Der npm-Wurm „Shai-Hulud“ zeigt, wie schnell sich eine anfängliche Kompromittierung ausbreiten kann, wenn Secrets schlecht verwaltet werden. Nach dem Zugriff nutzte die Malware Tools wie TruffleHog, um hartcodierte Token und Anmeldedaten zu sammeln, und eskalierte dann lateral über Pakete, Pipelines und Cloud-Konten. Es ist eine deutliche Mahnung: Ohne strenge Richtlinien befeuert dezentrales Secrets Management den Blast Radius von Angriffen.
Aus der praktischen Arbeit mit unseren Kunden hat unser Security Services Team die folgenden vier Praktiken identifiziert, die Unternehmen am stärksten gefährden:
- Gemeinsamer Zugriff über Teams hinweg – Ein Secret oder Konto wird für mehrere Workloads wiederverwendet.
- Schlechte Kubernetes Namespace-Definitionen – Vermischung von Dev-, Test- und Prod-Umgebungen ohne klare Grenzen.
- Pipelines unter einer einzigen Identität – Jenkins- oder Ansible-Jobs, die mit uneingeschränkten Privilegien ausgeführt werden.
- Ein Cloud-Konto oder eine Cloud-Plattform für alles – Konzentration des Risikos auf eine einzige Identitätsebene.
Für jede dieser Praktiken wird unser Security Services Team reale Geschichten darüber erzählen, wie Angreifer sie ausnutzen, sowie die praxiserprobten Lösungen vorstellen, die führende Unternehmen zur Behebung dieser Probleme einsetzen. Sie werden erfahren, warum das wahre Risiko nicht nur das Secret selbst ist, sondern die Identität dahinter – und wie die Zentralisierung des Secrets Managements den Blast Radius reduziert, die Transparenz verbessert und sicher skaliert, ohne die Entwickler zu behindern.
Sie erfahren:
- Wie schlechte Secrets-Praktiken laterale Bewegungen und die Eskalation von Sicherheitsverletzungen ermöglichen.
- Vier reale Fallstricke, die wir in Kundenumgebungen beobachten – und bewährte Methoden, um sie zu beheben.
- Wie die Zentralisierung Governance, Audit-Bereitschaft und Resilienz stärkt.
Referenten:
John Walsh, Senior Product Marketing Manager, CyberArk
Nathan Whipple, Senior Manager, Security Services, DevSecOps, CyberArk
Benjamin Dorn, Senior Security Consultant, DevSecOps, CyberArk
