Agent nie musi zostać zaatakowany, żeby zacząć szkodzić. Wystarczy, że zostanie zapomniany.
Czym jest zbuntowany agent
Zbuntowany agent to agent działający poza zamierzonym zakresem zadań lub uprawnień. Kategoria obejmuje agenta przejętego przez atakującego, agenta źle skonfigurowanego, agenta z uprawnieniami szerszymi niż potrzebne oraz agenta, który po prostu nadal działa, choć nikt już o nim nie pamięta.
Odpowiednik zagrożenia wewnętrznego
Porównanie do zagrożenia wewnętrznego jest trafne, bo agent ma to, co ma pracownik: poświadczenia, dostęp do systemów i możliwość wykonywania działań bez osobnego zatwierdzenia.
Różnic jest jednak kilka i każda działa na niekorzyść obrony. Agent działa szybciej, więc szkoda narasta w minutach, nie w tygodniach. Nie ma motywacji, którą dałoby się profilować. I bywa, że nikt nie odpowiada za jego konto, bo zostało założone przy pilotażu.
Skąd się bierze
Najczęściej z zaniedbania, nie z ataku. Wdrożenie testowe z szerokimi uprawnieniami, które nigdy nie zostało ograniczone. Poświadczenia bez terminu ważności. Agent uruchomiony przez zespół, który od tego czasu się rozwiązał.
Co pomaga
Inwentaryzacja agentów z przypisanym właścicielem — każdy działający agent ma mieć osobę odpowiedzialną. Poświadczenia z terminem ważności, wymuszające okresowe potwierdzenie, że agent jest nadal potrzebny. Obserwowalność wykrywająca odchylenia od zwykłego wzorca działań. I ograniczenie uprawnień do minimum, bo zbuntowany agent może dokładnie tyle, ile mu wcześniej pozwolono.
