Использование Сервисных и неактивных учётных записей при облачных атаках

Эксплуатация ‎сервисных‏ ‎и ‎неактивных ‎учётных ‎записей ‎кибер-профессионалами‏ ‎представляет ‎собой‏ ‎изощренный‏ ‎и ‎часто ‎упускаемый‏ ‎из ‎виду‏ ‎вектор ‎кибератак. ‎Эти ‎учётные‏ ‎записи,‏ ‎созданные ‎для‏ ‎различных ‎операционных‏ ‎целей ‎в ‎облачных ‎и ‎локальных‏ ‎средах‏ ‎организации, ‎могут‏ ‎предоставить ‎злоумышленникам‏ ‎доступ, ‎необходимый ‎им ‎для ‎достижения‏ ‎своих‏ ‎целей,‏ ‎если ‎они‏ ‎не ‎управляются‏ ‎и ‎не‏ ‎защищаются‏ ‎должным ‎образом.

Учётные‏ ‎записи ‎служб ‎— ‎это ‎специализированные‏ ‎учётные ‎записи,‏ ‎используемые‏ ‎приложениями ‎или ‎службами‏ ‎для ‎взаимодействия‏ ‎с ‎операционной ‎системой ‎или‏ ‎другими‏ ‎службами. ‎Они‏ ‎часто ‎имеют‏ ‎повышенные ‎привилегии ‎для ‎выполнения ‎определённых‏ ‎задач‏ ‎и ‎могут‏ ‎не ‎быть‏ ‎привязаны ‎к ‎личности ‎отдельного ‎пользователя.‏ ‎С‏ ‎другой‏ ‎стороны, ‎неактивные‏ ‎учётные ‎записи‏ ‎— ‎это‏ ‎учётные‏ ‎записи ‎пользователей,‏ ‎которые ‎больше ‎не ‎используются ‎либо‏ ‎потому, ‎что‏ ‎пользователь‏ ‎покинул ‎организацию, ‎либо‏ ‎потому, ‎что‏ ‎цель ‎учётной ‎записи ‎была‏ ‎достигнута.‏ ‎Эти ‎учётные‏ ‎записи ‎особенно‏ ‎опасны, ‎поскольку ‎о ‎них ‎часто‏ ‎забывают,‏ ‎им ‎оставляют‏ ‎больше ‎привилегий,‏ ‎чем ‎необходимо, ‎и ‎они ‎не‏ ‎контролируются‏ ‎так‏ ‎тщательно, ‎как‏ ‎активные ‎учётные‏ ‎записи ‎пользователей.

Почему‏ ‎служебные‏ ‎и ‎неактивные‏ ‎учётные ‎записи ‎подвергаются ‎атаке

📌Повышенные ‎привилегии.‏ ‎Учётные ‎записи‏ ‎служб‏ ‎имеют ‎повышенные ‎привилегии,‏ ‎необходимые ‎для‏ ‎системных ‎задач, ‎которые ‎можно‏ ‎использовать‏ ‎для ‎получения‏ ‎широкого ‎доступа‏ ‎к ‎сети ‎организации.

📌Отсутствие ‎мониторинга. Неактивные ‎учётные‏ ‎записи‏ ‎используются ‎нерегулярно,‏ ‎что ‎снижает‏ ‎вероятность ‎их ‎отслеживания ‎на ‎предмет‏ ‎подозрительной‏ ‎активности‏ ‎делает ‎их‏ ‎привлекательной ‎целью‏ ‎для ‎злоумышленников.

📌Слабые‏ ‎учётные‏ ‎данные ‎или‏ ‎учётные ‎данные ‎по ‎умолчанию. Учётные ‎записи‏ ‎служб ‎могут‏ ‎быть‏ ‎настроены ‎со ‎слабыми‏ ‎учётными ‎данными‏ ‎или ‎учётными ‎данными ‎по‏ ‎умолчанию,‏ ‎которые ‎проще‏ ‎найти ‎с‏ ‎помощью ‎атак ‎методом ‎перебора.

