Wat is wildgroei van identiteiten?

Wildgroei van identiteiten is de ongecontroleerde groei van digitale identiteiten en accounts binnen een organisatie, wat leidt tot verminderde zichtbaarheid en een verhoogd beveiligingsrisico. Terwijl organisaties hun cloudomgevingen uitbreiden en nieuwe applicaties in gebruik nemen, groeit het aantal digitale identiteiten sneller dan dat ze correct kunnen worden beheerd en beveiligd. Wildgroei van identiteiten heeft invloed op zowel menselijke identiteiten als niet-menselijke identiteiten (NHI's), waaronder serviceaccounts en AI-agenten. Hoewel het gebruik van NHI toeneemt, worden veel NHI's niet zo regelmatig beoordeeld en gereguleerd als menselijke medewerkersaccounts. Na verloop van tijd verhoogt dit gebrek aan zichtbaarheid het risico op cyberaanvallen op basis van identiteit. Wildgroei van identiteiten gaat vaak gepaard met wildgroei van geheimen, waarbij aanmeldingsgegevens zoals API-sleutels en tokens zich vermenigvuldigen zonder gecentraliseerd beheer.

Hoe ontstaat wildgroei van identiteiten?

Wildgroei van identiteiten ontwikkelt zich geleidelijk naarmate organisaties uitbreiden, cloudservices implementeren en nieuwe technologieën introduceren zonder gecentraliseerde identiteits- en toegangsbeheer (IAM)-controles te implementeren.

Snelle uitbreiding

Cloudadoptie heeft de manier veranderd waarop organisaties toegang beheren, waardoor nieuwe applicaties binnen enkele minuten kunnen worden geïmplementeerd. Wanneer organisaties echter SaaS-tools gebruiken zonder gecentraliseerde IAM-controles, worden accounts aangemaakt buiten het zicht van beveiligingsteams. Deze decentralisatie leidt tot dubbele accounts, inconsistente toegangscontroles en gefragmenteerde gegevens op verschillende platforms. Schaduw-IT versnelt de wildgroei aan identiteiten nog verder; wanneer werknemers tools gebruiken zonder formele goedkeuring, vergroten onbeheerde gebruikersaccounts en identiteiten het aanvalsoppervlak van een organisatie.

Onvoldoende identiteitslevensduurbeheer

Identiteitslevensduurbeheer (ILM) zorgt ervoor dat gebruikers de juiste toegang krijgen wanneer ze toetreden tot hun organisatie, van rol veranderen of hun organisatie verlaten. Wanneer onboarding- en offboardingprocessen inconsistent zijn, is er meer kans dat er wildgroei van identiteiten optreedt. Enkele veelvoorkomende problemen met ILM zijn het verlenen van te veel toegang tijdens de onboarding, het niet intrekken van toegang wanneer medewerkers van functie veranderen en het vertragen van het offboarden. Zonder consistente handhaving van beleid en geautomatiseerd inrichten kunnen gebruikers toegang behouden lang nadat ze een organisatie hebben verlaten, wat onnodige risico's creëert voor actieve identiteiten.

Ophoping van geprivilegieerde accounts

Geprivilegieerde accounts worden vaak aangemaakt om tijdelijke projecten, leveranciers of operationele behoeften te ondersteunen. Naarmate organisaties groeien, kunnen deze accounts leiden tot te veel gedeelde geprivilegieerde aanmeldingsgegevens, permanente toegang tot kritieke systemen of onregelmatige beoordelingen van geprivilegieerde toegang. Wanneer geprivilegieerde accounts niet regelmatig worden beheerd, worden ze een aantrekkelijk doelwit voor cybercriminelen. De wildgroei aan identiteiten binnen geprivilegieerde omgevingen vergroot de potentiële gevolgen van een datalek aanzienlijk.

