Kurumsal ağlarda çalınan servis hesaplarıyla mücadele sürerken, kimlik güvenliği ekiplerinin daha az konuştuğu bir risk öne çıkıyor: baştan beri meşru biçimde oluşturulmamış makine kimlikleri. Değerlendirmelerde, saldırganların mevcut bir servis hesabını ele geçirmek yerine sıfırdan sahte bir kimlik üretip bunu sistemin içine yerleştirebildiği aktarılıyor.
Bu yaklaşım, hızla büyüyen NHI yani insan olmayan kimlikler alanında daha görünür hale geliyor. Kurumlar binlerce servis hesabı, otomasyon kimliği ve makine hesabını insan kullanıcılarından daha hızlı ekledikçe, zayıf yönetişim altında sahte bir kimliğin fark edilmeden kaynaşması kolaylaşıyor. Ortada sahiplenen bir kişi olmadığında, böyle bir hesabın varlığı uzun süre sorgulanmayabiliyor.
Gerçekten çalınmıyor, baştan inşa ediliyor
İnsan tarafında “sentetik kimlik dolandırıcılığı” uzun zamandır bilinen bir yöntem olarak öne çıkıyor. Suçlu, var olan bir kişiyi çalmıyor; farklı gerçek ve uydurma bilgilerle yeni bir kimlik kuruyor ve bunu doğrulama adımlarını geçmek için kullanıyor. Aynı mantık makine kimliklerine de uyarlanıyor.
Buradaki fark, saldırganın mevcut bir hesabın parolasını ya da belirtecini ele geçirmesi değil, ortamda zaten varmış gibi görünen ama aslında hiçbir zaman yetkilendirilmemiş yeni bir hesap oluşturması. Uygulamada saldırgan, meşru bir servis hesabına benzeyen adlandırma kalıplarıyla yeni bir yönetici seviyesi kimlik açabiliyor, yetkileri tanımlayıp bunu sessizce bırakabiliyor.
Hesap ele geçirilmediği için ne şüphe uyandıran bir oturum açma uyarısı oluşuyor ne de hesabın sahibi bir anomali fark ediyor. Kimlik, dizinde duran diğer hesaplardan biri gibi göründüğü sürece güvenlik ekiplerinin gözünden kaçabiliyor. Tam da bu nedenle, sahte bir makine kimliği bazen en sade görünüşüyle en zor fark edilen risklerden biri haline geliyor.
Bu tür sahte kimlikleri inandırıcı yapan şey, gerçek ve uydurma özelliklerin aynı yapıda birleştirilmesi. Sahte bir NHI, çalıştığı ortamın adlandırma kurallarını taşıyabiliyor, doğru etki alanında görünebiliyor, makul metadatalar içerebiliyor ve başka kimliklerin zaten sahip olduğu izinleri talep edebiliyor. On binlerce servis hesabının bulunduğu bir dizine hızlıca göz atan bir yönetici için bu kayıt, sıradan bir iş yükünden farksız kalabiliyor.
Değerlendirmelerde, saldırganların kullandığı tekniklerin yeni olmadığı, yeni olanın bunların güven duyulan bir ortama “meşruymuş gibi” yerleştirilen kimlikler olarak görülmesi olduğu vurgulanıyor. Sahte makine kimliği oluşturmanın öne çıkan birkaç yolu var.
İlki, rogue service account olarak anılan yöntem. Saldırgan, var olan bir hesabı ele geçirmek yerine erişim kazandığı anda yeni bir hesap açıyor ve bunu mevcut hesaplarla benzer özelliklerde kuruyor. Yetkilendirilmemiş olmasına rağmen sistemde meşru bir iş hesabı gibi davranan bu yapı, sahte makine kimliğinin en yalın hali kabul ediliyor.
