Atacantes fabricam identidades não humanas legítimas na aparência para evadir detecção, utilizando técnicas como DCShadow e shadow credentials para manter acesso persistente em ambientes corporativos.
| Componente | Non-Human Identities (NHIs), Active Directory, Service Accounts, Infraestrutura de Identidade |
| Vetor | Criação de identidades de máquina não autorizadas (Rogue Service Accounts), registro de controladores de domínio falsos (DCShadow) e injeção de chaves de autenticação em objetos legítimos (Shadow Credentials). |
| Impacto | Acesso persistente com privilégios elevados, evasão de detecção devido à ausência de dono legítimo para alertar sobre anomalias e potencial comprometimento de cadeias de confiança no ambiente. |
| Prioridade | Implementar governança rigorosa de identidades não humanas, exigindo propriedade humana, rotação de segredos, acesso Just-in-Time (JIT) e verificação contínua de comportamento. |
A fraude de identidade sintética, conceito tradicionalmente associado à criação de perfis de pessoas físicos a partir da combinação de dados reais e falsos, migrou para o domínio da segurança cibernética através das Identidades Não Humanas (NHIs). Diferente do roubo tradicional de credenciais, onde um adversário sequestra uma identidade legítima existente, a fraude de identidade sintética de máquina envolve a fabricação de uma nova identidade que nunca foi oficialmente provisionada. O adversário mescla atributos reais do ambiente, como convenções de nomenclatura e metadados de domínio, com informações fabricadas para criar uma entidade que parece autêntica aos olhos dos sistemas de gestão de identidade.
A gravidade dessa ameaça reside na ausência de uma vítima direta capaz de monitorar o uso indevido. Enquanto uma conta de serviço comprometida pode gerar alertas se o proprietário humano perceber atividades suspeitas, uma identidade de máquina fabricada não possui supervisionamento, permitindo que ela acumule permissões e credibilidade silenciosamente ao longo do tempo. Conforme as organizações aumentam seu parque de NHIs em uma velocidade superior à capacidade de rastreamento, a probabilidade de uma identidade sintética se misturar ao ambiente sem ser notada aumenta drasticamente, especialmente em ambientes com governança fraca e falta de atribuição clara de propriedade.
A execução de ataques baseados em identidade sintética de máquina geralmente ocorre após o adversário ter obtido acesso inicial ao ambiente. Uma vez estabelecido, o objetivo não é necessariamente a movimentação lateral imediata, mas o estabelecimento de uma posição permanente através da criação de identidades fraudulentas. Existem três vetores técnicos principais observados para a fabricação dessas identidades, cada um explorando diferentes camadas da infraestrutura de TI: contas de serviço irregulares, manipulação de controladores de domínio e injeção de credenciais sombra.
A técnica de Conta de Serviço Irregular (Rogue Service Account) representa a forma mais pura de identidade sintética. O adversário, com acesso administrativo, cria uma nova conta de serviço que imita as características de contas legítimas existentes. Ela utiliza convenções de nomenclatura padronizadas, resides no domínio correto e solicita permissões similares às de outras identidades de máquina. Como não se trata de uma conta sequestrada, não há comportamentos de login anômalos baseados em localização geográfica que disparariam alertas tradicionais de roubo de identidade. A identidade simplesmente passa a existir e operar como mais um componente legítimo da infraestrutura.
A técnica de DCShadow opera em um nível mais profundo de infraestrutura. Em vez de criar uma conta, o adversário registra um Controlador de Domínio (DC) malicioso na rede. Isso geralmente já pressupõe privilégios de administrador de domínio, sendo classificado como uma técnica de pós-comprometimento. O DC falso é capaz de replicar dados para outros controladores, fazendo com que quaisquer alterações maliciosas introduzidas por ele pareçam tráfego de replicação legítimo vindo de um par confiável. Isso permite a injeção ou modificação de objetos no Active Directory com a autoridade inerente de um controlador de domínio.
