Kimlik Yaşam Döngüsü Yönetiminin Sınırları ve AI Temelli Varlıkların Yönetimi
Kimlik yaşam döngüsü yönetimi, bir kişinin istihdam kaydı, bir yönetici ve ayrılış tarihi etrafında inşa edilmiştir. Ancak, yapay zeka (AI) ajanları bu yapıdan yoksundur. Otonom varlıkların işletme ortamlarında yaygınlaşmasıyla birlikte, insanlar için oluşturulmuş yönetişim modeli önemli boşluklar geliştirmektedir.
Kimlik Yaşam Döngüsü Yönetiminin Temel Amaçları
Kimlik yaşam döngüsü yönetimi, bir kimliğin ilk sağlanma olayından itibaren sürekli erişim kontrolü sağlar. Bu süreç, üç ana geçiş noktasına dayanır: katılma, taşıma ve ayrılma. Her bir kimlik, bir insanın organizasyonel statüsünü yansıtır ve bu statü, İnsan Kaynakları (HR) tarafından yönlendirilen belgelenmiş olaylarla değişmektedir.
CVE-2021-34527‘de olduğu gibi, kimlik yönetişimi otomasyon süreçleri, HR sistemi üzerinden tetiklenen olaylara dayanarak çalışır ve kullanıcıya uygun erişim haklarının sağlanmasını tam olarak garantiler.
Saldırı Nasıl Çalışıyor?
AI Ajanları Bu Modelin Dışında Kalıyor
AI ajanları, HR sistemlerinden gelmezler. Yıllık, aylık veya günlük işlemler gerçekleştiremezler. Bunlar, mühendisler veya otomatik dağıtım süreçleri tarafından oluşturulurlar ve genellikle geliştiricinin belirlediği izinlerle bu süreçten çıkarlar.
- AI ajanları, kaynakları kendileri talep eder ve özgürce davranış gösterirler; bu, onları yönetmek için tasarlanmış olan yapıyı aşar.
- Bu yüzden, geleneksel kimlik yönetişim araçları, generasyonlar boyunca izini sürmediği için mevcut bir sorun değildir.
Etkilenen Sistemler
AI temelli varlıklar şu durumları etkileyebilir:
- Olumlu yönetişim yokluğu
- Kurumsal kontrol eksiklikleri
- Güvenlik açıkları ve veri ihlalleri
Bu durumlar, sürekli genişleyen erişim yüzeyi oluşturarak, istenmeyen buluşmalara ve potansiyel güvenlik ihlallerine yol açar.
Çözüm ve Korunma
Kimlik yaşam döngüsü yönetimini genişletmek, AI ajanlarının operasyonel özelliklerine uygun yönetim mantığını yeniden inşa etmeyi gerektirir. Aşağıdaki adımları uygulamak önemlidir:
- Sürekli otomatik keşif ile her dağıtım yüzeyinde AJAN kimliklerini belirleyin.
- Varlık davranış modellemesi geliştirerek, her ajanın sahip olduğu verilerin kapsamını yönetin.
- Politika güdümlü provisioning ile ajanın görevine uygun en az erişimleri sağlayın.
Aksiyon: Ne Yapmalısınız?
Geliştiriciler ve yöneticiler, mevcut mimarinin dışında kalan AI ajanlarının kimliklerini yönetmek için şu adımları atmalıdır:
- Güncellemeleri düzenli olarak yapın, AI ajanlarının yetkilerini kontrol edin.
- Port kapatmaları inceleyin; aşırı yetkilendirilmiş hesapları belirleyin.
- Erişim taramalarını sık sık gerçekleştirin ve mevcut sistemlerdeki izinlerle karşılaştırın.
AI ve otonom ajanların güvenli bir biçimde yönetilmesi, geleneksel kimlik yaşam döngüsü karakteristiklerini tekrar değerlendirmek ve geliştirmekle mümkündür. Kimlik yönetişiminin geleceği, otonom varlıkların içselliğinde yatar.
