Atacatorul poate impersona un utilizator sau o sarcină de lucru validă, poate modifica modul în care este emisă încrederea sau poate exploata permisiuni legitime după autentificare, permițând activității malițioase să semene cu accesul normal.
Căile de atac includ phishing, password spraying, credential stuffing, furt de tokenuri sau cookie-uri, consimțământ malițios de aplicații, manipularea help-deskului, atribuirea neautorizată de roluri, compromiterea conturilor de serviciu și afirmații de federație falsificate. Apărătorii au nevoie de dovezi de la furnizori de identitate, directoare, endpointuri, aplicații, planuri de control cloud și sisteme privilegiate, pentru că niciun jurnal singur nu arată întreaga secvență.
Puncte esențiale
Acces inițialCredențialele furate sau ghicite, sesiunile compromise, înrolarea nesigură și procesele de recuperare abuzate pot furniza o cale de intrare aparent validă.
Persistență și privilegiiAtacatorii pot adăuga autentificatori, crea conturi, acorda roluri, înregistra aplicații, schimba setări de federație sau păstra tokenuri de reînnoire.
Detectare și răspunsCorelați evenimentele de autentificare și administrative, revocați sesiunile și tokenurile, rotiți secretele afectate, eliminați modificările neautorizate și păstrați dovezile.
Limitare importantăAutentificarea multifactor reduce unele atacuri pe identitate, dar nu poate opri de la sine sesiunile furate, consimțământul malițios, endpointurile compromise, recuperarea slabă sau modificările planului de control făcute cu privilegii existente.