Útočník může zosobňovat platného uživatele či úlohu, měnit způsob vydávání důvěry nebo zneužívat legitimní oprávnění po autentizaci, což umožňuje škodlivé aktivitě připomínat normální přístup.
Útočné cesty zahrnují phishing, password spraying, credential stuffing, krádež tokenů či cookies, škodlivý souhlas aplikací, manipulaci helpdesku, neautorizované přidělení rolí, kompromitaci servisních účtů a padělaná federační tvrzení. Obránci potřebují důkazy od poskytovatelů identit, adresářů, koncových zařízení, aplikací, cloudových řídicích rovin a privilegovaných systémů, protože žádný jediný log neukazuje celou sekvenci.
Klíčové body
Počáteční přístupUkradené či uhodnuté přihlašovací údaje, kompromitované relace, nezabezpečená registrace a zneužité procesy obnovy mohou poskytnout zdánlivě platnou vstupní cestu.
Perzistence a oprávněníÚtočníci mohou přidávat autentizátory, vytvářet účty, přidělovat role, registrovat aplikace, měnit nastavení federace nebo si ponechat refresh tokeny.
Detekce a reakceKorelujte autentizační a administrativní události, odvolejte relace a tokeny, rotujte dotčená tajné údaje, odstraňte neautorizované změny a zachovejte důkazy.
Důležité omezeníVícefaktorová autentizace snižuje některé útoky na identitu, ale sama o sobě nemůže zastavit ukradené relace, škodlivý souhlas, kompromitované koncová zařízení, slabou obnovu ani změny řídicí roviny provedené s existujícím oprávněním.