Cos’è la proliferazione dei segreti?

La proliferazione dei segreti è la diffusione incontrollata di segreti, incluse chiavi API, password e chiavi crittografiche, attraverso l’infrastruttura, i repository di codice e i canali di comunicazione di un’organizzazione. Invece di essere archiviati in modo sicuro in un gestore centralizzato di segreti, questi segreti diventano frammentati quando sono incorporati direttamente nel codice sorgente, condivisi su piattaforme di messaggistica o sparsi tra gli endpoint.c Questo crea un inventario incompleto e largamente invisibile di segreti che i team di sicurezza non possono efficacemente monitorare, ruotare o revocare. Mentre le organizzazioni crescono, il numero di segreti aumenta rapidamente, incrementando il rischio di attacchi basati su credenziali e vulnerabilità della supply chain.

Come avviene la proliferazione incontrollata dei segreti

La proliferazione dei segreti deriva in genere dalla creazione e distribuzione di credenziali sensibili senza un monitoraggio o un controllo costanti.

Creazione e crescita delle credenziali

Gli ambienti moderni si basano sia su utenti umani che su identità non umane (NHI), inclusi account di servizio, bot e carichi di lavoro delle applicazioni, che si autenticano utilizzando segreti come chiavi API e token. Man mano che le organizzazioni adottano architetture cloud-native, il numero di segreti cresce rapidamente. Ogni nuovo sistema, carico di lavoro e integrazione richiede l'autenticazione, ampliando la superficie di attacco e aumentando la probabilità di segreti non gestiti. Man mano che le organizzazioni crescono e si adattano alle identità delle macchine, si trovano inevitabilmente ad affrontare il rischio di una proliferazione di segreti.

Gestione e condivisione incoerenti dei segreti

Anche con politiche di sicurezza in atto, sviluppatori e team gestiscono le credenziali in modo incoerente. Uno sviluppatore può memorizzare le credenziali localmente, mentre un altro può codificarle direttamente in codice sorgente o condividerle tramite strumenti di messaggistica. Quando le procedure sicure risultano meno pratiche del semplice copia e incolla delle credenziali, gli utenti tendono generalmente a privilegiare la velocità rispetto alla sicurezza. Se gli utenti di più team adottano lo stesso approccio per centinaia di servizi nel corso del tempo, tale incoerenza porta a una distribuzione diffusa e ingestibile dei segreti.

Mancanza di gestione centralizzata dei segreti

Senza una gestione centralizzata dei segreti, le organizzazioni non possono tracciare con precisione dove sono archiviati i segreti, chi vi ha accesso o come vengono utilizzati. Questa mancanza di visibilità rende difficile ruotare o revocare le credenziali dopo un incidente di sicurezza o la cessazione di un dipendente, costringendo i team di sicurezza a rispondere in modo reattivo invece di governare preventivamente i loro segreti.

Gestione inadeguata del ciclo di vita

In molti casi, i segreti vengono creati per un uso istantaneo ma non vengono mantenuti o rimossi correttamente una volta completato un progetto. Le credenziali non utilizzate o duplicate possono persistere su più sistemi, aumentando il rischio nel tempo. Se i segreti vecchi o inutilizzati non vengono ruotati o rimossi, l’accesso a codici sorgente, repository o file di configurazione ormai dimenticati potrebbe rimanere attivo a tempo indeterminato. Senza politiche chiare sul ciclo di vita, le organizzazioni finiscono per accumulare segreti obsoleti che rimangono accessibili ma non gestiti, favorendo così la diffusione incontrollata dei segreti tra i vari sistemi.

Perché l’espansione incontrollata dei segreti è pericolosa

Quando i segreti vengono ampiamente distribuiti senza supervisione, le conseguenze possono influenzare ogni aspetto di un’organizzazione. Ecco alcuni dei principali rischi legati alla gestione errata dei segreti:

Fughe di dati: Se i segreti sono sparsi tra più sistemi e strumenti, c’è una maggiore possibilità che vengano esposti in una fuga di dati. Un singolo segreto esposto può consentire l’accesso non autorizzato a dati sensibili e sistemi critici.
Violazioni del sistema: Quando i segreti sono gestiti male, possono essere compromessi e poi usati per muoversi lateralmente attraverso l’infrastruttura e per aumentare i privilegi.
Diminuzione della produttività del team: I team Security e DevOps dedicano il loro tempo a monitorare dove sono conservati i segreti e a gestire credenziali distribuite in più sistemi, invece di concentrarsi su attività più importanti.
Conformità e conseguenze finanziarie: Una gestione inadeguata dei segreti aziendali che porta a una violazione può comportare sanzioni normative, costi per la gestione degli incidenti e responsabilità legali. Per le organizzazioni soggette agli standard PCI DSS, HIPAA o SOC 2, l’impossibilità di dimostrare un accesso controllato alle credenziali sensibili costituisce di per sé una non conformità, indipendentemente dal fatto che si sia verificata o meno una violazione della sicurezza.
Danni alla reputazione: Una violazione causata da segreti mal gestiti può causare danni irreversibili alla reputazione di un’organizzazione, specialmente quando i clienti affidano dati sensibili a fornitori terzi. La perdita della fiducia dei clienti, di partnership di lungo periodo e di una copertura mediatica positiva può avere ripercussioni su un’organizzazione anche molto tempo dopo un incidente di sicurezza.

