De toekomst van adaptieve beveiliging

Het probleem: wanneer referenties de kroonjuwelen worden

Twee jaar geleden heeft een medewerker van Okta zijn werkreferenties opgeslagen in zijn persoonlijke Gmail-account op een zakelijke laptop. Het leek handig om snel toegang te hebben tot de referenties op alle apparaten. In plaats daarvan werd het de toegangspoort tot een inbreuk die 134 zakelijke klanten trof en zich verspreidde naar het hele identiteitsbeheer-ecosysteem.

Ongeveer in dezelfde periode klikte een technicus van LastPass op een phishinglink, waardoor een MFA-vermoeidheid werd geactiveerd die hem ertoe bracht een verdachte authenticatieaanvraag goed te keuren. De aanvaller maakte van dit moment gebruik om toegang te krijgen tot de cloudontwikkelingsomgeving en ontdekte dat een senior DevOps-ingenieur een verouderde versie van Plex op zijn thuisnetwerk draaide, een systeem met een bekende kritieke kwetsbaarheid. Door misbruik te maken van dit zwakke punt in de supply chain, brachten de aanvallers acht weken door zonder te worden opgemerkt, levend te midden van legitiem verkeer, waarbij ze cryptografiesleutels en wachtwoordopslag van klanten extraheren.

Dit ging niet over geavanceerde zero-day exploits. Het ging over aanvallen op basis van identiteit, aanvallen die het fundamentele vertrouwen benutten dat we hebben in referenties en authenticatiesystemen.

De evoluerende dreiging: identiteit is het nieuwe aanvalsperimeter

Aanvallers richten zich op digitale identiteiten zoals gebruikers, beheerders, services en machines die vandaag de dag moderne bedrijven beheren. Aanvallers realiseren zich dat organisaties vertrouwen op Active Directory, cloud IAM en API-tokens om elk aspect van digitale operaties te beheren. Met slechts één set referenties of een API-sleutel kunnen aanvallers:

• Zich vermommen als normale gebruikersactiviteit en de meeste beveiligingscontroles omzeilen
• Zich zijdelings verplaatsen, privileges verhogen en toegang krijgen tot gevoelige bronnen
• Bedrijfsactiviteiten verstoren en grootschalige ransomware-aanvallen lanceren

Een rapport van Cisco Talos toont aan dat:

• 60% van de belangrijkste incidentresponsgevallen in 2024 een identiteitsaanvalcomponent had.
• 44% van de identiteitsaanvallen richtte zich specifiek op Active Directory, waardoor het het meest begeerde systeem is voor tegenstanders die van plan zijn de organisatie volledig te compromitteren.
• 20% van de identiteitsgerelateerde inbreuken in 2024 betrof cloudapplicaties of API’s van serviceproviders, een groeiend risico naarmate organisaties resources en bedrijfslogica naar de cloud verplaatsen.

De commercialisering van de dark web-identiteitsmarkt voedt deze epidemie:

• E-mail-/financiële referenties, SSH-wachtwoorden en sessiecookies worden nu openlijk verhandeld, met overzichten van referenties die worden verkocht voor slechts 10-15 dollar per batch.
• Er zijn uitgebreide geavanceerde aanvalstools beschikbaar om referenties aan te vallen, met abonnementen vanaf $ 50 tot wel $ 750 voor gespecialiseerde tools.
• De referenties van bekende bedrijven worden verhandeld voor prijzen tussen de $ 1.000 en $ 3.000 per account.

In het Magic Quadrant 2025 voor Hybrid Mesh Firewall identificeert Gartner expliciet “risicogebaseerde controles gericht op identiteit langs netwerk- en cloudgrenzen” als een sleutelcriterium voor beoordeling. Dit vertegenwoordigt een fundamentele verschuiving in hoe de sector firewalplatforms evalueert. Firewalls kunnen niet langer alleen worden beoordeeld op basis van doorvoersnelheid, regeltelling of protocolondersteuning. Hun vermogen om identiteitsinformatie te integreren en op identiteit gebaseerde beleidsregels toe te passen is nu een fundamentele vereiste.

Het fundamentele falen van traditionele benaderingen

Waarom hebben organisaties dit probleem nog niet opgelost? Het antwoord ligt in een fundamenteel architecturaal verschil tussen hoe moderne bedrijven opereren en hoe traditionele firewalls zijn ontworpen.

Traditionele firewalls denken in termen van netwerktopologie: IP-adressen, poorten, netwerksegmenten en protocollen. Wanneer een gebruiker met geldige referenties verbinding maakt met het netwerk, lokaal of vanuit de cloud, detecteert de firewall een legitieme verbinding. De firewall weet niet of die referenties gestolen zijn, of het gedrag van de gebruiker abnormaal is of dat het account een gecompromitteerde identiteit vertegenwoordigt.

Moderner bedrijven opereren via identiteit, niet via netwerktopologie: werknemers werken op afstand vanaf elke locatie, applicaties draaien op meerdere cloudomgevingen, gebruikers hebben toegang tot honderden SaaS-applicaties en machine-identiteiten (API’s, services, scripts) overtreffen menselijke identiteiten met een verhouding van 82:1. Het netwerkperimeter is vervaagd. Identiteit is nu de nieuwe perimeter.