İkinci yöntem DCShadow. Burada saldırgan tek tek hesap icat etmiyor, bunun yerine tüm yetki kaynağını taklit ediyor. Domain administrator yetkilerine zaten sahip olması gerektiği için bu aşama, sisteme giriş değil, ele geçirme sonrası bir hareket olarak tanımlanıyor. Saldırgan geçici olarak sahte bir domain controller kaydediyor; böylece yaptığı kötü niyetli değişiklikler, güvenilen bir eşten geliyormuş gibi replikasyon trafiği içinde görünmeye başlıyor.
Bu taklit edilen altyapı kabul edildiğinde, üzerine yazılan her şey sistemin kendi güvenilirliğini miras alıyor. Başka bir ifadeyle, saldırganın yerleştirdiği değişiklikler dışarıdan ayrı bir olay gibi değil, içerideki normal çoğaltma akışının parçasıymış gibi davranıyor.
Üçüncü teknik shadow credentials. Saldırgan, mevcut bir nesnenin içine kendi kontrol ettiği sahte kimlik doğrulama malzemesini yerleştiriyor ve o nesne adına istediği an kimlik doğrulayabiliyor. Kimlik hâlâ yerinde ve görünürde bozulmamış olduğu için, sahtecilik en zor fark edilen biçimlerinden birine dönüşüyor.
Bu tekniklerin ayrıldığı nokta mekanizma, birleştiği nokta ise aynı: Ortamın kendisine ait sandığı ama gerçekte meşru olmayan bir kimlik. Metinde, bunun insanları hedef alan bir başka kavramla karıştırılmaması gerektiği de belirtiliyor. NHI Management Group tarafından tanımlanan synthetic persona, insanlara inandırıcı görünmek için uydurulmuş profiller ve sosyal mühendislik taktikleriyle çalışan sahte bir kimlik anlamına geliyor.
Makine kimliğinde ise hedef insan değil, sistemin kendisi. İçeride gerçek yetkilerle dolaşan, ama kimseye bağlı olmayan bir hesap var. Bu ayrım, sahte insan profiliyle sistem içinde yaşayan sahte makine kimliğinin aynı şey olmadığını açıkça ortaya koyuyor.
Makine tarafındaki bu boşluğun yeterince konuşulmaması riski büyütüyor. Çalınmış kimlikleri izlemek için kurulan alarm mekanizmaları, sahte bir kimlikte işe yaramayabiliyor. Çünkü çalınan bir hesabın gerçek sahibi, alışılmadık bir konumdan yapılan oturumu veya sızdırılmış kimlik bilgilerini fark edebiliyor.
Sahte bir kimlikte ise alarmı tetikleyecek bir sahibi bulunmuyor. Ortamda göze çarpmadan yaşayan, izinlerini sessizce artıran bir hesap ortaya çıkıyor. İnsan dışı kimliklerin sayısı hızla artarken, kurumların binlerce kayıt arasındaki sahte bir hesabı olağan dışı olarak ayırt etmesi de zorlaşıyor.
Kimlik dizininde görünüşte sıradan duran böyle bir varlık, uzun süre denetimsiz kalabiliyor. Bu da sahte makine kimliklerini yalnızca teknik bir ayrıntı olmaktan çıkarıp, yönetişim açığına dönüşen bir risk haline getiriyor.
Agentic yapay zekânın yaygınlaşması da konuyu daha güncel hale getiriyor. Daha önce sahte bir makine kimliği üretmek için saldırganın sisteme sızması, hesabı açması ve yetki atamasını elle yapması gerekiyordu. Yeni nesil yapay zekâ ajanları ise çalışma anında dinamik biçimde kimlik bilgisi alabiliyor ve kendi kimliği olan başka ajanları da ayağa kaldırabiliyor.
Kimlik üretimi otomatik bir arka plan faaliyetine dönüştükçe, meşru oluşturulmuş bir kimlik ile sahte bir kimlik arasındaki çizgi bulanıklaşıyor. Değerlendirmede, bu hızın sahte kimliklerin ortam içine karışmasını daha da kolaylaştırdığı anlatılıyor.
