A maioria das pessoas entende o roubo de identidade como um ataque em que alguém rouba informações sensíveis de uma pessoa real e se passa por ela. A fraude de identidade sintética, no entanto, é muito mais difícil de detectar: em vez de roubar uma identidade real, o atacante fabrica uma nova, combinando pontos de dados verdadeiros com informações inventadas para criar alguém que não existe. Como nenhuma vítima real monitora o uso indevido, a identidade falsa pode acumular permissões e credibilidade de forma silenciosa antes de ser descoberta. Esse mesmo princípio tem um paralelo pouco explorado com as Identidades Não Humanas (INHs).
As equipes de segurança dedicam esforços significativos para evitar que INHs sejam roubadas. Ainda assim, o equivalente do lado das máquinas da fraude de identidade sintética raramente é discutido: identidades que nunca foram provisionadas de forma legítima desde o início. Nessa abordagem, o atacante não sequestra uma conta de serviço existente, mas fabrica uma, misturando atributos reais do ambiente com informações falsas para que pareça pertencer ao sistema. À medida que as empresas acumulam INHs mais rápido do que conseguem rastreá-las, uma identidade fabricada pode se infiltrar com facilidade quando a governança é fraca e não há ownership humano.
Como a fraude de identidade sintética se manifesta em identidades de máquina
Para pessoas físicas, a fraude de identidade sintética é bem compreendida como uma identidade montada, e não roubada, criada para passar por verificações sem corresponder a alguém real. A mesma lógica funciona contra identidades de máquina, mas a maioria das organizações se concentra em credenciais de INH roubadas, e não em identidades fabricadas. Com identidades de máquina fabricadas, o atacante não toma emprestada uma identidade real, mas cria uma que nunca deveria ter existido. Em vez de fazer login como uma conta de serviço legítima, ele registra uma nova identidade de nível administrativo com estrutura de nomenclatura semelhante, concede privilégios a ela e a deixa passar despercebida. Como nada é sequestrado, não há usuário comprometido para alertar e nem comportamento suspeito para sinalizar.
O que torna essas identidades convincentes é a combinação de atributos reais e inventados. Uma INH fabricada herda as convenções de nomenclatura do ambiente, existe no domínio correto, carrega metadados plausíveis e solicita os tipos de permissão que outras INHs já possuem. Para um administrador que consulta rapidamente um diretório com dezenas de milhares de contas de serviço, ela é apenas mais uma carga de trabalho rotineira, e é por isso que se trata de um dos riscos de INH mais negligenciados.
Como identidades de máquina fabricadas são construídas
Nenhuma das técnicas usadas por atacantes para criar identidades de máquina falsas é nova. O que é novo, porém, é enxergá-las como um padrão de inserção de uma identidade aparentemente crível, mas ilegítima, em um ambiente predisposto a confiar nela. Na prática, os atacantes criam identidades de máquina fabricadas de algumas formas principais:
- Conta de serviço não autorizada: em vez de comprometer uma conta que já existe, um atacante que já obteve acesso cria uma nova conta que parece existente, com atributos semelhantes e acesso permanente. Uma conta que nunca foi sancionada, mas se comporta como se fosse, é a forma mais pura de uma identidade de máquina fabricada.
- DCShadow: operando no nível da infraestrutura, o atacante não fabrica uma conta, mas uma fonte inteira de autoridade. Por depender de direitos de administrador de domínio que o atacante já possui, trata-se de um movimento pós-compromisso, e não de uma porta de entrada: o atacante registra temporariamente um controlador de domínio não autorizado para que mudanças maliciosas pareçam tráfego de replicação legítimo vindo de um par confiável. Uma vez aceita essa infraestrutura personificada, tudo o que ela envia herda a credibilidade do próprio sistema.
- Credenciais ocultas (shadow credentials): o atacante injeta material de autenticação fabricado em um objeto existente, adicionando elementos sob seu controle para que possa se autenticar como aquele objeto à vontade. Como a identidade já existe e parece intocada, esse é o meio mais sutil de provar que uma identidade foi silenciosamente forjada.
Embora a mecânica varie, todas envolvem uma identidade ilegítima que o ambiente aceitou como sendo sua. É importante separar isso de um conceito relacionado chamado persona sintética, definido pelo NHI Management Group como uma identidade fabricada para parecer crível aos olhos humanos e usada para enganar usuários por meio de perfis falsos e táticas de engenharia social. Esse é o inverso de uma identidade de máquina fabricada, que não é um humano falso feito para enganar pessoas, mas uma máquina falsa que vive dentro dos sistemas, detém privilégios reais e não responde a ninguém.
