🚨 Эпоха украденных личностей: почему «идентичность» становится новой целью преступников
👤 Когда-то логина и пароля было достаточно.
Сегодня этого не хватает даже для детского форума.
Исследование Osterman Research показало: 72% компаний фиксируют рост атак, связанных с кражей и подделкой цифровых идентичностей.
Хакеры больше не ломают периметр, они становятся сотрудниками.
💥 Дело в цифрах:
💰 В 2025 году в Бразилии хакеры заплатили какие-то $2,760 за доступ к корпоративным учёткам и украли $140 млн.
🧑💼 Каждый 10-й сотрудник Fortune 500 за последние три года «засветил» свои пароли в утечках.
🧠 19,8% компаний отмечают резкий рост атак с использованием ИИ для персонализированного фишинга.
🤖 На одного человека в корпоративной сети приходится 50 машинных аккаунтов, 40% из них не имеют владельца.
🔥 Почти 80% компаний не видят, что делают их сервисные учётки.
🕳️ Main Problem
Более ¾ организаций не имеют полной видимости того,
кто и как использует учётные данные, какие MFA-факторы применяются и где «гуляют» токены доступа.
Это значит, что атака может начаться с одного украденного пароля
и незаметно разрастись в шифровальщик по всей инфраструктуре.
🦾 От IAM к Identity Security
Старый добрый IAM (Identity and Access Management) проверяет, кто ты.
Но Identity Security идёт дальше, он защищает личность.
Три столпа новой парадигмы:
1⃣ Governance - автоматическое выравнивание прав доступа.
2⃣ Visibility - полная картина всех пользователей и машинных аккаунтов.
3⃣ Autonomous Remediation - самовосстановление: система блокирует украденный аккаунт до того, как злоумышленник войдёт.
🚧 Ручные процессы, как тупик
Опрос показал:
🔧 Главный барьер для защиты - это отсутствие автоматизации.
Большинство компаний тратит бюджет не на новые решения, а на «ручные расследования».
Результат ➡️ время реакции измеряется сутками, а не секундами.
📈 Куда движется рынок
Через два года компании планируют увеличить приоритет Identity Security-функций с 47% до 68%.
Особенно быстро растёт интерес к:
- автоматической проверке корректности прав доступа (+62%),
- offboarding-процессам (+58%),
- обнаружению "машинных" идентичностей (+55%).
⚙️ Технологии, которые становятся must-have
➖ ITDR (Identity Threat Detection & Response) ловит подозрительные действия с учётками.
➖ CIEM управляет облачными правами доступа.
➖ IGA автоматизирует создание, изменение и удаление аккаунтов.
➖ MFA нового поколения без паролей, с биометрией и ключами.
➖ Backup Entra ID и Okta для отката после компрометации.
🔗 Источник: https://resources.enzoic.com/strengthening-identity-security/
Stay secure and read SecureTechTalks 📚
#IdentitySecurity #CyberSecurity #IAM #ZeroTrust #MFA #AIThreats #DataProtection #DarkWeb #CISO #SecureTechTalks
👤 Когда-то логина и пароля было достаточно.
Сегодня этого не хватает даже для детского форума.
Исследование Osterman Research показало: 72% компаний фиксируют рост атак, связанных с кражей и подделкой цифровых идентичностей.
Хакеры больше не ломают периметр, они становятся сотрудниками.
💥 Дело в цифрах:
💰 В 2025 году в Бразилии хакеры заплатили какие-то $2,760 за доступ к корпоративным учёткам и украли $140 млн.
🧑💼 Каждый 10-й сотрудник Fortune 500 за последние три года «засветил» свои пароли в утечках.
🧠 19,8% компаний отмечают резкий рост атак с использованием ИИ для персонализированного фишинга.
🤖 На одного человека в корпоративной сети приходится 50 машинных аккаунтов, 40% из них не имеют владельца.
🔥 Почти 80% компаний не видят, что делают их сервисные учётки.
🕳️ Main Problem
Более ¾ организаций не имеют полной видимости того,
кто и как использует учётные данные, какие MFA-факторы применяются и где «гуляют» токены доступа.
Это значит, что атака может начаться с одного украденного пароля
и незаметно разрастись в шифровальщик по всей инфраструктуре.
🦾 От IAM к Identity Security
Старый добрый IAM (Identity and Access Management) проверяет, кто ты.
Но Identity Security идёт дальше, он защищает личность.
Три столпа новой парадигмы:
1⃣ Governance - автоматическое выравнивание прав доступа.
2⃣ Visibility - полная картина всех пользователей и машинных аккаунтов.
3⃣ Autonomous Remediation - самовосстановление: система блокирует украденный аккаунт до того, как злоумышленник войдёт.
🚧 Ручные процессы, как тупик
Опрос показал:
🔧 Главный барьер для защиты - это отсутствие автоматизации.
Большинство компаний тратит бюджет не на новые решения, а на «ручные расследования».
Результат ➡️ время реакции измеряется сутками, а не секундами.
📈 Куда движется рынок
Через два года компании планируют увеличить приоритет Identity Security-функций с 47% до 68%.