Groei van serviceaccounts en NHI's

In cloudeigen omgevingen zijn er vaak meer NHI's dan menselijke gebruikers. DevOps-pijplijnen en automatiseringstools creëren continu nieuwe serviceaccounts om communicatie tussen machines mogelijk te maken. Deze exponentiële groei brengt veiligheidsrisico's met zich mee als serviceaccounts gedecentraliseerd zijn, hardgecodeerde aanmeldingsgegevens zijn ingebed in scripts of tokens niet worden gerouleerd. Als NHI-aanmeldingsgegevens niet worden gemonitord, gerouleerd of beveiligd in een gecentraliseerde kluis, worden ze cruciale aanvalsvectoren voor cybercriminelen. Aangezien NHI's vaak zonder menselijke tussenkomst werken, kan hun gecompromitteerde toestand voor langere tijd onopgemerkt blijven.

Wildgroei van identiteiten versus wildgroei van geheimen versus privilege creep

Wildgroei van identiteiten, wildgroei van geheimen en privilege creep zijn gerelateerd aan identiteitsbeveiliging, maar ze vormen verschillende beveiligingsrisico's. Wildgroei van identiteiten verwijst naar de uitbreiding van identiteiten over verschillende systemen. Dit is doorgaans het gevolg van de gedecentraliseerde invoering van SaaS, de groei van de cloud zonder gecentraliseerde IAM-controles en het onbeheerd aanmaken van accounts. Het grootste probleem bij de wildgroei van identiteiten is het volume; er zijn te veel identiteiten verspreid over verschillende omgevingen, die mogelijk inactief zijn of onvoldoende worden gemonitord. Als een organisatie bijvoorbeeld tientallen platforms gebruikt, die elk hun eigen accounts vereisen, kunnen er na verloop van tijd duizenden identiteiten ontstaan. Hoewel deze identiteiten inactief zijn, vergroten ze het aanvalsoppervlak doordat ze in aantal toenemen en niet meer door een degelijke monitoring kunnen worden beheerd.

Ondanks de gelijkenis in naam verwijst wildgroei van geheimen naar de ongecontroleerde verspreiding van geheimen, waaronder wachtwoorden, API-sleutels en tokens, over verschillende systemen heen. Wildgroei van geheimen komt vaak voor wanneer aanmeldingsgegevens hardcoded in de broncode zijn opgenomen, API-sleutels in platte tekstbestanden worden opgeslagen of geheimen via onveilige methoden zoals e-mail worden gedeeld. Het grootste probleem met de wildgroei aan geheimen is niet het aantal identiteiten, maar de ongecontroleerde verspreiding van aanmeldingsgegevens die toegang verlenen. Elk blootgelegd of onbeheerd geheim kan cybercriminelen directe toegang geven tot kritieke systemen. Als een API-sleutel in een coderepository wordt opgenomen en nooit wordt vernieuwd, kan een cybercrimineel dat geheim gebruiken om toegang te krijgen tot cloudbronnen zonder een account in gevaar te brengen.

Privilege creep daarentegen richt zich op het toekennen van te veel toegang aan een specifieke identiteit. Dit komt meestal voor wanneer toegang wordt verleend, maar nooit wordt ingetrokken vanwege rolwijzigingen, tijdelijke projecten of onregelmatige toegangsbeoordelingen. Met privilege creep blijft het aantal identiteiten misschien nog wel beheersbaar, maar het echte probleem ontstaat wanneer individuele accounts meer toegangsrechten krijgen dan nodig is. Stel u voor dat een medewerker bij het marketingteam van een organisatie komt werken en toegang krijgt tot CRM-tools, maar uiteindelijk overstapt naar de operationele afdeling en daar toegang krijgt tot kritieke systemen. Omdat de identiteit van de medewerker nog steeds onnodige toegang heeft tot CRM-tools, kan het gecompromitteerde account gevoelige informatie buiten het beoogde bereik blootleggen.