Esempi comuni di proliferazione dei segreti

La proliferazione dei segreti può manifestarsi nei seguenti modi:

Segreti codificati in codice sorgente: Gli sviluppatori incorporano direttamente i segreti nel codice, che vengono poi inseriti in un repository. Nei repository pubblici, questa esposizione è immediata e permanente, a meno che il segreto non venga ruotato. Nei repository privati, aumenta il raggio di esplosione di qualsiasi compromissione dell’accesso al repository. Gli strumenti automatici di scansione dei segreti sono in grado di individuare queste esposizioni, ma i segreti già indicizzati dai motori di ricerca o da scanner di terze parti rimangono a rischio anche dopo la cancellazione.
Chiavi API memorizzate in più posizioni: Dato che i team copiano le chiavi API nei file di configurazione invece di iniettarle durante l’esecuzione, lo stesso segreto potrebbe trovarsi in più posizioni contemporaneamente. Senza gestione dei segreti, le organizzazioni non possono sapere dove risiede ogni copia, quindi non possono ruotare i segreti o revocare l’accesso.
Segreti rivelati nelle pipeline CI/CD: Quando i segreti vengono incorporati nei file di configurazione invece che iniettati in runtime, rimangono esposti a chiunque abbia accesso al repository. I segreti che appaiono nei log di build o vengono passati alle integrazioni CI di terze parti possono essere visibili a chiunque abbia accesso all’esecuzione della pipeline, anche se non ha accesso diretto al codice sottostante.
Credenziali dimenticate: I segreti legati a vecchi progetti o ad ex dipendenti possono rimanere attivi a lungo dopo aver raggiunto il loro scopo originario, causando potenzialmente danni poiché sono ancora accessibili ma sfuggono a un monitoraggio attivo.
Duplicazione dei segreti tra i sistemi: Quando gli stessi segreti vengono replicati tra più team o ambienti, le organizzazioni non possono imporre controlli di accesso coerenti.
Metodi di condivisione non sicuri: Condividere segreti tramite piattaforme di messaggistica o e-mail impedisce alle organizzazioni di sapere con certezza chi li abbia visualizzati, a chi siano stati inviati e se i destinatari li abbiano archiviati in modo non sicuro.

Come ridurre il rischio di proliferazione dei segreti

Per ridurre la proliferazione dei segreti occorre centralizzare il modo in cui i segreti vengono memorizzati, accessi e gestiti. Con un gestore dei segreti, le organizzazioni possono avere maggiore controllo e visibilità sull’intero inventario di segreti.

Centralizza i segreti in una cassaforte sicura

Anziché permettere alle credenziali di diffondersi tra file e archivi, le organizzazioni dovrebbero archiviare tutti i segreti in un gestore di segreti dedicato. Una cassaforte centralizzata e sicura offre alle organizzazioni un’unica posizione per archiviare, accedere e distribuire le credenziali.

Applica l’accesso con privilegi minimi

Non tutti gli utenti devono accedere a tutti i segreti, quindi l’applicazione dell’accesso con privilegi minimi garantisce l’accesso solo alle identità che richiedono un segreto per un periodo di tempo limitato. Questo accesso temporaneo e intenzionale riduce l’impatto di una credenziale compromessa assicurando che anche se un segreto viene scoperto, l’accesso del cybercriminale rimanga limitato.

Cerca i segreti già presenti negli archivi

La centralizzazione funziona solo dopo aver affrontato il problema della proliferazione. Gli strumenti di scansione segreta possono individuare credenziali già incorporate in repository di codice, file di configurazione e artefatti di build. Le organizzazioni dovrebbero eseguire una scansione iniziale prima di dare per scontato che le loro informazioni riservate siano al sicuro e impostare una scansione continua per individuare eventuali nuove vulnerabilità.

Automatizza la rotazione delle credenziali

La rotazione automatizzata garantisce che i segreti vengano aggiornati regolarmente senza fare affidamento su processi manuali che non sono scalabili. Riduce al minimo i periodi di esposizione ed elimina l’onere operativo di tenere traccia dei programmi di rotazione su centinaia di credenziali.

Migliora visibilità e tracciabilità

Le organizzazioni dovrebbero disporre di un inventario in tempo reale dei segreti, che indichi dove sono archiviati e come vengono utilizzati. Questo livello di visibilità consente ai team di rilevare comportamenti sospetti, identificare segreti orfani e rispondere immediatamente agli incidenti di sicurezza.

Definisci e applica politiche del ciclo di vita

Stabilisci delle linee guida chiare su quando creare, ruotare e ritirare i segreti. Automatizza l’applicazione delle regole, quando possibile. Un segreto che non è più necessario dovrebbe essere revocato, non semplicemente ignorato.

Scopri come Keeper aiuta le organizzazioni a centralizzare e automatizzare la gestione dei segreti.