El agujero del día uno en la arquitectura Zero Trust

Los principios de Zero Trust se han vuelto comunes en la infraestructura empresarial; las organizaciones han invertido años en medidas que protegen identidades y sistemas contra ataques sofisticados. Sin embargo, el error humano sigue siendo una vía fácilmente explotable incluso en organizaciones endurecidas, especialmente cuando la confianza se establece manualmente. Los procesos de incorporación y de mesa de ayuda son un punto de presión natural donde los agentes pueden tener que tomar decisiones de acceso de alto impacto con un contexto limitado, mientras que los atacantes solo necesitan convencer a una persona de que son quienes dicen ser.

Para un usuario ya establecido, los agentes disponen de muchas formas de verificar su identidad. Un empleado nuevo normalmente aún no ha configurado esos métodos de verificación, pero la organización sigue necesitando establecer confianza. Y si la comprobación inicial es débil, los controles posteriores no pueden corregirlo. Por ello, las organizaciones necesitan métodos sólidos para verificar con confianza la identidad y cerrar las brechas que los atacantes están atacando cada vez más.

El problema de las identidades fraudulentas

El FBI ha advertido repetidamente que trabajadores norcoreanos de TI están utilizando identidades robadas o fraudulentas para conseguir empleos remotos y acceder a redes corporativas. En algunos casos, los trabajadores han utilizado documentos de identidad falsos, infraestructura proxy y facilitadores con base en Estados Unidos para parecer solicitantes legítimos.

Esto invierte el modelo habitual de seguridad de identidad. Las técnicas de intrusión normalmente implican que el atacante roba las credenciales de un empleado y las usa para obtener acceso. En un ataque de incorporación, el atacante supera el proceso de contratación y la organización crea credenciales para él. Los esquemas de trabajadores falsos norcoreanos son amenazas persistentes, y el FBI ahora recomienda la verificación de identidad durante el proceso de contratación y a lo largo del empleo de trabajadores remotos. La lección más amplia es que las organizaciones deben aplicar el mismo nivel de escrutinio a la creación de una identidad que a la autenticación de una que ya existe.

La MFA fuerte tiene un punto débil: el enrolamiento

Una vez que un nuevo empleado ha superado la incorporación, la mesa de ayuda suele participar activamente en su configuración. Los agentes pueden ayudar a activar la cuenta, emitir una credencial inicial, inscribir MFA, registrar una passkey o llave de seguridad y configurar un dispositivo corporativo. Si la persona equivocada llega a esta etapa, la autenticación fuerte no corrige el error. El atacante puede terminar con una cuenta protegida por MFA y vinculada a un dispositivo de confianza, todo emitido a través de procesos normales.

Los usuarios están particularmente expuestos durante esta etapa de arranque de credenciales, cuando aún pueden depender de una autenticación más débil antes de que se registren credenciales resistentes al phishing. Los atacantes que comprometen esta ventana pueden interferir con el enrolamiento y establecer acceso persistente antes de que los controles más fuertes estén completamente implementados.

Asegure sus contraseñas de Active Directory con Specops Password Policy

El Informe de Investigación de Brechas de Datos de Verizon encontró que las credenciales robadas están implicadas en el 44,7% de las brechas. Asegure Active Directory sin esfuerzo con políticas de contraseñas compatibles, bloqueando más de 4 mil millones de contraseñas comprometidas, mejorando la seguridad y reduciendo las molestias de soporte.

El día uno necesita su propia capa de verificación de identidad

La autenticación pregunta si alguien puede demostrar el control de una credencial vinculada a una cuenta. La prueba de identidad pregunta si la persona frente a usted es el individuo al que la organización pretende dar esa cuenta. Para un empleado existente, un factor de confianza como un autenticador inscrito o un dispositivo registrado puede proporcionar suficiente garantía para muchas solicitudes de la mesa de ayuda. Los nuevos empleados pueden aún no tener un dispositivo corporativo ni ningún factor de autenticación establecido en el que la organización pueda confiar.

Esto significa que el día uno necesita su propio proceso de verificación, especialmente cuando el usuario está a punto de recibir acceso a sistemas sensibles o registrar las credenciales que lo representarán en el futuro. Formas sólidas de prueba de identidad, como validar un documento de identidad emitido por el gobierno y combinarlo con comprobaciones biométricas de vitalidad, pueden proporcionar garantía en ausencia de factores de autenticación existentes. Esto ayuda a establecer confianza en la persona antes de que la organización comience a emitir confianza.

Haga de la verificación de identidad parte del flujo de trabajo

Soluciones como Specops Secure Onboarding aplican ese principio haciendo que la verificación de identidad sea un paso obligatorio en el proceso de incorporación, en lugar de dejarlo a juicio del agente de la mesa de ayuda caso por caso. Dado que la incorporación suele ser el punto donde se crea la confianza por primera vez, si una identidad se establece deficientemente en esa etapa, cada control posterior se construye sobre una base equivocada.

Para los nuevos contratados, Specops Secure Onboarding combina el escaneo y la validación de documentos emitidos por el gobierno con detección biométrica de vitalidad. Esto brinda a las organizaciones un mayor nivel de garantía de que la persona que se incorpora es quien dice ser antes de que se emitan credenciales, métodos MFA, dispositivos o acceso a aplicaciones.

El mismo principio continúa después de la incorporación. Cuando ese empleado contacta más tarde a la mesa de ayuda para pedir ayuda, Specops Secure Onboarding requiere que verifique su identidad utilizando factores de autenticación de confianza antes de que el agente pueda proceder. Esto elimina gran parte de la incertidumbre del proceso. Los agentes no tienen que decidir si un interlocutor suena convincente o si la información que proporciona es suficientemente buena. En cambio, la verificación se convierte en parte del propio flujo de trabajo.

Zero Trust debería comenzar antes del primer inicio de sesión

Las organizaciones han mejorado mucho en la verificación de usuarios una vez que están dentro del entorno. El siguiente paso es aplicar el mismo pensamiento al momento en que se crean esas identidades. Un nuevo empleado no debería convertirse en confiable simplemente porque un correo de incorporación llegó a la bandeja de entrada correcta o porque un agente de la mesa de ayuda quedó convencido por una llamada. La identidad debe establecerse antes de que se emitan credenciales y accesos, y luego verificarse de nuevo cuando surjan solicitudes de soporte sensibles.

Para fortalecer la verificación de identidad en sus procesos de incorporación y mesa de ayuda, reserve una demostración con Specops para conocer cómo nuestras soluciones pueden ayudar. Patrocinado y escrito por Specops Software.