Tożsamość i bezpieczny dostęp
Atakujący wolą się zalogować niż włamać – a po wejściu poruszają się po sieci na cudzych kontach. Chronimy konta ludzi, konta serwisowe i agentów AI także tam, gdzie klasyczne MFA nie sięga: w Active Directory, narzędziach administracyjnych i systemach legacy. Dajemy dostęp do aplikacji bez otwierania całej sieci i wyłapujemy konta przejęte przez phishing. Na platformie Silverfort, z kluczami YubiKey, dostępem Zscaler i ochroną kont Proofpoint.
4–5 min
tyle zajął agentom AI pełny łańcuch ataku aż do przejęcia domeny – w laboratorium Silverfort. Kilka agentów działało równolegle, a cały przebieg kosztował równowartość 12 USD, z czasem ok. 4 USD.1
5%
organizacji jest pewnych, że ma pełny spis tożsamości nie-ludzkich – kont serwisowych, tokenów i agentów AI.2
64%
kont użytkowników w Active Directory regularnie loguje się protokołem NTLM, który nie obsługuje MFA.3
82%
wykryć w 2025 r. nie zawierało złośliwego oprogramowania. Atakujący działają na ważnych kontach i legalnych narzędziach.4
4,99 mln USD
średni globalny koszt naruszenia danych w 2026 r. – najwyższy w historii raportu.5
Co zatrzymało agentów: Silverfort powtórzył ten sam atak z dwiema kontrolami w momencie uwierzytelnienia. Konto serwisowe mogło łączyć się tylko z systemami, których naprawdę potrzebuje, a administrator domeny musiał przejść MFA na wszystkich protokołach. Wynik zmienił się z przejęcia domeny na „nie osiągnięto celu” – agenci szukali obejść, ale każda ścieżka prowadziła przez tożsamość, której nie mogli użyć. Producent zaznacza, że laboratorium jest czystsze niż produkcja, więc to wzorce, nie benchmark.1
Scenariusze z badań i analiz incydentów Silverfort, Proofpoint i Zscaler. W żadnym atakujący nie łamie zabezpieczeń – loguje się cudzą tożsamością. Przy każdym: co w tym miejscu robi nasza technologia.
Atakujący sprawdza hasła z wycieków albo jedno popularne hasło na setkach kont. 43% praktyków bezpieczeństwa tożsamości wskazuje te dwie metody jako najczęstsze ataki w swojej firmie.2
Silverfort: ocenia ryzyko każdego uwierzytelnienia – również w Active Directory – i przy podejrzanym logowaniu żąda MFA albo blokuje dostęp.
Strona-pośrednik (AiTM), przejęta sesja albo złośliwa aplikacja OAuth dają dostęp do konta w chmurze mimo MFA. Potem atakujący dopisuje własną metodę MFA, ustawia reguły skrzynki, żeby ukryć ślady, i wysyła phishing z prawdziwego konta. W danych Proofpoint 67% organizacji miało w ciągu roku co najmniej jedno udane przejęcie konta w chmurze, a w 59% z nich przejęte konta miały włączone MFA.6
Proofpoint: wykrywa przejęte konta w Microsoft 365, Google Workspace i Okta i sam je naprawia – cofa zmiany MFA, usuwa reguły skrzynki i złośliwe aplikacje, unieważnia sesje.
Grupy takie jak Scattered Spider podszywają się pod pracowników albo dział IT: wyłudzają reset hasła i MFA, przejmują numery telefonów (SIM swapping) i zasypują ludzi powiadomieniami push, aż ktoś zatwierdzi. Dalej działają w AD – na protokołach NTLM, LDAP i SMB, które nie mają MFA, oraz przez PowerShell, PsExec i RDP.7
Silverfort: zaleca wzmocnić helpdesk, ale na nim nie polegać. Klucze FIDO2 dla kont uprzywilejowanych, MFA na wszystkich protokołach AD i segmentacja, która oddziela konta uprzywilejowane od zwykłych środowisk.
