Bezpečnostní expert varuje před riziky zapomenutých nehumánních identit ve firmách

Bezpečnostní expert Aleksandr Krasnov upozorňuje na riziko, které v posledních letech zůstává v mnoha organizacích přehlíženo – neaktivní nehumánní identity. Jde o účty, tokeny a přístupová oprávnění vytvořená pro služby, aplikace, skripty nebo automatizované procesy, které se sice přestaly aktivně používat, ale z různých důvodů nebyly nikdy formálně zrušeny. Podle Krasnova právě tyto zapomenuté digitální identity představují jednu z nejzávažnějších bezpečnostních slepých skvrn současné firemní infrastruktury.

Zatímco lidské účty bývají po odchodu zaměstnance nebo ukončení projektu poměrně rychle deaktivovány, u nehumánních identit tento proces často chybí. Neaktivní nehumánní identity tak mohou zůstávat v systému měsíce i roky, aniž by je kdokoli sledoval, přitom si stále ponechávají svá původní oprávnění. To znamená, že pokud se k nim dostane útočník – ať už krádeží přístupových údajů, kompromitací sdíleného úložiště tajných klíčů nebo jiným způsobem – může získat přístup k citlivým systémům, aniž by to vyvolalo okamžité podezření. Tyto účty totiž běžně nejsou součástí standardního monitoringu uživatelské aktivity, protože nikdo neočekává, že by se měly chovat jako aktivní uživatel.

Problém podle Krasnova narůstá s tím, jak firmy stále více automatizují své procesy a nasazují množství mikroslužeb, cloudových funkcí a integrací mezi různými systémy. Každá taková komponenta typicky vyžaduje vlastní identitu s určitým rozsahem oprávnění. Když se ale technologie nebo projekt změní, tyto identity se často jednoduše ponechají v systému „pro jistotu“ nebo z časové tísně administrátorů. Výsledkem je rostoucí počet nevyužívaných, ale stále platných přístupových bodů, které rozšiřují potenciální útočnou plochu organizace.

Jako reakci na tento problém představil Krasnov open source nástroj zaměřený na detekci důvěryhodných cest v infrastruktuře. Nástroj analyzuje vztahy mezi jednotlivými identitami, jejich oprávněními a systémy, ke kterým mají přístup, a snaží se odhalit, které z těchto cest jsou skutečně aktivně využívané a které představují opuštěné, ale stále funkční spojení. Cílem je poskytnout bezpečnostním týmům přehled o tom, kudy by se mohl potenciální útočník v síti pohybovat, pokud by se mu podařilo ovládnout právě takovou zapomenutou identitu.

Otevřený zdrojový kód nástroje má podle Krasnova umožnit širší komunitě bezpečnostních specialistů nejen jeho použití, ale i další rozvoj a přizpůsobení konkrétním prostředím. Vzhledem k tomu, že struktura nehumánních identit se liší firmu od firmy podle použitých technologií a architektury, otevřený přístup má usnadnit adaptaci nástroje na různé typy infrastruktury, aniž by organizace musely spoléhat na uzavřené komerční řešení.

Krasnov zdůrazňuje, že problém neaktivních nehumánních identit nelze řešit jednorázovou kontrolou, ale je potřeba jej vnímat jako součást průběžné bezpečnostní hygieny. Bez systematického sledování a pravidelného auditu takových identit hrozí, že se jejich počet bude dále kumulovat a bezpečnostní riziko poroste úměrně s tím, jak organizace rozšiřují svou digitální infrastrukturu. Nástroj pro detekci důvěryhodných cest má sloužit právě jako pomůcka pro tento typ průběžné kontroly – umožňuje bezpečnostním tý