📌Обход ‎аналитики‏ ‎поведения‏ ‎пользователей. ‎Поскольку‏ ‎учётные ‎записи‏ ‎служб ‎выполняют ‎автоматизированные ‎задачи, ‎их‏ ‎модели‏ ‎поведения‏ ‎могут ‎быть‏ ‎предсказуемыми, ‎что‏ ‎позволяет ‎вредоносным‏ ‎действиям‏ ‎сливаться ‎с‏ ‎обычными ‎операциями ‎и ‎уклоняться ‎от‏ ‎обнаружения.

Угроза, ‎которую‏ ‎представляют‏ ‎скомпрометированные ‎учётные ‎записи

📌Распространение:‏ ‎использование ‎привилегий‏ ‎учётной ‎записи ‎для ‎дальнейшего‏ ‎распространения‏ ‎в ‎сети,‏ ‎получая ‎доступ‏ ‎к ‎другим ‎системам ‎и ‎данным.

📌Повышение‏ ‎привилегий:‏ ‎использование ‎учётной‏ ‎записи ‎для‏ ‎повышения ‎привилегий ‎и ‎получения ‎административного‏ ‎доступа‏ ‎к‏ ‎критически ‎важным‏ ‎системам.

📌Закрепление: ‎обеспечение‏ ‎постоянного ‎присутствия‏ ‎в‏ ‎сети, ‎что‏ ‎затрудняет ‎обнаружение ‎и ‎устранение ‎злоумышленника.

📌Эксфильтрация‏ ‎данных: доступ ‎к‏ ‎конфиденциальным‏ ‎данным ‎и ‎их‏ ‎удаление, ‎что‏ ‎приводит ‎к ‎утечке ‎данных‏ ‎и‏ ‎краже ‎интеллектуальной‏ ‎собственности.

Снижение ‎рисков,‏ ‎связанных ‎с ‎сервисными ‎и ‎неактивными‏ ‎счетами

📌Регулярные‏ ‎проверки. Проведение ‎регулярных‏ ‎проверок ‎всех‏ ‎учётных ‎записей ‎для ‎выявления ‎и‏ ‎деактивации‏ ‎неактивных‏ ‎учётных ‎записей‏ ‎и ‎обеспечения‏ ‎того, ‎чтобы‏ ‎учётные‏ ‎записи ‎служб‏ ‎имели ‎минимально ‎необходимые ‎привилегии.

📌Строгий ‎контроль‏ ‎аутентификации. ‎Применение‏ ‎политики‏ ‎надёжных ‎паролей ‎и‏ ‎использование ‎MFA‏ ‎для ‎учётных ‎записей ‎служб,‏ ‎где‏ ‎это ‎возможно.

📌Мониторинг.‏ ‎Внедрение ‎механизмов‏ ‎мониторинга ‎и ‎оповещения ‎для ‎обнаружения‏ ‎необычных‏ ‎действий, ‎связанных‏ ‎со ‎службами‏ ‎и ‎неактивными ‎учётными ‎записями.

📌Разделение ‎ролей.‏ ‎Применение‏ ‎принципа‏ ‎разделения ‎ролей‏ ‎к ‎учётным‏ ‎записям ‎служб,‏ ‎чтобы‏ ‎ограничить ‎объем‏ ‎доступа ‎и ‎снизить ‎риск ‎неправомерного‏ ‎использования.

📌Инструменты ‎автоматического‏ ‎управления. Использование‏ ‎инструментов ‎автоматического ‎управления‏ ‎учётными ‎записями,‏ ‎чтобы ‎отслеживать ‎использование ‎и‏ ‎жизненный‏ ‎цикл ‎учётной‏ ‎записи, ‎гарантируя,‏ ‎что ‎учётные ‎записи ‎будут ‎деактивированы,‏ ‎когда‏ ‎они ‎больше‏ ‎не ‎нужны.