VPN wystawia do internetu bramę, a po zalogowaniu wpuszcza do całej sieci. Wystarczy luka w urządzeniu albo skradzione hasło. W badaniu Zscaler 56% organizacji zgłosiło w ostatnim roku naruszenie z wykorzystaniem VPN, a liczba znanych podatności VPN wzrosła od 2020 r. o 82,5%.8
Zscaler: łączy użytkownika z konkretną aplikacją, a nie z siecią, i nie wystawia aplikacji do internetu. Ryzyko wykryte przez Silverfort może od razu zaostrzyć albo zablokować dostęp w Zscaler.9
Z przejętym kontem atakujący przechodzi między serwerami przez PsExec, PowerShell i RDP – po protokołach Kerberos i NTLM, które nie obsługują MFA. 64% kont w AD wciąż loguje się przez NTLM, a badacze Silverfort pokazali, że nawet przestarzały NTLMv1 może działać mimo zasady grupy, która ma go wyłączyć.3
Silverfort: MFA i reguły dostępu na każdym uwierzytelnieniu w AD – także z wiersza poleceń i na starszych protokołach. Ryzykowne protokoły, takie jak NTLM, można zablokować.
Konta serwisowe to 31% kont użytkowników w AD.10 Mają szerokie uprawnienia i stałe hasła, a nikt nie loguje się nimi ręcznie – zwykłe MFA ich nie obejmie. Blisko 80% organizacji nie widzi, co te konta robią.11
Silverfort: wykrywa konta serwisowe, uczy się ich zwykłych ścieżek i „wirtualnym ogrodzeniem” blokuje odstępstwa – np. połączenie z nowego serwera albo do nowego celu.
67% firm synchronizuje hasła większości użytkowników z lokalnego AD do chmury10, a 56% nieświadomie synchronizuje konta serwisowe do katalogu SaaS.12 Przejęte konto w AD otwiera więc także chmurę. Do tego jedna błędna konfiguracja konta w AD tworzy średnio 109 ukrytych administratorów.10
Silverfort: chroni dostęp jednocześnie w AD i u dostawców tożsamości w chmurze, a moduł ISPM wskazuje słabe punkty konfiguracji do naprawy.
Agenci AI prowadzą kilka etapów ataku naraz i nie odpuszczają. W laboratorium Silverfort przejęli domenę w 4–5 minut.1 W innym teście, w klastrze AWS z błędami konfiguracji, agent z jednym uprawnieniem do kontenera ukradł token sąsiedniej usługi i po ok. 6 minutach odczytał sekret.13 Firmowi agenci AI to z kolei nowe tożsamości z własnymi uprawnieniami.
Silverfort: traktuje agentów AI jak tożsamości – wykrywa ich, przypisuje każdemu właściciela i sprawdza ich działania przed wykonaniem.14
MFA w dostawcy tożsamości, np. Entra ID czy Okta, chroni logowanie do aplikacji webowych i SaaS. Uwierzytelnienia w Active Directory wewnątrz sieci przechodzą obok niego.
To właśnie tymi ścieżkami przebiega ruch boczny i szyfrowanie przez ransomware.
Silverfort
Silverfort łączy się z Active Directory i dostawcami tożsamości w chmurze. Ocenia każde uwierzytelnienie w czasie rzeczywistym i decyduje: przepuścić, zażądać MFA albo zablokować. Według producenta nie wymaga agentów, proxy ani zmian w kodzie aplikacji.
MFA dla aplikacji legacy, narzędzi wiersza poleceń, RDP i SSH, udziałów plików, infrastruktury IT i OT – na protokołach Kerberos, NTLM i LDAP.
Automatyczne wykrycie kont serwisowych w AD i tożsamości maszynowych w chmurze. Profil zachowania i „wirtualne ogrodzenie”, które blokuje odstępstwa.
