Escuchamos mucho esto:
“Tenemos cientos de cuentas de servicio y agentes de IA que se ejecutan en segundo plano. No creamos la mayoría de ellas. No sabemos quién las posee. ¿Cómo se supone que debemos asegurarlas?”
Cada empresa hoy se ejecuta en más que usuarios. Detrás de ambiente, miles de identidades no humanas, desde cuentas de servicio hasta tokens API y agentes de IA, sistemas de golpe, mueven datos y ejecutan tareas durante todo el día.
No son nuevos. Pero se están multiplicando rápido. Y la mayoría no se construyó con seguridad en mente.
Las herramientas de identidad tradicionales asumen intención, contexto y propiedad. Las identidades no humanas no tienen ningún de esos. No inician sesión y salen. No se quedan fuera de borde. Y con el surgimiento de los agentes autónomos, comienzan a tomar sus propias decisiones, a menudo con amplios permisos y poca supervisión.
Ya está creando nuevos puntos ciegos. Pero solo estamos al principio.
En esta publicación, veremos cómo está evolucionando el peligro de identidad no humano, donde la mayoría de las organizaciones aún están expuestas y cómo un tejido de seguridad de identidad ayuda a los equipos de seguridad a avanzar antiguamente de que la escalera se vuelva inmanejable.
El aumento (y el peligro) de las identidades no humanas
Las arquitecturas de la primera aglomeración aumentaron la complejidad de la infraestructura y provocaron un aumento en las identidades de fondo. A medida que estos entornos crecen, el número de identidades de fondo crece con ellos, muchos de los cuales se crean automáticamente, sin una propiedad o supervisión clara. En muchos casos, estas identidades superan en número a los usuarios humanos en más de 80 a 1.
Lo que hace que eso sea especialmente arriesgado es lo poco que la mayoría de los equipos saben sobre ellos. Los NHI a menudo se crean automáticamente durante el despliegue o el aprovisionamiento, luego desaparecen del radar, no se vean, sin ser positivo y a menudo exagerados.
Las cuentas de servicio, en particular, están en todas partes. Mueven datos entre sistemas, ejecutan trabajos programados y autentican servicios sin cabecera. Pero su expansión rara vez es visible, y sus permisos rara vez se revisan. Con el tiempo, se convierten en vehículos perfectos para el movimiento supletorio y la ascenso de privilegios.
Pero las cuentas de servicio son solo parte de la imagen. A medida que crece la acogida de AI, una nueva categoría de identidad no humana introduce un peligro aún más impredecible.
Por qué los agentes de IA se comportan de guisa diferente y por qué importa
A diferencia de la mayoría de las identidades de la máquina, los agentes de IA inician acciones por su cuenta; interactuar con API, consultar datos y tomar decisiones de forma autónoma.
Esa autonomía tiene un costo. Los agentes de IA a menudo necesitan golpe a datos y API confidenciales, pero pocas organizaciones tienen barandillas para lo que pueden hacer o cómo revocar ese golpe.
Peor aún, la mayoría de los agentes de IA carecen de propiedad clara, no siguen el ciclo de vida normalizado y ofrecen poca visibilidad sobre su comportamiento del mundo vivo. Pueden ser implementados por desarrolladores, integrados en herramientas o llamados a través de API externos. Una vez que viven, pueden funcionar indefinidamente, a menudo con credenciales persistentes y permisos elevados.
Y oportuno a que no están vinculados a un heredero o sesión, los agentes de IA son difíciles de monitorear utilizando señales de identidad tradicionales como IP, ubicación o contexto del dispositivo.
El costo del golpe invisible
Los secretos se codifican. Los tokens se reutilizan. Las identidades huérfanas permanecen activas durante meses, a veces abriles.
Estos riesgos no son nuevos, pero las credenciales estáticas y el golpe destapado pueden acaecer sido manejables cuando tuvo algunas docenas de cuentas de servicio. Pero con miles, o decenas de miles, de NHIS operando independientemente a través de los servicios en la aglomeración, el seguimiento manual simplemente no se escalera.
Es por eso que muchos equipos de seguridad revisan cómo definen la identidad en primer zona. Porque si un agente de IA puede autenticarse, lograr a los datos y tomar decisiones, es una identidad. Y si esa identidad no se rige, es una responsabilidad.
Desafíos de seguridad NHI comunes
Comprender que las identidades no humanas representan un peligro creciente es una cosa; Dirigir ese peligro es otro. El problema principal es que las herramientas y procesos creados para la encargo de la identidad humana no se traducen en el mundo de las API, las cuentas de servicio y los agentes de IA. Esta desconexión crea varios desafíos de seguridad distintos y peligrosos que muchas organizaciones tan pronto como comienzan a enredar.
