🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Por Rajan Kapoor, vice-presidente de segurança, segurança de materiais
Nos últimos dois meses, escrevi sobre a violação do Vercel e a violação do Composio separadamente. Ambos oferecem lições para aprender por conta própria. Mas lendo-os juntos, continuo voltando à mesma observação: estes não são incidentes isolados
São o mesmo ataque, executado duas vezes, contra alvos diferentes, onde o email não era o ponto de entrada no espaço de trabalho. E uma vez que você vê o padrão claramente, isso muda o que você acha que precisa defender.
Também levanta uma questão desconfortável que tenho enfrentado. O padrão que estou descrevendo, em que uma concessão OAuth é usada para acessar uma conta, ler dados confidenciais de e-mail e do Drive e usar esse acesso para passar pelo espaço de trabalho, não descreve apenas o que os invasores fazem. Descreve cada vez mais o que os agentes de IA fazem, intencionalmente, todos os dias.
Antes de entrar nessa discussão, vamos mapear a cadeia de ataque ao espaço de trabalho.
O velho modelo mental: o email é onde reside o perigo
Durante a maior parte da última década, o modelo mental dominante para a segurança do espaço de trabalho era mais ou menos assim: o e-mail é o canal perigoso e todo o resto no Google Workspace é relativamente seguro.
Esse modelo fazia sentido quando os invasores tentavam principalmente roubar credenciais por meio de phishing. Isso não vale mais porque os invasores aprenderam a encadear seu caminho pelo espaço de trabalho, e não apenas entrar por meio de uma caixa de entrada.
O modelo com o qual a maioria das equipes de segurança está familiarizada é mais ou menos assim:
O e-mail é o ponto de entrada: um e-mail malicioso (um link de phishing, um anexo armado, um pretexto convincente, um aviso com a intenção de direcionar mal um agente de IA) é como a maioria dos ataques começa.
Uma credencial é roubada: o ataque resulta no roubo de uma credencial válida e na ocorrência de um controle de conta.
Dados confidenciais são acessados no Gmail e no Drive: assim que a aquisição ocorre, o invasor acessa facilmente os aplicativos conectados no Google Workspace.
Pivôs laterais: um invasor dentro de uma caixa de entrada pode redefinir senhas e acessar aplicativos adicionais por meio de links mágicos.
Estabeleça persistência: os invasores podem permanecer nas contas sem serem detectados por dias, semanas ou meses, exfiltrando silenciosamente dados entre sistemas.
Tomados em conjunto, este é o cenário de pesadelo que é amplamente reconhecido como o controle de contas (ATO). A cadeia de ataque ao espaço de trabalho começa com um comprometimento da identidade por email e se expande a partir daí.
Veja como o material cobre cada etapa da cadeia de ataque
A cadeia de ataque neste artigo não para na caixa de entrada, e nem deveriam parar suas defesas.
Veja como o Material conecta e-mail, OAuth e segurança do Drive para preencher as lacunas exploradas por invasores e agentes de IA. Agende uma demonstração do seu Google Workspace.
Solicite uma demonstração
A cadeia de ataque em evolução: OAuth é o ponto de entrada
Os elementos do ataque em cadeia de ataque ao espaço de trabalho não mudaram, mas a ordem em que os ataques se desenrolam evoluiu. A sequência que assisti agora acontece no Vercel, no Composio e em um número crescente de incidentes que estamos rastreando, nem começa com e-mail.
Em vez disso, o script é invertido e um token OAuth se torna a porta de entrada para o email, e não o contrário.
Esta é a aparência desses ataques:
OAuth é o ponto de entrada: esses ataques começaram estabelecendo persistência por meio de um token OAuth roubado. Esses tokens sobrevivem às redefinições de senha, não expiram e são difíceis de observar. Eles são invisíveis para os usuários e em grande parte invisíveis para as equipes de segurança que não monitoram o comportamento dos aplicativos. Ainda mais assustador, o token roubado é um ataque à cadeia de suprimentos. Um fornecedor fica comprometido e o resultado é o acesso ao seu ambiente.
Dados confidenciais são acessados: usando o token roubado, o invasor conseguiu acessar os dados armazenados no Gmail e no Drive.
As contas de e-mail são controladas: o ATO é inicialmente executado usando OAuth, não por e-mail. O acesso ao email converte uma caixa de entrada comprometida em um incidente muito mais amplo.
Pivôs laterais: usando uma combinação de credenciais armazenadas no Drive e redefinições de senha ou links mágicos via e-mail, o invasor pode então se mover lateralmente pelos sistemas conectados.
Podemos prever que os blocos de construção da cadeia de ataque ao espaço de trabalho permanecerão consistentes, mas que os atacantes – equipados com ferramentas de IA para detectar vulnerabilidades e escalar os seus esforços – continuarão a encontrar formas de recombiná-los.
Esses ataques centrados no OAuth são apenas um exemplo dessa evolução.
As mesmas correntes, um ator diferente
Agora vamos mudar nosso pensamento, mantendo em mente as sequências de quatro etapas que acabei de descrever.
Seus funcionários estão conectando agentes de IA ao Google Workspace agora mesmo. Esses agentes estão autorizados. Eles estão usando concessões OAuth legítimas. Eles estão lendo e-mails, pesquisando no Drive, operando em nome de usuários reais para realizar trabalhos reais. Na maioria das organizações, isso está acontecendo mais rápido do que as equipes de segurança conseguem rastrear.