Beveiligingsrisico's van wildgroei van identiteiten

Naarmate identiteiten zich verspreiden over omgevingen, verliezen organisaties zichtbaarheid en lijden ze onder verzwakt bestuur. Dit zijn de belangrijkste veiligheidsrisico’s die gepaard gaan met de wildgroei van identiteiten:

Wildgroei van identiteiten voorkomen

Om wildgroei van identiteiten te voorkomen, moeten organisaties zich richten op inzicht, levenscyclusbeheer en het handhaven van toegang met minimale privileges voor zowel menselijke als machine-identiteiten.

Inrichting en intrekking automatiseren

Het centraliseren van identiteitsbeheer via een oplossing voor identiteits- en toegangsbeheer (IAM) is cruciaal om de groei aan identiteiten te beheersen. Organisaties moeten automatisch toegang inrichten op basis van rollen en functies met behulp van rolgebaseerde toegangscontroles (RBAC) en niet de brede toegang handmatig verlenen. Geautomatiseerd intrekken is net zo belangrijk als inrichten, omdat de toegang onmiddellijk moet worden ingetrokken wanneer medewerkers een organisatie verlaten. Door handmatig accountbeheer overbodig te maken, verminderen organisaties het aantal ongebruikte of identiteiten met te veel privileges.

Implementeer identiteitsbeheer en administratie (IGA)

Identiteitsbeheer en administratie (IGA) zorgt ervoor dat de toegang in de loop der tijd afgestemd blijft op de behoeften van de organisatie. Door de toegang regelmatig te controleren, kunt u ervoor zorgen dat gebruikers alleen de toegang behouden die nodig is voor hun huidige taken. IGA helpt organisaties verweesde of inactieve accounts te identificeren voordat ze beveiligingsproblemen worden. Zonder voortdurend bestuur groeien identiteiten uit tot een omvang die het toezicht te boven gaat en leiden ze al snel tot een wildgroei van identiteiten.

Handhaaf toegang met minimale privileges

Organisaties moeten indien mogelijk permanente toegang tot kritieke systemen uitsluiten door toegang op basis van minimale privileges af te dwingen en Just-in-Time (JIT)-toegang in te voeren. Door ervoor te zorgen dat gebruikers en systemen alleen de minimaal noodzakelijke toegang krijgen, kunnen organisaties het risico op escalatie van privileges verkleinen en de impact van een gecompromitteerd account minimaliseren.

Geprivilegieerde accounts beveiligen

Privileged Access Management (PAM) speelt een belangrijke rol bij het voorkomen dat wildgroei van identiteiten escaleert tot een groot datalek. Geprivilegieerde accounts moeten worden beveiligd in een versleutelde kluis, waarbij MFA wordt afgedwongen voor alle administratieve toegang. Organisaties moeten geprivilegieerde sessies monitoren en opnemen om verantwoording en volledige zichtbaarheid te waarborgen. Ze moeten ook geautomatiseerde roulatie van aanmeldingsgegevens afdwingen om blootstelling te beperken en onveilige uitwisseling van aanmeldingsgegevens te voorkomen. Door geprivilegieerde identiteiten te beveiligen, voorkomen organisaties dat overmatige toegang bijdraagt aan beveiligingsrisico's door wildgroei van identiteiten.

Beheer NHI's en geheimen

In cloudomgevingen zijn er veel meer NHI's dan menselijke gebruikers. Het voorkomen van wildgroei van identiteiten vereist dat zowel menselijke als machineaccounts met hetzelfde beveiligingsniveau worden behandeld. Organisaties moeten serviceaccounts inventariseren, geheimen beveiligen in plaats van ze in code op te nemen en geheimen automatisch rouleren. Het is noodzakelijk om toegang met minimale privileges toe te passen op zowel menselijke als niet-menselijke identiteiten, zodat permanente toegang wordt voorkomen en ervoor wordt gezorgd dat machine-authenticatie niet verder reikt dan de voorgeschreven controles. Dit omvat het beheer van NHI-aanmeldingsgegevens, zoals API-sleutels, tokens en certificaten, maar ook geheimen die aan een identiteit zijn gekoppeld, waaronder roulatie, reikwijdte en monitoring.