Резюме для руководства

Многоагентные фреймворки наступательной безопасности, такие как ARTEX и Cairn, не оставляют камня на камне перед лицом задачи по поиску путей проникновения в целевую организацию.

В последние месяцы специалисты Okta Threat Intelligence фиксируют взрывной рост числа агентов, выполняющих пассивную и активную разведку целей. Мы наблюдали, как операторы поручают агентам проверять списки известных имен пользователей на конечных точках регистрации, входа и восстановления целевых тенантов, что позволяет агентам узнать, где и как аутентифицируются пользователи. Там, где это возможно, агенты регистрируют фиктивные тестовые учетные записи для проверки этих потоков аутентификации на предмет потенциальных ошибок конфигурации. Агенты неутомимы, и во время этих атак они не оставляют «непроверенным» ни один поток.

Теперь ошибки конфигурации стало гораздо проще обнаруживать. Агенты быстро выявляют и эксплуатируют избыточные токены, URL-адреса обратного вызова с подстановочными знаками, слабые типы предоставления доступа или отсутствие проверки подписи. Эти многоагентные фреймворки могут работать столько времени, сколько злоумышленник готов платить за токены. Мы наблюдали атаки, в которых рабочие агенты выполняли такие тесты более 390 часов.

Этот всплеск активности в рамках разведки требует от каждой организации выявлять и устранять неправильные конфигурации клиентов до того, как их обнаружат и используют агенты. Для этого доступно множество инструментов, описанных ниже. Организациям следует провести аудит как сторонних приложений, использующих Okta для управления идентификацией, так и собственных клиентских приложений, используемых для выполнения конфиденциальных операций. Okta Workflows — это собственное клиентское приложение с разрешениями и областями видимости, позволяющими выполнять привилегированные операции с API управления, что делает его приоритетной целью для защиты.

Workflows: ни один поток не остается непроверенным

Команды по обеспечению безопасности и управлению доступом все чаще полагаются на инструменты без кода или с низким уровнем кодирования, такие как Workflows, Auth0 Actions, и сторонние альтернативы, для автоматизации процессов приема на работу, увольнения, запросов на доступ и уведомлений, а также для интеграции с кадровыми системами, ITSM и инструментами безопасности. Эти средства автоматизации часто работают с большими привилегиями и могут дополнительно вызываться из-за пределов границ приложения посредством HTTP-запросов. Учитывая текущую ландшафт угроз, при котором агенты исследуют каждый возможный поток, защитникам необходимо подумать о том, как автоматизация может привести к непреднамеренному раскрытию конфиденциальной информации. Ниже мы рассмотрим ключевые аспекты обеспечения безопасности Workflows.

Защита URL-адресов вызова

URL-адрес вызова создается, когда администратор Workflows настраивает поток, который может быть запущен («вызван») внешним клиентом с помощью карточки конечной точки API. URL-адреса вызова можно защитить с помощью OAuth 2.0 или секретов клиента, но администраторы также могут выбрать уровень безопасности «Нет» (общедоступная служба). В этом случае любой, у кого есть доступ к URL-адресу вызова, может как запустить поток, так и просмотреть его результат, даже если он не аутентифицирован. В консоли Workflows компания Okta приводит следующее предупреждение о рисках этого параметра:

«Этот поток может быть запущен любым лицом или службой, имеющими доступ к URL-адресу. Для рабочих потоков рекомендуется использовать другой параметр безопасности».

Это предупреждение выдается потому, что URL-адреса вызова предназначены для запуска внешними клиентами. Безопасность потока зависит как от защиты клиента, настроенного на его использование, так и от защиты способов возможного доступа к URL-адресу. Например, URL-адрес вызова может передаваться в тикетах или чатах, копироваться в буфер обмена либо сохраняться в истории браузера и журналах клиентского приложения.

Злоумышленник, имеющий доступ к общедоступному URL-адресу вызова, не требующему аутентификации, может использовать его для вызова («запуска») потоков. В некоторых сценариях использования вызов потока может не представлять угрозы. Некоторые системы могут отправлять запрос, но не могут пройти аутентификацию (например, вебхук от инструмента, не поддерживающего ни OAuth 2.0, ни секрет клиента), поэтому общедоступный URL-адрес вызова — это единственный способ связаться с потоком. Открытые формы регистрации — еще один пример, поскольку любой желающий, в том числе люди без учетной записи, должен иметь возможность отправлять их. Поток, который возвращает только неконфиденциальные данные только для чтения и не использует подключения с существенными привилегиями, также несет минимальный риск в общедоступном режиме. Вызов потока становится рискованным, когда он изменяет данные учетных записей или возвращает конфиденциальные данные в выводе клиента, поэтому администраторы должны тщательно проверять, к чему может получить доступ каждый поток с общедоступным URL-адресом вызова.