Ajan güvenlik telemetrisindeki kör nokta
Çoğu ajan güvenlik telemetrisi içerik etrafında kurulur. Prompt'lar injection dizeleri için taranır, tool argümanları secret'lar için denetlenir, model yanıtları politika ihlalleri için filtrelenir. Bu faydalı bir iştir ve aynı zamanda gözden kaçması kolay bir şekilde eksiktir: bir istek yük bakımından tamamen zararsız, hedef ve zamanlama bakımından düşmanca olabilir. Yük GET / der. Hedef ise şunu söyler: bu ajan o host ile daha önce hiç konuşmamış ve bu, son bir dakikadaki on dördüncü yeni host.
Çağrı başına allowlist'ler sırayı yakalayamaz. Bir ajanın host A, host B ve host C'ye erişmesine izin veriliyorsa, her bir çağrı tek başına geçer. Exploit tek bir çağrı değildir. Exploit A, sonra B, sonra C'dir; bu sırayla, kısa bir pencere içinde, A'nın B'nin kabul ettiği bir token döndürdüğü ve B'nin C'nin çözümlediği bir locator döndürdüğü bir akıştır. Her sıçrama yetkilidir. Geçiş yolu değildir. İçerik denetimi bunu göremez çünkü içerik sorunsuzdur. Saldırı, trafiğin şeklidir.
Egress defterinin kapatması gereken boşluk budur.
Bir egress defteri ne kaydeder
Bir egress defteri, bir ajanın ürettiği her dışa giden ağ olayının, bağlantının gerçekte kurulduğu noktada yazılan, yalnızca ekleme yapılabilen kaydıdır. Kayıt birimi mesaj değil, hedeftir.
Her olay için defter en az şunları yakalamalıdır:
- hedef kimliği: hostname, SNI değeri veya istemcinin eşe hitap etmek için gerçekte kullandığı tanımlayıcı
- çözümlenen adres: adın o anda çözümlendiği IP; bu önemlidir çünkü DNS, bir ajanın yönlendirilebileceği bir kontrol düzlemidir
- protokol ve port: HTTPS, DNS, SMTP, ham TCP ve gerçekte kullanılan port
- çalıştırma başına ilk görülme zaman damgası: yalnızca bu olayın ne zaman gerçekleştiği değil, bu hedefin bu çalıştırmada daha önce görünüp görünmediği
- çalıştırma ve ajan kimliği: hangi ajan, hangi yürütme, onu hangi üst görev başlattı
Defter çalıştırma başınadır ve önemli olan kapsam çalıştırmadır. Uzun ömürlü bir ingestion worker'ı için normal olan bir hedef, kısa ömürlü bir planlama ajanı için yenidir. Kardinalite ve yenilik yalnızca ait oldukları çalıştırmaya karşı anlamlıdır.
Bu kayıttan neredeyse bedavaya iki türetilmiş sinyal çıkar:
- Çalıştırma başına hedef kardinalitesi. Bu çalıştırma kaç farklı hedefe dokundu? Normalde üç iç servise erişen bir planlama ajanı aniden kırka erişiyorsa mutlaka ele geçirilmiş değildir, ama artık bir planlayıcı gibi davranmıyor demektir.
- Bir baseline'a karşı yenilik. Bu hedeflerden kaçı, bu ajanın bu ortamda tarihsel olarak eriştiği hedeflere göre yenidir? Yenilik daha keskin sinyaldir çünkü sınırlıdır ve çalıştırmalar arasında karşılaştırılabilir.
Reddedilen denemeler atılmamalı, saklanmalıdır. Engellenen bir bağlantı defterdeki en değerli satırdır: bir ajanın politikanın yasakladığı bir yere açıkça gitmeye çalıştığını gösterir ve yaptırım tutmuş olsa bile size niyeti söyler. Günlüğü temiz tutmak için deny kayıtlarını düşürmek, bir araştırmacının ihtiyaç duyduğu kanıtı tam olarak ortadan kaldırır.
Yaptırım noktaları
Bir defter ancak yazıldığı nokta kadar güvenilirdir. Egress günlüğünü ajan framework'ü kendisi yazıyorsa, günlük ajanın kendi davranışı hakkındaki iddiasıdır. Bu debugging için uygundur ve güvenlik için işe yaramaz.
