Inaktive Cloud-Identitäten können eine verborgene Sicherheitslücke schaffen, warnt Forscher

Der Sicherheitsforscher Aleksandr Krasnov macht auf die Risiken aufmerksam, die von inaktiven nicht-menschlichen Identitäten (NHIs) in Cloud-Umgebungen ausgehen. Dazu zählen Dienstkonten, Anmeldedaten für Anwendungen, automatisierte Workloads und andere Mechanismen für den Zugriff von Maschine zu Maschine, die ohne direkte menschliche Interaktion funktionieren.

Auch wenn ein inaktives Zugangstoken harmlos erscheinen mag, kann es weiterhin mit Cloud-Ressourcen, Anwendungen oder anderen Identitäten verbunden sein. Diese Persistenz kann es Sicherheitsteams erschweren, nachzuvollziehen, welche Zugriffspfade noch bestehen und worauf ein Angreifer zugreifen könnte, wenn ein Zugangstoken kompromittiert oder reaktiviert wird.

Sichtbarkeitslücken bei Maschinenidentitäten

Organisationen konzentrieren sich bei Identitätsprüfungen häufig auf Mitarbeiterkonten, während automatisierte Identitäten weniger genau überprüft werden. NHIs können für zeitlich begrenzte Projekte, Tests oder Integrationen erstellt und anschließend zurückgelassen werden, wenn ihr ursprünglicher Zweck entfällt. Mit der Zeit können diese ungenutzten Konten und Berechtigungen Teil einer umfassenderen, schwer zu erfassenden Vertrauensbeziehung werden.

Krasnov beschreibt diese inaktiven Identitäten als Quelle von Sicherheitsblindstellen. Entscheidend ist nicht nur, ob ein Zugangstoken derzeit verwendet wird; auch seine Berechtigungen und Beziehungen zu anderen Systemen können das mögliche Ausmaß eines unbefugten Zugriffs bestimmen.

Open-Source-Tool zur Erkennung

Um die Untersuchung dieser Beziehungen zu unterstützen, hat Krasnov NHI Hound veröffentlicht, ein Open-Source-Tool zur Identifizierung von Vertrauenspfaden im Zusammenhang mit nicht-menschlichen Identitäten. Das Tool soll Verteidigern dabei helfen, Verbindungen zu finden, die bei herkömmlichen Prüfungen von Konten und Berechtigungen möglicherweise übersehen werden.

Sicherheitsteams können bei der Bewertung des Problems zunächst ein Inventar der Maschinenidentitäten führen, Zuständigkeit und Zweck bestätigen und nicht mehr benötigte Zugangsdaten entfernen. Außerdem können sie Berechtigungen auf übermäßigen Zugriff prüfen, Aktivitäten in Verbindung mit inaktiven Konten überwachen und, sofern praktikabel, kurzlebige Zugangsdaten verwenden.

Tools wie NHI Hound können diesen Prozess unterstützen, doch die Erkennung ist nur ein Teil der Identitätssicherheit. Die Ergebnisse müssen weiterhin anhand der geschäftlichen Anforderungen validiert werden, und die Behebung sollte sorgfältig geplant werden, um legitime Automatisierung oder Cloud-Dienste nicht zu beeinträchtigen.