De infrastructuur van identiteit in afzonderlijke silo’s verergert het probleem: veel organisaties hebben gefragmenteerde identiteitsarchieven. Elk systeem opereert onafhankelijk, verzamelt zijn eigen gegevens en neemt zijn eigen beslissingen op basis van vertrouwen. Deze fragmentatie creëert zichtbaarheidslacunes waarin aanvallers zich kunnen verbergen en een holistisch overzicht ontbreekt dat nodig is om geavanceerde identiteitsaanvallen te detecteren.

Aanvallers zijn geduldig en professioneel: ze gebruiken toolkit om data te verzamelen, zich te versterken, te volharden en onopgemerkt te blijven, vaak totdat aanzienlijke schade is aangericht.

Casestudy: Verspreid: de menselijke kant van identiteitsaanvallers

In september 2023 heeft de groep Scattered Spider, bestaande uit ongeveer 1.000 jonge Engelssprekende cybercriminelen, laten zien hoe vernietigend identiteitsgebaseerde aanvallen kunnen zijn. Door middel van sociale techniek hebben ze zichzelf voorgedaan als MGM-medewerkers aan de telefoon, hebben ze het helpdeskpersoneel bedrogen om referenties opnieuw in te stellen en hebben ze toegang gekregen tot Okta en Azure AD zonder een enkele exploit of phishinglink.

Binnen enkele uren blokkeerden ze de systemen van MGM, van gokautomaten tot hotelkamersleutels, met een verlies van meer dan 100 miljoen dollar tot gevolg. Enkele dagen later troffen ze Caesars Entertainment, waarbij ze 6 TB aan klantgegevens stalen via een gecompromitteerde externe leverancier. Hun tactieken: resetten van referenties, MFA-vermoeidheid, verkeerd gebruik van RMM en overname van identiteitsinfrastructuur laten zien hoe aanvallers nu vertrouwen gebruiken in plaats van code als wapen. Zelfs de meest geavanceerde netwerkverdedigingen falen wanneer de identiteit zelf de toegangspoort wordt.

Organisaties hebben dringend behoefte aan beveiligingsoplossingen die de context van menselijke en machinale identiteit begrijpen en toepassen in elke netwerkactie, waardoor de escalatie van privileges, laterale verplaatsing en datadiefstal in meerdere fasen van de kill chain worden geblokkeerd, zowel lokaal als in de cloud. De uitdaging is om aanvallen te herkennen vanuit identiteit en ze te stoppen voordat de kosten worden gemeten in dataverlies, downtime en losgeldbetalingen.

Analogie: luchthavenbeveiliging in het AI-tijdperk

Een moderne analogie om bedrijfstoegang te waarborgen, is luchthavenbeveiliging. In het verleden lag de focus van de beveiliging voornamelijk op fysieke barrières zoals hekken en poorten om onbevoegde personen uit de beveiligde gebieden te houden. Maar in de wereld van vandaag is het hebben van alleen een ticket of opgaan in de menigte niet voldoende. Het beveiligingspersoneel gebruikt meerdere identiteitscontroles, biometrische gegevens, instapkaarten en realtime controlelijsten op elk controlepunt om ervoor te zorgen dat alleen degenen met legitieme en up-to-date referenties toegang hebben, ongeacht hun afkomst. Het is niet het perimeterhek dat de beveiliging waarborgt, maar de voortdurende en gelaagde verificatie van identiteit en doel van elke persoon, actief verdachte personen en gedragingen detecterend bij elke cruciale stap.

Hoe Cisco Secure Firewall de vergelijking verandert

Het beleid van de firewall blijft relevant alleen als het gelijke tred houdt met de dynamische aard van gebruikers en workloads. Dit biedt niet alleen meer veiligheid en flexibiliteit, maar zorgt er ook voor dat het beleidsdoel gemakkelijker te begrijpen is in een leesbaar formaat.

Dynamische omgevingen hebben dynamische beleidsregels nodig

Dynamische omgevingen vereisen adaptieve firewallbeleidsregels die gevoelig zijn voor context en evolueren met gebruikers en workloads. Cisco Secure Firewall lost dit probleem op met naadloze integratie met Cisco Identity Intelligence vanuit het Firewall Management Center (FMC/cdFMC), vanaf de volgende versie 10.0, waardoor het voortdurend de risiconiveaus van gebruikers kan beoordelen en automatisch beleidsupdates kan verzenden. In plaats van alleen te vertrouwen op statische IP’s en poorten, haalt de firewall identiteitsignalen op zowel van Cisco-bronnen als externe partijen, waarbij gedrag van gebruikers, apparaten en applicaties wordt gemapt om een basislijn vast te stellen.

Wanneer gedragsafwijkingen zoals onmogelijke reizen, MFA-vermoeidheid, helpdeskaccountanomalieën optreden, past de firewall automatisch adaptieve beleidsregels toe: monitoring van laag-risicogebruikers, geavanceerde authenticatievereisten voor gemiddeld risicoactiviteiten en volledige blokkering van hoge-risico-toegang. De firewall biedt ook proactieve inzichten in de AIOps Security Insights-weergave, die root cause-analyses, betrokken gebruikers en oplossingsstappen levert, waardoor identiteitsrisicoweergave wordt omgezet in bruikbare informatie.

Continue integratie van identiteit

Cisco Secure Firewall Management Center kan integreren met identiteitsopslagplaatsen zoals Microsoft Active Directory of Microsoft Azure AD en ondersteunt verschillende methoden voor gegevensverzameling over waar en hoe gebruikers toegang hebben gekregen. Gegevens worden rechtstreeks verzameld

BRON