Особенно быстро растёт интерес к:
- автоматической проверке корректности прав доступа (+62%),
- offboarding-процессам (+58%),
- обнаружению "машинных" идентичностей (+55%).
⚙️ Технологии, которые становятся must-have
🔗 Источник: https://resources.enzoic.com/strengthening-identity-security/
Stay secure and read SecureTechTalks 📚
#IdentitySecurity #CyberSecurity #IAM #ZeroTrust #MFA #AIThreats #DataProtection #DarkWeb #CISO #SecureTechTalks
Please open Telegram to view this post
VIEW IN TELEGRAM
🔐 JWT2Kerberos: зачем агентам Kerberos
🤖 LLM-агенты всё чаще получают доступ к реальным корпоративным системам:
базам данных, файловым шарам, внутренним API, SOC-инструментам.
Проблема в том, что почти вся эта инфраструктура обычно строится вокруг Active Directory и Kerberos,
а агенты работают с JWT и OIDC.
⚠️ Где возникает проблема
🔑 JWT отлично подходит для:
➖ API
➖ микросервисов
➖ облачных workload’ов
При этом Kerberos-инфраструктура:
❌ не понимает JWT
❌ требует строгой идентичности
❌ строится вокруг принципала, билета и KDC
Поэтому архитектура почти всегда деградирует до простого решения:
С этого момента:
🕒 секрет становится долгоживущим
👥 один аккаунт используют разные агенты
🕵️ audit теряет смысл
💥 любой prompt injection = риск доменного доступа
🧩 Для чего нужен JWT2Kerberos?
JWT2Kerberos - это паттерн аутентификации, который позволяет:
Агент не получает Kerberos-секреты.
Он доказывает, кто он, а инфраструктура решает, что ему можно.
🔁 Как это работает:
1️⃣ Агент проходит OIDC-аутентификацию и получает JWT
2️⃣ JWT валидируется (issuer, audience, exp, claims)
3️⃣ Claims мапятся на Kerberos-контекст
4️⃣ Через S4U2Self / constrained delegation запрашивается TGS
5️⃣ Агент получает билет
на конкретный сервис на короткое время
без возможности эскалации
📌 В такой реализации:
❌ нет паролей
❌ нет keytab’ов
❌ нет доступа «куда получится»
🔐 Почему это безопаснее
🧠 Реальная идентичность
Каждый агент это отдельный Kerberos-контекст. В логах больше нет абстрактного svc-agent.
🎯 Минимальный blast radius
Даже скомпрометированный агент ограничен одним SPN,
временем жизни билета и политиками AD
🛡 Zero Trust на уровне AD
Каждый вызов это проверка, а не доверие по факту запуска.
🤖 Почему без этого LLM-агенты опасны
LLM-агент:
🧠 принимает решения на основе текста
🎭 подвержен prompt injection
⚙️ управляет реальными инструментами
JWT2Kerberos вводит жёсткую границу: агент может ошибиться, а инфраструктура нет.
Это и есть defense in depth для агентных систем.
🧨 Главная мысль
JWT2Kerberos не является интеграцией JWT и Kerberos.
Это механизм установки контроля над идентичностью агентов. Инфраструктура каждый раз решает, доверять ли агенту.
Внезапно оказывается, что Kerberos уже не legacy,
а самый строгий компонент в современной AI-безопасности.
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #JWT2Kerberos
#Kerberos #LLMSecurity #AgentSecurity
#ZeroTrust #IdentitySecurity #ActiveDirectory #PromptInjection #CyberSecurity
🤖 LLM-агенты всё чаще получают доступ к реальным корпоративным системам:
базам данных, файловым шарам, внутренним API, SOC-инструментам.
Проблема в том, что почти вся эта инфраструктура обычно строится вокруг Active Directory и Kerberos,
а агенты работают с JWT и OIDC.
⚠️ Где возникает проблема
🔑 JWT отлично подходит для:
При этом Kerberos-инфраструктура:
❌ не понимает JWT
❌ требует строгой идентичности
❌ строится вокруг принципала, билета и KDC
Поэтому архитектура почти всегда деградирует до простого решения:
🧨 агенту выдают сервисный аккаунт.
С этого момента:
🕒 секрет становится долгоживущим
👥 один аккаунт используют разные агенты
🕵️ audit теряет смысл
💥 любой prompt injection = риск доменного доступа
🧩 Для чего нужен JWT2Kerberos?
JWT2Kerberos - это паттерн аутентификации, который позволяет:
🔐 использовать JWT для идентификации агента
🏛 использовать Kerberos для принятия решения о доступе
Агент не получает Kerberos-секреты.
Он доказывает, кто он, а инфраструктура решает, что ему можно.
🔁 Как это работает:
1️⃣ Агент проходит OIDC-аутентификацию и получает JWT
2️⃣ JWT валидируется (issuer, audience, exp, claims)
3️⃣ Claims мапятся на Kerberos-контекст
4️⃣ Через S4U2Self / constrained delegation запрашивается TGS
5️⃣ Агент получает билет
на конкретный сервис на короткое время
без возможности эскалации
📌 В такой реализации:
❌ нет паролей
❌ нет keytab’ов
❌ нет доступа «куда получится»
🔐 Почему это безопаснее
🧠 Реальная идентичность
Каждый агент это отдельный Kerberos-контекст. В логах больше нет абстрактного svc-agent.
