Identiteits- en toegangsbeveiliging in het AI-tijdperk

De identiteit die toegang krijgt tot uw infrastructuur behoort mogelijk niet toe aan een persoon.

Het kan toebehoren aan een werknemer, aannemer, klant, applicatie, server, API, geautomatiseerde workflow, cloud workload, of AI-agentElke identiteit heeft mogelijk toegang nodig tot specifieke systemen, gegevens en acties. Bovendien kan elke identiteit, bij gebrekkig beheer of misbruik, een toegangspoort tot de organisatie vormen.

Daarom kan de beveiliging van de infrastructuur niet langer voornamelijk afhangen van de bescherming van de netwerkgrens.

Een legitieme gebruikersnaam, een gestolen sessietoken, een serviceaccount met te hoge privileges of een vergeten beheerdersprofiel kunnen een aanvaller in staat stellen zich door systemen te bewegen zonder een traditionele firewall te omzeilen. De activiteit kan in eerste instantie legitiem lijken omdat de aanvaller een echte identiteit gebruikt.

Effectieve identiteitsbescherming stelt daarom bij elk verzoek om toegang een aantal vragen:

• Wie of wat vraagt ​​toegang aan?
• Hoe is die identiteit geverifieerd?
• Wordt het apparaat of de workload vertrouwd?
• Welke bron wordt aangevraagd?
• Heeft de identiteit die toegang nu nodig?
• Komt het gedrag overeen met eerdere activiteiten?
• Is er voor deze actie aanvullende goedkeuring nodig?
• Kan de toegang snel worden verwijderd?

Deze handleiding legt uit hoe u menselijke en niet-menselijke identiteiten kunt beschermen in moderne infrastructuren. Het behandelt authenticatie, zero-trust toegang, bevoorrechte accounts, service-identiteiten, AI-agenten, monitoring, incidentrespons en praktische stappen die bedrijven kunnen nemen om identiteitsgerelateerde risico's te verminderen.

hoofdstukken

Identiteitsbescherming begrijpen

Identiteitsbescherming omvat initiatieven die erop gericht zijn te verifiëren dat alleen legitieme personen of systemen bepaalde activa kunnen gebruiken. Als belangrijk onderdeel hiervan... bescherming van identiteitssystemen voor kritieke infrastructuurHet richt zich op het minimaliseren van ongeautoriseerde activiteiten door nauwkeurige identificatie te garanderen. Door de nadruk te leggen op identiteit, verkleinen organisaties het risico op inbraak, diefstal van databases en misbruik van gegevens. Efficiënte identificatie zorgt ervoor dat alleen geverifieerde gebruikers de strenge identificatieprocessen doorlopen, waardoor aanvallers geen misbruik kunnen maken van toegangspunten.

Identiteitsbescherming is het geheel van controles dat wordt gebruikt om identiteiten te verifiëren, toegang te beheren, verdacht gedrag te detecteren en te reageren wanneer een account of inloggegevens mogelijk zijn gecompromitteerd.

Dit geldt gedurende de gehele levenscyclus van de identiteit:

• Er wordt een identiteit gecreëerd.
• Toegang is toegewezen.
• De identiteit wordt geverifieerd.
• Er wordt gebruikgemaakt van machtigingen.
• De activiteiten worden gemonitord.
• De toegangseisen veranderen naarmate de verantwoordelijkheden veranderen.
• De identiteit is uitgeschakeld of verwijderd.

De bescherming van infrastructuuridentiteiten gaat verder dan alleen werknemersaccounts.

Het bevat ook:

• Aannemers
• Klanten
• beheerders
• Serviceaccounts
• Toepassingen
• APIs
• Apparaten
• containers
• Cloud-werklasten
• Geautomatiseerde workflows
• Bots
• AI assistenten
• AI-agenten

Het doel is niet alleen om te bevestigen dat een identiteit het juiste wachtwoord heeft. Het gaat erom vast te stellen of die identiteit onder de huidige omstandigheden een bepaalde actie mag uitvoeren.

Welke identiteiten moeten worden beschermd?

Elke identiteit met toegang tot bedrijfsbronnen heeft een eigenaar, een doel, passende machtigingen en een gedefinieerde levenscyclus nodig.

Sterke authenticatiemethoden

Wachtwoorden alleen zijn niet voldoende, en bedrijven kunnen hun accounts beter beveiligen door er niet uitsluitend op te vertrouwen. U hebt wellicht gehoord dat veel aanvallers misbruik maken van zwakke wachtwoorden of wachtwoorden hergebruiken om toegang te krijgen tot uw account. Multifactorauthenticatie biedt een extra beveiligingslaag. Toegangscontrole kan worden versterkt met tweefactorauthenticatie door iets wat gebruikers weten (een wachtwoord) te combineren met iets wat ze bezitten.

