Bulud Zəifliklərinin Gizli Səbəbi: Unudulmuş Qeyri-İnsan Kimlikləri

Bulud Zəifliklərinin Gizli Səbəbi: Unudulmuş Qeyri-İnsan Kimlikləri

2024-cü ildə bulud mühitlərinə edilən uğurlu kiberhücumların əksəriyyətinin, daha dəqiq desək, 68%-nin arxasında təhlükəli bir tendensiya dayanır: təhlükəsizliyi pozulmuş xidmət hesabları və unudulmuş API açarları. Bu statistik göstərici, illərdir kibertəhlükəsizliyin əsas düşmənləri sayılan Phishing hücumları və zəif parollar kimi ənənəvi təhdidləri kölgədə qoyaraq, diqqəti gözlənilməz bir zəifliyə yönəldir.

Müasir rəqəmsal ekosistemlərdə “qeyri-insan kimlikləri” (non-human identities) adı altında xidmət hesabları, API tokenləri, süni intellekt agent bağlantıları və OAuth qrantları kimi avtomatlaşdırılmış etimadnamələr nəzərdə tutulur. Təəccüblü deyil ki, hər bir əməkdaş üçün təşkilatlarda orta hesabla 40-50 belə avtomatlaşdırılmış kimlik mövcuddur. Onlar müxtəlif layihələrin, xidmətlərin və proqramların bir-biri ilə ünsiyyət qurmasını təmin edir.

Niyə Qeyri-İnsan Kimlikləri Gizli Təhlükədir?

Problem bu kimliklərin sayının böyüklüyündə deyil, onların idarə olunmamasında və “yetim” qalmasında (orphaned)dir. Layihələr bitdikdə və ya əməkdaşlar şirkətdən ayrıldıqda, bu xidmət hesabları, API açarları və digər etimadnamələr çox vaxt deaktiv edilmir və ya müvafiq şəkildə nəzarətdə saxlanmır. Nəticədə, onlar hakerlər üçün sistemlərə giriş əldə etmək, məlumatları oğurlamaq və ya daha geniş miqyaslı hücumlar həyata keçirmək üçün ideal “arxa qapı”ya çevrilir.

Ənənəvi olaraq, təşkilatlar Phishing hücumlarından və istifadəçi parollarının zəifliyindən qorunmağa üstünlük verirlər. Lakin yeni məlumatlar göstərir ki, ən böyük risk mənbəyi adətən nəzərdən qaçırılan bu idarəolunmayan qeyri-insan kimlikləridir. Onlar müəyyən bir insan istifadəçisinə aid olmadığı üçün monitorinq və təhlükəsizlik siyasətlərinə daha az daxil edilir, bu da onların aşkar edilməsini və zərərsizləşdirilməsini çətinləşdirir.

Təşkilatlar Üçün Çıxış Yolu

Kibertəhlükəsizlik mütəxəssisləri təşkilatlara bu “yetim” qalmış və ya idarəolunmayan qeyri-insan kimliklərini müəyyən etməyi və aradan qaldırmağı tövsiyə edir. Bu, yalnız insan istifadəçilərinin deyil, həm də sistemlər və xidmətlər tərəfindən istifadə edilən bütün etimadnamələrin hərtərəfli inventarlaşdırılmasını, müntəzəm monitorinqini və həyat dövrü idarəetməsini əhatə edir. Bu yanaşma, bulud mühitindəki zəiflikləri azaltmaq və kiberhücum riskini minimuma endirmək üçün kritik əhəmiyyət kəsb edir.