Ghost Admin: onbeheerde accounts met hoge rechten vormen stil veiligheidsrisico voor ondernemingen

Close-up of a piano keyboard in black and white — Zulfugar Karimov / Unsplash

Organisaties lopen het risico dat verlaten beheeraccounts met volledige toegangsrechten onopgemerkt in hun systemen blijven bestaan, wat hackers de mogelijkheid biedt om zonder waarschuwing binnen te dringen. Deze zogenaamde Ghost Admin-accounts zijn vaak oorspronkelijk aangemaakt als serviceaccounts voor geautomatiseerde taken zoals nachtelijke back-ups of periodieke rapportages, maar worden niet verwijderd wanneer de oorspronkelijke beheerder vertrekt of een project eindigt.

Deze accounts behouden vaak hun hoge rechten omdat ze door het systeem als legitiem worden beschouwd, waardoor ze geen alarmbellen laten rinkelen bij ongeautoriseerde toegang. Experts wijzen erop dat dergelijke situaties vaak ontstaan door haastige werkprocessen, zoals het tijdelijk verlenen van hoge rechten aan standaardaccounts om technische problemen snel op te lossen, of het migreren van lokale systemen naar clouddiensten zonder de rechten afterward schoon te vegen. Ook testomgevingen waar globale beheerrechten worden ingesteld, vormen een bron van dit probleem wanneer deze rechten na afloop niet worden ingetrokken.

Uit onderzoek blijkt dat meer dan een derde van de organisaties, ongeveer zevenendertig procent, meervoudige authenticatie heeft uitgeschakeld voor beheeraccounts binnen infrastructuurdiensten in de cloud. Daarnaast tonen gevalstudies aan dat hackers met succes serviceaccounts hebben overgenomen omdat deze nooit hun wachtwoord hadden veranderd en gebruikmaakten van eenvoudig te raden standaardwachtwoorden zonder rotatie. In één specifiek geval in Chili wisten aanvallers zeven onbeheerde accounts over te nemen die geen gebruiksbaseline hadden.

Om dit risico aan te pakken, wordt geadviseerd om alle serviceaccounts te auditeren en hun recente gebruiksgeschiedenis te controleren, bijvoorbeeld door accounts te identificeren die langer dan negentig dagen niet zijn ingelogd. Voordat accounts definitief worden verwijderd, wordt aangeraden om eerst complexe wachtwoorden in te stellen en het account tijdelijk twee tot drie maanden te blokkeren om de impact op andere systemen te testen. Verder moet voor elk account een duidelijke eigenaar worden aangewezen die de noodzaak van het account regelmatig bevestigt, vooral wanneer personeelsleden de organisatie verlaten.

Organisaties worden opgeroepen om niet-menselijke identiteiten, zoals die van applicaties en servers, even streng te beheren als menselijke medewerkers. Dit betekent dat rechten alleen worden verleend voor zover noodzakelijk en dat deze identiteiten in een database worden vastgelegd, zodat rechten gelijktijdig kunnen worden ingetrokken wanneer servers worden vernieuwd of buiten gebruik gesteld. Het laten bestaan van onzichtbare accounts met hoge rechten in directorysystemen wordt vergeleken met het open laten staan van de voordeur voor kwaadwillenden.