Toegangscontroles en machtigingen

Beperkte toegangsrechten helpen potentiële schade te beperken. Dit betekent dat toegangsrechten worden toegewezen op basis van de functies van elke gebruiker, waardoor onnodige blootstelling wordt verminderd. Dit wordt het principe van minimale bevoegdheden genoemd, waarbij gebruikers alleen toegang hebben tot de middelen die nodig zijn voor hun specifieke taken. Zorg ervoor dat u de toegangsrechten regelmatig controleert en bijwerkt.

Continue monitoring en waarschuwingen

Systemen die realtime monitoren, detecteren snel mogelijke verdachte activiteiten. Verdacht inloggedrag of inlogpogingen vanaf onbekende locaties kunnen erop wijzen dat de toegang mogelijk is gecompromitteerd. Geautomatiseerde waarschuwingen zorgen ervoor dat beveiligingsteams direct op de hoogte worden gesteld, zodat ze snel kunnen reageren. Het vastleggen van accountactiviteiten helpt bij een gedegen onderzoek na incidenten.

Identiteitsbeheersystemen

Gecentraliseerde tools voor identiteitsbeheer vereenvoudigen het beheer van gebruikersaccounts. Dergelijke systemen automatiseren talloze taken, waaronder het toevoegen, bijwerken of deactiveren van accounts wanneer medewerkers bij een organisatie in dienst treden of deze verlaten. Automatisering minimaliseert de fouten die vaak voorkomen bij handmatige updates. Door identiteitsbeheer te koppelen aan andere beveiligingsoplossingen ontstaat een uniform overzicht van alle activiteiten.

Regelmatige authenticatieaudits

Regelmatige authenticatieaudits

Een regelmatige audit zorgt ervoor dat een authenticatiemechanisme naar behoren werkt. Authenticatielogboeken bieden de mogelijkheid om eventuele afwijkingen of zwakke punten te identificeren. Het testen van back-up- en herstelprocedures is een proactieve maatregel die ervoor zorgt dat de gebruiker toegang kan herstellen in geval van een probleem. Het brengt ook beveiligingslekken aan het licht en maakt effectieve corrigerende maatregelen mogelijk voordat ze uitgroeien tot grote problemen.

Training en bewustwording van medewerkers

Identiteitsbescherming is sterk afhankelijk van menselijk gedrag. Dat betekent dat medewerkers getraind moeten worden in veilige authenticatie en het herkennen van veelvoorkomende bedreigingen. Werknemers leren echte phishingpogingen, social engineering en andere methoden om inloggegevens te stelen te herkennen. Bewustwordingscampagnes zijn continu en beveiliging blijft een topprioriteit binnen de dagelijkse werkzaamheden. Herhalingssessies werken het beste wanneer ze aansluiten op recente incidenten die de sector daadwerkelijk heeft meegemaakt, omdat bekende voorbeelden veel langer blijven hangen dan abstracte waarschuwingen. Daarom zijn gestructureerde trainingen zo effectief. training veiligheidsbewustzijn blijft zich ontwikkelen, parallel aan de bedreigingen zelf.

Regelmatige software-updates

Zwakke plekken in softwarebeveiliging kunnen identiteitsgegevens openbaar maken. Updates en patches verhelpen kwetsbaarheden voordat ze kunnen worden misbruikt. Geautomatiseerde updateprogramma's zorgen ervoor dat systemen met weinig moeite up-to-date blijven. Door updates te testen vóór de implementatie worden compatibiliteitsproblemen voorkomen. Een eenvoudige maar effectieve stap die u kunt nemen om u te beschermen tegen identiteitsaanvallen, is uw software up-to-date te houden.

Back-up- en herstelplannen

Authenticatiesystemen kunnen worden verstoord door inbreuken, systeemstoringen en andere onverwachte gebeurtenissen. Backups bewaren belangrijke gegevens en configuraties. Door regelmatig hersteltests uit te voeren, worden serviceonderbrekingen voorkomen in geval van een calamiteit. Veilige back-ups minimaliseren de impact van een inbreuk of aanval en versnellen het herstel. Dit vermindert de downtime en helpt gevoelige gegevens te beschermen.

Waarom identiteit een beveiligingsperimeter is geworden

Traditionele beveiligingsmodellen gingen er vaak van uit dat alle activiteiten binnen het bedrijfsnetwerk relatief betrouwbaar waren.

Die aanname is voor veel organisaties niet langer van toepassing.

Werknemers werken op afstand. Applicaties draaien in verschillende cloudomgevingen. Contractanten gebruiken externe apparaten. Softwareplatforms maken verbinding via API's. Geautomatiseerde processen hebben toegang tot gegevens zonder directe menselijke tussenkomst. AI-agenten kunnen met meerdere tools werken.

Het feit dat iemand zich "binnen" het netwerk bevindt, bewijst dus niet dat een verzoek veilig is.

Identiteit is een van de belangrijkste controlepunten geworden, omdat toegangsbeslissingen gebaseerd kunnen worden op:

• De gebruiker of de werkbelasting
• Authenticatiesterkte
• Apparaatconditie
• Lokatie
• Gevraagde bron
• Huidig ​​risiconiveau
• Tijd van toegang
• Voorgaand gedrag
• Gevoeligheid van de actie
• Of menselijke goedkeuring vereist is

Deze aanpak is nauw verbonden met het zero trust-principe.

