Пугающая правда о доверии: почему наличие статуса «проверен» еще не означает, что вы в безопасности

Давайте поговорим о том, что не дает спать специалистам по безопасности. Это не хакер в капюшоне, как в кино. И не какой-то сложный эксплойт нулевого дня. Это нечто гораздо более простое и бесконечно более опасное: убеждение, что проверка личности равна проверке подлинности.

Недавно я наткнулся на это захватывающее (и слегка пугающее) тематическое исследование и не могу перестать о нем думать. Одна компания — назовем ее типичным средним бизнесом — пережила не один, не два, а ТРИ отдельных инцидента безопасности за четыре месяца. И вот в чем соль: ни один из них не был связан со взломом сети или использованием программных ошибок. Каждый раз злоумышленник просто становился кем-то, кому компания уже доверяла.

Это... на самом деле очень тревожно, если вдуматься.

Пароль был идеальным. Человек — нет.

Вот в чем дело с традиционной безопасностью: мы относимся к аутентификации как к проблеме «замка и ключа». Получи правильный пароль, пройди проверку MFA — и бум, ты внутри. Но что, если замок работает именно так, как задумано, а человек, входящий в него... просто не тот, за кого себя выдает?

Случаи, о которых я говорю, продемонстрировали три разных варианта этой одной и той же проблемы. Во-первых, финансовый директор получил звонок от «IT-поддержки» по поводу подозрительной активности в его аккаунте. Caller ID показывал внутренний номер. Звонивший знал, какой провайдер MFA используется в компании. Они знали, что финдиректор в поездке (потому что он написал об этом в соцсетях — ну конечно, мы все так делаем). У них даже была информация из старых утечек данных, гуляющая по даркнету.

Все, что им было нужно, — это чтобы он продиктовал код подтверждения. И он продиктовал.

Через двадцать минут кто-то уже использовал его почту, чтобы запросить срочные платежи. Единственная причина, по которой деньги не ушли? Проницательный специалист по кредиторской задолженности почувствовал, что запрос какой-то «странный», и позвонил ему напрямую. Человеческий инстинкт спас положение.

Доверяй, но проверяй (кроме случаев, когда не проверяешь)

Что меня больше всего поражает в этих инцидентах, так это не сложность атак, а то, насколько скучными они выглядели бы для большинства систем безопасности. Учетные данные верны. Аутентификация пройдена. Сессии валидны.

Но где-то по пути мы забыли, что проверка — это не просто проставление галочек. Это подтверждение того, что человек на другом конце действительно тот, за кого себя выдает, и что у него есть законное основание делать то, что он делает.

Второй инцидент был связан с удаленным сотрудником, который казался абсолютно реальным. Отличное резюме. Достоверные рекомендации. Солидное портфолио. Но вот в чем фишка: все это не так уж трудно украсть. Оказалось, что человек использовал личность настоящего инженера с полностью вымышленными рекомендациями и работал из-за границы, используя ноутбуки компании, отправленные в арендованную квартиру.

Единственная причина, по которой это заметили? Кто-то обратил внимание, что ноутбук наиболее активен в ночные часы. Вот и всё. Никаких сложных методов обнаружения. Просто кто-то обратил внимание на то, что показалось немного странным.

Проблема сессий, о которой никто не говорит

И есть третий инцидент, который, я думаю, является самой упускаемой из виду угрозой в современной безопасности. В аккаунт руководителя зашли из Румынии. В это время она спала в Огайо.

Ее пароль не был взломан. Ее MFA не была обойдена. Вместо этого вредоносное ПО на общем домашнем компьютере собрало куки ее браузерной сессии. Злоумышленник вошел прямо через «цифровую парадную дверь», выглядя как совершенно легитимный аутентифицированный пользователь.

В этом заключается грязный секрет аутентификации на основе сессий: однажды попав внутрь, вы часто остаетесь там надолго. Токены сессий могут оставаться валидными часами или даже днями. И, в отличие от паролей, это не то, что пользователи могут легко защитить или сменить.

Так в чем же настоящий урок?

Я не думаю, что урок здесь в том, чтобы «стать более параноиком» (хотя, честно говоря, здоровая доля паранойи никогда не помешает). Я думаю, что истинный вывод касается разрыва между проверкой личности и подтверждением доверия.

Большинство организаций научились довольно хорошо справляться с первой частью. Мы проверяем учетные данные, внедряем MFA, ставим галочки. Но вторая часть — непрерывное подтверждение того, что человек все еще имеет право доступа и действует уместно, — вот где мы проигрываем.

Все обсуждаемые мною случаи имели еще одну общую черту: их обнаружили люди или созданные людьми системы, которые искали поведенческие аномалии, а не просто ошибки аутентификации. Коллега, который усомнился в необычном запросе. Аналитик, заметивший странный график работы. Автоматизированная система, зафиксировавшая «невозможную поездку».

Технические средства контроля необходимы. Но их недостаточно. Настоящий множитель безопасности — это создание культуры, в которой люди чувствуют в себе силы ставить под сомнение вещи, которые кажутся неправильными, даже если учетные данные верны.

Потому что вот неудобная правда: в современных условиях угрозы самый большой риск безопасности может исходить не от атакующего снаружи ваших стен. Он может исходить от идеально выглядящей личности, которая уже находится внутри них.

Будьте бдительны, друзья.

Теги: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']