No puedes proteger lo que no puedes ver
El desafío más fundamental para apoyar NHIS es la visibilidad. La mayoría de los equipos de seguridad no tienen un inventario completo de todas las identidades no humanas que operan en su entorno. Estas identidades a menudo son creadas dinámicamente por desarrolladores o sistemas automatizados para cumplir una función específica y temporal. Se hacen sobrevenir por tolerar un nuevo microservicio, ejecutar un script de implementación o integrar una aplicación de terceros.
Una vez creado, sin requisa, rara vez se documentan o rastrean en un sistema central de encargo de identidad. Se convierten en identidades “sombras”, activas y funcionales, pero completamente invisibles para la seguridad y la TI. Sin una visión integral de lo que existen, quién (o qué) los creó y a qué están accediendo, es impracticable construir una logística de seguridad significativa. Te quedas tratando de apoyar una superficie de ataque de un tamaño desconocido.
Por qué “establecerlo y olvidarlo” es un pasivo de seguridad
Una actos popular para desarrolladores y equipos de operaciones es asignar amplios permisos a NHIS para avalar que un servicio o aplicación funcione sin interrupción. Piense en ello como instalar una aplicación que solicita golpe a su rollo de cámara, micrófono y ubicación. Toque “Permitir” solo para que funcione, luego olvídalo.
Es más rápido y más conveniente en este momento, pero introduce riesgos innecesarios. Del mismo modo, asignar permisos demasiado amplios a NHIS podría entregar la configuración, pero crea brechas de seguridad significativas, dejando a sus sistemas vulnerables a la explotación.
El principio de pequeño privilegio a menudo se sacrifica por velocidad y conveniencia. Es posible que un NHI solo necesite repasar datos de una tabla de colchoneta de datos, pero se le otorga golpe de escritura a toda la colchoneta de datos para evitar futuros errores relacionados con el permiso.
Este enfoque crea una responsabilidad de seguridad masiva. Estas identidades excesivas se convierten en objetivos de parada valencia para los atacantes. Si un actor de amenaza compromete a un NHI con privilegios excesivos, puede moverse lateralmente a través de los sistemas, aumentar su golpe y exfiltrar datos confidenciales sin obligación de las credenciales de un heredero humano.
Correcto a cómo rara vez se revisan o desprisionan NHIS, estas cuentas permisivas pueden permanecer activas y vulnerables durante meses o incluso abriles, esperando ser explotadas.
Sin contexto, sin controles modernos
La seguridad de la identidad moderna se base en contexto. Cuando un heredero inicia sesión, podemos repasar su identidad utilizando señales como su ubicación, dispositivo y red, a menudo solicitando la autenticación multifactor (MFA) si poco parece inusual. NHIS no tiene nulo de este contexto. Solo se están ejecutando en código en un servidor. No tienen un dispositivo, una ubicación geográfica o patrones de comportamiento que se puedan monitorear fácilmente.
Correcto a que se autentican con credenciales estáticas de larga vida, MFA no se aplica. Esto significa que si se roba una credencial, no hay segundo multiplicador para evitar que un atacante la use. La partida de controles de golpe conscientes del contexto hace que sea increíblemente difícil distinguir entre actividad NHI legítima y maliciosa hasta que sea demasiado tarde.
Identidades huérfanas y fantasmas digitales
¿Qué sucede cuando el desarrollador que creó una cuenta de servicio deja a la empresa? ¿O cuando una aplicación que usó un token API específico está desmantelado? En la mayoría de las organizaciones, los NHI asociados se quedan a espaldas. Estas identidades “huérfanas” o “persistentes” permanecen activas, con sus permisos intactos, pero con ningún propietario responsable de su ciclo de vida.
Estos fantasmas digitales son una pesadilla de cumplimiento y un peligro de seguridad. Acumulan el medio condición, lo que dificulta identificar identidades legítimas y activas. Más importante aún, representan un punto de entrada sucio y sin monitorear en sus sistemas. Un atacante que descubre una identidad huérfana con credenciales válidas ha incompatible una puerta trasera perfecta, una que nadie está viendo.
Cómo los equipos de seguridad están recuperando el control
Frente a una superficie de ataque que se está expandiendo y se vuelve más autónoma, los equipos de seguridad líderes están cambiando de soluciones reactivas a gobernanza proactiva. Ese cambio comienza con el registro de cada sistema, script y agente acreditado como una identidad que vale la pena dirigir.
