Das 80:1-Problem: Maschinenidentität ist jetzt der Perimeter
Auf jeden Menschen in Ihrem Team kommen etwa achtzig Maschinenidentitäten, die in seinem Namen handeln. Fast keine davon hat einen Besitzer. Dieses Verhältnis ist das ganze Sicherheitsproblem.
Die Zahl, die niemand zählt
Zählen Sie die Menschen mit Zugriff auf Ihre Produktionssysteme. Zählen Sie jetzt die Service-Konten, API-Keys, Agenten und Worker, die in ihrem Namen handeln. In den meisten Unternehmen, die wir untersuchen, liegt die zweite Zahl etwa achtzigmal höher als die erste. Jeder Einzelne davon kann Daten lesen, Geld bewegen oder ein anderes System aufrufen.
Die Menschen sind geregelt. Sie haben Vorgesetzte, Offboarding, vierteljährliche Zugriffsprüfungen. Die achtzig Maschinen pro Mensch werden von einer Tabellenkalkulation, einem geteilten Secret in einer Umgebungsvariable und der Erinnerung dessen verwaltet, der sie erstellt hat. Verlässt diese Person das Unternehmen, arbeitet die Identität weiter.
Agenten verändern die Steigung, nicht nur die Zahl
Statische Service-Konten waren bereits ein Problem. Agenten machen es schlimmer, weil sie aus eigener Initiative handeln. Ein einzelner Agent kann Aufgaben erzeugen, neue Scopes anfordern und Systeme erreichen, die sein Autor nie vorausgesehen hat — alles an einem einzigen Nachmittag.
Die alte Antwort war, dem Agenten einen breiten, langlebigen Key zu geben, damit er nicht steckenbleibt. Das ist genau der falsche Instinkt. Breite plus Langlebigkeit ist dauerhaftes Risiko, und dauerhaftes Risiko ist das, was Angreifer auf dem offenen Markt kaufen.
Identität als Perimeter behandeln
Es gibt keine Netzwerkgrenze zu verteidigen, wenn Ihre Workload eine Flotte von Agenten ist, die SaaS-APIs aufrufen. Die einzige dauerhafte Grenze ist Identität: Wer ist dieser Akteur, wer sponsert ihn, und was darf er gerade jetzt tun?
Bekommen Sie das richtig hin, hört das Verhältnis von achtzig zu eins auf, beängstigend zu sein. Jede Maschine hat eine eigenständige Identität, einen namentlich benannten menschlichen Sponsor und Zugangsdaten, die auf die vor ihr liegende Aufgabe eingegrenzt sind. Die Zahl steigt weiter. Der Schadensradius nicht.
- #nicht-menschliche Identität
- #Perimeter
- #Least Privilege
More field notes
Widerruf in 4,2 Sekunden: Anatomie einer Eindämmung
Wir haben den Weg von Anomalie zu vollständigem Widerruf über jedes System gemessen, das ein Agent erreichen konnte. Hier gehen die Sekunden hin, und deshalb zählen sie.
Daniel Osei · Security Engineer
8 Min. Lesezeit