Atakujący może podszywać się pod prawidłowego użytkownika lub obciążenie, zmieniać sposób wydawania zaufania albo wykorzystywać legalne uprawnienia po uwierzytelnieniu, pozwalając złośliwej aktywności przypominać normalny dostęp.
Ścieżki ataku obejmują phishing, password spraying, credential stuffing, kradzież tokenów lub ciasteczek, złośliwe zgody aplikacji, manipulację helpdeskiem, nieautoryzowane przypisanie ról, kompromitację kont serwisowych i fałszowanie potwierdzeń federacyjnych. Obrońcy potrzebują dowodów od dostawców tożsamości, katalogów, punktów końcowych, aplikacji, płaszczyzn sterowania chmury i systemów uprzywilejowanych, bo żaden pojedynczy log nie pokazuje całej sekwencji.
Najważniejsze punkty
Wstępny dostępSkradzione lub odgadnięte poświadczenia, skompromitowane sesje, niebezpieczna rejestracja uwierzytelniaczy i nadużycie procedur odtwarzania mogą zapewnić pozornie prawidłową ścieżkę wejścia.
Utrwalenie i uprawnieniaAtakujący mogą dodawać uwierzytelniacze, tworzyć konta, nadawać role, rejestrować aplikacje, zmieniać ustawienia federacji lub zachowywać tokeny odświeżania.
Detekcja i reakcjaKoreluj zdarzenia uwierzytelniania i administracji, unieważniaj sesje i tokeny, rotuj dotknięte sekrety, usuwaj nieautoryzowane zmiany i zachowuj dowody.
Istotne ograniczenieUwierzytelnianie wieloskładnikowe redukuje część ataków na tożsamość, ale samo nie zatrzyma skradzionych sesji, złośliwych zgód, skompromitowanych punktów końcowych, słabego odtwarzania ani zmian płaszczyzny sterowania wykonanych z istniejącymi uprawnieniami.