Nos últimos dois meses, escrevi sobre a violação do Vercel e a violação do Composio separadamente. Ambos oferecem lições para aprender por conta própria. Mas lendo-os juntos, continuo voltando à mesma observação: estes não são incidentes isolados
São o mesmo ataque, executado duas vezes, contra alvos diferentes, onde o email não era o ponto de entrada no espaço de trabalho. E uma vez que você vê o padrão claramente, isso muda o que você acha que precisa defender.
Também levanta uma questão desconfortável que tenho enfrentado. O padrão que estou descrevendo, em que uma concessão OAuth é usada para acessar uma conta, ler dados confidenciais de e-mail e do Drive e usar esse acesso para passar pelo espaço de trabalho, não descreve apenas o que os invasores fazem. Descreve cada vez mais o que os agentes de IA fazem, intencionalmente, todos os dias.
Antes de entrar nessa discussão, vamos mapear a cadeia de ataque ao espaço de trabalho.
O velho modelo mental: o email é onde reside o perigo
Durante a maior parte da última década, o modelo mental dominante para a segurança do espaço de trabalho era mais ou menos assim: o e-mail é o canal perigoso e todo o resto no Google Workspace é relativamente seguro.
Esse modelo fazia sentido quando os invasores tentavam principalmente roubar credenciais por meio de phishing. Isso não vale mais porque os invasores aprenderam a encadear seu caminho pelo espaço de trabalho, e não apenas entrar por meio de uma caixa de entrada.
O modelo com o qual a maioria das equipes de segurança está familiarizada é mais ou menos assim:
O e-mail é o ponto de entrada: um e-mail malicioso (um link de phishing, um anexo armado, um pretexto convincente, um aviso com a intenção de direcionar mal um agente de IA) é como a maioria dos ataques começa.
Uma credencial é roubada: o ataque resulta no roubo de uma credencial válida e na ocorrência de um controle de conta.
Dados confidenciais são acessados no Gmail e no Drive: assim que a aquisição ocorre, o invasor acessa facilmente os aplicativos conectados no Google Workspace.
Pivôs laterais: um invasor dentro de uma caixa de entrada pode redefinir senhas e acessar aplicativos adicionais por meio de links mágicos.
Estabeleça persistência: os invasores podem permanecer nas contas sem serem detectados por dias, semanas ou meses, exfiltrando silenciosamente dados entre sistemas.
Tomados em conjunto, este é o cenário de pesadelo que é amplamente reconhecido como o controle de contas (ATO). A cadeia de ataque ao espaço de trabalho começa com um comprometimento da identidade por email e se expande a partir daí.
Veja como o material cobre cada etapa da cadeia de ataque
A cadeia de ataque neste artigo não para na caixa de entrada, e nem deveriam parar suas defesas.
Veja como o Material conecta e-mail, OAuth e segurança do Drive para preencher as lacunas exploradas por invasores e agentes de IA. Agende uma demonstração do seu Google Workspace.
Solicite uma demonstração
A cadeia de ataque em evolução: OAuth é o ponto de entrada
Os elementos do ataque em cadeia de ataque ao espaço de trabalho não mudaram, mas a ordem em que os ataques se desenrolam evoluiu. A sequência que assisti agora acontece no Vercel, no Composio e em um número crescente de incidentes que estamos rastreando, nem começa com e-mail.
Em vez disso, o script é invertido e um token OAuth se torna a porta de entrada para o email, e não o contrário.
Esta é a aparência desses ataques:
OAuth é o ponto de entrada: esses ataques começaram estabelecendo persistência por meio de um token OAuth roubado. Esses tokens sobrevivem às redefinições de senha, não expiram e são difíceis de observar. Eles são invisíveis para os usuários e em grande parte invisíveis para as equipes de segurança que não monitoram o comportamento dos aplicativos. Ainda mais assustador, o token roubado é um ataque à cadeia de suprimentos. Um fornecedor fica comprometido e o resultado é o acesso ao seu ambiente.
Dados confidenciais são acessados: usando o token roubado, o invasor conseguiu acessar os dados armazenados no Gmail e no Drive.
As contas de e-mail são controladas: o ATO é inicialmente executado usando OAuth, não por e-mail. O acesso ao email converte uma caixa de entrada comprometida em um incidente muito mais amplo.
Pivôs laterais: usando uma combinação de credenciais armazenadas no Drive e redefinições de senha ou links mágicos via e-mail, o invasor pode então se mover lateralmente pelos sistemas conectados.
Podemos prever que os blocos de construção da cadeia de ataque ao espaço de trabalho permanecerão consistentes, mas que os atacantes – equipados com ferramentas de IA para detectar vulnerabilidades e escalar os seus esforços – continuarão a encontrar formas de recombiná-los.
Esses ataques centrados no OAuth são apenas um exemplo dessa evolução.
As mesmas correntes, um ator diferente
Agora vamos mudar nosso pensamento, mantendo em mente as sequências de quatro etapas que acabei de descrever.
Seus funcionários estão conectando agentes de IA ao Google Workspace agora mesmo. Esses agentes estão autorizados. Eles estão usando concessões OAuth legítimas. Eles estão lendo e-mails, pesquisando no Drive, operando em nome de usuários reais para realizar trabalhos reais. Na maioria das organizações, isso está acontecendo mais rápido do que as equipes de segurança conseguem rastrear.
#samirnews #samir #news #boletimtec #a #moderna #cadeia #de #ataques: #repensando #a #segurança #do #google #workspace #na #era #da #ia
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário