. Techniki przejęcia konta uprzywilejowanego i przejęcia sesji odpowiadają bezpośrednio ryzykom, wobec których DORA oczekuje kontroli po stronie organizacji. Te same kontrole, które ograniczają ekspozycję na techniki opisane w tym przewodniku, to dokładnie to, czego oczekują standardy.