Geen vertrouwen Dit betekent niet dat elke medewerker persoonlijk wantrouwd wordt. Het betekent dat technische toegang niet voor onbepaalde tijd wordt verleend op basis van locatie of één succesvolle login.

Elk verzoek moet worden beoordeeld op basis van de actuele identiteits-, apparaat-, resource- en risico-informatie.

Veelvoorkomende bedreigingen voor je identiteit

Identiteitsaanvallen beginnen niet altijd met iemand die een wachtwoord raadt.

Houd een volledig identiteitsregister bij.

Je kunt identiteiten niet beschermen waarvan niemand weet dat ze bestaan.

Stel een inventaris samen die het volgende omvat:

• Werknemers
• beheerders
• Aannemers
• Klanten
• Serviceaccounts
• Toepassingen
• APIs
• Cloud-werklasten
• Apparaten
• Geautomatiseerde workflows
• Bots
• AI-agenten

Voor elke identiteit, noteer het volgende:

• De eigenaar
• Het doel ervan
• Systemen waartoe het toegang heeft
• Toestemmingen die het bezit
• Verificatiemethode
• Datum aangemaakt
• Laatste activiteit
• Beoordelingsdatum
• Uiterste vervaldatum
• Herstelmethode
• afhankelijkheden

Onbekende identiteiten verdienen onmiddellijke aandacht.

Een serviceaccount zonder eigenaar kan jarenlang onopgemerkt blijven draaien. Niemand wil het uitschakelen omdat niemand weet wat het doet. Aanvallers hebben een zwak voor accounts die anderen liever vermijden.

Gebruik sterke, phishingbestendige authenticatie.

Wachtwoorden zijn op zichzelf al kwetsbaar voor phishing, hergebruik, raden, diefstal en onbedoelde openbaarmaking.

Multifactorauthenticatie vereist meer dan één categorie bewijsmateriaal, zoals:

• Iets wat de gebruiker weet
• Iets wat de gebruiker bezit.
• Iets wat de gebruiker is

Niet elke MFA-methode biedt echter hetzelfde beschermingsniveau.

Codes die via sms worden verzonden of door een app worden gegenereerd, kunnen de beveiliging verbeteren, maar gebruikers kunnen nog steeds worden misleid om ze te delen. Pushmeldingen kunnen ook worden misbruikt door herhaalde verzoeken om goedkeuring.

Phishingbestendige authenticatiemethoden zijn ontworpen om te voorkomen dat inloggegevens worden misbruikt op een frauduleuze website.

Voorbeelden kunnen zijn:

• FIDO-beveiligingssleutels
• Wachtwoorden
• Platformauthenticators
• Certificaatgebaseerde authenticatie

Geef prioriteit aan sterkere authenticatie voor:

• beheerders
• Executives
• Financiële teams
• HR-teams
• Developers
• Toegang op afstand
• Emailaccounts
• Cloudbeheerconsoles
• Social media-accounts
• Advertentieplatforms
• Klantendatabases

Bron: CISA: Meer dan een wachtwoord

Pas het principe van minimale privileges toe.

Het principe van minimale bevoegdheden betekent dat een identiteit alleen de toegang krijgt die nodig is om de toegewezen taak te voltooien.

Dit betekent niet dat iedereen onbeperkte toegang moet krijgen, omdat het later aanvragen van toestemming omslachtig kan zijn.

Praktische maatregelen op basis van minimale bevoegdheden omvatten:

• Toegang toewijzen via functierollen
• Het scheiden van standaard- en beheerdersaccounts
• Toegang tot gevoelige omgevingen beperken
• Het beperken van API-bereiken
• Gebruikmaken van tijdelijke verhoogde toegang
• Toestemming vereist voor risicovolle werkzaamheden.
• Ongebruikte toegang verwijderen
• De machtigingen controleren wanneer rollen worden gewijzigd.
• Voorkomen dat serviceaccounts interactieve inlogrechten ontvangen
• AI-agenten krijgen alleen toegang tot goedgekeurde tools en gegevens.

Vermijd het automatisch kopiëren van alle machtigingen van de vorige persoon in een functie. Hierdoor kan jarenlang opgebouwde toegang in een oogwenk aan een nieuwe medewerker worden overgedragen.

Beheer geprivilegieerde identiteiten

Bevoorrechte accounts kunnen gebruikers aanmaken, configuraties wijzigen, toegang krijgen tot gevoelige informatie, beveiligingsmaatregelen uitschakelen en grote delen van de infrastructuur beïnvloeden.

Ze hebben strengere waarborgen nodig dan gewone rekeningen.

Toegangsbeheer met betrekking tot privileges kan het volgende omvatten:

• Afzonderlijke administratieve rekeningen
• Sterke authenticatie
• Goedkeuring voorafgaand aan toegang tot de verhoogde ruimte
• Toestemmingen met een beperkte geldigheidsduur
• Wachtwoord- en geheimrotatie
• Sessie opname
• Logboekregistratie van opdrachten of acties
• Beperkingen ten aanzien van waar bevoorrechte sessies mogen beginnen.
• Noodtoegangsaccounts
• Waarschuwingen voor ongebruikelijke bevoorrechte activiteiten

Beheerders dienen standaardaccounts te gebruiken voor routineactiviteiten zoals e-mail en internetten.