Descubrir e inventario todo nhis
Las plataformas de identidad modernas pueden escanear entornos como AWS, GCP e infraestructura en el primer momento para superficie de tokens ocultos, cuentas de servicio no administradas y roles de permisión demasiado.
Estas herramientas reemplazan las hojas de cálculo y las conjeturas con un inventario unificado en tiempo vivo de las identidades humanas y no humanas. Sin esta colchoneta, la gobernanza es solo conjeturas. Con él, los equipos de seguridad finalmente pueden sobrevenir de aventurar Whack-A-Mole con cuentas de servicio a construir un control vivo.
Triage y acometer las identidades de parada peligro primero
Con un inventario completo en su zona, el posterior paso es ceñir el radiodifusión potencial de arrebato. No todos los NHIS plantean el mismo nivel de peligro. La esencia es priorizar la remediación basada en permisos y golpe. La encargo de privilegios basados en el peligro ayuda a identificar qué identidades están peligrosamente excesivas.
A partir de ahí, los equipos pueden el golpe sistemáticamente a la derecha para alinearse con el principio de pequeño privilegio. Esto igualmente implica la implementación de controles más fuertes, como la rotación automatizada para secretos y credenciales. Para el NHIS más poderoso, como los agentes de IA autónomos, es fundamental tener “interruptores de crimen” que permitan la terminación inmediata de la sesión si se detecta un comportamiento aberrante.
Automatizar la gobernanza y el ciclo de vida
Las identidades humanas tienen políticas de ciclo de vida: incorporación, cambios de roles, fuera de barandilla. Las identidades no humanas necesitan el mismo rigor.
Las organizaciones líderes están automatizando estos procesos de extremo a extremo. Cuando se crea un nuevo NHI, se le asigna un propietario, se les da permisos de zona de influencia y se agrega a un inventario auditable. Cuando una útil está retirada o un desarrollador se va, las identidades asociadas se desprenden automáticamente, cerrando la puerta en cuentas huérfanas y avalar que el golpe no persiga indefinidamente.
Por qué una tela de seguridad de identidad cambia la ecuación
Muchos de los riesgos vinculados a las identidades no humanas tienen menos que ver con las identidades mismas y más con los sistemas fragmentados que intentan administrarlos.
Cada proveedor de la aglomeración, útil CI/CD y plataforma AI manejan la identidad de guisa diferente. Algunos usan tokens estáticos. Algunos emiten credenciales durante la implementación. Algunos no expiran el golpe en rotundo. Sin un sistema compartido para concretar la propiedad, asignar permisos y hacer cumplir las barandillas, la expansión crece sin control.
Una tela de seguridad de identidad unificada cambia esto al consolidar todas las identidades, humanas y no humanas, bajo un solo plano de control. Y con Okta, eso significa:
- Surfaciendo automáticamente las identidades y las brechas de postura con la encargo de postura de seguridad de identidad (ISPM)
- Aplicar golpe de menos privilegio con rotación y cúpula para secretos sensibles
- Definición de las políticas del ciclo de vida para cada identidad, incluidos los agentes y las cuentas de servicio
- Extender patrones de identidad de carga de trabajo (tokens de corta duración, credenciales del cliente) y golpe adaptativo a servicios y trabajos de fondo
- Gobierno de golpe a servicios de AWS como Bedrock y Amazon Q, mientras que AWS IAM emite y hace cumplir las credenciales de agente/carga de trabajo subyacente
En zona de unir soluciones, los equipos pueden concretar los controles de identidad una vez y aplicarlos en todas partes. Eso significa menos puntos ciegos, tiempos de respuesta más rápidos y una superficie de ataque más pequeña, sin obligación de diez herramientas diferentes para demorar allí.
No dejes que NHIS se convierta en tu punto ciego más vasto
Los agentes de IA y las identidades no humanas ya están remodelando su superficie de ataque. Se están multiplicando más rápido que la mayoría de los equipos pueden rastrear y muchos aún operan sin una propiedad clara, controles fuertes o cualquier visibilidad vivo.
No necesita reparar su logística desde cero. Pero tu hacer Necesita tratar identidades no humanas como lo que son: puntos de golpe críticos que merecen el mismo gobierno que cualquier heredero.
Con una plataforma de identidad unificada, los equipos de seguridad pueden inventar las que se ejecuta, aplicar controles escalables y cortar el golpe de peligro antiguamente de explotarse, no posteriormente.
Vea cómo OKTA y AWS ayudan a las organizaciones a traer orden a la expansión NHI. (Descargue la preceptor) para comenzar.
