Aleksandr Krasnov, arquitecto de seguridad en Ducker Tech Consulting, ha descubierto un problema crítico en la gestión de identidades en entornos cloud: las "ghost credentials" o credenciales fantasma, que son identidades no humanas dormidas que pueden ser explotadas para escalar privilegios y comprometer sistemas.
Por qué importa: Estas identidades no humanas fuera de los límites tradicionales de confianza generan puntos ciegos en la seguridad, facilitando ataques rápidos y difíciles de detectar en infraestructuras automatizadas y basadas en IA.
Lo esencial
- Las ghost credentials son tokens, agentes y cuentas de servicio inactivas que pueden moverse lateralmente y escalar privilegios.
- Krasnov desarrolló NHI Hound, una herramienta open source para detectar relaciones de confianza ocultas entre identidades humanas y no humanas.
- El abuso de estas identidades puede permitir compromisos completos de la nube en minutos, superando campañas de phishing tradicionales.
Descubrimiento de un riesgo invisible en la nube
El hallazgo surgió tras investigar un incidente donde un agente automatizado con IA, inactivo por 30 días, comenzó a realizar llamadas API en horarios inusuales. Esto llevó a Krasnov a identificar una red de credenciales dormidas que no estaban bajo el control ni la supervisión directa de los equipos de seguridad.
Estas identidades no humanas pueden existir fuera de los modelos convencionales de confianza, pero aún así tienen acceso a recursos críticos, lo que genera un riesgo elevado de escalada de privilegios y movimientos laterales dentro del entorno cloud.
NHI Hound: herramienta para mapear y mitigar riesgos
Krasnov presentó NHI Hound, una solución de código abierto que recopila datos de identidad de plataformas como Okta, GitHub y sistemas de gestión de acceso en la nube (IAM). La herramienta identifica vínculos ocultos entre cuentas humanas y no humanas, clasificándolas según niveles de confianza y señalando aquellas que representan un riesgo crítico.
Además, simula escenarios de abuso para mostrar a los defensores qué credenciales dormidas pueden conducir a accesos administrativos o entornos de producción, facilitando la priorización de acciones correctivas.