A pouca atenção dedicada a esse equivalente no lado das máquinas é o que o torna tão perigoso. Identidades de máquina fabricadas podem escapar de mecanismos de detecção criados para identificar identidades roubadas, porque o verdadeiro dono de uma identidade roubada pode notar um login de um local desconhecido ou receber um alerta da dark web. Já uma identidade fabricada, sem dono, não dispara nenhum alarme sobre comportamento suspeito, segredos vazados ou qualquer outro sinal relevante. Como as INHs estão crescendo rapidamente em um ritmo que já supera o de usuários humanos, as empresas podem nem perceber uma identidade não monitorada como uma anomalia se ela se esconde e acumula permissões em silêncio.
Por que a IA agêntica torna o tema mais urgente
Até pouco tempo, fabricar uma identidade de máquina exigia que o atacante entrasse em um sistema, criasse a conta falsa e atribuísse seus privilégios manualmente. A IA agêntica está começando a eliminar esse atrito. Agentes de IA já adquirem credenciais dinamicamente em tempo de execução e estão cada vez mais aptos a instanciar outros agentes com identidades próprias. À medida que a criação de identidades de máquina se torna uma atividade automatizada de fundo, a linha entre uma identidade criada de forma legítima e uma fabricada começa a se confundir.
Como se defender de identidades sintéticas de máquina
Se identidades fabricadas passam despercebidas, as organizações não podem esperar se proteger tentando identificá-las uma a uma manualmente. Uma governança sólida garante que identidades fabricadas não consigam se misturar, acumular privilégios ou persistir desde o início.
Atribua ownership a cada INH
O que permite que uma identidade fabricada sobreviva é o fato de ninguém saber que precisa monitorá-la. Cada INH deve ter um responsável humano registrado, uma finalidade documentada e uma data de expiração, eliminando a possibilidade de que identidades permaneçam permanentes por padrão. Uma identidade de máquina com um responsável garante que alguém seja cobrado por ela e ajuda, de quebra, a proteger as identidades legítimas.
Faça rotação de segredos
Várias técnicas de fabricação se sustentam ao injetar credenciais ocultas em um objeto existente, nas quais o atacante deixa chaves sob seu controle para se autenticar à vontade. Um gerenciamento centralizado de segredos com rotação automatizada elimina esses caminhos. Todo segredo armazenado em cofre, rastreado e rotacionado impede que uma credencial injetada ou fabricada tenha vida útil longa. As organizações devem buscar deixar os atacantes sem condições de ancorar a autenticação de uma identidade fabricada.
Aplique o princípio do menor privilégio
Identidades fabricadas introduzem riscos significativos de segurança por causa do que conseguem acessar e do acesso permanente típico de contas de serviço. Organizações que aplicam o menor privilégio e o acesso Just-in-Time (JIT, sob demanda) reduzem o impacto de identidades fabricadas em todo o ambiente. Se uma identidade detém apenas as permissões de que precisa pelo tempo necessário, uma fabricada herdará uma janela pequena e limitada, em vez de acesso permanente. Isso limita o dano que qualquer identidade, real ou falsa, pode causar, e é por isso que a medida é eficaz contra ameaças que a organização talvez nem tenha detectado.
Verifique o comportamento de forma contínua
A principal vantagem de uma identidade fabricada é parecer legítima desde a criação, com nomenclatura correta, metadados plausíveis e domínio adequado. Se a confiança for estabelecida uma única vez, no provisionamento, as organizações terão mais dificuldade de perceber atividades incomuns. A verificação contínua muda a base da confiança das credenciais no momento da criação para o comportamento ao longo do tempo, fundamentando-a no que a identidade de fato faz e acessa. Verificar o comportamento de forma contínua é a forma de as organizações identificarem com mais facilidade as identidades falsas que foram convincentes o bastante para entrar.
Contabilize as falsificações na segurança de identidades
Proteger identidades sempre significou proteger identidades reais contra exploração. Embora rotacionar credenciais vazadas e bloquear contas comprometidas continue sendo importante, isso parte do pressuposto de que toda identidade presente em um ambiente deveria estar ali. As organizações precisam ser capazes de detectar as identidades que nunca foram criadas de forma legítima, mas se comportam como se fossem reais. A segurança de identidades de máquina exige que toda identidade tenha um responsável, que todo segredo tenha vida curta e que todo comportamento seja monitorado de perto, e tudo isso pode ser feito a partir de uma plataforma de segurança de identidades como o KeeperPAM® (gerenciamento de acesso privilegiado). Ao gerenciar ownership, segredos e acesso privilegiado, as organizações têm mais chance de eliminar esconderijos para identidades fabricadas e garantir que nada consiga se acumular sem controle.
Nota: Este artigo foi cuidadosamente escrito e cedido ao nosso público por Ashley D'Andrea, redatora de conteúdo da Keeper Security.
