Il recente worm npm Shai-Hulud ha mostrato quanto velocemente possa diffondersi una compromissione iniziale quando i secret sono gestiti in modo inadeguato. Dopo aver ottenuto l'accesso, il malware ha utilizzato strumenti come TruffleHog per raccogliere token e credenziali hardcoded, per poi scalare lateralmente attraverso pacchetti, pipeline e account cloud. Ciò ci ricorda chiaramente che, senza policy rigorose, la gestione decentralizzata dei secret estende il raggio d'azione degli attacchi.
Grazie alla collaborazione diretta con i clienti, il nostro team di servizi di sicurezza ha individuato quattro pratiche che mettono maggiormente a rischio le aziende:
- Accesso condiviso tra team: un secret o un account riutilizzato su più carichi di lavoro.
- Definizioni inadeguate dei namespace di Kubernetes - combinazione di sviluppo, test e produzione senza confini chiari.
- Pipeline sotto un'unica identità: job Jenkins o Ansible eseguiti con privilegi illimitati.
- Tutto su un unico account o piattaforma cloud – concentrando il rischio in un solo piano di identità.
Per ognuna, il nostro team di servizi di sicurezza condividerà storie reali su come gli attaccanti sfruttano queste pratiche, e le soluzioni collaudate che le principali aziende stanno adottando per correggerle. Scoprirai perché il vero rischio non è rappresentato solo dal secret, ma dall'identità che vi si cela, e come la centralizzazione della gestione dei secret riduca il raggio d'azione, migliori la visibilità e scali in modo sicuro, senza ostacolare gli sviluppatori.
Potrai approfondire:
- Come pratiche inadeguate di gestione dei secret favoriscono movimento laterale ed escalation delle violazioni.
- Quattro errori reali osservati negli ambienti dei clienti e metodi comprovati per correggerli.
- Come la centralizzazione rafforza governance, preparazione agli audit e resilienza.
Relatori:
John Walsh, Senior Product Marketing Manager, CyberArk
Nathan Whipple, Senior Manager, Security Services, DevSecOps, CyberArk
Benjamin Dorn, Senior Security Consultant, DevSecOps, CyberArk