Een krachtig account mag niet blootgesteld worden aan elke gewone link, bijlage en browsersessie.

Automatiseer de identiteitslevenscyclus.

De identiteitsbescherming begint vóór de eerste aanmelding en gaat door na de laatste.

Een sterk levenscyclusproces omvat:

Joiners

Wanneer iemand lid wordt van de organisatie:

• Maak één geverifieerde identiteit aan.
• Wijs toegang toe op basis van de goedgekeurde rol.
• Registreer de juiste authenticatiemethoden.
• Registreer een interne eigenaar
• Bied beveiligingstraining aan.
• Vermijd het toevoegen van algemene machtigingen "voor het geval dat".

Verhuis

Wanneer verantwoordelijkheden veranderen:

• Voeg de vereiste toegangsrechten voor de nieuwe rol toe.
• Verwijder de toegang van de vorige rol.
• Groepslidmaatschappen beoordelen
• Herzie de toegang tot bevoorrechte gebieden.
• Goedkeuringsketens bijwerken

Toegangsrechten nemen vaak toe naarmate mensen van team wisselen. Zonder verwijdering kan een medewerker ongemerkt toegangsrechten verzamelen, zoals loyaliteitspunten.

Verlaters

Wanneer een persoon vertrekt:

• Schakel de inlogtoegang onmiddellijk uit.
• Actieve sessies intrekken
• Verwijder authenticatiemethoden
• Overdracht van eigendom van bestanden en accounts
• Gedeelde geheimen roteren
• Schakel verbonden applicaties uit.
• Bekijk recente activiteiten
• Blokkeer de toegang vanaf externe platforms.

Hetzelfde proces moet gelden voor aannemers, tijdelijke werknemers, serviceaccounts, integraties en AI-agenten.

Bescherm machine- en workloadidentiteiten

Niet-menselijke identiteiten zijn in cloud- en applicatieomgevingen vaak in de meerderheid ten opzichte van menselijke gebruikers.

Deze identiteiten kunnen onder meer de volgende omvatten:

• Services
• Toepassingen
• containers
• Virtuele machines
• Automatiseringsscripts
• APIs
• databases
• Ontwikkelingspijplijnen
• Geplande banen

Een veelvoorkomende zwakte is het gebruik van langdurige wachtwoorden, API-sleutels of certificaten die in configuratiebestanden zijn opgeslagen.

Betere werkwijzen zijn onder meer:

• Gebruikmaken van beheerde workload-identiteiten
• Voorkeur voor kortstondige certificaten
• Het opslaan van geheimen in speciale systemen voor geheimbeheer.
• Automatisch roulerende inloggegevens
• Elke identiteit beperken tot een specifiek doel.
• Scheiding van de toegang voor ontwikkeling, testen en productie
• Het monitoren van niet-menselijke activiteiten
• Aan elke identiteit een eigenaar toewijzen
• Het verwijderen van inloggegevens wanneer workloads worden uitgefaseerd.

Machine-identiteiten mogen geen menselijke accounts delen. Menselijke accounts mogen niet in scripts worden opgenomen.

Geef elke AI-agent zijn eigen identiteit.

AI-agenten kunnen bestanden doorzoeken, klantgegevens ophalen, een CRM bijwerken, berichten verzenden en wijzigingen aanbrengen. campagne gegevens, supporttickets aanmaken of externe applicaties aanroepen.

Een agent die deze acties uitvoert, heeft een identiteit nodig die onafhankelijk kan worden beheerd.

Sta niet toe dat meerdere agenten één algemeen account delen. Geef een agent niet de inloggegevens van een medewerker.

Elke productieagent moet beschikken over:

• Een eigen identiteit
• Een gedocumenteerd doel
• Een menselijke eigenaar
• Een goedgekeurde lijst met gereedschappen
• Beperkte toegang tot gegevens
• Vastgestelde actielimieten
• Aparte lees- en schrijfrechten
• Goedkeuringsvereisten
• Activiteitenlogboeken
• Een vervaldatum of beoordelingsdatum
• Een afsluitmethode

Een marketingonderzoeksbureau mag bijvoorbeeld goedgekeurde campagne- en analysedata inzien. Het mag echter niet automatisch toestemming krijgen om advertentiebudgetten te wijzigen, berichten op sociale media te plaatsen, een complete klantendatabase te exporteren of contact op te nemen met elke potentiële klant.

Microsoft en Google Documenteer nu specifieke identiteitsbenaderingen voor AI-agenten in plaats van ze te behandelen als gewone menselijke gebruikers.

Lees meer over het plannen van veilige agentprojecten in Hoe u een AI-agentontwikkelingsbedrijf kiest.

Evalueer de toegang continu.

