Netwrix Innovation Week: innovazioni nella sicurezza delle identità

Poche piccole modifiche alla configurazione, come una policy di accesso condizionale allentata o un attributo utente modificato, possono trasformare un account amministratore di Entra ID compromesso in un accesso a lungo termine. Le modifiche lasciano attiva la MFA e nulla sembra rotto, quindi sono facili da non notare. Individuarle, insieme alle impostazioni rischiose e agli account di servizio che le circondano, è ciò su cui si sono concentrati i nostri team di prodotto negli ultimi aggiornamenti di Netwrix Threat Manager e Netwrix PingCastle.

In una recente conversazione con Joe Dibley, senior product manager di PingCastle, abbiamo approfondito il modo in cui gli attaccanti abusano di Entra ID, come i team possono ottenere visibilità sugli account di servizio e come stanno rispondendo entrambi i prodotti.

Scopri tutte le conversazioni di Innovation Week per ascoltare i leader di Netwrix e gli esperti del settore parlare di sicurezza dei dati e delle identità.

Nuove rilevazioni per Entra ID in Netwrix Threat Manager

Le rilevazioni che stiamo aggiungendo a Threat Manager includono le modifiche alle regole che governano Entra ID, come la durata più lunga dei token, l'auditing ridotto e i ruoli personalizzati che possono creare backdoor. Si tratta di una manciata di eventi in un volume molto ampio di log, quindi è pratico tenerli sotto controllo. In tutto ne aggiungeremo più di 30 nei prossimi trimestri, in quattro aree: manomissione dei controlli, escalation dei privilegi e persistenza, attacchi alle credenziali e modifiche ad applicazioni e identità dei workload.

L'iniezione nei gruppi dinamici, una delle tecniche meno comuni dell'insieme, mostra quanto sia facile non accorgersi di modifiche di questo tipo. I gruppi dinamici aggiungono membri automaticamente in base a un attributo dell'account, quindi un attaccante con permessi di modifica su un account può, ad esempio, impostare il reparto su finanza, entrare nel gruppo finanza ed ereditare tutto ciò che ne deriva. Il gruppo in sé non cambia mai, quindi non viene mai eseguito alcun passaggio di approvazione. Threat Manager rileva già la modifica dell'attributo e prevediamo di migliorarlo in modo che riconosca quando tale modifica corrisponde a una regola di gruppo dinamico per un gruppo o un ruolo sensibile.

Una dashboard degli account di servizio in Threat Manager

Negli ambienti con cui lavoriamo, gli account di servizio sono di solito sovraprivilegiati e restano fuori dalla MFA perché non sono utenti umani. Spesso usano password che non scadono mai e, poiché si autenticano in modo programmatico, i loro accessi ricevono meno attenzione rispetto a quelli di una persona.

La nuova dashboard degli account di servizio di Threat Manager offre ai team un'unica vista di tutti gli account di servizio del proprio ambiente, con accesso rapido ad attività recenti, minacce e tipi di crittografia deboli. Li identifichiamo in modo nativo e i team possono aggiungere quelli che ci sfuggono tramite convenzione di denominazione o unità organizzativa.

Oggi la dashboard copre gli account on-premises, ma gli account di servizio esistono altrettanto in Entra ID. L'ultima release identifica già lì le identità degli agenti e prevediamo di estendere la dashboard a Entra ID, in modo che service principal, identità degli agenti e altre identità non umane compaiano in un'unica vista.

PingCastle 4.0 aggiunge una valutazione dei rischi di Entra ID

La nuova valutazione copre 102 rischi, con l'obiettivo di raggiungere la parità con la nostra valutazione di Active Directory. La copertura include configurazioni ibride, come gli account di sincronizzazione della directory con privilegi estesi, oltre alle impostazioni di consenso degli utenti, ai metodi MFA, ai link di condivisione di SharePoint e alla configurazione di Azure Key Vault.

Ogni rischio ha un proprio file di definizione, così il nostro team di ricerca sulle minacce può creare prototipi in JSON e i clienti possono vedere come cambia un rischio tra le versioni, modificarlo o rilasciarne di propri.

La ricerca sulle minacce alla base di entrambi i prodotti

Entrambi i prodotti attingono alla stessa fonte. Il nostro team di ricerca sulle minacce studia gli attacchi reali e le tecniche usate contro Entra ID, e Joe e io collaboriamo regolarmente con il team per dare priorità a ciò che entra nelle versioni future.

La nostra newsletter di ricerca sulla sicurezza, Threat Lab Quarterly, è un modo per seguire questo lavoro. Ogni numero racconta cosa sta monitorando il team e cosa potrebbe significare per chi difende. La prima edizione è già disponibile.

Innovation Week in Netwrix

Netwrix Innovation Week si svolge dal 19 al 23 ottobre e riunisce esperti tecnici e difensori per approfondimenti sulla sicurezza di identità e dati. La settimana comprende interviste video, demo, livestream, un panel di esperti e una sfida capture the flag basata sull'IA.