🎯 Минимальный blast radius
Даже скомпрометированный агент ограничен одним SPN,
временем жизни билета и политиками AD
🛡 Zero Trust на уровне AD
Каждый вызов это проверка, а не доверие по факту запуска.
🤖 Почему без этого LLM-агенты опасны
LLM-агент:
🧠 принимает решения на основе текста
🎭 подвержен prompt injection
⚙️ управляет реальными инструментами
JWT2Kerberos вводит жёсткую границу: агент может ошибиться, а инфраструктура нет.
Это и есть defense in depth для агентных систем.
🧨 Главная мысль
JWT2Kerberos не является интеграцией JWT и Kerberos.
Это механизм установки контроля над идентичностью агентов. Инфраструктура каждый раз решает, доверять ли агенту.
Внезапно оказывается, что Kerberos уже не legacy,
а самый строгий компонент в современной AI-безопасности.
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #JWT2Kerberos
#Kerberos #LLMSecurity #AgentSecurity
#ZeroTrust #IdentitySecurity #ActiveDirectory #PromptInjection #CyberSecurity
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥2👍1
🔑 Пароли уходят, но мы всё ещё за них держимся
Давно известно, что пароли слабое звено, но люди продолжают их использовать и, если честно, делают это предсказуемо плохо.
Мы переиспользуем пароли, храним их где попало и спокойно вводим их на фишинговых сайтах (даже зная о рисках). Поведение не меняется годами.
🧠 Технология уже есть
На этом фоне passkeys выглядят как очевидное решение. Они убирают саму идею пароля, вместо него используется пара криптографических ключей, где приватная часть остаётся на устройстве, а вход подтверждается через биометрию или PIN.
Получается, что красть нечего, ведь нет пароля, который можно перехватить, слить или переиспользовать. Фишинг в классическом виде тоже перестаёт работать.
Нюанс: люди уже начинают пользоваться passkeys… и не до конца понимают, что это вообще такое. Для многих это просто «ещё один способ входа», а не принципиально новая модель безопасности.
⚙️ Почему тормозит прогресс
С точки зрения безопасности всё выглядит решённым. Однако сервисы внедряют passkeys неравномерно, пользовательский опыт не везде идеален, а компании не спешат ломать привычные сценарии логина. В итоге пароли остаются просто потому, что “мы так привыкли”. Это тот редкий случай, когда инерция сильнее здравого смысла.
💣 Атаки никуда не денутся
Важно не обманываться, passkeys не делают систему “неуязвимой”. Они просто убирают огромный класс атак, связанных с паролями.
Вектор атаки смещается. Вместо кражи учётных данных фокус уходит на устройства, сессии и всё ту же социальную инженерию. То есть поверхность атаки не исчезает, она трансформируется.
🔗 Ссылка на исследование NCSC
Stay secure and read SecureTechTalks 📚
#CyberSecurity #Passkeys #FIDO2 #Authentication #NCSC #Infosec #Phishing #IdentitySecurity #SecureTechTalks
Давно известно, что пароли слабое звено, но люди продолжают их использовать и, если честно, делают это предсказуемо плохо.
Мы переиспользуем пароли, храним их где попало и спокойно вводим их на фишинговых сайтах (даже зная о рисках). Поведение не меняется годами.
🧠 Технология уже есть
На этом фоне passkeys выглядят как очевидное решение. Они убирают саму идею пароля, вместо него используется пара криптографических ключей, где приватная часть остаётся на устройстве, а вход подтверждается через биометрию или PIN.
Получается, что красть нечего, ведь нет пароля, который можно перехватить, слить или переиспользовать. Фишинг в классическом виде тоже перестаёт работать.
Нюанс: люди уже начинают пользоваться passkeys… и не до конца понимают, что это вообще такое. Для многих это просто «ещё один способ входа», а не принципиально новая модель безопасности.
⚙️ Почему тормозит прогресс
С точки зрения безопасности всё выглядит решённым. Однако сервисы внедряют passkeys неравномерно, пользовательский опыт не везде идеален, а компании не спешат ломать привычные сценарии логина. В итоге пароли остаются просто потому, что “мы так привыкли”. Это тот редкий случай, когда инерция сильнее здравого смысла.
💣 Атаки никуда не денутся
Важно не обманываться, passkeys не делают систему “неуязвимой”. Они просто убирают огромный класс атак, связанных с паролями.
Вектор атаки смещается. Вместо кражи учётных данных фокус уходит на устройства, сессии и всё ту же социальную инженерию. То есть поверхность атаки не исчезает, она трансформируется.
🔗 Ссылка на исследование NCSC
Stay secure and read SecureTechTalks 📚
#CyberSecurity #Passkeys #FIDO2 #Authentication #NCSC #Infosec #Phishing #IdentitySecurity #SecureTechTalks
👍1