Продвинутые угрозы ранее были уделом высококвалифицированных и хорошо финансируемых злоумышленников. Инфраструктурные команды могли на практике внедрять «достаточно надежную» безопасность для снижения нагрузки в повседневной работе, поскольку методы государственного уровня требовали бюджетов, времени и опыта, которых у большинства злоумышленников не было. Это предположение больше не актуально. ИИ делает сложные возможности атак более дешевыми, быстрыми и доступными для гораздо большего числа злоумышленников.
Недавний инцидент с Hugging Face сделал это изменение очевидным. Автономный агент ИИ связал воедино обычные уязвимости в производственной инфраструктуре, использовал чрезмерно широкие учетные данные и действовал с масштабом, который не под силу ни одному оператору-человеку. Когда злоумышленники могут действовать со скоростью машин, пути привилегированного доступа, построенные на постоянных учетных данных и разрозненной политике, становятся все более опасной формой доверия.
Поскольку эта модель угроз меняется, идентификация больше не может ограничиваться границами приложения. Она должна следовать за людьми, машинами и агентами ИИ, которые действуют на критически важной сетевой инфраструктуре. Недавнее объявление Cisco о партнерстве с Teleport представило концепцию «идентификации инфраструктуры» (Infrastructure Identity): связывание того, кто или что действует, с тем, к чему это имеет доступ, что произошло и что ему разрешено делать.
Доступ к инфраструктуре имеет проблему идентификации
Представьте себе инфраструктурного администратора, выполняющего обновление конфигурации на сотнях коммутаторов во время окна обслуживания. Когда часть из них дает сбой, администратору необходимо быстро устранить неполадки до закрытия окна. Но доступ и привилегии, необходимые для выполнения этой работы, часто шире и постояннее, чем требует задача.
Организации вложили значительные средства в защиту доступа сотрудников к приложениям с помощью единого входа (SSO), многофакторной аутентификации и элементов управления на основе рисков. Тем не менее, когда сетевой инженер входит в систему маршрутизатора или коммутатора, эти элементы управления на основе идентификации часто не применяются. Доступ по-прежнему может зависеть от долгоживущих учетных данных, общих учетных записей или раздельных систем политик, что затрудняет соблюдение принципа наименьших привилегий и отслеживание того, кто и что сделал.
Традиционное управление привилегированным доступом (PAM) может снизить часть этого риска за счет использования хранилищ и ротации учетных данных. Но когда одобренные пути замедляют срочную работу, команды могут создавать исключения, превращая обходной путь в норму и оставляя доступные привилегии и учетные данные на месте даже после завершения задачи. Если безопасный путь не является самым быстрым и надежным путем, операторы найдут другой способ проникновения, жертвуя безопасностью ради скорости.
Инфраструктурным командам нужен быстрый и надежный путь к устройствам, обеспечивающим бесперебойную работу бизнеса. Командам безопасности необходим контекст идентификации, наименьшие привилегии и подотчетность по замыслу. Организациям не должно приходиться выбирать между операционной устойчивостью и жестким контролем.
Сегодня Cisco представляет Privileged Infrastructure Access — более быстрый и безопасный способ обеспечения бесперебойной работы сети, позволяющий сетевым администраторам и агентам выполнять критически важную работу через безопасное соединение, привязанное к идентификационным данным. Инфраструктурные команды получают единый путь к критически важной сетевой инфраструктуре. Команды безопасности получают контроль над политиками, временные привилегии и журнал произошедшего. У каждого есть то, что нужно для поддержания инфраструктуры в устойчивом, доступном и безопасном состоянии.
Cisco меняет модель привилегированного доступа, превращая его в действие по запросу: криптографическая идентификация позволяет нужному человеку или агенту получить доступ к инфраструктуре, необходимой для выполнения задачи. Доступ опосредуется кратковременными привилегиями, которые истекают по завершении задачи, с предоставлением только тех минимальных привилегий, которые необходимы для ее выполнения. Если работа не выполняется, привилегии не существуют.
Это дает организациям регулируемую альтернативу исключениям и обходным путям, на которые они полагаются сегодня. Это снижает зависимость от статических учетных данных, общих секретов и широкого доступа. И это ограничивает плацдармы для идентификации, которые могут использовать злоумышленники, поддерживаемые ИИ. Единый рабочий процесс, готовый к работе с агентами, обеспечивает доступ к устройствам без дополнительных переходов или обходных путей, делая безопасный путь самым быстрым и удобным для использования сетевыми командами.
Идентификация для действующего лица. Привилегии для задачи.
Вернемся к администратору, устраняющему неполадки при обновлении коммутатора. Для клиентов, использующих Cisco ISE и TACACS+, Privileged Infrastructure Access может опираться на уже управляемые ими политики и контекст устройств для регулирования доступа к маршрутизаторам и коммутаторам Cisco. Оттуда они могут распространить ту же модель доступа на другую инфраструктуру, включая серверы, кластеры Kubernetes и облачные ресурсы. Администратор получает доступ к устройствам, необходимым для задачи, через временный сеанс, привязанный к идентификационным данным. Сеанс записывается, а привилегии прекращаются по окончании работы. Это привносит сетевой контекст Cisco в путь привилегированного доступа, одновременно предоставляя инженерам прямой способ поддержания критически важной работы.
Это доступ, предоставляемый точно вовремя, с достаточными привилегиями и на нужный период времени. Он дает инфраструктурным администраторам скорость, необходимую для устранения неполадок и поддержания доступности сервисов. И он предоставляет командам безопасности четкий отчет о том, кто и к чему получил доступ, в рамках какой политики и что изменилось за время сеанса.
Та же модель поддерживает агентские операции. Люди, делегированные агенты ИИ и сценарии автоматизации могут работать посредством специфичных для задач доступов и элементов управления с атрибуцией активности на лицо, ее выполнившее. Агенты не наследуют широкий неуправляемый доступ просто потому, что им нужно двигаться быстро. Они получают только те привилегии, которые необходимы для задачи, с подотчетностью, встроенной в рабочий процесс.
Обеспечьте бесперебойность критически важной работы. Сделайте привилегии временными.
Привилегированный доступ должен помогать командам восстанавливать сервисы и поддерживать связь бизнеса, а не создавать постоянный плацдарм для злоумышленника. Cisco Privileged Infrastructure Access предоставляет людям и агентам регулируемые, специфичные для задач привилегии, которые истекают по завершении работы, поэтому инфраструктурные команды могут действовать быстро, не оставляя привилегии незащищенными.
Чтобы узнать больше, зарегистрируйтесь на прямую трансляцию here.