Een succesvolle login mag geen onbeperkt vertrouwen scheppen voor de rest van de sessie.

Bij toegangsbeslissingen kan rekening worden gehouden met:

• Authenticatiesterkte
• Apparaatstatus
• Lokatie
• Netwerk
• Tijd
• Gevraagde bron
• Gevoeligheid van de actie
• Recente wachtwoordwijzigingen
• Onmogelijk reizen
• Ongebruikelijk downloadvolume
• Nieuwe applicaties
• Eerdere risicosignalen

Een bekend persoon die zich op een onbekende manier gedraagt, kan duiden op een compromis.

Een account dat normaal gesproken slechts enkele records bekijkt tijdens kantooruren, verdient bijvoorbeeld extra verificatie wanneer het plotseling duizenden records exporteert vanaf een nieuw apparaat in een ander land.

Mogelijke antwoorden zijn onder andere:

• Vraag om sterkere authenticatie
• Blokkeer de actie
• Beperk de sessie
• Actieve tokens intrekken
• Stel de gebruiker op de hoogte
• Stel het beveiligingsteam op de hoogte.
• Menselijke goedkeuring vereist

9. Bescherm sessies en tokens

Authenticatie is slechts het begin van een sessie.

Aanvallers kunnen proberen te stelen:

• Browser-cookies
• Vernieuwingstokens
• API-tokens
• single sign-on tokens
• OAuth-toekenningen
• Applicatiegeheimen

Een gestolen sessie kan toegang verschaffen zonder dat de aanvaller opnieuw MFA hoeft te voltooien.

Beveilig sessies door:

• Gebruikmaken van beveiligde tokenopslag
• Het beperken van de levensduur van tokens
• Het annuleren van sessies na risicovolle gebeurtenissen.
• Het monitoren van nieuwe apparaatactiviteit
• Het bereik van tokens beperken
• Verbonden applicaties beoordelen
• Voorkomen dat gevoelige tokens in logboeken verschijnen
• Voor acties met grote impact is aanvullende verificatie vereist.
• Apparaat- en locatiecontroles toepassen

Gebruikers moeten, waar mogelijk, ook onbekende sessies kunnen bekijken en intrekken.

Identiteitsgedrag monitoren

Identiteitslogboeken helpen organisaties te begrijpen wie toegang had tot wat, wanneer, vanaf welke locatie en via welke methode.

Nuttige identiteitsgebeurtenissen zijn onder andere:

• Succesvolle en mislukte aanmeldingen
• MFA-registraties
• Wachtwoord wordt gereset
• Privilege-wijzigingen
• Nieuwe beheerdersaccounts
• Nieuwe API-gegevens
• Verbonden applicaties
• Het aanmaken en intrekken van een sessie
• Grote data-exporten
• Uitgeschakelde beveiligingsinstellingen
• Wijzigingen in de herstelinformatie
• Agent-tool-aanroepen
• Serviceaccountactiviteit

Monitoring moet prioriteit geven aan patronen in plaats van voor elke gewone gebeurtenis een alarm af te geven.

Belangrijke waarschuwingen kunnen onder meer het volgende omvatten:

• Een bevoorrechte aanmelding vanaf een nieuw apparaat
• Toegang vanaf twee verafgelegen locaties binnen een onmogelijke periode
• Herhaalde mislukte MFA-pogingen
• Een slapend account wordt geactiveerd.
• Een serviceaccount dat interactief inlogt
• Een agent die probeert een niet-goedgekeurd hulpmiddel te gebruiken.
• Een gebruiker downloadt veel meer gegevens dan gebruikelijk.
• Toestemmingen worden kort voor gevoelige activiteit verhoogd

Elke belangrijke melding heeft een verantwoordelijke en een reactieprocedure nodig. Een melding die niemand onderzoekt, wordt simpelweg genegeerd.

Toegang door derden beoordelen

Bureau's, softwareleveranciers, freelancers, consultants en dienstverleners hebben mogelijk toegang nodig tot de bedrijfsinfrastructuur.

Toegang door derden moet als volgt zijn:

• Gesponsord door een interne eigenaar
• Beperkt tot specifieke systemen
• Beperkt tot de vereiste handelingen.
• Beschermd door sterke authenticatie
• Losgekoppeld van de identiteit van de werknemer
• Ingelogd
• Regelmatig herzien
• Met een vervaldatum
• Verwijderd wanneer de relatie eindigt

Deel de inloggegevens van medewerkers niet met externe partners.

Gebruik waar mogelijk aparte externe identiteiten of federatie, zodat toegang kan worden getraceerd en ingetrokken zonder interne accounts te verstoren.

Bereid procedures voor identiteitsherstel voor.

Identiteitssystemen kunnen tijdens een aanval uitvallen of ontoegankelijk worden.

Herstelplannen moeten het volgende omvatten:

• storingen bij identiteitsproviders
• Verloren authenticatieapparaten
• Gecompromitteerde beheerdersaccounts
• Geblokkeerde klantaccounts
• Beschadigde identiteitsconfiguraties
• Mislukte federatie
• Ransomware-incidenten
• Verlies van toegang tot cloudbeheer
• Gecompromitteerde AI-agenten
• Intrekking van een groot aantal sessies

Houd noodrekeningen aan voor kritieke systemen en zorg voor een nauwkeurige administratie.

