MSP FAQ: rozdziel dostęp ludzki i maszynowy między dzierżawami

MSP-y godzące dostęp techników i automatyzację w dziesiątkach dzierżaw klientów mierzą się z konkretną wersją narastającego problemu branżowego: tożsamości nieludzkie — konta usług, klucze API, tokeny automatyzacji — muszą być zarządzane inaczej niż ludzie, którzy je tworzą.

Dlaczego NHI wymagają odrębnego zarządzania

Projekt OWASP Non-Human Identity Top 10 zauważa, że tożsamości maszynowe nie są z natury powiązane z konkretną osobą i że typowe zabezpieczenia stosowane wobec ludzi, takie jak MFA, nie przekładają się na nie w prosty sposób. Rozbieżność dotyczy głównie cyklu życia: gdy technik odchodzi, jego konto jest zwykle wyłączane w ciągu kilku godzin, ale konta usług i klucze API, które utworzył, mogą nadal działać z pełnymi uprawnieniami, dopóki ktoś ich jawnie nie znajdzie i nie unieważni. Ponieważ tożsamości nieludzkie mogą znacznie przewyższać liczebnością konta ludzkie w nowoczesnych środowiskach, MSP, które zarządza jednymi i drugimi w ten sam sposób, w praktyce pozostawia bez zarządzania swoją największą populację tożsamości.

Krótkotrwałe zamiast stałych

Zarówno OWASP, jak i Cloud Security Alliance konsekwentnie zalecają zastępowanie długoterminowych sekretów efemerycznymi, krótkotrwałymi tokenami, które wygasają automatycznie, zamiast poświadczeń działających bezterminowo po wydaniu. Wyciek długoterminowego tokenu daje atakującemu nieograniczony czas; token wygasający w ciągu minut lub godzin ogranicza szkody, nawet jeśli wycieknie.

Co to oznacza w modelu dzierżaw MSP

• Stosuj odrębnych dostawców tożsamości lub nazwy główne usług dla ludzkich techników i automatyzacji.
• Nigdy nie pozwalaj, aby awaryjne poświadczenie technika było jednocześnie poświadczeniem usługowym potoku.
• Powiąż tokeny maszynowe z pojedynczą dzierżawą klienta — nigdy nie wydawaj stałego klucza obejmującego wszystkie dzierżawy.
• Utrzymuj czas życia tokenów w zakresie minut lub godzin i rotuj je przy każdej zmianie kadrowej lub automatyzacji.
• Rejestruj klasę tożsamości (ludzka lub nieludzka) obok identyfikatora dzierżawy w każdym wpisie dostępu.

Rozwiązanie nie polega na jednym narzędziu, lecz na nawyku zarządczym: traktuj automatyzację jak własną populację tożsamości, z własnym zakresem najmniejszych uprawnień dla każdej dzierżawy, a nie jak przedłużenie konta technika, który ją skonfigurował.

Źródła: OWASP Non-Human Identities Top 10, Cloud Security Alliance — Defining Non-Human Identity.