Идентичност, автентикация и достъп
Кой влиза, с какво се удостоверява и до какво има право — слоят, който спира най-голямата част от реалните пробиви.
Компрометираната самоличност е най-тихият начин за влизане: не изисква експлойт, не оставя зловреден код и изглежда като нормална работа в логовете. Затова контролите тук имат непропорционално голям ефект спрямо усилието.
Най-важното разграничение в цялата група е между MFA и phishing-resistant MFA. SMS и обикновеният push са MFA, но не спират AiTM proxy или relay на еднократен код. Разликата не е степенна, а качествена.
7 защити в тази група
Phishing-resistant MFA: FIDO2 / WebAuthn / passkeys
P0Многофакторна автентикация, при която криптографският authenticator е обвързан с реалния домейн/услуга и не изпраща reusable secret към phishing страница.
Number matching и context-aware MFA
P0Push MFA, което изисква потребителят да въведе/потвърди число или контекст, вместо просто „Approve“.
Conditional Access / risk-based access
P0Политики, които решават дали login или достъп е допустим според user, device, location, risk, app, network и authentication strength.
Privileged Access Management (PAM) и Just-in-Time (JIT)
P0Минимизиране на постоянните административни права чрез временно, одобрено и проследимо elevation.
Least privilege и RBAC/ABAC
P0Потребители, услуги и приложения получават само необходимите права.
Password manager + unique passwords
P0Централизирано генериране и съхранение на уникални, силни пароли.
Account lifecycle management
P0Автоматизирано създаване, промяна и премахване на акаунти според employment/role lifecycle.