Deze accounts moeten:

• Uitsluitend te gebruiken in noodgevallen.
• Beschik over sterke, apart opgeslagen inloggegevens.
• Word in de gaten gehouden
• Uitgesloten worden van reguliere werkprocessen
• Laat u periodiek testen
• Activeer een melding wanneer dit gebruikt wordt

Maak een back-up van belangrijke identiteitsconfiguraties, beleidsregels en herstelgegevens. Test het herstelproces in plaats van ervan uit te gaan dat de back-up probleemloos zal werken wanneer deze uiteindelijk nodig is.

Hoe AI identiteitsbedreigingen verandert

AI kan zowel aanvallen als verdedigingen verbeteren.

AI-ondersteunde phishing

Generatieve AI kan aanvallers helpen bij het creëren van overtuigende berichten, het vertalen van oplichtingspraktijken, het imiteren van zakelijke taal en het personaliseren van social engineering met behulp van openbaar beschikbare informatie.

De basisverdediging gaat verder dan alleen controleren op spelfouten.

Werknemers dienen het volgende te controleren:

• De afzender
• De gevraagde actie
• De bestemming van links
• Wijzigingen in de betalingsgegevens
• Ongebruikelijke verzoeken om inloggegevens
• Verzoeken om de normale procedures te omzeilen

Stem- en video-imitatie

Synthetische audio of video kan een leidinggevende, collega, klant, leverancier of overheidsvertegenwoordiger imiteren.

Bedrijven zouden spraak- of videobeelden niet als enige identiteitsbewijs moeten gebruiken voor gevoelige transacties.

Verzoeken met een hoog risico moeten via een onafhankelijk kanaal en een vastgestelde procedure worden bevestigd.

AI-ondersteunde identiteitsmonitoring

AI kan beveiligingsteams ook helpen bij het analyseren van inloggedrag, het groeperen van waarschuwingen, het detecteren van ongebruikelijke patronen en het prioriteren van onderzoeken.

Deze systemen vereisen nog steeds toezicht.

Een ongebruikelijke inlogmethode is niet altijd kwaadaardig. Een bekende inlogmethode is niet altijd veilig. Detectiesystemen moeten onderzoek ondersteunen in plaats van het te vervangen door een onverklaarbare risicoscore.

Schaduw-AI-identiteiten

Werknemers kunnen niet-goedgekeurde AI-toepassingen koppelen aan bedrijfs-e-mail, cloudopslag, CRM-platforms, vergadersystemen en documentbibliotheken.

Dit kan leiden tot het aanmaken van tokens en machtigingen die actief blijven nadat de medewerker stopt met het gebruik van de tool.

Organisaties moeten inzicht behouden in gekoppelde AI-toepassingen en deze evalueren:

• Gevraagde toestemmingen
• Toegang tot data
• Tokenduur
• Beveiliging van de leverancier
• Gebruikerseigendom
• Zakelijk doel
• Offboardingprocedures

Identiteitsbescherming voor marketingteams

Marketingteams hebben toegang tot systemen die rechtstreeks van invloed zijn op klanten en het publieke vertrouwen.

Deze kunnen zijn:

• Social media-accounts
• Advertentieplatforms
• E-mailmarketingsystemen
• Websites
• Domein- en DNS-beheer
• Analytics
• CRM-platforms
• Klantonderzoek
• Merkactiva-bibliotheken
• Webinar-platforms
• AI-schrijven en om mooie tassen te ontwerpen tools
• Accounts van het agentschap
• Influencer- en partnerplatformen

Een gecompromitteerde marketingidentiteit kan een aanvaller in staat stellen om:

• Publiceer frauduleuze berichten
• Verstuur phishing-e-mails vanaf het bedrijfsdomein.
• Wijzig advertenties
• Campagneverkeer omleiden
• Toegang tot klantlijsten
• Leadgegevens exporteren
• creatieve elementen verwijderen
• Koppel kwaadaardige applicaties
• Doe je voor als een leidinggevende
• De reputatie van het merk schaden

Praktische identiteitscontrole voor marketeers

Marketingleiders zouden het volgende moeten doen:

• Geef elke medewerker een individuele rekening.
• Vermijd het delen van wachtwoorden van sociale media.
• Vereis sterke MFA (multi-factor authenticatie) voor e-mail-, sociale media- en advertentieaccounts.
• Gebruik op rollen gebaseerde machtigingen.
• Geef agentschappen afzonderlijke, tijdelijke toegang.
• Controleer platformbeheerders regelmatig.
• Blokkeer de toegang onmiddellijk wanneer iemand vertrekt.
• Beperk de toegang tot domeinen en DNS-servers strikt.
• Beperk de export van klantgegevens
• Bekijk verbonden applicaties
• Bescherm herstel-e-mailadressen en telefoonnummers.
• Documenteer wie mag publiceren, geld mag uitgeven of wijzigingen mag aanbrengen.
• Grote budget- of rekeningwijzigingen vereisen goedkeuring.
• Geef AI-tools alleen de toegang die ze nodig hebben.

