Identity Security: как защитить учетные записи, сервисы и ИИ-агентов от современных кибератак

За последние годы методы проведения кибератак заметно изменились. Если раньше основной целью становились уязвимости программного обеспечения, то сегодня злоумышленники все чаще стремятся получить доступ к легитимным учетным данным пользователей.

Причина достаточно проста. Современные организации активно инвестируют в защиту инфраструктуры. Используются межсетевые экраны нового поколения (NGFW), EDR, XDR, системы анализа сетевого трафика, средства защиты электронной почты и множество других решений. Прямой взлом инфраструктуры становится более сложным и дорогостоящим.

Получение действующей учетной записи зачастую оказывается значительно проще.

Для этого применяются различные методы:

• фишинговые письма;
• атаки с использованием социальной инженерии;
• подбор паролей;
• использование данных из ранее опубликованных утечек;
• кража токенов аутентификации;
• компрометация сервисных учетных записей;
• атаки типа Adversary-in-the-Middle (AiTM), позволяющие обходить многофакторную аутентификацию.

После успешной компрометации злоумышленнику уже не требуется искать дополнительные способы проникновения в систему. Он проходит аутентификацию как обычный пользователь и начинает использовать разрешенные механизмы доступа.

Именно поэтому подобные атаки значительно сложнее обнаружить. Средства защиты видят вход под реальной учетной записью, выполнение стандартных административных команд, обращение к корпоративным сервисам и доступ к данным. На первый взгляд подобная активность практически не отличается от действий обычного сотрудника.

Особенно опасной становится компрометация привилегированных учетных записей. Получив права администратора домена или владельца облачной инфраструктуры, злоумышленник может создавать новые учетные записи, изменять политики безопасности, получать доступ к критически важным системам и сохранять присутствие в инфраструктуре в течение длительного времени.

Отдельную проблему создают сервисные учетные записи. Они часто используются приложениями, интеграциями и автоматизированными процессами, обладают расширенными правами и практически не меняются годами. Во многих организациях именно такие аккаунты становятся одной из наиболее удобных точек входа.

Дополнительные риски появляются по мере развития облачных технологий. Сегодня доступ к корпоративным ресурсам осуществляется из любой точки мира, сотрудники работают удаленно, используются десятки SaaS-сервисов и публичных облачных платформ. В результате одна скомпрометированная учетная запись может открыть злоумышленнику доступ сразу к нескольким информационным системам.

Именно поэтому защита цифровых идентичностей постепенно становится одной из ключевых задач современной информационной безопасности. Вместо защиты отдельных устройств или сетевых сегментов компании переходят к контролю того, кто, к каким ресурсам и на каких условиях получает доступ.

Identity Security — это комплекс технологий и процессов, предназначенных для защиты цифровых идентичностей (Identity), управления доступом к информационным ресурсам и контроля использования учетных записей в корпоративной инфраструктуре.

Под цифровой идентичностью понимается не только логин и пароль пользователя. Identity включает все сведения, которые позволяют системе определить, кто или что пытается получить доступ к ресурсу. Это могут быть учетные записи сотрудников, сервисные аккаунты, приложения, облачные роли, API-ключи, сертификаты и другие объекты, использующие механизмы аутентификации.

Основная задача Identity Security — обеспечить, чтобы доступ к корпоративным ресурсам получали только доверенные пользователи и сервисы, обладающие необходимыми правами.

Для этого используются различные механизмы:

• многофакторная аутентификация (MFA);
• единая система входа (SSO);
• управление жизненным циклом учетных записей;
• контроль привилегированных пользователей (PAM);
• централизованное управление правами доступа;
• постоянный мониторинг использования учетных записей.

В отличие от традиционных систем управления доступом, Identity Security рассматривает цифровую идентичность как один из ключевых объектов защиты. Такой подход позволяет не только выдавать права пользователям, но и контролировать, насколько безопасно они используются на протяжении всего жизненного цикла.

В современной организации цифровыми идентичностями являются далеко не только учетные записи сотрудников. По мере развития облачных технологий, автоматизации и искусственного интеллекта количество объектов, которым требуется предоставить доступ к информационным ресурсам, постоянно увеличивается.

Наиболее распространены следующие виды Identity.

В большинстве компаний цифровые идентичности распределены между различными информационными системами. Из-за этого получить полную картину использования учетных записей становится достаточно сложно.

Наиболее часто Identity располагаются в:

• Active Directory и LDAP-каталогах;
• Microsoft Entra ID (ранее Azure) и других облачных провайдерах идентификации;
• корпоративных приложениях;
• CRM- и ERP-системах;
• VPN и системах удаленного доступа;
• облачных платформах AWS, Azure и GCP;
• Kubernetes и контейнерных платформах;
• DevOps-инструментах и системах CI/CD.

Со временем инфраструктура неизбежно накапливает устаревшие учетные записи, сервисные аккаунты с постоянными паролями, забытые API-ключи, неиспользуемые токены и избыточные привилегии. Подобные объекты редко проходят регулярный аудит и могут долгое время оставаться незаметными для специалистов по информационной безопасности.

Именно поэтому одной из ключевых задач Identity Security становится централизованный контроль всех цифровых идентичностей независимо от того, где именно они используются. Это позволяет своевременно выявлять избыточные права доступа, обнаруживать аномальную активность и значительно снижать риск компрометации корпоративной инфраструктуры.

По мере развития цифровой инфраструктуры увеличивается не только количество учетных записей, но и число способов их компрометации. Если раньше злоумышленники в основном искали уязвимости в программном обеспечении, то сегодня они все чаще атакуют сами цифровые идентичности.

Наиболее распространенными угрозами являются следующие.