Güvenlik ekipleri neyi sabitlemeye çalışıyor
İncelemeye göre kurumların tek tek sahte hesapları manuel olarak ayıklamasını beklemek gerçekçi değil. Bunun yerine yönetişim katmanının baştan güçlü kurulması gerekiyor. İlk adım olarak her NHI için bir insan sahibi tanımlanması, kullanım amacıyla birlikte kayda geçirilmesi ve son kullanma tarihinin belirlenmesi gerekiyor.
Böylece kimlikler varsayılan olarak kalıcı hale gelmiyor. Sahiplik kaydı olmayan bir kimliğin ortamda kendi başına büyümesi, yönetim katmanı çalıştığında çok daha zor hale geliyor.
İkinci başlık sırların döndürülmesi. Shadow credentials gibi yöntemler, saldırganın kontrol ettiği anahtarları mevcut bir nesneye yerleştirerek kimlik doğrulamasını sürdürmesine dayanıyor. Merkezi sır yönetimi, otomatik döndürme ile birlikte kurulduğunda, bu tür gömülü kimlik bilgileri uzun ömürlü olamıyor.
Kasaya alınan, izlenen ve döndürülen her sır, enjekte edilmiş ya da sahte bir kimliğin tutunma süresini kısaltıyor. Böylece saldırganın oluşturduğu sahte doğrulama malzemesi, sistemde kalıcı bir dayanak bulmakta zorlanıyor.
Üçüncü alan en az ayrıcalık ve tam zamanında erişim, yani Just-In-Time kullanım. Servis hesaplarının çoğu kalıcı erişim taşıdığı için sahte kimlikler de yüksek erişimi kolayca miras alabiliyor. Bir kimlik yalnızca ihtiyaç duyduğu kadar izin taşıyor ve bunu yalnızca ihtiyaç duyduğu süre kadar yapıyorsa, sahte bir hesabın etkisi de kısa bir pencereyle sınırlı kalıyor.
Bu yaklaşım, kurumların henüz fark etmediği tehditlerin verebileceği zararı daraltıyor. Kimliğin elinde sürekli açık bir kapı yerine sınırlı bir erişim kalıyor.
Son başlık davranışın sürekli doğrulanması. Sahte bir kimliğin en güçlü tarafı, oluşturulduğu anda inandırıcı görünmesi. Doğru adlandırma, makul metadata ve doğru alan adı, ilk güveni kolayca kurabiliyor.
Güven yalnızca kurulum anında verildiğinde, olağandışı kullanım zaman içinde kaçabiliyor. Sürekli doğrulama yaklaşımı ise güveni, oluşturulma anındaki bilgilere değil, kimliğin zaman içinde ne yaptığına ve nereye eriştiğine bağlıyor.
Kimlik güvenliği odağında yapılan son değerlendirmeler, korunması gerekenin yalnızca çalınmış hesaplar olmadığını açık biçimde ortaya koyuyor. Leaked credential temizliği ve ele geçirilmiş hesapların kilitlenmesi hâlâ gerekli, ancak bunlar ortamda bulunan her kimliğin meşru olduğu varsayımıyla çalışıyor.
Oysa kurumların, hiç oluşturulmaması gerekirken sistemin içine yerleşmiş kimlikleri de ayırt edebilmesi gerekiyor. Bu nedenle makine kimliği güvenliği; her kimliğin sahipliğinin tanımlı olması, sırların kısa ömürlü tutulması ve davranışların yakından izlenmesi üzerine kuruluyor.
Değerlendirmede bu işlevlerin, kimlik güvenliği platformları üzerinden de yönetilebileceği belirtiliyor. Metinde, KeeperPAM® üzerinden sahiplik, sırlar ve ayrıcalıklı erişimin birlikte yönetilmesi halinde sahte kimliklerin saklanabileceği kör noktaların azalacağı ifade ediliyor.
Kurumların hedefi, görünüşte meşru ama gerçekte yetkisiz olan bu kimliklerin içine tutunabileceği alanları ortadan kaldırmak olarak aktarılıyor. Böylece sistemin kabul ettiği ama kimseye bağlı olmayan makinelerin fark edilmesi kolaylaşıyor.