AI verandert de manier waarop marketingteams werk creëren en automatiseren, maar elke gekoppelde tool creëert ook een nieuwe toegangsrelatie die begrepen moet worden.

Onderzoek de bredere implicaties in Hoe AI marketing verandert en de StoryLab.ai AI Marketing Hub.

Toegangscontrolemodellen uitgelegd

Verschillende toegangsmodellen kunnen gecombineerd worden gebruikt.

Toegangsbeheer op basis van rollen is een nuttige basis, maar rollen kunnen te breed worden. Contextueel beleid en tijdelijke verhoging van bevoegdheden kunnen een nauwkeurigere controle bieden.

Wat te doen als je identiteit is gecompromitteerd?

Bij een vermoedelijke identiteitsfraude is snel en gecoördineerd optreden vereist.

Bevat de identiteit

Afhankelijk van de situatie:

• Deactiveer het account
• Actieve sessies intrekken
• Inloggegevens opnieuw instellen
• Verwijder authenticatiemethoden
• Tokens en API-sleutels intrekken
• Blokkeer verbonden applicaties
• Agentactiviteit opschorten
• Beperk de toegang tot het netwerk.

Bewaar bewijsmateriaal

Relevante gegevens opslaan:

• Authenticatielogboeken
• Apparaat informatie
• E-mailactiviteit
• Wijzigingen in machtigingen
• Toepassingsactiviteit
• Actielogboeken van agenten
• Gegevensexport
• Beheerdersacties

Verwijder geen bewijsmateriaal voordat het incident is opgehelderd.

Bepaal de verkregen toegang.

Onderzoeken:

• Welke systemen werden geraadpleegd?
• Welke gegevens werden bekeken of geëxporteerd?
• Welke machtigingen zijn gewijzigd?
• Of er nieuwe identiteiten zijn gecreëerd
• Of er sprake was van aanhoudende persistentie.
• Of andere accounts ook doelwit waren
• Welke acties van klanten of het publiek vonden plaats?

Verwijder persistentie

Aanvallers kunnen het volgende creëren:

• Nieuwe beheerders
• Regels voor het doorsturen
• API-tokens
• OAuth-verbindingen
• Herstelmethoden
• Geplande taken
• Applicatiereferenties

Het wijzigen van het wachtwoord alleen is mogelijk niet voldoende om deze toegangswegen te dichten.

Herstel veilig

Herstel de toegang met:

• Nieuwe referenties
• Geverifieerde authenticatiemethoden
• Toestemmingen gecontroleerd
• Reinig apparaten
• Ingetrokken sessies
• Bijgewerkte beveiligingsrichtlijnen

Als de gecompromitteerde identiteit van een klant was en er mogelijk persoonsgegevens zijn blootgesteld, moet het herstelproces ook het promoten van klanten omvatten. kredietbewaking zodat ze frauduleuze activiteiten die verband houden met het incident vroegtijdig kunnen opsporen.

Leer van het incident

Identificeer de initiële toegangsweg en verbeter de bijbehorende controlemaatregelen.

De les moet specifieker zijn dan "medewerkers moeten voorzichtig zijn". Bepaal welke technische, procedurele of trainingscontrole tekortschoot.

Statistieken voor identiteitsbeveiliging om bij te houden

Verbeter de ene meetwaarde niet door een nieuw probleem te creëren.

Het verminderen van het aantal beheerdersaccounts is bijvoorbeeld alleen nuttig als medewerkers niet reageren door één krachtig account te delen.

Implementatieplan voor identiteitsbescherming

Fase 1: Ontdekken

Maak een inventarisatie van gebruikers, beheerders, serviceaccounts, applicaties, workloads, verbonden platforms en AI-agenten.

Identificeer eerst de identiteiten die niet in bezit zijn en inactief zijn.

Fase 2: Bescherming van risicovolle accounts

Prioriteren:

• beheerders
• Executives
• Finance
• HR
• Developers
• E-mail
• Cloudconsoles
• Domeinbeheer
• Sociale accounts
• Advertentieplatforms
• Klantendatabases

Pas strengere authenticatiemethoden toe en verwijder onnodige machtigingen.

Fase 3: Verbetering van het levenscyclusbeheer

Koppel identiteitsaanmaak, rolwijzigingen en uitdiensttreding aan de relevante HR-, contractanten- en applicatiegegevens waar nodig.

Wijs eigenaren en vervaldatums toe.

Fase 4: Beperking van permanente privileges

Introduceer aparte beheerdersaccounts, tijdelijke toegang, goedkeuringen en sessiebewaking.

Fase 5: Bescherm niet-menselijke identiteiten

Vervang ingebedde inloggegevens, roteer geheimen, verklein de reikwijdte van API's en wijs eigenaren toe aan applicaties, workloads en agents.

Fase 6: Verbetering van de monitoring

Identiteitsgebeurtenissen verzamelen, nuttige waarschuwingen definiëren, reactieprocedures documenteren en sessie-intrekking testen.

Fase 7: Testherstel

Simuleren:

• Een gecompromitteerde beheerder
• Een gestolen sessie
• Een kwaadaardige, verbonden applicatie
• Een identiteitsaanbieder voor mensen met een beperking
• Een gecompromitteerd serviceaccount
• Een AI-agent die een ongeautoriseerde actie probeert uit te voeren.

Het doel is om zwakke punten te ontdekken voordat een echte aanvaller de demonstratie uitvoert.

Checklist voor identiteitsbeveiliging

Identiteitsinventarisatie

• Zijn alle menselijke en niet-menselijke identiteiten in kaart gebracht?
• Heeft elke identiteit een eigenaar?
• Worden inactieve accounts verwijderd?
• Worden AI-agenten afzonderlijk geregistreerd?
• Worden externe identiteiten voorzien van een vervaldatum?

authenticatie

• Is MFA vereist?
• Steken gebruikers met een hoog risico over op methoden die beter bestand zijn tegen phishing?
• Worden authenticatiemethoden na rolwijzigingen herzien?
• Zijn herstelaccounts beschermd?
• Worden gedeelde wachtwoorden verwijderd?

Toegang

• Zijn machtigingen gebaseerd op functie-eisen?
• Zijn beheerdersaccounts en standaardaccounts gescheiden?
• Is er een tijdelijk privilege beschikbaar?
• Zijn de API-scopes beperkt?
• Zijn agenten beperkt tot goedgekeurde hulpmiddelen?

Monitoren

• Worden aanmeldingen en wijzigingen in machtigingen geregistreerd?
• Zijn sessie- en tokengebeurtenissen zichtbaar?
• Worden bevoorrechte acties gemonitord?
• Worden er ongebruikelijke gegevensexporten gedetecteerd?
• Worden de acties van AI-agenten geregistreerd?

Levenscyclus

• Wordt de toegang onmiddellijk ingetrokken tijdens het uitdiensttreden?
• Worden oude machtigingen verwijderd wanneer rollen veranderen?
• Worden serviceaccounts gecontroleerd?
• Worden integraties uitgeschakeld wanneer ze niet langer nodig zijn?
• Kunnen agentidentiteiten snel worden opgeschort?

Herstel

• Kunnen actieve sessies worden ingetrokken?
• Kan de beheerderstoegang veilig worden hersteld?
• Worden noodidentiteiten getoetst?
• Worden identiteitsconfiguraties geback-upt?
• Is de procedure voor incidentafhandeling geoefend?

Conclusie

Identiteitsbescherming is uitgegroeid tot een van de fundamenten van infrastructuurbeveiliging.

Organisaties moeten meer beschermen dan alleen gebruikersnamen en wachtwoorden van medewerkers. Applicaties, API's, cloudworkloads, serviceaccounts, apparaten, geautomatiseerde processen en AI-agenten vereisen allemaal identiteiten die kunnen worden geverifieerd, beperkt, bewaakt en verwijderd.

Begin met het ontdekken welke identiteiten er bestaan.

Wijs aan elke identiteit een eigenaar en een duidelijk doel toe. Pas sterke authenticatie toe. Beperk permanente privileges. Bescherm tokens en sessies. Monitor ongebruikelijke activiteiten. Automatiseer het intrekken van toegang. Test hoe de organisatie zich herstelt wanneer een identiteit gecompromitteerd raakt.

AI voegt een extra dimensie toe aan dit werk. Het kan helpen bij het detecteren van ongebruikelijk gedrag, maar het maakt ook imitatie en automatisering gemakkelijker voor aanvallers. AI-agenten moeten zelf worden behandeld als gecontroleerde identiteiten in plaats van onzichtbare softwarehulpjes met onbeperkte toegang.

De centrale regel blijft eenvoudig:

Niemand, geen enkele toepassing, geen enkele werklast en geen enkel agent mag meer vertrouwen krijgen dan de huidige taak vereist.

Andere interessante artikelen

• AI LinkedIn-postgenerator
• Voorbeelden van ideeën voor tuinieren op YouTube
• AI-agenten voor tuinbouwbedrijven
• Top AI-kunststijlen
• Voorbeelden van YouTube-video-ideeën voor ongediertebestrijding
• Ideeën voor inhoud voor sociale media in de automobielindustrie
• Voorbeelden van YouTube-video-ideeën voor loodgieters
• AI-agenten voor ongediertebestrijdingsbedrijven
• Voorbeelden van YouTube-video-ideeën voor elektriciens
• Hoe ongediertebestrijdingsbedrijven meer leads kunnen krijgen 
• AI Google Ads voor huishoudelijke diensten
• Trainingsvideo's van 60 seconden zijn de nieuwe bedrijfsstandaard.
• Prijsstelling PR voor cybersecurity: vaste vergoedingen, resultaten en ROI
• Beste AI-tools voor productconsistentie in e-commercevideo's