מאת: גיל רג'יניאנו, ראש צוות אבטחת מידע, אינטגריטי תוכנה
חשבונות אלו, שתפקידם להפעיל שירותים, אפליקציות, משימות מתוזמנות ותהליכים בין-מערכתיים, פעלו כמעט תמיד ברקע, בלי בעלים מוגדרים, בלי בקרה אמיתית ועם הרשאות גבוהות מדי.
בעבר, ההתמקדות הארגונית בהגנה הייתה סביב המשתמשים האנושיים (עובדים, ספקים, מנהלים וכו׳).
הם נחשבו ל”זהויות” שיש לנהל, להגן ולנטר. אך המציאות השתנתה: מערכות מודרניות מבוססות יותר ויותר על תקשורת בין שירותים, ממשקים אוטומטיים, תהליכי DevOps, בוטים ו־APIים. פתאום, מרבית הזהויות בארגון אינן אנושיות כלל.
חשבונות השירות הוקמו היסטורית כפתרון טכני פשוט להפעלת תהליכים, אך כמעט תמיד נעשו בצורה ידנית, ללא מדיניות אחידה.
נוצרו עשרות, לעיתים מאות חשבונות עם:
• סיסמאות קבועות שלא הוחלפו במשך שנים.
• הרשאות אדמיניסטרטיביות רחבות בהרבה מהנדרש.
• שימוש משותף בין מערכות וצוותים שונים.
• חוסר תיעוד עד לרמה שבה לא ידוע כלל מי יצר את החשבון ומה תפקידו.
לאורך זמן, אותם חשבונות הפכו למוקדי סיכון שקטים. תוקפים שהצליחו לחדור לרשת מצאו בהם “דלת אחורית” אידיאלית – זהות לגיטימית, עם הרשאות, בלי ניטור ובלי חשד.
בעולם של היום, כמעט כל מערכת מדברת עם אחרת דרך ממשקים אוטומטיים. שירותים מנוהלים בענן, תהליכי CI/CD, מיקרו-שירותים, סקריפטים — כולם פועלים באמצעות זהויות טכניות, שלא פעם חיות בצל.
זהויות אלו, המוגדרות כיום תחת המונח Non-Human Identities (NHI), כוללות:
• חשבונות שירות קלאסיים (AD, SQL, מערכת הפעלה).
• API Keys וטוקנים בענן.
• זהויות של מכונות, קונטיינרים ובוטים.
• Certificates ותעודות דיגיטליות לצורכי אימות אוטומטי.
האתגר הוא עצום: ניהול של אלפי זהויות, כולן קריטיות לתפקוד העסקי, אך כמעט בלתי נראות למערכות IAM קלאסיות. הארגונים מגלים שהבעיה הישנה של “Service Accounts” חזרה, רק בגרסה רחבה ומורכבת הרבה יותר.
בעוד שמערכות IAM ו־PAM מתקדמות יודעות לנהל משתמשים אנושיים היטב, זהויות לא-אנושיות נותרו בשוליים. לרוב אין מי שאחראי עליהן, הן לא נדרשות להזדהות חזקה, ואין להן תהליך onboarding או offboarding מסודר.
פערי ההגנה המרכזיים כיום כוללים:
• חוסר נראות: אין אינבנטורי מלא של כל הזהויות הלא-אנושיות בארגון.
• העדר בעלות: לא תמיד ברור למי שייך כל חשבון או טוקן.
• הרשאות יתר: שירותים פועלים עם גישת Admin גם כאשר הם זקוקים רק לקריאה.
• אימות חלש: שימוש בסיסמאות או מפתחות סטטיים שנשמרים בקוד.
• קושי בבקרה וניטור: פעילות של זהויות טכניות נראית “שגרתית”, וקשה לזהות בה חריגה.
המעבר לתפיסה שבה כל זהות, אנושית או לא, נבחנת באותה רמת ביקורת, הוא הכרחי.
ארגונים החלו לאמץ גישות חדשות לניהול זהויות טכניות, המשלבות עקרונות של:
• Least Privilege גם לחשבונות שירות.
• Rotation אוטומטי של סיסמאות וטוקנים.
• נראות וניטור מתמידים של שימוש בזהויות NHI.
• אימות מבוסס תעודות או מפתחות זמניים במקום סיסמאות קבועות.
• הפרדת חובות ובקרה הדוקה סביב הרשאות שירותיות.
המעבר הזה אינו רק טכנולוגי, הוא תרבותי וארגוני. מדובר בשינוי תפיסה:
מהתמקדות באדם כמרכז הסיכון, להבנה שהמכונה או השירות עלולה להיות נקודת הכניסה הבאה לאירוע האבטחה הבא.
בשורה התחתונה:
אם בעבר חשבונות השירות היו נקודת תורפה נשכחת, כיום הזהויות הלא-אנושיות הן קו החזית החדש של עולם הזהויות הארגוני. מי שלא יטמיע בקרוב ניהול ובקרה סביבן, עלול לגלות מאוחר מדי שהתקיפה הבאה התחילה בדיוק משם.
אל תשארו לבד. זה הזמן לעזור לארגון שלכם למנהל ולהגן על זהויות לא-אנושיות.
דברו איתנו ונציג לכם את הפתרון שכבר מאות ארגונים שהטמיעו בהצלחה.