Silverfort-onderzoek toont aan dat tweederde van de bedrijven on-prem wachtwoorden synchroniseert met cloudomgevingen, waardoor hun cloud kwetsbaar wordt voor cyberaanvallen.
Silverfort Onthult zijn Eigen Identity Underground Report 2024; Eerste Identity Report 100% Gewijd aan het Blootleggen van de Frequentie en Prevalentie van Identity Threat Exposures (ITEs)
Alphv BlackCat en Lockbit ransomware-dreigingsactoren misbruiken hiaten in identiteit om inloggegevens te stelen, privileges te escaleren en onopgemerkt door organisaties te bewegen.
Tel Aviv, Israël & Boston, MA, 26 maart 2024 – Vandaag heeft Silverfort, het bedrijf voor Unified Identity Protection, zijn Identity Underground Report onthuld, waarin de frequentie van identiteitsbeveiligingshiaten wordt belicht die leiden tot succesvolle aanvallen op organisaties in elke industrie en regio. Aangedreven door Silverfort’s eigen data, is het rapport het eerste in zijn soort, met de focus op identiteit als een aanvalsvector en het bieden van inzichten in de Identity Threat Exposures (ITEs) die de weg vrijmaken voor cyberaanvallen. De data, analyse en inzichten helpen identiteits- en beveiligingsteams hun beveiligingsprogramma’s te benchmarken, waardoor ze weloverwogen beslissingen kunnen nemen over waar te investeren in identiteitsbeveiliging.
De opvallende – en verontrustende – bevinding is dat twee op de drie bedrijven (67%) routinematig de meeste wachtwoorden van hun gebruikers synchroniseren van hun on-premises directories naar hun cloud-tegenhangers. Deze praktijk migreert onbedoeld on-prem identiteitszwaktes naar de cloud, wat aanzienlijke beveiligingsrisico’s met zich meebrengt door een toegangspoort te creëren voor aanvallers om deze omgevingen vanuit on-prem settings te hacken. De Alphv BlackCat ransomware-groep staat erom bekend Active Directory te gebruiken als springplank om cloud-identiteitsproviders te compromitteren.
In de afgelopen tien jaar is er een haast ontstaan om naar de cloud te migreren – en terecht. Tegelijkertijd creëren beveiligingshiaten voortkomend uit legacy-infrastructuur, verkeerde configuraties en onveilige ingebouwde functies paden voor aanvallers om toegang te krijgen tot de cloud, waardoor de veerkracht van een bedrijf tegen identiteitsbedreigingen aanzienlijk wordt verzwakt.
“Identiteit is de olifant in de kamer. We weten dat identiteit een sleutelrol speelt bij bijna elke cyberaanval. Lockbit, BlackCat, TA577, Fancy Bear – ze gebruiken allemaal identiteitsgaten om binnen te dringen, lateraal te bewegen en meer rechten te verkrijgen,” zei Hed Kovetz, CEO en mede-oprichter van Silverfort. “Maar we moeten weten hoe vaak elk identiteitsbeveiligingshiaat voorkomt, zodat we ze systematisch kunnen gaan oplossen. Eindelijk hebben we concreet bewijs dat de frequentie van identiteitsgaten schetst, die we nu kunnen classificeren als Password Exposers, Lateral Movers of Privilege Escalators, en ze zijn allemaal voertuigen voor dreigingsactoren om hun aanvallen te voltooien. We hopen dat door deze problemen onder de aandacht te brengen, identiteits- en beveiligingsteams de harde cijfers hebben die ze nodig hebben om adequate beveiligingsinvesteringen te prioriteren en deze blinde vlekken te elimineren.”
Belangrijke bevindingen zijn onder meer:
- Tweederde van alle gebruikersaccounts authenticeert via het zwak versleutelde NTLM-protocol, wat aanvallers gemakkelijke toegang geeft tot cleartext-wachtwoorden. Gemakkelijk te kraken met brute-force-aanvallen, is NT Lan Manager (NTLM) authenticatie een belangrijk doelwit voor aanvallers die inloggegevens willen stelen en dieper in een omgeving willen doordringen. Recent onderzoek van Proofpoint-beveiliging toont aan dat dreigingsactor TA577 NTLM-authenticatie-informatie gebruikt om wachtwoorden te stelen.
- Een enkele verkeerde configuratie in een Active Directory-account creëert gemiddeld 109 nieuwe schaduwbeheerders. Schaduwbeheerders zijn gebruikersaccounts met de macht om wachtwoorden opnieuw in te stellen of accounts op andere manieren te manipuleren. Aanvallers gebruiken schaduwbeheerders om instellingen en rechten te wijzigen en meer toegang tot machines te krijgen naarmate ze dieper in een omgeving doordringen.
- 7% van de gebruikersaccounts heeft onbedoeld beheerdersrechten, waardoor aanvallers meer mogelijkheden hebben om rechten te escaleren en onopgemerkt door omgevingen te bewegen.
- 31% van de gebruikersaccounts zijn serviceaccounts. Serviceaccounts worden gebruikt voor communicatie van machine tot machine en hebben een hoog niveau van toegang en rechten. Aanvallers richten zich op serviceaccounts omdat beveiligingsteams ze vaak over het hoofd zien. Slechts 20% van de bedrijven heeft er veel vertrouwen in dat ze zicht hebben op elk serviceaccount en deze kunnen beschermen.
- 13% van de gebruikersaccounts wordt gecategoriseerd als “inactieve accounts,” die in feite slapende gebruikersaccounts zijn die het IT-team mogelijk is vergeten. Ze zijn gemakkelijke doelen voor laterale bewegingen en het ontwijken van detectie door aanvallers.
Het onderzoeksteam van Silverfort heeft Identity Threat Exposures (ITE) zorgvuldig ingedeeld in vier verschillende categorieën. Hun doel is om de cybersecurity-industrie te voorzien van een raamwerk om het diverse spectrum van identiteitsproblemen en misconfiguraties te classificeren en te begrijpen die inloggegevensdiefstal, privilege-escalatie en laterale beweging door kwaadwillende actoren mogelijk maken.
De vier ITE-categorieën
- Password Exposers: Staan een aanvaller toe de wachtwoorden van gebruikers te ontdekken door de wachtwoord-hash bloot te stellen aan algemene compromitteertechnieken. Voorbeelden zijn NTLM-authenticatie, NTLMv1-authenticatie en beheerders met SPN.
- Privilege Escalators: Staan een aanvaller toe extra toegangsrechten te verkrijgen. Privilege Escalators zijn doorgaans het resultaat van een misconfiguratie of onveilige legacy-instellingen. Voorbeelden zijn schaduwbeheerders en onbeperkte delegatie.
- Lateral Movers: Staan een aanvaller toe onopgemerkt lateraal te bewegen. Voorbeelden zijn serviceaccounts en productieve gebruikers.
- Protection Dodgers: Openen mogelijk legitieme gebruikersaccounts voor aanvallers om te gebruiken. Protection Dodgers ontstaan door menselijke fouten of slecht beheerde gebruikersaccounts; ze zijn niet inherent beveiligingsfouten of misconfiguraties. Voorbeelden zijn nieuwe gebruikers, gedeelde accounts en inactieve gebruikers.
Over Silverfort
Silverfort, het Unified Identity Protection-bedrijf, pionierde met het eerste en enige platform dat moderne identiteitsbeveiliging overal mogelijk maakt. Wij verbinden de silo’s van de identiteitsinfrastructuur van ondernemingen om identiteitsbeveiliging te unificeren over alle on-premises en cloudomgevingen. Hun unieke architectuur en leverancier-onafhankelijke benadering nemen de complexiteit weg van het beveiligen van elke identiteit en breiden de bescherming uit naar middelen die door geen enkele andere oplossing kunnen worden beschermd, zoals legacy-systemen, command-line interfaces, serviceaccounts (niet-menselijke identiteiten), IT/OT-infrastructuur, enzovoort. Silverfort is een eersteklas partner van Microsoft en werd geselecteerd als Microsoft’s Zero Trust Champion of the Year. Honderden van ‘s werelds toonaangevende ondernemingen vertrouwen op Silverfort als hun identiteitsbeveiligingsprovider, waaronder meerdere Fortune 50-bedrijven.
Wilt u meer weten over Unified Identity Protection van Silverfort? Neem dan contact op met het salesteam van Exclusive Networks op
+31 (0)499 462121of stuur een email naarinfo@exclusive-networks.nl.
