Masalah 80:1: identitas mesin kini menjadi perimeter
Untuk setiap manusia di tim Anda, ada sekitar delapan puluh identitas mesin yang bertindak atas namanya. Hampir tidak satu pun memiliki pemilik. Rasio itulah seluruh masalah keamanannya.
Angka yang tidak dihitung siapa pun
Hitung manusia yang memiliki akses ke sistem produksi Anda. Sekarang hitung akun layanan, kunci API, agen, dan pekerja yang bertindak atas nama mereka. Di kebanyakan perusahaan yang kami survei, angka kedua sekitar delapan puluh kali angka pertama. Masing-masing bisa membaca data, memindahkan uang, atau memanggil sistem lain.
Manusia dikelola. Mereka punya manajer, proses offboarding, tinjauan akses triwulanan. Delapan puluh mesin per manusia dikelola oleh spreadsheet, rahasia bersama di variabel lingkungan, dan ingatan siapa pun yang membuatnya. Ketika orang itu pergi, identitasnya tetap berjalan.
Agen mengubah kemiringan kurva, bukan hanya jumlahnya
Akun layanan statis sudah menjadi masalah. Agen membuatnya lebih buruk karena mereka bertindak atas inisiatif sendiri. Satu agen bisa memunculkan tugas, meminta cakupan baru, dan menjangkau sistem yang tidak pernah dibayangkan pembuatnya — semua dalam satu sore.
Jawaban lama adalah memberi agen kunci yang luas dan berumur panjang agar tidak macet. Itu justru naluri yang salah. Keluasan ditambah umur panjang adalah risiko permanen, dan risiko permanen adalah yang dibeli penyerang di pasar terbuka.
Perlakukan identitas sebagai perimeter
Tidak ada tepi jaringan untuk dipertahankan ketika beban kerja Anda adalah armada agen yang memanggil API SaaS. Satu-satunya batas yang bertahan adalah identitas: siapa aktor ini, siapa yang mensponsorinya, dan apa yang boleh dilakukannya sekarang.
Betulkan itu dan rasio delapan-puluh-banding-satu berhenti menakutkan. Setiap mesin memiliki identitas berbeda, sponsor manusia bernama, dan kredensial bercakupan sesuai tugas di depannya. Jumlahnya terus naik. Radius ledakannya tidak.
- #identitas non-manusia
- #perimeter
- #hak akses minimum
More field notes
Pencabutan dalam 4,2 detik: anatomi sebuah penanganan
Kami mengukur jalur dari anomali hingga pencabutan penuh di setiap sistem yang bisa dijangkau agen. Inilah ke mana detik-detik itu pergi, dan mengapa itu penting.
Daniel Osei · Security Engineer
8 menit baca