A terceira técnica, Credenciais Sombra (Shadow Credentials), envolve a modificação de um objeto existente em vez da criação de um novo. O adversário injeta chaves de autenticação ou certificados sob seu controle em atributos específicos do objeto de um usuário ou serviço legítimo. A identidade-alvo permanece inalterada na aparência (nome, grupo, permissões), mas o adversário ganha a capacidade de autenticar-se como esse objeto a qualquer momento. É uma forma sutil de forjamento, onde a identidade não é falsa, mas o método de autenticação foi alterado para um canal controlado pelo atacante sem o conhecimento da organização.
A superfície de attack para identidades sintéticas abrange todos os ambientes que fazem uso extensivo de Identidades Não Humanas, incluindo nuvens públicas, infraestruturas híbridas e ambientes de Active Directory on-premises. Organizações que não possuem um inventário completo de suas NHIs ou que permitem a criação de identidades de máquina sem um ciclo de vida definido estão em maior risco. A eficácia do ataque depende da confiança implícita que os sistemas concedem a identidades que seguem os padrões de nomenclatura e configuração da organização.
- Active Directory e ambientes de Gerenciamento de Acesso Privilegiado (PAM) sem inventário de contas de serviço.
- Ambientes de nuvem com identidades de máquina auto-provisionadas ou gerenciadas por scripts não auditados.
- Sistemas de Identity and Access Management (IAM) que não exigem aprovação humana ou justificativa técnica para criação de novas NHIs.
- Infraestruturas críticas onde sensores de detecção de anomalias focam apenas em eventos de login ou acesso, ignorando a criação de novos objetos.
A detecção de identidades sintéticas requer uma mudança de foco de 'quem está acessando' para 'quem existe no diretório'. Equipes de segurança devem caçar ativamente por inconsistências no inventário de identidades. A telemetria deve ser analisada para identificar a criação de novas contas de serviço fora de janelas de manutenção aprovadas ou por usuários que não possuem histórico de provisionamento de identidades de máquina. Alterações em atributos de autenticação específicos, como aqueles utilizados para armazenar chaves públicas ou certificados, devem ser tratadas como eventos de alta severidade.
- Auditoria de NHIs sem data de expiração definida, sem proprietário humano registrado ou sem descrição de propósito funcional.
- Monitoramento de eventos de registro de novos Controladores de Domínio ou alterações na topologia de replicação do AD.
- Alertas sobre modificações em atributos de objeto relacionados a credenciais de autenticação moderna (ex:
msDS-KeyCredentialLink). - Correlação entre a criação de identidades de máquina e a subsequente concessão de permissões elevadas ou associação a grupos privilegiados.
A mitigação eficaz contra a fraude de identidade sintética de máquina baseia-se no princípio de que todas as identidades devem ser governadas. A resposta imediata envolve a implementação de controles rigorosos de ciclo de vida para NHIs, garantindo que nenhuma identidade seja criada sem aprovação formal e sem um responsável humano atribuído. A redução da superfície de ataque pode ser alcançada através da aplicação estrita do modelo de menor privilégio e do uso de acesso Just-in-Time (JIT), limitando o tempo de vida das credenciais e impedindo que identidades falsas acumulem acesso permanente.
Além disso, a centralização do gerenciamento de segredos com rotação automatizada é crítica. Se cada segredo for rastreado e rotacionado com frequência, a vida útil de uma credencial injetada ou uma chave usada por uma identidade sintética é drasticamente reduzida. Por fim, a verificação contínua de comportamento, baseada no que a identidade faz e não apenas em suas credenciais estáticas, permite identificar desvios de comportamento operacional padrão, even que a identidade pareça legítima no papel.
- Exigir propriedade humana e justificativa de negócio para toda criação de NHI, com datas de expiração obrigatórias.
- Implementar acesso Just-in-Time (JIT) para eliminar o acesso permanente e contínuo de contas de serviço.
- Utilizar cofres de segredos para armazenamento de credenciais de máquina, com rotação automática e sem integridade manual.
- Habilitar verificações contínuas de comportamento para detectar atividades anômalas, independentemente da legimitidade aparente da identidade.
0 Comentários