Identity Security — это не отдельный программный продукт, а комплексный подход к управлению цифровыми идентичностями и доступом к корпоративным ресурсам.

Его внедрение позволяет решить сразу несколько важных задач.

Одним из наиболее активно развивающихся направлений Identity Security сегодня является ITDR (Identity Threat Detection and Response) — класс решений, предназначенный для выявления и реагирования на угрозы, связанные с использованием цифровых идентичностей.

В отличие от классических систем управления доступом, ITDR анализирует не только назначенные права пользователей, но и то, как именно они используются в реальной инфраструктуре.

Такие решения позволяют:

• обнаруживать компрометацию учетных записей;
• выявлять аномальные входы пользователей;
• контролировать использование привилегированных аккаунтов;
• фиксировать подозрительную активность сервисных учетных записей;
• выявлять попытки горизонтального перемещения злоумышленника внутри инфраструктуры;
• автоматически ограничивать доступ или блокировать скомпрометированные учетные записи.

При этом важно понимать, что ITDR не заменяет остальные компоненты Identity Security.
Например, система способна обнаружить использование украденной учетной записи, но сама по себе не управляет жизненным циклом пользователей, не выдает права доступа и не реализует многофакторную аутентификацию.

Максимальную эффективность ITDR показывает в составе комплексной архитектуры безопасности, включающей решения классов IAM, PAM, MFA и SSO. В этом случае система не только выявляет подозрительную активность, но и получает необходимый контекст для более точного обнаружения угроз и автоматического реагирования на инциденты.

Еще недавно цифровыми идентичностями считались только пользователи, сервисы и приложения. Однако с развитием искусственного интеллекта в корпоративной инфраструктуре появляется новый тип субъектов доступа — ИИ-агенты.

В отличие от обычных чат-ботов, современные ИИ-агенты способны не только отвечать на вопросы, но и самостоятельно выполнять различные действия: искать информацию в корпоративных системах, работать с документами, создавать задачи, запускать бизнес-процессы и взаимодействовать с другими приложениями через API.

Для выполнения подобных операций агенту необходим собственный доступ к корпоративным ресурсам. Фактически он получает цифровую идентичность, которая включает учетные данные, права доступа и разрешения на выполнение определенных действий.

При этом ИИ-агент может одновременно обращаться к нескольким информационным системам, использовать различные сервисные учетные записи и взаимодействовать с другими агентами. Если такие полномочия не контролируются должным образом, последствия ошибки или компрометации могут оказаться значительно серьезнее, чем при действиях обычного пользователя.

Поэтому современные подходы Identity Security постепенно распространяются и на автономные ИИ-системы. Компаниям важно понимать:

• какие цифровые идентичности используют ИИ-агенты;
• к каким ресурсам они имеют доступ;
• какие операции выполняют;
• какие права действительно необходимы для работы;
• кто отвечает за действия автономного агента.

Для ИИ-агентов также начинают применяться привычные принципы информационной безопасности: минимально необходимые привилегии, многофакторный контроль доступа к критическим операциям, ограничение времени действия прав и обязательный аудит всех действий.

По мере развития корпоративного ИИ количество подобных цифровых идентичностей будет только расти. Поэтому защита ИИ-агентов постепенно становится одним из новых направлений развития Identity Security.

Внедрение Identity Security — это не разовый проект, а последовательное развитие процессов управления доступом. Чем крупнее инфраструктура компании, тем важнее выполнять эту работу поэтапно.

Обычно внедрение включает несколько основных шагов.

Даже организации, использующие современные средства защиты, нередко допускают ошибки при управлении цифровыми идентичностями. Именно они становятся причиной многих успешных кибератак.

Наиболее распространенными являются следующие проблемы.

• Отсутствие многофакторной аутентификации для критически важных систем.
• Использование общих учетных записей несколькими сотрудниками.
• Предоставление пользователям избыточных привилегий.
• Неотключенные учетные записи уволенных сотрудников.
• Сервисные аккаунты с постоянными паролями, которые не меняются годами.
• Отсутствие контроля API-ключей, сертификатов и других машинных идентичностей.
• Недостаточный аудит действий привилегированных пользователей.
• Отсутствие постоянного мониторинга использования учетных записей.
• Предоставление ИИ-агентам более широких прав, чем требуется для выполнения их задач.

По отдельности каждая из этих ошибок может показаться незначительной. Однако именно их сочетание чаще всего позволяет злоумышленникам закрепиться в инфраструктуре и длительное время оставаться незамеченными.

Поэтому современный подход к Identity Security предполагает не только внедрение новых технологий, но и постоянный пересмотр процессов управления доступом, регулярный аудит цифровых идентичностей и контроль использования привилегий.

По мере развития облачных технологий, удаленной работы и искусственного интеллекта цифровые идентичности становятся одним из основных объектов защиты в корпоративной инфраструктуре. Сегодня злоумышленники все чаще пытаются получить несанкционированный доступ не через эксплуатацию уязвимостей, а используя легитимные учетные записи пользователей, сервисов и приложений.

Identity Security позволяет выстроить комплексную систему управления цифровыми идентичностями, объединяя процессы аутентификации, авторизации, контроля привилегий и постоянного мониторинга использования учетных записей. Такой подход помогает своевременно выявлять признаки компрометации, снижать риск внутренних и внешних угроз, а также обеспечивать безопасное развитие цифровой инфраструктуры.

По мере появления новых типов цифровых идентичностей, включая автономных ИИ-агентов, значение Identity Security будет только возрастать. Поэтому компаниям уже сегодня важно выстраивать процессы, которые обеспечат прозрачное управление доступом, минимизацию привилегий и постоянный контроль всех субъектов, взаимодействующих с корпоративными информационными системами.