Palo Alto zet in op Zero Standing Privilege

Waar traditionele PAM-oplossingen zich voornamelijk richtten op het 'kluizen' en roteren van wachtwoorden voor een selecte groep systeembeheerders, verruimt Modern PAM de reikwijdte naar alle menselijke werknemers, cloud-workloads, endpoint-rechten en autonoom handelende AI-agents (agentic identities), zo meldt Palo Alto Networks in een blog.

De kanteling: Van 'binnenkomen' naar 'laterale verplaatsing'

Volgens Palo Alto Networks is het idee dat men alle digitale deuren dicht kan houden een illusie. Aanvallers vinden altijd een weg naar binnen via gestolen inloggegevens, ongepatchte edge-apparaten of gecompromitteerde leveranciers. Het echte gevaar schuilt niet in de initiële inbraak, maar in de snelheid waarmee de aanvaller zich vervolgens door het netwerk verplaatst (lateral movement) om waardevolle data of cruciale infrastructuur te bereiken.

In het verleden kostte dit opsporings- en verplaatsingsproces aanvallers dagen, wat beveiligingsteams de nodige tijd gaf om in te grijpen. De doorbraak van geavanceerde AI-modellen verandert deze dynamiek radicaal. AI-systemen kunnen omgevingen op machinesnelheid analyseren en identiteitspaden misbruiken. Om deze dreiging te pareren, moet ook de verdediging versnellen naar machinesnelheid.

Het einde van permanente rechten: ZSP en JIT

Om de actieradius van een aanvaller zo klein mogelijk te houden, leunt Modern PAM op twee kernprincipes:

Zero Standing Privilege (ZSP): Het volledig elimineren van statische, permanente toegangsrechten. Gebruikers of systemen hebben standaard 'nul' rechten op de achtergrond.

Just-In-Time (JIT) Access: Rechten worden pas toegekend op het exacte moment dat een specifieke taak moet worden uitgevoerd, en vervallen automatisch zodra het werk is afgerond.

Palo Alto Networks wijst op zes plekken waar statische rechten zich in de praktijk opmaken en verstoppen: klassieke beheeraccounts, cloud- en infrastructuurrechten (zoals Kubernetes-bindings), endpoints (lokale sudo-rechten), hardcoded secrets/API-sleutels, reguliere SaaS-inloggegevens van medewerkers, en niet-verlopende tokens van AI-agents.

Automatische ontdekking en AI-gestuurde respons

Omdat organisaties duizenden tot honderdduizenden identiteiten beheren — waarbij machine-identiteiten menselijke accounts inmiddels met 109 op 1 overtreffen — is handmatig beheer onmogelijk.

Het vernieuwde Idira-platform zet daarom AI in om het volledige identiteitslandschap continu te scannen, risico's te prioriteren en via automatische remediation agents direct in te grijpen. Waar het weken kost om een kwetsbaar systeem te patchen, kunnen toegangsrechten via de centrale identiteitslaag binnen één seconde worden ingetrokken.

Beschikbaarheid

De uitbreidingen rondom Modern PAM binnen het Idira Platform — waaronder een centraal Command Center, dynamische ZSP-regels voor cloud-workloads en AI-gestuurde discovery — zijn per direct algemeen beschikbaar. Palo Alto Networks heeft aangekondigd de komende periode aanvullende functionaliteiten uit te rollen die specifiek gericht zijn op het beveiligen van de snelgroeiende groep autonome AI-agents en machine-identiteiten.