Çok faktörlü kimlik doğrulama, çoğu organizasyonun devreye aldığı en yüksek değerli tek kontroldür. Aynı zamanda rutin olarak atlatılır — kriptografi kırılarak değil, girişin tamamen es geçilmesiyle.
Ödül parola değil
Bir infostealer bir makinede çalıştığında kayıtlı parolalarla yetinmez. Tarayıcının çerez kavanozunu, yerel depolamasını ve ulaşabildiği tüm kimlik doğrulama jetonlarını alır. Bu çerezlerin arasında, kullanıcının oturum açtığı her servise ait oturum tanımlayıcıları vardır.
Bir oturum çerezi, zaten kimliği doğrulanmış bir durumu temsil eder. Onu yeniden oynatmak ne parola sorar ne de ikinci faktör tetikler — sunucuya bu oturumun her ikisini de geçtiği çoktan söylenmiştir.
Pratikte nasıl görünüyor
- Bir kullanıcı, kişisel ya da gevşek yönetilen bir makinede kırılmış yazılım kurar veya zararlı bir ek açar.
- Stealer, kimlik bilgilerini ve çerezleri toplayıp saniyeler içinde dışarı çıkarır.
- Log paketlenip çoğu zaman saatler içinde satılır.
- Alıcı çerezleri kendi tarayıcısına aktarır ve oturumun içine düşer — e-posta, SSO panosu, VPN portalı, bulut konsolu.
Başarısız giriş için hiçbir alarm çalmaz, çünkü ortada bir giriş yoktur.
Gerçekten işe yarayan ne
- Kısa oturum ömürleri — ayrıcalıklı olan her şeyde. Salı günü çalınan bir çerez çarşamba günü işe yaramaz.
- Jeton bağlama ve cihaz kontrolleri — tanıdık olmayan bir cihazdan veya ağdan sunulan bir oturum yeniden doğrulamaya zorlansın.
- Kimlik avına dayanıklı faktörler (passkey, donanım anahtarı) — en kritik hesaplar için; bunlar ilk kimlik bilgisi hırsızlığının maliyetini de yükseltir.
- Maruziyetin kendisini tespit etmek. Bir cihazın ele geçirildiğini öğrenirseniz, kimse yeniden oynatmadan önce o cihazın taşıdığı her oturumu iptal edebilirsiniz.
Tespit boşluğu
Çoğu programın kaçırdığı şey bu son madde. Teknik kontroller çıtayı yükseltir; ama belirli bir çalışana ait belirli bir dizüstü bilgisayarın üç gün önce belirli bir canlı oturum kümesini ele verdiğini size söylemez. O sinyal vardır — stealer logunun içinde durur — ama yalnızca birisi o logları sizin alan adlarınızla eşleştiriyorsa.
Bir oturumu iptal etmek bir dakika sürer. Zor olan, hangisini iptal edeceğinizi bilmektir.