Egress, ajanın kendi credential'larıyla atlayamayacağı bir proxy'de sonlanmalıdır. Pratikte bu, ajanın runtime'ının dışarıya bir forward proxy veya bir egress gateway dışında bir rotası olmaması ve ajanın elindeki credential'ların yalnızca o gateway'de geçerli olması anlamına gelir. Ajan
Bu topoloji verildiğinde üç özellik ortaya çıkar:
- Defter yazımları ajan framework'ünde değil, proxy'de gerçekleşir. Proxy bağlantıyı görür çünkü bağlantının kendisidir. Ajanın içinde kaydı atlayabilecek hiçbir kod yolu yoktur.
- Politika yalnızca hostname üyeliğini değil, sırayı ve kardinaliteyi de değerlendirir. "host A'ya izin verilir" diyen bir kural bir üyelik testidir. "host A'ya izin verilir, ama yalnızca host B'den önce ve beş dakikalık bir pencerede asla N'den fazla farklı hedefe" diyen bir kural bir sıra testidir. Yanal hareketi yakalayan ikincisidir.
- DNS perimeter'ın içindedir. Çözümleme bir egress olayıdır. Saldırgan kontrolündeki bir host'a TCP bağlantısı açamayan bir ajan, çözümleme proxy'lenmiyor ve günlüğe yazılmıyorsa yine de bir DNS sorgusu üzerinden veri sızdırabilir.
İşleyen somut bir mekanizma: proxy, çalıştırma tanımlayıcısıyla anahtarlanmış, bellekte çalıştırma başına bir hedef kümesi tutar. Her bağlantıda önce üyeliği, sonra kardinaliteyi bir eşiğe karşı, sonra da geçişi izin verilen önceki hedeflerden oluşan küçük bir durum makinesine karşı kontrol eder. Herhangi bir kontrol başarısız olursa bağlantı reddedilir ve tam bağlamla bir deny olayı yazılır. Durum makinesi küçüktür çünkü ajanın yapabileceği her şeyi modellemesi gerekmez; geçiş yoluna işaret edecek birkaç geçişi modellemesi gerekir.
Operasyonel ödünleşimler
Yenilik eşikleri ortam başına baseline gerektirir, yoksa sürekli alarm üretir. Ajanların her gün yeniden dağıtıldığı bir staging ortamında, baseline global olarak hesaplanırsa neredeyse her çalıştırmada yenilik üretilir. Baseline'lar ortam başına, ajan rolü başına ve ideal olarak dağıtım nesli başına kapsamlandırılmalı ve sistem değiştikçe yeniden hesaplanmalıdır. Production'da doğru olan bir eşik staging'de gürültü olur, tersi de geçerlidir. Tek bir sayı yoktur; bir bakım yükümlülüğü vardır.
Hedefleri günlüğe yazmak, yükleri günlüğe yazmaktan daha ucuzdur ve şifrelemeden sağ çıkar. Bir hedef kaydı küçüktür: bir ad, bir adres, bir port, bir zaman damgası, bir sonuç. Yanıt boyutuyla büyümez, TLS interception gerektirmez ve yük uçtan uca şifreliyken de anlamlı kalır. Defterin pratik argümanı budur: size her zaman gözlemleyebileceğiniz trafik parçasında, içeriği denetlemenin maliyeti ve hukuki maruziyeti olmadan bir güvenlik sinyali verir.
Dürüst sınırlama şudur: bir defter size bir ajanın nereye gittiğini söyler, orada ne başardığını değil. Tamamen yetkilendirilmiş bir hedef yine de verinin çıktığı yer olabilir. Defter aramayı daraltır; içerik denetiminin yerini almaz ve hangi yeni hedeflerin meşru olduğuna karar verme insan muhakemesinin yerini almaz. Yaptığı şey, geçiş yolunu görünür kılmaktır; içerik denetiminin asla göremeyeceği kısım da budur.
Ajan sistemleri kuran ekipler için pratik sıra şudur: egress'i ajanın atlayamayacağı bir proxy'nin arkasına koyun, defteri proxy'de yazın, deny kayıtlarını saklayın ve yalnızca üyeliği değil sırayı ve kardinaliteyi değerlendirin. Enstrümantasyon küçüktür. Kapattığı kapsam boşluğu değildir.