Klasyfikacja kont uprzywilejowanych na podstawie realnej aktywności, dostęp just-in-time i ograniczanie stałych uprawnień.
Reguły „deny” oparte na tożsamości: segmentacja dostępu w AD, blokada ryzykownych protokołów takich jak NTLM, tryb zamrożenia przy ataku ransomware.
ITDR reaguje, zanim dostęp zostanie udzielony. ISPM wskazuje słabe punkty konfiguracji tożsamości do naprawy.
Wykrywanie agentów AI, przypisanie właściciela i kontrola ich działań przed wykonaniem – m.in. w Microsoft Copilot Studio, Google Cloud i przez bramę MCP.
Według Silverfort: ponad 1000 organizacji, 10 mld uwierzytelnień dziennie, pierwsza ochrona w mniej niż 24 godziny.14
Zscaler
65% organizacji planuje w ciągu roku zastąpić VPN.8
Proofpoint
83% organizacji z przejętym kontem miało podejrzaną aktywność w skrzynce – czytanie korespondencji przed kolejnym phishingiem.6
Klucz sprzętowy FIDO2 wiąże logowanie z adresem prawdziwej usługi. Strona-pośrednik nie przechwyci sesji, nie da się przejąć numeru telefonu ani zasypać użytkownika powiadomieniami. Silverfort zaleca klucze FIDO2 lub passkeys dla kont uprzywilejowanych i systemów krytycznych.7
Zwykłe MFA to za mało: w danych Proofpoint w 59% organizacji z przejętymi kontami w chmurze te konta miały MFA.6 A klucze to wciąż rzadkość – w badaniu Yubico z 2026 r. 43% specjalistów IT i bezpieczeństwa nadal loguje się w pracy hasłem, a 44% badanych firm doświadczyło w ostatnim roku ataku z użyciem AI.17
Zalecamy klucze przede wszystkim administratorom, helpdeskowi i osobom z dostępem do danych wrażliwych – tam, gdzie przejęcie jednego konta otwiera całą sieć.
Art. 21 ust. 2 lit. j dyrektywy wymienia uwierzytelnianie wieloskładnikowe lub ciągłe wśród środków zarządzania ryzykiem – „w stosownych przypadkach”.20
Nowelizacja wdrażająca NIS2 obowiązuje od 3 kwietnia 2026 r. Podmioty kluczowe i ważne mają czas na wdrożenie obowiązków do 3 kwietnia 2027 r., a za cyberbezpieczeństwo odpowiadają także kierownicy.21
Art. 9 rozporządzenia wymaga od podmiotów finansowych m.in. silnych mechanizmów uwierzytelniania i zarządzania prawami dostępu.20
Przepisy nie wskazują produktów. Pomagamy spełnić wymóg MFA tam, gdzie jest najtrudniej – w Active Directory, w narzędziach administracyjnych i na kontach technicznych.
SafeWave działa od 1998 r. jako integrator niezależny od producentów. Wdrożenie prowadzimy etapami, tak żeby ochrona nie zatrzymała pracy firmy.
Mapujemy konta, protokoły i ścieżki dostępu w Active Directory, w chmurze i w dostępie zdalnym. Wskazujemy konta serwisowe z nadmiarowymi uprawnieniami i miejsca bez MFA.
Silverfort uczy się zachowania kont bez blokowania pracy. Widzisz realne ryzyka na danych z własnego środowiska.
Najpierw konta uprzywilejowane i ścieżki ruchu bocznego, potem konta serwisowe i użytkownicy. Klucze YubiKey dla administratorów i helpdesku, dostęp przez Zscaler zamiast VPN, ochrona kont w chmurze z Proofpoint.
Strojenie polityk, przeglądy dostępów i wsparcie po polsku.
Zacznij od oceny ekspozycji tożsamości. Pokażemy konta serwisowe z nadmiarowymi uprawnieniami, ścieżki ruchu bocznego i miejsca bez MFA w Twoim środowisku.